Proč na CNIL záleží i mimo Francii

Francouzský úřad pro ochranu údajů, CNIL, patří mezi nejaktivnější vykonavatele pravidel o souborech cookie v Evropě. Jeho pokyny ovlivnily, jak mnoho vydavatelů v EU navrhuje své bannery, a jeho rozhodnutí pozorně sledují ad-ops i právní týmy. Pokud obsluhujete návštěvníky z Francie, nebo jen hledáte praktický vzor očekávání přísného regulátora, vyplatí se přístupu CNIL porozumět do detailu.

Právní základ

Francouzská pravidla pro cookies spojují dvě vrstvy. Pravidla ePrivacy, provedená do francouzského práva, vyžadují souhlas před uložením informací do zařízení návštěvníka nebo jejich čtením, pokud se neuplatní výjimka. GDPR pak vymezuje, co znamená platný souhlas: svobodný, konkrétní, informovaný a jednoznačný. CNIL zveřejnil aktualizované pokyny a doporučení v září 2020 a před zahájením vymáhání na jaře 2021 poskytl organizacím přechodné období.

Základní očekávání

• Odmítnutí musí být stejně snadné jako přijetí. Pokud první vrstva nabízí tlačítko přijmout, měla by nabízet srovnatelně snadný způsob odmítnutí, například jasně viditelné tlačítko odmítnout na stejné úrovni.
• Žádný souhlas dalším procházením. Rolování, klikání jinde na stránce nebo prosté pokračování v používání webu není platná volba.
• Žádná předem zaškrtnutá pole. Účely musí být vypnuté, dokud je návštěvník nezapne.
• Konkrétní, podrobné volby. Návštěvníci by měli mít možnost vybírat podle účelu, s popisy srozumitelným jazykem.
• Jmenované třetí strany. Subjekty, jejichž cookies budou nastavena, by mělo být možné určit z banneru nebo jeho druhé vrstvy.
• Odvolání stejně snadné jako udělení souhlasu. Obvyklým řešením je trvalý odkaz nebo ikona, která volby znovu otevře.

Doba platnosti souhlasu a trvání cookies

CNIL doporučuje, aby se zaznamenaná volba, ať přijetí, nebo odmítnutí, uchovávala omezenou dobu a aby se návštěvníci znovu dotazovali zhruba po šesti měsících. Samostatně doporučil limity toho, jak dlouho mohou některé sledovací identifikátory existovat. Berte to jako deklarovaná očekávání regulátora a při stanovení vlastních dob zkontrolujte aktuální znění doporučení, protože pokyny mohou být upraveny.

Výjimka pro měření návštěvnosti

CNIL stanovil podmínky, za kterých některé analytické nástroje mohou běžet bez souhlasu. Nástroj musí sloužit přísně omezeným účelům, například měření návštěvnosti a výkonu vlastního webu, a nesmí kombinovat data s jiným zpracováním ani sledovat uživatele napříč weby. Mnoho oblíbených konfigurací analytiky tyto podmínky ve výchozím stavu nesplňuje. Nepředpokládejte, že váš dodavatel analytiky vyhovuje; ověřte jeho konfiguraci podle zveřejněných kritérií CNIL.

Na co se CNIL v praxi dívá

1. Nabízí banner možnost odmítnutí na stejné úrovni jako přijetí?
2. Jsou nepodstatné cookies a skripty skutečně zadrženy, dokud není souhlas?
3. Objevují se po odmítnutí stále sledovací cookies? CNIL to umí ověřit technicky.
4. Může návštěvník kdykoli změnit názor?
5. Jsou formulace a design neutrální, bez vizuálních triků tlačících k přijetí?

Praktická kontrolní rutina

Otevřete web v čistém profilu prohlížeče s francouzskou IP adresou nebo nastavením regionu, odmítněte vše a zkontrolujte úložiště a síťové požadavky. Pak přijměte jen jeden účel a postup zopakujte. Pokud se trackery načítají po odmítnutí, problémem je téměř vždy napevno zapsaná značka mimo váš nástroj pro správu souhlasu. Opravte to jako první, protože právě takový problém dokáže regulátor reprodukovat za pár minut.

Jak pomáhá FlexyConsent

FlexyConsent má certifikaci IAB Europe a IAB Canada, je CMP certifikovaným Googlem (ID 317), podporuje IAB TCF 2.4 a Google Consent Mode v2 a zobrazuje banner v 57 jazycích, včetně francouzštiny. Pokrývá EU/EHP a Spojené království, takže jedno nastavení může obsloužit francouzské návštěvníky spolu se zbytkem publika.

Klíčové poznatky

• CNIL očekává, že odmítnutí bude stejně snadné jako přijetí, bez souhlasu rolováním nebo dalším procházením.
• Volby by měly být podrobné, se jmenovanými třetími stranami a snadným způsobem odvolání.
• Ptejte se znovu po omezené době; CNIL uvádí zhruba šest měsíců.
• Výjimka pro měření návštěvnosti je úzká, proto svou analytiku ověřte, místo abyste ji předpokládali.
• Testujte odmítnutím všeho a kontrolou, že trackery opravdu zůstávají vypnuté.