Hvorfor CNIL har betydning uden for Frankrig

Frankrigs datatilsynsmyndighed, CNIL, er en af de mest aktive håndhævere af cookieregler i Europa. Dens vejledning har påvirket, hvordan mange udgivere i hele EU designer deres bannere, og dens afgørelser følges tæt af ad-ops- og juridiske teams. Hvis du har besøgende i Frankrig, eller blot ønsker en praktisk reference til en streng tilsynsmyndigheds forventninger, er CNIL's tilgang værd at forstå i detaljer.

Retsgrundlaget

De franske cookieregler kombinerer to lag. ePrivacy-reglerne, der er gennemført i fransk ret, kræver samtykke, før oplysninger gemmes på eller læses fra en besøgendes enhed, medmindre en undtagelse gælder. GDPR definerer derefter, hvad et gyldigt samtykke er: frivilligt, specifikt, informeret og utvetydigt. CNIL offentliggjorde opdaterede retningslinjer og en anbefaling i september 2020 og gav organisationer en overgangsperiode, før håndhævelsen begyndte i foråret 2021.

Kerneforventninger

• Afvisning skal være lige så let som accept. Hvis første lag har en accept-knap, bør det tilbyde en tilsvarende let måde at afvise på, f.eks. en tydeligt synlig afvis-knap på samme niveau.
• Intet samtykke gennem fortsat browsing. At scrolle, klikke andre steder på siden eller blot fortsætte med at bruge sitet er ikke et gyldigt valg.
• Ingen forhåndsafkrydsede felter. Formål skal være slået fra, indtil den besøgende slår dem til.
• Specifikke, granulære valg. Besøgende bør kunne vælge pr. formål med beskrivelser i et letforståeligt sprog.
• Navngivne tredjeparter. De parter, hvis cookies bliver sat, bør kunne identificeres fra banneret eller dets andet lag.
• Tilbagetrækning lige så let som at give samtykke. Et permanent link eller ikon, der genåbner valgene, er den sædvanlige løsning.

Samtykkets levetid og cookies' varighed

CNIL anbefaler, at et registreret valg, uanset om det er accept eller afvisning, gemmes i en begrænset periode, og at besøgende spørges igen efter omkring seks måneder. Særskilt har den anbefalet grænser for, hvor længe visse sporingsidentifikatorer må leve. Betragt dette som tilsynets udtrykte forventninger, og tjek den aktuelle ordlyd af anbefalingen, når du fastsætter dine egne varigheder, da vejledning kan blive revideret.

Undtagelsen for målgruppemåling

CNIL har fastlagt betingelser, hvorunder nogle analyseværktøjer kan køre uden samtykke. Værktøjet skal bruges til strengt afgrænsede formål, f.eks. måling af målgruppe og performance på dit eget site, og må ikke kombinere data med anden behandling eller spore brugere på tværs af sites. Mange populære analyseopsætninger opfylder som standard ikke disse betingelser. Antag ikke, at din analyseleverandør lever op til dem; kontrollér dens konfiguration mod CNIL's offentliggjorte kriterier.

Hvad CNIL kigger efter i praksis

1. Viser banneret en afvis-mulighed på samme niveau som accept?
2. Bliver ikke-nødvendige cookies og scripts faktisk holdt tilbage, indtil der foreligger samtykke?
3. Dukker sporingscookies stadig op efter en afvisning? CNIL kan kontrollere dette teknisk.
4. Kan en besøgende ombestemme sig når som helst?
5. Er ordlyd og design neutrale, uden visuelle kneb, der skubber mod accept?

En praktisk gennemgangsrutine

Åbn dit site i en ren browserprofil med fransk IP eller regionsindstilling, afvis alt og inspicér lager og netværksanmodninger. Accepter derefter kun ét formål, og gentag. Hvis trackere indlæses efter en afvisning, skyldes problemet næsten altid et hårdkodet tag uden for dit samtykkeværktøj. Ret det først, for det er den slags problem, en tilsynsmyndighed kan reproducere på få minutter.

Sådan hjælper FlexyConsent

FlexyConsent er certificeret af IAB Europe og IAB Canada, er en Google-certificeret CMP (ID 317), understøtter IAB TCF 2.4 og Google Consent Mode v2 og viser banneret på 57 sprog, herunder fransk. Det dækker EU/EØS og Storbritannien, så én opsætning kan betjene franske besøgende sammen med resten af din målgruppe.

Vigtigste pointer

• CNIL forventer, at afvisning er lige så let som accept, uden samtykke ved scrolling eller fortsat browsing.
• Valg bør være granulære, med navngivne tredjeparter og en nem måde at trække samtykket tilbage på.
• Spørg igen efter en begrænset periode; CNIL peger på omkring seks måneder.
• Undtagelsen for målgruppemåling er snæver, så kontrollér din analyseopsætning i stedet for at antage.
• Test ved at afvise alt og tjekke, at trackerne virkelig forbliver slukket.