Por qué la CNIL importa más allá de Francia

La autoridad francesa de protección de datos, la CNIL, es uno de los supervisores más activos en la aplicación de las reglas sobre cookies en Europa. Sus directrices han influido en cómo muchos editores de la UE diseñan sus banners, y sus decisiones son seguidas de cerca por los equipos de ad-ops y de asesoría jurídica. Si atiende a visitantes en Francia, o simplemente busca una referencia práctica sobre lo que espera un regulador estricto, merece la pena entender en detalle el enfoque de la CNIL.

La base jurídica

Las reglas francesas sobre cookies combinan dos niveles. Las normas de ePrivacy, transpuestas al derecho francés, exigen consentimiento antes de almacenar información en el dispositivo del visitante o leerla de él, salvo que se aplique una exención. El RGPD define entonces qué es un consentimiento válido: libre, específico, informado e inequívoco. La CNIL publicó directrices actualizadas y una recomendación en septiembre de 2020 y dio a las organizaciones un periodo de transición antes de que empezara la aplicación en la primavera de 2021.

Expectativas principales

• Rechazar debe ser tan fácil como aceptar. Si la primera capa ofrece un botón de aceptar, debe ofrecer una forma igual de fácil de rechazar, como un botón de rechazo bien visible en el mismo nivel.
• Sin consentimiento por seguir navegando. Desplazarse, hacer clic en otra parte de la página o simplemente seguir usando el sitio no es una elección válida.
• Sin casillas premarcadas. Las finalidades deben estar desactivadas hasta que el visitante las active.
• Opciones específicas y granulares. Los visitantes deben poder elegir por finalidad, con descripciones en lenguaje claro.
• Terceros identificados por nombre. Quienes van a establecer cookies deben poder identificarse desde el banner o su segunda capa.
• Retirar el consentimiento tan fácil como darlo. Lo habitual es un enlace o icono permanente que vuelva a abrir las opciones.

Duración del consentimiento y de las cookies

La CNIL recomienda que una elección registrada, ya sea aceptación o rechazo, se conserve durante un periodo limitado y que se vuelva a preguntar a los visitantes pasados unos seis meses. Por separado, ha recomendado límites a la vida útil de ciertos identificadores de seguimiento. Considere esto como las expectativas declaradas del regulador y consulte el texto vigente de la recomendación al fijar sus propias duraciones, ya que las directrices pueden revisarse.

La exención de medición de audiencia

La CNIL ha establecido las condiciones en las que algunas herramientas de analítica pueden funcionar sin consentimiento. La herramienta debe usarse para finalidades estrictamente limitadas, como medir la audiencia y el rendimiento de su propio sitio, y no debe combinar datos con otros tratamientos ni rastrear a los usuarios entre sitios. Muchas configuraciones de analítica habituales no cumplen esas condiciones por defecto. No dé por hecho que su proveedor de analítica las cumple; verifique su configuración con los criterios publicados por la CNIL.

Qué examina la CNIL en la práctica

1. ¿El banner muestra una opción de rechazar en el mismo nivel que la de aceptar?
2. ¿Se retienen realmente las cookies y scripts no esenciales hasta que existe consentimiento?
3. Tras un rechazo, ¿siguen apareciendo cookies de seguimiento? La CNIL puede comprobarlo técnicamente.
4. ¿Puede un visitante cambiar de opinión en cualquier momento?
5. ¿Son neutros el texto y el diseño, sin trucos visuales que empujen a aceptar?

Una rutina práctica de revisión

Abra su sitio en un perfil de navegador limpio con una IP o una configuración de región francesa, rechace todo e inspeccione el almacenamiento y las solicitudes de red. Después acepte solo una finalidad y repita. Si se cargan rastreadores tras un rechazo, el problema casi siempre es una etiqueta incrustada fuera de sus herramientas de consentimiento. Corríjalo primero, porque es el tipo de problema que un regulador puede reproducir en minutos.

Cómo ayuda FlexyConsent

FlexyConsent está certificado por IAB Europe e IAB Canada, es una CMP certificada por Google (ID 317), admite IAB TCF 2.4 y Google Consent Mode v2, y muestra el banner en 57 idiomas, incluido el francés. Cubre la UE/EEE y el Reino Unido, de modo que una sola configuración puede atender a los visitantes franceses junto con el resto de su audiencia.

Puntos clave

• La CNIL espera que rechazar sea tan fácil como aceptar, sin consentimiento por desplazamiento ni por seguir navegando.
• Las opciones deben ser granulares, con terceros nombrados y una forma sencilla de retirar el consentimiento.
• Vuelva a preguntar tras un periodo limitado; la CNIL menciona unos seis meses.
• La exención de medición de audiencia es estrecha, así que verifique su configuración de analítica en lugar de darla por supuesta.
• Pruebe rechazando todo y comprobando que los rastreadores realmente permanecen desactivados.