رهنمودهای کوکی CNIL فرانسه: آنچه ناشران باید بدانند
چرا CNIL فراتر از فرانسه اهمیت دارد
CNIL، مرجع حفاظت از داده‌ها در فرانسه، یکی از فعال‌ترین مجریان قوانین کوکی در اروپاست. رهنمودهای آن شیوهٔ طراحی بنر را برای بسیاری از ناشران در اتحادیهٔ اروپا شکل داده و تصمیمات آن را تیم‌های ادآپس و حقوقی از نزدیک دنبال می‌کنند. اگر به بازدیدکنندگان فرانسه خدمات می‌دهید، یا فقط یک مرجع عملی از انتظارات یک نهاد نظارتی سخت‌گیر می‌خواهید، رویکرد CNIL ارزش بررسی دقیق دارد.
مبنای قانونی
قوانین کوکی فرانسه دو لایه را ترکیب می‌کند. قواعد ePrivacy که در حقوق فرانسه پیاده شده‌اند، پیش از ذخیره یا خواندن اطلاعات روی دستگاه بازدیدکننده رضایت را لازم می‌دانند، مگر آنکه استثنایی اعمال شود. سپس GDPR تعریف می‌کند رضایت معتبر چیست: آزادانه، مشخص، آگاهانه و بدون ابهام. CNIL در سپتامبر ۲۰۲۰ رهنمودها و توصیه‌ای به‌روز منتشر کرد و پیش از آغاز اجرا در بهار ۲۰۲۱ به سازمان‌ها دورهٔ گذار داد.
انتظارات اصلی
- رد کردن باید به آسانی پذیرفتن باشد. اگر لایهٔ اول دکمهٔ پذیرش دارد، باید راهی به همان اندازه آسان برای رد کردن هم ارائه کند، مانند دکمهٔ رد کاملاً مشخص در همان سطح.
- رضایت از راه ادامهٔ مرور پذیرفته نیست. اسکرول کردن، کلیک در جای دیگر صفحه یا صرفاً ادامهٔ استفاده از سایت انتخابی معتبر نیست.
- بدون کادرهای از پیش علامت‌خورده. مقاصد باید تا زمانی که بازدیدکننده آن‌ها را روشن نکرده خاموش باشند.
- انتخاب‌های مشخص و جزئی. بازدیدکنندگان باید بتوانند بر اساس مقصود و با توضیحاتی به زبان ساده انتخاب کنند.
- طرف‌های ثالث نام‌برده. باید از روی بنر یا لایهٔ دوم آن مشخص باشد کوکی چه کسانی تنظیم خواهد شد.
- پس‌گرفتن رضایت به آسانی دادن آن. شیوهٔ معمول، پیوند یا نمادی همیشگی است که گزینه‌ها را دوباره باز می‌کند.
مدت اعتبار رضایت و مدت کوکی
CNIL توصیه می‌کند انتخاب ثبت‌شده، چه پذیرش و چه رد، برای مدتی محدود نگه داشته شود و بازدیدکنندگان پس از حدود شش ماه دوباره پرسیده شوند. جداگانه، برای مدت ماندگاری برخی شناسه‌های ردیابی نیز محدودیت‌هایی توصیه کرده است. این‌ها را انتظارات اعلام‌شدهٔ نهاد نظارتی بدانید و هنگام تعیین مدت‌های خودتان متن فعلی توصیه را بررسی کنید، چون رهنمودها ممکن است بازنگری شوند.
استثنای سنجش مخاطب
CNIL شرایطی را مشخص کرده که در آن برخی ابزارهای تحلیلی می‌توانند بدون رضایت اجرا شوند. ابزار باید فقط برای مقاصد کاملاً محدود، مانند سنجش مخاطب و عملکرد سایت خودتان، به کار رود و نباید داده‌ها را با پردازش‌های دیگر ترکیب کند یا کاربران را در میان سایت‌ها ردیابی کند. بسیاری از پیکربندی‌های رایج تحلیل به‌طور پیش‌فرض این شرایط را ندارند. فرض نکنید ارائه‌دهندهٔ تحلیل شما واجد شرایط است؛ پیکربندی آن را با معیارهای منتشرشدهٔ CNIL بسنجید.
CNIL در عمل به چه چیزی نگاه می‌کند
- آیا بنر گزینهٔ رد را در همان سطح گزینهٔ پذیرش نشان می‌دهد؟
- آیا کوکی‌ها و اسکریپت‌های غیرضروری واقعاً تا زمان وجود رضایت نگه داشته می‌شوند؟
- پس از رد کردن، آیا کوکی‌های ردیابی همچنان ظاهر می‌شوند؟ CNIL می‌تواند این را از نظر فنی بررسی کند.
- آیا بازدیدکننده هر زمان می‌تواند نظرش را عوض کند؟
- آیا متن و طراحی بی‌طرف است، بدون ترفندهای بصری که به سمت پذیرش هل بدهد؟
یک روال بررسی عملی
سایت خود را در یک پروفایل تمیز مرورگر با IP یا تنظیم منطقهٔ فرانسه باز کنید، همه‌چیز را رد کنید و حافظه و درخواست‌های شبکه را بررسی کنید. سپس فقط یک مقصود را بپذیرید و دوباره تکرار کنید. اگر ردیاب‌ها پس از رد کردن بارگذاری می‌شوند، مشکل تقریباً همیشه یک تگ نوشته‌شده مستقیم در کد و بیرون از ابزار رضایت شماست. اول آن را اصلاح کنید، چون نوعی مشکل است که نهاد نظارتی می‌تواند در چند دقیقه بازتولیدش کند.
FlexyConsent چگونه کمک می‌کند
FlexyConsent دارای گواهی IAB Europe و IAB Canada است، یک CMP تأییدشده توسط Google (شناسه ۳۱۷) است، از IAB TCF 2.4 و Google Consent Mode v2 پشتیبانی می‌کند و بنر را به ۵۷ زبان، از جمله فرانسوی، نشان می‌دهد. اتحادیهٔ اروپا/منطقهٔ اقتصادی اروپا و بریتانیا را پوشش می‌دهد، بنابراین یک پیکربندی می‌تواند بازدیدکنندگان فرانسوی را در کنار بقیهٔ مخاطبان شما پوشش دهد.
نکات کلیدی
- CNIL انتظار دارد رد کردن به آسانی پذیرفتن باشد و رضایت از راه اسکرول یا ادامهٔ مرور پذیرفته نیست.
- انتخاب‌ها باید جزئی باشند، با طرف‌های ثالث نام‌برده و راهی آسان برای پس‌گرفتن.
- پس از مدتی محدود دوباره بپرسید؛ CNIL به حدود شش ماه اشاره می‌کند.
- استثنای سنجش مخاطب محدود است، پس به‌جای فرض کردن، پیکربندی تحلیل خود را بررسی کنید.
- با رد کردن همه‌چیز آزمون کنید و مطمئن شوید ردیاب‌ها واقعاً خاموش می‌مانند.