Miksi CNIL on merkityksellinen Ranskan ulkopuolellakin

Ranskan tietosuojaviranomainen CNIL on yksi Euroopan aktiivisimmista evästesääntöjen valvojista. Sen ohjeistus on vaikuttanut siihen, miten monet julkaisijat eri puolilla EU:ta suunnittelevat bannerinsa, ja ad-ops- ja lakitiimit seuraavat sen päätöksiä tarkasti. Jos sinulla on kävijöitä Ranskassa tai haluat vain käytännön viitteen tiukan valvojan odotuksista, CNIL:n lähestymistapa kannattaa ymmärtää yksityiskohtaisesti.

Oikeudellinen perusta

Ranskan evästesäännöt yhdistävät kaksi tasoa. Ranskan lakiin siirretyt ePrivacy-säännöt edellyttävät suostumusta ennen kuin tietoa tallennetaan kävijän laitteelle tai luetaan siltä, ellei jokin poikkeus sovellu. GDPR määrittelee sitten, mitä pätevä suostumus tarkoittaa: vapaaehtoinen, täsmällinen, tietoon perustuva ja yksiselitteinen. CNIL julkaisi päivitetyt ohjeet ja suosituksen syyskuussa 2020 ja antoi organisaatioille siirtymäajan, ennen kuin valvonta alkoi keväällä 2021.

Keskeiset odotukset

• Kieltäytymisen on oltava yhtä helppoa kuin hyväksymisen. Jos ensimmäisellä tasolla on hyväksymispainike, sen rinnalla pitäisi olla vertailukelpoisen helppo tapa kieltäytyä, esimerkiksi selvästi näkyvä hylkäyspainike samalla tasolla.
• Ei suostumusta jatkamalla selaamista. Vieritys, klikkaus muualle sivulla tai sivuston pelkkä käytön jatkaminen ei ole pätevä valinta.
• Ei valmiiksi rastitettuja ruutuja. Käyttötarkoitusten on oltava pois päältä, kunnes kävijä ottaa ne käyttöön.
• Täsmälliset, yksityiskohtaiset valinnat. Kävijöiden pitäisi voida valita käyttötarkoituksen mukaan selkeällä kielellä kirjoitettujen kuvausten avulla.
• Nimetyt kolmannet osapuolet. Ne, joiden evästeet asetetaan, pitäisi voida tunnistaa bannerista tai sen toiselta tasolta.
• Peruuttaminen yhtä helppoa kuin suostumuksen antaminen. Pysyvä linkki tai kuvake, joka avaa valinnat uudelleen, on tavallinen ratkaisu.

Suostumuksen voimassaolo ja evästeiden kesto

CNIL suosittelee, että tallennettu valinta, oli se hyväksyntä tai kieltäytyminen, säilytetään rajatun ajan ja että kävijältä kysytään uudelleen noin kuuden kuukauden kuluttua. Erikseen se on suositellut rajoja sille, kuinka kauan tietyt seurantatunnisteet saavat elää. Pidä näitä viranomaisen ilmaisemina odotuksina ja tarkista suosituksen nykyinen sanamuoto, kun asetat omat kestosi, sillä ohjeita voidaan tarkistaa.

Yleisömittauksen poikkeus

CNIL on määritellyt ehdot, joilla jotkin analytiikkatyökalut voivat toimia ilman suostumusta. Työkalua on käytettävä tiukasti rajattuihin tarkoituksiin, kuten oman sivustosi yleisön ja suorituskyvyn mittaamiseen, eikä se saa yhdistää tietoja muuhun käsittelyyn tai seurata käyttäjiä sivustojen välillä. Monet suositut analytiikka-asetukset eivät täytä näitä ehtoja oletuksena. Älä oleta, että analytiikkatoimittajasi täyttää ne; tarkista sen määritykset CNIL:n julkaisemia kriteerejä vasten.

Mitä CNIL käytännössä tarkastaa

1. Näyttääkö banneri hylkäysvaihtoehdon samalla tasolla kuin hyväksymisen?
2. Pidetäänkö ei-välttämättömät evästeet ja skriptit todella pois, kunnes suostumus on olemassa?
3. Ilmestyykö seurantaevästeitä edelleen kieltäytymisen jälkeen? CNIL voi tarkistaa tämän teknisesti.
4. Voiko kävijä muuttaa mieltään milloin tahansa?
5. Ovatko sanamuoto ja ulkoasu neutraaleja, ilman visuaalisia kikkoja, jotka ohjaavat kohti hyväksymistä?

Käytännön tarkistusrutiini

Avaa sivustosi puhtaassa selainprofiilissa ranskalaisella IP-osoitteella tai alueasetuksella, kieltäydy kaikesta ja tarkista tallennustila ja verkkopyynnöt. Hyväksy sitten vain yksi käyttötarkoitus ja toista. Jos seurantatyökaluja latautuu kieltäytymisen jälkeen, ongelma on lähes aina suostumustyökalusi ulkopuolelle kovakoodattu tagi. Korjaa se ensin, sillä se on juuri sen tyyppinen ongelma, jonka viranomainen voi toistaa minuuteissa.

Miten FlexyConsent auttaa

FlexyConsent on IAB Europen ja IAB Canadan sertifioima, Google-sertifioitu CMP (ID 317), tukee IAB TCF 2.4:ää ja Google Consent Mode v2:ta ja näyttää bannerin 57 kielellä, ranska mukaan lukien. Se kattaa EU/ETA-alueen ja Yhdistyneen kuningaskunnan, joten yhdellä käyttöönotolla voi palvella ranskalaisia kävijöitä muun yleisösi rinnalla.

Tärkeimmät opit

• CNIL odottaa kieltäytymisen olevan yhtä helppoa kuin hyväksymisen, eikä suostumusta synny vierittämällä tai selaamista jatkamalla.
• Valintojen tulisi olla yksityiskohtaisia, kolmannet osapuolet nimettyjä ja peruuttaminen helppoa.
• Kysy uudelleen rajatun ajan kuluttua; CNIL viittaa noin kuuteen kuukauteen.
• Yleisömittauksen poikkeus on kapea, joten varmista analytiikka-asetuksesi sen sijaan, että olettaisit.
• Testaa kieltäytymällä kaikesta ja tarkistamalla, että seurantatyökalut todella pysyvät pois päältä.