Por que a CNIL importa máis alá de Francia

A autoridade de protección de datos de Francia, a CNIL, é unha das supervisoras máis activas das normas de cookies en Europa. As súas orientacións moldearon como moitos publishers da UE deseñan os seus banners, e as súas decisións son seguidas de preto polos equipos de ad-ops e xurídicos. Se serves visitantes en Francia, ou simplemente queres unha referencia práctica do que espera un regulador estrito, convén entender en detalle o enfoque da CNIL.

A base legal

As normas francesas de cookies combinan dúas capas. As normas de ePrivacy, transpostas á lei francesa, esixen consentimento antes de almacenar ou ler información no dispositivo do visitante, salvo que se aplique unha exención. O GDPR define entón que é un consentimento válido: libre, específico, informado e inequívoco. A CNIL publicou unhas directrices actualizadas e unha recomendación en setembro de 2020 e deu ás organizacións un período de transición antes de que comezase a supervisión na primavera de 2021.

Expectativas centrais

• Rexeitar debe ser tan fácil como aceptar. Se a primeira capa ofrece un botón de aceptar, debe ofrecer unha forma comparablemente fácil de rexeitar, como un botón de rexeitar ben visible no mesmo nivel.
• Ningún consentimento por seguir navegando. Desprazarse pola páxina, facer clic noutro lugar ou simplemente seguir usando o sitio non é unha elección válida.
• Ningunha caixa premarcada. As finalidades deben estar desactivadas ata que o visitante as active.
• Eleccións específicas e granulares. Os visitantes deben poder escoller por finalidade, con descricións en linguaxe clara.
• Terceiros identificados. Quen vai establecer cookies debe poder identificarse no banner ou na súa segunda capa.
• Retirada tan fácil como dar o consentimento. Unha ligazón ou icona persistente que reabra as opcións é o enfoque habitual.

Duración do consentimento e das cookies

A CNIL recomenda que unha elección rexistrada, sexa aceptación ou rexeitamento, se conserve durante un período limitado e que se volva preguntar aos visitantes despois duns seis meses. Por separado, recomendou límites sobre canto tempo deben vivir certos identificadores de seguimento. Toma isto como as expectativas declaradas do regulador e consulta o texto vixente da recomendación ao fixar as túas propias duracións, pois as orientacións poden revisarse.

A exención de medición de audiencia

A CNIL estableceu as condicións nas que algunhas ferramentas de analítica poden funcionar sen consentimento. A ferramenta debe usarse para finalidades estritamente limitadas, como medir a audiencia e o rendemento do teu propio sitio, e non debe combinar datos con outros tratamentos nin seguir usuarios entre sitios. Moitas configuracións de analítica populares non cumpren esas condicións por defecto. Non des por feito que o teu provedor de analítica se cualifica; verifica a súa configuración cos criterios publicados pola CNIL.

Que mira a CNIL na práctica

1. O banner mostra unha opción de rexeitar no mesmo nivel que a de aceptar?
2. As cookies e os scripts non esenciais retéñense realmente ata que existe consentimento?
3. Despois dun rexeitamento, aínda aparecen cookies de seguimento? A CNIL pode comprobalo tecnicamente.
4. Pode un visitante cambiar de opinión en calquera momento?
5. O texto e o deseño son neutrais, sen trucos visuais que empurren cara á aceptación?

Unha rutina práctica de revisión

Abre o teu sitio nun perfil de navegador limpo cunha IP ou configuración de rexión de Francia, rexeita todo e inspecciona o almacenamento e as peticións de rede. Despois acepta só unha finalidade e repite. Se os rastrexadores se cargan despois dun rexeitamento, o problema case sempre é unha etiqueta escrita directamente no código, fóra da túa ferramenta de consentimento. Arránxao primeiro, porque é o tipo de problema que un regulador pode reproducir en minutos.

Como axuda FlexyConsent

FlexyConsent está certificado por IAB Europe e IAB Canada, é unha CMP certificada por Google (ID 317), admite IAB TCF 2.4 e Google Consent Mode v2 e amosa o banner en 57 idiomas, incluído o francés. Cobre a UE/EEE e o Reino Unido, de modo que unha soa configuración pode servir os visitantes franceses xunto co resto da túa audiencia.

Conclusións clave

• A CNIL espera que rexeitar sexa tan fácil como aceptar, sen consentimento por desprazamento ou por seguir navegando.
• As eleccións deben ser granulares, con terceiros identificados e unha forma fácil de retirar o consentimento.
• Volve preguntar despois dun período limitado; a CNIL apunta a uns seis meses.
• A exención de medición de audiencia é estreita, así que verifica a túa configuración de analítica en vez de darla por boa.
• Proba rexeitando todo e comprobando que os rastrexadores realmente seguen apagados.