למה ה-CNIL חשובה גם מחוץ לצרפת

ה-CNIL, רשות הגנת המידע של צרפת, היא אחת הרשויות הפעילות ביותר באכיפת כללי עוגיות באירופה. ההנחיות שלה עיצבו את האופן שבו מפרסמים רבים ברחבי האיחוד האירופי מעצבים את הבאנרים שלהם, וצוותי ad-ops וצוותים משפטיים עוקבים מקרוב אחר החלטותיה. אם אתם משרתים מבקרים בצרפת, או פשוט רוצים נקודת ייחוס מעשית לציפיות של רגולטור מחמיר, כדאי להבין לעומק את גישת ה-CNIL.

הבסיס המשפטי

כללי העוגיות הצרפתיים משלבים שתי שכבות. כללי ה-ePrivacy, שהוטמעו בדין הצרפתי, דורשים הסכמה לפני שמידע נשמר במכשיר המבקר או נקרא ממנו, אלא אם חל פטור. לאחר מכן ה-GDPR מגדיר מהי הסכמה תקפה: חופשית, ספציפית, מדעת וחד-משמעית. ה-CNIL פרסמה הנחיות והמלצה מעודכנות בספטמבר 2020 ונתנה לארגונים תקופת מעבר לפני תחילת האכיפה באביב 2021.

הציפיות המרכזיות

• סירוב חייב להיות קל כמו אישור. אם בשכבה הראשונה יש כפתור אישור, צריכה להיות גם דרך סירוב קלה באותה מידה, כמו כפתור סירוב ברור באותה רמה.
• אין הסכמה באמצעות המשך גלישה. גלילה, לחיצה במקום אחר בדף או סתם המשך שימוש באתר אינם בחירה תקפה.
• אין תיבות מסומנות מראש. המטרות חייבות להיות כבויות עד שהמבקר מפעיל אותן.
• בחירות ספציפיות ומפורטות. מבקרים צריכים להיות מסוגלים לבחור לפי מטרה, עם תיאורים בשפה פשוטה.
• צדדים שלישיים בשמם. צריך להיות אפשר לזהות מהבאנר או מהשכבה השנייה שלו את מי שהעוגיות שלהם יוגדרו.
• ביטול הסכמה קל כמו מתן הסכמה. הדרך המקובלת היא קישור או סמל קבוע שפותח מחדש את האפשרויות.

תוקף ההסכמה ומשך העוגייה

ה-CNIL ממליצה ששמירת הבחירה, בין אם אישור ובין אם סירוב, תהיה לתקופה מוגבלת ושמבקרים יישאלו שוב לאחר כשישה חודשים. בנפרד, היא המליצה על הגבלות לגבי משך החיים של מזהי מעקב מסוימים. התייחסו לכך כאל ציפיות מוצהרות של הרגולטור, ובדקו את הנוסח העדכני של ההמלצה כשאתם קובעים משכים משלכם, כי ההנחיות עשויות להתעדכן.

הפטור למדידת קהל

ה-CNIL קבעה תנאים שבהם כלי אנליטיקה מסוימים יכולים לפעול ללא הסכמה. הכלי חייב לשמש למטרות מוגבלות בהחלט, כמו מדידת הקהל והביצועים של האתר שלכם, ואסור לו לשלב נתונים עם עיבוד אחר או לעקוב אחר משתמשים בין אתרים. תצורות אנליטיקה פופולריות רבות אינן עומדות בתנאים אלה כברירת מחדל. אל תניחו שספק האנליטיקה שלכם עומד בהם; בדקו את התצורה שלו מול הקריטריונים שפרסמה ה-CNIL.

מה ה-CNIL בודקת בפועל

1. האם הבאנר מציג אפשרות סירוב באותה רמה כמו אישור?
2. האם עוגיות וסקריפטים לא חיוניים באמת מוחזקים עד שיש הסכמה?
3. אחרי סירוב, האם עוגיות מעקב עדיין מופיעות? ה-CNIL יכולה לבדוק זאת טכנית.
4. האם מבקר יכול לשנות את דעתו בכל עת?
5. האם הניסוח והעיצוב ניטרליים, ללא תחבולות חזותיות שדוחפות לאישור?

שגרת בדיקה מעשית

פתחו את האתר בפרופיל דפדפן נקי עם IP או הגדרת אזור של צרפת, סרבו להכול ובדקו את האחסון ואת בקשות הרשת. לאחר מכן אשרו מטרה אחת בלבד וחזרו על הבדיקה. אם גורמי מעקב נטענים אחרי סירוב, הבעיה כמעט תמיד תג שמוטמע ישירות בקוד מחוץ לכלי ההסכמה שלכם. תקנו קודם את זה, כי זו סוגיה שרגולטור יכול לשחזר בתוך דקות.

איך FlexyConsent עוזרת

FlexyConsent מוסמכת על ידי IAB Europe ו-IAB Canada, והיא CMP מוסמכת של Google (מזהה 317), תומכת ב-IAB TCF 2.4 וב-Google Consent Mode v2, ומציגה את הבאנר ב-57 שפות, כולל צרפתית. היא מכסה את האיחוד האירופי/אזור הכלכלי האירופי ואת בריטניה, כך שהגדרה אחת יכולה לשרת מבקרים צרפתים לצד שאר הקהל שלכם.

עיקרי הדברים

• ה-CNIL מצפה שסירוב יהיה קל כמו אישור, בלי הסכמה באמצעות גלילה או המשך גלישה.
• הבחירות צריכות להיות מפורטות, עם צדדים שלישיים בשמם ודרך קלה לביטול.
• שאלו שוב לאחר תקופה מוגבלת; ה-CNIL מצביעה על כשישה חודשים.
• הפטור למדידת קהל צר, ולכן אמתו את תצורת האנליטיקה במקום להניח.
• בדקו על ידי סירוב להכול ווידוא שגורמי המעקב באמת נשארים כבויים.