Perché la CNIL conta oltre la Francia

L'autorità francese per la protezione dei dati, la CNIL, è uno dei controllori più attivi nell'applicazione delle regole sui cookie in Europa. Le sue linee guida hanno influenzato il modo in cui molti editori dell'UE progettano i banner, e le sue decisioni sono seguite con attenzione dai team ad-ops e legali. Se servi visitatori in Francia, o cerchi semplicemente un riferimento pratico sulle aspettative di un'autorità severa, vale la pena capire nel dettaglio l'approccio della CNIL.

La base giuridica

Le regole francesi sui cookie combinano due livelli. Le norme ePrivacy, recepite nel diritto francese, richiedono il consenso prima di archiviare informazioni sul dispositivo del visitatore o di leggerle da esso, salvo che si applichi un'esenzione. Il GDPR definisce poi cosa rende valido il consenso: libero, specifico, informato e inequivocabile. La CNIL ha pubblicato linee guida aggiornate e una raccomandazione a settembre 2020 e ha concesso alle organizzazioni un periodo di transizione prima dell'inizio dei controlli nella primavera 2021.

Le aspettative principali

• Rifiutare deve essere facile quanto accettare. Se il primo livello offre un pulsante per accettare, deve offrire un modo altrettanto semplice per rifiutare, come un pulsante di rifiuto ben visibile allo stesso livello.
• Nessun consenso tramite la navigazione continuata. Scorrere, cliccare altrove nella pagina o semplicemente continuare a usare il sito non è una scelta valida.
• Nessuna casella preselezionata. Le finalità devono essere disattivate finché il visitatore non le attiva.
• Scelte specifiche e granulari. I visitatori devono poter scegliere per finalità, con descrizioni in linguaggio semplice.
• Terze parti indicate per nome. Chi imposterà i cookie deve essere identificabile dal banner o dal suo secondo livello.
• Revoca semplice quanto la prestazione del consenso. L'approccio abituale è un link o un'icona permanente che riapra le scelte.

Durata del consenso e dei cookie

La CNIL raccomanda che una scelta registrata, sia di accettazione sia di rifiuto, venga conservata per un periodo limitato e che ai visitatori venga chiesto di nuovo dopo circa sei mesi. Separatamente, ha raccomandato limiti alla durata di certi identificatori di tracciamento. Considera queste indicazioni come le aspettative dichiarate dell'autorità e controlla il testo attuale della raccomandazione quando stabilisci le tue durate, poiché le linee guida possono essere riviste.

L'esenzione per la misurazione dell'audience

La CNIL ha definito le condizioni in cui alcuni strumenti di analisi possono funzionare senza consenso. Lo strumento deve essere usato per finalità strettamente limitate, come misurare l'audience e le prestazioni del tuo sito, e non deve combinare i dati con altri trattamenti né tracciare gli utenti tra siti diversi. Molte configurazioni di analisi diffuse non soddisfano di default queste condizioni. Non dare per scontato che il tuo fornitore di analisi le rispetti; verifica la sua configurazione rispetto ai criteri pubblicati dalla CNIL.

Cosa controlla la CNIL nella pratica

1. Il banner mostra un'opzione di rifiuto allo stesso livello di quella di accettazione?
2. I cookie e gli script non essenziali sono davvero trattenuti finché non esiste il consenso?
3. Dopo un rifiuto compaiono ancora cookie di tracciamento? La CNIL può verificarlo tecnicamente.
4. Un visitatore può cambiare idea in qualsiasi momento?
5. Testo e design sono neutri, senza trucchi visivi che spingano ad accettare?

Una routine pratica di verifica

Apri il tuo sito in un profilo di browser pulito con un IP o un'impostazione di regione francese, rifiuta tutto e ispeziona l'archiviazione e le richieste di rete. Poi accetta una sola finalità e ripeti. Se dopo un rifiuto si caricano dei tracker, il problema è quasi sempre un tag inserito direttamente nel codice, fuori dai tuoi strumenti di consenso. Correggi questo per primo, perché è il tipo di problema che un'autorità può riprodurre in pochi minuti.

Come ti aiuta FlexyConsent

FlexyConsent è certificato da IAB Europe e IAB Canada, è una CMP certificata da Google (ID 317), supporta IAB TCF 2.4 e Google Consent Mode v2 e mostra il banner in 57 lingue, compreso il francese. Copre UE/SEE e Regno Unito, così una sola configurazione può servire i visitatori francesi insieme al resto del tuo pubblico.

Punti chiave

• La CNIL si aspetta che rifiutare sia facile quanto accettare, senza consenso tramite scorrimento o navigazione continuata.
• Le scelte devono essere granulari, con terze parti indicate per nome e un modo semplice per revocare il consenso.
• Chiedi di nuovo dopo un periodo limitato; la CNIL indica circa sei mesi.
• L'esenzione per la misurazione dell'audience è ristretta: verifica la tua configurazione di analisi invece di darla per scontata.
• Testa rifiutando tutto e controllando che i tracker restino davvero spenti.