Waarom de CNIL ook buiten Frankrijk telt

De Franse gegevensbeschermingsautoriteit, de CNIL, is een van de actiefste handhavers van cookieregels in Europa. Haar richtlijnen hebben bepaald hoe veel uitgevers in de EU hun banners ontwerpen, en haar besluiten worden nauwlettend gevolgd door ad-ops- en juridische teams. Als je bezoekers in Frankrijk bedient, of gewoon een praktische referentie wilt voor wat een strenge toezichthouder verwacht, is het de moeite waard de aanpak van de CNIL goed te begrijpen.

De wettelijke basis

De Franse cookieregels combineren twee lagen. De ePrivacy-regels, omgezet in Frans recht, vereisen toestemming voordat informatie op het apparaat van een bezoeker wordt opgeslagen of daarvan wordt gelezen, tenzij een vrijstelling geldt. De GDPR bepaalt vervolgens wat geldige toestemming is: vrij gegeven, specifiek, geïnformeerd en ondubbelzinnig. De CNIL publiceerde in september 2020 bijgewerkte richtlijnen en een aanbeveling en gaf organisaties een overgangsperiode voordat de handhaving in het voorjaar van 2021 begon.

Kernverwachtingen

• Weigeren moet net zo makkelijk zijn als accepteren. Als de eerste laag een accepteerknop biedt, moet er een vergelijkbaar eenvoudige manier zijn om te weigeren, zoals een duidelijk zichtbare weigerknop op hetzelfde niveau.
• Geen toestemming door verder te browsen. Scrollen, elders op de pagina klikken of de site gewoon blijven gebruiken is geen geldige keuze.
• Geen vooraf aangevinkte vakjes. Doeleinden moeten uitstaan totdat de bezoeker ze inschakelt.
• Specifieke, gedetailleerde keuzes. Bezoekers moeten per doel kunnen kiezen, met beschrijvingen in gewone taal.
• Benoemde derde partijen. Het moet uit de banner of de tweede laag blijken wie cookies gaat plaatsen.
• Intrekken net zo makkelijk als toestemming geven. Een permanente link of een pictogram dat de keuzes opnieuw opent is de gebruikelijke aanpak.

Geldigheid van toestemming en levensduur van cookies

De CNIL beveelt aan dat een vastgelegde keuze, of het nu aanvaarding of weigering is, voor een beperkte periode wordt bewaard en dat bezoekers na ongeveer zes maanden opnieuw worden gevraagd. Daarnaast heeft ze limieten aanbevolen voor hoe lang bepaalde trackingidentifiers mogen blijven bestaan. Beschouw dit als de uitgesproken verwachtingen van de toezichthouder en controleer de actuele tekst van de aanbeveling wanneer je je eigen termijnen instelt, want richtlijnen kunnen worden herzien.

De vrijstelling voor publieksmeting

De CNIL heeft voorwaarden vastgesteld waaronder sommige analysetools zonder toestemming mogen draaien. De tool moet worden gebruikt voor strikt beperkte doeleinden, zoals het meten van publiek en prestaties van je eigen site, en mag gegevens niet combineren met andere verwerkingen of gebruikers over sites heen volgen. Veel populaire analyseconfiguraties voldoen standaard niet aan die voorwaarden. Ga er niet van uit dat je analyseleverancier in aanmerking komt; controleer de configuratie aan de hand van de gepubliceerde criteria van de CNIL.

Waar de CNIL in de praktijk op let

1. Toont de banner een weigeroptie op hetzelfde niveau als accepteren?
2. Worden niet-essentiële cookies en scripts echt tegengehouden totdat er toestemming is?
3. Verschijnen er na een weigering nog trackingcookies? De CNIL kan dit technisch controleren.
4. Kan een bezoeker zich op elk moment bedenken?
5. Zijn de bewoordingen en het ontwerp neutraal, zonder visuele trucs die naar acceptatie sturen?

Een praktische controleroutine

Open je site in een schoon browserprofiel met een Frans IP-adres of regio-instelling, weiger alles en inspecteer de opslag en netwerkverzoeken. Accepteer daarna slechts één doel en herhaal het. Als trackers na een weigering toch laden, is het probleem bijna altijd een hardgecodeerde tag buiten je toestemmingstool. Los dat eerst op, want dat is het soort probleem dat een toezichthouder in enkele minuten kan reproduceren.

Hoe FlexyConsent helpt

FlexyConsent is gecertificeerd door IAB Europe en IAB Canada, is een door Google gecertificeerde CMP (ID 317), ondersteunt IAB TCF 2.4 en Google Consent Mode v2 en toont de banner in 57 talen, waaronder Frans. Het dekt de EU/EER en het VK, zodat één configuratie Franse bezoekers samen met de rest van je publiek kan bedienen.

Belangrijkste punten

• De CNIL verwacht dat weigeren net zo makkelijk is als accepteren, zonder toestemming door scrollen of verder browsen.
• Keuzes moeten gedetailleerd zijn, met benoemde derde partijen en een eenvoudige manier om toestemming in te trekken.
• Vraag opnieuw na een beperkte periode; de CNIL noemt ongeveer zes maanden.
• De vrijstelling voor publieksmeting is smal, dus controleer je analyse-opzet in plaats van het aan te nemen.
• Test door alles te weigeren en te controleren of trackers echt uit blijven.