Hvorfor CNIL er viktig utenfor Frankrike

Frankrikes personvernmyndighet, CNIL, er en av de mest aktive håndhevere av regler for informasjonskapsler i Europa. Veiledningen har påvirket hvordan mange utgivere i hele EU utformer bannerne sine, og avgjørelsene følges tett av ad-ops- og juridiske team. Hvis du har besøkende i Frankrike, eller bare ønsker en praktisk referanse for hva en streng tilsynsmyndighet forventer, er CNILs tilnærming verdt å forstå i detalj.

Rettsgrunnlaget

De franske reglene for informasjonskapsler kombinerer to lag. ePrivacy-reglene, gjennomført i fransk rett, krever samtykke før informasjon lagres på eller leses fra en besøkendes enhet, med mindre et unntak gjelder. GDPR definerer deretter hva gyldig samtykke er: frivillig, spesifikt, informert og utvetydig. CNIL publiserte oppdaterte retningslinjer og en anbefaling i september 2020 og ga organisasjoner en overgangsperiode før håndhevingen begynte våren 2021.

Kjerneforventninger

• Avvisning skal være like enkelt som godkjenning. Hvis første lag har en godta-knapp, bør det tilby en tilsvarende enkel måte å avvise på, for eksempel en tydelig synlig avvis-knapp på samme nivå.
• Ikke samtykke gjennom fortsatt surfing. Å rulle, klikke andre steder på siden eller bare fortsette å bruke nettstedet er ikke et gyldig valg.
• Ingen forhåndsavkryssede bokser. Formål skal være av til den besøkende slår dem på.
• Spesifikke, detaljerte valg. Besøkende bør kunne velge per formål, med beskrivelser på et forståelig språk.
• Navngitte tredjeparter. Partene som får satt sine informasjonskapsler, bør kunne identifiseres fra banneret eller dets andre lag.
• Tilbaketrekking like enkelt som å gi samtykke. En permanent lenke eller et ikon som åpner valgene på nytt, er den vanlige løsningen.

Samtykkets levetid og varigheten til informasjonskapsler

CNIL anbefaler at et registrert valg, enten det er godkjenning eller avvisning, lagres i en begrenset periode, og at besøkende spørres på nytt etter omtrent seks måneder. Separat har den anbefalt grenser for hvor lenge visse sporingsidentifikatorer bør leve. Se på dette som tilsynets uttalte forventninger, og sjekk gjeldende ordlyd i anbefalingen når du fastsetter dine egne varigheter, siden veiledning kan revideres.

Unntaket for målgruppemåling

CNIL har fastsatt vilkår for at enkelte analyseverktøy kan kjøre uten samtykke. Verktøyet må brukes til strengt avgrensede formål, for eksempel å måle målgruppe og ytelse på ditt eget nettsted, og må ikke kombinere data med annen behandling eller spore brukere på tvers av nettsteder. Mange populære analyseoppsett oppfyller ikke disse vilkårene som standard. Ikke anta at analyseleverandøren din gjør det; kontroller konfigurasjonen mot CNILs publiserte kriterier.

Hva CNIL ser etter i praksis

1. Viser banneret et avvis-alternativ på samme nivå som godta?
2. Holdes ikke-nødvendige informasjonskapsler og skript faktisk tilbake til samtykke foreligger?
3. Dukker sporingskapsler fortsatt opp etter en avvisning? CNIL kan kontrollere dette teknisk.
4. Kan en besøkende ombestemme seg når som helst?
5. Er ordlyd og design nøytrale, uten visuelle triks som presser mot godkjenning?

En praktisk gjennomgangsrutine

Åpne nettstedet i en ren nettleserprofil med fransk IP eller regioninnstilling, avvis alt og inspiser lagring og nettverksforespørsler. Godta deretter bare ett formål og gjenta. Hvis sporere lastes etter en avvisning, skyldes problemet nesten alltid en hardkodet tagg utenfor samtykkeverktøyet ditt. Rett det først, for det er den typen problem en tilsynsmyndighet kan gjenskape på få minutter.

Slik hjelper FlexyConsent

FlexyConsent er sertifisert av IAB Europe og IAB Canada, er en Google-sertifisert CMP (ID 317), støtter IAB TCF 2.4 og Google Consent Mode v2, og viser banneret på 57 språk, blant annet fransk. Det dekker EU/EØS og Storbritannia, slik at ett oppsett kan betjene franske besøkende sammen med resten av publikummet ditt.

Viktigste poenger

• CNIL forventer at avvisning er like enkelt som godkjenning, uten samtykke ved rulling eller fortsatt surfing.
• Valgene bør være detaljerte, med navngitte tredjeparter og en enkel måte å trekke tilbake samtykket på.
• Spør på nytt etter en begrenset periode; CNIL peker på omtrent seks måneder.
• Unntaket for målgruppemåling er snevert, så verifiser analyseoppsettet i stedet for å anta.
• Test ved å avvise alt og sjekke at sporerne virkelig forblir av.