Dlaczego CNIL ma znaczenie także poza Francją

Francuski organ ochrony danych, CNIL, to jeden z najaktywniejszych w Europie egzekutorów zasad dotyczących plików cookie. Jego wytyczne wpłynęły na sposób projektowania banerów przez wielu wydawców w UE, a jego decyzje są uważnie śledzone przez zespoły ad-ops i działy prawne. Jeśli obsługujesz odwiedzających z Francji albo po prostu szukasz praktycznego punktu odniesienia dla oczekiwań surowego regulatora, warto dobrze poznać podejście CNIL.

Podstawa prawna

Francuskie zasady dotyczące plików cookie łączą dwie warstwy. Przepisy ePrivacy, przeniesione do prawa francuskiego, wymagają zgody przed zapisaniem informacji na urządzeniu odwiedzającego lub odczytaniem ich z niego, chyba że zastosowanie ma wyjątek. RODO określa następnie, co oznacza ważna zgoda: dobrowolna, konkretna, świadoma i jednoznaczna. CNIL opublikował zaktualizowane wytyczne i zalecenie we wrześniu 2020 r. i dał organizacjom okres przejściowy, zanim wiosną 2021 r. rozpoczęto egzekwowanie.

Podstawowe oczekiwania

• Odmowa musi być równie łatwa jak akceptacja. Jeśli pierwsza warstwa oferuje przycisk akceptacji, powinna oferować porównywalnie prosty sposób odmowy, na przykład wyraźnie widoczny przycisk odrzucenia na tym samym poziomie.
• Brak zgody przez dalsze przeglądanie. Przewijanie, klikanie w innym miejscu strony czy samo korzystanie z witryny nie jest ważnym wyborem.
• Brak zaznaczonych z góry pól. Cele muszą być wyłączone, dopóki odwiedzający ich nie włączy.
• Konkretne, szczegółowe wybory. Odwiedzający powinni móc wybierać według celów, z opisami w prostym języku.
• Wskazane podmioty trzecie. Osoby, których pliki cookie zostaną zapisane, powinny być możliwe do zidentyfikowania w banerze lub jego drugiej warstwie.
• Wycofanie zgody równie łatwe jak jej udzielenie. Zwykle stosuje się stały link lub ikonę, która ponownie otwiera wybory.

Okres ważności zgody i czas życia plików cookie

CNIL zaleca, aby zapisany wybór, zarówno akceptację, jak i odmowę, przechowywać przez ograniczony czas i ponownie pytać odwiedzających mniej więcej po sześciu miesiącach. Osobno zalecił limity tego, jak długo mogą istnieć niektóre identyfikatory śledzące. Traktuj to jako deklarowane oczekiwania regulatora i sprawdź aktualne brzmienie zalecenia, ustalając własne okresy, ponieważ wytyczne mogą być zmieniane.

Wyłączenie dla pomiaru oglądalności

CNIL określił warunki, w których niektóre narzędzia analityczne mogą działać bez zgody. Narzędzie musi służyć ściśle ograniczonym celom, takim jak pomiar oglądalności i wydajności własnej witryny, i nie może łączyć danych z innym przetwarzaniem ani śledzić użytkowników między witrynami. Wiele popularnych konfiguracji analityki domyślnie nie spełnia tych warunków. Nie zakładaj, że Twój dostawca analityki się kwalifikuje; sprawdź jego konfigurację względem opublikowanych kryteriów CNIL.

Na co CNIL zwraca uwagę w praktyce

1. Czy baner pokazuje opcję odmowy na tym samym poziomie co akceptację?
2. Czy zbędne pliki cookie i skrypty są faktycznie wstrzymywane do czasu uzyskania zgody?
3. Czy po odmowie nadal pojawiają się pliki cookie śledzące? CNIL może to sprawdzić technicznie.
4. Czy odwiedzający może zmienić zdanie w dowolnym momencie?
5. Czy sformułowania i projekt są neutralne, bez wizualnych sztuczek popychających do akceptacji?

Praktyczna rutyna przeglądu

Otwórz witrynę w czystym profilu przeglądarki z francuskim adresem IP lub ustawieniem regionu, odrzuć wszystko i sprawdź pamięć masową oraz żądania sieciowe. Następnie zaakceptuj tylko jeden cel i powtórz test. Jeśli mechanizmy śledzące ładują się po odmowie, problemem jest niemal zawsze znacznik zakodowany na stałe poza Twoim narzędziem do zarządzania zgodą. Napraw to najpierw, bo to właśnie ten rodzaj problemu, który regulator może odtworzyć w kilka minut.

Jak pomaga FlexyConsent

FlexyConsent ma certyfikat IAB Europe i IAB Canada, jest CMP certyfikowanym przez Google (ID 317), obsługuje IAB TCF 2.4 i Google Consent Mode v2 oraz wyświetla baner w 57 językach, w tym po francusku. Obejmuje UE/EOG i Wielką Brytanię, więc jedna konfiguracja może obsługiwać francuskich odwiedzających razem z resztą odbiorców.

Najważniejsze wnioski

• CNIL oczekuje, że odmowa będzie równie łatwa jak akceptacja, bez zgody przez przewijanie lub dalsze przeglądanie.
• Wybory powinny być szczegółowe, ze wskazanymi podmiotami trzecimi i łatwym sposobem wycofania zgody.
• Pytaj ponownie po ograniczonym czasie; CNIL wskazuje mniej więcej sześć miesięcy.
• Wyłączenie dla pomiaru oglądalności jest wąskie, więc zweryfikuj swoją analitykę zamiast zakładać.
• Testuj, odrzucając wszystko i sprawdzając, czy mechanizmy śledzące naprawdę pozostają wyłączone.