Por que a CNIL importa além da França

A autoridade de proteção de dados da França, a CNIL, é uma das fiscalizadoras mais ativas das regras de cookies na Europa. Suas orientações moldaram a forma como muitos publishers da UE projetam seus banners, e suas decisões são acompanhadas de perto por equipes de ad-ops e jurídicas. Se você atende visitantes na França, ou simplesmente quer uma referência prática das expectativas de um regulador rigoroso, vale entender a abordagem da CNIL em detalhe.

A base legal

As regras francesas de cookies combinam duas camadas. As regras de ePrivacy, transpostas para a lei francesa, exigem consentimento antes de armazenar ou ler informações no dispositivo do visitante, a menos que se aplique uma isenção. O GDPR define então o que é um consentimento válido: livre, específico, informado e inequívoco. A CNIL publicou diretrizes atualizadas e uma recomendação em setembro de 2020 e concedeu às organizações um período de transição antes do início da fiscalização, na primavera de 2021.

Expectativas centrais

• Recusar deve ser tão fácil quanto aceitar. Se a primeira camada oferece um botão de aceitar, deve oferecer uma forma comparavelmente fácil de recusar, como um botão de rejeitar bem visível no mesmo nível.
• Nenhum consentimento por navegação contínua. Rolar a página, clicar em outro lugar ou simplesmente continuar usando o site não é uma escolha válida.
• Nenhuma caixa pré-marcada. As finalidades devem estar desativadas até que o visitante as ative.
• Escolhas específicas e granulares. Os visitantes devem poder escolher por finalidade, com descrições em linguagem simples.
• Terceiros identificados. Quem vai definir cookies deve poder ser identificado no banner ou em sua segunda camada.
• Retirada tão fácil quanto dar o consentimento. Um link ou ícone persistente que reabre as escolhas é a abordagem habitual.

Validade do consentimento e duração dos cookies

A CNIL recomenda que uma escolha registrada, seja aceitação ou recusa, seja mantida por um período limitado e que os visitantes sejam consultados novamente após cerca de seis meses. Separadamente, ela recomendou limites para o tempo de vida de certos identificadores de rastreamento. Trate isso como as expectativas declaradas do regulador e consulte o texto atual da recomendação ao definir suas próprias durações, pois as orientações podem ser revisadas.

A isenção de medição de audiência

A CNIL estabeleceu condições em que algumas ferramentas de análise podem funcionar sem consentimento. A ferramenta deve ser usada para finalidades estritamente limitadas, como medir a audiência e o desempenho do seu próprio site, e não deve combinar dados com outros tratamentos nem rastrear usuários entre sites. Muitas configurações populares de análise não atendem a essas condições por padrão. Não presuma que seu fornecedor de análise se qualifica; verifique a configuração dele em relação aos critérios publicados pela CNIL.

O que a CNIL verifica na prática

1. O banner mostra uma opção de recusar no mesmo nível que a de aceitar?
2. Cookies e scripts não essenciais ficam realmente retidos até existir consentimento?
3. Depois de uma recusa, cookies de rastreamento ainda aparecem? A CNIL pode verificar isso tecnicamente.
4. O visitante pode mudar de ideia a qualquer momento?
5. O texto e o design são neutros, sem artifícios visuais que empurrem para a aceitação?

Uma rotina prática de revisão

Abra seu site em um perfil de navegador limpo com um IP ou configuração de região da França, recuse tudo e inspecione o armazenamento e as requisições de rede. Depois aceite apenas uma finalidade e repita. Se rastreadores carregam após uma recusa, o problema quase sempre é uma tag fixa no código, fora da sua ferramenta de consentimento. Corrija isso primeiro, porque é o tipo de problema que um regulador consegue reproduzir em minutos.

Como o FlexyConsent ajuda

O FlexyConsent é certificado pela IAB Europe e pela IAB Canada, é uma CMP certificada pelo Google (ID 317), oferece suporte ao IAB TCF 2.4 e ao Google Consent Mode v2 e exibe o banner em 57 idiomas, incluindo o francês. Cobre a UE/EEE e o Reino Unido, de modo que uma única configuração pode atender visitantes franceses junto com o restante do seu público.

Principais conclusões

• A CNIL espera que recusar seja tão fácil quanto aceitar, sem consentimento por rolagem ou navegação contínua.
• As escolhas devem ser granulares, com terceiros identificados e uma forma fácil de retirar o consentimento.
• Pergunte novamente após um período limitado; a CNIL aponta para cerca de seis meses.
• A isenção de medição de audiência é restrita, então verifique sua configuração de análise em vez de presumir.
• Teste recusando tudo e conferindo se os rastreadores realmente permanecem desativados.