De ce contează CNIL dincolo de Franța

Autoritatea franceză pentru protecția datelor, CNIL, este una dintre cele mai active autorități care aplică regulile privind cookie-urile în Europa. Ghidurile sale au influențat modul în care mulți editori din UE își proiectează bannerele, iar deciziile sale sunt urmărite îndeaproape de echipele de operațiuni publicitare și de cele juridice. Dacă ai vizitatori din Franța sau pur și simplu vrei un reper practic pentru așteptările unui regulator strict, merită să înțelegi în detaliu abordarea CNIL.

Temeiul juridic

Regulile franceze privind cookie-urile combină două straturi. Regulile ePrivacy, transpuse în dreptul francez, cer consimțământ înainte ca informații să fie stocate pe dispozitivul vizitatorului sau citite de pe acesta, cu excepția cazului în care se aplică o derogare. GDPR definește apoi ce înseamnă un consimțământ valid: liber, specific, informat și lipsit de ambiguitate. CNIL a publicat în septembrie 2020 ghiduri actualizate și o recomandare și a oferit organizațiilor o perioadă de tranziție înainte ca aplicarea să înceapă în primăvara lui 2021.

Așteptări de bază

• Refuzul trebuie să fie la fel de ușor ca acceptarea. Dacă primul nivel oferă un buton de acceptare, trebuie să ofere și o modalitate comparabil de ușoară de a refuza, de exemplu un buton de respingere clar vizibil, la același nivel.
• Fără consimțământ prin continuarea navigării. Derularea paginii, un clic în altă parte sau simpla continuare a utilizării site-ului nu reprezintă o alegere validă.
• Fără casete bifate în prealabil. Scopurile trebuie să fie dezactivate până când vizitatorul le activează.
• Alegeri specifice, granulare. Vizitatorii ar trebui să poată alege în funcție de scop, cu descrieri în limbaj simplu.
• Terți numiți. Cei ale căror cookie-uri vor fi plasate ar trebui să poată fi identificați din banner sau din al doilea strat al acestuia.
• Retragerea la fel de ușoară ca acordarea consimțământului. O abordare obișnuită este un link sau o pictogramă permanentă care redeschide opțiunile.

Durata consimțământului și a cookie-urilor

CNIL recomandă ca alegerea înregistrată, fie acceptare, fie refuz, să fie păstrată o perioadă limitată, iar vizitatorii să fie întrebați din nou după aproximativ șase luni. Separat, a recomandat limite pentru durata de viață a anumitor identificatori de urmărire. Consideră acestea așteptări declarate ale regulatorului și verifică textul actual al recomandării când îți stabilești propriile durate, deoarece ghidurile pot fi revizuite.

Excepția pentru măsurarea audienței

CNIL a stabilit condiții în care unele instrumente de analiză pot funcționa fără consimțământ. Instrumentul trebuie folosit în scopuri strict limitate, cum ar fi măsurarea audienței și a performanței propriului site, și nu trebuie să combine datele cu alte prelucrări și nici să urmărească utilizatorii între site-uri. Multe configurații populare de analiză nu îndeplinesc implicit aceste condiții. Nu presupune că furnizorul tău de analiză se califică; verifică-i configurația în raport cu criteriile publicate de CNIL.

Ce urmărește CNIL în practică

1. Afișează bannerul o opțiune de refuz la același nivel cu acceptarea?
2. Sunt cookie-urile și scripturile neesențiale reținute efectiv până la existența consimțământului?
3. Apar cookie-uri de urmărire după un refuz? CNIL poate verifica asta tehnic.
4. Poate un vizitator să se răzgândească oricând?
5. Sunt formularea și designul neutre, fără trucuri vizuale care împing spre acceptare?

O rutină practică de verificare

Deschide site-ul într-un profil de browser curat, cu o adresă IP sau o setare de regiune din Franța, refuză tot și inspectează stocarea și cererile de rețea. Apoi acceptă un singur scop și repetă. Dacă trackerele se încarcă după un refuz, problema este aproape întotdeauna o etichetă introdusă direct în cod, în afara instrumentului tău de consimțământ. Remediază asta mai întâi, deoarece este genul de problemă pe care un regulator o poate reproduce în câteva minute.

Cum ajută FlexyConsent

FlexyConsent este certificat de IAB Europe și IAB Canada, este un CMP certificat Google (ID 317), acceptă IAB TCF 2.4 și Google Consent Mode v2 și afișează bannerul în 57 de limbi, inclusiv franceza. Acoperă UE/SEE și Regatul Unit, astfel încât o singură configurare poate deservi vizitatorii francezi alături de restul audienței tale.

Concluzii principale

• CNIL se așteaptă ca refuzul să fie la fel de ușor ca acceptarea, fără consimțământ prin derulare sau continuarea navigării.
• Alegerile ar trebui să fie granulare, cu terți numiți și o modalitate ușoară de retragere.
• Întreabă din nou după o perioadă limitată; CNIL indică aproximativ șase luni.
• Excepția pentru măsurarea audienței este îngustă, deci verifică-ți configurația de analiză în loc să o presupui.
• Testează refuzând tot și verificând că trackerele rămân cu adevărat oprite.