Почему CNIL важен не только для Франции

Французский орган по защите данных CNIL — один из самых активных контролёров соблюдения правил о cookie в Европе. Его рекомендации повлияли на то, как многие издатели по всему ЕС проектируют свои баннеры, а его решения пристально изучают команды рекламных операций и юристы. Если у вас есть посетители из Франции или вам просто нужен практический ориентир по ожиданиям строгого регулятора, подход CNIL стоит изучить подробно.

Правовая основа

Французские правила о cookie объединяют два уровня. Правила ePrivacy, перенесённые во французское право, требуют получить согласие, прежде чем информация будет сохранена на устройстве посетителя или считана с него, если не применяется исключение. GDPR затем определяет, что такое действительное согласие: свободное, конкретное, информированное и однозначное. CNIL опубликовал обновлённые рекомендации в сентябре 2020 года и предоставил организациям переходный период до начала контроля весной 2021 года.

Основные ожидания

• Отказ должен быть таким же простым, как согласие. Если на первом уровне есть кнопка принятия, должен быть столь же простой способ отказаться, например хорошо заметная кнопка отказа на том же уровне.
• Никакого согласия через продолжение просмотра. Прокрутка, клик в другом месте страницы или простое продолжение использования сайта не являются действительным выбором.
• Никаких заранее отмеченных флажков. Цели должны быть выключены, пока посетитель их не включит.
• Конкретный, детализированный выбор. Посетители должны иметь возможность выбирать по целям, с описаниями простым языком.
• Названные третьи стороны. Тех, чьи cookie будут установлены, должно быть можно определить по баннеру или его второму уровню.
• Отзыв так же прост, как согласие. Обычный подход — постоянная ссылка или иконка, заново открывающая настройки выбора.

Срок согласия и срок действия cookie

CNIL рекомендует хранить записанный выбор, будь то принятие или отказ, ограниченное время и спрашивать посетителей снова примерно через шесть месяцев. Отдельно он рекомендовал ограничения на срок жизни некоторых идентификаторов отслеживания. Рассматривайте это как заявленные ожидания регулятора и проверяйте актуальный текст рекомендации, когда задаёте собственные сроки, поскольку рекомендации могут пересматриваться.

Исключение для измерения аудитории

CNIL определил условия, при которых некоторые инструменты аналитики могут работать без согласия. Инструмент должен использоваться для строго ограниченных целей, таких как измерение аудитории и эффективности собственного сайта, и не должен объединять данные с другой обработкой или отслеживать пользователей между сайтами. Многие популярные конфигурации аналитики по умолчанию этим условиям не отвечают. Не считайте само собой разумеющимся, что ваш поставщик аналитики подходит; проверьте его конфигурацию по опубликованным критериям CNIL.

На что CNIL обращает внимание на практике

1. Показывает ли баннер вариант отказа на том же уровне, что и принятие?
2. Действительно ли необязательные cookie и скрипты удерживаются до получения согласия?
3. Появляются ли после отказа cookie отслеживания? CNIL может проверить это технически.
4. Может ли посетитель передумать в любой момент?
5. Нейтральны ли формулировки и дизайн, нет ли визуальных уловок, подталкивающих к согласию?

Практическая процедура проверки

Откройте сайт в чистом профиле браузера с французским IP-адресом или региональной настройкой, откажитесь от всего и изучите хранилище и сетевые запросы. Затем примите только одну цель и повторите. Если трекеры загружаются после отказа, проблема почти всегда в жёстко прописанном теге вне вашего инструмента согласия. Исправьте это в первую очередь, потому что регулятор может воспроизвести такую проблему за считаные минуты.

Чем помогает FlexyConsent

FlexyConsent сертифицирована IAB Europe и IAB Canada, является CMP, сертифицированной Google (ID 317), поддерживает IAB TCF 2.4 и Google Consent Mode v2 и показывает баннер на 57 языках, включая французский. Она охватывает ЕС/ЕЭЗ и Великобританию, поэтому одна настройка может обслуживать французских посетителей наряду с остальной аудиторией.

Главные выводы

• CNIL ожидает, что отказ будет так же прост, как согласие, и не признаёт согласием прокрутку или продолжение просмотра.
• Выбор должен быть детализированным, с названными третьими сторонами и простым способом отзыва.
• Спрашивайте снова через ограниченное время; CNIL указывает примерно на шесть месяцев.
• Исключение для измерения аудитории узкое, поэтому проверяйте настройку аналитики, а не предполагайте.
• Тестируйте, отказавшись от всего и проверяя, что трекеры действительно остаются выключенными.