Prečo na CNIL záleží aj mimo Francúzska

Francúzsky úrad na ochranu údajov, CNIL, patrí medzi najaktívnejších presadzovateľov pravidiel o súboroch cookie v Európe. Jeho pokyny ovplyvnili, ako mnohí vydavatelia v EÚ navrhujú svoje bannery, a jeho rozhodnutia pozorne sledujú ad-ops aj právne tímy. Ak obsluhujete návštevníkov z Francúzska, alebo len hľadáte praktický vzor očakávaní prísneho regulátora, oplatí sa prístupu CNIL porozumieť do detailu.

Právny základ

Francúzske pravidlá pre cookies spájajú dve vrstvy. Pravidlá ePrivacy, prenesené do francúzskeho práva, vyžadujú súhlas pred uložením informácií do zariadenia návštevníka alebo ich čítaním, pokiaľ sa neuplatní výnimka. GDPR potom vymedzuje, čo znamená platný súhlas: slobodný, konkrétny, informovaný a jednoznačný. CNIL zverejnil aktualizované pokyny a odporúčanie v septembri 2020 a pred začatím presadzovania na jar 2021 poskytol organizáciám prechodné obdobie.

Základné očakávania

• Odmietnutie musí byť rovnako jednoduché ako prijatie. Ak prvá vrstva ponúka tlačidlo prijať, mala by ponúkať porovnateľne jednoduchý spôsob odmietnutia, napríklad jasne viditeľné tlačidlo odmietnuť na rovnakej úrovni.
• Žiadny súhlas ďalším prehliadaním. Posúvanie, klikanie inde na stránke alebo jednoduché pokračovanie v používaní webu nie je platná voľba.
• Žiadne vopred zaškrtnuté polia. Účely musia byť vypnuté, kým ich návštevník nezapne.
• Konkrétne, podrobné voľby. Návštevníci by mali mať možnosť vyberať podľa účelu, s popismi zrozumiteľným jazykom.
• Pomenované tretie strany. Subjekty, ktorých cookies sa nastavia, by malo byť možné určiť z banneru alebo jeho druhej vrstvy.
• Odvolanie rovnako jednoduché ako udelenie súhlasu. Obvyklým riešením je trvalý odkaz alebo ikona, ktorá voľby znova otvorí.

Platnosť súhlasu a trvanie cookies

CNIL odporúča, aby sa zaznamenaná voľba, či už prijatie, alebo odmietnutie, uchovávala obmedzený čas a aby sa návštevníci znova pýtali približne po šiestich mesiacoch. Samostatne odporučil limity toho, ako dlho môžu niektoré sledovacie identifikátory existovať. Berte to ako deklarované očakávania regulátora a pri stanovení vlastných dôb skontrolujte aktuálne znenie odporúčania, pretože pokyny sa môžu upraviť.

Výnimka pre meranie návštevnosti

CNIL stanovil podmienky, za ktorých niektoré analytické nástroje môžu bežať bez súhlasu. Nástroj musí slúžiť prísne obmedzeným účelom, napríklad meraniu návštevnosti a výkonu vlastného webu, a nesmie kombinovať dáta s iným spracúvaním ani sledovať používateľov naprieč webmi. Mnohé obľúbené konfigurácie analytiky tieto podmienky v predvolenom stave nespĺňajú. Nepredpokladajte, že váš dodávateľ analytiky vyhovuje; overte jeho konfiguráciu podľa zverejnených kritérií CNIL.

Na čo sa CNIL v praxi pozerá

1. Ponúka banner možnosť odmietnutia na rovnakej úrovni ako prijatie?
2. Sú nepodstatné cookies a skripty skutočne zadržané, kým nie je súhlas?
3. Objavujú sa po odmietnutí stále sledovacie cookies? CNIL to vie overiť technicky.
4. Môže návštevník kedykoľvek zmeniť názor?
5. Sú formulácie a dizajn neutrálne, bez vizuálnych trikov tlačiacich k prijatiu?

Praktická kontrolná rutina

Otvorte web v čistom profile prehliadača s francúzskou IP adresou alebo nastavením regiónu, odmietnite všetko a skontrolujte úložisko a sieťové požiadavky. Potom prijmite iba jeden účel a postup zopakujte. Ak sa trackery načítavajú po odmietnutí, problémom je takmer vždy napevno zapísaná značka mimo vášho nástroja na správu súhlasu. Opravte to ako prvé, pretože práve takýto problém dokáže regulátor reprodukovať za pár minút.

Ako pomáha FlexyConsent

FlexyConsent má certifikáciu IAB Europe a IAB Canada, je CMP certifikovaným Googlom (ID 317), podporuje IAB TCF 2.4 a Google Consent Mode v2 a zobrazuje banner v 57 jazykoch, vrátane francúzštiny. Pokrýva EÚ/EHP a Spojené kráľovstvo, takže jedno nastavenie môže obslúžiť francúzskych návštevníkov spolu so zvyškom publika.

Kľúčové poznatky

• CNIL očakáva, že odmietnutie bude rovnako jednoduché ako prijatie, bez súhlasu posúvaním alebo ďalším prehliadaním.
• Voľby by mali byť podrobné, s pomenovanými tretími stranami a jednoduchým spôsobom odvolania.
• Pýtajte sa znova po obmedzenom čase; CNIL uvádza približne šesť mesiacov.
• Výnimka pre meranie návštevnosti je úzka, preto svoju analytiku overte, namiesto aby ste ju predpokladali.
• Testujte odmietnutím všetkého a kontrolou, že trackery naozaj zostávajú vypnuté.