Zakaj je CNIL pomemben tudi zunaj Francije

Francoski organ za varstvo podatkov, CNIL, je eden najaktivnejših izvrševalcev pravil o piškotkih v Evropi. Njegove smernice so oblikovale, kako številni založniki v EU zasnujejo svoje pasice, njegove odločitve pa pozorno spremljajo ekipe za ad-ops in pravne službe. Če strežete obiskovalcem iz Francije ali pa le iščete praktično izhodišče za pričakovanja strogega regulatorja, se splača pristop CNIL podrobno razumeti.

Pravna podlaga

Francoska pravila o piškotkih združujejo dve ravni. Pravila ePrivacy, prenesena v francosko pravo, zahtevajo soglasje, preden se informacije shranijo v obiskovalčevo napravo ali preberejo iz nje, razen če velja izjema. GDPR nato opredeli, kaj pomeni veljavno soglasje: prostovoljno, specifično, informirano in nedvoumno. CNIL je posodobljene smernice in priporočilo objavil septembra 2020 ter organizacijam pred začetkom izvrševanja spomladi 2021 dal prehodno obdobje.

Temeljna pričakovanja

• Zavrnitev mora biti enako preprosta kot sprejem. Če prva raven ponuja gumb za sprejem, mora ponujati primerljivo preprost način zavrnitve, na primer jasno viden gumb za zavrnitev na isti ravni.
• Brez soglasja z nadaljnjim brskanjem. Drsenje, klikanje drugje na strani ali preprosto nadaljevanje uporabe spletnega mesta ni veljavna izbira.
• Brez vnaprej označenih polj. Nameni morajo biti izklopljeni, dokler jih obiskovalec ne vklopi.
• Specifične, podrobne izbire. Obiskovalci bi morali imeti možnost izbire po namenih, z opisi v preprostem jeziku.
• Imenovane tretje osebe. Tiste, katerih piškotki bodo nastavljeni, bi moralo biti mogoče prepoznati iz pasice ali njene druge ravni.
• Preklic enako preprost kot podelitev soglasja. Običajen pristop je stalna povezava ali ikona, ki izbire ponovno odpre.

Trajanje soglasja in piškotkov

CNIL priporoča, da se zabeležena izbira, bodisi sprejem bodisi zavrnitev, hrani omejeno obdobje in da se obiskovalce ponovno vpraša približno po šestih mesecih. Ločeno je priporočil omejitve, kako dolgo smejo obstajati nekateri sledilni identifikatorji. To obravnavajte kot navedena pričakovanja regulatorja in pri določanju lastnih rokov preverite aktualno besedilo priporočila, saj se smernice lahko spremenijo.

Izjema za merjenje obiska

CNIL je določil pogoje, pod katerimi lahko nekatera analitična orodja delujejo brez soglasja. Orodje mora služiti strogo omejenim namenom, kot je merjenje obiska in učinkovitosti lastnega spletnega mesta, in ne sme združevati podatkov z drugo obdelavo ali spremljati uporabnikov prek različnih spletnih mest. Mnoge priljubljene konfiguracije analitike teh pogojev privzeto ne izpolnjujejo. Ne domnevajte, da vaš ponudnik analitike ustreza; njegovo konfiguracijo preverite glede na objavljena merila CNIL.

Na kaj CNIL pazi v praksi

1. Ali pasica prikazuje možnost zavrnitve na isti ravni kot sprejem?
2. Ali so nebistveni piškotki in skripti res zadržani, dokler ni soglasja?
3. Ali se po zavrnitvi še vedno pojavljajo sledilni piškotki? CNIL to lahko preveri tehnično.
4. Ali si lahko obiskovalec kadar koli premisli?
5. Ali sta besedilo in oblikovanje nevtralna, brez vizualnih trikov, ki silijo k sprejemu?

Praktična rutina pregleda

Odprite spletno mesto v čistem profilu brskalnika s francoskim IP-naslovom ali nastavitvijo regije, zavrnite vse ter preglejte shrambo in omrežne zahteve. Nato sprejmite samo en namen in ponovite. Če se sledilniki naložijo po zavrnitvi, je težava skoraj vedno trdo kodirana oznaka zunaj vašega orodja za soglasja. To popravite najprej, saj je prav takšno težavo regulator zmožen reproducirati v nekaj minutah.

Kako pomaga FlexyConsent

FlexyConsent ima certifikat IAB Europe in IAB Canada, je CMP, certificiran pri Googlu (ID 317), podpira IAB TCF 2.4 in Google Consent Mode v2 ter prikazuje pasico v 57 jezikih, vključno s francoščino. Pokriva EU/EGP in Združeno kraljestvo, tako da lahko ena nastavitev služi francoskim obiskovalcem skupaj z ostalim občinstvom.

Ključne ugotovitve

• CNIL pričakuje, da bo zavrnitev enako preprosta kot sprejem, brez soglasja z drsenjem ali nadaljnjim brskanjem.
• Izbire naj bodo podrobne, z imenovanimi tretjimi osebami in preprostim načinom preklica.
• Po omejenem času vprašajte znova; CNIL navaja približno šest mesecev.
• Izjema za merjenje obiska je ozka, zato svojo analitiko preverite, namesto da jo domnevate.
• Testirajte tako, da zavrnete vse in preverite, ali sledilniki res ostanejo izklopljeni.