Varför CNIL spelar roll utanför Frankrike

Frankrikes dataskyddsmyndighet, CNIL, är en av de mest aktiva tillsynsmyndigheterna för cookieregler i Europa. Dess vägledning har påverkat hur många utgivare i hela EU utformar sina bannrar, och dess beslut följs noga av ad-ops- och juridiska team. Om du har besökare i Frankrike, eller bara vill ha en praktisk referens för vad en strikt tillsynsmyndighet förväntar sig, är CNIL:s tillvägagångssätt värt att förstå i detalj.

Rättslig grund

De franska cookiereglerna kombinerar två lager. ePrivacy-reglerna, införda i fransk rätt, kräver samtycke innan information lagras på eller läses från en besökares enhet, om inte ett undantag gäller. GDPR definierar sedan vad giltigt samtycke är: frivilligt, specifikt, informerat och otvetydigt. CNIL publicerade uppdaterade riktlinjer och en rekommendation i september 2020 och gav organisationer en övergångsperiod innan tillsynen började våren 2021.

Grundläggande förväntningar

• Att avvisa ska vara lika enkelt som att godkänna. Om det första lagret har en godkänn-knapp bör det erbjuda ett jämförbart enkelt sätt att avvisa, till exempel en tydligt synlig avvisa-knapp på samma nivå.
• Inget samtycke genom fortsatt surfande. Att scrolla, klicka någon annanstans på sidan eller bara fortsätta använda webbplatsen är inte ett giltigt val.
• Inga förbockade rutor. Ändamål ska vara avstängda tills besökaren slår på dem.
• Specifika, detaljerade val. Besökare bör kunna välja per ändamål, med beskrivningar på lättbegripligt språk.
• Namngivna tredje parter. De vars cookies kommer att sättas bör kunna identifieras från bannern eller dess andra lager.
• Återkallande lika enkelt som att lämna samtycke. En permanent länk eller ikon som öppnar valen igen är det vanliga upplägget.

Samtyckets livslängd och cookies varaktighet

CNIL rekommenderar att ett registrerat val, oavsett om det är godkännande eller avvisning, sparas under en begränsad tid och att besökare tillfrågas igen efter ungefär sex månader. Separat har den rekommenderat gränser för hur länge vissa spårningsidentifierare bör leva. Betrakta detta som tillsynsmyndighetens uttalade förväntningar, och kontrollera den aktuella lydelsen i rekommendationen när du sätter dina egna tider, eftersom vägledning kan revideras.

Undantaget för publikmätning

CNIL har angett villkor under vilka vissa analysverktyg kan köras utan samtycke. Verktyget måste användas för strikt begränsade ändamål, som att mäta publik och prestanda på din egen webbplats, och får inte kombinera data med annan behandling eller spåra användare över webbplatser. Många populära analysupplägg uppfyller inte dessa villkor som standard. Anta inte att din analysleverantör gör det; verifiera dess konfiguration mot CNIL:s publicerade kriterier.

Vad CNIL tittar efter i praktiken

1. Visar bannern ett avvisa-alternativ på samma nivå som godkänn?
2. Hålls icke-nödvändiga cookies och skript faktiskt tillbaka tills samtycke finns?
3. Dyker spårningscookies fortfarande upp efter ett avvisande? CNIL kan kontrollera detta tekniskt.
4. Kan en besökare ändra sig när som helst?
5. Är formulering och design neutrala, utan visuella knep som pressar mot godkännande?

En praktisk granskningsrutin

Öppna din webbplats i en ren webbläsarprofil med fransk IP eller regioninställning, avvisa allt och inspektera lagring och nätverksanrop. Godkänn sedan bara ett ändamål och upprepa. Om spårare laddas efter ett avvisande beror problemet nästan alltid på en hårdkodad tagg utanför ditt samtyckesverktyg. Åtgärda det först, eftersom det är den sortens problem en tillsynsmyndighet kan återskapa på några minuter.

Så hjälper FlexyConsent

FlexyConsent är certifierat av IAB Europe och IAB Canada, är en Google-certifierad CMP (ID 317), stöder IAB TCF 2.4 och Google Consent Mode v2 och visar bannern på 57 språk, bland annat franska. Det täcker EU/EES och Storbritannien, så en enda konfiguration kan betjäna franska besökare tillsammans med resten av din publik.

Viktigaste punkter

• CNIL förväntar sig att avvisande är lika enkelt som godkännande, utan samtycke genom scrollning eller fortsatt surfande.
• Valen bör vara detaljerade, med namngivna tredje parter och ett enkelt sätt att återkalla.
• Fråga igen efter en begränsad tid; CNIL pekar på ungefär sex månader.
• Undantaget för publikmätning är snävt, så verifiera din analysuppsättning i stället för att anta.
• Testa genom att avvisa allt och kontrollera att spårarna verkligen förblir avstängda.