Чому CNIL важливий не лише для Франції

Французький орган із захисту даних CNIL — один із найактивніших контролерів дотримання правил щодо cookie в Європі. Його рекомендації вплинули на те, як багато видавців у всьому ЄС проєктують свої банери, а його рішення пильно вивчають команди рекламних операцій і юристи. Якщо у вас є відвідувачі з Франції або вам просто потрібен практичний орієнтир щодо очікувань суворого регулятора, підхід CNIL варто вивчити детально.

Правова основа

Французькі правила щодо cookie поєднують два рівні. Правила ePrivacy, перенесені у французьке право, вимагають отримати згоду, перш ніж інформацію буде збережено на пристрої відвідувача чи зчитано з нього, якщо не застосовується виняток. GDPR далі визначає, що таке дійсна згода: вільна, конкретна, поінформована й однозначна. CNIL опублікував оновлені рекомендації у вересні 2020 року та надав організаціям перехідний період до початку контролю навесні 2021 року.

Основні очікування

• Відмова має бути такою ж простою, як згода. Якщо на першому рівні є кнопка прийняття, має бути так само простий спосіб відмовитися, наприклад добре помітна кнопка відмови на тому самому рівні.
• Жодної згоди через продовження перегляду. Прокручування, клік в іншому місці сторінки чи просте продовження користування сайтом не є дійсним вибором.
• Жодних попередньо позначених прапорців. Цілі мають бути вимкнені, доки відвідувач їх не ввімкне.
• Конкретний, деталізований вибір. Відвідувачі мають мати змогу обирати за цілями, з описами простою мовою.
• Названі треті сторони. Тих, чиї cookie буде встановлено, має бути можливо визначити за банером або його другим рівнем.
• Відкликання так само просте, як згода. Звичайний підхід — постійне посилання чи іконка, що знову відкриває налаштування вибору.

Строк згоди та строк дії cookie

CNIL рекомендує зберігати записаний вибір, чи то прийняття, чи відмову, обмежений час і питати відвідувачів знову приблизно через шість місяців. Окремо він рекомендував обмеження строку життя певних ідентифікаторів відстеження. Розглядайте це як заявлені очікування регулятора та перевіряйте актуальний текст рекомендації, коли задаєте власні строки, адже рекомендації можуть переглядатися.

Виняток для вимірювання аудиторії

CNIL визначив умови, за яких деякі інструменти аналітики можуть працювати без згоди. Інструмент має використовуватися для строго обмежених цілей, як-от вимірювання аудиторії та ефективності власного сайту, і не повинен поєднувати дані з іншою обробкою чи відстежувати користувачів між сайтами. Багато популярних конфігурацій аналітики за замовчуванням цим умовам не відповідають. Не вважайте очевидним, що ваш постачальник аналітики підходить; перевірте його конфігурацію за опублікованими критеріями CNIL.

На що CNIL звертає увагу на практиці

1. Чи показує банер варіант відмови на тому ж рівні, що й прийняття?
2. Чи справді необов'язкові cookie та скрипти утримуються до отримання згоди?
3. Чи з'являються після відмови cookie відстеження? CNIL може перевірити це технічно.
4. Чи може відвідувач передумати в будь-який момент?
5. Чи нейтральні формулювання та дизайн, чи немає візуальних хитрощів, що підштовхують до згоди?

Практична процедура перевірки

Відкрийте сайт у чистому профілі браузера з французькою IP-адресою чи регіональним налаштуванням, відмовтеся від усього та вивчіть сховище й мережеві запити. Потім прийміть лише одну ціль і повторіть. Якщо трекери завантажуються після відмови, проблема майже завжди в жорстко прописаному тегу поза вашим інструментом згоди. Виправте це насамперед, бо регулятор може відтворити таку проблему за лічені хвилини.

Чим допомагає FlexyConsent

FlexyConsent сертифікована IAB Europe та IAB Canada, є CMP, сертифікованою Google (ID 317), підтримує IAB TCF 2.4 і Google Consent Mode v2 та показує банер 57 мовами, зокрема французькою. Вона охоплює ЄС/ЄЕП і Велику Британію, тож одне налаштування може обслуговувати французьких відвідувачів разом з рештою аудиторії.

Головні висновки

• CNIL очікує, що відмова буде так само проста, як згода, і не визнає згодою прокручування чи продовження перегляду.
• Вибір має бути деталізованим, з названими третіми сторонами та простим способом відкликання.
• Питайте знову через обмежений час; CNIL вказує приблизно на шість місяців.
• Виняток для вимірювання аудиторії вузький, тож перевіряйте налаштування аналітики, а не припускайте.
• Тестуйте, відмовившись від усього й перевіряючи, що трекери справді лишаються вимкненими.