法国 CNIL 的 Cookie 指南：发布商需要了解什么
为什么 CNIL 在法国之外也很重要
法国数据保护机构 CNIL 是欧洲在执行 Cookie 规则方面最活跃的机构之一。它的指引塑造了欧盟各地许多发布商设计横幅的方式，其决定也被广告运营和法务团队密切关注。如果你为法国访客提供服务，或者只是想要一份关于严格监管机构期望的实用参考，那么详细了解 CNIL 的做法是值得的。
法律依据
法国的 Cookie 规则由两层组成。转化为法国法律的 ePrivacy 规则要求，在向访客设备存储信息或从中读取信息之前须获得同意，除非适用豁免。随后 GDPR 定义了有效同意的含义：自由给出、具体、知情且明确。CNIL 于 2020 年 9 月发布了更新的指南和建议，并在 2021 年春季开始执法之前给予了各组织一个过渡期。
核心期望
- 拒绝必须与接受同样容易。如果第一层提供了接受按钮，就应提供同样容易的拒绝方式，例如在同一层级上放置清晰可见的拒绝按钮。
- 不能通过继续浏览来同意。滚动、点击页面其他位置或仅仅继续使用网站，都不是有效的选择。
- 不得预先勾选。在访客开启之前，各目的必须保持关闭。
- 具体、细化的选择。访客应当能够按目的进行选择，并附有通俗语言的说明。
- 列明第三方。将设置 Cookie 的各方应能从横幅或其第二层中识别出来。
- 撤回与给予同意同样容易。通常的做法是提供一个能重新打开选项的持久链接或图标。
同意有效期与 Cookie 时长
CNIL 建议，已记录的选择（无论是接受还是拒绝）应保留一段有限的时间，并在大约六个月后再次询问访客。另外，它还建议对某些追踪标识符的存续时间设定上限。请将这些视为监管机构明确表达的期望，并在设定自己的期限时查阅该建议的最新文本，因为指引可能会修订。
受众衡量豁免
CNIL 规定了某些分析工具可以不经同意而运行的条件。该工具必须用于严格受限的目的，例如衡量你自己网站的受众和性能，且不得将数据与其他处理合并，也不得跨站追踪用户。许多流行的分析配置在默认情况下并不满足这些条件。不要假定你的分析供应商符合条件；请对照 CNIL 公布的标准核实其配置。
CNIL 在实践中检查什么
- 横幅是否在与接受相同的层级显示拒绝选项？
- 在获得同意之前，非必要的 Cookie 和脚本是否真的被拦住？
- 拒绝之后，追踪 Cookie 是否仍然出现？CNIL 可以从技术上检查这一点。
- 访客是否可以随时改变主意？
- 措辞和设计是否中立，没有把人推向接受的视觉花招？
一套实用的检查流程
在干净的浏览器配置文件中，使用法国 IP 或区域设置打开你的网站，拒绝一切，然后检查存储和网络请求。接着只接受一个目的，再重复一遍。如果拒绝之后追踪器仍然加载，问题几乎总是出在同意工具之外硬编码的标签上。请先修复它，因为这是监管机构几分钟内就能复现的那类问题。
FlexyConsent 如何提供帮助
FlexyConsent 获得 IAB Europe 和 IAB Canada 的认证，是经 Google 认证的 CMP（ID 317），支持 IAB TCF 2.4 和 Google Consent Mode v2，横幅提供 57 种语言，其中包括法语。它覆盖欧盟/欧洲经济区和英国，因此一套设置即可同时服务法国访客和你其余的受众。
要点总结
- CNIL 期望拒绝与接受同样容易，不得通过滚动或继续浏览来同意。
- 选择应当细化，列明第三方，并提供简便的撤回方式。
- 在有限期限后再次询问；CNIL 指向大约六个月。
- 受众衡量豁免范围狭窄，因此要核实你的分析设置，而不是想当然。
- 通过拒绝一切并检查追踪器是否真的保持关闭来进行测试。