البطاقة 16 لـ CNIL مفكَّكةً: قياس الجمهور دون موافقة في فرنسا

هذا بحث في حماية البيانات، وليس استشارة قانونية. انظر الحاشية للحصول على إخلاء المسؤولية الكامل.

الخلاصة

تُجيز CNIL الفرنسية التحليلات دون لافتة بموجب الشروط التراكمية للبطاقة 16 — موقع واحد، 3 أنواع أحداث كحد أقصى، اقتطاع IP، عمر متتبّع 13 شهراً، احتفاظ 25 شهراً، مُحيل مقتصر على المضيف، تجميع إلى أقرب 10.
انقضى الموعد النهائي في 1 يناير 2026 الآن. أُوقف برنامج التقييم التقليدي؛ ودخل نظام التقييم الذاتي حيّز التنفيذ. ينشر المزوّدون شهادات مؤرّخة؛ ويُوثّق المُشغّلون التهيئة المنشورة لديهم.
يفشل GA4 في اختبار الاستثناء — نقل عابر للحدود إلى الولايات المتحدة، تجميع بيانات عبر العملاء، معرّف دائم، ولا يقتصر على ناشر واحد. تمريره عبر sGTM لا يُعالج الأمر.
يُقدّم Statnive Live معمارية البطاقة 16 افتراضياً في وضع consent-free مع إعداد اختصاص FR؛ ويُظهر نقطة نهاية تدقيق الأحداث فحص سقف الأحداث الثلاثة لدى CNIL بنقرة واحدة.
الصياغة مهمّة — الموقف القانوني الصحيح هو «قابلة للتهيئة بحيث تستوفي استثناء قياس الجمهور لدى CNIL عند نشرها وفقاً لتقييم المصلحة المشروعة والتقييم الذاتي لدى CNIL»، وليس أبداً «معتمدة من CNIL» أو «معفاة من CNIL بصورة قطعية».

لماذا فرنسا هي الجهة التنظيمية الأكثر صداقة في الاتحاد الأوروبي للتحليلات الخالية من الكوكي

أمضت CNIL أكثر من عقد في تطوير المادة 82 من قانون 78-17 — التحويل الفرنسي لتوجيه ePrivacy — لتُصبح أكثر استثناءات الموافقة لقياس الجمهور تفصيلاً في الاتحاد الأوروبي. وحيث لا تُتيح § 25 TDDDG الألمانية أي مسار خالٍ من الموافقة للتحليلات على الإطلاق، وحيث ترفض APD البلجيكية صراحةً الاعتراف باستثناء، وحيث تمنح ICO البريطانية فقط «أولوية إنفاذ منخفضة» بدلاً من استثناء قانوني، تنشر CNIL إرشادات موجّهة للمُشغّل، وأدوات تقييم ذاتي، وقائمة دقيقة من الشروط التي — إذا استُوفيت — تُتيح للمُشغّل تشغيل التحليلات دون لافتة كوكي في فرنسا.

الاستثناء حقيقي، وضيّق، ومحدَّث حديثاً. الإرشادات الحالية لدى CNIL مُراجَعة بتاريخ 4 يوليو 2025 مع موعد نهائي للامتثال في 1 يناير 2026. يُوقَف برنامج التقييم التقليدي لدى CNIL — الطريقة السابقة لتأهيل أداة قبل 2026 — : «Au 1er Janvier 2026, cette page sera supprimée. La période de soumission à ce programme est terminée.» من ذلك التاريخ، يعتمد المُشغّلون على تقييم ذاتي موثّق، لا على إجازة مسبقة من CNIL.

هذه المقالة هي قراءة المُشغّل للبطاقة رقم 16. الشروط بنداً بنداً، التقييم الذاتي + الموعد النهائي، حيث يفشل GA4 في الاختبار، سقف الأحداث الثلاثة وكيفية تدقيقه، وكيفية تهيئة Statnive Live لاستثناء البطاقة 16.

البطاقة 16 بنداً بنداً

البطاقة رقم 16 لـ CNIL هي الاستثناء التأسيسي المؤلف من سبع نقاط. يُفعّل ملف PDF للتقييم الذاتي لدى CNIL في يوليو 2025 (outil_d_auto-evaluation_mesure_d_audience.pdf) كل نقطة كمعايير قابلة للاختبار. يجب استيفاء كل شرط تراكمي أدناه ليُطبَّق الاستثناء.

الأغراض المُجازة. نصّاً من التقييم الذاتي: «les mesures des performances ; la détection de problèmes de navigation ; l’optimisation des performances techniques ou de son ergonomie ; l’estimation de la puissance des serveurs nécessaires ; l’analyse des contenus consultés.» قياس الأداء، اكتشاف مشكلات التنقّل، تحسين الأداء التقني وبيئة الاستخدام، تقدير قدرة الخوادم المطلوبة، وتحليل التفاعل مع المحتوى. ليس الإعلان. ليس إعادة الاستهداف. ليس التنميط على مستوى المستخدم.

ثلاثة أنواع أحداث كحدّ أقصى. نصّاً: «La solution collecte au plus trois type d’évènements : • La simple présence d’une personne sur une page et les informations associée à cette page (nom, type, etc.) • L’utilisation par cette personne d’une fonctionnalité (clic bouton, clic lien) et les information associées (destination, label, etc.) • Les statistiques de temps de chargement, de défilement ou de temps passé sur une page.» — حضور الصفحة، التفاعل مع الميزة (نقرات الأزرار/الروابط)، وإحصاءات التوقيت (التحميل، التمرير، مدة البقاء). ذلك هو السقف. حدث تحوّل تجارة إلكترونية، أو حدث إرسال نموذج، أو حدث مخصّص «حمّل الكتيّب» يُحتسب كل منها نوع حدث رابع — ويتوقف النشر عن استيفاء الاستثناء.

اقتطاع IP. نصّاً: «L’IP si elle est utilisée, permet la localisation à l’échelle de la ville puis est pseudonymisée en enlevant au moins le dernier octet.» في حال استخدام IP، يجب أن تنحدر تحديد الموقع الجغرافي إلى مستوى المدينة، ويجب جعل IP مُعرّفاً مستعاراً بإزالة آخر ثمان بتات على الأقل. يُجري Statnive Live ذلك عند الاستيعاب ويتخلّص من IP الخام قبل أي كتابة دائمة.

تقليل بيانات الترويسات. نصّاً: «Si des données provenant des champs d’en-tête (« headers ») HTTP sont collectées (version de navigateur, système d’exploitation, matériel, taille d’écran), ces données sont minimisées (version majeure système d’exploitation/navigateur par exemple).» تقليل User-Agent إلى الإصدار الرئيسي للمتصفح + الإصدار الرئيسي لنظام التشغيل. «Chrome 126» — لا «Chrome/126.0.6478.127 Mobile Safari/537.36». يُحلّل Statnive Live User-Agents من جانب الخادم عند الاستيعاب ويتخلّص من السلسلة الخام.

نطاق الموقع الواحد. نصّاً: «Aucun identifiant permettant un suivi à travers plusieurs domaines n’est utilisé … Si l’identifiant utilisé est un cookie, celui-ci est déposé en interne (ou « first-party ») afin d’empêcher un suivi global de la navigation.» لا يُستخدم أي معرّف يُتيح القياس عبر نطاقات متعددة؛ نشر للطرف الأول فقط. و: «Le référent (« referrer »), s’il est collecté, se limite au domaine (« host »).» يقتصر المُحيل على المضيف فقط. يعمل تحويل المُحيل المقتصر على المضيف في Statnive Live من جانب الخادم عند الاستيعاب.

التجميع. نصّاً: «Agrégation et la présentation à la dizaine la plus proche. A défaut, une analyse est menée pour justifier du caractère anonyme des données (voir l’avis du G29 sur le sujet).» تجميع إلى أقرب 10، أو توثيق تحليل لعدم الإمكانية تحديد الهوية يستند إلى رأي WP29/EDPB في عدم تحديد الهوية.

حظر صارم. نصّاً: «Aucun suivi de la navigation d’un utilisateur unique n’est possible … Désactivation de toute fonctionnalités du type rejeu de session (« session replay ») … Toute fonctionnalité visant à croiser, dédoubler ou mesurer un taux de couverture (« reach ») unifié d’un contenu est exclue.» لا قياس لرحلة مستخدم واحد؛ تعطيل إعادة تشغيل الجلسة؛ لا وظائف هدفها الإحالة المتبادلة، أو إزالة الازدواج، أو قياس التغطية الموحّدة.

العمر والاحتفاظ. من صفحة CNIL الرئيسية: «durée de treize mois» للمتتبّعات، «durée maximale de vingt-cinq mois» للبيانات المُجمَّعة، مراجعة دورية مطلوبة. عمر المتتبّع ≤ 13 شهراً؛ احتفاظ البيانات الخام ≤ 25 شهراً. مدة TTL البالغة 750 يوماً على الملخّصات في Statnive Live (hourly_visitors، daily_pages، daily_sources) هي 24.6 شهراً — داخل السقف بهامش.

دور مزوّد الخدمة. يجب أن يعمل المزوّد «sous le régime de la sous-traitance» (معالج وفقاً للمادة 28 من GDPR). نصّاً: «Aucune mise en commun par le prestataire de données brutes de mesure d’audience provenant de plusieurs de ses clients n’est mise en œuvre» … «Aucune réutilisation des données pour le propre compte du prestataire et quelle que soit la finalité (amélioration de son service, lutte contre la fraude, etc.) n’est mise en œuvre.» لا تجميع لبيانات قياس الجمهور الخام عبر عملاء المزوّد؛ لا إعادة استخدام من جانب المزوّد لأي غرض، بما في ذلك تحسين الخدمة أو مكافحة الاحتيال.

الحق في الاعتراض. نصّاً: «Opposition disponible sous la forme d’un bouton ou lien cliquable au sein de la politique de confidentialité du site ou application visité.» زرّ أو رابط رفض قابل للنقر داخل سياسة خصوصية الموقع. يُتيح Statnive Live ذلك عبر POST /api/privacy/opt-out.

صياغة الشهادة الموصى بها. نصّاً: «D’après notre auto-évaluation, la solution XXX est conforme aux critères établis par la CNIL [mettre un lien vers la page officielle], et peut-être mise en œuvre sans requérir le consentement des utilisateurs si elle est correctement configurée.» وفقاً لتقييمنا الذاتي، يستوفي الحل XXX المعايير التي وضعتها CNIL، ويمكن نشره دون طلب موافقة المستخدمين إذا تمت تهيئته بصورة صحيحة. يجب على المزوّدين عدم وصف أداتهم بأنها «معتمدة من CNIL» أو استخدام شعار CNIL.

انتقال 1 يناير 2026 (انقضى الآن)

أُوقف برنامج التقييم لدى CNIL — الآلية السابقة لـ 2026 ليُقدّم مزوّد التحليلات أداته لتقييم CNIL ويظهر في قائمة عامة. نصّاً من إرشادات يوليو 2025: «Au 1er Janvier 2026, cette page sera supprimée. La période de soumission à ce programme est terminée.» في 1 يناير 2026 سُحبت الصفحة؛ وانتهت فترة التقديم في 2025. اكتمل الانتقال؛ ودخل نظام التقييم الذاتي حيّز التنفيذ.

ما حلّ محلّه: موقف تقييم ذاتي. يُجري المزوّد التقييم الذاتي لدى CNIL، ويُوثّق النتيجة، وينشر شهادة باستخدام نمط الصياغة الموصى به لدى CNIL. لا يوجد ختم رسمي من CNIL لعرضه، ولا شعار للاستخدام، ولا إجازة مسبقة رسمية. يحتفظ المُشغّل الذي ينشر الأداة بالمسؤولية الأساسية لضمان أن التهيئة على موقعه تستوفي الشروط.

في 16 يناير 2026 نشرت CNIL التوصية المُوحَّدة بشأن الكوكي (recommandation_cookies_consolidee.pdf)، مُدمجةً مداولات 2020-091 / 2020-092، وتحديث قياس الجمهور في 4 يوليو 2025، وإطار الكوكي الأوسع في وثيقة واحدة. شروط البطاقة 16 الجوهرية لم تتغيّر في التوحيد — تظل الشروط نصاً في هذه الصفحة هي المعتمدة.

في 14 أبريل 2026 نشرت CNIL توصية نهائية بشأن بكسلات التتبع تُقدّم استثناءً ضيّقاً لـ «قياس قابلية التسليم» — يُتيح للبكسلات تحديد المشتركين غير النشطين دون موافقة، وذلك حصراً لأغراض إزالة قوائم البريد. يقع استثناء قابلية التسليم خارج نطاق استثناء قياس الجمهور في البطاقة 16 ولا يؤثّر على الشروط في هذه الصفحة.

عملياً، بالنسبة لمُشغّل ينشر التحليلات في فرنسا في 2026:

ينبغي على المزوّد نشر شهادة تقييم ذاتي مؤرّخة. التقييم الذاتي المنشور لـ Matomo هو المرجع المعتمد: «the Matomo Cloud and Matomo On-Premise solutions comply with the criteria established by the CNIL … and may be implemented without requiring user consent if properly configured.»
ينبغي على المُشغّل توثيق تهيئته الخاصة وفقاً لشروط البطاقة 16 والاحتفاظ بالتوثيق. تُدقّق CNIL على أساس التهيئة المنشورة، لا على أساس المواد التسويقية.
يلزم تقييم مصلحة مشروعة وفقاً لإرشادات EDPB 1/2024 بصرف النظر. ينطبق استثناء البطاقة 16 على موافقة المادة 5 الفقرة 3 من ePrivacy للوصول إلى الجهاز الطرفي؛ أمّا أساس المادة 6 من GDPR للمعالجة اللاحقة للبيانات الشخصية فهو سؤال منفصل، والمصلحة المشروعة وفقاً للمادة 6 الفقرة 1 البند و هي الإجابة الواقعية.

أين يفشل GA4 في الاختبار

كانت CNIL مباشرة بشكل غير معتاد في هذا الأمر. من البطاقة 16، نصّاً: «Most large audience measurement offerings do not fall within the scope of the exemption, regardless of their configuration. In order to benefit from this exemption, please contact your solution provider or use open source software such as Matomo that you can configure yourself.»

يفشل GA4 تحديداً في عدة شروط للبطاقة 16:

النقل العابر للحدود إلى البنية التحتية الأمريكية. وجدت الإخطار الرسمي من CNIL في 10 فبراير 2022 أن نقل GA من الاتحاد الأوروبي إلى الولايات المتحدة غير قانوني وفقاً للفصل الخامس من GDPR. يُوفّر إطار خصوصية البيانات الأمريكي-الأوروبي لعام 2023 غطاءً مؤقتاً، لكنه موضع طعون معلّقة لدى محكمة العدل الأوروبية — استئناف Latombe في 31 أكتوبر 2025، إضافةً إلى طعن موازٍ من noyb.
تجميع البيانات عبر العملاء. تُجمّع البنية التحتية للتحليلات في Google البيانات عبر قاعدة عملائها وتربطها بمنظومة Google الإعلانية. شرط البطاقة 16 — «Aucune mise en commun par le prestataire de données brutes de mesure d’audience provenant de plusieurs de ses clients» — لا يُجيز ذلك.
معرّف عميل دائم. معرّف عميل GA4 هو معرّف دائم يُقرأ ويُكتب في تخزين المتصفح. تُفعَّل المادة 5 الفقرة 3 من ePrivacy؛ ولا ينطبق استثناء قياس الجمهور لأن التنفيذ يقرأ خارج تصنيف الأحداث الثلاثة للبطاقة 16.
ليس أداة «ناشر واحد» بالتصميم. التغطية عبر الخصائص، والإثراء الديموغرافي، وتكامل منصة الإعلانات التي صُمّم GA4 من أجلها هي بالضبط الوظائف التي تستبعدها البطاقة 16.

تمرير GA4 عبر نقطة نهاية من جانب الخادم (sGTM) لا يُعالج هذا. ذكرت CNIL أن وكيل الخادم من جانب الخادم هو في أفضل الأحوال تخفيف جزئي إذا استُخدم المعرّف الدائم نفسه، أو تدفّقت البيانات في النهاية إلى Google US، أو احتفظت Google بحقوق مماثلة للمتحكّم.

البدائل المُهيَّأة بصورة صحيحة للطرف الأول — Matomo (سحابي أو على المقرّ) في وضع استثناء CNIL، Plausible، Fathom، Simple Analytics، وStatnive Live — كلها تقع داخل شروط البطاقة 16 وتُؤهَّل بتقييم ذاتي من المُشغّل. سجل إنفاذ CNIL ضد التحليلات الخصوصية المُستضافة في الاتحاد الأوروبي للطرف الأول والمُهيَّأة بصورة صحيحة، حتى مايو 2026، فارغ.

سقف الأحداث الثلاثة وكيفية تدقيقه

سقف البطاقة 16 المتمثّل في ثلاثة أنواع أحداث — حضور الصفحة، التفاعل مع الميزة (النقرات)، والتوقيت — هو الشرط الأكثر انتهاكاً في عمليات النشر الفعلية. يُضيف المُشغّلون حدث تحوّل تجارة إلكترونية، أو متتبّع إرسال نموذج، أو حدث «حمّل الكتيّب»، أو حدث «شاهد الفيديو»، ويتوقف النشر بهدوء عن استيفاء الاستثناء.

يُتيح Statnive Live نقطة نهاية تدقيق تصنيف الأحداث لكل موقع لهذا الغرض تحديداً:

GET /api/admin/event-audit?site_id=N

تُرجع الاستجابة:

event_names — أسماء الأحداث المميّزة التي رُصدت على الموقع خلال نافذة التدقيق
distinct_count — العدد
cnil_cap — مُثبّت عند 3 (سقف البطاقة 16)
cap_status — ok إذا كان distinct_count ≤ 3؛ over خلاف ذلك
window_from / window_to — طوابع زمنية لنافذة التدقيق

cap_status: ok يعني أن النشر، بحسب التهيئة، داخل سقف الأحداث الثلاثة للبطاقة 16 — أحد أصعب شروط البطاقة 16 استيفاءً في عمليات النشر طويلة الأمد حيث تتراكم أنواع الأحداث. cap_status: over يعني أن النشر انحرف خارج الاستثناء ويتطلّب إمّا تقليم تصنيف الأحداث، أو اعتماد لافتة موافقة. التدقيق موجّه للمُشغّل؛ والاستجابة هي كائن JSON مُصمَّم لالتقاطه كصورة شاشة في استجابة تفتيش CNIL.

التواتر الموصى به هو شهري. سيُراكم الموقع الذي يُطلق ميزات أنواع أحداث بصورة عضوية؛ ونقطة نهاية التدقيق هي الآلية الرخيصة لرصد الانحراف.

تهيئة Statnive Live للبطاقة 16

يُقدّم Statnive Live تهيئة تستوفي شروط البطاقة 16 جاهزةً للاستخدام. خطوات المُشغّل:

اختيار اختصاص FR. تُتيح لوحة سياسة الموقع في Statnive Live تعداد 11 اختصاصاً. يُحاذي اختيار FR سياسة الموقع مع التوقعات الفرنسية. لا يمنع مُدقّق القاعدة الصارمة permissive لـ FR (فقط DE لها هذه القاعدة الصارمة)، لكنه يفترض consent-free افتراضياً بحيث تُطبَّق معمارية البطاقة 16 منذ اليوم الأول.
تأكيد وضع consent-free. يُعطّل ذلك الكوكي وlocalStorage وبصمة المتصفح في المتتبّع؛ ويُفعّل توقيع زائر BLAKE3-HMAC بتدوير يومي من جانب الخادم؛ ويُفعّل تحويل المُحيل المقتصر على المضيف؛ ويُفعّل اقتطاع IP؛ ويُفعّل تقليل User-Agent. تتطابق التهيئة مع لوائح «افعل» للبطاقة 16 المذكورة سابقاً في هذه المقالة.
تقييد تصنيف الأحداث. شغّل نقطة نهاية تدقيق الأحداث شهرياً. استهدف cap_status: ok. إذا لزم نوع حدث رابع لغرض تسويقي محدد، فإن هذا الغرض ينتقل خارج استثناء البطاقة 16 إلى سير عمل وضع الموافقة.
نشر شهادة التقييم الذاتي. فقرة قصيرة في سياسة خصوصية الموقع: «D’après notre auto-évaluation, la solution Statnive Live, configurée en mode consent-free, est conforme aux critères établis par la CNIL [link to https://www.cnil.fr/fr/cookies-solutions-pour-les-outils-de-mesure-daudience], et peut-être mise en œuvre sans requérir le consentement des utilisateurs si elle est correctement configurée.» لا ادعاء «معتمدة من CNIL»؛ لا شعار CNIL.
نشر رابط رفض المادة 21. يُتيح Statnive Live POST /api/privacy/opt-out ويخدم صفحة رفض افتراضية على /privacy. ترتبط سياسة خصوصية الموقع بها. يُنفَّذ احتفاظ الرفض ككوكي ضروري بصرامة يُعبّر عن خيار المستخدم — وهو مسموح به وفقاً للمادة 5 الفقرة 3 من ePrivacy لأنه يُنفّذ الرفض الصريح للمستخدم.
توثيق تقييم المصلحة المشروعة. يخدم مسار /legal/lia في Statnive Live قالباً متوافقاً مع إرشادات EDPB 1/2024 — تحديد المصلحة → الضرورة → الموازنة. خصّص القالب لسياق المعالجة المحدد للمُشغّل، احتفظ بالنسخة الموثّقة، وحدّث سنوياً.
توقيع اتفاقية معالجة البيانات وفقاً للمادة 28. إذا استخدم المُشغّل النسخة المُستضافة (SaaS) من Statnive Live، فإن Statnive معالج وفقاً للمادة 28 من GDPR. تُتاح اتفاقية معالجة البيانات على /legal/dpa وقابلة للتنزيل دون مكالمة مبيعات. إذا قام المُشغّل بالاستضافة الذاتية، فإن Statnive ليس معالجاً على الإطلاق — المُشغّل هو المتحكّم الوحيد ولا توجد اتفاقية معالجة بيانات بين Statnive والمُشغّل للتوقيع.

النتيجة هي تهيئة تستوفي شروط البطاقة 16 تراكمياً، وهي أيضاً متوافقة مستقبلياً مع اقتراح الأومنيبوس الرقمي المادة 88a الفقرة 3 البند ج. المُشغّل الذي ينشر هذا اليوم لا يحتاج إلى إعادة هندسة معماريّته إذا أصبح نص المفوضية قانوناً.

الأسئلة الشائعة — هل تُغطّي البطاقة 16 أحداث تحوّل التجارة الإلكترونية؟

لا. حدث التحوّل هو نوع حدث رابع يتجاوز سقف الأحداث الثلاثة للبطاقة 16. التعامل مع عملية شراء على أنها «تفاعل مع ميزة» (أي نقرة على زر «اطلب الآن») لا يُنقذ الاستثناء لأن المُشغّل يريد أيضاً قيمة الشراء، وقائمة المنتجات، وغالباً إسناد العميل الأول مقابل العائد — وكل واحد منها يُوسّع تصنيف الأحداث خارج حدود البطاقة 16.

النشر المتين هو وضع منقسم. يعمل قياس الجمهور في وضع consent-free وفقاً للبطاقة 16. يعمل إسناد التجارة الإلكترونية كسير عمل منفصل ومُقيّد بالموافقة — إمّا كإضافة في وضع الموافقة لنشر Statnive Live نفسه، أو من خلال مسار تحليلات منفصل وكامل الموافقة. تبقى مقاييس قياس الجمهور (الزوار، الجلسات، الصفحات) خالية من الموافقة؛ بينما تتطلّب مقاييس التجارة الإلكترونية (الإيرادات، الطلبات، القيمة مدى الحياة) لافتة.

هذا هو الانقسام نفسه الذي تصفه CNIL في البطاقة 16 لكوكيز أغراض الإعلان. البطاقة 16 ضيّقة عمداً؛ والمُشغّل الذي يريد إسناد التجارة الإلكترونية في إطار تنظيمي مختلف.

ما يُقدّمه هذا للمُشغّل

النتيجة العملية للمُشغّل من نشر مُهيَّأ وفقاً للبطاقة 16:

لا حاجة إلى لافتة كوكي لسير عمل قياس الجمهور بموجب الشروط المُستوفاة تراكمياً. أوضحت CNIL أن الاستثناء حقيقي وأن الأدوات المُهيَّأة بصورة صحيحة تُؤهَّل.
أساس موثّق للإشارة إليه إذا فتشت CNIL. شهادة التقييم الذاتي + تقييم المصلحة المشروعة + سجل تدقيق الأحداث لكل موقع هي حزمة استجابة المُشغّل.
تهيئة تصمد في عموم الاتحاد الأوروبي لأن معمارية البطاقة 16 الصارمة تستوفي أيضاً استثناءات Garante الإيطالية، وAEPD الإسبانية، وAP الهولندية بحكم البنية. تستعرض الخريطة دولةً بدولة الفروقات.
مكدّس قياس ليس أصغر من الواقع بنسبة 55.6%. دراسة Plausible للافتات الكوكي هي المرجع المعتمد لنسبة الزوار الذين يرفضون أو يُغلقون لافتة ويختفون من التحليلات. تَرصد المعمارية الخالية من الموافقة هؤلاء الزوار.

ما لا يُقدّمه: إسناد التجارة الإلكترونية، الإعلان السلوكي، إعادة الاستهداف، إزالة الازدواج عبر الأجهزة، إعادة تشغيل الجلسة، الخرائط الحرارية، أو إسناد تنويعات اختبار A/B بهوية المستخدم. كلٌّ من هذه يتطلّب تدفق موافقة منفصل. CNIL صريحة بأن البطاقة 16 هي استثناء قياس الجمهور، وليست استثناءً عاماً لتحليلات التسويق.

المقايضة واضحة: يحصل المُشغّل على رؤية غير محجوبة للمقاييس التي تُوجّه قرارات المنتج اليومية، مقابل عدم بناء تدفقات إسناد التسويق على مسار الكود نفسه. بالنسبة لمعظم المُشغّلين هذه هي المقايضة الصحيحة — وهي التي صُمّمت البطاقة 16 لإتاحتها.

ما يجب فعله وما يجب تجنّبه

افعل	تجنّب
اقصر المتتبّع على ≤3 أنواع أحداث (حضور الصفحة + التفاعل مع الميزة + التوقيت) ودقّق شهرياً عبر `GET /api/admin/event-audit`.	إضافة نوع حدث رابع لتحوّلات التجارة الإلكترونية داخل النشر الخالي من الموافقة — يُلغي ذلك استثناء البطاقة 16.
انشر شهادة تقييم ذاتي مؤرّخة باستخدام صياغة CNIL نصّاً («D’après notre auto-évaluation … peut-être mise en œuvre sans requérir le consentement des utilisateurs si elle est correctement configurée»).	ادّعاء «معتمدة من CNIL» أو استخدام شعار CNIL. أوقفت CNIL برنامج تقييمها في 1 يناير 2026 — يُقيّم المُشغّلون أنفسهم ذاتياً.
اضبط اختصاص FR في Statnive Live، واترك الافتراضي على وضع `consent-free`، وتحقّق من تفعيل المُحيل المقتصر على المضيف + اقتطاع IP عند الاستيعاب.	شغّل Google Analytics 4 (أو أي GA4 مُمرَّر عبر sGTM) وتُسمّيها متوافقة مع البطاقة 16. CNIL صريحة: GA4 يفشل في الاختبار.
شغّل تدفقاً موازياً في وضع الموافقة لإسناد التجارة الإلكترونية؛ احتفظ بطبقة قياس الجمهور خالية من الموافقة.	اخلط بين قياس الجمهور وإسناد التجارة الإلكترونية. البطاقة 16 هي استثناء قياس الجمهور، لا استثناء عاماً لتحليلات التسويق.
حافظ على تقييم مصلحة مشروعة وفقاً لإرشادات EDPB 1/2024 يُغطّي أساس المادة 6 للمعالجة اللاحقة للبيانات الشخصية بعد البطاقة 16.	عامل امتثال البطاقة 16 كتحليل GDPR الكامل. يُغطّي الاستثناء موافقة المادة 5 الفقرة 3 من ePrivacy فقط؛ والأساس القانوني للمادة 6 منفصل.

الخلاصة

بنت CNIL الفرنسية أكثر استثناءات الموافقة لقياس الجمهور تفصيلاً وتوجّهاً نحو المُشغّل في الاتحاد الأوروبي. الشروط التراكمية ضيّقة، والموعد النهائي هو 1 يناير 2026، وحلّ موقف التقييم الذاتي محلّ برنامج التقييم التقليدي، والتهيئة التي تُؤهَّل في فرنسا تُؤهَّل أيضاً في إيطاليا وإسبانيا وهولندا بحكم البنية. تبقى ألمانيا الاستثناء — انظر التعمّق في § 25 TDDDG — والمُشغّل الذي يُهيّئ لألمانيا مُهيَّأ لفرنسا أيضاً.

يُقدّم Statnive Live معمارية البطاقة 16 افتراضياً في وضع consent-free. تعداد الاختصاصات الإحدى عشر، أوضاع الموافقة الأربعة، ملح التدوير اليومي، معرّف الكوكي المُجزّأ عند الراحة، المُحيل المقتصر على المضيف، احتفاظ الملخّصات 25 شهراً، ونقطة نهاية تدقيق الأحداث كلها في الصندوق. تُخدَم شهادة التقييم الذاتي لدى CNIL، وقالب تقييم المصلحة المشروعة، وبنود سياسة الخصوصية، واتفاقية معالجة البيانات وفقاً للمادة 28 من الملف الثنائي على /legal/*. عمل النشر يقع على المُشغّل؛ والمعمارية جاهزة.

للحصول على الدليل الأوسع، انظر دليل 2026 لتحليلات الويب بدون موافقة في الاتحاد الأوروبي. لزاوية الأخبار والتنسيق المقترح على مستوى الاتحاد الأوروبي، انظر مقالة الأومنيبوس الرقمي. ولماذا تختلف ألمانيا، انظر مقالة TDDDG. وكيفية تعامل المعمارية نفسها مع طلبات الوصول والمحو، انظر مقالة DSAR.

هذا بحث في حماية البيانات، وليس استشارة قانونية. Statnive Live، المُهيَّأ في وضع consent-free لاختصاص FR، قابل للتهيئة بحيث يستوفي استثناء قياس الجمهور لدى CNIL عند نشره وفقاً لتقييم مصلحة مشروعة موثّق والتقييم الذاتي لدى CNIL. هذه ليست شهادة من CNIL. يبقى كل عميل Statnive المتحكّم في البيانات ومسؤولاً عن تهيئته الخاصة وDPIA الخاص به. راجع مستشاراً مؤهلاً في فرنسا قبل النشر.

حالة المراجع التنظيمية في 13 مايو 2026: البطاقة رقم 16 لـ CNIL؛ «الكوكي: حلول لأدوات قياس الجمهور» في 4 يوليو 2025 (موعد الامتثال النهائي في 1 يناير 2026 انقضى الآن؛ وأُوقف برنامج التقييم التقليدي في ذلك التاريخ؛ ونظام التقييم الذاتي ساري المفعول منذ ذلك الحين)؛ التوصية المُوحَّدة لـ CNIL بشأن الكوكي في 16 يناير 2026 (شروط البطاقة 16 الجوهرية لم تتغيّر في التوحيد)؛ التوصية النهائية لـ CNIL بشأن بكسلات التتبع في 14 أبريل 2026 (استثناء قياس قابلية التسليم؛ خارج نطاق البطاقة 16)؛ ملف PDF للتقييم الذاتي لدى CNIL (يوليو 2025)؛ مداولات CNIL SAN-2020-013 (Amazon، 7 ديسمبر 2020)؛ قرار CNIL ضد Google في 7 ديسمبر 2020 (€100m)؛ قرارات CNIL في 6 يناير 2022 (Google €150m، Facebook €60m)؛ الإخطار الرسمي من CNIL في 10 فبراير 2022 (Google Analytics، الفصل الخامس)؛ مداولات CNIL SAN-2025-005 في 1 سبتمبر 2025 (€150m ضد INFINITE STYLES SERVICES CO. LIMITED — Shein)؛ مداولات CNIL SAN-2025-006 في 1 سبتمبر 2025 (€325m إجمالاً ضد Google LLC وGoogle Ireland Ltd)؛ غرامة CNIL البالغة 3.5 مليون يورو بشأن الكوكي/الإرسال إلى الشبكة الاجتماعية المنشورة في 22 يناير 2026 (القرار 30 ديسمبر 2025، اعتُمد بالتعاون مع 16 نظيراً من سلطات حماية البيانات الأوروبية)؛ إرشادات EDPB 2/2023 v2.0 في 7 أكتوبر 2024؛ إرشادات EDPB 1/2024 في 8 أكتوبر 2024. أولويات إنفاذ CNIL لعام 2026 (إعلان يناير 2026): التوظيف، السجل الانتخابي الموحّد (REU)، الاتحادات الرياضية — الكوكي ليس محور أولوية معلَن، رغم استمرار الإنفاذ.