دليل ملفات تعريف الارتباط من AEPD الإسبانية: ما ينبغي للناشرين معرفته
لماذا تستحق إسبانيا وقفة خاصة
تُعد إسبانيا من أكبر الجماهير للناشرين بالإسبانية حول العالم، وهيئة حماية البيانات فيها، Agencia Española de Protección de Datos (AEPD)، من أنشط الجهات التنظيمية في أوروبا. وكأي دولة في الاتحاد الأوروبي تطبّق إسبانيا GDPR، لكن القاعدة الخاصة بملفات تعريف الارتباط تأتي من قانون وطني ينفّذ توجيه ePrivacy. وبالنسبة للناشرين، فإن إرشادات AEPD بشأن ملفات تعريف الارتباط هي المرجع الأكثر عملية لفهم كيفية قراءة هذه القواعد في إسبانيا.
تلخّص هذه المقالة ما تعنيه تلك الإرشادات لموقع أو تطبيق نموذجي يعتمد على الإعلانات. هي نظرة عامة عملية وليست استشارة قانونية.
الأساس القانوني: المادة 22.2 من LSSI
تقع قاعدة ملفات تعريف الارتباط في إسبانيا في المادة 22.2 من القانون 34/2002 بشأن خدمات مجتمع المعلومات والتجارة الإلكترونية، المعروف باسم LSSI. وهي تشترط أن يستند تخزين المعلومات على جهاز المستخدم أو الوصول إليها إلى موافقة تُمنح بعد معلومات واضحة وكاملة، مع استثناء للتخزين الضروري تمامًا لخدمة طلبها المستخدم صراحةً أو لنقل اتصال.
وعندما تُستخدم ملفات تعريف الارتباط لمعالجة بيانات شخصية، ينطبق أيضًا GDPR والقانون الأساسي الإسباني 3/2018 (LOPDGDD)، ولهذا فإن AEPD هي الجهة التي يتعامل معها الناشرون في شؤون ملفات تعريف الارتباط.
دليل AEPD لملفات تعريف الارتباط
تنشر AEPD دليلًا حول استخدام ملفات تعريف الارتباط أُعدّ بالتعاون مع جمعيات القطاع. وقد حُدِّث في يوليو 2023 ليتوافق مع عمل المجلس الأوروبي لحماية البيانات بشأن بانرات ملفات تعريف الارتباط وأنماط التصميم المضللة، ومُنحت المؤسسات مهلة حتى يناير 2024 للتكيّف. وفيما يلي أهم النقاط المتعلقة بالناشرين.
إبراز الرفض بالقدر نفسه
يتوقع الدليل المحدَّث أنه إذا كانت الطبقة الأولى من البانر تحتوي على زر لقبول ملفات تعريف الارتباط، فعليها أن تقدّم أيضًا طريقة مكافئة لرفضها، تُعرض في المستوى نفسه وبوضوح مماثل. أما خيار الرفض المخبأ خلف رابط «الإعدادات» فليس مكافئًا.
لا موافقة بالتصفح
التمرير أو مواصلة التنقل أو إغلاق البانر لا تُعد موافقة. يجب أن يتخذ المستخدم إجراءً إيجابيًا واضحًا.
معلومات واضحة على طبقات
يقبل الدليل نهج الطبقات: طبقة أولى موجزة تحدد الناشر والأغراض وما إذا كانت أطراف ثالثة معنية وكيفية القبول أو الرفض أو الضبط؛ وطبقة ثانية بمعلومات مفصلة عن كل ملف تعريف ارتباط والأطراف المعنية ومدة الاحتفاظ.
خيارات دقيقة
ينبغي أن يتمكن المستخدمون من الاختيار حسب الغرض، وحسب الطرف الثالث حيث يفيد ذلك، بدلًا من مواجهة مفتاح واحد إما كل شيء أو لا شيء.
سحب الموافقة
يجب أن يتمكن المستخدمون من سحب الموافقة في أي وقت، بسهولة منحها نفسها. والحل المعتاد رابط أو أيقونة دائمة تعيد فتح الإعدادات.
مدة الموافقة
يوصي الدليل بتجديد الموافقة دوريًا ويقترح حدًا أقصى للصلاحية قدره 24 شهرًا، بحيث يُسأل المستخدمون مجددًا بدلًا من تخزين اختيارهم إلى أجل غير مسمى.
اشتراط ملفات تعريف الارتباط للوصول
يناقش الدليل حالات يُشترط فيها قبول ملفات تعريف الارتباط للوصول إلى خدمة. ويشير إلى أن ذلك قد يكون مقبولًا في بعض الظروف، كأن يُعرض على المستخدم بديل حقيقي للوصول إلى المحتوى دون قبول ملفات تعريف الارتباط، ولا يشترط أن يكون مجانيًا. وبالنظر إلى رأي المجلس الأوروبي لحماية البيانات المنفصل بشأن نماذج «الموافقة أو الدفع» للمنصات الكبيرة، ينبغي للناشرين الذين يفكرون في هذا النهج الحصول على استشارة قانونية متخصصة.
ماذا يعني ذلك عمليًا
بالنسبة لمعظم الناشرين الذين يشغّلون بالفعل CMP قائمًا على TCF عبر الاتحاد الأوروبي، تتطلب إسبانيا تغييرات هيكلية قليلة. أما النقاط التي تحتاج غالبًا إلى اهتمام فهي:
- الرفض في الطبقة الأولى. إذا كان بانر الاتحاد الأوروبي لديك لا يزال يستخدم «قبول» مع «إدارة الخيارات» فقط، فإن الزيارات الإسبانية سبب لإضافة زر رفض ظاهر.
- النص بالإسبانية. ينبغي أن تكون أوصاف الأغراض والأطراف الثالثة بإسبانية واضحة للمستخدمين في إسبانيا، لا مقاطع مترجمة آليًا مختلطة بأسماء مزوّدين بالإنجليزية.
- جدول إعادة السؤال. تحقق من أن CMP الخاص بك يجدد الموافقة ضمن المدة التي اخترتها، وأن أي تغيير في المزوّدين أو الأغراض يطلق طلبًا جديدًا.
- سياسة ملفات تعريف الارتباط. أبقِ معلومات الطبقة الثانية وسياسة ملفات تعريف الارتباط متسقة مع ما يعمل فعليًا على الموقع.
- التحميل قبل الموافقة. تأكد من عدم تعيين أي ملفات تعريف ارتباط إعلانية أو تحليلية قبل أن يقرر المستخدم. وهذا لا يزال الاستنتاج الأكثر شيوعًا في تحقيقات ملفات تعريف الارتباط في كل مكان.
سياق الإنفاذ
تنشر AEPD قراراتها بانتظام، وتظهر بينها قضايا ملفات تعريف الارتباط، وغالبًا ما تتعلق ببانرات دون خيار رفض حقيقي أو ملفات تعريف ارتباط تُعيَّن قبل أي اختيار. تتفاوت المبالغ والنتائج بحسب القضية، لذا فإن الدرس المفيد هو نمط النتائج لا أي رقم: خيارات الرفض المفقودة، والتتبع قبل الموافقة، والمعلومات غير الواضحة هي القضايا التي تتكرر مرارًا.
قائمة تحقق لبانر جاهز لإسبانيا
- القبول والرفض مقدَّمان في المستوى نفسه في الطبقة الأولى.
- لا ملفات تعريف ارتباط سوى الضرورية تمامًا قبل الاختيار.
- ملخص واضح في الطبقة الأولى بالإسبانية مع رابط للتفاصيل.
- عناصر تحكم دقيقة حسب الغرض في الطبقة الثانية.
- إمكانية سحب الموافقة من كل صفحة.
- تجديد الموافقة ضمن مدة محددة، يُوصى بألا تتجاوز 24 شهرًا.
- سياسة ملفات تعريف الارتباط متوافقة مع الوسوم المحمَّلة فعليًا.
أهم النقاط
- قاعدة ملفات تعريف الارتباط في إسبانيا هي المادة 22.2 من LSSI؛ وتنفذها AEPD إلى جانب GDPR.
- يتوقع دليل AEPD، المحدَّث في يوليو 2023، أن يكون الرفض سهلًا بقدر القبول في الطبقة الأولى.
- التصفح أو إغلاق البانر ليس موافقة.
- يوصي الدليل بتجديد الموافقة مرة كل 24 شهرًا على الأكثر.
- نماذج الوصول المشروط تحتاج إلى مراجعة قانونية دقيقة خاصة بكل حالة.