Чаму Іспаніі варта надаць асобную ўвагу

Іспанія — адна з найбуйнейшых аўдыторый для іспанамоўных выдаўцоў у свеце, а яе орган па абароне даных, Agencia Española de Protección de Datos (AEPD), — адзін з найбольш актыўных рэгулятараў Еўропы. Як і любая краіна ЕС, Іспанія прымяняе GDPR, але правіла пра cookie вынікае з нацыянальнага закона, што імплементуе Дырэктыву ePrivacy. Для выдаўцоў рэкамендацыі AEPD па cookie — найбольш практычны арыенцір таго, як гэтыя правілы тлумачацца ў Іспаніі.

У гэтым артыкуле сцісла выкладзена, што гэтыя рэкамендацыі азначаюць для тыповага сайта або дадатку з рэкламнай мадэллю. Гэта практычны агляд, а не юрыдычная кансультацыя.

Прававая аснова: артыкул 22.2 LSSI

Правіла пра cookie ў Іспаніі змяшчаецца ў артыкуле 22.2 Закона 34/2002 пра паслугі інфармацыйнай супольнасці і электронны гандаль, вядомага як LSSI. Яно патрабуе, каб захоўванне інфармацыі на прыладзе карыстальніка або доступ да яе грунтаваліся на згодзе, дадзенай пасля атрымання выразнай і поўнай інфармацыі, з выключэннем для захоўвання, строга неабходнага для паслугі, якую карыстальнік прама запытаў, або для перадачы паведамлення.

Калі cookie выкарыстоўваюцца для апрацоўкі персанальных даных, таксама прымяняюцца GDPR і Арганічны закон Іспаніі 3/2018 (LOPDGDD), таму па пытаннях cookie выдаўцы маюць справу менавіта з AEPD.

Кіраўніцтва AEPD па cookie

AEPD публікуе Кіраўніцтва па выкарыстанні cookie, падрыхтаванае сумесна з галіновымі асацыяцыямі. Яго абнавілі ў ліпені 2023 года, каб узгадніць з працай Еўрапейскай рады па абароне даных над банерамі cookie і ўводзячымі ў зман шаблонамі дызайну, а арганізацыям далі час да студзеня 2024 года на адаптацыю. Асноўныя моманты, важныя для выдаўцоў, прыведзены ніжэй.

Аднолькавая прыкметнасць адмовы

Абноўленае кіраўніцтва прадугледжвае, што калі на першым узроўні банера ёсць кнопка прыняцця cookie, там жа павінен быць раўназначны спосаб іх адхіліць, прадстаўлены на тым жа ўзроўні і з падобнай прыкметнасцю. Варыянт адмовы, схаваны за спасылкай «налады», раўназначным не з'яўляецца.

Ніякай згоды праз прагляд

Пракрутка, працяг навігацыі або закрыццё банера не лічацца згодай. Карыстальнік павінен учыніць відавочнае актыўнае дзеянне.

Зразумелая інфармацыя па ўзроўнях

Кіраўніцтва дапускае шматузроўневы падыход: кароткі першы ўзровень з указаннем выдаўца, мэт, удзелу трэціх бакоў і спосабаў прыняць, адхіліць або наладзіць; і другі ўзровень з падрабязнай інфармацыяй пра кожны cookie, задзейнічаныя бакі і тэрміны захоўвання.

Дэталізаваны выбар

Карыстальнікі павінны мець магчымасць выбіраць па мэтах, а пры неабходнасці і па трэціх бакох, а не сутыкацца з адзіным перамыкачом «усё або нічога».

Адклік згоды

Карыстальнікі павінны мець магчымасць адклікаць згоду ў любы момант гэтак жа проста, як яны яе далі. Звычайнае рашэнне — пастаянная спасылка або значок, што паўторна адкрывае налады.

Тэрмін дзеяння згоды

Кіраўніцтва рэкамендуе перыядычна абнаўляць згоду і прапануе максімальны тэрмін дзеяння 24 месяцы, каб карыстальнікаў пыталі зноў, а не захоўвалі выбар бестэрмінова.

Доступ пры ўмове прыняцця cookie

Кіраўніцтва разглядае выпадкі, калі доступ да паслугі ставіцца ў залежнасць ад прыняцця cookie. Яно паказвае, што гэта можа быць прымальным пры пэўных абставінах, напрыклад, калі карыстальніку прапануецца сапраўдная альтэрнатыва доступу да кантэнту без прыняцця cookie, якая неабавязкова бясплатная. З улікам асобнай думкі EDPB пра мадэлі «згода або аплата» для вялікіх платформ, выдаўцам, якія разглядаюць такі падыход, варта атрымаць спецыяльную юрыдычную кансультацыю.

Што гэта значыць на практыцы

Для большасці выдаўцоў, якія ўжо выкарыстоўваюць CMP на аснове TCF у ЕС, Іспанія патрабуе нешматлікіх структурных змен. Часцей за ўсё ўвагі патрабуюць наступныя моманты:

• Адмова на першым узроўні. Калі ваш банер для ЕС і далей змяшчае толькі «Прыняць» і «Кіраваць параметрамі», іспанскі трафік — нагода дадаць прыкметную кнопку адмовы.
• Тэкст на іспанскай. Мэты і апісанні трэціх бакоў для карыстальнікаў з Іспаніі павінны быць на зразумелай іспанскай, а не машынна перакладзенымі фрагментамі ўперамешку з англійскімі назвамі вендараў.
• Графік паўторнага запыту. Праверце, што ваш CMP абнаўляе згоду ў абраны вамі тэрмін і што змены вендараў або мэт выклікаюць новы запыт.
• Палітыка cookie. Інфармацыя на другім узроўні і ваша палітыка cookie павінны адпавядаць таму, што рэальна працуе на сайце.
• Загрузка да згоды. Пераканайцеся, што рэкламныя і аналітычныя cookie не ўстанаўліваюцца да рашэння карыстальніка. Гэта па-ранейшаму самая частая знаходка ў расследаваннях па cookie ўсюды.

Кантэкст прымянення

AEPD рэгулярна публікуе свае рашэнні, і сярод іх сустракаюцца справы па cookie, нярэдка звязаныя з банерамі без рэальнай магчымасці адмовы або з cookie, усталяванымі да любога выбару. Сумы і вынікі розняцца ў залежнасці ад справы, таму карысны ўрок — гэта карціна выяўленых парушэнняў, а не нейкая лічба: адсутнасць варыянта адмовы, адсочванне да згоды і невыразная інфармацыя — праблемы, што ўзнікаюць зноў і зноў.

Чэк-ліст банера для Іспаніі

1. Прыняцце і адмова прапануюцца на адным узроўні на першым узроўні банера.
2. Да выбару не ўсталёўваюцца cookie, акрамя строга неабходных.
3. Зразумелае кароткае рэзюмэ на першым узроўні па-іспанску са спасылкай на падрабязнасці.
4. Дэталізаваныя налады па мэтах на другім узроўні.
5. Магчымасць адклікання з кожнай старонкі.
6. Згода абнаўляецца ў вызначаны тэрмін, рэкамендавана не больш за 24 месяцы.
7. Палітыка cookie адпавядае тэгам, што рэальна загружаюцца.

Галоўныя высновы

• Правіла Іспаніі пра cookie — артыкул 22.2 LSSI; AEPD забяспечвае яго выкананне разам з GDPR.
• Кіраўніцтва AEPD, абноўленае ў ліпені 2023 года, прадугледжвае, што адмова на першым узроўні павінна быць такой жа простай, як прыняцце.
• Прагляд сайта або закрыццё банера не з'яўляецца згодай.
• Кіраўніцтва рэкамендуе абнаўляць згоду не радзей за раз на 24 месяцы.
• Мадэлі з умоўным доступам патрабуюць старанай юрыдычнай ацэнкі ў кожным канкрэтным выпадку.