Защо Испания заслужава отделен поглед

Испания е една от най-големите аудитории за испаноезичните издатели по света, а нейният орган за защита на данните, Agencia Española de Protección de Datos (AEPD), е един от най-активните регулатори в Европа. Като всяка държава от ЕС, Испания прилага GDPR, но правилото за бисквитките идва от националния закон, въвеждащ Директивата за ePrivacy. За издателите указанията на AEPD за бисквитките са най-практичният ориентир как тези правила се тълкуват в Испания.

Тази статия обобщава какво означават тези указания за типичен сайт или приложение, финансирани от реклама. Това е практически преглед, а не правен съвет.

Правното основание: член 22.2 от LSSI

Правилото за бисквитките в Испания се намира в член 22.2 от Закон 34/2002 за услугите на информационното общество и електронната търговия, известен като LSSI. Той изисква съхранението или достъпът до информация на устройството на потребителя да се основава на съгласие, дадено след ясна и пълна информация, с изключение за съхранение, което е строго необходимо за услуга, изрично поискана от потребителя, или за предаване на съобщение.

Когато бисквитките се използват за обработка на лични данни, се прилагат също GDPR и Органичният закон 3/2018 на Испания (LOPDGDD), затова AEPD е органът, с който издателите си имат работа по въпросите на бисквитките.

Ръководството на AEPD за бисквитките

AEPD публикува Ръководство за използването на бисквитки, изготвено съвместно с браншови асоциации. То е актуализирано през юли 2023 г., за да се съгласува с работата на Европейския комитет по защита на данните относно банерите за бисквитки и подвеждащите дизайнерски модели, а на организациите е даден срок до януари 2024 г. да се адаптират. Основните точки, свързани с издателите, са изложени по-долу.

Равна видимост на отказа

Актуализираното ръководство очаква, че ако първият слой на банера съдържа бутон за приемане на бисквитки, той предлага и равностоен начин за отказ, показан на същото ниво и със сходна видимост. Опция за отказ, скрита зад връзка „настройки“, не е равностойна.

Няма съгласие чрез сърфиране

Превъртането, продължаването на навигацията или затварянето на банера не се считат за съгласие. Потребителят трябва да извърши ясно потвърдително действие.

Ясна информация на слоеве

Ръководството приема подход на слоеве: кратък първи слой, който посочва издателя, целите, участието на трети страни и как да се приеме, откаже или конфигурира; и втори слой с подробна информация за всяка бисквитка, участващите страни и срока на съхранение.

Детайлен избор

Потребителите трябва да могат да избират по цел, а където е полезно и по трета страна, вместо да се сблъскват с един превключвател „всичко или нищо“.

Оттегляне

Потребителите трябва да могат да оттеглят съгласието си по всяко време, толкова лесно, колкото са го дали. Обичайното решение е постоянна връзка или икона, която отваря отново настройките.

Срок на съгласието

Ръководството препоръчва съгласието да се подновява периодично и предлага максимален срок на валидност от 24 месеца, така че потребителите да бъдат питани отново, вместо изборът им да се съхранява безсрочно.

Достъп при условие за приемане на бисквитки

Ръководството разглежда случаите, в които достъпът до услуга е обвързан с приемането на бисквитки. То посочва, че това може да е приемливо при някои обстоятелства, например когато на потребителя се предлага истинска алтернатива за достъп до съдържанието без приемане на бисквитки, която не е задължително безплатна. Предвид отделното становище на EDPB за модели „съгласие или плащане“ при големите платформи, издателите, които обмислят такъв подход, следва да потърсят специализиран правен съвет.

Какво означава това на практика

За повечето издатели, които вече използват CMP на базата на TCF в ЕС, Испания изисква малко структурни промени. Точките, които най-често изискват внимание, са:

• Отказ в първия слой. Ако вашият банер за ЕС все още има само „Приемам“ и „Управление на опциите“, испанският трафик е причина да добавите видим бутон за отказ.
• Текст на испански. Целите и описанията на третите страни трябва да са на ясен испански за потребителите в Испания, а не машинно преведени фрагменти, смесени с английски имена на вендори.
• График за повторно запитване. Проверете дали вашият CMP подновява съгласието в избрания от вас срок и дали промените във вендорите или целите предизвикват ново запитване.
• Политика за бисквитките. Поддържайте информацията във втория слой и политиката за бисквитките в съответствие с това, което реално работи на сайта.
• Зареждане преди съгласие. Уверете се, че не се задават рекламни или аналитични бисквитки, преди потребителят да реши. Това остава най-честата констатация при проверки за бисквитки навсякъде.

Контекст на прилагането

AEPD редовно публикува решенията си и сред тях се срещат дела за бисквитки, често свързани с банери без реална възможност за отказ или с бисквитки, зададени преди какъвто и да е избор. Размерите и изходите варират според случая, така че полезният урок е моделът на констатациите, а не някаква цифра: липсата на опция за отказ, проследяването преди съгласие и неясната информация са проблемите, които се появяват отново и отново.

Контролен списък за банер, готов за Испания

1. Приемане и отказ се предлагат на едно и също ниво в първия слой.
2. Няма бисквитки освен строго необходимите преди направен избор.
3. Ясно резюме в първия слой на испански, с връзка към подробностите.
4. Детайлни контроли по цел във втория слой.
5. Оттегляне, достъпно от всяка страница.
6. Съгласието се подновява в определен срок, препоръчително не повече от 24 месеца.
7. Политиката за бисквитките е съобразена с реално зареждащите се тагове.

Основни изводи

• Правилото на Испания за бисквитките е член 22.2 от LSSI; AEPD го прилага наред с GDPR.
• Ръководството на AEPD, актуализирано през юли 2023 г., очаква отказът да е толкова лесен, колкото и приемането, в първия слой.
• Сърфирането или затварянето на банера не е съгласие.
• Ръководството препоръчва съгласието да се подновява поне на всеки 24 месеца.
• Моделите с обвързан достъп изискват внимателен правен преглед за всеки конкретен случай.