La guia de cookies de l'AEPD d'Espanya: què han de saber els editors
Per què Espanya mereix una mirada pròpia
Espanya és una de les audiències més grans per als editors en castellà d'arreu del món, i la seva autoritat de protecció de dades, l'Agencia Española de Protección de Datos (AEPD), és una de les reguladores més actives d'Europa. Com tots els països de la UE, Espanya aplica el RGPD, però la norma sobre cookies prové de la legislació nacional que transposa la Directiva ePrivacy. Per als editors, les orientacions de l'AEPD sobre cookies són la referència més pràctica per entendre com s'interpreten aquestes normes a Espanya.
Aquest article resumeix què signifiquen aquestes orientacions per a un lloc o una aplicació típics que viuen de la publicitat. És una visió general pràctica, no assessorament jurídic.
La base legal: l'article 22.2 de la LSSI
La norma sobre cookies a Espanya es troba a l'article 22.2 de la Llei 34/2002 de serveis de la societat de la informació i de comerç electrònic, coneguda com a LSSI. Exigeix que l'emmagatzematge o l'accés a informació del dispositiu d'un usuari es basi en un consentiment donat després d'una informació clara i completa, amb una excepció per a l'emmagatzematge estrictament necessari per a un servei que l'usuari ha sol·licitat expressament o per transmetre una comunicació.
Quan s'utilitzen cookies per tractar dades personals, també s'apliquen el RGPD i la Llei orgànica 3/2018 d'Espanya (LOPDGDD), motiu pel qual l'AEPD és l'autoritat amb què tracten els editors en matèria de cookies.
La guia de cookies de l'AEPD
L'AEPD publica una Guia sobre l'ús de les cookies, elaborada conjuntament amb associacions del sector. Es va actualitzar el juliol de 2023 per alinear-la amb el treball del Comitè Europeu de Protecció de Dades sobre bàners de cookies i patrons de disseny enganyosos, i es va donar a les organitzacions fins al gener de 2024 per adaptar-s'hi. A continuació hi ha els punts principals rellevants per als editors.
Mateixa visibilitat per al rebuig
La guia actualitzada espera que, si la primera capa del bàner conté un botó per acceptar cookies, ofereixi també una manera equivalent de rebutjar-les, presentada al mateix nivell i amb una visibilitat similar. Una opció de rebuig amagada darrere d'un enllaç de “configuració” no és equivalent.
Navegar no és consentir
Fer scroll, continuar navegant o tancar el bàner no compten com a consentiment. L'usuari ha de dur a terme una acció afirmativa clara.
Informació clara per capes
La guia accepta un enfocament per capes: una primera capa breu que identifiqui l'editor, les finalitats, si hi participen tercers i com acceptar, rebutjar o configurar; i una segona capa amb informació detallada sobre cada cookie, les parts implicades i la conservació.
Eleccions granulars
Els usuaris haurien de poder triar per finalitat, i quan sigui útil per tercer, en lloc de trobar-se amb un únic interruptor de tot o res.
Retirada
Els usuaris han de poder retirar el consentiment en qualsevol moment, tan fàcilment com el van donar. Un enllaç o una icona persistent que torni a obrir la configuració és la solució habitual.
Durada del consentiment
La guia recomana que el consentiment es renovi periòdicament i suggereix una validesa màxima de 24 mesos, de manera que es torni a preguntar als usuaris en lloc de conservar una elecció indefinidament.
Accés condicionat a les cookies
La guia tracta els casos en què l'accés a un servei es condiciona a l'acceptació de cookies. Indica que això pot ser acceptable en algunes circumstàncies, per exemple quan se li ofereix a l'usuari una alternativa real per accedir al contingut sense acceptar cookies, que no ha de ser necessàriament gratuïta. Atesa l'opinió separada de l'EDPB sobre els models de “consent o paga” per a grans plataformes, els editors que considerin aquest enfocament haurien de demanar assessorament jurídic específic.
Què significa a la pràctica
Per a la majoria d'editors que ja executen un CMP basat en TCF a tota la UE, Espanya requereix pocs canvis estructurals. Els punts que més sovint necessiten atenció són:
- Rebuig a la primera capa. Si el teu bàner de la UE encara fa servir només “Accepta” més “Gestiona les opcions”, el trànsit espanyol és un motiu per afegir un botó de rebuig visible.
- Text en castellà. Les finalitats i les descripcions de tercers haurien d'estar en un castellà clar per als usuaris d'Espanya, no en fragments de traducció automàtica barrejats amb noms de proveïdors en anglès.
- Calendari de renovació. Comprova que el teu CMP renova el consentiment dins del període que has triat, i que els canvis de proveïdors o de finalitats activen una nova petició.
- Política de cookies. Mantén la informació de la segona capa i la teva política de cookies coherents amb el que realment s'executa al lloc.
- Càrrega abans del consentiment. Assegura't que no s'instal·la cap cookie publicitària ni d'analítica abans que l'usuari decideixi. Continua sent la constatació més comuna en les investigacions de cookies arreu.
Context d'aplicació
L'AEPD publica regularment les seves resolucions, i entre elles hi apareixen casos de cookies, sovint amb bàners sense una opció real de rebuig o amb cookies instal·lades abans de qualsevol elecció. Els imports i els resultats varien segons el cas, així que la lliçó útil és el patró de les constatacions i no cap xifra: les opcions de rebuig absents, el seguiment previ al consentiment i la informació poc clara són els problemes que surten una vegada i una altra.
Una llista de verificació de bàner a punt per a Espanya
- Acceptar i rebutjar oferts al mateix nivell a la primera capa.
- Cap cookie més enllà de les estrictament necessàries abans d'una elecció.
- Resum clar a la primera capa en castellà, amb un enllaç als detalls.
- Controls granulars per finalitat a la segona capa.
- Retirada disponible des de totes les pàgines.
- Consentiment renovat dins d'un període definit, recomanat com a màxim cada 24 mesos.
- Política de cookies alineada amb les etiquetes que realment es carreguen.
Idees clau
- La norma de cookies d'Espanya és l'article 22.2 de la LSSI; l'AEPD l'aplica juntament amb el RGPD.
- La guia de l'AEPD, actualitzada el juliol de 2023, espera que rebutjar sigui tan fàcil com acceptar a la primera capa.
- Navegar o tancar el bàner no és consentiment.
- La guia recomana renovar el consentiment almenys cada 24 mesos.
- Els models d'accés condicionat requereixen una revisió jurídica acurada i específica de cada cas.