Proč si Španělsko zaslouží samostatný pohled

Španělsko je jedním z největších publik pro vydavatele ve španělštině na světě a jeho úřad pro ochranu osobních údajů, Agencia Española de Protección de Datos (AEPD), patří k nejaktivnějším regulátorům v Evropě. Stejně jako každá země EU uplatňuje Španělsko GDPR, ale pravidlo o cookies pochází z vnitrostátního práva provádějícího směrnici ePrivacy. Pro vydavatele jsou pokyny AEPD k cookies nejpraktičtějším vodítkem k tomu, jak se tato pravidla ve Španělsku vykládají.

Tento článek shrnuje, co tyto pokyny znamenají pro typický web nebo aplikaci financované z reklamy. Jde o praktický přehled, nikoli právní radu.

Právní základ: článek 22.2 LSSI

Pravidlo o cookies ve Španělsku najdeme v článku 22.2 zákona 34/2002 o službách informační společnosti a elektronickém obchodu, známého jako LSSI. Vyžaduje, aby ukládání informací v zařízení uživatele nebo přístup k nim vycházelo ze souhlasu uděleného po jasném a úplném informování, s výjimkou ukládání, které je nezbytně nutné pro službu, o niž uživatel výslovně požádal, nebo pro přenos komunikace.

Pokud se cookies používají ke zpracování osobních údajů, platí také GDPR a španělský organický zákon 3/2018 (LOPDGDD), a proto je AEPD orgánem, s nímž se vydavatelé v otázkách cookies setkávají.

Průvodce AEPD o cookies

AEPD vydává Průvodce používáním cookies, připravený společně s odvětvovými asociacemi. Byl aktualizován v červenci 2023, aby odpovídal práci Evropského sboru pro ochranu osobních údajů o cookie bannerech a klamavých vzorcích designu, a organizace dostaly čas na přizpůsobení do ledna 2024. Hlavní body relevantní pro vydavatele jsou uvedeny níže.

Stejná výraznost odmítnutí

Aktualizovaný průvodce očekává, že pokud první vrstva banneru obsahuje tlačítko pro přijetí cookies, nabízí také rovnocenný způsob jejich odmítnutí, zobrazený na stejné úrovni a s podobnou viditelností. Možnost odmítnutí skrytá za odkazem “nastavení” rovnocenná není.

Žádný souhlas prohlížením

Posouvání, pokračování v navigaci ani zavření banneru se nepočítají jako souhlas. Uživatel musí provést jasný potvrzující úkon.

Jasné informace po vrstvách

Průvodce připouští vrstvený přístup: krátkou první vrstvu identifikující vydavatele, účely, zda jsou zapojeny třetí strany, a jak přijmout, odmítnout nebo nakonfigurovat; a druhou vrstvu s podrobnými informacemi o každém cookie, zúčastněných stranách a uchovávání.

Granulární volby

Uživatelé by měli mít možnost volit podle účelu a tam, kde je to užitečné, i podle třetí strany, místo aby čelili jedinému přepínači všechno, nebo nic.

Odvolání

Uživatelé musí mít možnost souhlas kdykoli odvolat, stejně snadno, jako jej udělili. Obvyklým řešením je trvalý odkaz nebo ikona, která znovu otevře nastavení.

Doba platnosti souhlasu

Průvodce doporučuje souhlas pravidelně obnovovat a navrhuje maximální platnost 24 měsíců, aby se uživatelů znovu zeptalo a volba nebyla uložena neomezeně dlouho.

Přístup podmíněný cookies

Průvodce se zabývá případy, kdy je přístup ke službě podmíněn přijetím cookies. Naznačuje, že to může být za určitých okolností přijatelné, například pokud je uživateli nabídnuta skutečná alternativa přístupu k obsahu bez přijetí cookies, která nemusí být zdarma. Vzhledem k samostatnému stanovisku EDPB k modelům “souhlas, nebo platba” u velkých platforem by vydavatelé, kteří tento přístup zvažují, měli vyhledat konkrétní právní poradenství.

Co to znamená v praxi

Pro většinu vydavatelů, kteří již v EU provozují CMP založený na TCF, vyžaduje Španělsko jen málo strukturálních změn. Body, které nejčastěji potřebují pozornost, jsou:

• Odmítnutí na první vrstvě. Pokud váš banner pro EU stále používá pouze “Přijmout” a “Spravovat možnosti”, španělský provoz je důvodem přidat viditelné tlačítko pro odmítnutí.
• Text ve španělštině. Účely a popisy třetích stran by pro uživatele ve Španělsku měly být v srozumitelné španělštině, nikoli strojově přeložené úryvky smíchané s anglickými názvy dodavatelů.
• Plán opětovného dotazování. Ověřte, že váš CMP obnovuje souhlas v rámci zvoleného období a že změny dodavatelů nebo účelů vyvolají nový dotaz.
• Zásady cookies. Informace druhé vrstvy a vaše zásady cookies udržujte v souladu s tím, co na webu skutečně běží.
• Načítání před souhlasem. Zajistěte, aby se před rozhodnutím uživatele nenastavovaly žádné reklamní ani analytické cookies. Stále jde o nejčastější zjištění ve vyšetřováních cookies všude.

Kontext vymáhání

AEPD pravidelně zveřejňuje svá rozhodnutí a mezi nimi se objevují i případy cookies, často týkající se bannerů bez skutečné možnosti odmítnutí nebo cookies nastavených před jakoukoli volbou. Částky a výsledky se případ od případu liší, takže užitečným poučením je vzorec zjištění, nikoli jakékoli číslo: chybějící možnosti odmítnutí, sledování před souhlasem a nejasné informace jsou problémy, které se objevují znovu a znovu.

Kontrolní seznam banneru připraveného pro Španělsko

1. Přijetí a odmítnutí nabízené na stejné úrovni v první vrstvě.
2. Před volbou žádné cookies kromě nezbytně nutných.
3. Jasné shrnutí první vrstvy ve španělštině s odkazem na podrobnosti.
4. Granulární ovládací prvky podle účelu ve druhé vrstvě.
5. Odvolání dostupné z každé stránky.
6. Souhlas obnovený v definovaném období, doporučeně nejvýše 24 měsíců.
7. Zásady cookies v souladu s tagy, které se skutečně načítají.

Hlavní poznatky

• Španělské pravidlo o cookies je článek 22.2 LSSI; AEPD jej vymáhá spolu s GDPR.
• Průvodce AEPD, aktualizovaný v červenci 2023, očekává, že odmítnutí bude v první vrstvě stejně snadné jako přijetí.
• Prohlížení nebo zavření banneru není souhlas.
• Průvodce doporučuje obnovovat souhlas alespoň každých 24 měsíců.
• Modely podmíněného přístupu vyžadují pečlivé právní posouzení pro každý případ zvlášť.