Γιατί η Ισπανία αξίζει ξεχωριστή εξέταση

Η Ισπανία αποτελεί ένα από τα μεγαλύτερα κοινά για εκδότες ισπανόφωνου περιεχομένου παγκοσμίως, και η αρχή προστασίας δεδομένων της, η Agencia Española de Protección de Datos (AEPD), είναι μία από τις πιο δραστήριες ρυθμιστικές αρχές της Ευρώπης. Όπως κάθε χώρα της ΕΕ, η Ισπανία εφαρμόζει τον GDPR, όμως ο κανόνας για τα cookies προέρχεται από εθνικό δίκαιο που ενσωματώνει την οδηγία ePrivacy. Για τους εκδότες, οι οδηγίες της AEPD για τα cookies είναι η πιο πρακτική αναφορά για το πώς ερμηνεύονται αυτοί οι κανόνες στην Ισπανία.

Αυτό το άρθρο συνοψίζει τι σημαίνουν αυτές οι οδηγίες για έναν τυπικό ιστότοπο ή εφαρμογή που στηρίζεται στη διαφήμιση. Πρόκειται για πρακτική επισκόπηση, όχι για νομική συμβουλή.

Η νομική βάση: άρθρο 22.2 του LSSI

Ο κανόνας για τα cookies στην Ισπανία βρίσκεται στο άρθρο 22.2 του νόμου 34/2002 για τις υπηρεσίες της κοινωνίας της πληροφορίας και το ηλεκτρονικό εμπόριο, γνωστού ως LSSI. Απαιτεί η αποθήκευση ή η πρόσβαση σε πληροφορίες στη συσκευή του χρήστη να βασίζεται σε συναίνεση που δίνεται μετά από σαφή και πλήρη ενημέρωση, με εξαίρεση την αποθήκευση που είναι απολύτως αναγκαία για μια υπηρεσία που έχει ζητήσει ρητά ο χρήστης ή για τη διαβίβαση μιας επικοινωνίας.

Όταν τα cookies χρησιμοποιούνται για την επεξεργασία δεδομένων προσωπικού χαρακτήρα, εφαρμόζονται επίσης ο GDPR και ο ισπανικός Οργανικός Νόμος 3/2018 (LOPDGDD), γι' αυτό η AEPD είναι η αρχή με την οποία έρχονται σε επαφή οι εκδότες για θέματα cookies.

Ο οδηγός cookies της AEPD

Η AEPD δημοσιεύει έναν Οδηγό για τη χρήση των cookies, που συντάχθηκε από κοινού με επαγγελματικούς φορείς του κλάδου. Ενημερώθηκε τον Ιούλιο του 2023 ώστε να ευθυγραμμιστεί με το έργο του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων για τα banners cookies και τα παραπλανητικά μοτίβα σχεδιασμού, και δόθηκε προθεσμία στους οργανισμούς έως τον Ιανουάριο του 2024 για προσαρμογή. Τα βασικά σημεία που αφορούν τους εκδότες παρατίθενται παρακάτω.

Ισότιμη προβολή της απόρριψης

Ο ενημερωμένος οδηγός αναμένει ότι, αν το πρώτο επίπεδο του banner περιέχει κουμπί αποδοχής των cookies, προσφέρει και έναν ισοδύναμο τρόπο απόρριψής τους, στο ίδιο επίπεδο και με παρόμοια ορατότητα. Μια επιλογή απόρριψης κρυμμένη πίσω από σύνδεσμο «ρυθμίσεις» δεν είναι ισοδύναμη.

Καμία συναίνεση μέσω περιήγησης

Η κύλιση, η συνέχιση της περιήγησης ή το κλείσιμο του banner δεν θεωρούνται συναίνεση. Ο χρήστης πρέπει να προβεί σε σαφή θετική ενέργεια.

Σαφής ενημέρωση σε επίπεδα

Ο οδηγός αποδέχεται μια προσέγγιση πολλαπλών επιπέδων: ένα σύντομο πρώτο επίπεδο που προσδιορίζει τον εκδότη, τους σκοπούς, αν εμπλέκονται τρίτοι και πώς γίνεται η αποδοχή, η απόρριψη ή η διαμόρφωση· και ένα δεύτερο επίπεδο με λεπτομερείς πληροφορίες για κάθε cookie, τους εμπλεκόμενους και τη διατήρηση.

Αναλυτικές επιλογές

Οι χρήστες πρέπει να μπορούν να επιλέγουν ανά σκοπό και, όπου χρειάζεται, ανά τρίτο μέρος, αντί να αντιμετωπίζουν έναν ενιαίο διακόπτη του τύπου «όλα ή τίποτα».

Ανάκληση

Οι χρήστες πρέπει να μπορούν να ανακαλούν τη συναίνεση ανά πάσα στιγμή, εξίσου εύκολα με τον τρόπο που την έδωσαν. Η συνήθης λύση είναι ένας μόνιμος σύνδεσμος ή εικονίδιο που ανοίγει ξανά τις ρυθμίσεις.

Διάρκεια της συναίνεσης

Ο οδηγός συνιστά να ανανεώνεται περιοδικά η συναίνεση και προτείνει μέγιστη ισχύ 24 μηνών, ώστε οι χρήστες να ερωτώνται εκ νέου αντί η επιλογή τους να αποθηκεύεται επ' αόριστον.

Πρόσβαση υπό τον όρο των cookies

Ο οδηγός εξετάζει περιπτώσεις όπου η πρόσβαση σε μια υπηρεσία εξαρτάται από την αποδοχή cookies. Υποδεικνύει ότι αυτό μπορεί να είναι αποδεκτό υπό ορισμένες συνθήκες, για παράδειγμα όταν στον χρήστη προσφέρεται μια πραγματική εναλλακτική για πρόσβαση στο περιεχόμενο χωρίς αποδοχή cookies, η οποία δεν χρειάζεται να είναι δωρεάν. Λαμβάνοντας υπόψη τη χωριστή γνώμη του EDPB για τα μοντέλα «συναίνεση ή πληρωμή» για μεγάλες πλατφόρμες, οι εκδότες που εξετάζουν αυτή την προσέγγιση πρέπει να ζητήσουν συγκεκριμένη νομική συμβουλή.

Τι σημαίνει αυτό στην πράξη

Για τους περισσότερους εκδότες που ήδη τρέχουν ένα CMP βασισμένο στο TCF σε όλη την ΕΕ, η Ισπανία απαιτεί λίγες δομικές αλλαγές. Τα σημεία που χρειάζονται συχνότερα προσοχή είναι:

• Απόρριψη στο πρώτο επίπεδο. Αν το banner σας για την ΕΕ χρησιμοποιεί ακόμη μόνο «Αποδοχή» και «Διαχείριση επιλογών», η ισπανική επισκεψιμότητα είναι λόγος να προσθέσετε ένα ορατό κουμπί απόρριψης.
• Κείμενο στα ισπανικά. Οι σκοποί και οι περιγραφές τρίτων πρέπει να είναι σε σαφή ισπανικά για τους χρήστες στην Ισπανία, όχι αποσπάσματα μηχανικής μετάφρασης ανάμεικτα με αγγλικά ονόματα προμηθευτών.
• Χρονοδιάγραμμα νέας ερώτησης. Ελέγξτε ότι το CMP σας ανανεώνει τη συναίνεση εντός της περιόδου που έχετε επιλέξει και ότι οι αλλαγές σε προμηθευτές ή σκοπούς πυροδοτούν νέα ερώτηση.
• Πολιτική cookies. Διατηρήστε τις πληροφορίες του δεύτερου επιπέδου και την πολιτική cookies σε συμφωνία με ό,τι πραγματικά εκτελείται στον ιστότοπο.
• Φόρτωση πριν τη συναίνεση. Βεβαιωθείτε ότι δεν ορίζονται διαφημιστικά ή αναλυτικά cookies πριν αποφασίσει ο χρήστης. Αυτό παραμένει το συχνότερο εύρημα στις έρευνες για cookies παντού.

Το πλαίσιο της επιβολής

Η AEPD δημοσιεύει τακτικά τις αποφάσεις της, και οι υποθέσεις cookies περιλαμβάνονται σε αυτές, συχνά με banners χωρίς πραγματική επιλογή απόρριψης ή με cookies που ορίζονται πριν από οποιαδήποτε επιλογή. Τα ποσά και τα αποτελέσματα διαφέρουν ανά υπόθεση, επομένως το χρήσιμο δίδαγμα είναι το μοτίβο των ευρημάτων και όχι κάποιο ποσό: οι ελλείπουσες επιλογές απόρριψης, η παρακολούθηση πριν τη συναίνεση και η ασαφής ενημέρωση είναι τα ζητήματα που εμφανίζονται ξανά και ξανά.

Λίστα ελέγχου για banner έτοιμο για την Ισπανία

1. Αποδοχή και απόρριψη στο ίδιο επίπεδο στο πρώτο επίπεδο.
2. Κανένα cookie πέρα από τα απολύτως απαραίτητα πριν από την επιλογή.
3. Σαφής περίληψη στο πρώτο επίπεδο στα ισπανικά, με σύνδεσμο για λεπτομέρειες.
4. Αναλυτικοί έλεγχοι ανά σκοπό στο δεύτερο επίπεδο.
5. Ανάκληση διαθέσιμη από κάθε σελίδα.
6. Ανανέωση της συναίνεσης εντός καθορισμένης περιόδου, με σύσταση όχι πάνω από 24 μήνες.
7. Πολιτική cookies ευθυγραμμισμένη με τα tags που πράγματι φορτώνονται.

Βασικά συμπεράσματα

• Ο κανόνας της Ισπανίας για τα cookies είναι το άρθρο 22.2 του LSSI· η AEPD τον εφαρμόζει παράλληλα με τον GDPR.
• Ο οδηγός της AEPD, ενημερωμένος τον Ιούλιο του 2023, αναμένει η απόρριψη να είναι εξίσου εύκολη με την αποδοχή στο πρώτο επίπεδο.
• Η περιήγηση ή το κλείσιμο του banner δεν αποτελεί συναίνεση.
• Ο οδηγός συνιστά ανανέωση της συναίνεσης τουλάχιστον κάθε 24 μήνες.
• Τα μοντέλα υπό όρους πρόσβασης απαιτούν προσεκτική νομική εξέταση ανά περίπτωση.