Õiguslik raamistik

LFPDPPP asub kihilise raamistiku tipus. Seadus ise määratleb põhiprintsiibid — seaduslikkus, nõusolek, teave, kvaliteet, eesmärk, ustavus, proportsionaalsus, vastutus —, mida Mehhiko koostajad laenasid Euroopa andmekaitsetraditsioonist. Seaduse all asuvad LFPDPPP määrused, mis täidavad tegevuslikud üksikasjad, ning Lineamientos del Aviso de Privacidad (privaatsusteatise juhised), mis täpsustavad, mida privaatsusteatises peab olema ja kuidas. Need kolm teksti moodustavad koos Mehhiko vaste ühtlustatud privaatsuseeskirjale, millel on siduvate määruste praktiline jõud.

Veebis tegutsevate kirjastajate jaoks on kõige olulisemad sätted seaduse artiklite 8 kuni 11 nõusolekueeskirjad ning privaatsusteatise nõuded, mis reguleerivad nõusoleku küsimise viisi. Mehhiko nõusolek on astmeline: kaudne nõusolek on piisav mõningate tavapäraste isikuandmete töötlemiseks, kui nõuetekohane teatis on antud, kuid tundlike andmete puhul ning kõikidel juhtudel, kus seadus seda nõuab, on vajalik selgesõnaline nõusolek. Küpsistebännerite tõlgenduslik küsimus on, kumb neist režiimidest kehtib käitumuslike ja reklaamiküpsiste suhtes.

Kuidas Mehhiko seadus käsitleb küpsiseid ja veebitunnuseid

Erinevalt ELi ePrivacy direktiivist ei sisalda LFPDPPP küpsistespetsiifilist sätet. Selle asemel käsitleb raamistik veebis kasutatavaid tunnuseid isikuandmetena juhul, kui neid saab seostada tuvastatava isikuga, ning nõusolekukohustused tulenevad üldisest raamistikust, mitte spetsiaalsest küpsistereeglist. INAI juhised on selgitanud järgmist:

• Esimese osapoole küpsised, mis on saidi toimimiseks rangelt vajalikud, ei vaja eelnevat nõusolekut, kuid nende olemasolu tuleb privaatsusteatises avalikustada.
• Analüütikaküpsised nõuavad üldjuhul teadlikku nõusolekut, kusjuures kaudne nõusolek on vastuvõetav, kui privaatsusteatis on enne andmete kogumist selgelt kättesaadav.
• Reklaami- ja käitumuslikud küpsised nõuavad selgesõnalist nõusolekut, eriti juhul, kui andmeid jagatakse kolmandate osapooltega või kasutatakse saitideüleseks jälgimiseks.
• Tundlikke andmeid koguvatest küpsistest — tervis, seksuaalne sättumus, usutunnistus, poliitiline veendumus — nõuavad selgesõnalist nõusolekut olenemata kategooriast.

Praktiline mõju on see, et vastavuses olev Mehhiko küpsistebänner peab eristama vähemalt vajalikke, analüütika- ja reklaamikategooriate vahel, kusjuures reklaami puhul on nõutav aktiivne sisseregistreerimine ning analüütika puhul selge teatis.

Privaatsusteatis kui vastavuse ankur

Mehhiko privaatsusseadus on teatisekeskne viisil, mis erineb Euroopa traditsioonist. Privaatsusteatis — aviso de privacidad — ei ole lihtsalt läbipaistvusdokument; see on õiguslik instrument, mille kaudu nõusolek on struktureeritud. Lineamientos del Aviso de Privacidad nõuab, et teatis sisaldaks konkreetseid elemente, ning iga küpsistebänner peab olema kooskõlas aluseks oleva teatisega, mitte püüdma kõike bänneri hüpikaknas kokku suruda.

Nõutavad teatise elemendid

Teatis peab tuvastama andmetöötleja, loetlema kogutavad isikuandmed, kirjeldama töötlemise eesmärke, täpsustama, kas andmeid edastatakse kolmandatele osapooltele, tuvastama andmesubjekti õigused (acceso, rectificación, cancelación, oposición — nn ARCO õigused) ning kirjeldama, kuidas neid õigusi saab kasutada. Veebis tegutseva kirjastaja jaoks peab küpsistebänner toimima kihilise sisenemispunktina täisteatisesse, mitte selle asendajana.

Lühike, lihtsustatud, terviklik

Määrused tunnustavad kolme teatisevormingut: terviklik (täielik), lihtsustatud ja lühike. Küpsistebänner esitab tavaliselt lühikese või lihtsustatud teatise koos selge teega tervikliku versiooni juurde. Küpsistekategooriad ja nõusoleku lülitid asuvad selles kihilises struktuuris.

INAI reform ja mis tuleb järgmisena

2024. aasta lõpus edendas Mehhiko valitsus reformi, mis korraldab ümber föderaalse andmekaitsefunktsiooni — autonoomne INAI imendatakse täitevvõimu alla uude institutsioonilisse korraldusesse. Õiguslik raamistik (LFPDPPP, määrused, lineamientos) jääb jõusse, kuid järelevalve järjepidevus on lahtine küsimus. Kirjastajate jaoks on konservatiivne hoiak eeldada, et sisulised standardid jäävad samaks, samas kui täitmisintensiivsus on üleminekuperioodil ebakindel. Reformieelsete INAI standardite järgi ehitamine — täpsemad kategooriad, selgesõnaline sisseregistreerimine reklaami jaoks, täielik ARCO-õiguste tugi, täpne aviso de privacidad — on õige strateegia olenemata sellest, kuidas järelevalvearkkitektuur stabiliseerub.

Praktiline vastavuse kontrollnimekiri

Kuus konkreetset küsimust, millele vastata iga Mehhiko liiklusele teenindava küpsistebänneri puhul.

1. Kategoriseerimine

Kas bänner eraldab küpsised vähemalt vajalikeks, analüütika- ja reklaamikategooriateks, kusjuures reklaami puhul on vajalik aktiivne sisseregistreerimine? Kõikide mittevajalike küpsiste koondamine ühele "Nõustu kõigiga" nupule ilma täpsuseta on kõige levinum puudus.

2. Privaatsusteatise linkimine

Kas bänner lingib täieliku privaatsusteatisega ning kas see teatis sisaldab kõiki nõutavaid elemente (vastutav töötleja, andmed, eesmärgid, edastused, ARCO õigused)? Bänner ilma korrektselt koostatud alustatiseta on õhuke vastavuspind.

3. Hispaania (Mehhiko) keel

Kas bänner on esitatud hispaania keeles ning kas see kasutab Mehhiko hispaania keele konventsioone, kus need erinevad Euroopa hispaania keelest? Õige keeleline register annab nii kasutajatele kui ka järelevalvajatele tõsiduse märku.

4. Tagasivõtmise tee

Kas olemas on püsiv juhtelement, mis võimaldab kasutajal oma nõusolekuotsust uuesti üle vaadata ja muuta? Tühistamisõigus on ARCO "oposición" õiguse osa ning bänner peab seda võimaldama.

5. Kolmanda osapoole edastamise avalikustamine

Kas teatis tuvastab kolmandate osapoolte kategooriad, kes saavad küpsiste kaudu isikuandmeid (reklaamivõrgustikud, analüütikapakkujad, CDP-d), piisava üksikasjalikkusega, et kasutaja mõistaks andmevoogu?

6. Logimine

Kas süsteem salvestab iga nõusolekuotsuse koos ajatempli ja bänneri versiooniga, nii et kaebuse korral saab kirjastaja tõendada, et otsus tehti vabalt ja teadlikult?

Kuidas see sobib Ladina-Ameerika pildiga

Mehhiko on Ladina-Ameerika teine suurim digitaalturg pärast Brasiiliat ning selle andmekaitserežiim on üks piirkonna mõjukamaid. Praegu käiv reformidebatt kujundab tõlgendussuunda aastaid, kuid sisulised standardid on stabiilsed: teatisekesksed, ARCO-õigustepõhised, üksikasjalik nõusolek reklaami jaoks, täielik kolmandate osapoolte edastamise avalikustamine. Ladina-Ameerikas tegutsevad kirjastajad saavad kasu ühekordse ehitamise teel kõrgema standardi järgi — Argentina reformitud raamistik, Brasiilia LGPD, Tšiili reformitud seadus ja Colombia menetlusel olev seaduseelnõu koonduvad kõik sarnastele baasootustele. CMP, mis toetab Mehhiko hispaania keelt, hõivab kategooriataseme nõusoleku, lingib puhtalt täieliku aviso de privacidad'iga ning logib otsused auditikvaliteediga kujul, käsitleb Mehhiko vastavust sama infrastruktuuriga, mis käsitleb piirkondlikku vastavust.