Miks Hispaania väärib eraldi pilku

Hispaania on hispaaniakeelsete avaldajate jaoks üks suurimaid vaatajaskondi maailmas ning selle andmekaitseasutus Agencia Española de Protección de Datos (AEPD) on Euroopa üks aktiivsemaid reguleerijaid. Nagu iga ELi riik, kohaldab Hispaania GDPR-i, kuid küpsiste reegel tuleneb ePrivacy direktiivi rakendavast siseriiklikust õigusest. Avaldajate jaoks on AEPD küpsisejuhised kõige praktilisem allikas, kuidas neid reegleid Hispaanias tõlgendatakse.

See artikkel võtab kokku, mida need juhised tähendavad tüüpilisele reklaamirahastusega saidile või rakendusele. See on praktiline ülevaade, mitte õigusnõu.

Õiguslik alus: LSSI artikkel 22.2

Küpsiste reegel Hispaanias asub infoühiskonna teenuste ja e-kaubanduse seaduse 34/2002 (LSSI) artiklis 22.2. See nõuab, et teabe salvestamine kasutaja seadmesse või sellele juurdepääs põhineks nõusolekul, mis on antud pärast selget ja täielikku teavet, erandiga salvestamisele, mis on rangelt vajalik kasutaja selgesõnaliselt taotletud teenuse jaoks või sõnumi edastamiseks.

Kui küpsiseid kasutatakse isikuandmete töötlemiseks, kohaldub ka GDPR ja Hispaania organiseeritud seadus 3/2018 (LOPDGDD), mistõttu on AEPD asutus, kellega avaldajad küpsiste küsimustes kokku puutuvad.

AEPD küpsisejuhend

AEPD avaldab küpsiste kasutamise juhendi, mis on koostatud koos tööstusliitudega. Seda uuendati 2023. aasta juulis, et viia see kooskõlla Euroopa Andmekaitsenõukogu tööga küpsisebännerite ja eksitavate disainimustrite teemal, ning organisatsioonidele anti kohanemiseks aega 2024. aasta jaanuarini. Avaldajatele olulisemad punktid on allpool.

Keeldumise võrdne esiletõstmine

Uuendatud juhend eeldab, et kui bänneri esimeses kihis on nupp küpsiste vastuvõtmiseks, pakub see ka samaväärset viisi nende tagasilükkamiseks, mis on esitatud samal tasemel ja sarnase nähtavusega. Keeldumisvõimalus, mis on peidetud “seadete” lingi taha, ei ole samaväärne.

Sirvimine ei ole nõusolek

Kerimine, navigeerimise jätkamine või bänneri sulgemine ei loe nõusolekuks. Kasutaja peab tegema selge kinnitava toimingu.

Selge teave kihtidena

Juhend aktsepteerib kihilist lähenemist: lühike esimene kiht, mis tuvastab avaldaja, eesmärgid, kas kolmandad osapooled on kaasatud ning kuidas nõustuda, keelduda või seadistada; ning teine kiht üksikasjaliku teabega iga küpsise, kaasatud osapoolte ja säilitamise kohta.

Granulaarsed valikud

Kasutajatel peaks olema võimalik valida eesmärgi ja vajaduse korral kolmanda osapoole kaupa, mitte seista silmitsi ühe kõik-või-mitte-midagi lülitiga.

Tagasivõtmine

Kasutajad peavad saama nõusoleku igal ajal tagasi võtta, sama lihtsalt kui nad selle andsid. Tavaliselt on lahenduseks püsiv link või ikoon, mis avab seaded uuesti.

Nõusoleku kestus

Juhend soovitab nõusolekut perioodiliselt uuendada ja soovitab maksimaalseks kehtivuseks 24 kuud, et kasutajatelt küsitaks uuesti, mitte ei salvestataks valikut määramata ajaks.

Küpsistest sõltuv juurdepääs

Juhend käsitleb juhtumeid, kus teenusele juurdepääs tehakse sõltuvaks küpsistega nõustumisest. See viitab, et see võib mõnel juhul olla vastuvõetav, näiteks kui kasutajale pakutakse tõelist alternatiivi sisule juurdepääsuks ilma küpsistega nõustumata, mis ei pea olema tasuta. Arvestades Euroopa Andmekaitsenõukogu eraldi arvamust “nõustu või maksa” mudelite kohta suurte platvormide puhul, peaksid seda lähenemist kaaluvad avaldajad küsima konkreetset õigusnõu.

Mida see praktikas tähendab

Enamiku avaldajate jaoks, kes juba kasutavad kogu ELis TCF-põhist CMP-d, nõuab Hispaania vähe struktuurimuutusi. Punktid, mis kõige sagedamini tähelepanu vajavad, on järgmised:

• Keeldumine esimeses kihis. Kui sinu ELi bänner kasutab endiselt ainult “Nõustu” ja “Halda valikuid”, on Hispaania liiklus põhjus lisada nähtav keeldumisnupp.
• Hispaaniakeelne tekst. Eesmärkide ja kolmandate osapoolte kirjeldused peaksid olema Hispaania kasutajatele selges hispaania keeles, mitte masintõlgitud killud, mis on segatud ingliskeelsete pakkujate nimedega.
• Uuesti küsimise ajakava. Kontrolli, et sinu CMP uuendab nõusolekut sinu valitud perioodi jooksul ning et pakkujate või eesmärkide muudatused käivitavad uue küsimise.
• Küpsisepoliitika. Hoia teise kihi teave ja küpsisepoliitika kooskõlas sellega, mis saidil tegelikult töötab.
• Laadimine enne nõusolekut. Veendu, et enne kasutaja otsust ei seata reklaami- ega analüütikaküpsiseid. See on endiselt kõige sagedasem tuvastus küpsiseuurimistes kõikjal.

Jõustamise kontekst

AEPD avaldab regulaarselt oma otsuseid ja nende hulgas esineb küpsisejuhtumeid, mis hõlmavad sageli bännereid ilma tõelise keeldumisvõimaluseta või küpsiseid, mis on seatud enne mis tahes valikut. Summad ja tulemused sõltuvad juhtumist, seega on kasulik õppetund tuvastuste muster, mitte ükski number: puuduvad keeldumisvõimalused, jälgimine enne nõusolekut ja ebaselge teave on probleemid, mis tulevad üha uuesti ette.

Hispaaniaks valmis bänneri kontrollnimekiri

1. Nõustumine ja keeldumine pakutakse esimeses kihis samal tasemel.
2. Enne valikut ei ole küpsiseid peale rangelt vajalike.
3. Selge esimese kihi kokkuvõte hispaania keeles koos lingiga üksikasjadele.
4. Granulaarsed juhtnupud eesmärkide kaupa teises kihis.
5. Tagasivõtmine on kättesaadav igalt lehelt.
6. Nõusolek uuendatakse määratud perioodi jooksul, soovitatavalt mitte rohkem kui 24 kuud.
7. Küpsisepoliitika on kooskõlas tegelikult laaditud märgenditega.

Peamised järeldused

• Hispaania küpsiste reegel on LSSI artikkel 22.2; AEPD jõustab seda koos GDPR-iga.
• AEPD juhend, mida uuendati 2023. aasta juulis, eeldab, et keeldumine on esimeses kihis sama lihtne kui nõustumine.
• Sirvimine või bänneri sulgemine ei ole nõusolek.
• Juhend soovitab nõusolekut uuendada vähemalt iga 24 kuu järel.
• Tingimuslik juurdepääs vajab hoolikat, juhtumipõhist õiguslikku hindamist.