چارچوب قانونی

LFPDPPP در بالای یک چارچوب لایه‌بندی‌شده قرار دارد. خود قانون اصول اساسی را تعریف می‌کند — قانونی بودن، رضایت، اطلاعات، کیفیت، هدف، وفاداری، تناسب، پاسخگویی — که تدوین‌کنندگان مکزیکی از سنت اروپایی حمایت از داده‌ها وام گرفتند. زیر قانون، مقررات LFPDPPP قرار دارد که جزئیات عملیاتی را پر می‌کند، و Lineamientos del Aviso de Privacidad (رهنمودهای اطلاعیه حریم خصوصی) که مشخص می‌کند چه چیزی باید در اطلاعیه حریم خصوصی ظاهر شود و چگونه. این سه متن با هم معادل مکزیکی یک قانون حریم خصوصی یکپارچه را تشکیل می‌دهند، با قدرت عملی مقررات الزام‌آور.

برای ناشران آنلاین، مهم‌ترین مفاد قوانین رضایت در ماده‌های ۸ تا ۱۱ قانون و الزامات اطلاعیه حریم خصوصی هستند که نحوه درخواست رضایت را تنظیم می‌کنند. رضایت مکزیکی درجه‌بندی‌شده است: رضایت ضمنی برای برخی پردازش‌های داده‌های شخصی معمولی کافی است وقتی اطلاعیه مناسب داده شده باشد، اما برای داده‌های حساس و هر پردازشی که قانون به طور خاص آن را الزام می‌کند، رضایت صریح لازم است. سوال تفسیری برای بنرهای کوکی این است که کدام یک از این رژیم‌ها برای کوکی‌های رفتاری و تبلیغاتی اعمال می‌شود.

قانون مکزیک چگونه با کوکی‌ها و شناسه‌های آنلاین رفتار می‌کند

برخلاف دستورالعمل ePrivacy اتحادیه اروپا، LFPDPPP حاوی مفاد خاصی برای کوکی نیست. در عوض، چارچوب شناسه‌های آنلاین را زمانی داده‌های شخصی می‌داند که بتوان آن‌ها را به یک فرد قابل شناسایی مرتبط کرد، و تعهدات رضایت از چارچوب کلی ناشی می‌شوند نه از یک قانون اختصاصی کوکی. رهنمودهای INAI روشن کرده است که:

• کوکی‌های اول‌طرفی که کاملاً برای عملکرد سایت ضروری هستند نیازی به رضایت قبلی ندارند، اما وجود آن‌ها باید در اطلاعیه حریم خصوصی افشا شود.
• کوکی‌های تحلیلی به طور کلی نیاز به رضایت آگاهانه دارند، با قابل قبول بودن رضایت ضمنی زمانی که اطلاعیه حریم خصوصی قبل از جمع‌آوری هر داده‌ای به وضوح قابل دسترس باشد.
• کوکی‌های تبلیغاتی و رفتاری نیاز به رضایت صریح دارند، به خصوص جایی که داده‌ها با اشخاص ثالث به اشتراک گذاشته می‌شود یا برای ردیابی میان‌سایتی استفاده می‌شود.
• کوکی‌هایی که داده‌های حساس می‌گیرند — سلامت، گرایش جنسی، اعتقادات مذهبی، نظر سیاسی — بدون توجه به دسته‌بندی نیاز به رضایت صریح دارند.

اثر عملی این است که یک بنر کوکی مکزیکی مطابق ضوابط باید حداقل بین دسته‌های ضروری، تحلیلی و تبلیغاتی تمایز قائل شود، با opt-in تایید‌کننده مورد نیاز برای تبلیغات و اطلاع‌رسانی روشن برای تحلیل.

اطلاعیه حریم خصوصی به عنوان لنگر انطباق

قانون حریم خصوصی مکزیک به شیوه‌ای متمرکز بر اطلاعیه است که با سنت اروپایی متفاوت است. اطلاعیه حریم خصوصی — aviso de privacidad — صرفاً یک سند شفافیت نیست؛ ابزار قانونی است که از طریق آن رضایت ساختاربندی می‌شود. Lineamientos del Aviso de Privacidad الزام می‌کند که اطلاعیه حاوی عناصر خاصی باشد، و هر بنر کوکی باید با اطلاعیه زیرین سازگار باشد نه اینکه سعی کند همه چیز را در یک پاپ‌آپ بنر فشرده کند.

عناصر الزامی اطلاعیه

اطلاعیه باید کنترل‌کننده داده را شناسایی کند، داده‌های شخصی جمع‌آوری‌شده را فهرست کند، اهداف پردازش را توصیف کند، مشخص کند که آیا داده‌ها به اشخاص ثالث منتقل می‌شود، حقوق موضوع داده را شناسایی کند (acceso, rectificación, cancelación, oposición — به اصطلاح حقوق ARCO)، و توصیف کند که چگونه می‌توان از این حقوق استفاده کرد. برای یک ناشر آنلاین، بنر کوکی باید به عنوان یک نقطه ورودی لایه‌ای به اطلاعیه کامل عمل کند، نه جایگزینی برای آن.

کوتاه، ساده‌شده، یکپارچه

مقررات سه قالب اطلاعیه را می‌شناسند: یکپارچه (کامل)، ساده‌شده، و کوتاه. یک بنر کوکی معمولاً اطلاعیه کوتاه یا ساده‌شده را با مسیر واضحی به نسخه یکپارچه ارائه می‌دهد. دسته‌بندی‌های کوکی و دکمه‌های تغییر رضایت در این ساختار لایه‌ای قرار دارند.

اصلاحات INAI و آنچه بعد می‌آید

در اواخر ۲۰۲۴ دولت مکزیک اصلاحاتی را پیش برد که عملکرد فدرال حمایت از داده را بازساختاردهی می‌کند — INAI مستقل در حال جذب شدن به یک ترتیب نهادی جدید زیر قوه مجریه است. چارچوب قانونی (LFPDPPP، مقررات، lineamientos) به قوت خود باقی است، اما تداوم نظارتی سوال باز است. برای ناشران، موضع محافظه‌کارانه فرض کردن این است که استانداردهای ماهوی ثابت می‌مانند در حالی که شدت اجرا در دوره انتقال نامشخص است. ساختن بر اساس استانداردهایی که INAI قبل از اصلاحات بیان کرد — دسته‌بندی‌های دقیق، opt-in صریح برای تبلیغات، پشتیبانی کامل از حقوق ARCO، aviso de privacidad دقیق — استراتژی درست است صرف نظر از اینکه معماری نظارتی چگونه تثبیت شود.

چک‌لیست انطباق عملی

شش سوال مشخص برای پاسخ دادن برای هر بنر کوکی که به ترافیک مکزیکی خدمات می‌دهد.

۱. دسته‌بندی

آیا بنر کوکی‌ها را حداقل به دسته‌های ضروری، تحلیلی و تبلیغاتی تقسیم می‌کند، با opt-in تایید‌کننده برای تبلیغات؟ بسته‌بندی همه کوکی‌های غیرضروری در یک «پذیرش همه» واحد بدون دانه‌بندی رایج‌ترین نقص است.

۲. پیوند اطلاعیه حریم خصوصی

آیا بنر به اطلاعیه حریم خصوصی کامل لینک می‌دهد، و آیا آن اطلاعیه حاوی هر عنصر الزامی است (کنترل‌کننده، داده‌ها، اهداف، انتقال‌ها، حقوق ARCO)؟ بنری بدون اطلاعیه پشتیبان به درستی تنظیم‌شده سطح انطباق نازکی است.

۳. زبان اسپانیایی (مکزیکی)

آیا بنر به زبان اسپانیایی ارائه می‌شود، و آیا از قراردادهای اسپانیایی مکزیکی استفاده می‌کند در جایی که از اسپانیایی اروپایی متفاوت هستند؟ ثبت زبانی درست نشانه جدیت برای هر دو کاربران و ناظران است.

۴. مسیر انصراف

آیا یک کنترل دائمی وجود دارد که به کاربر اجازه می‌دهد انتخاب رضایت خود را مجدداً بررسی و تغییر دهد؟ حق لغو بخشی از حق «oposición» ARCO است و بنر باید آن را در نظر بگیرد.

۵. افشای انتقال به اشخاص ثالث

آیا اطلاعیه دسته‌بندی‌های اشخاص ثالثی را که از طریق کوکی‌ها داده‌های شخصی دریافت می‌کنند (شبکه‌های تبلیغاتی، ارائه‌دهندگان تحلیل، CDP‌ها) شناسایی می‌کند، با جزئیات کافی برای اینکه کاربر جریان داده را درک کند؟

۶. ثبت گزارش

آیا سیستم هر تصمیم رضایت را با زمان‌نما و نسخه بنر ثبت می‌کند تا در صورت شکایت، ناشر بتواند ثابت کند که تصمیم آزادانه و آگاهانه داده شده است؟

این چگونه با تصویر آمریکای لاتین هماهنگ می‌شود

مکزیک دومین بازار دیجیتال بزرگ آمریکای لاتین بعد از برزیل است، و رژیم حمایت از داده آن یکی از تاثیرگذارترین‌های منطقه است. بحث اصلاحات در حال جریان برای سال‌ها جهت تفسیری را شکل خواهد داد، اما استانداردهای ماهوی پایدار هستند: متمرکز بر اطلاعیه، مبتنی بر حقوق ARCO، رضایت دقیق برای تبلیغات، افشای کامل انتقال‌های اشخاص ثالث. ناشرانی که در سراسر آمریکای لاتین فعالیت می‌کنند از یک‌بار ساختن با استاندارد بالاتر بهره می‌برند — چارچوب اصلاح‌شده آرژانتین، LGPD برزیل، قانون اصلاح‌شده شیلی، و لایحه در انتظار کلمبیا همه بر انتظارات پایه مشابهی همگرا می‌شوند. یک CMP که از اسپانیایی مکزیکی پشتیبانی می‌کند، رضایت در سطح دسته را ضبط می‌کند، به وضوح به aviso de privacidad کامل لینک می‌دهد، و تصمیمات را به شکل حسابرسی ثبت می‌کند، انطباق مکزیکی را از طریق همان زیرساختی که انطباق منطقه‌ای را مدیریت می‌کند مدیریت می‌کند.