راهنمای کوکی AEPD اسپانیا: آنچه ناشران باید بدانند
چرا اسپانیا بررسی جداگانه‌ای می‌طلبد
اسپانیا یکی از بزرگ‌ترین مخاطبان ناشران اسپانیایی‌زبان در سراسر جهان است و نهاد حفاظت از داده آن، Agencia Española de Protección de Datos (AEPD)، یکی از فعال‌ترین نهادهای نظارتی در اروپاست. اسپانیا مانند هر کشور اتحادیه اروپا GDPR را اعمال می‌کند، اما قاعده مربوط به کوکی‌ها از قانون ملی‌ای می‌آید که دستورالعمل ePrivacy را اجرا می‌کند. برای ناشران، راهنمای AEPD درباره کوکی‌ها عملی‌ترین مرجع برای فهم نحوه تفسیر این قواعد در اسپانیاست.
این مقاله خلاصه می‌کند که آن راهنما برای یک سایت یا اپلیکیشن معمولی متکی بر تبلیغات چه معنایی دارد. این یک مرور عملی است، نه مشاوره حقوقی.
مبنای قانونی: ماده ۲۲.۲ قانون LSSI
قاعده کوکی در اسپانیا در ماده ۲۲.۲ قانون ۳۴/۲۰۰۲ درباره خدمات جامعه اطلاعاتی و تجارت الکترونیک قرار دارد که با نام LSSI شناخته می‌شود. این ماده الزام می‌کند که ذخیره یا دسترسی به اطلاعات روی دستگاه کاربر بر مبنای رضایتی باشد که پس از اطلاعات روشن و کامل داده شده است، با استثنا برای ذخیره‌سازی‌ای که برای خدمتی که کاربر صراحتاً درخواست کرده یا برای انتقال یک ارتباط کاملاً ضروری است.
وقتی از کوکی‌ها برای پردازش داده‌های شخصی استفاده می‌شود، GDPR و قانون ارگانیک ۳/۲۰۱۸ اسپانیا (LOPDGDD) نیز اعمال می‌شوند، به همین دلیل AEPD نهادی است که ناشران در امور کوکی با آن سروکار دارند.
راهنمای کوکی AEPD
AEPD یک راهنمای استفاده از کوکی‌ها منتشر می‌کند که با همکاری انجمن‌های صنعت تهیه شده است. این راهنما در ژوئیه ۲۰۲۳ برای هماهنگی با کار هیئت حفاظت از داده اروپا درباره بنرهای کوکی و الگوهای طراحی فریبنده به‌روز شد و به سازمان‌ها تا ژانویه ۲۰۲۴ برای انطباق مهلت داده شد. نکات اصلی مرتبط با ناشران در ادامه آمده است.
برجستگی برابر برای رد کردن
راهنمای به‌روزشده انتظار دارد که اگر لایه اول بنر دکمه‌ای برای پذیرش کوکی‌ها دارد، راه معادلی نیز برای رد آن‌ها ارائه دهد که در همان سطح و با دیدپذیری مشابه نمایش داده شود. گزینه رد که پشت پیوند «تنظیمات» پنهان شده معادل نیست.
رضایت از طریق گشت‌وگذار وجود ندارد
اسکرول کردن، ادامه پیمایش یا بستن بنر رضایت محسوب نمی‌شود. کاربر باید اقدامی مثبت و روشن انجام دهد.
اطلاعات روشن در لایه‌ها
راهنما رویکرد لایه‌ای را می‌پذیرد: یک لایه اول کوتاه که ناشر، اهداف، دخیل بودن یا نبودن اشخاص ثالث و نحوه پذیرش، رد یا پیکربندی را مشخص می‌کند؛ و یک لایه دوم با اطلاعات تفصیلی درباره هر کوکی، طرف‌های دخیل و مدت نگهداری.
انتخاب‌های جزئی
کاربران باید بتوانند بر اساس هدف و در صورت مفید بودن بر اساس شخص ثالث انتخاب کنند، نه اینکه با یک کلید واحد همه‌یا‌هیچ روبه‌رو شوند.
پس‌گرفتن رضایت
کاربران باید بتوانند در هر زمان رضایت را به همان آسانی که داده‌اند پس بگیرند. یک پیوند یا نماد دائمی که تنظیمات را دوباره باز می‌کند راه‌حل معمول است.
مدت رضایت
راهنما توصیه می‌کند رضایت به‌صورت دوره‌ای تمدید شود و حداکثر اعتبار ۲۴ ماه را پیشنهاد می‌کند، تا از کاربران دوباره پرسیده شود و انتخابشان برای همیشه ذخیره نماند.
دسترسی مشروط به کوکی‌ها
راهنما مواردی را بررسی می‌کند که دسترسی به یک خدمت مشروط به پذیرش کوکی‌ها می‌شود. اشاره می‌کند که این ممکن است در برخی شرایط پذیرفتنی باشد، برای مثال وقتی به کاربر جایگزینی واقعی برای دسترسی به محتوا بدون پذیرش کوکی‌ها ارائه می‌شود که لازم نیست رایگان باشد. با توجه به نظر جداگانه EDPB درباره مدل‌های «رضایت یا پرداخت» برای پلتفرم‌های بزرگ، ناشرانی که این رویکرد را در نظر دارند باید مشاوره حقوقی تخصصی بگیرند.
این در عمل چه معنایی دارد
برای بیشتر ناشرانی که از قبل در سراسر اتحادیه اروپا یک CMP مبتنی بر TCF اجرا می‌کنند، اسپانیا به تغییرات ساختاری اندکی نیاز دارد. نکاتی که بیشتر به توجه نیاز دارند:
- رد کردن در لایه اول. اگر بنر اتحادیه اروپای شما هنوز فقط «پذیرفتن» به‌علاوه «مدیریت گزینه‌ها» دارد، ترافیک اسپانیا دلیلی برای افزودن یک دکمه رد قابل‌مشاهده است.
- متن اسپانیایی. توضیح اهداف و اشخاص ثالث باید برای کاربران اسپانیا به اسپانیایی روشن باشد، نه تکه‌های ترجمه ماشینی آمیخته با نام فروشندگان انگلیسی.
- برنامه پرسش مجدد. بررسی کنید CMP شما رضایت را در بازه انتخابی شما تمدید می‌کند و تغییر فروشندگان یا اهداف، پرسش جدیدی را فعال می‌کند.
- سیاست کوکی. اطلاعات لایه دوم و سیاست کوکی خود را با آنچه واقعاً روی سایت اجرا می‌شود هماهنگ نگه دارید.
- بارگذاری پیش از رضایت. مطمئن شوید پیش از تصمیم کاربر هیچ کوکی تبلیغاتی یا تحلیلی تنظیم نمی‌شود. این همچنان رایج‌ترین یافته در بررسی‌های کوکی در همه جاست.
زمینه اجرا و نظارت
AEPD مرتباً مصوبات خود را منتشر می‌کند و پرونده‌های کوکی نیز میان آن‌هاست، که اغلب مربوط به بنرهای بدون گزینه رد واقعی یا کوکی‌هایی است که پیش از هر انتخابی تنظیم شده‌اند. مبالغ و نتایج بسته به پرونده متفاوت است، بنابراین درس مفید الگوی یافته‌هاست نه هر رقمی: نبود گزینه رد، ردیابی پیش از رضایت و اطلاعات نامشخص مسائلی هستند که بارها تکرار می‌شوند.
چک‌لیست بنر آماده برای اسپانیا
- پذیرش و رد در لایه اول در یک سطح ارائه شوند.
- پیش از انتخاب هیچ کوکی‌ای جز موارد کاملاً ضروری نباشد.
- خلاصه روشن لایه اول به اسپانیایی، با پیوند به جزئیات.
- کنترل‌های جزئی بر اساس هدف در لایه دوم.
- امکان پس‌گرفتن رضایت از هر صفحه.
- رضایت در بازه مشخصی تمدید شود و حداکثر ۲۴ ماه توصیه می‌شود.
- سیاست کوکی با تگ‌هایی که واقعاً بارگذاری می‌شوند همسو باشد.
نکات کلیدی
- قاعده کوکی در اسپانیا ماده ۲۲.۲ LSSI است؛ AEPD آن را در کنار GDPR اجرا می‌کند.
- راهنمای AEPD که در ژوئیه ۲۰۲۳ به‌روز شد، انتظار دارد رد کردن در لایه اول به آسانی پذیرفتن باشد.
- گشت‌وگذار یا بستن بنر رضایت نیست.
- راهنما تمدید رضایت دست‌کم هر ۲۴ ماه را توصیه می‌کند.
- مدل‌های دسترسی مشروط به بررسی حقوقی دقیق و موردی نیاز دارند.