Miksi Espanja ansaitsee oman tarkastelunsa

Espanja on espanjankielisille julkaisijoille yksi maailman suurimmista yleisöistä, ja sen tietosuojaviranomainen Agencia Española de Protección de Datos (AEPD) on yksi Euroopan aktiivisimmista sääntelijöistä. Kuten jokainen EU-maa, Espanja soveltaa GDPR:ää, mutta evästesääntö tulee ePrivacy-direktiiviä täytäntöön panevasta kansallisesta laista. Julkaisijoille AEPD:n evästeohjeet ovat käytännöllisin lähde sille, miten nämä säännöt tulkitaan Espanjassa.

Tämä artikkeli tiivistää, mitä ohjeet tarkoittavat tyypilliselle mainosrahoitteiselle sivustolle tai sovellukselle. Se on käytännön yleiskatsaus, ei oikeudellista neuvontaa.

Oikeusperuste: LSSI:n 22.2 artikla

Evästesääntö Espanjassa on tietoyhteiskunnan palveluista ja sähköisestä kaupankäynnistä annetun lain 34/2002 (LSSI) 22.2 artiklassa. Se edellyttää, että tietojen tallentaminen käyttäjän laitteelle tai pääsy niihin perustuu suostumukseen, joka on annettu selkeän ja täydellisen tiedon perusteella, poikkeuksena tallentaminen, joka on ehdottoman välttämätöntä käyttäjän nimenomaisesti pyytämälle palvelulle tai viestinnän välittämiselle.

Kun evästeitä käytetään henkilötietojen käsittelyyn, sovelletaan myös GDPR:ää ja Espanjan organista lakia 3/2018 (LOPDGDD), minkä vuoksi AEPD on viranomainen, jonka kanssa julkaisijat ovat tekemisissä evästeasioissa.

AEPD:n evästeopas

AEPD julkaisee evästeiden käyttöä koskevan oppaan, joka on laadittu yhdessä toimialajärjestöjen kanssa. Sitä päivitettiin heinäkuussa 2023 vastaamaan Euroopan tietosuojaneuvoston työtä evästebannereiden ja harhaanjohtavien suunnittelumallien parissa, ja organisaatioille annettiin aikaa mukautua tammikuuhun 2024 asti. Julkaisijoiden kannalta tärkeimmät kohdat ovat alla.

Hylkäämiselle yhtäläinen näkyvyys

Päivitetty opas edellyttää, että jos bannerin ensimmäisessä kerroksessa on painike evästeiden hyväksymiseen, siinä on myös vastaava tapa hylätä ne, esitettynä samalla tasolla ja samanlaisella näkyvyydellä. “Asetukset”-linkin taakse piilotettu hylkäysvaihtoehto ei ole vastaava.

Selailu ei ole suostumus

Vieritys, selauksen jatkaminen tai bannerin sulkeminen ei ole suostumus. Käyttäjän on tehtävä selkeä vahvistava toimi.

Selkeä tieto kerroksittain

Opas hyväksyy kerroksellisen lähestymistavan: lyhyt ensimmäinen kerros, joka tunnistaa julkaisijan, tarkoitukset, onko mukana kolmansia osapuolia ja miten hyväksyä, hylätä tai määrittää; sekä toinen kerros, jossa on yksityiskohtaiset tiedot jokaisesta evästeestä, osapuolista ja säilytyksestä.

Yksityiskohtaiset valinnat

Käyttäjien pitäisi voida valita tarkoituksen ja tarvittaessa kolmannen osapuolen mukaan sen sijaan, että heillä olisi vain yksi kaikki tai ei mitään -kytkin.

Peruuttaminen

Käyttäjien on voitava peruuttaa suostumus milloin tahansa yhtä helposti kuin se annettiin. Tavallinen ratkaisu on pysyvä linkki tai kuvake, joka avaa asetukset uudelleen.

Suostumuksen kesto

Opas suosittelee suostumuksen uusimista määräajoin ja ehdottaa enimmäisvoimassaoloksi 24 kuukautta, jotta käyttäjiltä kysytään uudelleen eikä valintaa tallenneta rajattomasti.

Evästeistä riippuvainen pääsy

Opas käsittelee tapauksia, joissa palveluun pääsy tehdään riippuvaiseksi evästeiden hyväksymisestä. Se osoittaa, että tämä voi olla hyväksyttävää joissakin olosuhteissa, esimerkiksi kun käyttäjälle tarjotaan todellinen vaihtoehto päästä sisältöön hyväksymättä evästeitä, jonka ei tarvitse olla ilmainen. Ottaen huomioon Euroopan tietosuojaneuvoston erillisen lausunnon “suostu tai maksa” -malleista suurille alustoille, tätä lähestymistapaa harkitsevien julkaisijoiden tulisi hankkia nimenomaista oikeudellista neuvontaa.

Mitä tämä tarkoittaa käytännössä

Useimmille julkaisijoille, jotka jo käyttävät TCF-pohjaista CMP:tä kaikkialla EU:ssa, Espanja vaatii vain vähän rakenteellisia muutoksia. Kohdat, jotka tarvitsevat useimmin huomiota, ovat:

• Hylkääminen ensimmäisessä kerroksessa. Jos EU-bannerisi käyttää edelleen vain “Hyväksy” ja “Hallitse asetuksia” -vaihtoehtoja, Espanjan liikenne on syy lisätä näkyvä hylkäyspainike.
• Espanjankielinen teksti. Tarkoitusten ja kolmansien osapuolten kuvausten tulisi olla selkeää espanjaa Espanjan käyttäjille, ei konekäännettyjä katkelmia sekoitettuna englanninkielisiin toimittajien nimiin.
• Uudelleenkysymisaikataulu. Tarkista, että CMP:si uusii suostumuksen valitsemasi ajan sisällä ja että toimittajien tai tarkoitusten muutokset käynnistävät uuden kysymisen.
• Evästekäytäntö. Pidä toisen kerroksen tiedot ja evästekäytäntösi johdonmukaisina sen kanssa, mitä sivustolla todella toimii.
• Lataus ennen suostumusta. Varmista, ettei mainos- tai analytiikkaevästeitä aseteta ennen kuin käyttäjä on päättänyt. Tämä on edelleen yleisin havainto evästetutkinnoissa kaikkialla.

Täytäntöönpanon konteksti

AEPD julkaisee säännöllisesti ratkaisunsa, ja niiden joukossa on evästetapauksia, jotka koskevat usein bannereita ilman todellista hylkäysvaihtoehtoa tai evästeitä, jotka on asetettu ennen mitään valintaa. Summat ja lopputulokset vaihtelevat tapauksittain, joten hyödyllinen opetus on havaintojen kaava eikä mikään luku: puuttuvat hylkäysvaihtoehdot, seuranta ennen suostumusta ja epäselvä tieto ovat ongelmia, jotka toistuvat yhä uudelleen.

Espanjaan valmiin bannerin tarkistuslista

1. Hyväksyminen ja hylkääminen tarjotaan samalla tasolla ensimmäisessä kerroksessa.
2. Ei evästeitä ehdottoman välttämättömiä lukuun ottamatta ennen valintaa.
3. Selkeä ensimmäisen kerroksen yhteenveto espanjaksi ja linkki lisätietoihin.
4. Yksityiskohtaiset ohjaimet tarkoituksittain toisessa kerroksessa.
5. Peruuttaminen on saatavilla jokaiselta sivulta.
6. Suostumus uusitaan määritellyn ajan sisällä, suositeltavasti enintään 24 kuukauden välein.
7. Evästekäytäntö vastaa todella ladattuja tageja.

Keskeiset opit

• Espanjan evästesääntö on LSSI:n 22.2 artikla; AEPD valvoo sitä GDPR:n ohella.
• AEPD:n heinäkuussa 2023 päivitetty opas edellyttää, että hylkääminen on ensimmäisessä kerroksessa yhtä helppoa kuin hyväksyminen.
• Selailu tai bannerin sulkeminen ei ole suostumus.
• Opas suosittelee suostumuksen uusimista vähintään 24 kuukauden välein.
• Ehdolliset pääsymallit vaativat huolellista, tapauskohtaista oikeudellista arviointia.