Pourquoi l’Espagne mérite un examen à part

L’Espagne compte parmi les plus grandes audiences pour les éditeurs hispanophones dans le monde, et son autorité de protection des données, l’Agencia Española de Protección de Datos (AEPD), est l’un des régulateurs les plus actifs d’Europe. Comme tous les pays de l’UE, l’Espagne applique le RGPD, mais la règle sur les cookies provient de la loi nationale transposant la directive ePrivacy. Pour les éditeurs, les orientations de l’AEPD sur les cookies constituent la référence la plus pratique pour savoir comment ces règles sont lues en Espagne.

Cet article résume ce que ces orientations signifient pour un site ou une application typique financé par la publicité. Il s’agit d’un aperçu pratique, pas d’un avis juridique.

La base juridique : article 22.2 de la LSSI

La règle sur les cookies en Espagne figure à l’article 22.2 de la loi 34/2002 sur les services de la société de l’information et le commerce électronique, dite LSSI. Elle exige que le stockage d’informations sur l’appareil d’un utilisateur, ou l’accès à celles-ci, repose sur un consentement donné après une information claire et complète, avec une exception pour le stockage strictement nécessaire à un service explicitement demandé par l’utilisateur ou à la transmission d’une communication.

Lorsque des cookies servent à traiter des données personnelles, le RGPD et la loi organique espagnole 3/2018 (LOPDGDD) s’appliquent aussi, ce qui explique que l’AEPD soit l’autorité à laquelle les éditeurs ont affaire en matière de cookies.

Le guide des cookies de l’AEPD

L’AEPD publie un Guide sur l’utilisation des cookies, élaboré avec des associations professionnelles. Il a été mis à jour en juillet 2023 pour s’aligner sur les travaux du Comité européen de la protection des données relatifs aux bannières de cookies et aux schémas de conception trompeurs, et les organisations ont eu jusqu’en janvier 2024 pour s’adapter. Les principaux points pertinents pour les éditeurs figurent ci-dessous.

Une visibilité égale pour le refus

Le guide mis à jour attend que, si la première couche de la bannière contient un bouton pour accepter les cookies, elle propose aussi un moyen équivalent de les refuser, présenté au même niveau et avec une visibilité similaire. Une option de refus cachée derrière un lien “réglages” n’est pas équivalente.

Pas de consentement par la navigation

Faire défiler la page, continuer à naviguer ou fermer la bannière ne valent pas consentement. L’utilisateur doit accomplir un acte positif clair.

Une information claire par couches

Le guide admet une approche en couches : une courte première couche identifiant l’éditeur, les finalités, l’éventuelle participation de tiers et la manière d’accepter, de refuser ou de configurer ; et une deuxième couche avec des informations détaillées sur chaque cookie, les parties concernées et la durée de conservation.

Des choix granulaires

Les utilisateurs doivent pouvoir choisir par finalité, et lorsque c’est utile par tiers, plutôt que de se voir imposer un unique interrupteur du tout ou rien.

Retrait

Les utilisateurs doivent pouvoir retirer leur consentement à tout moment, aussi facilement qu’ils l’ont donné. Un lien ou une icône persistants qui rouvrent les réglages constituent la solution habituelle.

Durée du consentement

Le guide recommande que le consentement soit renouvelé périodiquement et suggère une validité maximale de 24 mois, de sorte que les utilisateurs soient sollicités de nouveau au lieu qu’un choix soit conservé indéfiniment.

Accès conditionné aux cookies

Le guide aborde les cas où l’accès à un service est subordonné à l’acceptation des cookies. Il indique que cela peut être acceptable dans certaines circonstances, par exemple lorsque l’utilisateur se voit offrir une véritable alternative pour accéder au contenu sans accepter les cookies, alternative qui n’a pas besoin d’être gratuite. Compte tenu de l’avis distinct du CEPD sur les modèles “consentir ou payer” pour les grandes plateformes, les éditeurs qui envisagent cette approche devraient demander un avis juridique spécifique.

Ce que cela signifie en pratique

Pour la plupart des éditeurs qui exploitent déjà un CMP fondé sur le TCF dans l’UE, l’Espagne exige peu de changements structurels. Les points qui demandent le plus souvent de l’attention sont :

• Refus en première couche. Si votre bannière pour l’UE n’utilise encore que “Accepter” plus “Gérer les options”, le trafic espagnol est une raison d’ajouter un bouton de refus visible.
• Textes en espagnol. Les finalités et les descriptions des tiers doivent être rédigées en espagnol clair pour les utilisateurs en Espagne, et non en fragments traduits automatiquement mêlés à des noms de fournisseurs en anglais.
• Calendrier de nouvelle sollicitation. Vérifiez que votre CMP renouvelle le consentement dans la période que vous avez choisie, et que les changements de fournisseurs ou de finalités déclenchent une nouvelle sollicitation.
• Politique en matière de cookies. Gardez les informations de la deuxième couche et votre politique en matière de cookies cohérentes avec ce qui s’exécute réellement sur le site.
• Chargement avant consentement. Assurez-vous qu’aucun cookie publicitaire ou analytique n’est déposé avant que l’utilisateur ne décide. Cela reste la constatation la plus fréquente dans les enquêtes sur les cookies partout.

Contexte de l’application de la loi

L’AEPD publie régulièrement ses résolutions, et des affaires de cookies en font partie, impliquant souvent des bannières sans véritable option de refus ou des cookies déposés avant tout choix. Les montants et les issues varient selon les affaires ; l’enseignement utile est donc le schéma des constatations plutôt qu’un chiffre : les options de refus manquantes, le suivi avant consentement et les informations peu claires sont les problèmes qui reviennent sans cesse.

Une checklist de bannière adaptée à l’Espagne

1. Accepter et refuser proposés au même niveau dans la première couche.
2. Aucun cookie autre que strictement nécessaire avant un choix.
3. Résumé clair de la première couche en espagnol, avec un lien vers les détails.
4. Contrôles granulaires par finalité dans la deuxième couche.
5. Retrait disponible depuis chaque page.
6. Consentement renouvelé dans une période définie, recommandée à 24 mois maximum.
7. Politique en matière de cookies alignée sur les balises effectivement chargées.

Points clés à retenir

• La règle espagnole sur les cookies est l’article 22.2 de la LSSI ; l’AEPD la fait appliquer parallèlement au RGPD.
• Le guide de l’AEPD, mis à jour en juillet 2023, attend que le refus soit aussi simple que l’acceptation dans la première couche.
• Naviguer ou fermer la bannière ne vaut pas consentement.
• Le guide recommande de renouveler le consentement au moins tous les 24 mois.
• Les modèles d’accès conditionnel nécessitent un examen juridique attentif, au cas par cas.