Por que España merece unha mirada propia

España é unha das maiores audiencias para os publishers en castelán de todo o mundo, e a súa autoridade de protección de datos, a Agencia Española de Protección de Datos (AEPD), é unha das reguladoras máis activas de Europa. Coma todos os países da UE, España aplica o RXPD, pero a norma sobre cookies procede da lexislación nacional que transpón a Directiva ePrivacy. Para os publishers, as orientacións da AEPD sobre cookies son a referencia máis práctica para entender como se interpretan esas normas en España.

Este artigo resume o que significan esas orientacións para un sitio ou unha aplicación típicos que viven da publicidade. É unha visión xeral práctica, non asesoramento xurídico.

A base legal: o artigo 22.2 da LSSI

A norma sobre cookies en España atópase no artigo 22.2 da Lei 34/2002 de servizos da sociedade da información e de comercio electrónico, coñecida como LSSI. Esixe que o almacenamento ou o acceso a información no dispositivo dun usuario se base nun consentimento dado tras unha información clara e completa, cunha excepción para o almacenamento estritamente necesario para un servizo que o usuario solicitou expresamente ou para transmitir unha comunicación.

Cando se usan cookies para tratar datos persoais, tamén se aplican o RXPD e a Lei orgánica 3/2018 de España (LOPDGDD), motivo polo que a AEPD é a autoridade coa que tratan os publishers en materia de cookies.

A guía de cookies da AEPD

A AEPD publica unha Guía sobre o uso das cookies, elaborada conxuntamente con asociacións do sector. Actualizouse en xullo de 2023 para aliñala co traballo do Comité Europeo de Protección de Datos sobre banners de cookies e patróns de deseño enganosos, e deuse ás organizacións ata xaneiro de 2024 para adaptarse. A continuación están os puntos principais relevantes para os publishers.

Mesma visibilidade para o rexeitamento

A guía actualizada espera que, se a primeira capa do banner contén un botón para aceptar cookies, ofreza tamén unha forma equivalente de rexeitalas, presentada ao mesmo nivel e cunha visibilidade similar. Unha opción de rexeitamento agochada detrás dunha ligazón de “configuración” non é equivalente.

Navegar non é consentir

Facer scroll, continuar navegando ou pechar o banner non contan como consentimento. O usuario debe realizar unha acción afirmativa clara.

Información clara por capas

A guía acepta un enfoque por capas: unha primeira capa breve que identifique o publisher, as finalidades, se hai terceiros implicados e como aceptar, rexeitar ou configurar; e unha segunda capa con información detallada sobre cada cookie, as partes implicadas e a conservación.

Eleccións granulares

Os usuarios deberían poder elixir por finalidade, e cando sexa útil por terceiro, en lugar de atoparse cun único interruptor de todo ou nada.

Retirada

Os usuarios deben poder retirar o consentimento en calquera momento, tan facilmente como o deron. Unha ligazón ou unha icona persistente que volva abrir a configuración é a solución habitual.

Duración do consentimento

A guía recomenda que o consentimento se renove periodicamente e suxire unha validez máxima de 24 meses, de modo que se lles volva preguntar aos usuarios en lugar de gardar unha elección indefinidamente.

Acceso condicionado ás cookies

A guía trata os casos nos que o acceso a un servizo se condiciona á aceptación de cookies. Indica que isto pode ser aceptable nalgunhas circunstancias, por exemplo cando se lle ofrece ao usuario unha alternativa real para acceder ao contido sen aceptar cookies, que non ten por que ser gratuíta. Dada a opinión separada do EDPB sobre os modelos de “consente ou paga” para grandes plataformas, os publishers que consideren este enfoque deberían solicitar asesoramento xurídico específico.

Que significa na práctica

Para a maioría dos publishers que xa executan un CMP baseado en TCF en toda a UE, España require poucos cambios estruturais. Os puntos que máis a miúdo precisan atención son:

• Rexeitamento na primeira capa. Se o teu banner da UE aínda usa só “Aceptar” máis “Xestionar opcións”, o tráfico español é un motivo para engadir un botón de rexeitamento visible.
• Texto en castelán. As finalidades e as descricións de terceiros deberían estar nun castelán claro para os usuarios de España, non en fragmentos de tradución automática mesturados con nomes de provedores en inglés.
• Calendario de renovación. Comproba que o teu CMP renova o consentimento dentro do prazo que elixiches, e que os cambios de provedores ou de finalidades activan unha nova petición.
• Política de cookies. Mantén a información da segunda capa e a túa política de cookies coherentes co que realmente se executa no sitio.
• Carga antes do consentimento. Asegúrate de que non se instala ningunha cookie publicitaria nin de analítica antes de que o usuario decida. Segue sendo a constatación máis común nas investigacións de cookies en todas partes.

Contexto de aplicación

A AEPD publica regularmente as súas resolucións, e entre elas aparecen casos de cookies, a miúdo con banners sen unha opción real de rexeitamento ou con cookies instaladas antes de calquera elección. Os importes e os resultados varían segundo o caso, así que a lección útil é o patrón das constatacións e non ningunha cifra: as opcións de rexeitamento ausentes, o seguimento previo ao consentimento e a información pouco clara son os problemas que saen unha e outra vez.

Unha lista de verificación de banner preparado para España

1. Aceptar e rexeitar ofrecidos ao mesmo nivel na primeira capa.
2. Ningunha cookie máis aló das estritamente necesarias antes dunha elección.
3. Resumo claro na primeira capa en castelán, cunha ligazón aos detalles.
4. Controis granulares por finalidade na segunda capa.
5. Retirada dispoñible desde todas as páxinas.
6. Consentimento renovado dentro dun prazo definido, recomendado como máximo cada 24 meses.
7. Política de cookies aliñada coas etiquetas que realmente se cargan.

Ideas clave

• A norma de cookies de España é o artigo 22.2 da LSSI; a AEPD aplícaa xunto co RXPD.
• A guía da AEPD, actualizada en xullo de 2023, espera que rexeitar sexa tan fácil como aceptar na primeira capa.
• Navegar ou pechar o banner non é consentimento.
• A guía recomenda renovar o consentimento polo menos cada 24 meses.
• Os modelos de acceso condicionado requiren unha revisión xurídica coidadosa e específica de cada caso.