מדריך העוגיות של ה-AEPD הספרדית: מה מפרסמים צריכים לדעת
למה ספרד ראויה להתייחסות נפרדת
ספרד היא אחד הקהלים הגדולים ביותר עבור מפרסמים בשפה הספרדית ברחבי העולם, ורשות הגנת המידע שלה, Agencia Española de Protección de Datos (AEPD), היא אחת הרגולטוריות הפעילות ביותר באירופה. כמו כל מדינה באיחוד האירופי, ספרד מיישמת את ה-GDPR, אך הכלל בנוגע לעוגיות נובע מחוק לאומי שמיישם את הוראת ePrivacy. עבור מפרסמים, הנחיות העוגיות של ה-AEPD הן ההפניה המעשית ביותר לאופן שבו הכללים הללו נקראים בספרד.
מאמר זה מסכם מה משמעות ההנחיות הללו עבור אתר או אפליקציה טיפוסיים שמבוססים על פרסום. זוהי סקירה מעשית, לא ייעוץ משפטי.
הבסיס המשפטי: סעיף 22.2 ל-LSSI
כלל העוגיות בספרד נמצא בסעיף 22.2 לחוק 34/2002 בנושא שירותי חברת מידע ומסחר אלקטרוני, הידוע כ-LSSI. הוא דורש שאחסון מידע במכשיר המשתמש או גישה אליו יתבססו על הסכמה שניתנה לאחר מידע ברור ומלא, עם חריג לאחסון הכרחי לחלוטין לשירות שהמשתמש ביקש במפורש או להעברת תקשורת.
כאשר משתמשים בעוגיות לעיבוד מידע אישי, חלים גם ה-GDPR והחוק האורגני הספרדי 3/2018 (LOPDGDD), ולכן ה-AEPD היא הרשות שמפרסמים מתנהלים מולה בענייני עוגיות.
מדריך העוגיות של ה-AEPD
ה-AEPD מפרסמת מדריך לשימוש בעוגיות, שהוכן יחד עם איגודי התעשייה. הוא עודכן ביולי 2023 כדי להתיישר עם עבודת מועצת הגנת המידע האירופית בנושא באנרים של עוגיות ודפוסי עיצוב מטעים, וארגונים קיבלו עד ינואר 2024 להסתגל. להלן הנקודות העיקריות הרלוונטיות למפרסמים.
בולטות שווה לדחייה
המדריך המעודכן מצפה שאם השכבה הראשונה של הבאנר מכילה כפתור לאישור עוגיות, היא תציע גם דרך שקולה לדחות אותן, שמוצגת באותה רמה ובנראות דומה. אפשרות דחייה שמוסתרת מאחורי קישור “הגדרות” אינה שקולה.
אין הסכמה באמצעות גלישה
גלילה, המשך ניווט או סגירת הבאנר אינם נחשבים הסכמה. על המשתמש לבצע פעולה אקטיבית ברורה.
מידע ברור בשכבות
המדריך מקבל גישה בשכבות: שכבה ראשונה קצרה שמזהה את המפרסם, את המטרות, אם מעורבים צדדים שלישיים ואיך לאשר, לדחות או להגדיר; ושכבה שנייה עם מידע מפורט על כל עוגייה, על הצדדים המעורבים ועל תקופת השמירה.
בחירות מפורטות
משתמשים צריכים להיות מסוגלים לבחור לפי מטרה, ובמקום שזה שימושי לפי צד שלישי, במקום להתמודד עם מתג יחיד של הכול או כלום.
ביטול הסכמה
משתמשים חייבים להיות מסוגלים לבטל הסכמה בכל עת, באותה קלות שבה נתנו אותה. קישור או סמל קבועים שפותחים מחדש את ההגדרות הם הפתרון הרגיל.
משך ההסכמה
המדריך ממליץ לחדש את ההסכמה מעת לעת ומציע תוקף מרבי של 24 חודשים, כך ששואלים את המשתמשים שוב במקום שבחירה תישמר ללא הגבלת זמן.
גישה מותנית בעוגיות
המדריך דן במקרים שבהם הגישה לשירות מותנית באישור עוגיות. הוא מציין שזה עשוי להיות קביל בנסיבות מסוימות, למשל כאשר מוצעת למשתמש חלופה אמיתית לגישה לתוכן בלי לאשר עוגיות, שאינה חייבת להיות חינמית. לאור חוות הדעת הנפרדת של ה-EDPB בנושא מודלים של “הסכמה או תשלום” לפלטפורמות גדולות, מפרסמים שבוחנים גישה זו צריכים לקבל ייעוץ משפטי ספציפי.
מה זה אומר בפועל
עבור רוב המפרסמים שכבר מפעילים CMP מבוסס TCF ברחבי האיחוד האירופי, ספרד דורשת מעט שינויים מבניים. הנקודות שנדרשת להן הכי הרבה תשומת לב:
- דחייה בשכבה הראשונה. אם הבאנר האירופי שלך עדיין משתמש רק ב“אישור” בתוספת “ניהול אפשרויות”, התנועה מספרד היא סיבה להוסיף כפתור דחייה גלוי.
- טקסט בספרדית. תיאורי המטרות והצדדים השלישיים צריכים להיות בספרדית ברורה למשתמשים בספרד, לא קטעים מתורגמים במכונה בשילוב עם שמות ספקים באנגלית.
- לוח זמנים לבקשה חוזרת. בדקו שה-CMP שלכם מחדש הסכמה בתוך התקופה שבחרתם, ושינויים בספקים או במטרות מפעילים בקשה חדשה.
- מדיניות עוגיות. שמרו על עקביות בין מידע השכבה השנייה ומדיניות העוגיות שלכם לבין מה שרץ בפועל באתר.
- טעינה לפני הסכמה. ודאו שלא נקבעות עוגיות פרסום או אנליטיקה לפני שהמשתמש מחליט. זה נשאר הממצא הנפוץ ביותר בחקירות עוגיות בכל מקום.
הקשר האכיפה
ה-AEPD מפרסמת באופן קבוע את החלטותיה, ותיקי עוגיות מופיעים ביניהן, לרוב כאלה שכוללים באנרים ללא אפשרות דחייה אמיתית או עוגיות שנקבעו לפני כל בחירה. הסכומים והתוצאות משתנים לפי מקרה, ולכן הלקח השימושי הוא דפוס הממצאים ולא מספר כלשהו: היעדר אפשרויות דחייה, מעקב לפני הסכמה ומידע לא ברור הם הבעיות שחוזרות שוב ושוב.
צ׳קליסט לבאנר מוכן לספרד
- אישור ודחייה מוצעים באותה רמה בשכבה הראשונה.
- אין עוגיות מעבר להכרחיות לחלוטין לפני בחירה.
- סיכום ברור בשכבה הראשונה בספרדית, עם קישור לפרטים.
- פקדים מפורטים לפי מטרה בשכבה השנייה.
- ביטול הסכמה זמין מכל עמוד.
- הסכמה מחודשת בתוך תקופה מוגדרת, מומלץ לא יותר מ-24 חודשים.
- מדיניות עוגיות מותאמת לתגים שנטענים בפועל.
עיקרי הדברים
- כלל העוגיות של ספרד הוא סעיף 22.2 ל-LSSI; ה-AEPD אוכפת אותו לצד ה-GDPR.
- מדריך ה-AEPD, שעודכן ביולי 2023, מצפה שדחייה תהיה קלה כמו אישור בשכבה הראשונה.
- גלישה או סגירת הבאנר אינן הסכמה.
- המדריך ממליץ לחדש הסכמה לפחות כל 24 חודשים.
- מודלים של גישה מותנית דורשים בדיקה משפטית זהירה וספציפית למקרה.