Zašto Španjolska zaslužuje poseban osvrt

Španjolska je jedna od najvećih publika za izdavače na španjolskom jeziku diljem svijeta, a njezino tijelo za zaštitu podataka, Agencia Española de Protección de Datos (AEPD), jedan je od najaktivnijih regulatora u Europi. Kao i svaka država EU-a, Španjolska primjenjuje GDPR, ali pravilo o kolačićima proizlazi iz nacionalnog zakona koji provodi ePrivacy direktivu. Za izdavače su AEPD-ove smjernice o kolačićima najpraktičniji izvor za to kako se ta pravila tumače u Španjolskoj.

Ovaj članak sažima što te smjernice znače za tipično web-mjesto ili aplikaciju koja se financira oglasima. To je praktičan pregled, a ne pravni savjet.

Pravna osnova: članak 22.2 LSSI-ja

Pravilo o kolačićima u Španjolskoj nalazi se u članku 22.2 Zakona 34/2002 o uslugama informacijskog društva i elektroničkoj trgovini, poznatog kao LSSI. Ono zahtijeva da se pohrana informacija na uređaju korisnika ili pristup njima temelji na privoli danoj nakon jasnih i potpunih informacija, uz iznimku za pohranu koja je strogo nužna za uslugu koju je korisnik izričito zatražio ili za prijenos komunikacije.

Kad se kolačići koriste za obradu osobnih podataka, primjenjuju se i GDPR i španjolski Organski zakon 3/2018 (LOPDGDD), zbog čega je AEPD tijelo s kojim se izdavači bave u pitanjima kolačića.

AEPD-ov vodič za kolačiće

AEPD objavljuje Vodič o uporabi kolačića, pripremljen zajedno s industrijskim udrugama. Ažuriran je u srpnju 2023. kako bi se uskladio s radom Europskog odbora za zaštitu podataka na bannerima za kolačiće i obmanjujućim obrascima dizajna, a organizacijama je dan rok do siječnja 2024. da se prilagode. Glavne točke relevantne za izdavače navedene su u nastavku.

Jednaka istaknutost odbijanja

Ažurirani vodič očekuje da, ako prva razina bannera sadrži gumb za prihvaćanje kolačića, nudi i ekvivalentan način da ih se odbije, prikazan na istoj razini i sa sličnom vidljivošću. Opcija odbijanja skrivena iza poveznice “postavke” nije ekvivalentna.

Nema privole pregledavanjem

Pomicanje stranice, nastavak navigacije ili zatvaranje bannera ne računaju se kao privola. Korisnik mora poduzeti jasnu potvrdnu radnju.

Jasne informacije po razinama

Vodič prihvaća slojevit pristup: kratku prvu razinu koja identificira izdavača, svrhe, jesu li uključene treće strane i kako prihvatiti, odbiti ili konfigurirati; te drugu razinu s detaljnim informacijama o svakom kolačiću, uključenim stranama i zadržavanju.

Granularni odabiri

Korisnici bi trebali moći birati po svrsi, a gdje je korisno i po trećoj strani, umjesto da se suočavaju s jednim prekidačem sve-ili-ništa.

Povlačenje

Korisnici moraju moći povući privolu u bilo kojem trenutku, jednako jednostavno kao što su je dali. Trajna poveznica ili ikona koja ponovno otvara postavke uobičajeno je rješenje.

Trajanje privole

Vodič preporučuje da se privola povremeno obnavlja i predlaže maksimalnu valjanost od 24 mjeseca, kako bi korisnici bili ponovno pitani umjesto da se odabir pohranjuje neograničeno.

Pristup uvjetovan kolačićima

Vodič razmatra slučajeve u kojima je pristup usluzi uvjetovan prihvaćanjem kolačića. Navodi da to može biti prihvatljivo u nekim okolnostima, na primjer kada je korisniku ponuđena stvarna alternativa za pristup sadržaju bez prihvaćanja kolačića, koja ne mora biti besplatna. S obzirom na zasebno mišljenje EDPB-a o modelima “privola ili plaćanje” za velike platforme, izdavači koji razmatraju ovaj pristup trebaju zatražiti konkretan pravni savjet.

Što to znači u praksi

Za većinu izdavača koji već koriste CMP temeljen na TCF-u diljem EU-a, Španjolska zahtijeva malo strukturnih promjena. Točke koje najčešće trebaju pažnju su:

• Odbijanje na prvoj razini. Ako vaš EU banner i dalje koristi samo “Prihvati” plus “Upravljaj opcijama”, španjolski promet razlog je za dodavanje vidljivog gumba za odbijanje.
• Tekst na španjolskom. Svrhe i opisi trećih strana trebaju biti na jasnom španjolskom za korisnike u Španjolskoj, a ne strojno prevedeni fragmenti pomiješani s engleskim imenima dobavljača.
• Raspored ponovnog pitanja. Provjerite obnavlja li vaš CMP privolu unutar razdoblja koje ste odabrali te pokreću li promjene dobavljača ili svrha novi upit.
• Pravila o kolačićima. Informacije druge razine i pravila o kolačićima držite usklađenima s onim što se doista izvršava na web-mjestu.
• Učitavanje prije privole. Pobrinite se da se prije odluke korisnika ne postavljaju nikakvi oglasni ili analitički kolačići. To je i dalje najčešći nalaz u istragama o kolačićima posvuda.

Kontekst provedbe

AEPD redovito objavljuje svoje odluke, a među njima se pojavljuju i slučajevi kolačića, često s bannerima bez stvarne opcije odbijanja ili kolačićima postavljenima prije bilo kakvog odabira. Iznosi i ishodi variraju od slučaja do slučaja, pa je korisna pouka obrazac nalaza, a ne bilo koja brojka: nedostajuće opcije odbijanja, praćenje prije privole i nejasne informacije problemi su koji se iznova pojavljuju.

Kontrolni popis bannera spremnog za Španjolsku

1. Prihvaćanje i odbijanje ponuđeni na istoj razini na prvoj razini.
2. Nikakvi kolačići osim strogo nužnih prije odabira.
3. Jasan sažetak prve razine na španjolskom, s poveznicom na detalje.
4. Granularne kontrole po svrsi na drugoj razini.
5. Povlačenje dostupno sa svake stranice.
6. Privola obnovljena unutar definiranog razdoblja, preporučeno ne dulje od 24 mjeseca.
7. Pravila o kolačićima usklađena s tagovima koji se stvarno učitavaju.

Ključni zaključci

• Španjolsko pravilo o kolačićima je članak 22.2 LSSI-ja; AEPD ga provodi zajedno s GDPR-om.
• AEPD-ov vodič, ažuriran u srpnju 2023., očekuje da odbijanje bude jednako jednostavno kao prihvaćanje na prvoj razini.
• Pregledavanje ili zatvaranje bannera nije privola.
• Vodič preporučuje obnavljanje privole najmanje svakih 24 mjeseca.
• Modeli uvjetovanog pristupa zahtijevaju pažljivu pravnu provjeru za svaki slučaj posebno.