Miért érdemel külön figyelmet Spanyolország

Spanyolország a spanyol nyelvű kiadók egyik legnagyobb közönsége a világon, adatvédelmi hatósága, az Agencia Española de Protección de Datos (AEPD) pedig Európa egyik legaktívabb szabályozója. Mint minden uniós ország, Spanyolország is alkalmazza a GDPR-t, de a cookie-kra vonatkozó szabály az ePrivacy-irányelvet átültető nemzeti jogból ered. A kiadók számára az AEPD cookie-útmutatója a legpraktikusabb referencia arra, hogyan értelmezik ezeket a szabályokat Spanyolországban.

Ez a cikk összefoglalja, mit jelent ez az útmutatás egy tipikus, hirdetésekből élő webhely vagy alkalmazás számára. Gyakorlati áttekintés, nem jogi tanácsadás.

A jogalap: az LSSI 22.2. cikke

A spanyolországi cookie-szabály az információs társadalommal összefüggő szolgáltatásokról és az elektronikus kereskedelemről szóló 34/2002. törvény 22.2. cikkében található, amelyet LSSI néven ismernek. Megköveteli, hogy a felhasználó eszközén történő információtárolás vagy az ahhoz való hozzáférés világos és teljes tájékoztatás után megadott beleegyezésen alapuljon, kivéve a szigorúan szükséges tárolást egy olyan szolgáltatáshoz, amelyet a felhasználó kifejezetten kért, vagy egy kommunikáció továbbításához.

Amikor cookie-kat személyes adatok kezelésére használnak, a GDPR és a spanyol 3/2018. szervezeti törvény (LOPDGDD) is alkalmazandó, ezért az AEPD az a hatóság, amellyel a kiadók a cookie-ügyekben kapcsolatba kerülnek.

Az AEPD cookie-útmutatója

Az AEPD közzéteszi a Cookie-k használatáról szóló útmutatót, amelyet iparági szövetségekkel közösen készített. 2023 júliusában frissítették, hogy igazodjon az Európai Adatvédelmi Testület cookie-bannerekkel és megtévesztő dizájnmintákkal kapcsolatos munkájához, és a szervezetek 2024 januárjáig kaptak időt az alkalmazkodásra. A kiadók számára fontos főbb pontok az alábbiak.

Az elutasítás egyenlő hangsúlya

A frissített útmutató elvárja, hogy ha a banner első rétege tartalmaz egy gombot a cookie-k elfogadására, akkor egyenértékű módot kínáljon az elutasításukra is, azonos szinten és hasonló láthatósággal. A “beállítások” hivatkozás mögé rejtett elutasítási lehetőség nem egyenértékű.

Böngészéssel nem adható beleegyezés

A görgetés, a böngészés folytatása vagy a banner bezárása nem számít beleegyezésnek. A felhasználónak egyértelmű, megerősítő cselekvést kell tennie.

Világos tájékoztatás rétegekben

Az útmutató elfogadja a réteges megközelítést: egy rövid első réteget, amely megnevezi a kiadót, a célokat, azt, hogy részt vesznek-e harmadik felek, és hogyan lehet elfogadni, elutasítani vagy beállítani; valamint egy második réteget részletes információkkal az egyes cookie-król, az érintett felekről és a megőrzésről.

Részletes választások

A felhasználóknak célonként, és ahol hasznos, harmadik felenként is választhatniuk kell tudni, ahelyett hogy egyetlen mindent-vagy-semmit kapcsolóval szembesülnének.

Visszavonás

A felhasználóknak bármikor vissza kell tudniuk vonni a beleegyezést, ugyanolyan könnyen, mint megadták. A szokásos megoldás egy állandó hivatkozás vagy ikon, amely újra megnyitja a beállításokat.

A beleegyezés időtartama

Az útmutató a beleegyezés időszakos megújítását javasolja, és legfeljebb 24 hónapos érvényességet ajánl, hogy a felhasználókat újra megkérdezzék, ahelyett hogy a választás határozatlan ideig tárolódna.

A cookie-któl függő hozzáférés

Az útmutató tárgyalja azokat az eseteket, amikor a szolgáltatáshoz való hozzáférést a cookie-k elfogadásához kötik. Jelzi, hogy ez bizonyos körülmények között elfogadható lehet, például ha a felhasználónak valódi alternatívát kínálnak a tartalom eléréséhez a cookie-k elfogadása nélkül, amely nem feltétlenül ingyenes. Tekintettel az EDPB nagy platformokra vonatkozó, külön “beleegyezés vagy fizetés” modellekről szóló véleményére, az ezt a megközelítést fontolgató kiadóknak konkrét jogi tanácsot kell kérniük.

Mit jelent ez a gyakorlatban

A legtöbb olyan kiadó számára, amely már TCF-alapú CMP-t futtat az EU-ban, Spanyolország kevés szerkezeti változtatást igényel. A leggyakrabban figyelmet igénylő pontok:

• Elutasítás az első rétegben. Ha az uniós bannere még mindig csak az “Elfogadom” és a “Beállítások kezelése” gombot használja, a spanyol forgalom ok arra, hogy látható elutasítás gombot adjon hozzá.
• Spanyol nyelvű szöveg. A céloknak és a harmadik felek leírásainak világos spanyolsággal kell szerepelniük a spanyolországi felhasználók számára, nem gépi fordítású töredékekként angol szállítónevekkel keverve.
• Újrakérdezési ütemterv. Ellenőrizze, hogy a CMP az Ön által választott időszakon belül megújítja-e a beleegyezést, és hogy a szállítók vagy célok változása új kérdést vált-e ki.
• Cookie-szabályzat. A második réteg információit és a cookie-szabályzatot tartsa összhangban azzal, ami ténylegesen fut a webhelyen.
• Betöltés a beleegyezés előtt. Gondoskodjon róla, hogy a felhasználó döntése előtt ne kerüljön beállításra hirdetési vagy analitikai cookie. Ez továbbra is a leggyakoribb megállapítás a cookie-vizsgálatokban mindenhol.

A jogérvényesítés háttere

Az AEPD rendszeresen közzéteszi határozatait, és köztük cookie-ügyek is megjelennek, gyakran olyan bannerekkel, amelyeknek nincs valódi elutasítási lehetőségük, vagy olyan cookie-kkal, amelyeket bármilyen választás előtt beállítottak. Az összegek és kimenetelek ügyenként eltérnek, ezért a hasznos tanulság inkább a megállapítások mintázata, mint bármely szám: a hiányzó elutasítási lehetőség, a beleegyezés előtti követés és a világos tájékoztatás hiánya újra és újra előkerülő problémák.

Spanyolországra kész banner ellenőrzőlistája

1. Elfogadás és elutasítás azonos szinten kínálva az első rétegben.
2. A szigorúan szükségesen túli cookie-k nincsenek választás előtt.
3. Világos első rétegbeli összefoglaló spanyolul, részletekre mutató hivatkozással.
4. Célonkénti részletes vezérlők a második rétegben.
5. A visszavonás minden oldalról elérhető.
6. A beleegyezés meghatározott időszakon belül megújul, ajánlottan legfeljebb 24 hónapon belül.
7. A cookie-szabályzat összhangban van a ténylegesen betöltött tagekkel.

Legfontosabb tanulságok

• Spanyolország cookie-szabálya az LSSI 22.2. cikke; az AEPD a GDPR mellett ezt érvényesíti.
• A 2023 júliusában frissített AEPD-útmutató elvárja, hogy az elutasítás az első rétegben ugyanolyan könnyű legyen, mint az elfogadás.
• A böngészés vagy a banner bezárása nem beleegyezés.
• Az útmutató a beleegyezés legalább 24 havonkénti megújítását javasolja.
• A feltételes hozzáférési modellek gondos, esetspecifikus jogi felülvizsgálatot igényelnek.