Hvers vegna Spánn á skilið sérstaka umfjöllun

Spánn er einn stærsti markhópur útgefenda á spænsku á heimsvísu, og persónuverndarstofnun landsins, Agencia Española de Protección de Datos (AEPD), er eitt virkasta eftirlitsyfirvald Evrópu. Eins og öll ríki ESB beitir Spánn GDPR, en reglan um vafrakökur kemur úr landslögum sem innleiða ePrivacy-tilskipunina. Fyrir útgefendur eru leiðbeiningar AEPD um vafrakökur gagnlegasta heimildin um hvernig þessar reglur eru túlkaðar á Spáni.

Þessi grein dregur saman hvað þessar leiðbeiningar þýða fyrir dæmigerða vefsíðu eða forrit sem reiðir sig á auglýsingatekjur. Þetta er hagnýtt yfirlit, ekki lögfræðiráðgjöf.

Lagagrundvöllurinn: 22. gr. 2. mgr. LSSI

Reglan um vafrakökur á Spáni er í 22. gr. 2. mgr. laga nr. 34/2002 um þjónustu í upplýsingasamfélaginu og rafræn viðskipti, þekkt sem LSSI. Hún krefst þess að geymsla eða aðgangur að upplýsingum í tæki notanda byggi á samþykki sem veitt er að fengnum skýrum og fullnægjandi upplýsingum, með undantekningu fyrir geymslu sem er nauðsynleg vegna þjónustu sem notandinn hefur sérstaklega óskað eftir eða til að senda samskipti.

Þegar vafrakökur eru notaðar til að vinna persónuupplýsingar gilda einnig GDPR og spænsku grunnlögin 3/2018 (LOPDGDD), og þess vegna er AEPD það yfirvald sem útgefendur eiga við í málum sem varða vafrakökur.

Vafrakökuleiðbeiningar AEPD

AEPD gefur út leiðbeiningar um notkun vafrakaka, unnar í samstarfi við samtök í greininni. Þær voru uppfærðar í júlí 2023 til að samræmast vinnu Evrópska persónuverndarráðsins um vafrakökuborða og villandi hönnunarmynstur, og stofnunum var veittur frestur til janúar 2024 til að laga sig að þeim. Helstu atriði sem skipta útgefendur máli eru hér að neðan.

Jafn áberandi höfnun

Uppfærðu leiðbeiningarnar gera ráð fyrir því að ef fyrsta lag borðans inniheldur hnapp til að samþykkja vafrakökur bjóði það einnig jafngilda leið til að hafna þeim, sett fram á sama stigi og með svipuðu sýnileika. Höfnunarmöguleiki sem er falinn bak við „stillingar“-tengil er ekki jafngildur.

Ekkert samþykki með vafri

Að skruna, halda áfram að vafra eða loka borðanum telst ekki samþykki. Notandinn verður að framkvæma skýra, staðfestandi aðgerð.

Skýrar upplýsingar í lögum

Leiðbeiningarnar fallast á lagskipta nálgun: stutt fyrsta lag sem tilgreinir útgefandann, tilganginn, hvort þriðju aðilar komi við sögu og hvernig á að samþykkja, hafna eða stilla; og annað lag með ítarlegum upplýsingum um hverja vafraköku, hlutaðeigandi aðila og geymslutíma.

Nákvæmir valkostir

Notendur ættu að geta valið eftir tilgangi, og þar sem það nýtist eftir þriðja aðila, í stað þess að standa frammi fyrir einum rofa þar sem allt eða ekkert gildir.

Afturköllun

Notendur verða að geta afturkallað samþykki hvenær sem er, jafn auðveldlega og þeir veittu það. Varanlegur tengill eða tákn sem opnar stillingarnar aftur er venjulega lausnin.

Gildistími samþykkis

Leiðbeiningarnar mæla með því að samþykki sé endurnýjað reglulega og leggja til hámarksgildistíma upp á 24 mánuði, svo notendur séu spurðir aftur í stað þess að val sé geymt endalaust.

Aðgangur háður vafrakökum

Leiðbeiningarnar fjalla um tilvik þar sem aðgangur að þjónustu er gerður háður því að vafrakökur séu samþykktar. Þær gefa til kynna að það geti verið ásættanlegt í sumum aðstæðum, til dæmis þegar notandanum býðst raunverulegur valkostur til að nálgast efnið án þess að samþykkja vafrakökur, sem þarf ekki að vera ókeypis. Með hliðsjón af sérstöku áliti EDPB um líkön þar sem „samþykki eða greiðsla“ gildir fyrir stóra vettvanga ættu útgefendur sem íhuga þessa leið að leita sértækrar lögfræðiráðgjafar.

Hvað þetta þýðir í reynd

Fyrir flesta útgefendur sem þegar nota TCF-byggt CMP um allt ESB krefst Spánn fárra skipulagsbreytinga. Atriðin sem þarfnast oftast athygli eru:

• Höfnun í fyrsta lagi. Ef borðinn þinn í ESB notar enn aðeins „Samþykkja“ og „Stjórna valkostum“ er umferð frá Spáni ástæða til að bæta við sýnilegum höfnunarhnappi.
• Texti á spænsku. Tilgangur og lýsingar á þriðju aðilum ættu að vera á skýrri spænsku fyrir notendur á Spáni, ekki vélþýddir textabútar blandaðir við ensk heiti söluaðila.
• Áætlun um endurspurningu. Athugaðu að CMP-kerfið þitt endurnýi samþykki innan þess tímabils sem þú hefur valið, og að breytingar á söluaðilum eða tilgangi kalli fram nýja fyrirspurn.
• Vafrakökustefna. Haltu upplýsingum í öðru lagi og vafrakökustefnunni samkvæmum því sem raunverulega keyrir á vefsíðunni.
• Hleðsla fyrir samþykki. Gakktu úr skugga um að engar auglýsinga- eða greiningarkökur séu settar áður en notandinn ákveður sig. Þetta er enn algengasta niðurstaða í rannsóknum á vafrakökum alls staðar.

Samhengi framfylgdar

AEPD birtir reglulega úrskurði sína og mál um vafrakökur eru þar á meðal, oft þar sem borðar skortir raunverulegan höfnunarmöguleika eða vafrakökur eru settar áður en nokkurt val er gert. Fjárhæðir og niðurstöður eru breytilegar eftir málum, svo lærdómurinn sem máli skiptir er mynstur niðurstaðnanna fremur en einhver tala: skortur á höfnunarmöguleika, rakning fyrir samþykki og óskýrar upplýsingar eru atriðin sem koma upp aftur og aftur.

Gátlisti fyrir borða sem hentar Spáni

1. Samþykkja og hafna í boði á sama stigi í fyrsta lagi.
2. Engar vafrakökur umfram nauðsynlegar áður en val er gert.
3. Skýrt yfirlit á spænsku í fyrsta lagi, með tengli á nánari upplýsingar.
4. Nákvæmar stýringar eftir tilgangi í öðru lagi.
5. Afturköllun aðgengileg frá hverri síðu.
6. Samþykki endurnýjað innan skilgreinds tímabils, mælt með ekki meira en 24 mánuðum.
7. Vafrakökustefna í samræmi við merkin sem eru raunverulega hlaðin.

Helstu atriði

• Reglan á Spáni um vafrakökur er 22. gr. 2. mgr. LSSI; AEPD framfylgir henni samhliða GDPR.
• Leiðbeiningar AEPD, uppfærðar í júlí 2023, gera ráð fyrir að höfnun sé jafn auðveld og samþykki í fyrsta lagi.
• Að vafra eða loka borðanum er ekki samþykki.
• Leiðbeiningarnar mæla með því að samþykki sé endurnýjað að minnsta kosti á 24 mánaða fresti.
• Líkön með skilyrtum aðgangi krefjast vandlegs, málsértæks lögfræðilegs mats.