Perché la Spagna merita un’analisi a parte

La Spagna è uno dei maggiori pubblici per i publisher di lingua spagnola nel mondo e la sua autorità per la protezione dei dati, la Agencia Española de Protección de Datos (AEPD), è uno dei regolatori più attivi d’Europa. Come ogni paese dell’UE, la Spagna applica il GDPR, ma la norma sui cookie deriva dalla legge nazionale di recepimento della direttiva ePrivacy. Per i publisher, le indicazioni dell’AEPD sui cookie sono il riferimento più pratico per capire come quelle norme sono lette in Spagna.

Questo articolo riassume cosa significano quelle indicazioni per un tipico sito o app finanziato dalla pubblicità. È una panoramica pratica, non una consulenza legale.

La base giuridica: articolo 22.2 della LSSI

La norma sui cookie in Spagna si trova nell’articolo 22.2 della Legge 34/2002 sui servizi della società dell’informazione e il commercio elettronico, nota come LSSI. Richiede che l’archiviazione di informazioni nel dispositivo di un utente, o l’accesso a esse, si basi su un consenso prestato dopo un’informazione chiara e completa, con un’eccezione per l’archiviazione strettamente necessaria a un servizio esplicitamente richiesto dall’utente o alla trasmissione di una comunicazione.

Quando i cookie sono usati per trattare dati personali, si applicano anche il GDPR e la Legge organica spagnola 3/2018 (LOPDGDD), ed è per questo che l’AEPD è l’autorità con cui i publisher hanno a che fare in materia di cookie.

La guida ai cookie dell’AEPD

L’AEPD pubblica una Guida sull’uso dei cookie, preparata insieme alle associazioni di settore. È stata aggiornata nel luglio 2023 per allinearla al lavoro del Comitato europeo per la protezione dei dati sui banner dei cookie e sui modelli di progettazione ingannevoli, e alle organizzazioni è stato concesso tempo fino a gennaio 2024 per adeguarsi. Di seguito i punti principali rilevanti per i publisher.

Pari evidenza per il rifiuto

La guida aggiornata prevede che, se il primo livello del banner contiene un pulsante per accettare i cookie, offra anche un modo equivalente per rifiutarli, presentato allo stesso livello e con una visibilità simile. Un’opzione di rifiuto nascosta dietro un link “impostazioni” non è equivalente.

Nessun consenso per la navigazione

Scorrere la pagina, continuare a navigare o chiudere il banner non costituiscono consenso. L’utente deve compiere un’azione affermativa chiara.

Informazioni chiare a livelli

La guida accetta un approccio a livelli: un breve primo livello che identifichi il publisher, le finalità, l’eventuale coinvolgimento di terzi e come accettare, rifiutare o configurare; e un secondo livello con informazioni dettagliate su ogni cookie, sulle parti coinvolte e sulla conservazione.

Scelte granulari

Gli utenti dovrebbero poter scegliere per finalità e, dove utile, per terza parte, anziché trovarsi di fronte a un unico interruttore del tutto o niente.

Revoca

Gli utenti devono poter revocare il consenso in qualsiasi momento, con la stessa facilità con cui lo hanno prestato. Un link o un’icona persistente che riapre le impostazioni è la soluzione abituale.

Durata del consenso

La guida raccomanda che il consenso sia rinnovato periodicamente e suggerisce una validità massima di 24 mesi, in modo che agli utenti venga richiesto di nuovo invece di conservare una scelta a tempo indeterminato.

Accesso subordinato ai cookie

La guida discute i casi in cui l’accesso a un servizio è subordinato all’accettazione dei cookie. Indica che ciò può essere accettabile in alcune circostanze, per esempio quando all’utente viene offerta una vera alternativa per accedere ai contenuti senza accettare i cookie, che non deve necessariamente essere gratuita. Dato il parere separato dell’EDPB sui modelli “consenti o paga” per le grandi piattaforme, i publisher che valutano questo approccio dovrebbero richiedere una consulenza legale specifica.

Cosa significa in pratica

Per la maggior parte dei publisher che già utilizzano un CMP basato su TCF nell’UE, la Spagna richiede pochi cambiamenti strutturali. I punti che più spesso richiedono attenzione sono:

• Rifiuto nel primo livello. Se il tuo banner per l’UE usa ancora solo “Accetta” più “Gestisci le opzioni”, il traffico spagnolo è un motivo per aggiungere un pulsante di rifiuto visibile.
• Testi in spagnolo. Finalità e descrizioni dei terzi dovrebbero essere in spagnolo chiaro per gli utenti in Spagna, non frammenti tradotti automaticamente mescolati con nomi di fornitori in inglese.
• Calendario di nuova richiesta. Verifica che il tuo CMP rinnovi il consenso entro il periodo che hai scelto e che le modifiche a fornitori o finalità attivino una nuova richiesta.
• Cookie policy. Mantieni le informazioni del secondo livello e la tua cookie policy coerenti con ciò che gira davvero sul sito.
• Caricamento prima del consenso. Assicurati che nessun cookie pubblicitario o di analytics venga impostato prima che l’utente decida. Resta il rilievo più comune nelle indagini sui cookie ovunque.

Contesto dell’applicazione

L’AEPD pubblica regolarmente le proprie decisioni, e tra queste compaiono casi sui cookie, che spesso riguardano banner senza una vera opzione di rifiuto o cookie impostati prima di qualsiasi scelta. Importi ed esiti variano da caso a caso, quindi la lezione utile è lo schema dei rilievi più che una cifra: opzioni di rifiuto mancanti, tracciamento prima del consenso e informazioni poco chiare sono i problemi che ricorrono di continuo.

Una checklist per un banner pronto per la Spagna

1. Accettazione e rifiuto offerti allo stesso livello nel primo livello.
2. Nessun cookie oltre a quelli strettamente necessari prima di una scelta.
3. Riepilogo chiaro del primo livello in spagnolo, con un link ai dettagli.
4. Controlli granulari per finalità nel secondo livello.
5. Revoca disponibile da ogni pagina.
6. Consenso rinnovato entro un periodo definito, raccomandato in non oltre 24 mesi.
7. Cookie policy allineata ai tag effettivamente caricati.

Punti chiave

• La norma spagnola sui cookie è l’articolo 22.2 della LSSI; l’AEPD la fa rispettare insieme al GDPR.
• La guida dell’AEPD, aggiornata a luglio 2023, prevede che rifiutare sia facile quanto accettare nel primo livello.
• Navigare o chiudere il banner non è consenso.
• La guida raccomanda di rinnovare il consenso almeno ogni 24 mesi.
• I modelli di accesso condizionato richiedono un’attenta revisione legale, caso per caso.