スペインAEPDのCookieガイド：パブリッシャーが知っておくべきこと
スペインを個別に見る理由
スペインは、世界のスペイン語パブリッシャーにとって最大級のオーディエンスのひとつであり、そのデータ保護機関であるスペインデータ保護庁（AEPD）は、欧州で最も活発な規制当局のひとつです。EUの他の国々と同様、スペインもGDPRを適用しますが、Cookieに関するルールはePrivacy指令を実施する国内法に由来します。パブリッシャーにとって、AEPDのCookieに関するガイダンスは、スペインでそれらのルールがどう解釈されるかを知るうえで最も実用的な参考資料です。
この記事では、そのガイダンスが典型的な広告収益型のサイトやアプリにとって何を意味するかをまとめます。これは実務上の概要であり、法的助言ではありません。
法的根拠：LSSI第22.2条
スペインのCookieルールは、情報社会サービスおよび電子商取引に関する法律34/2002（LSSI）の第22.2条にあります。ユーザーのデバイスへの情報の保存やアクセスは、明確かつ十分な情報提供を受けたうえで与えられた同意に基づく必要があり、ユーザーが明示的に要求したサービスのために厳密に必要な保存や、通信の伝送のための保存は例外とされています。
Cookieを使って個人データを処理する場合は、GDPRとスペインの基本法3/2018（LOPDGDD）も適用されます。そのため、Cookieの問題でパブリッシャーが対応するのはAEPDとなります。
AEPDのCookieガイド
AEPDは、業界団体とともに作成したCookie利用に関するガイドを公表しています。このガイドは2023年7月に、欧州データ保護会議（EDPB）によるCookieバナーと欺瞞的なデザインパターンに関する取り組みに合わせて更新され、各組織には2024年1月までの対応期間が与えられました。パブリッシャーに関係する主なポイントは以下のとおりです。
拒否の同等な見やすさ
更新されたガイドは、バナーの第1階層にCookieを受け入れるボタンがある場合、同じレベルで同程度の見やすさで、それらを拒否する同等の手段も提供することを求めています。「設定」リンクの陰に隠された拒否オプションは同等とは言えません。
閲覧による同意は認められない
スクロールすること、閲覧を続けること、バナーを閉じることは同意とは見なされません。ユーザーは明確な肯定的行動を取る必要があります。
階層化された明確な情報
ガイドは階層的なアプローチを認めています。第1階層は、パブリッシャーの特定、目的、第三者が関与するかどうか、そして承諾・拒否・設定の方法を示す簡潔なものとし、第2階層で各Cookie、関係する当事者、保持期間に関する詳細な情報を示します。
きめ細かな選択
ユーザーは、すべてか無かの単一のスイッチに直面するのではなく、目的ごとに、また有用な場合には第三者ごとに選択できるべきです。
撤回
ユーザーは、同意を与えたときと同じくらい簡単に、いつでも同意を撤回できなければなりません。設定を再度開く常時表示のリンクやアイコンが通常の解決策です。
同意の有効期間
ガイドは、同意を定期的に更新することを推奨し、最大24か月の有効期間を提案しています。これにより、選択が無期限に保存されるのではなく、ユーザーが再度尋ねられるようになります。
Cookieを条件としたアクセス
ガイドは、サービスへのアクセスがCookieの承諾を条件とされる場合について論じています。たとえば、ユーザーがCookieを承諾せずにコンテンツにアクセスできる真の代替手段（無料である必要はありません）が提供される場合など、状況によっては許容される可能性があると示しています。大規模プラットフォームの「同意か支払いか」モデルに関するEDPBの別の意見もあるため、この方法を検討するパブリッシャーは個別に法的助言を受けるべきです。
実務上の意味
すでにEU全域でTCFベースのCMPを運用しているほとんどのパブリッシャーにとって、スペインへの対応で必要な構造的変更はわずかです。最も注意が必要になりやすい点は次のとおりです。
- 第1階層での拒否。EU向けバナーがいまだに「承諾」と「オプションを管理」だけを使っているなら、スペインのトラフィックは目に見える拒否ボタンを追加する理由になります。
- スペイン語のテキスト。目的や第三者の説明は、スペインのユーザーに向けて、英語のベンダー名が混じった機械翻訳の断片ではなく、明確なスペイン語にしてください。
- 再確認のスケジュール。CMPが、選択した期間内に同意を更新すること、またベンダーや目的の変更で新たな確認が表示されることを確かめます。
- Cookieポリシー。第2階層の情報とCookieポリシーを、サイトで実際に動作しているものと一致させます。
- 同意前の読み込み。ユーザーが決定する前に広告やアナリティクスのCookieが設定されないようにします。これは世界中のCookie調査で最も多い指摘事項であり続けています。
執行の状況
AEPDは決定を定期的に公表しており、その中にはCookieに関する事案も含まれます。多くは、実質的な拒否オプションがないバナーや、選択の前に設定されたCookieに関するものです。金額や結果は事案によって異なるため、有用な教訓は数字ではなく指摘のパターンです。拒否オプションの欠如、同意前のトラッキング、不明確な情報が、何度も繰り返し問題になっています。
スペイン向けバナーのチェックリスト
- 第1階層で、承諾と拒否が同じレベルで提供されている。
- 選択の前は、厳密に必要なもの以外のCookieがない。
- 詳細へのリンクを備えた、スペイン語の明確な第1階層の要約がある。
- 第2階層に、目的ごとのきめ細かなコントロールがある。
- すべてのページから撤回できる。
- 同意が定められた期間内に更新され、推奨は24か月以内である。
- Cookieポリシーが、実際に読み込まれるタグと一致している。
重要なポイント
- スペインのCookieルールはLSSI第22.2条であり、AEPDがGDPRと併せてこれを執行します。
- 2023年7月に更新されたAEPDのガイドは、第1階層で拒否を承諾と同じくらい簡単にすることを求めています。
- 閲覧やバナーを閉じることは同意ではありません。
- ガイドは、少なくとも24か月ごとに同意を更新することを推奨しています。
- 条件付きアクセスのモデルには、慎重で個別の法的検討が必要です。