Teisinis pagrindas

LFPDPPP yra daugiasluoksnės sistemos viršuje. Pats įstatymas apibrėžia pagrindinius principus – teisėtumas, sutikimas, informacija, kokybė, tikslas, ištikimybė, proporcingumas, atskaitomybė – kuriuos Meksikos rengėjai pasiskolino iš Europos duomenų apsaugos tradicijos. Žemiau įstatymo yra LFPDPPP reglamentai, užpildantys veiklos detales, ir Lineamientos del Aviso de Privacidad (privatumo pranešimo gairės), nurodantys, kas turi būti privatumo pranešime ir kaip. Kartu šie trys tekstai sudaro Meksikos vieno privatumo kodekso atitikmenį, turintį privalomo reglamento praktinę galią.

Online leidėjams svarbiausi straipsniai yra sutikimo taisyklės pagal įstatymo 8–11 straipsnius ir privatumo pranešimo reikalavimai, reglamentuojantys sutikimo prašymo būdą. Meksikos sutikimas yra laipsniškas: numanomas sutikimas pakankamas kai kuriems paprastų asmens duomenų tvarkymams, kai tinkamai pranešta, tačiau aiškus sutikimas reikalingas jautriems duomenims ir bet kokiam tvarkymui, kuriam įstatymas specialiai reikalauja. Slapukų juostelių interpretacinis klausimas yra tai, kuris iš šių režimų taikomas elgsenos ir reklamos slapukams.

Kaip Meksikos teisė traktuoja slapukus ir interneto identifikatorius

Skirtingai nuo ES ePrivacy direktyvos, LFPDPPP neturi konkrečios slapukų nuostatos. Vietoj to sistema traktuoja interneto identifikatorius kaip asmens duomenis, kai jie gali būti susieti su identifikuojamu asmeniu, o sutikimo įpareigojimai kyla iš bendros sistemos, o ne iš specialios slapukų taisyklės. INAI gairės patikslino, kad:

• Pirmosios šalies slapukai, būtini svetainės funkcionavimui, nereikalauja išankstinio sutikimo, tačiau jų buvimas turi būti atskleistas privatumo pranešime.
• Analitikos slapukai paprastai reikalauja informuoto sutikimo, o numanomas sutikimas priimtinas, kai privatumo pranešimas aiškiai prieinamas prieš renkant duomenis.
• Reklamos ir elgsenos slapukai reikalauja aiškaus sutikimo, ypač kai duomenys dalijami su trečiosiomis šalimis arba naudojami kryžminiam svetainių stebėjimui.
• Slapukai, gaunantys jautrius duomenis – sveikata, seksualinė orientacija, religiniai įsitikinimai, politinės pažiūros – reikalauja aiškaus sutikimo, nepriklausomai nuo kategorijos.

Praktinis poveikis yra tas, kad atitinkanti Meksikos slapukų juostelė turi skirti bent būtinas, analitikos ir reklamos kategorijas, kuriant teigiamą atsijungimą reklamai ir aiškų pranešimą analitikai.

Privatumo pranešimas kaip atitikties inkaras

Meksikos privatumo teisė yra orientuota į pranešimus kitaip nei Europos tradicija. Privatumo pranešimas – aviso de privacidad – nėra tik skaidrumo dokumentas; tai teisinis instrumentas, per kurį struktūrizuojamas sutikimas. Lineamientos del Aviso de Privacidad reikalauja, kad pranešime būtų konkretūs elementai, o bet kokia slapukų juostelė turi atitikti pagrindinį pranešimą, o ne stengtis sutraukti viską į iššokantį juostelės langą.

Būtini pranešimo elementai

Pranešime turi būti nurodytas duomenų valdytojas, išvardyti renkami asmens duomenys, aprašyti tvarkymo tikslai, nurodyti duomenų perdavimai trečiosioms šalims, identifikuotos duomenų subjekto teisės (acceso, rectificación, cancelación, oposición – vadinamosios ARCO teisės) ir aprašyta, kaip šias teises galima pasinaudoti. Online leidėjui slapukų juostelė turi veikti kaip sluoksniuotas įėjimo taškas į visą pranešimą, o ne jo pakaitalas.

Trumpas, supaprastintas, integralus

Reglamentai pripažįsta tris pranešimų formatus: integralų (pilną), supaprastintą ir trumpą. Slapukų juostelė paprastai pateikia trumpą arba supaprastintą pranešimą su aiškiu keliu į integralią versiją. Slapukų kategorijos ir sutikimo perjungikliai gyvena šioje sluoksniuotoje struktūroje.

INAI reforma ir tai, kas bus toliau

2024 m. pabaigoje Meksikos vyriausybė paskelbė reformą, kuri pertvarko federalinę duomenų apsaugos funkciją – autonominis INAI absorbuojamas į naują institucinę schemą vykdomosios valdžios pavaldume. Teisinė sistema (LFPDPPP, reglamentai, lineamientos) išlieka galioti, tačiau priežiūros tęstinumas yra atviras klausimas. Leidėjams konservatyvi pozicija yra manyti, kad esminiai standartai išlieka pastovūs, o vykdymo intensyvumas pereinamuoju laikotarpiu yra neaiškus. Kurti pagal INAI prieš reformą suformuluotus standartus – detalias kategorijas, aiškų atsijungimą reklamai, visapusišką ARCO teisių palaikymą, tikslų aviso de privacidad – yra teisinga strategija, nepriklausomai nuo priežiūros architektūros stabilizavimosi.

Praktinis atitikties kontrolinis sąrašas

Šeši konkretūs klausimai, į kuriuos reikia atsakyti bet kuriai slapukų juostelei, aptarnaujančiai Meksikos srautą.

1. Kategorizavimas

Ar juostelė atskiria slapukus į bent būtinas, analitikos ir reklamos kategorijas su teigiamu atsijungimu reklamai? Visų nebūtinų slapukų sujungimas po vienu „Priimti visus" be granuliarumo yra dažniausia klaida.

2. Privatumo pranešimo saitai

Ar juostelė susijusi su visu privatumo pranešimu ir ar tame pranešime yra visi reikiami elementai (valdytojas, duomenys, tikslai, perdavimai, ARCO teisės)? Juostelė be tinkamai parengto palaikomojo pranešimo yra plonas atitikties paviršius.

3. Ispanų (Meksikos) kalba

Ar juostelė pateikiama ispanų kalba ir ar naudoja Meksikos ispanų kalbos konvencijas ten, kur jos skiriasi nuo Europos ispanų kalbos? Teisingas kalbinis registras signalizuoja rimtumą tiek vartotojams, tiek prižiūrėtojams.

4. Atšaukimo kelias

Ar yra nuolatinė valdymo priemonė, leidžianti vartotojui peržiūrėti ir pakeisti savo sutikimo pasirinkimą? Teisė atšaukti yra ARCO „oposición" teisės dalis ir juostelė turi tai apimti.

5. Trečiųjų šalių perdavimo atskleidimas

Ar pranešimas identifikuoja trečiųjų šalių kategorijas, gaunančias asmens duomenis per slapukus (reklamos tinklai, analitikos tiekėjai, CDP), su pakankamai informacijos, kad vartotojas suprastų duomenų srautą?

6. Registravimas

Ar sistema fiksuoja kiekvieną sutikimo sprendimą su laiko žyma ir juostelės versija, kad skundų atveju leidėjas galėtų įrodyti, jog sprendimas buvo priimtas laisvai ir informuotai?

Kaip tai dera su Lotynų Amerikos vaizdu

Meksika yra antra pagal dydį skaitmeninė rinka Lotynų Amerikoje po Brazilijos, o jos duomenų apsaugos sistema yra viena iš labiausiai įtakingų regione. Dabar vykstančios reformos diskusijos formuos interpretacinę kryptį daugelį metų, tačiau esminiai standartai yra stabilūs: orientuoti į pranešimus, grįsti ARCO teisėmis, detalus sutikimas reklamai, visiškas trečiųjų šalių perdavimų atskleidimas. Leidėjai, veikiantys visoje Lotynų Amerikoje, gauna naudos iš vieno karto kūrimo pagal aukštesnį standartą – Argentinos reformuota sistema, Brazilijos LGPD, Čilės reformuotas įstatymas ir Kolumbijos nagrinėjamas projektas visi konverguoja panašiais baziniais lūkesčiais. CMP, palaikantis Meksikos ispanų kalbą, fiksuojantis kategorijų lygio sutikimą, švariai susijęs su visu aviso de privacidad ir audito lygio formatu registruojantis sprendimus, tvarko Meksikos atitiktį per tą pačią infrastruktūrą, kuri tvarko regioninę atitiktį.