De cookiegids van de Spaanse AEPD: wat uitgevers moeten weten
Waarom Spanje een eigen blik verdient
Spanje is wereldwijd een van de grootste doelgroepen voor Spaanstalige uitgevers, en de gegevensbeschermingsautoriteit, de Agencia Española de Protección de Datos (AEPD), is een van de actiefste toezichthouders van Europa. Zoals elk EU-land past Spanje de AVG toe, maar de regel over cookies komt uit nationale wetgeving ter uitvoering van de ePrivacyrichtlijn. Voor uitgevers is de cookiebegeleiding van de AEPD de meest praktische referentie voor hoe die regels in Spanje worden gelezen.
Dit artikel vat samen wat die begeleiding betekent voor een typische door advertenties gefinancierde site of app. Het is een praktisch overzicht, geen juridisch advies.
De rechtsgrond: artikel 22.2 LSSI
De cookieregel in Spanje staat in artikel 22.2 van Wet 34/2002 betreffende diensten van de informatiemaatschappij en elektronische handel, bekend als de LSSI. Die vereist dat het opslaan van of toegang krijgen tot informatie op het apparaat van een gebruiker berust op toestemming die is gegeven na duidelijke en volledige informatie, met een uitzondering voor opslag die strikt noodzakelijk is voor een dienst die de gebruiker uitdrukkelijk heeft gevraagd of voor het verzenden van een communicatie.
Wanneer cookies worden gebruikt om persoonsgegevens te verwerken, zijn ook de AVG en de Spaanse Organieke Wet 3/2018 (LOPDGDD) van toepassing, en daarom is de AEPD de autoriteit waarmee uitgevers in cookiekwesties te maken hebben.
De cookiegids van de AEPD
De AEPD publiceert een Gids over het gebruik van cookies, opgesteld samen met brancheverenigingen. Die is in juli 2023 bijgewerkt om aan te sluiten bij het werk van de Europese Raad voor gegevensbescherming over cookiebanners en misleidende ontwerppatronen, en organisaties kregen tot januari 2024 om zich aan te passen. Hieronder de belangrijkste punten voor uitgevers.
Gelijke zichtbaarheid voor weigeren
De bijgewerkte gids verwacht dat, als de eerste laag van de banner een knop bevat om cookies te accepteren, er ook een gelijkwaardige manier is om ze te weigeren, op hetzelfde niveau en met vergelijkbare zichtbaarheid. Een weigeroptie verstopt achter een link “instellingen” is niet gelijkwaardig.
Geen toestemming door te surfen
Scrollen, doorgaan met navigeren of de banner sluiten tellen niet als toestemming. De gebruiker moet een duidelijke bevestigende handeling verrichten.
Duidelijke informatie in lagen
De gids accepteert een gelaagde aanpak: een korte eerste laag die de uitgever, de doelen, de betrokkenheid van derden en de mogelijkheden om te accepteren, te weigeren of te configureren noemt, en een tweede laag met gedetailleerde informatie over elke cookie, de betrokken partijen en de bewaartermijn.
Gedetailleerde keuzes
Gebruikers moeten per doel, en waar nuttig per derde partij, kunnen kiezen in plaats van met één alles-of-niets-schakelaar te worden geconfronteerd.
Intrekking
Gebruikers moeten hun toestemming op elk moment kunnen intrekken, even gemakkelijk als ze die gaven. Een blijvende link of icoon dat de instellingen heropent is de gebruikelijke oplossing.
Duur van de toestemming
De gids beveelt aan toestemming periodiek te vernieuwen en noemt een maximale geldigheid van 24 maanden, zodat gebruikers opnieuw worden gevraagd in plaats van dat een keuze onbeperkt wordt bewaard.
Toegang afhankelijk van cookies
De gids bespreekt gevallen waarin toegang tot een dienst afhankelijk wordt gemaakt van het accepteren van cookies. Hij geeft aan dat dit in sommige omstandigheden acceptabel kan zijn, bijvoorbeeld wanneer de gebruiker een echt alternatief krijgt om de inhoud te openen zonder cookies te accepteren, dat niet gratis hoeft te zijn. Gezien het afzonderlijke advies van de EDPB over “consent or pay”-modellen voor grote platforms moeten uitgevers die deze aanpak overwegen specifiek juridisch advies inwinnen.
Wat dit in de praktijk betekent
Voor de meeste uitgevers die in de EU al een op TCF gebaseerde CMP draaien, vraagt Spanje om weinig structurele wijzigingen. De punten die het vaakst aandacht vragen:
- Weigeren in de eerste laag. Als je EU-banner nog steeds alleen “Accepteren” plus “Opties beheren” gebruikt, is Spaans verkeer een reden om een zichtbare weigerknop toe te voegen.
- Spaanse tekst. Doelen en beschrijvingen van derden moeten voor gebruikers in Spanje in duidelijk Spaans zijn, niet in machinaal vertaalde fragmenten vermengd met Engelse vendornamen.
- Schema voor opnieuw vragen. Controleer of je CMP toestemming binnen de door jou gekozen termijn vernieuwt en of wijzigingen in vendors of doelen een nieuwe vraag activeren.
- Cookiebeleid. Houd de informatie in de tweede laag en je cookiebeleid consistent met wat er daadwerkelijk op de site draait.
- Laden vóór toestemming. Zorg dat er geen advertentie- of analysecookies worden geplaatst voordat de gebruiker heeft beslist. Dit blijft overal de meest voorkomende bevinding bij cookieonderzoeken.
Handhavingscontext
De AEPD publiceert regelmatig haar besluiten, en daaronder zijn ook cookiezaken, vaak met banners zonder echte weigeroptie of met cookies die vóór enige keuze zijn geplaatst. Bedragen en uitkomsten verschillen per zaak, dus de bruikbare les is het patroon van de bevindingen en niet enig bedrag: ontbrekende weigeropties, tracking vóór toestemming en onduidelijke informatie zijn de problemen die steeds terugkomen.
Een checklist voor een Spanje-proof banner
- Accepteren en weigeren worden op hetzelfde niveau in de eerste laag aangeboden.
- Vóór een keuze geen andere cookies dan strikt noodzakelijke.
- Duidelijke samenvatting in de eerste laag in het Spaans, met een link naar details.
- Gedetailleerde bediening per doel in de tweede laag.
- Intrekken is vanaf elke pagina mogelijk.
- Toestemming wordt binnen een vastgestelde periode vernieuwd, aanbevolen maximaal 24 maanden.
- Cookiebeleid afgestemd op de tags die daadwerkelijk worden geladen.
Belangrijkste punten
- De Spaanse cookieregel is artikel 22.2 LSSI; de AEPD handhaaft die naast de AVG.
- De in juli 2023 bijgewerkte AEPD-gids verwacht dat weigeren in de eerste laag net zo makkelijk is als accepteren.
- Surfen of het sluiten van de banner is geen toestemming.
- De gids beveelt aan toestemming minstens elke 24 maanden te vernieuwen.
- Modellen met voorwaardelijke toegang vragen om een zorgvuldige, zaakspecifieke juridische beoordeling.