Hvorfor Spania fortjener et eget blikk

Spania er en av de største målgruppene for spansk-språklige utgivere i verden, og landets personvernmyndighet, Agencia Española de Protección de Datos (AEPD), er en av Europas mest aktive tilsynsmyndigheter. Som alle EU-land anvender Spania GDPR, men regelen om informasjonskapsler kommer fra nasjonal lovgivning som gjennomfører ePrivacy-direktivet. For utgivere er AEPDs veiledning om informasjonskapsler den mest praktiske referansen for hvordan disse reglene leses i Spania.

Denne artikkelen oppsummerer hva veiledningen betyr for et typisk annonsefinansiert nettsted eller en app. Det er en praktisk oversikt, ikke juridisk rådgivning.

Det rettslige grunnlaget: LSSI artikkel 22.2

Regelen om informasjonskapsler i Spania står i artikkel 22.2 i lov 34/2002 om informasjonssamfunnstjenester og elektronisk handel, kjent som LSSI. Den krever at lagring av eller tilgang til informasjon på en brukers enhet bygger på samtykke gitt etter klar og fullstendig informasjon, med unntak for lagring som er strengt nødvendig for en tjeneste brukeren uttrykkelig har bedt om, eller for å overføre en kommunikasjon.

Når informasjonskapsler brukes til å behandle personopplysninger, gjelder også GDPR og Spanias organiske lov 3/2018 (LOPDGDD), og derfor er AEPD myndigheten utgivere har med å gjøre i spørsmål om informasjonskapsler.

AEPDs veiledning om informasjonskapsler

AEPD publiserer en veiledning om bruk av informasjonskapsler, utarbeidet sammen med bransjeorganisasjoner. Den ble oppdatert i juli 2023 for å tilpasse den til Det europeiske personvernrådets arbeid med cookie-bannere og villedende designmønstre, og organisasjoner fikk frem til januar 2024 på å tilpasse seg. De viktigste punktene for utgivere er nedenfor.

Like fremtredende avvisning

Den oppdaterte veiledningen forventer at hvis første lag av banneret inneholder en knapp for å godta informasjonskapsler, tilbyr det også en likeverdig måte å avvise dem på, presentert på samme nivå og med lignende synlighet. Et avvisningsalternativ gjemt bak en “innstillinger”-lenke er ikke likeverdig.

Intet samtykke ved å surfe

Å rulle, fortsette å navigere eller lukke banneret regnes ikke som samtykke. Brukeren må foreta en klar, bekreftende handling.

Klar informasjon i lag

Veiledningen godtar en lagdelt tilnærming: et kort første lag som identifiserer utgiveren, formålene, om tredjeparter er involvert og hvordan man godtar, avviser eller konfigurerer, og et andre lag med detaljert informasjon om hver informasjonskapsel, partene som er involvert og lagringstid.

Detaljerte valg

Brukere bør kunne velge per formål, og der det er nyttig per tredjepart, i stedet for å møte én enkelt alt-eller-ingenting-bryter.

Tilbaketrekking

Brukere må når som helst kunne trekke tilbake samtykket, like enkelt som de ga det. En permanent lenke eller et ikon som åpner innstillingene på nytt, er den vanlige løsningen.

Samtykkets varighet

Veiledningen anbefaler at samtykke fornyes jevnlig, og foreslår en maksimal gyldighet på 24 måneder, slik at brukere blir spurt på nytt i stedet for at et valg lagres på ubestemt tid.

Tilgang betinget av informasjonskapsler

Veiledningen drøfter tilfeller der tilgang til en tjeneste gjøres betinget av å godta informasjonskapsler. Den antyder at dette kan være akseptabelt under visse omstendigheter, for eksempel når brukeren tilbys et reelt alternativ for å få tilgang til innholdet uten å godta informasjonskapsler, som ikke trenger å være gratis. Gitt EDPBs separate uttalelse om “consent or pay”-modeller for store plattformer bør utgivere som vurderer denne tilnærmingen, innhente spesifikk juridisk rådgivning.

Hva dette betyr i praksis

For de fleste utgivere som allerede kjører en TCF-basert CMP i hele EU, krever Spania få strukturelle endringer. Punktene som oftest trenger oppmerksomhet:

• Avvisning i første lag. Hvis EU-banneret ditt fortsatt bare bruker “Godta” pluss “Administrer valg”, er spansk trafikk en grunn til å legge til en synlig avvisningsknapp.
• Spansk tekst. Formål og beskrivelser av tredjeparter bør være på klar spansk for brukere i Spania, ikke maskinoversatte fragmenter blandet med engelske leverandørnavn.
• Plan for ny forespørsel. Sjekk at CMP-en din fornyer samtykket innenfor perioden du har valgt, og at endringer i leverandører eller formål utløser en ny forespørsel.
• Retningslinjer for informasjonskapsler. Hold informasjonen i andre lag og retningslinjene dine for informasjonskapsler i samsvar med det som faktisk kjører på nettstedet.
• Innlasting før samtykke. Sørg for at ingen annonse- eller analyseinformasjonskapsler settes før brukeren har bestemt seg. Dette er fortsatt det vanligste funnet i undersøkelser av informasjonskapsler overalt.

Håndhevingskontekst

AEPD publiserer jevnlig sine vedtak, og saker om informasjonskapsler dukker opp blant dem, ofte med bannere uten et reelt avvisningsalternativ eller informasjonskapsler satt før noe valg. Beløp og utfall varierer fra sak til sak, så den nyttige lærdommen er mønsteret i funnene snarere enn noe tall: manglende avvisningsalternativer, sporing før samtykke og uklar informasjon er problemene som dukker opp igjen og igjen.

En sjekkliste for et Spania-klart banner

1. Godta og avvis tilbys på samme nivå i første lag.
2. Ingen andre informasjonskapsler enn strengt nødvendige før et valg.
3. Klar oppsummering i første lag på spansk, med en lenke til detaljer.
4. Detaljerte kontroller per formål i andre lag.
5. Tilbaketrekking mulig fra hver side.
6. Samtykke fornyet innenfor en fastsatt periode, anbefalt høyst 24 måneder.
7. Retningslinjer for informasjonskapsler i samsvar med taggene som faktisk lastes.

Viktigste poenger

• Spanias regel om informasjonskapsler er LSSI artikkel 22.2; AEPD håndhever den ved siden av GDPR.
• AEPD-veiledningen, oppdatert i juli 2023, forventer at avvisning er like enkelt som godkjenning i første lag.
• Å surfe eller lukke banneret er ikke samtykke.
• Veiledningen anbefaler å fornye samtykke minst hver 24. måned.
• Modeller med betinget tilgang krever nøye, saksspesifikk juridisk vurdering.