Tło prawne

Ley 25.326 została napisana, zanim reklama behawioralna istniała na dużą skalę. Standard zgody wymagał uprzedniej, wyraźnej i świadomej autoryzacji, ale praktyczna interpretacja przez AAIP była historycznie mniej preskryptywna niż ta stosowana przez europejskich nadzorców. Pliki cookie, piksele śledzące i narzędzia do budowania grup odbiorców działały w Argentynie w ramach stosunkowo liberalnego reżimu interpretacyjnego, przy czym egzekwowanie koncentrowało się na rażących przypadkach, a nie na systematycznym projektowaniu banerów.

Reforma zmienia środowisko operacyjne na trzy strukturalne sposoby. Po pierwsze, zaostrza definicję zgody, aby odzwierciedlać język GDPR Article 4(11) — wyrażonej dobrowolnie, konkretnej, świadomej i jednoznacznej. Po drugie, przyjmuje wyraźną zasadę rozliczalności, która wymaga od administratorów danych możliwości wykazania zgodności, a nie jedynie jej twierdzenia. Po trzecie, podnosi maksymalną karę administracyjną do poziomu proporcjonalnego do przychodów organizacji, co istotnie zmienia kalkulację egzekwowania dla platform międzynarodowych.

Co liczy się jako zgoda według zreformowanego standardu

Zreformowany tekst, w wersji ostatnio przedstawionej Kongresowi, odzwierciedla europejskie rozumienie zgody pod istotnymi względami. Wstępnie zaznaczone pola nie stanowią zgody. Dalsze korzystanie ze strony internetowej nie stanowi zgody. Łączenie zgód na niepowiązane cele — na przykład traktowanie akceptacji warunków korzystania z usługi jako zezwolenia na reklamy behawioralne — nie stanowi zgody. AAIP zasygnalizowała podczas warsztatów i konsultacji, że zamierza interpretować zreformowany standard z odwołaniem do zbioru wytycznych EDPB, co oznacza, że argentyńscy wydawcy powinni spodziewać się, że egzekwowanie banerów plików cookie zbiegnie się z tymi samymi sześcioma trybami awarii, które udokumentowała EDPB Cookie Banner Taskforce: brakujące przyciski odrzucenia, oszukańczy projekt linków, wstępnie zaznaczone kategorie, błędnie oznaczone pliki cookie, brakujące mechanizmy wycofania zgody i ciemne wzorce projektowe wywierające presję.

Praktyczna implikacja dla banerów plików cookie w Argentynie jest taka, że projekt, który przejdzie kontrolę UE, przejdzie też argentyńską kontrolę po reformie. Odwrotnie, baner, który działał w Argentynie na podstawie starej, łagodniejszej interpretacji, może wymagać znacznej przeprojektowania przed wejściem w życie zreformowanego prawa.

Transgraniczne przekazywanie danych

Jedną z najbardziej znaczących zmian w reformie jest traktowanie międzynarodowych przekazywań danych. Na mocy Ley 25.326 w pierwotnie uchwalonej wersji, przekazywania do krajów bez odpowiedniej ochrony wymagały albo konkretnej zgody, albo zabezpieczenia umownego, ale przepisy były skąpe, a AAIP miała ograniczone możliwości egzekwowania. Reforma wprowadza wielopoziomowe ramy, które są analogiczne do Rozdziału V GDPR: przekazywania są dozwolone do krajów, które AAIP uzna za odpowiednie; w przypadku braku adekwatności przekazywania wymagają zatwierdzonych instrumentów, takich jak wiążące reguły korporacyjne, zatwierdzone przez AAIP standardowe klauzule umowne lub konkretne odstępstwa.

Dla wydawców, którzy kierują argentyński ruch przez dostawców technologii reklamowych z USA, UE lub Azji, praktyczną konsekwencją jest to, że rejestr zgody na pliki cookie musi teraz również obsługiwać obowiązek rozliczalności w zakresie przekazywania. CMP musi być w stanie wykazać dla dowolnego odwiedzającego, które kategorie dostawców otrzymały jego dane osobowe i na podstawie jakiego instrumentu przekazywania. Jest to ta sama architektura rozliczalności, którą europejscy wydawcy budowali na potrzeby GDPR, zastosowana do argentyńskiego ruchu.

Rola AAIP

Agencia de Acceso a la Información Pública jest argentyńskim organem ochrony danych. Utworzona w 2017 roku na mocy Decreto 746/2017, konsoliduje nadzór zarówno nad systemami ochrony danych, jak i dostępu do informacji. Na mocy obecnego prawa jej możliwości egzekwowania są skromne; reforma znacznie je wzmacnia.

Uprawnienia dochodzeniowe

Reforma przyznaje AAIP rozszerzone uprawnienia do żądania przedłożenia dokumentów, przeprowadzania kontroli i nakładania środków tymczasowych podczas dochodzeń. Dla wydawców internetowych najprawdopodobniej objawi się to jako żądania dotyczące dzienników zgody, list dostawców i migawek kodu banerów obejmujących określone zakresy dat.

System sankcji

Maksymalne kary administracyjne na mocy zreformowanego tekstu są powiązane z procentem rocznych przychodów, ograniczonym do wysokiego pułapu bezwzględnego. Jest to znacząca zmiana w stosunku do obecnego systemu kwot stałych i dostosowuje Argentynę do wielostopniowej struktury kar GDPR.

Koordynacja z latynoamerykańskimi partnerami

AAIP jest aktywnym uczestnikiem Iberoamerykańskiej Sieci Ochrony Danych. Zreformowane argentyńskie wytyczne mają wpływać — i być kształtowane przez — brazylijskie ANPD, meksykańskie INAI, zreformowany system chilijskie i urugwajskie URCDP. Wydawcy działający w całym regionie powinni spodziewać się konwergencji standardów zgody w ciągu 24 do 36 miesięcy.

Co wydawcy powinni zrobić teraz

Reforma jest w toku legislacyjnym, jeszcze nie obowiązuje. Konserwatywna postawa polega na budowaniu zgodnie z wyższym standardem teraz, przy założeniu, że uchwalenie nastąpi w ciągu 12 do 18 miesięcy. Pięć kroków operacyjnych sprawia, że przejście jest możliwe do zarządzania.

• Przeprowadź audyt obecnego banera pod kątem kryteriów grupy roboczej EDPB. Jeśli nie spełnia żadnego z sześciu typowych trybów awarii, ten sam baner nie spełni wymagań zreformowanego standardu argentyńskiego po jego wejściu w życie. Naprawienie teraz pozwala uniknąć przeróbek później.
• Dodaj wersje banera i polityki w języku hiszpańskim. Argentyński hiszpański (es-AR) jest podstawowym językiem skierowanym do użytkowników; upewnij się, że CMP obsługuje go natywnie, a nie tylko w wersji ogólnej.
• Zmapuj listę dostawców na instrumenty przekazywania. Dla każdego dostawcy technologii reklamowych, analitycznych lub marketingowych, który otrzymuje argentyńskie dane osobowe, udokumentuj instrument przekazywania: adekwatność, standardowe klauzule umowne, wiążące reguły korporacyjne lub odstępstwo.
• Skonfiguruj rejestrowanie zgody z regionalną granularnością. Dzienniki zgody powinny rejestrować kraj pochodzenia odwiedzającego (pochodny z adresu IP w chwili wyświetlenia banera), aby dochodzenie AAIP mogło być udzielone z odpowiednio przefiltrowanymi dowodami.
• Wyznacz punkt kontaktowy dla korespondencji z AAIP. Wielu międzynarodowych wydawców działa w Argentynie bez formalnego lokalnego przedstawiciela; reforma sprawia, że wyznaczenie kontaktu dla organu nadzorczego staje się praktyczną koniecznością.

Poza banerami plików cookie

Argentyńska reforma jest szersza niż zgoda na pliki cookie. Przebudowuje harmonogramy powiadamiania o naruszeniach, wprowadza konkretne zabezpieczenia dla wrażliwych kategorii danych i tworzy nowe obowiązki związane z automatycznym podejmowaniem decyzji. Dla wydawców baner plików cookie jest najbardziej widoczną powierzchnią zgodności, ale nie jedyną. Ta sama infrastruktura CMP, która rejestruje zgodę na pliki cookie, jest dobrze przygotowana do rejestrowania innych decyzji dotyczących zgody — zgody na komunikację, zgody na udostępnianie danych partnerom mediowym w handlu detalicznym, zgody na funkcje personalizacji — a wymóg rozliczalności AAIP dotyczy ich wszystkich.

Reforma odzwierciedla szerszy wzorzec: Ameryka Łacińska zmierza w kierunku standardów zgodnych z GDPR, z krajowymi wdrożeniami dostosowanymi do lokalnych tradycji prawnych. Wydawcy, którzy teraz budują agnostyczny regionalnie stos zgody — taki, który rejestruje granularną zgodę specyficzną dla celu, obsługuje wiele języków i formatów dat, rejestruje decyzje w formacie klasy audytu i integruje się z dokumentacją przekazywania — obsługują argentyńską, brazylijską, meksykańską i chilijską zgodność za pośrednictwem tego samego rurociągu operacyjnego. Koszty budowania dla jednej jurysdykcji, a następnie dostosowywania do następnej, historycznie były wyższe niż koszty budowania od samego początku zgodnie ze standardem regionalnym.