Ramy Prawne

LFPDPPP znajduje się na szczycie wielowarstwowych ram. Sama ustawa definiuje podstawowe zasady — zgodności z prawem, zgody, informacji, jakości, celu, rzetelności, proporcjonalności, rozliczalności — które meksykańscy redaktorzy zapożyczyli z europejskiej tradycji ochrony danych. Pod ustawą znajdują się Przepisy wykonawcze do LFPDPPP, które uzupełniają szczegóły operacyjne, oraz Lineamientos del Aviso de Privacidad (wytyczne dotyczące notatki o prywatności), które określają, co musi znajdować się w notatce o prywatności i w jaki sposób. Razem te trzy teksty tworzą meksykański odpowiednik jednolitego kodeksu prywatności, z praktyczną mocą wiążących przepisów.

Dla wydawców internetowych najbardziej znaczącymi przepisami są zasady dotyczące zgody na podstawie artykułów 8 do 11 ustawy oraz wymogi dotyczące notatki o prywatności określające, w jaki sposób żąda się zgody. Meksykańska zgoda jest stopniowana: zgoda domyślna wystarcza dla niektórych form przetwarzania zwykłych danych osobowych, gdy odpowiednie zawiadomienie zostało przekazane, ale wyraźna zgoda jest wymagana dla danych wrażliwych i dla każdego przetwarzania, w którym ustawa wyraźnie tego wymaga. Pytanie interpretacyjne dotyczące banerów cookie polega na tym, który z tych reżimów ma zastosowanie do plików cookie związanych z zachowaniem i reklamą.

Jak Meksykańskie Prawo Traktuje Pliki Cookie i Identyfikatory Online

W przeciwieństwie do unijnej dyrektywy ePrivacy, LFPDPPP nie zawiera przepisu szczególnego dla plików cookie. Zamiast tego ramy traktują identyfikatory online jako dane osobowe, gdy można je powiązać ze zidentyfikowaną osobą fizyczną, a obowiązki dotyczące zgody wynikają z ogólnych ram, a nie z dedykowanej zasady dotyczącej plików cookie. Wytyczne INAI wyjaśniły, że:

• Własne pliki cookie ściśle niezbędne do funkcjonowania strony nie wymagają uprzedniej zgody, ale ich obecność musi zostać ujawniona w notatce o prywatności.
• Analityczne pliki cookie ogólnie wymagają świadomej zgody, przy czym zgoda domyślna jest dopuszczalna, gdy notatka o prywatności jest wyraźnie dostępna przed zebraniem jakichkolwiek danych.
• Pliki cookie reklamowe i behawioralne wymagają wyraźnej zgody, szczególnie gdy dane są udostępniane stronom trzecim lub wykorzystywane do śledzenia między witrynami.
• Pliki cookie przechwytujące dane wrażliwe — zdrowie, orientacja seksualna, przekonania religijne, poglądy polityczne — wymagają wyraźnej zgody niezależnie od kategorii.

Praktyczny skutek jest taki, że zgodny meksykański baner cookie musi co najmniej rozróżniać kategorie niezbędne, analityczne i reklamowe, z afirmatywną zgodą wymaganą dla reklam i jasnym zawiadomieniem dla analityki.

Notatka o Prywatności jako Kotwica Zgodności

Meksykańskie prawo prywatności jest zorientowane na zawiadomienie w sposób, który różni się od tradycji europejskiej. Notatka o prywatności — aviso de privacidad — nie jest tylko dokumentem przejrzystości; jest instrumentem prawnym, za pośrednictwem którego strukturyzowana jest zgoda. Lineamientos del Aviso de Privacidad wymagają, aby notatka zawierała określone elementy, a każdy baner cookie musi być zgodny z notatką bazową, a nie próbować skompresować wszystko w wyskakujący baner.

Wymagane elementy notatki

Notatka musi zidentyfikować administratora danych, wymienić zbierane dane osobowe, opisać cele przetwarzania, określić, czy dane będą przekazywane stronom trzecim, zidentyfikować prawa osoby, której dane dotyczą (acceso, rectificación, cancelación, oposición — tzw. prawa ARCO) oraz opisać, w jaki sposób te prawa mogą być wykonywane. Dla wydawcy internetowego baner cookie musi działać jako warstwowy punkt wejścia do pełnej notatki, a nie jako jej zastępstwo.

Krótki, uproszczony, integralny

Przepisy wykonawcze rozpoznają trzy formaty notatki: integralny (pełny), uproszczony i krótki. Baner cookie zazwyczaj prezentuje notatkę krótką lub uproszczoną z wyraźną ścieżką do wersji integralnej. Kategorie plików cookie i przełączniki zgody znajdują się wewnątrz tej warstwowej struktury.

Reforma INAI i Co Dalej

Pod koniec 2024 roku rząd meksykański przeforsował reformę, która restrukturyzuje federalną funkcję ochrony danych — autonomiczne INAI zostaje wchłonięte w nowy układ instytucjonalny pod władzą wykonawczą. Ramy prawne (LFPDPPP, przepisy wykonawcze, lineamientos) pozostają w mocy, ale ciągłość nadzoru pozostaje otwartym pytaniem. Dla wydawców ostrożną postawą jest założenie, że standardy materialne pozostają stałe, podczas gdy intensywność egzekwowania jest niepewna w okresie przejściowym. Budowanie zgodnie ze standardami, które INAI sformułowało przed reformą — granularne kategorie, wyraźna zgoda na reklamy, pełne wsparcie praw ARCO, dokładna aviso de privacidad — jest właściwą strategią niezależnie od tego, jak stabilizuje się architektura nadzoru.

Praktyczna Lista Kontrolna Zgodności

Sześć konkretnych pytań do odpowiedzi dla każdego banera cookie obsługującego ruch meksykański.

1. Kategoryzacja

Czy baner dzieli pliki cookie na co najmniej kategorie niezbędnych, analitycznych i reklamowych, z afirmatywną zgodą dla reklam? Łączenie wszystkich nieesencjalnych plików cookie pod pojedynczym przyciskiem "Akceptuj wszystkie" bez granularności jest najczęstszą wadą.

2. Powiązanie z notatką o prywatności

Czy baner zawiera link do pełnej notatki o prywatności i czy ta notatka zawiera każdy wymagany element (administrator, dane, cele, transfery, prawa ARCO)? Baner bez właściwie sporządzonej notatki bazowej jest cienką powierzchnią zgodności.

3. Język hiszpański (meksykański)

Czy baner jest prezentowany po hiszpańsku i czy używa konwencji hiszpańskiego meksykańskiego tam, gdzie odbiega on od hiszpańskiego europejskiego? Właściwy rejestr językowy sygnalizuje powagę zarówno użytkownikom, jak i nadzorcom.

4. Ścieżka wycofania

Czy istnieje trwała kontrola, która pozwala użytkownikowi ponownie odwiedzić i zmodyfikować swój wybór zgody? Prawo do cofnięcia jest częścią prawa "oposición" w ramach ARCO i baner musi je uwzględniać.

5. Ujawnienie transferu do stron trzecich

Czy notatka identyfikuje kategorie stron trzecich, które otrzymują dane osobowe poprzez pliki cookie (sieci reklamowe, dostawcy analityki, CDP), z wystarczającą szczegółowością, aby użytkownik mógł zrozumieć przepływ danych?

6. Logowanie

Czy system rejestruje każdą decyzję dotyczącą zgody ze znacznikiem czasu i wersją banera, tak aby w przypadku skargi wydawca mógł udowodnić, że decyzja została udzielona swobodnie i świadomie?

Jak To Pasuje Do Obrazu Latynoamerykańskiego

Meksyk jest drugim co do wielkości rynkiem cyfrowym w Ameryce Łacińskiej po Brazylii, a jego system ochrony danych jest jednym z najbardziej wpływowych w regionie. Trwająca debata reformatorska ukształtuje kierunek interpretacyjny na lata, ale standardy materialne są stabilne: zorientowane na notatkę, oparte na prawach ARCO, granularna zgoda na reklamy, pełne ujawnienie transferów do stron trzecich. Wydawcy działający w całej Ameryce Łacińskiej zyskują na zbudowaniu raz według wyższego standardu — zreformowane ramy Argentyny, brazylijska LGPD, zreformowane prawo Chile i oczekujący projekt ustawy Kolumbii zbiegają się w podobnych podstawowych oczekiwaniach. CMP, który obsługuje meksykański hiszpański, przechwytuje zgodę na poziomie kategorii, czysto łączy się z pełną aviso de privacidad i loguje decyzje w formie audit-grade, obsługuje zgodność meksykańską poprzez tę samą infrastrukturę, która obsługuje zgodność regionalną.