Dlaczego Hiszpania zasługuje na osobne spojrzenie

Hiszpania to jedna z największych publiczności dla wydawców hiszpańskojęzycznych na świecie, a jej organ ochrony danych, Agencia Española de Protección de Datos (AEPD), jest jednym z najaktywniejszych regulatorów w Europie. Jak każdy kraj UE, Hiszpania stosuje RODO, ale przepis o plikach cookie pochodzi z prawa krajowego wdrażającego dyrektywę ePrivacy. Dla wydawców wytyczne AEPD dotyczące plików cookie są najbardziej praktycznym źródłem wiedzy o tym, jak te zasady są odczytywane w Hiszpanii.

Ten artykuł podsumowuje, co te wytyczne oznaczają dla typowej witryny lub aplikacji utrzymującej się z reklam. To praktyczny przegląd, a nie porada prawna.

Podstawa prawna: art. 22.2 LSSI

Zasada dotycząca plików cookie w Hiszpanii znajduje się w art. 22.2 ustawy 34/2002 o usługach społeczeństwa informacyjnego i handlu elektronicznym, znanej jako LSSI. Wymaga ona, aby przechowywanie informacji na urządzeniu użytkownika lub dostęp do nich opierały się na zgodzie udzielonej po otrzymaniu jasnych i pełnych informacji, z wyjątkiem przechowywania, które jest ściśle niezbędne do usługi wyraźnie zażądanej przez użytkownika lub do przesłania komunikatu.

Gdy pliki cookie służą do przetwarzania danych osobowych, stosuje się także RODO i hiszpańską ustawę organiczną 3/2018 (LOPDGDD), dlatego AEPD jest organem, z którym wydawcy mają do czynienia w sprawach plików cookie.

Przewodnik AEPD po plikach cookie

AEPD publikuje Przewodnik po korzystaniu z plików cookie, przygotowany wspólnie ze stowarzyszeniami branżowymi. Został zaktualizowany w lipcu 2023 r. zgodnie z pracami Europejskiej Rady Ochrony Danych nad banerami cookie i zwodniczymi wzorcami projektowymi, a organizacje miały czas na dostosowanie się do stycznia 2024 r. Poniżej najważniejsze punkty dla wydawców.

Równa widoczność odrzucenia

Zaktualizowany przewodnik oczekuje, że jeśli pierwsza warstwa banera zawiera przycisk akceptacji plików cookie, oferuje także równoważny sposób ich odrzucenia, przedstawiony na tym samym poziomie i z podobną widocznością. Opcja odrzucenia ukryta za linkiem “ustawienia” nie jest równoważna.

Brak zgody przez przeglądanie

Przewijanie, dalsza nawigacja ani zamknięcie banera nie liczą się jako zgoda. Użytkownik musi wykonać jednoznaczne, potwierdzające działanie.

Jasne informacje w warstwach

Przewodnik dopuszcza podejście warstwowe: krótką pierwszą warstwę wskazującą wydawcę, cele, to, czy uczestniczą strony trzecie, oraz sposób akceptacji, odrzucenia lub konfiguracji; i drugą warstwę ze szczegółowymi informacjami o każdym pliku cookie, zaangażowanych podmiotach i okresie przechowywania.

Szczegółowe wybory

Użytkownicy powinni móc wybierać według celu, a tam gdzie to przydatne, według strony trzeciej, zamiast mierzyć się z jednym przełącznikiem wszystko albo nic.

Wycofanie zgody

Użytkownicy muszą móc wycofać zgodę w dowolnym momencie, równie łatwo, jak ją udzielili. Zwykle rozwiązaniem jest stały link lub ikona, która ponownie otwiera ustawienia.

Okres ważności zgody

Przewodnik zaleca okresowe odnawianie zgody i sugeruje maksymalny okres ważności wynoszący 24 miesiące, aby użytkownicy byli pytani ponownie, zamiast przechowywać wybór bezterminowo.

Dostęp uzależniony od plików cookie

Przewodnik omawia przypadki, gdy dostęp do usługi jest uzależniony od zaakceptowania plików cookie. Wskazuje, że w pewnych okolicznościach może to być dopuszczalne, na przykład gdy użytkownikowi oferuje się prawdziwą alternatywę dostępu do treści bez akceptowania plików cookie, która nie musi być bezpłatna. Ze względu na odrębną opinię EDPB dotyczącą modeli “zgoda lub płatność” dla dużych platform wydawcy rozważający takie podejście powinni zasięgnąć konkretnej porady prawnej.

Co to oznacza w praktyce

Dla większości wydawców, którzy już prowadzą w UE CMP oparty na TCF, Hiszpania wymaga niewielu zmian strukturalnych. Punkty, które najczęściej wymagają uwagi:

• Odrzucenie w pierwszej warstwie. Jeśli Twój baner dla UE nadal ma tylko “Akceptuj” i “Zarządzaj opcjami”, ruch z Hiszpanii jest powodem, by dodać widoczny przycisk odrzucenia.
• Tekst po hiszpańsku. Cele i opisy stron trzecich powinny być dla użytkowników w Hiszpanii napisane jasną hiszpańszczyzną, a nie jako tłumaczone maszynowo fragmenty wymieszane z angielskimi nazwami dostawców.
• Harmonogram ponownego wyświetlania. Sprawdź, czy Twój CMP odnawia zgodę w wybranym przez Ciebie okresie i czy zmiany dostawców lub celów wywołują nowe wyświetlenie.
• Polityka plików cookie. Utrzymuj informacje drugiej warstwy i politykę plików cookie zgodne z tym, co faktycznie działa w witrynie.
• Ładowanie przed zgodą. Upewnij się, że przed decyzją użytkownika nie są ustawiane żadne reklamowe ani analityczne pliki cookie. To nadal najczęstsze ustalenie w postępowaniach dotyczących plików cookie wszędzie.

Kontekst egzekwowania

AEPD regularnie publikuje swoje decyzje, a wśród nich pojawiają się sprawy dotyczące plików cookie, często z banerami bez realnej opcji odrzucenia lub z plikami cookie ustawionymi przed jakimkolwiek wyborem. Kwoty i wyniki różnią się w zależności od sprawy, więc przydatną lekcją jest raczej wzorzec ustaleń niż jakakolwiek liczba: brak opcji odrzucenia, śledzenie przed zgodą i niejasne informacje to problemy, które wracają raz po raz.

Lista kontrolna banera gotowego na Hiszpanię

1. Akceptacja i odrzucenie oferowane na tym samym poziomie w pierwszej warstwie.
2. Brak plików cookie poza ściśle niezbędnymi przed dokonaniem wyboru.
3. Jasne podsumowanie w pierwszej warstwie po hiszpańsku, z linkiem do szczegółów.
4. Szczegółowe kontrolki według celu w drugiej warstwie.
5. Wycofanie zgody dostępne z każdej strony.
6. Zgoda odnawiana w określonym okresie, zalecanym nie dłuższym niż 24 miesiące.
7. Polityka plików cookie zgodna z faktycznie ładowanymi tagami.

Najważniejsze wnioski

• Hiszpańska zasada dotycząca plików cookie to art. 22.2 LSSI; AEPD egzekwuje ją obok RODO.
• Przewodnik AEPD, zaktualizowany w lipcu 2023 r., oczekuje, że odrzucenie będzie w pierwszej warstwie równie łatwe jak akceptacja.
• Przeglądanie ani zamknięcie banera nie jest zgodą.
• Przewodnik zaleca odnawianie zgody co najmniej co 24 miesiące.
• Modele dostępu warunkowego wymagają starannej oceny prawnej w konkretnym przypadku.