Por que a Espanha merece um olhar à parte

A Espanha é um dos maiores públicos para editores de língua espanhola em todo o mundo, e sua autoridade de proteção de dados, a Agencia Española de Protección de Datos (AEPD), é um dos reguladores mais ativos da Europa. Como todo país da UE, a Espanha aplica o GDPR, mas a regra sobre cookies vem da lei nacional que implementa a Diretiva ePrivacy. Para os editores, as orientações da AEPD sobre cookies são a referência mais prática de como essas regras são lidas na Espanha.

Este artigo resume o que essas orientações significam para um site ou app típico financiado por anúncios. É uma visão geral prática, não aconselhamento jurídico.

A base legal: artigo 22.2 da LSSI

A regra sobre cookies na Espanha está no artigo 22.2 da Lei 34/2002 sobre serviços da sociedade da informação e comércio eletrônico, conhecida como LSSI. Ela exige que o armazenamento de informações no dispositivo de um usuário, ou o acesso a elas, se baseie em consentimento dado após informação clara e completa, com uma exceção para o armazenamento estritamente necessário para um serviço explicitamente solicitado pelo usuário ou para a transmissão de uma comunicação.

Quando cookies são usados para processar dados pessoais, o GDPR e a Lei Orgânica espanhola 3/2018 (LOPDGDD) também se aplicam, e é por isso que a AEPD é a autoridade com quem os editores lidam em questões de cookies.

O guia de cookies da AEPD

A AEPD publica um Guia sobre o uso de cookies, preparado em conjunto com associações do setor. Ele foi atualizado em julho de 2023 para se alinhar ao trabalho do Comitê Europeu para a Proteção de Dados sobre banners de cookies e padrões de design enganosos, e as organizações tiveram até janeiro de 2024 para se adaptar. Os principais pontos relevantes para os editores estão abaixo.

Proeminência igual para a rejeição

O guia atualizado espera que, se a primeira camada do banner contiver um botão para aceitar cookies, ela também ofereça uma forma equivalente de rejeitá-los, apresentada no mesmo nível e com visibilidade semelhante. Uma opção de rejeição escondida atrás de um link de “configurações” não é equivalente.

Sem consentimento por navegação

Rolar a página, continuar navegando ou fechar o banner não contam como consentimento. O usuário deve realizar uma ação afirmativa clara.

Informação clara em camadas

O guia aceita uma abordagem em camadas: uma primeira camada curta que identifique o editor, as finalidades, se há terceiros envolvidos e como aceitar, rejeitar ou configurar; e uma segunda camada com informações detalhadas sobre cada cookie, as partes envolvidas e a retenção.

Escolhas granulares

Os usuários devem poder escolher por finalidade e, quando útil, por terceiro, em vez de enfrentar um único interruptor de tudo ou nada.

Retirada

Os usuários devem poder retirar o consentimento a qualquer momento, tão facilmente quanto o deram. Um link ou ícone persistente que reabra as configurações é a solução habitual.

Duração do consentimento

O guia recomenda que o consentimento seja renovado periodicamente e sugere uma validade máxima de 24 meses, para que os usuários sejam consultados novamente em vez de ter uma escolha armazenada indefinidamente.

Acesso condicionado a cookies

O guia discute casos em que o acesso a um serviço é condicionado à aceitação de cookies. Indica que isso pode ser aceitável em algumas circunstâncias, por exemplo quando se oferece ao usuário uma alternativa genuína para acessar o conteúdo sem aceitar cookies, que não precisa ser gratuita. Dada a opinião separada do EDPB sobre os modelos de “consentir ou pagar” para grandes plataformas, os editores que considerem essa abordagem devem buscar aconselhamento jurídico específico.

O que isso significa na prática

Para a maioria dos editores que já operam um CMP baseado em TCF na UE, a Espanha exige poucas mudanças estruturais. Os pontos que mais frequentemente precisam de atenção são:

• Rejeição na primeira camada. Se o seu banner para a UE ainda usa apenas “Aceitar” mais “Gerenciar opções”, o tráfego espanhol é um motivo para adicionar um botão de rejeição visível.
• Textos em espanhol. As finalidades e as descrições de terceiros devem estar em espanhol claro para usuários na Espanha, não em fragmentos traduzidos automaticamente misturados com nomes de fornecedores em inglês.
• Calendário de nova solicitação. Verifique se o seu CMP renova o consentimento dentro do período escolhido e se mudanças em fornecedores ou finalidades acionam uma nova solicitação.
• Política de cookies. Mantenha as informações da segunda camada e sua política de cookies consistentes com o que realmente roda no site.
• Carregamento antes do consentimento. Garanta que nenhum cookie de publicidade ou analytics seja definido antes de o usuário decidir. Continua sendo a constatação mais comum nas investigações de cookies em todo lugar.

Contexto de fiscalização

A AEPD publica regularmente suas resoluções, e casos de cookies aparecem entre elas, frequentemente envolvendo banners sem uma opção real de rejeição ou cookies definidos antes de qualquer escolha. Os valores e os resultados variam conforme o caso, então a lição útil é o padrão das constatações, e não qualquer número: opções de rejeição ausentes, rastreamento antes do consentimento e informações pouco claras são os problemas que surgem repetidamente.

Uma checklist de banner pronto para a Espanha

1. Aceitar e rejeitar oferecidos no mesmo nível na primeira camada.
2. Nenhum cookie além dos estritamente necessários antes de uma escolha.
3. Resumo claro da primeira camada em espanhol, com um link para os detalhes.
4. Controles granulares por finalidade na segunda camada.
5. Retirada disponível em todas as páginas.
6. Consentimento renovado dentro de um período definido, recomendado em no máximo 24 meses.
7. Política de cookies alinhada com as tags realmente carregadas.

Principais conclusões

• A regra espanhola sobre cookies é o artigo 22.2 da LSSI; a AEPD a aplica junto com o GDPR.
• O guia da AEPD, atualizado em julho de 2023, espera que rejeitar seja tão fácil quanto aceitar na primeira camada.
• Navegar ou fechar o banner não é consentimento.
• O guia recomenda renovar o consentimento pelo menos a cada 24 meses.
• Os modelos de acesso condicionado exigem uma revisão jurídica cuidadosa, caso a caso.