De ce merită Spania o privire separată

Spania este una dintre cele mai mari audiențe pentru editorii în limba spaniolă din lume, iar autoritatea sa pentru protecția datelor, Agencia Española de Protección de Datos (AEPD), este unul dintre cele mai active organisme de reglementare din Europa. Ca orice țară din UE, Spania aplică GDPR, dar regula privind cookie-urile provine din legislația națională care transpune Directiva ePrivacy. Pentru editori, îndrumările AEPD privind cookie-urile sunt cea mai practică referință pentru modul în care aceste reguli sunt interpretate în Spania.

Acest articol rezumă ce înseamnă aceste îndrumări pentru un site sau o aplicație tipică finanțată din publicitate. Este o prezentare practică, nu consultanță juridică.

Temeiul legal: articolul 22.2 din LSSI

Regula privind cookie-urile din Spania se află în articolul 22.2 din Legea 34/2002 privind serviciile societății informaționale și comerțul electronic, cunoscută drept LSSI. Aceasta cere ca stocarea sau accesarea informațiilor de pe dispozitivul unui utilizator să se bazeze pe un consimțământ dat după o informare clară și completă, cu o excepție pentru stocarea strict necesară unui serviciu solicitat în mod explicit de utilizator sau pentru transmiterea unei comunicări.

Când cookie-urile sunt folosite pentru prelucrarea datelor cu caracter personal, se aplică și GDPR și Legea organică 3/2018 a Spaniei (LOPDGDD), motiv pentru care AEPD este autoritatea cu care editorii au de-a face în materie de cookie-uri.

Ghidul AEPD privind cookie-urile

AEPD publică un Ghid privind utilizarea cookie-urilor, elaborat împreună cu asociații din industrie. A fost actualizat în iulie 2023 pentru a se alinia la activitatea Comitetului european pentru protecția datelor privind bannerele de cookie-uri și modelele de design înșelătoare, iar organizațiilor li s-a acordat termen până în ianuarie 2024 pentru a se adapta. Principalele puncte relevante pentru editori sunt prezentate mai jos.

Aceeași vizibilitate pentru refuz

Ghidul actualizat se așteaptă ca, dacă primul strat al bannerului conține un buton pentru acceptarea cookie-urilor, să ofere și o modalitate echivalentă de a le refuza, prezentată la același nivel și cu o vizibilitate similară. O opțiune de refuz ascunsă în spatele unui link de “setări” nu este echivalentă.

Fără consimțământ prin navigare

Derularea paginii, continuarea navigării sau închiderea bannerului nu contează drept consimțământ. Utilizatorul trebuie să facă o acțiune afirmativă clară.

Informații clare, pe straturi

Ghidul acceptă o abordare pe straturi: un prim strat scurt care identifică editorul, scopurile, dacă sunt implicați terți și cum se acceptă, se refuză sau se configurează; și un al doilea strat cu informații detaliate despre fiecare cookie, părțile implicate și păstrare.

Alegeri granulare

Utilizatorii ar trebui să poată alege pe scopuri și, acolo unde este util, pe terți, în loc să se confrunte cu un singur comutator de tip tot sau nimic.

Retragerea

Utilizatorii trebuie să își poată retrage consimțământul în orice moment, la fel de ușor cum l-au dat. Un link sau o pictogramă persistentă care redeschide setările este soluția obișnuită.

Durata consimțământului

Ghidul recomandă ca și consimțământul să fie reînnoit periodic și sugerează o valabilitate maximă de 24 de luni, astfel încât utilizatorii să fie întrebați din nou, în loc ca o alegere să fie stocată pe termen nelimitat.

Acces condiționat de cookie-uri

Ghidul discută cazurile în care accesul la un serviciu este condiționat de acceptarea cookie-urilor. Indică faptul că acest lucru poate fi acceptabil în anumite circumstanțe, de exemplu atunci când utilizatorului i se oferă o alternativă reală pentru a accesa conținutul fără a accepta cookie-uri, care nu trebuie neapărat să fie gratuită. Având în vedere opinia separată a EDPB privind modelele “consimte sau plătește” pentru platformele mari, editorii care iau în considerare această abordare ar trebui să ceară consultanță juridică specifică.

Ce înseamnă în practică

Pentru majoritatea editorilor care rulează deja un CMP bazat pe TCF în întreaga UE, Spania necesită puține modificări structurale. Punctele care cer cel mai des atenție sunt:

• Refuzul în primul strat. Dacă bannerul tău pentru UE folosește încă doar “Acceptă” plus “Gestionează opțiunile”, traficul din Spania este un motiv să adaugi un buton de refuz vizibil.
• Text în limba spaniolă. Scopurile și descrierile terților ar trebui să fie într-o spaniolă clară pentru utilizatorii din Spania, nu în fragmente traduse automat amestecate cu nume de furnizori în engleză.
• Calendarul de reafișare. Verifică dacă CMP-ul tău reînnoiește consimțământul în perioada pe care ai ales-o și dacă modificările de furnizori sau de scopuri declanșează o nouă solicitare.
• Politica de cookie-uri. Păstrează informațiile din al doilea strat și politica de cookie-uri în concordanță cu ceea ce rulează efectiv pe site.
• Încărcarea înainte de consimțământ. Asigură-te că nu este setat niciun cookie de publicitate sau de analitică înainte ca utilizatorul să decidă. Aceasta rămâne constatarea cea mai frecventă în investigațiile privind cookie-urile oriunde.

Contextul aplicării

AEPD își publică în mod regulat deciziile, iar printre ele apar și cazuri privind cookie-urile, adesea cu bannere fără o opțiune reală de refuz sau cu cookie-uri setate înainte de orice alegere. Sumele și rezultatele variază de la caz la caz, așa că lecția utilă este tiparul constatărilor, nu vreo cifră: lipsa opțiunilor de refuz, urmărirea înainte de consimțământ și informațiile neclare sunt problemele care apar din nou și din nou.

O listă de verificare pentru un banner pregătit pentru Spania

1. Acceptarea și refuzul oferite la același nivel în primul strat.
2. Niciun cookie în afara celor strict necesare înainte de o alegere.
3. Rezumat clar în primul strat, în limba spaniolă, cu un link către detalii.
4. Controale granulare pe scopuri în al doilea strat.
5. Retragere disponibilă din fiecare pagină.
6. Consimțământ reînnoit într-o perioadă definită, recomandat cel mult la 24 de luni.
7. Politica de cookie-uri aliniată cu tagurile încărcate efectiv.

Concluzii-cheie

• Regula Spaniei privind cookie-urile este articolul 22.2 din LSSI; AEPD o aplică alături de GDPR.
• Ghidul AEPD, actualizat în iulie 2023, se așteaptă ca refuzul să fie la fel de ușor ca acceptarea în primul strat.
• Navigarea sau închiderea bannerului nu reprezintă consimțământ.
• Ghidul recomandă reînnoirea consimțământului cel puțin la fiecare 24 de luni.
• Modelele cu acces condiționat necesită o analiză juridică atentă, specifică fiecărui caz.