Почему Испании стоит уделить отдельное внимание

Испания — одна из крупнейших аудиторий для испаноязычных издателей по всему миру, а её орган по защите данных, Agencia Española de Protección de Datos (AEPD), один из самых активных регуляторов Европы. Как и любая страна ЕС, Испания применяет GDPR, но правило о cookie вытекает из национального закона, реализующего Директиву ePrivacy. Для издателей рекомендации AEPD по cookie — самый практичный ориентир того, как эти правила понимаются в Испании.

В этой статье кратко излагается, что эти рекомендации означают для типичного сайта или приложения с рекламной моделью. Это практический обзор, а не юридическая консультация.

Правовая основа: статья 22.2 LSSI

Правило о cookie в Испании содержится в статье 22.2 Закона 34/2002 об услугах информационного общества и электронной торговле, известного как LSSI. Оно требует, чтобы хранение информации на устройстве пользователя или доступ к ней основывались на согласии, данном после получения ясной и полной информации, с исключением для хранения, строго необходимого для услуги, явно запрошенной пользователем, или для передачи сообщения.

Когда cookie используются для обработки персональных данных, также применяются GDPR и Органический закон Испании 3/2018 (LOPDGDD), поэтому по вопросам cookie издатели имеют дело именно с AEPD.

Руководство AEPD по cookie

AEPD публикует Руководство по использованию cookie, подготовленное совместно с отраслевыми ассоциациями. Оно было обновлено в июле 2023 года, чтобы соответствовать работе Европейского совета по защите данных над баннерами cookie и вводящими в заблуждение шаблонами дизайна, а организациям дали срок до января 2024 года на адаптацию. Основные моменты, важные для издателей, приведены ниже.

Равная заметность отказа

Обновлённое руководство предполагает, что если на первом уровне баннера есть кнопка принятия cookie, там же должен быть равноценный способ их отклонить, представленный на том же уровне и с сопоставимой заметностью. Вариант отказа, спрятанный за ссылкой «настройки», равноценным не является.

Никакого согласия через просмотр

Прокрутка, продолжение навигации или закрытие баннера не считаются согласием. Пользователь должен совершить явное активное действие.

Понятная информация по уровням

Руководство допускает многоуровневый подход: краткий первый уровень, указывающий издателя, цели, участие третьих сторон и способы принять, отклонить или настроить; и второй уровень с подробной информацией о каждом cookie, участвующих сторонах и сроках хранения.

Детальный выбор

Пользователи должны иметь возможность выбирать по целям, а при необходимости и по третьим сторонам, а не сталкиваться с единым переключателем «всё или ничего».

Отзыв согласия

Пользователи должны иметь возможность отозвать согласие в любой момент так же легко, как они его дали. Обычное решение — постоянная ссылка или значок, повторно открывающий настройки.

Срок действия согласия

Руководство рекомендует периодически обновлять согласие и предлагает максимальный срок действия в 24 месяца, чтобы пользователей спрашивали снова, а не хранили выбор бессрочно.

Доступ при условии принятия cookie

Руководство рассматривает случаи, когда доступ к услуге ставится в зависимость от принятия cookie. Оно указывает, что это может быть допустимо при некоторых обстоятельствах, например, когда пользователю предлагается подлинная альтернатива для доступа к контенту без принятия cookie, которая не обязательно бесплатна. Учитывая отдельное мнение EDPB о моделях «согласие или оплата» для крупных платформ, издателям, рассматривающим такой подход, следует получить специальную юридическую консультацию.

Что это значит на практике

Для большинства издателей, уже использующих CMP на основе TCF в ЕС, Испания требует немногих структурных изменений. Чаще всего внимания требуют следующие моменты:

• Отказ на первом уровне. Если ваш баннер для ЕС по-прежнему содержит только «Принять» и «Управление параметрами», испанский трафик — повод добавить заметную кнопку отказа.
• Текст на испанском. Цели и описания третьих сторон для пользователей из Испании должны быть на понятном испанском, а не машинно переведёнными фрагментами вперемешку с английскими названиями вендоров.
• График повторного запроса. Проверьте, что ваш CMP обновляет согласие в выбранный вами срок и что изменения вендоров или целей вызывают новый запрос.
• Политика cookie. Информация на втором уровне и ваша политика cookie должны соответствовать тому, что реально работает на сайте.
• Загрузка до согласия. Убедитесь, что рекламные и аналитические cookie не устанавливаются до решения пользователя. Это по-прежнему самая частая находка в расследованиях по cookie повсюду.

Контекст правоприменения

AEPD регулярно публикует свои решения, и среди них встречаются дела о cookie, нередко связанные с баннерами без реальной возможности отказа или с cookie, установленными до какого-либо выбора. Суммы и исходы различаются в зависимости от дела, поэтому полезный урок — это картина выявляемых нарушений, а не какая-либо цифра: отсутствие варианта отказа, отслеживание до согласия и неясная информация — проблемы, которые возникают снова и снова.

Чек-лист баннера для Испании

1. Принятие и отказ предлагаются на одном уровне на первом уровне баннера.
2. До выбора не устанавливаются cookie, кроме строго необходимых.
3. Понятное краткое описание на первом уровне на испанском со ссылкой на подробности.
4. Детальные настройки по целям на втором уровне.
5. Возможность отзыва со всех страниц.
6. Согласие обновляется в определённый срок, рекомендуется не более 24 месяцев.
7. Политика cookie соответствует реально загружаемым тегам.

Главные выводы

• Правило Испании о cookie — статья 22.2 LSSI; AEPD обеспечивает его соблюдение наряду с GDPR.
• Руководство AEPD, обновлённое в июле 2023 года, предполагает, что отказ на первом уровне должен быть так же прост, как принятие.
• Просмотр сайта или закрытие баннера не является согласием.
• Руководство рекомендует обновлять согласие не реже чем раз в 24 месяца.
• Модели с условным доступом требуют тщательной юридической оценки в каждом конкретном случае.