Pravni Okvir

LFPDPPP sedi na vrhu plastovitega okvira. Sam zakon opredeljuje temeljna načela — zakonitost, privolitev, informacija, kakovost, namen, zvestoba, sorazmernost, odgovornost — ki so jih mehiški pisci sposodili iz evropske tradicije varstva podatkov. Pod zakonom so Pravila k LFPDPPP, ki polnijo operativne podrobnosti, in Lineamientos del Aviso de Privacidad (smernice za obvestilo o zasebnosti), ki določajo, kaj mora biti v obvestilu o zasebnosti in kako. Skupaj ti trije besedila tvorijo mehiški ekvivalent enotnega kodeksa zasebnosti, s praktično močjo zavezujočih predpisov.

Za spletne izdajatelje so najpomembnejše določbe pravila o privolitvi po členih 8 do 11 zakona in zahteve obvestila o zasebnosti, ki urejajo, kako se privolitev zahteva. Mehiška privolitev je stopnjevana: implicitna privolitev zadošča za nekatero obdelavo navadnih osebnih podatkov, ko je bilo dano ustrezno obvestilo, vendar je izrecna privolitev zahtevana za občutljive podatke in za vsako obdelavo, kjer to zakon posebej zahteva. Razlagovalno vprašanje za piškotne bannerje je, kateri od teh režimov se uporablja za vedenjske in oglaševalske piškotke.

Kako Mehiški Zakon Obravnava Piškotke in Spletne Identifikatorje

Za razliko od Direktive EU o e-zasebnosti LFPDPPP ne vsebuje posebne določbe za piškotke. Namesto tega okvir obravnava spletne identifikatorje kot osebne podatke, ko jih je mogoče povezati z določljivim posameznikom, in obveznosti privolitve izhajajo iz splošnega okvira, ne iz namenskega pravila za piškotke. Smernice INAI so pojasnile, da:

• Lastni piškotki, ki so strogo potrebni za delovanje spletnega mesta, ne zahtevajo predhodne privolitve, vendar je treba njihovo prisotnost razkriti v obvestilu o zasebnosti.
• Analitični piškotki na splošno zahtevajo informirano privolitev, pri čemer je implicitna privolitev sprejemljiva, ko je obvestilo o zasebnosti jasno dostopno pred kakršnim koli zbiranjem podatkov.
• Oglaševalski in vedenjski piškotki zahtevajo izrecno privolitev, zlasti kadar so podatki deljeni s tretjimi osebami ali uporabljeni za sledenje med stranmi.
• Piškotki, ki zajemajo občutljive podatke — zdravje, spolna usmerjenost, verovanje, politično mnenje — zahtevajo izrecno privolitev ne glede na kategorijo.

Praktični učinek je, da mora skladen mehiški piškotni banner najmanj razlikovati med kategorijami nujnih, analitičnih in oglaševalskih, z afirmativnim opt-in zahtevanim za oglaševanje in jasnim obvestilom za analitiko.

Obvestilo o Zasebnosti kot Sidro Skladnosti

Mehiški zakon o zasebnosti je usmerjen v obvestilo na način, ki se razlikuje od evropske tradicije. Obvestilo o zasebnosti — aviso de privacidad — ni le dokument preglednosti; je pravni instrument, prek katerega se strukturira privolitev. Lineamientos del Aviso de Privacidad zahtevajo, da obvestilo vsebuje določene elemente, in vsak piškotni banner mora biti skladen s temeljnim obvestilom, namesto da poskuša vse stisniti v bannerski pojavni element.

Obvezni elementi obvestila

Obvestilo mora identificirati upravljavca podatkov, navesti zbrane osebne podatke, opisati namene obdelave, navesti, ali bodo podatki preneseni tretjim osebam, identificirati pravice posameznika, na katerega se nanašajo osebni podatki (acceso, rectificación, cancelación, oposición — tako imenovane ARCO pravice), in opisati, kako je mogoče te pravice uveljavljati. Za spletnega izdajatelja mora piškotni banner delovati kot plastovita vstopna točka v celotno obvestilo, ne pa njegova zamenjava.

Kratek, poenostavljen, integralen

Predpisi priznavajo tri formate obvestila: integralni (poln), poenostavljen in kratek. Piškotni banner običajno predstavi kratko ali poenostavljeno obvestilo z jasno potjo do integralne različice. Kategorije piškotkov in stikala privolitve živijo znotraj te plastovite strukture.

Reforma INAI in Kaj Sledi

Konec leta 2024 je mehiška vlada uvedla reformo, ki prestrukturira zvezno funkcijo varstva podatkov — avtonomni INAI se vključuje v novo institucionalno ureditev pod izvršilno vejo. Pravni okvir (LFPDPPP, predpisi, lineamientos) ostaja v veljavi, vendar je nadzorna kontinuiteta odprto vprašanje. Za izdajatelje je previdna drža predpostavka, da materialni standardi ostajajo konstantni, medtem ko je intenzivnost izvrševanja v prehodnem obdobju negotova. Graditi po standardih, ki jih je INAI artikuliral pred reformo — granularne kategorije, izrecna privolitev za oglaševanje, polna podpora ARCO pravicam, natančna aviso de privacidad — je prava strategija ne glede na to, kako se nadzorna arhitektura stabilizira.

Praktični Kontrolni Seznam Skladnosti

Šest konkretnih vprašanj, na katera je treba odgovoriti za vsak piškotni banner, ki streže mehiškemu prometu.

1. Kategorizacija

Ali banner deli piškotke najmanj v kategorije nujnih, analitičnih in oglaševalskih, z afirmativnim opt-in za oglaševanje? Združevanje vseh neesencialnih piškotkov pod en sam gumb "Sprejmi vse" brez granularnosti je najpogostejša napaka.

2. Povezava z obvestilom o zasebnosti

Ali banner povezuje na celotno obvestilo o zasebnosti in ali to obvestilo vsebuje vse obvezne elemente (upravljavec, podatki, nameni, prenosi, ARCO pravice)? Banner brez ustrezno sestavljenega temeljnega obvestila je tanka površina skladnosti.

3. Španski (mehiški) jezik

Ali je banner predstavljen v španščini in ali uporablja konvencije mehiške španščine, kjer se te razlikujejo od evropske španščine? Pravilen jezikovni register signalizira resnost tako uporabnikom kot nadzornikom.

4. Pot za umik

Ali obstaja trajni nadzor, ki uporabniku omogoča, da ponovno obišče in spremeni svojo izbiro privolitve? Pravica do preklica je del pravice "oposición" v okviru ARCO in banner jo mora upoštevati.

5. Razkritje prenosa tretjim osebam

Ali obvestilo identificira kategorije tretjih oseb, ki prejemajo osebne podatke prek piškotkov (oglaševalska omrežja, ponudniki analitike, CDP-ji), z dovolj podrobnostmi, da uporabnik razume tok podatkov?

6. Beleženje

Ali sistem beleži vsako odločitev o privolitvi s časovnim žigom in različico bannerja, tako da lahko izdajatelj v primeru pritožbe dokaže, da je bila odločitev sprejeta svobodno in informirano?

Kako To Sodi v Latinskoameriško Sliko

Mehika je drugi največji digitalni trg v Latinski Ameriki za Brazilijo, in njen režim varstva podatkov je eden najvplivnejših v regiji. Trenutna razprava o reformi bo oblikovala razlagalno smer leta, vendar so materialni standardi stabilni: usmerjeni v obvestilo, sidrani v ARCO pravicah, granularna privolitev za oglaševanje, polno razkritje prenosov tretjim osebam. Izdajatelji, ki delujejo po vsej Latinski Ameriki, imajo koristi od enkratne izgradnje po višjem standardu — reformirani okvir Argentine, brazilska LGPD, reformirani zakon Čila in čakajoči predlog zakona Kolumbije se vsi zbližujejo k podobnim osnovnim pričakovanjem. CMP, ki podpira mehiško španščino, zajema privolitev na ravni kategorije, čisto se poveže s celotnim aviso de privacidad in beleži odločitve v audit-grade obliki, obvladuje mehiško skladnost prek iste infrastrukture, ki obvladuje regionalno skladnost.