Zakaj si Španija zasluži poseben pogled

Španija je ena največjih publik za izdajatelje v španskem jeziku po svetu, njen organ za varstvo podatkov, Agencia Española de Protección de Datos (AEPD), pa je eden najaktivnejših regulatorjev v Evropi. Kot vsaka država EU tudi Španija uporablja GDPR, vendar pravilo o piškotkih izhaja iz nacionalne zakonodaje, ki izvaja direktivo ePrivacy. Za izdajatelje so smernice AEPD o piškotkih najbolj praktičen vir za to, kako se ta pravila razlagajo v Španiji.

Ta članek povzema, kaj te smernice pomenijo za tipično spletno mesto ali aplikacijo, ki se financira z oglasi. To je praktičen pregled, ne pravni nasvet.

Pravna podlaga: člen 22.2 LSSI

Pravilo o piškotkih v Španiji je v členu 22.2 Zakona 34/2002 o storitvah informacijske družbe in elektronskem poslovanju, znanega kot LSSI. Zahteva, da shranjevanje informacij v napravi uporabnika ali dostop do njih temelji na privolitvi, podani po jasnih in popolnih informacijah, z izjemo za shranjevanje, ki je nujno potrebno za storitev, ki jo je uporabnik izrecno zahteval, ali za prenos komunikacije.

Kadar se piškotki uporabljajo za obdelavo osebnih podatkov, veljata tudi GDPR in španski Organski zakon 3/2018 (LOPDGDD), zato je AEPD organ, s katerim imajo izdajatelji opravka pri vprašanjih piškotkov.

Vodnik AEPD za piškotke

AEPD objavlja Vodnik o uporabi piškotkov, pripravljen skupaj z industrijskimi združenji. Posodobljen je bil julija 2023, da bi se uskladil z delom Evropskega odbora za varstvo podatkov o pasicah za piškotke in zavajajočih vzorcih oblikovanja, organizacije pa so imele čas za prilagoditev do januarja 2024. Glavne točke, pomembne za izdajatelje, so spodaj.

Enaka izpostavljenost zavrnitve

Posodobljeni vodnik pričakuje, da pasica, če prva raven vsebuje gumb za sprejem piškotkov, ponuja tudi enakovreden način za njihovo zavrnitev, prikazan na isti ravni in s podobno vidnostjo. Možnost zavrnitve, skrita za povezavo “nastavitve”, ni enakovredna.

Brez privolitve s pregledovanjem

Drsenje, nadaljnja navigacija ali zapiranje pasice se ne štejejo za privolitev. Uporabnik mora izvesti jasno pritrdilno dejanje.

Jasne informacije po ravneh

Vodnik sprejema večplasten pristop: kratko prvo raven, ki opredeli izdajatelja, namene, ali so vključene tretje osebe in kako sprejeti, zavrniti ali nastaviti; ter drugo raven s podrobnimi informacijami o vsakem piškotku, vpletenih straneh in hrambi.

Zrnate izbire

Uporabniki bi morali imeti možnost izbire po namenu, kjer je koristno pa tudi po tretji osebi, namesto da se soočajo z enim samim stikalom vse ali nič.

Preklic

Uporabniki morajo imeti možnost preklica privolitve kadar koli, enako preprosto, kot so jo podali. Običajna rešitev je trajna povezava ali ikona, ki ponovno odpre nastavitve.

Trajanje privolitve

Vodnik priporoča, da se privolitev občasno obnavlja, in predlaga najdaljšo veljavnost 24 mesecev, da so uporabniki ponovno vprašani, namesto da bi bila izbira shranjena nedoločen čas.

Dostop pogojen s piškotki

Vodnik obravnava primere, ko je dostop do storitve pogojen s sprejemom piškotkov. Nakazuje, da je to v nekaterih okoliščinah lahko sprejemljivo, na primer kadar je uporabniku ponujena resnična alternativa za dostop do vsebine brez sprejema piškotkov, ki ni nujno brezplačna. Glede na ločeno mnenje EDPB o modelih “privolitev ali plačilo” za velike platforme naj izdajatelji, ki razmišljajo o tem pristopu, poiščejo specifičen pravni nasvet.

Kaj to pomeni v praksi

Za večino izdajateljev, ki že uporabljajo CMP na osnovi TCF po vsej EU, Španija zahteva malo strukturnih sprememb. Točke, ki najpogosteje potrebujejo pozornost, so:

• Zavrnitev na prvi ravni. Če vaša pasica za EU še vedno uporablja samo “Sprejmi” in “Upravljaj možnosti”, je španski promet razlog za dodajanje vidnega gumba za zavrnitev.
• Besedilo v španščini. Nameni in opisi tretjih oseb naj bodo za uporabnike v Španiji v jasni španščini, ne strojno prevedeni drobci, pomešani z angleškimi imeni dobaviteljev.
• Urnik ponovnega spraševanja. Preverite, ali vaš CMP privolitev obnavlja v izbranem obdobju in ali spremembe dobaviteljev ali namenov sprožijo nov poziv.
• Pravilnik o piškotkih. Informacije druge ravni in pravilnik o piškotkih naj bodo usklajeni s tem, kar na spletnem mestu dejansko deluje.
• Nalaganje pred privolitvijo. Poskrbite, da se pred odločitvijo uporabnika ne nastavijo noben oglasni ali analitični piškotek. To ostaja najpogostejša ugotovitev pri preiskavah piškotkov povsod.

Kontekst izvrševanja

AEPD redno objavlja svoje odločbe, med njimi pa se pojavljajo tudi primeri piškotkov, pogosto s pasicami brez prave možnosti zavrnitve ali s piškotki, nastavljenimi pred kakršno koli izbiro. Zneski in izidi se razlikujejo od primera do primera, zato je koristen nauk vzorec ugotovitev, ne katera koli številka: manjkajoče možnosti zavrnitve, sledenje pred privolitvijo in nejasne informacije so težave, ki se pojavljajo znova in znova.

Kontrolni seznam pasice, pripravljene za Španijo

1. Sprejem in zavrnitev ponujena na isti ravni na prvi ravni.
2. Nobenih piškotkov razen nujno potrebnih pred izbiro.
3. Jasen povzetek prve ravni v španščini s povezavo do podrobnosti.
4. Zrnati nadzori po namenu na drugi ravni.
5. Preklic na voljo z vsake strani.
6. Privolitev obnovljena v določenem obdobju, priporočeno ne več kot 24 mesecev.
7. Pravilnik o piškotkih usklajen z oznakami, ki se dejansko nalagajo.

Ključne ugotovitve

• Španski predpis o piškotkih je člen 22.2 LSSI; AEPD ga izvršuje skupaj z GDPR.
• Vodnik AEPD, posodobljen julija 2023, pričakuje, da bo zavrnitev na prvi ravni enako preprosta kot sprejem.
• Pregledovanje ali zapiranje pasice ni privolitev.
• Vodnik priporoča obnovitev privolitve vsaj vsakih 24 mesecev.
• Modeli pogojenega dostopa zahtevajo skrben pravni pregled za vsak primer posebej.