Зашто Шпанија заслужује посебан осврт

Шпанија је једна од највећих публика за издаваче на шпанском језику широм света, а њено тело за заштиту података, Agencia Española de Protección de Datos (AEPD), један је од најактивнијих регулатора у Европи. Као и свака држава ЕУ, Шпанија примењује GDPR, али правило о колачићима потиче из националног закона који спроводи ePrivacy директиву. За издаваче, смернице AEPD-а о колачићима су најпрактичнији извор за то како се та правила тумаче у Шпанији.

Овај чланак сажима шта те смернице значе за типичан сајт или апликацију која се финансира огласима. То је практичан преглед, а не правни савет.

Правна основа: члан 22.2 LSSI-ја

Правило о колачићима у Шпанији налази се у члану 22.2 Закона 34/2002 о услугама информационог друштва и електронској трговини, познатог као LSSI. Оно захтева да се чување информација на уређају корисника или приступ њима заснива на сагласности датој након јасних и потпуних информација, уз изузетак за складиштење које је строго неопходно за услугу коју је корисник изричито затражио или за пренос комуникације.

Када се колачићи користе за обраду личних података, примењују се и GDPR и шпански Органски закон 3/2018 (LOPDGDD), због чега је AEPD орган са којим се издавачи баве у питањима колачића.

Водич AEPD-а за колачиће

AEPD објављује Водич о употреби колачића, припремљен заједно са индустријским удружењима. Ажуриран је у јулу 2023. како би се ускладио са радом Европског одбора за заштиту података на банерима колачића и обмањујућим обрасцима дизајна, а организацијама је дат рок до јануара 2024. да се прилагоде. Главне тачке релевантне за издаваче налазе се у наставку.

Једнака истакнутост одбијања

Ажурирани водич очекује да, ако први слој банера садржи дугме за прихватање колачића, нуди и еквивалентан начин да се они одбију, приказан на истом нивоу и са сличном видљивошћу. Опција одбијања скривена иза везе “подешавања” није еквивалентна.

Нема сагласности прегледањем

Скроловање, наставак навигације или затварање банера не рачунају се као сагласност. Корисник мора да предузме јасну потврдну радњу.

Јасне информације по слојевима

Водич прихвата слојевит приступ: кратак први слој који идентификује издавача, сврхе, да ли су укључене треће стране и како да се прихвати, одбије или подеси; и други слој са детаљним информацијама о сваком колачићу, укљученим странама и чувању.

Гранулирани избори

Корисници треба да могу да бирају по сврси, а где је корисно и по трећој страни, уместо да се суочавају са једним прекидачем све-или-ништа.

Повлачење

Корисници морају моћи да повуку сагласност у било ком тренутку, једнако лако као што су је дали. Трајна веза или икона која поново отвара подешавања уобичајено је решење.

Трајање сагласности

Водич препоручује да се сагласност периодично обнавља и предлаже максималну важност од 24 месеца, како би корисници били поново питани уместо да се избор чува неограничено.

Приступ условљен колачићима

Водич разматра случајеве у којима је приступ услузи условљен прихватањем колачића. Указује да то може бити прихватљиво у неким околностима, на пример када је кориснику понуђена стварна алтернатива за приступ садржају без прихватања колачића, која не мора бити бесплатна. С обзиром на засебно мишљење EDPB-а о моделима “сагласност или плаћање” за велике платформе, издавачи који разматрају овај приступ треба да затраже конкретан правни савет.

Шта то значи у пракси

За већину издавача који већ користе CMP заснован на TCF-у широм ЕУ, Шпанија захтева мало структурних промена. Тачке које најчешће требају пажњу су:

• Одбијање на првом слоју. Ако ваш банер за ЕУ и даље користи само “Прихвати” плус “Управљај опцијама”, шпански саобраћај је разлог да додате видљиво дугме за одбијање.
• Текст на шпанском. Сврхе и описи трећих страна треба да буду на јасном шпанском за кориснике у Шпанији, а не машински преведени фрагменти помешани са енглеским именима добављача.
• Распоред поновног питања. Проверите да ваш CMP обнавља сагласност у оквиру периода који сте изабрали и да промене добављача или сврха изазивају ново питање.
• Политика колачића. Држите информације другог слоја и вашу политику колачића усклађеним са оним што се заиста извршава на сајту.
• Учитавање пре сагласности. Побрините се да се пре одлуке корисника не постављају никакви оглашивачки или аналитички колачићи. То остаје најчешћи налаз у истрагама о колачићима свуда.

Контекст спровођења

AEPD редовно објављује своје одлуке, а међу њима се појављују и случајеви колачића, често са банерима без стварне опције одбијања или колачићима постављеним пре било каквог избора. Износи и исходи варирају од случаја до случаја, па је корисна поука образац налаза, а не било која цифра: недостајуће опције одбијања, праћење пре сагласности и нејасне информације су питања која се изнова појављују.

Контролна листа банера спремног за Шпанију

1. Прихватање и одбијање понуђени на истом нивоу на првом слоју.
2. Никакви колачићи осим строго неопходних пре избора.
3. Јасан сажетак првог слоја на шпанском, са везом ка детаљима.
4. Гранулиране контроле по сврси на другом слоју.
5. Повлачење доступно са сваке странице.
6. Сагласност обновљена у дефинисаном периоду, препоручено не дуже од 24 месеца.
7. Политика колачића усклађена са таговима који се стварно учитавају.

Кључни закључци

• Шпанско правило о колачићима је члан 22.2 LSSI-ја; AEPD га спроводи заједно са GDPR-ом.
• Водич AEPD-а, ажуриран у јулу 2023, очекује да одбијање буде једнако лако као прихватање на првом слоју.
• Прегледање или затварање банера није сагласност.
• Водич препоручује обнављање сагласности најмање сваких 24 месеца.
• Модели условљеног приступа захтевају пажљиву правну проверу за сваки случај посебно.