Varför Spanien förtjänar en egen genomgång

Spanien är en av de största publikerna för spanskspråkiga utgivare världen över, och dess dataskyddsmyndighet, Agencia Española de Protección de Datos (AEPD), är en av Europas mest aktiva tillsynsmyndigheter. Som alla EU-länder tillämpar Spanien GDPR, men cookiereglen kommer från nationell lagstiftning som genomför ePrivacy-direktivet. För utgivare är AEPD:s cookievägledning den mest praktiska referensen för hur reglerna tolkas i Spanien.

Den här artikeln sammanfattar vad vägledningen betyder för en typisk annonsfinansierad webbplats eller app. Det är en praktisk översikt, inte juridisk rådgivning.

Rättslig grund: artikel 22.2 i LSSI

Cookiereglen i Spanien finns i artikel 22.2 i lag 34/2002 om informationssamhällets tjänster och elektronisk handel, känd som LSSI. Den kräver att lagring av eller åtkomst till information på en användares enhet bygger på samtycke som getts efter tydlig och fullständig information, med ett undantag för lagring som är absolut nödvändig för en tjänst som användaren uttryckligen begärt eller för att överföra en kommunikation.

När cookies används för att behandla personuppgifter gäller även GDPR och Spaniens organiska lag 3/2018 (LOPDGDD), vilket är anledningen till att AEPD är den myndighet utgivare har att göra med i cookiefrågor.

AEPD:s cookieguide

AEPD publicerar en guide om användning av cookies, framtagen tillsammans med branschorganisationer. Den uppdaterades i juli 2023 för att anpassas till Europeiska dataskyddsstyrelsens arbete om cookiebannrar och vilseledande designmönster, och organisationer fick till januari 2024 på sig att anpassa sig. De viktigaste punkterna för utgivare finns nedan.

Lika framträdande avvisning

Den uppdaterade guiden förväntar sig att om bannerns första lager innehåller en knapp för att acceptera cookies, så erbjuder det också ett likvärdigt sätt att avvisa dem, presenterat på samma nivå och med liknande synlighet. Ett avvisningsalternativ gömt bakom en “inställningar”-länk är inte likvärdigt.

Inget samtycke genom surfning

Att scrolla, fortsätta navigera eller stänga bannern räknas inte som samtycke. Användaren måste vidta en tydlig bekräftande handling.

Tydlig information i lager

Guiden accepterar ett lagerupplagt tillvägagångssätt: ett kort första lager som identifierar utgivaren, ändamålen, om tredje parter är inblandade och hur man accepterar, avvisar eller konfigurerar; och ett andra lager med detaljerad information om varje cookie, de inblandade parterna och lagringstid.

Detaljerade val

Användare bör kunna välja per ändamål, och där det är användbart per tredje part, i stället för att mötas av en enda allt-eller-inget-brytare.

Återkallande

Användare måste kunna återkalla samtycket när som helst, lika enkelt som de gav det. En ständigt närvarande länk eller ikon som öppnar inställningarna igen är den vanliga lösningen.

Samtyckets giltighetstid

Guiden rekommenderar att samtycke förnyas regelbundet och föreslår en maximal giltighetstid på 24 månader, så att användare tillfrågas igen i stället för att ett val lagras på obestämd tid.

Åtkomst villkorad av cookies

Guiden diskuterar fall där åtkomst till en tjänst görs beroende av att man accepterar cookies. Den anger att detta kan vara godtagbart under vissa omständigheter, till exempel när användaren erbjuds ett genuint alternativ för att ta del av innehållet utan att acceptera cookies, vilket inte behöver vara gratis. Med tanke på EDPB:s separata yttrande om “samtycke eller betala”-modeller för stora plattformar bör utgivare som överväger detta tillvägagångssätt söka specifik juridisk rådgivning.

Vad det här betyder i praktiken

För de flesta utgivare som redan kör en TCF-baserad CMP i hela EU kräver Spanien få strukturella förändringar. De punkter som oftast behöver uppmärksammas är:

• Avvisning i första lagret. Om din EU-banner fortfarande bara använder “Acceptera” plus “Hantera alternativ” är spansk trafik ett skäl att lägga till en synlig avvisningsknapp.
• Text på spanska. Ändamål och beskrivningar av tredje parter bör vara på tydlig spanska för användare i Spanien, inte maskinöversatta fragment blandade med engelska leverantörsnamn.
• Schema för ny förfrågan. Kontrollera att din CMP förnyar samtycket inom den period du valt och att ändringar av leverantörer eller ändamål utlöser en ny förfrågan.
• Cookiepolicy. Håll informationen i andra lagret och din cookiepolicy i linje med det som faktiskt körs på webbplatsen.
• Laddning före samtycke. Se till att inga annons- eller analyscookies sätts innan användaren har bestämt sig. Detta är fortfarande den vanligaste iakttagelsen i cookieutredningar överallt.

Tillsynssammanhang

AEPD publicerar regelbundet sina beslut, och cookieärenden förekommer bland dem, ofta med bannrar utan ett verkligt avvisningsalternativ eller cookies som satts innan något val gjorts. Belopp och utfall varierar från fall till fall, så den användbara lärdomen är mönstret i iakttagelserna snarare än någon siffra: saknade avvisningsalternativ, spårning före samtycke och oklar information är de problem som återkommer gång på gång.

En checklista för en Spanien-redo banner

1. Acceptera och avvisa erbjuds på samma nivå i första lagret.
2. Inga andra cookies än absolut nödvändiga före ett val.
3. Tydlig sammanfattning i första lagret på spanska, med en länk till detaljer.
4. Detaljerade kontroller per ändamål i andra lagret.
5. Återkallande tillgängligt från varje sida.
6. Samtycket förnyas inom en definierad period, rekommenderat högst 24 månader.
7. Cookiepolicyn är i linje med de taggar som faktiskt laddas.

Viktiga slutsatser

• Spaniens cookieregel är artikel 22.2 i LSSI; AEPD upprätthåller den vid sidan av GDPR.
• AEPD:s guide, uppdaterad i juli 2023, förväntar sig att avvisning är lika enkelt som att acceptera i första lagret.
• Att surfa vidare eller stänga bannern är inte samtycke.
• Guiden rekommenderar att samtycke förnyas minst var 24:e månad.
• Villkorade åtkomstmodeller kräver noggrann, fallspecifik juridisk granskning.