คู่มือคุกกี้ AEPD ของสเปน: สิ่งที่ผู้เผยแพร่ควรรู้
เหตุใดสเปนจึงควรพิจารณาแยกต่างหาก
สเปนเป็นกลุ่มผู้ชมขนาดใหญ่ที่สุดแห่งหนึ่งของผู้เผยแพร่ที่ใช้ภาษาสเปนทั่วโลก และหน่วยงานคุ้มครองข้อมูลของสเปนอย่าง Agencia Española de Protección de Datos (AEPD) ก็เป็นหนึ่งในหน่วยงานกำกับดูแลที่แข็งขันที่สุดในยุโรป สเปนบังคับใช้ GDPR เหมือนทุกประเทศใน EU แต่กฎเรื่องคุกกี้มาจากกฎหมายภายในที่นำคำสั่ง ePrivacy มาบังคับใช้ สำหรับผู้เผยแพร่ แนวทางเรื่องคุกกี้ของ AEPD คือแหล่งอ้างอิงเชิงปฏิบัติที่สุดว่ากฎเหล่านี้ถูกตีความอย่างไรในสเปน
บทความนี้สรุปว่าแนวทางดังกล่าวมีความหมายอย่างไรต่อเว็บไซต์หรือแอปทั่วไปที่พึ่งโฆษณา เป็นภาพรวมเชิงปฏิบัติ ไม่ใช่คำปรึกษาทางกฎหมาย
ฐานทางกฎหมาย: มาตรา 22.2 ของ LSSI
กฎเรื่องคุกกี้ในสเปนอยู่ใน มาตรา 22.2 ของกฎหมาย 34/2002 ว่าด้วยบริการสังคมสารสนเทศและพาณิชย์อิเล็กทรอนิกส์ ซึ่งเรียกว่า LSSI กฎนี้กำหนดว่าการจัดเก็บหรือเข้าถึงข้อมูลบนอุปกรณ์ของผู้ใช้ต้องอาศัยความยินยอมที่ให้หลังจากได้รับข้อมูลที่ชัดเจนและครบถ้วน โดยมีข้อยกเว้นสำหรับการจัดเก็บที่จำเป็นอย่างยิ่งต่อบริการที่ผู้ใช้ร้องขออย่างชัดแจ้งหรือเพื่อการส่งการสื่อสาร
เมื่อมีการใช้คุกกี้เพื่อประมวลผลข้อมูลส่วนบุคคล GDPR และกฎหมายอินทรีย์ 3/2018 ของสเปน (LOPDGDD) ก็ใช้บังคับด้วย นี่คือเหตุผลที่ AEPD เป็นหน่วยงานที่ผู้เผยแพร่ต้องติดต่อในเรื่องคุกกี้
คู่มือคุกกี้ของ AEPD
AEPD เผยแพร่ คู่มือการใช้คุกกี้ ซึ่งจัดทำร่วมกับสมาคมในอุตสาหกรรม คู่มือนี้ได้รับการปรับปรุงเมื่อเดือนกรกฎาคม 2023 ให้สอดคล้องกับงานของคณะกรรมการคุ้มครองข้อมูลแห่งยุโรปเรื่องแบนเนอร์คุกกี้และรูปแบบการออกแบบที่หลอกลวง และองค์กรต่างๆ ได้รับเวลาปรับตัวจนถึงเดือนมกราคม 2024 ประเด็นหลักที่เกี่ยวข้องกับผู้เผยแพร่มีดังนี้
ปฏิเสธต้องเด่นเท่าเทียมกัน
คู่มือฉบับปรับปรุงคาดหวังว่า หากชั้นแรกของแบนเนอร์มีปุ่มยอมรับคุกกี้ ก็ต้องมีวิธีปฏิเสธที่เทียบเท่ากัน แสดงในระดับเดียวกันและมองเห็นได้ใกล้เคียงกัน ตัวเลือกปฏิเสธที่ซ่อนอยู่หลังลิงก์ “การตั้งค่า” ไม่ถือว่าเทียบเท่า
การท่องเว็บไม่ใช่ความยินยอม
การเลื่อนหน้า การท่องเว็บต่อไป หรือการปิดแบนเนอร์ ไม่นับเป็นความยินยอม ผู้ใช้ต้องทำการยืนยันอย่างชัดเจน
ข้อมูลที่ชัดเจนเป็นชั้นๆ
คู่มือยอมรับแนวทางแบบหลายชั้น คือชั้นแรกที่สั้น ระบุผู้เผยแพร่ วัตถุประสงค์ ว่ามีบุคคลที่สามเกี่ยวข้องหรือไม่ และวิธียอมรับ ปฏิเสธ หรือกำหนดค่า และชั้นที่สองที่มีข้อมูลโดยละเอียดเกี่ยวกับคุกกี้แต่ละตัว ฝ่ายที่เกี่ยวข้อง และระยะเวลาเก็บรักษา
ตัวเลือกแบบละเอียด
ผู้ใช้ควรเลือกได้ตามวัตถุประสงค์ และตามบุคคลที่สามเมื่อเป็นประโยชน์ แทนที่จะเจอสวิตช์เดียวแบบทั้งหมดหรือไม่เลย
การถอนความยินยอม
ผู้ใช้ต้องถอนความยินยอมได้ทุกเมื่อ ง่ายเท่ากับตอนที่ให้ ลิงก์หรือไอคอนถาวรที่เปิดการตั้งค่าอีกครั้งเป็นวิธีแก้ที่พบทั่วไป
ระยะเวลาของความยินยอม
คู่มือแนะนำให้ต่ออายุความยินยอมเป็นระยะ และเสนอให้มีอายุสูงสุด 24 เดือน เพื่อให้ผู้ใช้ถูกถามใหม่ แทนที่จะเก็บตัวเลือกไว้ไม่มีกำหนด
การเข้าถึงที่มีเงื่อนไขเป็นคุกกี้
คู่มือกล่าวถึงกรณีที่การเข้าถึงบริการถูกกำหนดเงื่อนไขว่าต้องยอมรับคุกกี้ โดยชี้ว่าอาจยอมรับได้ในบางสถานการณ์ เช่น เมื่อผู้ใช้ได้รับทางเลือกที่แท้จริงในการเข้าถึงเนื้อหาโดยไม่ต้องยอมรับคุกกี้ ซึ่งไม่จำเป็นต้องฟรี เมื่อพิจารณาความเห็นแยกต่างหากของ EDPB เกี่ยวกับโมเดล “ยินยอมหรือจ่ายเงิน” สำหรับแพลตฟอร์มขนาดใหญ่ ผู้เผยแพร่ที่กำลังพิจารณาแนวทางนี้ควรขอคำปรึกษาทางกฎหมายเฉพาะเรื่อง
ความหมายในทางปฏิบัติ
สำหรับผู้เผยแพร่ส่วนใหญ่ที่ใช้ CMP ตาม TCF ทั่ว EU อยู่แล้ว สเปนต้องการการเปลี่ยนแปลงเชิงโครงสร้างเพียงเล็กน้อย ประเด็นที่ต้องใส่ใจบ่อยที่สุดคือ:
- ปุ่มปฏิเสธในชั้นแรก หากแบนเนอร์ EU ของคุณยังมีแค่ “ยอมรับ” กับ “จัดการตัวเลือก” ทราฟฟิกจากสเปนคือเหตุผลที่ควรเพิ่มปุ่มปฏิเสธที่มองเห็นชัดเจน
- ข้อความภาษาสเปน วัตถุประสงค์และคำอธิบายบุคคลที่สามควรเป็นภาษาสเปนที่ชัดเจนสำหรับผู้ใช้ในสเปน ไม่ใช่ชิ้นส่วนที่แปลด้วยเครื่องปนกับชื่อผู้ขายภาษาอังกฤษ
- กำหนดการถามซ้ำ ตรวจสอบว่า CMP ของคุณต่ออายุความยินยอมภายในช่วงเวลาที่เลือก และการเปลี่ยนแปลงผู้ขายหรือวัตถุประสงค์จะทำให้เกิดการถามใหม่
- นโยบายคุกกี้ รักษาข้อมูลในชั้นที่สองและนโยบายคุกกี้ให้สอดคล้องกับสิ่งที่ทำงานอยู่จริงบนเว็บไซต์
- การโหลดก่อนได้รับความยินยอม ตรวจให้แน่ใจว่าไม่มีคุกกี้โฆษณาหรือการวิเคราะห์ถูกตั้งก่อนที่ผู้ใช้จะตัดสินใจ นี่ยังคงเป็นข้อค้นพบที่พบบ่อยที่สุดในการสอบสวนเรื่องคุกกี้ทุกที่
บริบทการบังคับใช้
AEPD เผยแพร่คำวินิจฉัยของตนเป็นประจำ และมีคดีเกี่ยวกับคุกกี้อยู่ในนั้นด้วย มักเกี่ยวกับแบนเนอร์ที่ไม่มีตัวเลือกปฏิเสธจริง หรือคุกกี้ที่ถูกตั้งก่อนมีการเลือกใดๆ จำนวนเงินและผลลัพธ์แตกต่างกันไปตามแต่ละคดี ดังนั้นบทเรียนที่มีประโยชน์คือรูปแบบของข้อค้นพบ ไม่ใช่ตัวเลขใดๆ ได้แก่ การไม่มีตัวเลือกปฏิเสธ การติดตามก่อนได้รับความยินยอม และข้อมูลที่ไม่ชัดเจน ซึ่งเป็นปัญหาที่เกิดซ้ำแล้วซ้ำเล่า
เช็กลิสต์แบนเนอร์ที่พร้อมสำหรับสเปน
- ยอมรับและปฏิเสธอยู่ในระดับเดียวกันในชั้นแรก
- ไม่มีคุกกี้นอกเหนือจากที่จำเป็นอย่างยิ่งก่อนมีการเลือก
- สรุปชั้นแรกที่ชัดเจนเป็นภาษาสเปน พร้อมลิงก์ไปยังรายละเอียด
- มีตัวควบคุมแบบละเอียดตามวัตถุประสงค์ในชั้นที่สอง
- ถอนความยินยอมได้จากทุกหน้า
- ต่ออายุความยินยอมภายในระยะเวลาที่กำหนด แนะนำไม่เกิน 24 เดือน
- นโยบายคุกกี้สอดคล้องกับแท็กที่โหลดจริง
ประเด็นสำคัญ
- กฎเรื่องคุกกี้ของสเปนคือมาตรา 22.2 ของ LSSI โดย AEPD บังคับใช้ควบคู่กับ GDPR
- คู่มือ AEPD ที่ปรับปรุงเมื่อเดือนกรกฎาคม 2023 คาดหวังว่าการปฏิเสธต้องง่ายเท่ากับการยอมรับในชั้นแรก
- การท่องเว็บหรือปิดแบนเนอร์ไม่ใช่ความยินยอม
- คู่มือแนะนำให้ต่ออายุความยินยอมอย่างน้อยทุก 24 เดือน
- โมเดลการเข้าถึงแบบมีเงื่อนไขต้องผ่านการตรวจสอบทางกฎหมายเฉพาะกรณีอย่างรอบคอบ