İspanya Neden Ayrıca İncelenmeli

İspanya, dünya genelinde İspanyolca yayın yapan yayıncılar için en büyük kitlelerden biridir ve veri koruma otoritesi Agencia Española de Protección de Datos (AEPD) Avrupa'nın en aktif düzenleyicilerinden biridir. Her AB ülkesi gibi İspanya da GDPR'ı uygular, ancak çerezlere ilişkin kural, ePrivacy Direktifi'ni uygulayan ulusal yasadan gelir. Yayıncılar için AEPD'nin çerez rehberliği, bu kuralların İspanya'da nasıl yorumlandığına dair en pratik başvuru kaynağıdır.

Bu makale, söz konusu rehberliğin tipik bir reklam destekli site veya uygulama için ne anlama geldiğini özetler. Pratik bir genel bakıştır, hukuki danışmanlık değildir.

Hukuki Dayanak: LSSI 22.2. Madde

İspanya'daki çerez kuralı, LSSI olarak bilinen bilgi toplumu hizmetleri ve elektronik ticarete ilişkin 34/2002 sayılı Kanun'un 22.2. maddesinde yer alır. Kullanıcının cihazında bilgi depolanmasının veya bilgiye erişilmesinin, açık ve eksiksiz bilgilendirmeden sonra verilmiş bir onaya dayanmasını şart koşar; kullanıcının açıkça talep ettiği bir hizmet için ya da bir iletişimin iletilmesi için kesinlikle gerekli olan depolama istisnadır.

Çerezler kişisel verileri işlemek için kullanıldığında GDPR ve İspanya'nın 3/2018 sayılı Organik Kanunu (LOPDGDD) de geçerlidir; yayıncıların çerez konularında muhatap olduğu otoritenin AEPD olmasının nedeni budur.

AEPD Çerez Rehberi

AEPD, sektör dernekleriyle birlikte hazırlanan bir Çerez Kullanımı Rehberi yayımlar. Rehber, Avrupa Veri Koruma Kurulu'nun çerez banner'ları ve aldatıcı tasarım kalıpları üzerindeki çalışmalarıyla uyumlu hale getirmek için Temmuz 2023'te güncellendi ve kuruluşlara uyum sağlamaları için Ocak 2024'e kadar süre tanındı. Yayıncıları ilgilendiren başlıca noktalar aşağıdadır.

Reddetme için eşit görünürlük

Güncellenmiş rehber, banner'ın ilk katmanında çerezleri kabul etmek için bir düğme varsa, aynı seviyede ve benzer görünürlükle bunları reddetmenin de eşdeğer bir yolunun sunulmasını bekler. “Ayarlar” bağlantısının arkasına gizlenmiş bir reddetme seçeneği eşdeğer değildir.

Gezinerek onay verilmez

Kaydırmak, gezinmeye devam etmek veya banner'ı kapatmak onay sayılmaz. Kullanıcının açık bir olumlu eylemde bulunması gerekir.

Katmanlı net bilgilendirme

Rehber katmanlı bir yaklaşımı kabul eder: yayıncıyı, amaçları, üçüncü tarafların dahil olup olmadığını ve nasıl kabul edileceğini, reddedileceğini veya yapılandırılacağını belirten kısa bir ilk katman; ve her çerez, ilgili taraflar ve saklama süresi hakkında ayrıntılı bilgi veren bir ikinci katman.

Ayrıntılı tercihler

Kullanıcılar, tek bir hep ya da hiç anahtarıyla karşılaşmak yerine amaca göre ve faydalı olduğunda üçüncü tarafa göre seçim yapabilmelidir.

Geri çekme

Kullanıcılar onayı istedikleri zaman, verdikleri kadar kolay biçimde geri çekebilmelidir. Ayarları yeniden açan kalıcı bir bağlantı veya simge olağan çözümdür.

Onay süresi

Rehber, onayın düzenli aralıklarla yenilenmesini önerir ve en fazla 24 aylık geçerlilik süresi öngörür; böylece bir tercih süresiz saklanmak yerine kullanıcılara yeniden sorulur.

Çerezlere bağlı erişim

Rehber, bir hizmete erişimin çerezleri kabul etmeye bağlandığı durumları ele alır. Bunun bazı koşullarda kabul edilebilir olabileceğini belirtir; örneğin kullanıcıya çerezleri kabul etmeden içeriğe erişmesi için gerçek bir alternatif sunulduğunda; bu alternatifin ücretsiz olması gerekmez. EDPB'nin büyük platformlar için “onay ya da ödeme” modellerine ilişkin ayrı görüşü göz önüne alındığında, bu yaklaşımı düşünen yayıncılar özel hukuki danışmanlık almalıdır.

Pratikte Bu Ne Anlama Geliyor

AB genelinde zaten TCF tabanlı bir CMP çalıştıran çoğu yayıncı için İspanya'nın gerektirdiği yapısal değişiklik azdır. En sık dikkat gerektiren noktalar şunlardır:

• İlk katmanda reddetme. AB banner'ınız hâlâ yalnızca “Kabul et” ve “Seçenekleri yönet” kullanıyorsa, İspanya trafiği görünür bir reddetme düğmesi eklemek için bir nedendir.
• İspanyolca metin. Amaçlar ve üçüncü taraf açıklamaları, İspanya'daki kullanıcılar için İngilizce satıcı adlarıyla karışmış makine çevirisi parçaları değil, anlaşılır İspanyolca olmalıdır.
• Yeniden sorma takvimi. CMP'nizin onayı seçtiğiniz süre içinde yenilediğini ve satıcılarda veya amaçlarda yapılan değişikliklerin yeni bir istemi tetiklediğini kontrol edin.
• Çerez politikası. İkinci katmandaki bilgileri ve çerez politikanızı sitede gerçekten çalışanlarla tutarlı tutun.
• Onay öncesi yükleme. Kullanıcı karar vermeden önce hiçbir reklam veya analitik çerezinin ayarlanmadığından emin olun. Bu, dünyanın her yerinde çerez soruşturmalarında en sık rastlanan bulgudur.

Uygulama Bağlamı

AEPD kararlarını düzenli olarak yayımlar ve bunlar arasında çerez davaları da bulunur; çoğunlukla gerçek bir reddetme seçeneği olmayan banner'ları veya herhangi bir tercihten önce ayarlanan çerezleri içerir. Tutarlar ve sonuçlar dosyadan dosyaya değişir; dolayısıyla faydalı ders herhangi bir rakam değil, bulguların desenidir: eksik reddetme seçenekleri, onay öncesi izleme ve belirsiz bilgilendirme tekrar tekrar karşımıza çıkan sorunlardır.

İspanya'ya Hazır Banner Kontrol Listesi

1. İlk katmanda kabul ve reddetme aynı seviyede sunulur.
2. Bir tercihten önce kesinlikle gerekli olanlar dışında çerez yoktur.
3. İspanyolca, ayrıntılara bağlantı veren net bir ilk katman özeti vardır.
4. İkinci katmanda amaca göre ayrıntılı kontroller bulunur.
5. Geri çekme her sayfadan erişilebilir.
6. Onay, tanımlı bir süre içinde yenilenir; önerilen süre 24 ayı geçmez.
7. Çerez politikası, gerçekte yüklenen etiketlerle uyumludur.

Önemli Çıkarımlar

• İspanya'nın çerez kuralı LSSI 22.2. maddedir; AEPD bunu GDPR ile birlikte uygular.
• Temmuz 2023'te güncellenen AEPD rehberi, ilk katmanda reddetmenin kabul etmek kadar kolay olmasını bekler.
• Gezinmek veya banner'ı kapatmak onay değildir.
• Rehber, onayın en geç her 24 ayda bir yenilenmesini önerir.
• Koşullu erişim modelleri dikkatli ve olaya özgü bir hukuki inceleme gerektirir.