Чому Іспанії варто приділити окрему увагу

Іспанія — одна з найбільших аудиторій для іспаномовних видавців у світі, а її орган із захисту даних, Agencia Española de Protección de Datos (AEPD), — один із найактивніших регуляторів Європи. Як і будь-яка країна ЄС, Іспанія застосовує GDPR, але правило щодо cookie випливає з національного закону, що імплементує Директиву ePrivacy. Для видавців настанови AEPD щодо cookie — найпрактичніший орієнтир того, як ці правила тлумачаться в Іспанії.

У цій статті стисло викладено, що ці настанови означають для типового сайту чи застосунку з рекламною моделлю. Це практичний огляд, а не юридична консультація.

Правова основа: стаття 22.2 LSSI

Правило щодо cookie в Іспанії міститься в статті 22.2 Закону 34/2002 про послуги інформаційного суспільства та електронну комерцію, відомого як LSSI. Воно вимагає, щоб зберігання інформації на пристрої користувача або доступ до неї ґрунтувалися на згоді, наданій після отримання чіткої й повної інформації, з винятком для зберігання, суворо необхідного для послуги, яку користувач прямо запросив, або для передачі повідомлення.

Коли cookie використовуються для обробки персональних даних, також застосовуються GDPR та Органічний закон Іспанії 3/2018 (LOPDGDD), тому з питань cookie видавці мають справу саме з AEPD.

Посібник AEPD щодо cookie

AEPD публікує Посібник із використання cookie, підготовлений спільно з галузевими асоціаціями. Його було оновлено в липні 2023 року, щоб узгодити з роботою Європейської ради із захисту даних над банерами cookie та оманливими шаблонами дизайну, а організаціям надали час до січня 2024 року на адаптацію. Основні моменти, важливі для видавців, наведено нижче.

Однакова помітність відмови

Оновлений посібник передбачає, що якщо на першому рівні банера є кнопка прийняття cookie, там само має бути рівноцінний спосіб їх відхилити, поданий на тому самому рівні та з подібною помітністю. Варіант відмови, захований за посиланням «налаштування», рівноцінним не є.

Жодної згоди через перегляд

Прокручування, продовження навігації або закриття банера не вважаються згодою. Користувач має вчинити явну активну дію.

Зрозуміла інформація за рівнями

Посібник припускає багаторівневий підхід: короткий перший рівень із зазначенням видавця, цілей, участі третіх сторін та способів прийняти, відхилити чи налаштувати; і другий рівень із докладною інформацією про кожен cookie, залучені сторони та строки зберігання.

Деталізований вибір

Користувачі мають мати змогу обирати за цілями, а за потреби й за третіми сторонами, а не стикатися з єдиним перемикачем «все або нічого».

Відкликання

Користувачі повинні мати змогу відкликати згоду в будь-який момент так само легко, як вони її надали. Звичайне рішення — постійне посилання чи значок, що повторно відкриває налаштування.

Строк дії згоди

Посібник рекомендує періодично оновлювати згоду та пропонує максимальний строк дії 24 місяці, щоб користувачів питали знову, а не зберігали вибір безстроково.

Доступ за умови прийняття cookie

Посібник розглядає випадки, коли доступ до послуги ставиться в залежність від прийняття cookie. Він зазначає, що це може бути прийнятним за певних обставин, наприклад, коли користувачеві пропонують справжню альтернативу доступу до контенту без прийняття cookie, яка не обов’язково безкоштовна. З огляду на окрему думку EDPB щодо моделей «згода або оплата» для великих платформ, видавцям, які розглядають такий підхід, слід отримати спеціальну юридичну консультацію.

Що це означає на практиці

Для більшості видавців, які вже використовують CMP на основі TCF у ЄС, Іспанія вимагає небагатьох структурних змін. Найчастіше уваги потребують такі моменти:

• Відмова на першому рівні. Якщо ваш банер для ЄС і далі містить лише «Прийняти» та «Керувати параметрами», іспанський трафік — привід додати помітну кнопку відмови.
• Текст іспанською. Цілі та описи третіх сторін для користувачів з Іспанії мають бути зрозумілою іспанською, а не машинно перекладеними фрагментами впереміш з англійськими назвами вендорів.
• Графік повторного запиту. Перевірте, що ваш CMP оновлює згоду в обраний вами строк і що зміни вендорів чи цілей спричиняють новий запит.
• Політика cookie. Інформація на другому рівні та ваша політика cookie мають відповідати тому, що реально працює на сайті.
• Завантаження до згоди. Переконайтеся, що рекламні й аналітичні cookie не встановлюються до рішення користувача. Це й досі найчастіша знахідка в розслідуваннях щодо cookie всюди.

Контекст правозастосування

AEPD регулярно публікує свої рішення, і серед них трапляються справи щодо cookie, нерідко пов’язані з банерами без реальної можливості відмови або з cookie, встановленими до будь-якого вибору. Суми та результати різняться залежно від справи, тому корисний урок — це картина виявлених порушень, а не якась цифра: відсутність варіанта відмови, відстеження до згоди та нечітка інформація — проблеми, що виникають знову і знову.

Чек-лист банера для Іспанії

1. Прийняття й відмова пропонуються на одному рівні на першому рівні банера.
2. До вибору не встановлюються cookie, крім суворо необхідних.
3. Зрозуміле стисле резюме на першому рівні іспанською з посиланням на подробиці.
4. Деталізовані налаштування за цілями на другому рівні.
5. Можливість відкликання з кожної сторінки.
6. Згода оновлюється у визначений строк, рекомендовано не більше 24 місяців.
7. Політика cookie відповідає тегам, що реально завантажуються.

Головні висновки

• Правило Іспанії щодо cookie — стаття 22.2 LSSI; AEPD забезпечує його дотримання поряд із GDPR.
• Посібник AEPD, оновлений у липні 2023 року, передбачає, що відмова на першому рівні має бути такою ж простою, як прийняття.
• Перегляд сайту чи закриття банера не є згодою.
• Посібник рекомендує оновлювати згоду щонайменше раз на 24 місяці.
• Моделі з умовним доступом потребують ретельної юридичної оцінки в кожному конкретному випадку.