西班牙AEPD Cookie指南：发布商须知
为什么要单独看西班牙
西班牙是全球西班牙语发布商最大的受众之一，其数据保护机构西班牙数据保护局（AEPD）是欧洲最活跃的监管机构之一。与所有欧盟国家一样，西班牙适用GDPR，但有关cookie的规则来自实施ePrivacy指令的国内法。对发布商而言，AEPD的cookie指引是了解这些规则在西班牙如何解读的最实用参考。
本文总结该指引对典型的广告支持型网站或应用意味着什么。这是一份实用概述，不构成法律建议。
法律依据：LSSI第22.2条
西班牙的cookie规则位于关于信息社会服务和电子商务的第34/2002号法律（LSSI）第22.2条。它要求在用户设备上存储或访问信息，须基于在获得清晰完整信息后给予的同意；例外情形是为用户明确请求的服务所严格必需的存储，或为传输通信所需的存储。
当cookie被用于处理个人数据时，GDPR和西班牙的第3/2018号组织法（LOPDGDD）也同样适用，这就是为什么在cookie事务上，发布商要与AEPD打交道。
AEPD Cookie指南
AEPD发布了与行业协会共同编写的Cookie使用指南。该指南于2023年7月更新，以与欧洲数据保护委员会（EDPB）关于cookie横幅和欺骗性设计模式的工作保持一致，并给予各组织至2024年1月的适应期。与发布商相关的要点如下。
拒绝选项同等突出
更新后的指南期望：如果横幅第一层包含接受cookie的按钮，则也应提供同等的拒绝方式，并置于同一层级、具有相近的可见度。隐藏在“设置”链接后面的拒绝选项并不等同。
不得通过浏览视为同意
滚动页面、继续浏览或关闭横幅都不构成同意。用户必须作出明确的肯定性行为。
分层提供清晰的信息
指南接受分层的做法：简短的第一层，说明发布商身份、目的、是否涉及第三方，以及如何接受、拒绝或配置；第二层则提供每个cookie、相关方和保留期限的详细信息。
细粒度的选择
用户应当能够按目的选择，并在有用时按第三方选择，而不是面对单一的“全有或全无”开关。
撤回
用户必须能够随时撤回同意，且与给予同意一样容易。通常的解决方案是提供一个能重新打开设置的常驻链接或图标。
同意有效期
指南建议定期更新同意，并建议最长有效期为24个月，以便重新询问用户，而不是无限期保存其选择。
以cookie为条件的访问
指南讨论了将服务访问与接受cookie挂钩的情形。它指出，在某些情况下这可能是可以接受的，例如向用户提供不接受cookie即可访问内容的真正替代方案（该方案不必免费）。鉴于EDPB针对大型平台的“同意或付费”模式另有意见，考虑采用这种做法的发布商应寻求具体的法律建议。
实践中意味着什么
对于大多数已在欧盟范围内运行基于TCF的CMP的发布商，西班牙几乎不需要结构性改动。最常需要关注的是：
- 第一层的拒绝按钮。如果你的欧盟横幅仍然只有“接受”加“管理选项”，那么西班牙流量就是添加醒目拒绝按钮的理由。
- 西班牙语文本。针对西班牙用户，目的和第三方的说明应使用清晰的西班牙语，而不是混杂着英文供应商名称的机器翻译片段。
- 重新提示的安排。检查你的CMP是否在所选期限内更新同意，以及供应商或目的的变更是否会触发新的提示。
- Cookie政策。使第二层的信息和你的cookie政策与网站上实际运行的内容保持一致。
- 同意前加载。确保在用户作出决定之前，不会设置任何广告或分析cookie。这仍然是各地cookie调查中最常见的发现。
执法背景
AEPD定期公布其决定，其中包括cookie案件，通常涉及没有真正拒绝选项的横幅，或在任何选择之前就已设置的cookie。金额和结果因案而异，因此有用的启示是发现问题的模式，而非任何数字：缺少拒绝选项、同意前追踪以及信息不清晰，是一再出现的问题。
适用于西班牙的横幅检查清单
- 第一层中接受与拒绝处于同一层级。
- 在作出选择前，除严格必需的cookie外不设置其他cookie。
- 第一层有清晰的西班牙语摘要，并附有详情链接。
- 第二层提供按目的划分的细粒度控制。
- 每个页面都可撤回。
- 同意在规定期限内更新，建议不超过24个月。
- Cookie政策与实际加载的标签一致。
核心要点
- 西班牙的cookie规则是LSSI第22.2条；AEPD与GDPR一并执行。
- 2023年7月更新的AEPD指南期望第一层中拒绝与接受同样容易。
- 浏览或关闭横幅不是同意。
- 指南建议至少每24个月更新一次同意。
- 有条件的访问模式需要谨慎的、针对具体情况的法律审查。