西班牙發布新指南對Cookie監管趨嚴

葉涵

2019年11月8日，西班牙數據保護局（AEPD）發布了《Cookie使用指南》（以下簡稱“《指南》”），更新了之前西班牙關于Cookie的使用標準，以適應其國內法律及歐盟的《一般數據保護條例》和有關數據保護與數字權利保障的基本法（3/2018）的新規定。該《指南》明確要求互聯網企業使用Cookie時需要獲得用戶主動、具體的同意，并對信息透明以及同意的具體要求等義務性規定加以規定，并結合多個例子，具體指導互聯網服務提供者如何合法、合規地使用Cookie及相關技術。

Cookie技術為什么重要

互聯網行業中Cookie是普遍使用的一項技術，當用戶使用相關服務時，服務商會向用戶的終端設備發送一個或多個Cookie，以便收集和存儲用戶訪問、使用服務時的信息。這些用戶數據可促進服務提供者提供穩定、安全的服務，也可以為顯示相關廣告或設計更符合用戶需求的新產品提供依據。隨著近年來信息技術變革和數字經濟的崛起，Cookie對于互聯網企業的重要性與日俱增。但是，Cookie技術強大的信息追蹤、收集功能也引發了人們對其可能侵犯用戶隱私、泄露個人信息的擔憂。

針對上述潛在的技術風險，歐盟從保護個人隱私角度最先開始立法，并逐步成為互聯網Cookie規則的標桿。如2002年歐盟制定的《電子隱私法案》中就規定：“用戶的電子通信終端設備上存儲的任何信息均屬于用戶的隱私信息，應受到歐盟相關法律的保護?！?009年在修訂該法案時，其中最大的變化則是：服務提供商在用戶的終端設備上用Cookie獲取個人數據不能基于“默認同意”，而是需要用戶“主動地選擇同意”，也就是說，用戶從“選擇退出”（opt-out）改為了“選擇加入”（opt-in）。到了2016年，歐盟的《一般數據保護條例》中明確指出：具有唯一指向性和身份識別性的Cookie屬于個人數據。這也就意味著，除非在例外情形下，Cookie的收集和使用必須得到用戶的同意。

歐盟對Cookie的使用規則中最為關鍵的是“同意規則”。通常來說，第一方緩存的使用不需要獲得用戶的知情同意，但使用第三方緩存和持久緩存時就需要獲得用戶的知情同意。在獲取用戶同意的方式上，歐盟提出的標準是：用戶應完全了解正在使用的網站收集相關數據的目的，以及可能對用戶個人隱私帶來的危害。

近期，西班牙數據保護局發布的《Cookie使用指南》，旨在指導互聯網服務商在使用Cookie獲取用戶數據時應符合主動同意規則。盡管這部《指南》因對Cookie采取嚴格的規則而受到批評，但是該規定與歐盟數據保護規則和相關判例采用的觀點基本一致。

針對同意規則，歐盟近期有一個典型案例。案件起因是一家名為“Planet49”的在線游戲公司試圖通過用戶預先選中的復選框來存儲用戶的Cookie，進而通過Cookie收集信息、推廣在線游戲，德國消費者協會以侵犯用戶隱私起訴了該公司。2019年10月，歐洲法院對“Planet49”案作出的一項裁定中，明確要求“互聯網服務商不得以‘預先勾選方框的方式告知用戶其手機或電腦將被植入Cookie”。同時，法院指出用戶同意必須是“具體的”。這項裁決意味著在所有歐盟成員國和地區，任何一家互聯網企業要使用Cookie技術獲取用戶信息，必須先取得用戶的具體同意。在個人數據信息保護不斷加強的背景下，歐盟這一案例也直接影響了西班牙《指南》的相關內容。

劃重點：詳解《指南》新規則

西班牙數據保護局發布的《指南》中最核心的要求是互聯網服務提供者在使用Cookie時應當獲得用戶的明確、具體、完整的同意，以便用戶理解Cookie的具體用途。從《指南》所規定的具體要求來看，以下規則需要重點關注：

第一，互聯網服務提供者要明確告知用戶與Cookie相關的信息。《指南》要求互聯網服務提供者應當告知的信息包括：Cookie的含義以及功能，使用的Cookie的主體、類型及其用途，如何接受、拒絕、撤銷同意或刪除Cookie，服務提供者可能向第三方傳輸數據，告知用戶自動化決策的邏輯、此類處理對用戶產生的預期后果，以及不同目的下數據的保存期限，等等。

第二，告知上述與Cookie相關的信息必須簡潔、透明、清楚，用語應當通俗易懂，避免使用戶產生混淆。

第三，《指南》借鑒了歐盟的一般數據保護規則，明確規定“除例外情形，服務提供者收集和使用Cookie，在任何情形下都必須征得用戶的同意”。這種同意可以通過指示“同意”“我接受”或其他類似術語獲得;也可以從用戶執行的明確動作中推斷出用戶的同意，如用戶繼續瀏覽網站，這一點與其他歐洲國家發布的指南不同。但是在任何情況下，用戶均可拒絕接受Cookie，而在用戶拒絕服務提供者使用Cookie時，應當告知其后果。需要注意的是，Cookie的告知信息與接受服務的使用條款、其他信息分開，也就是說拒絕之后也不能終止網頁訪問。

第四，《指南》也規定了特殊用戶的同意規則，即在技術可行的前提下，對于追蹤和使用14歲以下兒童信息的Cookie，互聯網服務提供者核實或者驗證兒童監護人是否同意使用兒童的Cookie，并且遵守數據最小化原則。

第五，通常情況下，如果網站服務商未變更Cookie使用用途，只要已經獲得過用戶的有效同意，此后該用戶訪問同一網頁時就不需要每次都進行選擇是否接受Cookie協議。但是如果服務商變更使用Cookie，就應當重新獲得用戶的同意。

《指南》不完美卻有參照價值

雖然西班牙數據保護局發布的這一《指南》不具有法律效力，但是由于細化了西班牙《信息社會服務法》相關條款的適用，所以對整個互聯網行業中的Cookie政策會產生直接的影響。奧斯本·克拉克律師事務所的合伙人在接受采訪時總結了該《指南》存在的三點不足：一是通過“繼續瀏覽操作”接受Cookie的觀點已經存在，但它可能會偏離原有《2016/679條例》第29條的“同意準則”的本意;二是在保護未成年人方面，從原來僅收集統計數據的情況下通過單擊鼠標以征求父母同意的警告，到在將Cookie用于自定義目的的情況下能夠檢測錯誤輸入和驗證碼的生日復選框，實際上這類機制在互聯網生態系統中并不新鮮，有時這種規定反而不能適當程度地保護未成年人的權利和自由;三是《指南》對用戶撤回同意進行了詳細地描述，要求服務商提供措施，使用戶撤回同意應與給予同意一樣便利，但實際上原來“同意準則”已有類似規定。

考慮到互聯網行業Cookie的多種復雜性，這份《指南》的制定者也意識到了上述規則可能存在的一些問題，因此在序言中坦言“該規則并不是為了提供一種萬能的解決方案以符合相關法律，而只是為互聯網服務提供者做出最佳決策提供一種指引”。盡管有上述不足，西班牙制定的這份《指南》對其他國家制定相關Cookie規則都具有十分重要的借鑒意義。

編輯：黃靈 ?yeshzhwu@foxmail.com