西班牙AEPD更新Cookie指南，欧洲在线平台面临重大变革

引言
鉴于当前世界各国在科技与网络领域的监管呈现复合型趋势，W&W地区观察专题将触及个人信息保护、数据合规、网络安全、人工智能、数字经济等板块，跟踪并解读全球主流出海目标国在上述领域中的立法、监管动向，提示企业合规要点，为企业开展出海业务、部署国内合规工作提供参考。
01、决定的背景
2024 年 5 月 14 日，西班牙数据保护机构（AEPD）发布了一份关于 Cookie 使用的更新指南，使其与欧洲数据保护委员会（EDPB）于 2024 年 4 月发布的《关于大型在线平台在同意或付费模式下的有效同意的第08/2024号意见》保持一致。该指南特别强调，欧洲数据保护委员会预计将在 2025 年第一季度发布关于 "同意或付费" 模式下有关同意有效性的一般应用指南。
02、指南提供了哪些内容？
该指南强调，根据第8/2024 号意见，如果主要在线平台仅让用户在同意个人数据处理以进行行为广告或支付费用选择之间做出二元选择，则可能难以获得有效的同意。此外，指南还强调了数据控制者对涉及行为广告处理的服务不提供默认付费选项的重要性，指出在开发用于行为广告的个人数据处理服务版本的替代方案时，主要在线平台应考虑向相关方提供不涉及付费的 "同等替代方案"。
如果数据控制者选择对访问 "同等效替代方案 "收取费用，则指导意见强调，他们还必须考虑提供另一种不含行为广告的免费替代方案，这在原则上可被视为等效。EDPB 补充说，这种选择可以包括一般或上下文广告。这种广告只需要较少处理或不需要处理用户的个人数据，例如根据用户从平台提供的兴趣列表中选择的主题。指南强调，这一选择基于数据最小化原则，该原则要求数据控制者确保只处理广告活动所需的必要数据。在评估对行为广告的同意是否有效以及是否对相关方造成损害时，提供这种免费选择是一个非常重要的因素。
03、企业应该怎么做？
付费墙（paywall）是一种防止用户在没有订阅或一次性付费的情况下访问网页内容的机制，该机制可帮助内容提供者在控制数字资源访问权限的同时实现盈利，新闻网站和其他数字媒体通常使用它来限制对文章、视频或其他内容的访问。
AEPD 发布的这份指南挑战了目前对于付费墙的使用态度，根据指南的内容，在线平台需要确保获取用户同意的方式符合 EDPB 的要求，并为用户提供等效替代方案，确保用户可以在不接受行为广告处理的情况下继续使用服务。特别注意，在同意行为和付费退出之间提供选择可能会影响同意的有效性，因此需要审慎考虑此类设计。