正如我们在文章中宣布的“如何正确实施Cookie政策（并避免像Vueling那样的罚款）” 西班牙数据保护局（AEPD）于上周五11月8日发布了新的 关于Cookie使用的指南，这是对2013年发布的文件的更新。
Letslaw团队参加了由AEPD主任Mar España主持的发布会活动，并有以下人士参与发言：José Domingo Gómez Castallo（AUTOCONTROL总经理）、Reyes Justribó Ferrer（IAB Spain总经理）、José Luis Zimmermann（ADIGITAL总经理）及Lidia Sanz（西班牙广告主协会AEA总经理）。
Cookie使用指南的目标是什么
本Cookie使用指南的主要目的是提供一系列 关于如何履行义务的实用指导。该义务规定于2002年7月11日《信息社会服务与电子商务法》（LSSI）第22.2条，其中规定了在用户设备上下载Cookie技术之前，需要获得用户的知情同意。
在此意义上，根据Cookie使用指南：“鉴于Cookie使用带来的诸多复杂性，此处提供的指导并非旨在为法律合规提供通用且统一的解决方案，而是应作为受影响实体反思并为其利益和商业模式选择最适宜解决方案的指南。”
AEPD提供的指导应在应用于 所有类型的Cookie及用于存储和检索数据的类似技术时予以考虑，包括诸如 本地共享对象（Flash Cookie）、网络信标（Web Beacons） 或 Bug（网络漏洞）等技术，以及指纹识别技术（数字指纹采集技术）。
是否也应适用于所谓的 技术性 Cookie？
该文件指出，以下类别的 Cookie 可免除获取知情同意的义务：
- “用户进入”Cookie
- 用户认证或身份识别 Cookie（仅限会话型）
- 用户安全 Cookie
- 多媒体播放器会话 Cookie
- 负载均衡会话 Cookie
- 用户界面个性化 Cookie
- 用于交换社交内容的特定插件（plug-in）Cookie
然而，出于透明性考虑，西班牙数据保护局（AEPD）建议至少以一般性方式告知用户正在使用此类技术cookie（实际示例：“本网站使用使网站提供的服务得以运行和提供的cookie”）。
《Cookie 使用指南》的关键要点：透明度、信息与同意
正如我们在之前的文章中已经预告的那样，该文件重申，在请求同意时提供的信息必须足够完整，以便用户了解安装这些cookie的目的以及将如何使用它们，但同时这些信息也应以简洁、透明且易于理解的方式提供。
不得使用易引起混淆的表述
AEPD在此方面引用了几个例子：
- “我们使用cookie来个性化您的内容并为您创造更好的体验”或“以改善您的浏览体验”
- “我们可以利用您的个人数据来提供个性化的服务”
“继续浏览”作为下载Cookie的同意选项是否仍然有效？
是的，但有所保留：为了使继续浏览的行为被视为有效同意，通知必须放置在明显可见的位置，即用户无法忽视的地方，使其通过形状、颜色、大小或位置能够合理确信用户已看到该通知，并且需要用户执行可被定性为明确肯定性行为的操作，才能认为同意已被授予。
在这方面，AEPD提出了几个被视为有效的“积极行动”作为下载Cookie同意的示例，例如 导航至网站的不同部分（不包括关于Cookie的第二层信息或隐私政策）、滑动滚动条、关闭第一层通知（Cookie通知）或 点击服务的某些内容。仅停留在屏幕上、移动鼠标或按下键盘上的一个键不能被视为接受。
因此，在用户执行上述明确的肯定性行为并表明其同意之前，不得安装cookie。正如新指南所强调的那样，这种通过继续浏览来同意的选项与在横幅中包含接受按钮的做法不相容。
配置面板是获得同意的关键
《Cookie使用指南》还规定 第一层的信息必须补充一份文件或配置面板，用户可以在其中选择以细粒度方式启用或禁用 Cookie。该面板可以集成在第二层信息中。
为了便于选择，应实现一个 用于启用所有 Cookie 的按钮 和 另一个用于拒绝所有 Cookie 的按钮，当使用的不同 Cookie 数量越多时，越推荐此选项。
展示 Cookie 选择时的细粒度程度应由网站编辑者评估。尽管建议考虑以下规则：
- 至少应该 按目的对 Cookie 进行分组（例如，用户可以选择启用分析 Cookie 而不启用广告 Cookie）。
- 在每个目的内部，并根据网站编辑者的选择，可以根据安装 Cookie 的第三方对 Cookie 进行分组。（例如，用户可以选择启用特定所有者的分析 Cookie，而不启用其他所有者的分析 Cookie）
- 关于 第三方 cookie 只需通过其名称（商标）进行标识即可，无需包含完整的公司名称。
- 应避免 最高粒度的级别（逐个 cookie 的选择），因为信息过多会妨碍决策。
关于第二层信息的实用示例：Cookie 政策
此外，西班牙数据保护局（AEPD）在新指南中提供了如何展示有关以下信息的指引：
- cookie 的通用定义和功能
- 所使用的 cookie 类型及其目的的信息
- 使用 cookie 的主体身份识别
- 关于接受、拒绝、撤回同意或删除 cookie 的方式的信息
- 关于网站发布者向第三国传输数据的信息
cookie 类型及其目的的示例：
本网站使用了哪些类型的 cookie？
- 分析类：由我们或第三方处理的此类 cookie 使我们能够统计用户数量，从而对用户对我们所提供服务的利用情况进行量化和统计分析。为此，我们会分析您在我们的网页上的浏览行为，以便改进我们向您提供的产品或服务。
- 行为广告：这类广告由我们或第三方处理，使我们能够分析您的互联网浏览习惯，从而向您展示与您的浏览档案相关的广告。
关于本新指南的有效期，我们需要考虑到上一版指南发布于2013年，因此我们必须根据西班牙数据保护局（AEPD）制定的准则调整我们的网站。
然而，值得注意的是，目前关于《电子通信领域尊重私生活和保护个人数据条例提案》的谈判正在推进中 (ePrivacy)，这可能会影响Cookie的使用，但尚不清楚达成最终协议以确定该法规最终文本的具体日期。
Letslaw团队将继续就本领域可能出现的所有新规和规范性及解释性变更提供信息。