المتطلبات القانونية للمواقع في إسبانيا: LSSI وGDPR وملفات الكوكيز

أي موقع إلكتروني لشركة تعمل في إسبانيا أو تستهدف عملاء فيها يجب أن يستوفي عدداً من المتطلبات القانونية، سواء كان صفحة واحدة لمطعم أو متجراً إلكترونياً متكاملاً. تلخّص قائمة التحقق هذه القواعد الرئيسية بلغة بسيطة، لتراجع موقعك أو تزوّد فريق الويب ومحاميك بموجز واضح.

الخلاصة

يتلخص امتثال المواقع الإلكترونية في إسبانيا في الشفافية وحرية الاختيار: عرّف بنشاطك في إشعار قانوني (LSSI-CE)، واشرح في سياسة الخصوصية البيانات الشخصية التي تجمعها ولماذا (GDPR وLOPDGDD)، ولا تحمّل أي شيء غير ضروري قبل أن يوافق الزائر على ملفات تعريف الارتباط، على أن يكون الرفض بسهولة القبول. ويجب على المتاجر الإلكترونية أيضاً أن تقدّم للمستهلكين المعلومات وحق الانسحاب (14 يوماً تقويمياً بوجه عام) اللذين يشترطهما قانون المستهلك الإسباني، وبكل لغة من لغات الموقع.

القوانين المطبَّقة

تنطبق أربع مجموعات من القواعد على معظم مواقع الشركات في إسبانيا:

• LSSI-CE: القانون 34/2002 بشأن خدمات مجتمع المعلومات والتجارة الإلكترونية (Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico). يغطي المواقع المرتبطة بنشاط اقتصادي: بيانات التعريف، والرسائل التجارية الإلكترونية، والتعاقد عبر الإنترنت، وملفات تعريف الارتباط.
• GDPR: اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (اللائحة (الاتحاد الأوروبي) 2016/679)، وتحكم أي معالجة للبيانات الشخصية.
• LOPDGDD: القانون الأساسي 3/2018 لحماية البيانات الشخصية وضمان الحقوق الرقمية (Ley Orgánica 3/2018)، وهو القانون الإسباني الذي يكيّف اللائحة العامة لحماية البيانات ويكمّلها.
• قانون المستهلك: للمتاجر الإلكترونية، وأساسه النص الموحد للقانون العام لحماية المستهلكين والمستخدمين (المرسوم التشريعي الملكي 1/2007، Real Decreto Legislativo 1/2007).

وتتولى الوكالة الإسبانية لحماية البيانات (Agencia Española de Protección de Datos، AEPD) الإشراف على حماية البيانات وملفات تعريف الارتباط، وتنشر الدليل المرجعي لملفات تعريف الارتباط.

الإشعار القانوني (aviso legal)

تُلزم المادة 10 من قانون LSSI (بالإسبانية) مالك الموقع بأن يتيح للمستخدمين وصولاً دائماً وسهلاً ومباشراً ومجانياً إلى بيانات التعريف الأساسية. وتوضع هذه البيانات عادةً في صفحة «Aviso legal» (الإشعار القانوني) يُربط إليها من تذييل كل صفحة:

• الاسم أو الاسم التجاري للشركة (razón social)
• العنوان (domicilio)
• البريد الإلكتروني وأي بيانات أخرى تتيح تواصلاً مباشراً وفعّالاً
• الرقم الضريبي (NIF؛ وكان يُسمّى للشركات سابقاً CIF)
• بيانات السجل التجاري أو أي سجل عام آخر، عند الاقتضاء
• البيانات المهنية إذا كنت تمارس مهنة منظَّمة، وبيانات الترخيص إذا كان نشاطك يتطلب ترخيصاً مسبقاً
• الأسعار، إن عُرضت، مبيَّنة بوضوح مع الضرائب وتكاليف التوصيل

سياسة الخصوصية (GDPR وLOPDGDD)

إذا كان موقعك يجمع بيانات شخصية (نماذج، أو نشرات بريدية، أو طلبات، أو أدوات تحليل)، فأنت تحتاج إلى سياسة خصوصية: إذ تُلزمك المادتان 13 و14 من اللائحة العامة لحماية البيانات بشرح طريقة تعاملك مع هذه البيانات. ويجب أن تغطي سياسة الخصوصية ما يلي:

• هوية المسؤول عن المعالجة وطريقة التواصل معه، إضافةً إلى مسؤول حماية البيانات إن كنت قد عيّنته
• الأغراض: فيمَ تستخدم كل نوع من البيانات (الرد على الاستفسارات، والطلبات، والنشرات البريدية)
• الأساس القانوني لكل غرض: الموافقة، أو تنفيذ عقد، أو التزام قانوني، أو مصلحة مشروعة
• المتلقّون: من يتلقى البيانات أيضاً (مزوّدو الاستضافة أو البريد أو الدفع أو التحليلات)، وأي نقل للبيانات خارج المنطقة الاقتصادية الأوروبية
• مدة الاحتفاظ: المدة التي تحتفظ فيها بالبيانات، أو المعايير المستخدمة لتحديدها
• الحقوق: الوصول، والتصحيح، والمحو، وتقييد المعالجة، وقابلية النقل، والاعتراض، وسحب الموافقة، وطريقة ممارستها
• الحق في تقديم شكوى إلى الوكالة الإسبانية لحماية البيانات (AEPD)

وتسمح المادة 11 من قانون LOPDGDD (بالإسبانية) بنهج المعلومات متعددة الطبقات: طبقة أولى قصيرة في مكان جمع البيانات تتضمن على الأقل هوية المسؤول عن المعالجة والغرض والحقوق التي يمكن للمستخدمين ممارستها، مع رابط يتيح الوصول السهل والفوري إلى السياسة الكاملة.

ملفات تعريف الارتباط والموافقة

في إسبانيا، لا يجوز استخدام ملفات تعريف الارتباط (الكوكيز) غير الضرورية إلا بعد موافقة الزائر. تأتي هذه القاعدة من المادة 22.2 من قانون LSSI، ويشرح دليل ملفات تعريف الارتباط الصادر عن الوكالة الإسبانية لحماية البيانات (Guía sobre el uso de las cookies، بالإسبانية، وآخر تحديث له في مايو 2024) كيفية تطبيقها. القواعد الأساسية:

• لا ملفات تعريف ارتباط غير ضرورية قبل الموافقة. الملفات الضرورية تماماً لعمل الموقع (الجلسة، وسلة التسوق، والأمان، وتذكّر خيار الموافقة) مستثناة. أما ملفات التحليلات والإعلانات ووسائل التواصل الاجتماعي فليست مستثناة، ويجب ألا تُحمَّل قبل أن يقبلها المستخدم.
• شريط واضح. اشرح باختصار الغرض من ملفات تعريف الارتباط، وقدّم الخيارات في الطبقة الأولى. ويجب أن يكون الرفض بسهولة القبول، مثلاً بزرّي «قبول» و«رفض» متساويين في البروز. ومتابعة التصفح ليست موافقة صحيحة، ويجب ألا تكون الخيارات محددة مسبقاً.
• سياسة ملفات تعريف الارتباط تسرد الملفات التي تستخدمها، ومن يضعها (أنت أم أطراف ثالثة)، وغرضها ومدتها، وطريقة سحب الموافقة.
• طريقة لتغيير الموافقة في أي وقت، مثل رابط «إعدادات ملفات تعريف الارتباط» في التذييل يعيد فتح الخيارات.
• أدوات الأطراف الثالثة تُحتسب أيضاً. الفيديوهات المضمَّنة والخرائط وأدوات الدردشة وبكسلات الإعلانات ووسوم التحليلات قد تضع كلها ملفات تعريف ارتباط؛ وإذا لم تكن هذه الملفات ضرورية تماماً، فاطلب الموافقة أولاً، مثلاً بتحميل المحتوى المضمَّن بعد النقر فقط. وينطبق ذلك على بكسل ميتا وعلامات جوجل التي تتناولها مقارنتنا بين إعلانات جوجل وإعلانات فيسبوك وإنستجرام.

نماذج التواصل

نموذج التواصل يجمع بيانات شخصية، لذا يحتاج إلى معلومات في مكان الجمع، وإلى الحقول اللازمة فقط، وإلى خانات موافقة غير محددة مسبقاً:

• قدّم المعلومات في مكان الجمع. اعرض بجوار النموذج إشعاراً قصيراً من الطبقة الأولى: المسؤول عن المعالجة، والغرض، والأساس القانوني، والحقوق، ورابطاً إلى سياسة الخصوصية.
• اطلب ما تحتاجه فقط. الاسم والبريد الإلكتروني والرسالة كافية في الغالب.
• استخدم خانات الاختيار بشكل صحيح. إذا استخدمت خانة اختيار لتأكيد أن المستخدم قرأ سياسة الخصوصية، فيجب ألا تكون محددة مسبقاً. وإذا أردت أيضاً إرسال رسائل تسويقية، فاطلب ذلك بخانة منفصلة غير محددة: إذ تحظر المادة 21 من قانون LSSI الرسائل التجارية الإلكترونية التي لم يطلبها المتلقي مسبقاً أو لم يأذن بها صراحةً، والاستثناء الرئيسي هو العملاء الحاليون الذين يتلقون عروضاً لمنتجات أو خدمات مماثلة.
• اعرف أين تذهب البيانات: أي صندوق بريد أو نظام يستقبل الرسائل، ومن يمكنه الاطلاع عليها، وكم تحتفظ بها. واذكر المزوّدين المعنيين في سياسة الخصوصية.
• اذكر أدوات مكافحة الرسائل المزعجة في سياساتك إذا كانت تعالج بيانات الزوار أو تضع ملفات تعريف ارتباط.

المتاجر الإلكترونية: أساسيات قانون المستهلك

يجب على المتاجر الإلكترونية التي تبيع للمستهلكين أن تستوفي أيضاً قانون المستهلك الإسباني، الذي يضيف المعلومات السابقة للتعاقد وحق الانسحاب وعملية طلب واضحة. وعلى مستوى عام، تحقّق مما يلي:

• الشروط والأحكام العامة للبيع (condiciones generales de contratación)، متاحة قبل الشراء بصيغة يمكن للعملاء حفظها
• المعلومات السابقة للتعاقد: هويتك وبيانات التواصل معك، والخصائص الرئيسية للمنتجات، والسعر الإجمالي شاملاً ضريبة القيمة المضافة (IVA) وأي تكاليف توصيل، وترتيبات الدفع والتسليم
• معلومات حق الانسحاب: بموجب المادة 102 من قانون المستهلك (بالإسبانية)، يحق للمستهلكين عموماً الانسحاب من الشراء عن بُعد خلال 14 يوماً تقويمياً من دون إبداء سبب. اشرح طريقة الانسحاب، وقدّم نموذج الانسحاب، واذكر أي استثناءات قانونية تنطبق على منتجاتك
• معلومات الضمان القانوني للمنتجات التي تبيعها
• عملية طلب واضحة: الخطوات المتبعة، وطريقة تصحيح أخطاء الإدخال، واللغات المتاحة، وزر نهائي لإتمام الطلب يدل بوضوح على الالتزام بالدفع، وتأكيد بعد الشراء

تأتي هذه النقاط أساساً من المرسوم التشريعي الملكي 1/2007 والمادتين 27 و28 من قانون LSSI. وإذا كنت تفاضل بين متجرك الخاص ومنصات البيع، فيشرح دليلنا متجر إلكتروني خاص أم البيع على أمازون ما تتولاه المنصات عنك وما يبقى عليك.

المواقع متعددة اللغات وقائمة التحقق النهائية

إذا كان موقعك بعدة لغات، كالإسبانية والإنجليزية والعربية، فانشر الإشعار القانوني والسياسات والشريط وإشعارات النماذج بكل لغة منها، وبالمضمون نفسه. وراجعها كلما أضفت أداة جديدة مثل Google Analytics أو بكسل إعلاني أو أداة دردشة أو نشرة بريدية.

قبل النشر، تحقّق من أن لديك:

1. إشعاراً قانونياً يتضمن بيانات التعريف التي يشترطها قانون LSSI، مع رابط إليه في التذييل
2. سياسة خصوصية تتضمن كل المعلومات التي تشترطها اللائحة العامة لحماية البيانات، بما فيها الحق في تقديم شكوى إلى الوكالة الإسبانية لحماية البيانات
3. شريط ملفات تعريف الارتباط: لا شيء غير ضروري قبل الموافقة، والرفض بسهولة القبول
4. سياسة ملفات تعريف الارتباط ورابط «إعدادات ملفات تعريف الارتباط»
5. نماذج تواصل تتضمن معلومات الطبقة الأولى ولا خانات محددة مسبقاً
6. للمتاجر الإلكترونية: شروط البيع، ومعلومات حق الانسحاب، والأسعار شاملة ضريبة القيمة المضافة
7. النصوص القانونية بكل لغة من لغات الموقع

أسئلة شائعة

هل يحتاج موقع شركة صغيرة في إسبانيا إلى إشعار قانوني؟

نعم بوجه عام. فإذا كان الموقع مرتبطاً بنشاط اقتصادي، ولو كان يكتفي بالتعريف بنشاطك، فإن متطلبات التعريف في قانون LSSI تنطبق عليه بصرف النظر عن حجم الشركة.

هل يمكنني استخدام Google Analytics من دون موافقة على ملفات تعريف الارتباط في إسبانيا؟

لا بوجه عام. فالإعداد المعتاد لـGoogle Analytics يستخدم ملفات تعريف ارتباط تحليلية غير ضرورية، لذا يجب وفق إرشادات الوكالة الإسبانية لحماية البيانات ألا يُحمَّل إلا بعد أن يقبل الزائر. اضبط الشريط بحيث يحظره حتى ذلك الحين.

هل أحتاج إلى شريط ملفات تعريف الارتباط إذا كنت أستخدم ملفات تقنية فقط؟

إذا كان موقعك يستخدم ملفات تعريف ارتباط ضرورية تماماً فقط، فلا حاجة إلى موافقة، وبالتالي لا تحتاج إلى شريط موافقة. ومع ذلك، من الممارسات الجيدة وصف هذه الملفات في سياسة ملفات تعريف الارتباط. لكن تحقّق بعناية: فالمحتوى المضمَّن وأدوات الأطراف الثالثة كثيراً ما تضيف ملفات غير متوقعة.

تبني UsualMatrix مواقع للشركات في إسبانيا بأشرطة ملفات تعريف ارتباط تطلب الموافقة أولاً، ونماذج تواصل واضحة، وصفحات قانونية بكل لغة من لغات الموقع، وتتواصل مع عملائها بالصينية أو الإسبانية أو الإنجليزية. اطّلع على خدمة تصميم وتطوير المواقع أو تواصل معنا للحديث عن موقعك.

تنبيه مهم: هذا المقال معلومات عامة عن القواعد الإسبانية والأوروبية حتى تاريخ آخر تحديث، وليس استشارة قانونية. فما ينطبق عليك يعتمد على نشاطك وقطاعك وطريقة عمل موقعك، لذا اطلب من محامٍ أو مختص في حماية البيانات تأكيد المتطلبات الخاصة بحالتك.