Requisits legals d’una pàgina web: RGPD, LSSI i galetes

Qualsevol web d’empresa adreçada a persones d’Espanya ha de complir uns quants requisits legals, tant si és una web d’una sola pàgina per a un restaurant com si és una botiga online completa. Aquesta llista resumeix les normes principals en un llenguatge planer, perquè puguis revisar la teva web o explicar a l’equip web i a l’advocat què cal comprovar.

Idea clau

Complir la llei amb una web a Espanya es resumeix en transparència i capacitat d’elecció: identifica l’empresa en un avís legal (LSSI-CE), explica en una política de privadesa quines dades personals recull la web i per a què (RGPD i LOPDGDD), i no carreguis res que no sigui imprescindible fins que el visitant accepti les galetes (cookies), amb un rebuig tan fàcil com l’acceptació. Les botigues online també han de donar als consumidors la informació i el dret de desistiment (amb caràcter general, 14 dies naturals) que exigeix la normativa de consum espanyola, en cada llengua de la web.

Les normes que s’hi apliquen

A la majoria de webs d’empresa a Espanya s’hi apliquen quatre blocs de normes:

LSSI-CE: la Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (Llei de serveis de la societat de la informació i de comerç electrònic). Afecta les webs vinculades a una activitat econòmica, encara que no venguin per internet: dades d’identificació, correus comercials, contractació en línia i galetes.
RGPD: el Reglament general de protecció de dades de la UE (Reglament (UE) 2016/679), que regula qualsevol tractament de dades personals.
LOPDGDD: la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, la llei espanyola que adapta i complementa el RGPD.
Normativa de consum: per a les botigues online, principalment el text refós de la Ley General para la Defensa de los Consumidores y Usuarios (Real Decreto Legislativo 1/2007).

L’Agència Espanyola de Protecció de Dades (Agencia Española de Protección de Datos, AEPD) supervisa la protecció de dades i les galetes, i publica la guia de referència sobre galetes.

Avís legal: qui hi ha darrere de la web

L’article 10 de la LSSI-CE (text al BOE, en castellà) obliga el titular de la web a oferir als usuaris un accés permanent, fàcil, directe i gratuït a les seves dades bàsiques d’identificació. Normalment es recullen en una pàgina d’avís legal enllaçada des del peu de totes les pàgines:

Nom o denominació social
Domicili
Adreça de correu electrònic i qualsevol altra dada que permeti una comunicació directa i efectiva
NIF (en el cas de les societats, l’antic CIF)
Dades d’inscripció al Registre Mercantil o a un altre registre públic, si escau
Dades professionals si exerceixes una professió regulada, i dades de l’autorització si l’activitat requereix autorització prèvia
Preus, si se’n mostren, indicats amb claredat, amb els impostos i les despeses d’enviament

Política de privadesa (RGPD i LOPDGDD)

Si la web recull dades personals (formularis, butlletins, comandes, analítica), necessites una política de privadesa: els articles 13 i 14 del RGPD (versió oficial en castellà) obliguen a explicar com tractes aquestes dades. Una política de privadesa ha d’incloure:

Qui és el responsable del tractament i com contactar-hi, i també el delegat de protecció de dades si n’has designat un
Finalitats: per a què fas servir cada tipus de dada (respondre consultes, gestionar comandes, enviar butlletins)
Base jurídica de cada finalitat: consentiment, execució d’un contracte, obligació legal o interès legítim
Destinataris: qui més rep les dades (proveïdors d’allotjament, correu, pagaments o analítica) i qualsevol transferència fora de l’Espai Econòmic Europeu
Conservació: quant de temps es guarden les dades, o amb quin criteri es decideix
Drets: accés, rectificació, supressió, limitació, portabilitat, oposició i retirada del consentiment, i com exercir-los
El dret a presentar una reclamació davant l’AEPD

L’article 11 de la LOPDGDD permet informar per capes: una primera capa breu al lloc on es recullen les dades, amb almenys la identitat del responsable, la finalitat i els drets que es poden exercir, més un enllaç que doni accés fàcil i immediat a la política completa.

Galetes i consentiment

A Espanya, les galetes no necessàries només es poden fer servir després que el visitant hi doni el consentiment. La norma prové de l’article 22.2 de la LSSI-CE, i la guia sobre l’ús de les galetes de l’AEPD (Guía sobre el uso de las cookies, en castellà, actualitzada el maig del 2024) explica com aplicar-la. Les regles clau són:

Cap galeta no necessària abans del consentiment. Les galetes estrictament necessàries perquè la web funcioni (sessió, cistella de la compra, seguretat, recordar l’elecció sobre galetes) n’estan exemptes. Les d’analítica, publicitat i xarxes socials no ho estan, i no es poden carregar fins que l’usuari les accepti.
Un bàner clar. Explica breument per a què serveixen les galetes i ofereix opcions a la primera capa. Rebutjar ha de ser tan fàcil com acceptar, per exemple amb botons «Accepta» i «Rebutja» igual de visibles. Continuar navegant no és un consentiment vàlid, i les opcions no poden venir marcades per defecte.
Una política de galetes amb la llista de les galetes que fas servir, qui les instal·la (tu o tercers), la seva finalitat i durada, i com retirar el consentiment.
Una manera de canviar el consentiment en qualsevol moment, com un enllaç «Configuració de galetes» al peu de pàgina que torni a obrir les opcions.
Les eines de tercers també compten. Vídeos incrustats, mapes, xats, píxels publicitaris i etiquetes d’analítica poden instal·lar galetes; si no són estrictament necessàries, demana primer el consentiment, per exemple carregant el contingut incrustat només després d’un clic. Si fas campanyes, la nostra comparativa de Google Ads i Meta Ads per a pimes explica com mesurar-les respectant el consentiment.

Formularis de contacte

Un formulari de contacte recull dades personals, així que necessita informació al mateix punt de recollida, només els camps imprescindibles i caselles de consentiment sense marcar:

Informa al punt de recollida. Al costat del formulari, mostra una primera capa breu: responsable, finalitat, base jurídica, drets i un enllaç a la política de privadesa.
Demana només el que necessites. Sovint n’hi ha prou amb el nom, el correu electrònic i el missatge.
Fes servir bé les caselles. Si fas servir una casella perquè l’usuari confirmi que ha llegit la política de privadesa, no pot venir marcada. Si també vols enviar correus comercials, demana-ho amb una casella separada i sense marcar: l’article 21 de la LSSI-CE prohibeix els correus comercials que el destinatari no hagi sol·licitat o autoritzat expressament abans, amb l’excepció principal dels clients amb relació contractual prèvia que reben ofertes de productes o serveis similars.
Sàpigues on van les dades: quina bústia o quin sistema rep els missatges, qui hi té accés i quant de temps es guarden. Esmenta a la política de privadesa els proveïdors que hi intervenen.
Inclou les eines antispam a les teves polítiques si tracten dades dels visitants o instal·len galetes.

Botigues online: el bàsic de la normativa de consum

Les botigues online que venen a consumidors també han de complir la normativa de consum espanyola, que hi afegeix informació precontractual, el dret de desistiment i un procés de compra clar. A grans trets, comprova que tens:

Condicions generals de contractació, disponibles abans de la compra en un format que el client pugui desar
Informació precontractual: la teva identitat i dades de contacte, les característiques principals dels productes, el preu total amb IVA i les despeses d’enviament, i les condicions de pagament i d’entrega
Informació sobre el dret de desistiment: segons l’article 102 del text refós de consumidors, els consumidors poden, amb caràcter general, desistir d’una compra a distància en un termini de 14 dies naturals sense indicar el motiu. Explica com fer-ho, ofereix el formulari model de desistiment i indica les excepcions legals que s’apliquin als teus productes
Informació sobre la garantia legal dels productes que vens
Un procés de compra clar: els passos que cal seguir, com corregir errors en les dades, les llengües disponibles, un botó final de compra que deixi clar que la comanda implica pagar, i una confirmació després de la compra

Aquests punts provenen principalment del Real Decreto Legislativo 1/2007 i dels articles 27 i 28 de la LSSI-CE. A més, algunes comunitats autònomes tenen normes de consum pròpies: a Catalunya, per exemple, el Codi de consum de Catalunya (Llei 22/2010) regula, entre altres aspectes, els drets lingüístics de les persones consumidores (article 128-1). Pregunta al teu assessor quines s’apliquen al teu cas. Si encara has de decidir on vendre, la nostra guia sobre botiga online pròpia o marketplace compara les dues vies.

Webs multilingües i llista final

Si la web està en diverses llengües, com ara català, castellà i anglès, publica l’avís legal, les polítiques, el bàner i la informació dels formularis en cadascuna, i que diguin el mateix. Revisa-les cada vegada que afegeixis una eina com Google Analytics, un píxel publicitari, un xat o un butlletí. Si també tens una app, la nostra guia sobre com crear una app explica què demanen en privadesa l’App Store i Google Play.

Abans de publicar, comprova que tens:

Un avís legal amb les dades d’identificació de la LSSI-CE, enllaçat al peu de pàgina
Una política de privadesa amb tota la informació del RGPD, inclòs el dret a reclamar davant l’AEPD
Un bàner de galetes: res no necessari abans del consentiment, i rebutjar tan fàcil com acceptar
Una política de galetes i un enllaç «Configuració de galetes»
Formularis de contacte amb informació de primera capa i cap casella marcada per defecte
Per a botigues online: condicions de venda, informació sobre el desistiment i preus amb IVA
Els textos legals en cada llengua de la web

Preguntes freqüents

La web d’una petita empresa necessita avís legal?

En general, sí. Si la web està vinculada a una activitat econòmica, encara que només presenti el teu negoci, s’hi apliquen els requisits d’identificació de la LSSI-CE, sigui quina sigui la mida de l’empresa.

Es pot fer servir Google Analytics sense consentiment de galetes a Espanya?

En general, no. Una configuració estàndard de Google Analytics fa servir galetes analítiques no necessàries, de manera que, segons els criteris de l’AEPD, només s’ha de carregar després que el visitant les accepti. Configura el bàner perquè el bloquegi fins aleshores.

Cal un bàner de galetes si només faig servir galetes tècniques?

Si la web només fa servir galetes estrictament necessàries, no cal demanar consentiment i, per tant, no necessites un bàner de consentiment. Tot i així, és una bona pràctica descriure aquestes galetes en una política de galetes. Revisa-ho bé, però: els continguts incrustats i les eines de tercers sovint afegeixen galetes inesperades.

A UsualMatrix fem webs per a empreses a Espanya amb bàners de galetes que demanen el consentiment abans de carregar res, formularis de contacte clars i pàgines legals en cada llengua de la web, i treballem en xinès, castellà i anglès. Consulta el nostre servei de disseny web o escriu-nos per parlar de la teva web.

Important: aquest article és informació general sobre la normativa espanyola i europea a la data de l’última actualització i no constitueix assessorament jurídic. El que s’aplica depèn del teu negoci, del teu sector i de com funciona la teva web, així que demana a un advocat o a un especialista en protecció de dades que confirmi els requisits del teu cas.