Site internet en Espagne : obligations légales (LSSI, RGPD)

Tout site d’entreprise destiné à un public en Espagne doit respecter quelques obligations légales, qu’il s’agisse d’un site d’une page pour un restaurant ou d’une boutique en ligne complète. Cette liste de contrôle résume les principales règles en termes simples, pour que vous puissiez vérifier votre site ou briefer votre équipe web et votre avocat.

À retenir

La conformité d’un site en Espagne repose sur la transparence et le choix : identifiez votre entreprise dans des mentions légales (LSSI-CE), expliquez quelles données personnelles vous collectez et pourquoi dans une politique de confidentialité (RGPD et LOPDGDD), et ne chargez rien de non essentiel tant que le visiteur n’a pas accepté les cookies, refuser devant être aussi simple qu’accepter. Les boutiques en ligne doivent en plus fournir aux consommateurs les informations et le droit de rétractation (en règle générale 14 jours calendaires) qu’exige le droit espagnol de la consommation, dans chaque langue du site.

Les textes qui s’appliquent

Quatre ensembles de règles s’appliquent à la plupart des sites d’entreprise en Espagne :

LSSI-CE : la Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (loi sur les services de la société de l’information et le commerce électronique). Elle couvre les sites liés à une activité économique : informations d’identification, e-mails commerciaux, contrats en ligne et cookies.
RGPD : le règlement général sur la protection des données de l’UE (règlement (UE) 2016/679), qui encadre tout traitement de données personnelles.
LOPDGDD : la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, la loi espagnole qui adapte et complète le RGPD.
Droit de la consommation : pour les boutiques en ligne, principalement le texte refondu de la loi générale pour la défense des consommateurs et des usagers (Real Decreto Legislativo 1/2007).

L’Agence espagnole de protection des données (Agencia Española de Protección de Datos, AEPD) contrôle la protection des données et les cookies, et publie le guide de référence sur les cookies.

Mentions légales (aviso legal)

L’article 10 de la LSSI (en espagnol) impose au titulaire du site de donner aux utilisateurs un accès permanent, facile, direct et gratuit aux informations d’identification de base. Elles figurent généralement sur une page « Aviso legal » (mentions légales) accessible depuis le pied de page de chaque page :

Nom ou dénomination sociale (razón social)
Adresse (domicilio)
Adresse e-mail et toute autre donnée permettant un contact direct et effectif
Numéro d’identification fiscale (NIF ; pour les sociétés, on parlait autrefois de CIF)
Données d’inscription au registre du commerce (Registro Mercantil) ou à un autre registre public, le cas échéant
Informations professionnelles si vous exercez une profession réglementée, et données d’autorisation si votre activité exige une autorisation préalable
Les prix, s’ils sont affichés, indiqués clairement, taxes et frais de livraison compris

Politique de confidentialité (RGPD et LOPDGDD)

Si votre site collecte des données personnelles (formulaires, newsletters, commandes, mesure d’audience), vous avez besoin d’une politique de confidentialité : les articles 13 et 14 du RGPD vous obligent à expliquer comment vous traitez ces données. Une politique de confidentialité doit indiquer :

Qui est le responsable du traitement et comment le contacter, ainsi que le délégué à la protection des données si vous en avez désigné un
Les finalités : à quoi sert chaque type de données (répondre aux demandes, commandes, newsletters)
La base légale de chaque finalité : consentement, exécution d’un contrat, obligation légale ou intérêt légitime
Les destinataires : qui d’autre reçoit les données (prestataires d’hébergement, de messagerie, de paiement ou de mesure d’audience) et les éventuels transferts hors de l’Espace économique européen
La durée de conservation : combien de temps vous gardez les données, ou les critères utilisés pour la fixer
Les droits : accès, rectification, effacement, limitation, portabilité, opposition et retrait du consentement, et la manière de les exercer
Le droit d’introduire une réclamation auprès de l’AEPD

L’article 11 de la LOPDGDD (en espagnol) autorise une information par niveaux : un premier niveau court à l’endroit où les données sont collectées, avec au minimum l’identité du responsable, la finalité et les droits des utilisateurs, plus un lien qui donne un accès facile et immédiat à la politique complète.

Cookies et consentement

En Espagne, les cookies non essentiels ne peuvent être utilisés qu’après le consentement du visiteur. La règle vient de l’article 22.2 de la LSSI, et le guide de l’AEPD sur les cookies (Guía sobre el uso de las cookies, en espagnol, mis à jour en mai 2024) explique comment l’appliquer. Les règles essentielles :

Aucun cookie non essentiel avant le consentement. Les cookies strictement nécessaires au fonctionnement du site (session, panier, sécurité, mémorisation du choix sur les cookies) sont exemptés. Les cookies de mesure d’audience, de publicité et de réseaux sociaux ne le sont pas, et ils ne doivent pas se charger avant que l’utilisateur n’accepte.
Un bandeau clair. Expliquez brièvement à quoi servent les cookies et proposez des choix dès le premier niveau. Refuser doit être aussi simple qu’accepter, par exemple avec des boutons « Accepter » et « Refuser » aussi visibles l’un que l’autre. Poursuivre la navigation ne vaut pas consentement, et aucune option ne doit être présélectionnée.
Une politique de cookies qui liste les cookies utilisés, qui les dépose (vous ou des tiers), leur finalité et leur durée, et comment retirer son consentement.
Un moyen de modifier son consentement à tout moment, comme un lien « Paramètres des cookies » en pied de page qui rouvre les choix.
Les outils tiers comptent aussi. Vidéos intégrées, cartes, widgets de chat, pixels publicitaires et balises de mesure d’audience peuvent tous déposer des cookies ; si ces cookies ne sont pas strictement nécessaires, demandez d’abord le consentement, par exemple en ne chargeant le contenu intégré qu’après un clic. Si vous lancez des campagnes, notre comparatif Google Ads ou Meta Ads rappelle que le pixel Meta et les balises Google nécessitent généralement ce consentement.

Formulaires de contact

Un formulaire de contact collecte des données personnelles : il lui faut une information au point de collecte, uniquement les champs nécessaires et des cases de consentement non cochées.

Informez au point de collecte. À côté du formulaire, affichez une courte information de premier niveau : responsable, finalité, base légale, droits et lien vers la politique de confidentialité.
Ne demandez que le nécessaire. Le nom, l’e-mail et le message suffisent souvent.
Utilisez correctement les cases à cocher. Si vous utilisez une case pour confirmer que l’utilisateur a lu la politique de confidentialité, elle ne doit pas être précochée. Si vous voulez aussi envoyer des e-mails commerciaux, demandez-le avec une case distincte, non cochée : l’article 21 de la LSSI interdit les e-mails commerciaux que le destinataire n’a pas demandés ou expressément autorisés au préalable, la principale exception étant les clients existants qui reçoivent des offres pour des produits ou services similaires.
Sachez où vont les données : quelle boîte mail ou quel système reçoit les messages, qui peut y accéder et combien de temps vous les conservez. Nommez les prestataires concernés dans votre politique de confidentialité.
Mentionnez les outils anti-spam dans vos politiques s’ils traitent des données des visiteurs ou déposent des cookies.

Boutiques en ligne : les bases du droit de la consommation

Les boutiques en ligne qui vendent à des consommateurs doivent aussi respecter le droit espagnol de la consommation, qui ajoute une information précontractuelle, un droit de rétractation et un processus de commande clair. Dans les grandes lignes, vérifiez :

Les conditions générales de vente (condiciones generales de contratación), accessibles avant l’achat sous une forme que le client peut conserver
L’information précontractuelle : votre identité et vos coordonnées, les caractéristiques essentielles des produits, le prix total TVA (IVA) comprise et les éventuels frais de livraison, ainsi que les modalités de paiement et de livraison
L’information sur le droit de rétractation : selon l’article 102 de la loi sur la consommation (en espagnol), les consommateurs peuvent en règle générale se rétracter d’un achat à distance dans un délai de 14 jours calendaires sans avoir à se justifier. Expliquez comment faire, fournissez le formulaire type de rétractation et indiquez les exceptions légales qui s’appliquent à vos produits
L’information sur la garantie légale des produits que vous vendez
Un processus de commande clair : les étapes à suivre, la manière de corriger les erreurs de saisie, les langues disponibles, un bouton final de commande qui indique clairement l’obligation de payer, et une confirmation après l’achat

Ces points découlent principalement du Real Decreto Legislativo 1/2007 et des articles 27 et 28 de la LSSI. Si vous hésitez encore entre votre propre boutique et des marketplaces comme Amazon.es ou Miravia, notre comparatif site e-commerce ou marketplace détaille ce que chaque canal prend en charge.

Sites multilingues et liste de contrôle finale

Si votre site existe en plusieurs langues, par exemple en espagnol, en anglais et en français, publiez les mentions légales, les politiques, le bandeau et les informations des formulaires dans chacune d’elles, avec le même contenu. Relisez-les chaque fois que vous ajoutez un outil comme Google Analytics, un pixel publicitaire, un widget de chat ou une newsletter.

Avant la mise en ligne, vérifiez que vous avez :

Des mentions légales avec les informations d’identification exigées par la LSSI, accessibles en pied de page
Une politique de confidentialité avec toutes les informations exigées par le RGPD, y compris le droit de réclamation auprès de l’AEPD
Un bandeau cookies : rien de non essentiel avant le consentement, refuser aussi simple qu’accepter
Une politique de cookies et un lien « Paramètres des cookies »
Des formulaires de contact avec une information de premier niveau et aucune case précochée
Pour les boutiques en ligne : conditions générales de vente, information sur la rétractation, prix TVA comprise
Les textes légaux dans chaque langue du site

Questions fréquentes

Le site d’une petite entreprise en Espagne doit-il avoir des mentions légales ?

En règle générale, oui. Dès lors que le site est lié à une activité économique, même s’il se contente de présenter votre entreprise, les obligations d’identification de la LSSI s’appliquent, quelle que soit la taille de l’entreprise.

Peut-on utiliser Google Analytics sans consentement aux cookies en Espagne ?

En règle générale, non. Une configuration standard de Google Analytics utilise des cookies de mesure d’audience non essentiels : selon les lignes directrices de l’AEPD, elle ne doit donc se charger qu’après l’acceptation du visiteur. Configurez votre bandeau pour la bloquer jusque-là.

Faut-il un bandeau cookies si l’on n’utilise que des cookies techniques ?

Si votre site n’utilise que des cookies strictement nécessaires, aucun consentement n’est requis : vous n’avez donc pas besoin d’un bandeau de consentement. Il reste conseillé de décrire ces cookies dans une politique de cookies. Vérifiez toutefois attentivement : les contenus intégrés et les outils tiers ajoutent souvent des cookies inattendus.

UsualMatrix réalise des sites pour des entreprises en Espagne avec un bandeau cookies qui attend le consentement, des formulaires de contact clairs et des pages légales dans chaque langue du site ; nous travaillons en chinois, en espagnol et en anglais. Découvrez notre service de création de site internet ou contactez-nous pour parler de votre site.

Important : cet article fournit des informations générales sur les règles espagnoles et européennes à la date de sa dernière mise à jour ; il ne constitue pas un avis juridique. Ce qui s’applique dépend de votre activité, de votre secteur et du fonctionnement de votre site : faites confirmer les exigences applicables à votre cas par un avocat ou un spécialiste de la protection des données.