Sito web a norma di legge in Spagna: LSSI, GDPR e cookie

Ogni sito aziendale rivolto a persone in Spagna deve rispettare alcuni requisiti di legge, che si tratti di una pagina unica per un ristorante o di un e-commerce completo. Questa checklist riassume in italiano semplice le regole principali, così può controllare il suo sito o dare indicazioni chiare al team web e al suo avvocato.

In sintesi

In Spagna un sito a norma si basa su trasparenza e scelta: identifichi l’azienda in un aviso legal (LSSI-CE), spieghi in una privacy policy quali dati personali raccoglie e perché (GDPR e LOPDGDD) e non carichi nulla di non essenziale finché il visitatore non accetta i cookie, con il rifiuto facile quanto l’accettazione. Gli e-commerce devono inoltre dare ai consumatori le informazioni e il diritto di recesso (in genere 14 giorni di calendario) previsti dal diritto dei consumatori spagnolo, in ogni lingua del sito.

Le leggi che si applicano

Alla maggior parte dei siti aziendali in Spagna si applicano quattro gruppi di norme:

• LSSI-CE: Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico. Riguarda i siti legati a un’attività economica: dati identificativi, email commerciali, contratti online e cookie.
• GDPR: il Regolamento generale sulla protezione dei dati dell’UE (Regolamento (UE) 2016/679), che disciplina qualsiasi trattamento di dati personali.
• LOPDGDD: Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, la legge spagnola che adatta e integra il GDPR.
• Diritto dei consumatori: per gli e-commerce, soprattutto il testo consolidato della Legge generale per la tutela dei consumatori e degli utenti (Real Decreto Legislativo 1/2007).

L’Agenzia spagnola per la protezione dei dati (Agencia Española de Protección de Datos, AEPD) vigila su protezione dei dati e cookie e pubblica la guida di riferimento sui cookie.

Aviso legal (note legali)

L’articolo 10 della LSSI (testo in spagnolo) impone al titolare del sito di offrire agli utenti un accesso permanente, facile, diretto e gratuito ad alcuni dati identificativi di base. Di solito si trovano in una pagina “Aviso legal” (note legali) collegata dal footer di ogni pagina:

• Nome o ragione sociale (razón social)
• Indirizzo (domicilio)
• Indirizzo email e ogni altro recapito che consenta un contatto diretto ed effettivo
• Codice fiscale spagnolo (NIF; per le società un tempo si chiamava CIF)
• Dati di iscrizione al Registro mercantil (registro delle imprese) o a un altro registro pubblico, se previsti
• Dati professionali se esercita una professione regolamentata, e dati dell’autorizzazione se la sua attività richiede un’autorizzazione preventiva
• Prezzi, se indicati, espressi con chiarezza, comprensivi di imposte e costi di consegna

Privacy policy (GDPR e LOPDGDD)

Se il sito raccoglie dati personali (moduli, newsletter, ordini, statistiche), serve una privacy policy: gli articoli 13 e 14 del GDPR impongono di spiegare come vengono trattati quei dati. Una privacy policy dovrebbe indicare:

• Chi è il titolare del trattamento e come contattarlo, più il responsabile della protezione dei dati (DPO) se è stato nominato
• Finalità: per che cosa usa ogni tipo di dato (rispondere alle richieste, ordini, newsletter)
• Base giuridica di ogni finalità: consenso, esecuzione di un contratto, obbligo legale o legittimo interesse
• Destinatari: chi altro riceve i dati (fornitori di hosting, email, pagamenti o statistiche) ed eventuali trasferimenti fuori dallo Spazio economico europeo
• Conservazione: per quanto tempo conserva i dati, o i criteri usati per stabilirlo
• Diritti: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revoca del consenso, e come esercitarli
• Il diritto di proporre reclamo all’AEPD

L’articolo 11 della LOPDGDD (testo in spagnolo) consente un’informativa a più livelli: un primo livello breve nel punto in cui si raccolgono i dati, con almeno l’identità del titolare, la finalità e i diritti che gli utenti possono esercitare, più un link che dia accesso facile e immediato all’informativa completa.

Cookie e consenso

In Spagna i cookie non essenziali possono essere usati solo dopo il consenso del visitatore. La regola deriva dall’articolo 22.2 della LSSI, e la guida sui cookie dell’AEPD (Guía sobre el uso de las cookies, in spagnolo, aggiornata l’ultima volta a maggio 2024) spiega come applicarla. Le regole chiave:

• Nessun cookie non essenziale prima del consenso. Sono esenti i cookie strettamente necessari al funzionamento del sito (sessione, carrello, sicurezza, memorizzazione della scelta sui cookie). Non lo sono i cookie di statistica, pubblicità e social media, che non devono caricarsi finché l’utente non accetta.
• Un banner chiaro. Spieghi in breve a che cosa servono i cookie e offra le scelte già nel primo livello. Rifiutare deve essere facile quanto accettare, per esempio con pulsanti “Accetta” e “Rifiuta” ugualmente in evidenza. Continuare la navigazione non è un consenso valido e le opzioni non devono essere preselezionate.
• Una cookie policy che elenchi i cookie usati, chi li installa (lei o terze parti), la finalità e la durata, e come revocare il consenso.
• Un modo per cambiare il consenso in qualsiasi momento, come un link “Impostazioni cookie” nel footer che riapra le scelte.
• Contano anche gli strumenti di terze parti. Video incorporati, mappe, widget di chat, pixel pubblicitari e tag di statistica possono installare cookie; se non sono strettamente necessari, chieda prima il consenso, per esempio caricando il contenuto incorporato solo dopo un clic.

Moduli di contatto

Un modulo di contatto raccoglie dati personali, quindi richiede informazioni nel punto di raccolta, solo i campi necessari e caselle di consenso non spuntate:

• Informi nel punto di raccolta. Accanto al modulo mostri un breve avviso di primo livello: titolare, finalità, base giuridica, diritti e un link alla privacy policy.
• Chieda solo ciò che serve. Spesso bastano nome, email e messaggio.
• Usi correttamente le caselle di spunta. Se usa una casella per confermare che l’utente ha letto la privacy policy, non deve essere già spuntata. Se vuole anche inviare email di marketing, lo chieda con una casella separata e non spuntata: l’articolo 21 della LSSI vieta le email commerciali che il destinatario non abbia richiesto o autorizzato espressamente in precedenza, con la principale eccezione dei clienti esistenti che ricevono offerte di prodotti o servizi simili.
• Sappia dove finiscono i dati: quale casella email o sistema riceve i messaggi, chi può accedervi e per quanto tempo li conserva. Indichi nella privacy policy i fornitori coinvolti.
• Includa nelle informative gli strumenti anti-spam se trattano dati dei visitatori o installano cookie.

E-commerce: le basi del diritto dei consumatori

Gli e-commerce che vendono a consumatori devono rispettare anche il diritto dei consumatori spagnolo, che aggiunge informazioni precontrattuali, diritto di recesso e una procedura d’ordine chiara. A grandi linee, verifichi:

• Condizioni generali di vendita (condiciones generales de contratación), disponibili prima dell’acquisto in una forma che il cliente possa conservare
• Informazioni precontrattuali: identità e recapiti dell’azienda, caratteristiche principali dei prodotti, prezzo totale comprensivo di IVA ed eventuali costi di consegna, modalità di pagamento e di consegna
• Informazioni sul diritto di recesso: secondo l’articolo 102 della legge sui consumatori (testo in spagnolo), i consumatori possono in genere recedere da un acquisto a distanza entro 14 giorni di calendario senza dare motivazioni. Spieghi come fare, fornisca il modulo tipo di recesso e indichi le eventuali eccezioni previste dalla legge per i suoi prodotti
• Garanzia legale dei prodotti venduti
• Una procedura d’ordine chiara: i passaggi da seguire, come correggere gli errori di inserimento, le lingue disponibili, un pulsante finale che indichi chiaramente l’obbligo di pagamento e una conferma dopo l’acquisto

Questi punti derivano soprattutto dal Real Decreto Legislativo 1/2007 e dagli articoli 27 e 28 della LSSI. Se sta ancora decidendo dove vendere, il nostro confronto tra e-commerce o marketplace per il mercato spagnolo la aiuta a scegliere.

Siti multilingue e checklist finale

Se il sito è in più lingue, per esempio spagnolo, inglese e italiano, pubblichi note legali, informative, banner e avvisi dei moduli in ciascuna di esse, con lo stesso contenuto. Li riveda ogni volta che aggiunge uno strumento come Google Analytics, un pixel pubblicitario, un widget di chat o una newsletter. Se prevede campagne pubblicitarie, il confronto Facebook Ads vs Google Ads spiega anche come misurarle nel rispetto del consenso.

Prima di pubblicare, verifichi di avere:

1. Un aviso legal con i dati identificativi richiesti dalla LSSI, collegato nel footer
2. Una privacy policy con tutte le informazioni del GDPR, compreso il diritto di reclamo all’AEPD
3. Un banner dei cookie: nulla di non essenziale prima del consenso, rifiuto facile quanto l’accettazione
4. Una cookie policy e un link “Impostazioni cookie”
5. Moduli di contatto con l’informativa di primo livello e senza caselle già spuntate
6. Per gli e-commerce: condizioni di vendita, informazioni sul recesso, prezzi IVA inclusa
7. Testi legali in ogni lingua del sito

Domande frequenti

Il sito di una piccola impresa in Spagna deve avere l’aviso legal?

In generale sì. Se il sito è legato a un’attività economica, anche solo per presentare l’azienda, i requisiti identificativi della LSSI si applicano indipendentemente dalle dimensioni dell’impresa.

Si può usare Google Analytics senza consenso ai cookie in Spagna?

In generale no. Una configurazione standard di Google Analytics usa cookie analitici non essenziali, quindi secondo le indicazioni dell’AEPD va caricato solo dopo che il visitatore ha accettato. Configuri il banner in modo che lo blocchi fino ad allora.

Serve un banner dei cookie se uso solo cookie tecnici?

Se il sito usa solo cookie strettamente necessari non serve il consenso, quindi non serve un banner di consenso. È comunque buona prassi descrivere quei cookie in una cookie policy. Controlli bene, però: contenuti incorporati e strumenti di terze parti aggiungono spesso cookie inattesi.

UsualMatrix realizza siti per aziende in Spagna con banner dei cookie che chiedono il consenso prima di caricare qualsiasi cookie non essenziale, moduli di contatto chiari e pagine legali in ogni lingua del sito, e comunica in cinese, spagnolo e inglese. Scopra il nostro servizio di realizzazione siti web oppure ci contatti per parlare del suo sito.

Importante: questo articolo è un’informazione di carattere generale sulle norme spagnole ed europee alla data dell’ultimo aggiornamento e non costituisce consulenza legale. Ciò che si applica dipende dalla sua attività, dal settore e dal funzionamento del sito: faccia confermare i requisiti per il suo caso da un avvocato o da uno specialista della protezione dei dati.