GDPR対応チェックリスト：スペイン向けWebサイトとCookie同意

スペインの人々に向けた企業のWebサイトは、飲食店の1ページだけのサイトでも本格的なECサイトでも、いくつかの法的要件を満たす必要があります。このチェックリストは、スペインで事業を行う企業やスペインの顧客に向けてサイトを運営する企業のために、主なルールをわかりやすくまとめたものです。自社サイトの点検や、Web制作チーム・弁護士への依頼内容の整理にお使いください。

要点

スペインでのWebサイトの法令対応は、「透明性」と「選択の自由」に集約されます。法的通知（LSSI-CE）で事業者を明らかにし、プライバシーポリシー（GDPRとLOPDGDD）で収集する個人データとその理由を説明し、訪問者がCookieに同意するまでは必要不可欠でないものを一切読み込まず、拒否を同意と同じくらい簡単にします。ECサイトはさらに、スペインの消費者法が求める情報と撤回権（原則として14暦日）を、サイトのすべての言語で消費者に示す必要があります。

適用される法律

スペインの企業サイトの多くには、次の4つのルールが適用されます。

LSSI-CE： Ley 34/2002（情報社会サービスおよび電子商取引に関する法律）。経済活動に関連するWebサイトを対象とし、事業者の表示、商業メール、オンラインでの契約、Cookieを定めています。
GDPR： EU一般データ保護規則（規則（EU）2016/679）。個人データのあらゆる取り扱いを規律します。
LOPDGDD： Ley Orgánica 3/2018（個人データ保護およびデジタル権利の保障に関する組織法）。GDPRをスペイン国内向けに適用・補完する法律です。
消費者法： ECサイトの場合は、主に消費者・利用者保護一般法の統合版（Real Decreto Legislativo 1/2007）。

スペインデータ保護庁（Agencia Española de Protección de Datos、AEPD）がデータ保護とCookieを監督しており、Cookieに関する基準となるガイドを公表しています。

法的通知（aviso legal）

LSSI第10条（スペイン語）は、Webサイトの運営者に対し、基本的な事業者情報へ常時、容易、直接かつ無料でアクセスできるようにすることを義務づけています。通常は、全ページのフッターからリンクした「Aviso legal」（法的通知）ページに掲載します。

氏名または商号（razón social）
住所（domicilio）
メールアドレスなど、直接かつ実効的に連絡が取れる情報
税務識別番号（NIF。法人の場合は以前CIFと呼ばれていました）
該当する場合は、商業登記簿またはその他の公的登記簿の登録情報
規制された専門職の場合はその職業に関する情報、事前の許可が必要な事業の場合は許可に関する情報
価格を表示する場合は、税金と配送料を含めて明確に記載すること

プライバシーポリシー（GDPRとLOPDGDD）

サイトで個人データを収集する場合（フォーム、ニュースレター、注文、アクセス解析など）、プライバシーポリシーが必要です。GDPR第13条・第14条（英語）は、そのデータをどう扱うかを説明するよう求めています。プライバシーポリシーには次の内容を盛り込みます。

管理者が誰かとその連絡先。データ保護責任者（DPO）を任命している場合はその連絡先も
目的： データの種類ごとの利用目的（問い合わせへの回答、注文、ニュースレターなど）
目的ごとの法的根拠： 同意、契約の履行、法的義務、正当な利益
受領者： データを受け取る他の事業者（ホスティング、メール、決済、アクセス解析のサービス事業者など）と、欧州経済領域（EEA）外への移転の有無
保存期間： データを保存する期間、またはその期間を決める基準
権利： アクセス、訂正、消去、処理の制限、データポータビリティ、異議、同意の撤回の各権利と、その行使方法
AEPDに苦情を申し立てる権利

LOPDGDD第11条（スペイン語）は、階層的な情報提供を認めています。データを収集する場所に、少なくとも管理者の身元、目的、利用者が行使できる権利を記した短い第1層を置き、全文のポリシーに簡単かつすぐにアクセスできるリンクを添える方法です。

Cookieと同意

スペインでは、必要不可欠でないCookieは、訪問者が同意した後にしか使えません。このルールはLSSI第22条2項に由来し、AEPDのCookieガイド（Guía sobre el uso de las cookies、スペイン語、2024年5月最終更新）がその適用方法を説明しています。主なルールは次のとおりです。

同意の前に必要不可欠でないCookieを使わない。 サイトの動作に厳密に必要なCookie（セッション、ショッピングカート、セキュリティ、同意の選択の記憶）は対象外です。アクセス解析、広告、SNSのCookieは対象外ではなく、利用者が同意するまで読み込んではいけません。Google タグやMetaピクセルなどの広告用タグも同様で、広告運用の側から見た注意点はGoogle広告とMeta広告の違いで解説しています。
わかりやすいバナー。 Cookieの用途を簡潔に説明し、第1層で選択肢を示します。拒否は同意と同じくらい簡単でなければならず、たとえば同じ目立ち方の「同意する」「拒否する」ボタンを置きます。閲覧を続けたことは有効な同意にならず、選択肢をあらかじめ選択済みにしてもいけません。
Cookieポリシー。 使用しているCookie、それを設定するのは誰か（自社か第三者か）、目的と保存期間、同意の撤回方法を記載します。
いつでも同意を変更できる手段。 たとえばフッターに「Cookie設定」のリンクを置き、選択画面を再び開けるようにします。
第三者のツールも対象。 埋め込み動画、地図、チャットウィジェット、広告ピクセル、アクセス解析タグはいずれもCookieを設定し得ます。それらのCookieが厳密に必要なものでなければ、先に同意を求めます。たとえば、クリックされてから埋め込みを読み込む方法があります。

問い合わせフォーム

問い合わせフォームは個人データを収集するため、収集する場所での情報提供、必要な項目だけ、チェックされていない同意ボックスが必要です。

収集する場所で知らせる。 フォームの横に、管理者、目的、法的根拠、権利、プライバシーポリシーへのリンクを記した短い第1層の案内を表示します。
必要なものだけを尋ねる。 多くの場合、氏名、メールアドレス、メッセージで十分です。
チェックボックスを正しく使う。 プライバシーポリシーを読んだことを確認するチェックボックスを使う場合、あらかじめチェックを入れてはいけません。マーケティングメールも送りたい場合は、チェックの入っていない別のボックスで尋ねます。LSSI第21条は、受信者が事前に依頼または明示的に許可していない商業メールを禁止しており、主な例外は既存顧客に類似の商品・サービスの案内を送る場合です。
データの行き先を把握する。 メッセージを受け取る受信箱やシステム、アクセスできる人、保存期間を把握し、関わるサービス事業者をプライバシーポリシーに記載します。
スパム対策ツールも記載する。 訪問者のデータを処理したりCookieを設定したりする場合は、ポリシーに含めます。

ECサイト：消費者法の基本

消費者に販売するECサイトは、スペインの消費者法も守る必要があります。消費者法は、契約前の情報提供、撤回権、わかりやすい注文手続きを求めています。自社ECサイトとECモールのどちらで売るかを検討中なら、スペインで売るなら自社ECサイトかECモールかも参考になります。大まかには次の点を確認してください。

販売条件（condiciones generales de contratación）を、購入前に、顧客が保存できる形で提供していること
契約前の情報： 事業者の身元と連絡先、商品の主な特徴、VAT（IVA）と配送料を含む総額、支払いと配送の方法
撤回権の情報： 消費者法第102条（スペイン語）により、消費者は原則として、通信販売の購入を14暦日以内であれば理由を示さずに撤回できます。手続きの方法を説明し、撤回申込書の書式を提供し、自社の商品に適用される法定の例外を明記します
販売する商品の法定保証に関する情報
わかりやすい注文手続き： たどる手順、入力ミスの訂正方法、利用できる言語、支払い義務が生じることが明確にわかる最終の注文ボタン、購入後の確認

これらは主にReal Decreto Legislativo 1/2007と、LSSI第27条・第28条に基づくものです。

多言語サイトと最終チェックリスト

サイトがスペイン語、英語、日本語など複数の言語に対応している場合は、法的通知、各種ポリシー、バナー、フォームの案内を、すべての言語で同じ内容で掲載します。Googleアナリティクス、広告ピクセル、チャットウィジェット、ニュースレターなどのツールを追加するたびに見直してください。スマホアプリも提供する場合は、ストアでのプライバシー申告とアカウント削除の要件もあります（アプリ開発の流れを参照）。

公開前に、次の項目がそろっているか確認しましょう。

LSSIの事業者情報を記載し、フッターからリンクした法的通知
AEPDへの苦情申立権を含む、GDPRが求めるすべての情報を記載したプライバシーポリシー
Cookieバナー：同意前は必要不可欠でないものを読み込まず、拒否も同意と同じくらい簡単
Cookieポリシーと「Cookie設定」のリンク
第1層の案内があり、あらかじめチェックされたボックスのない問い合わせフォーム
ECサイトの場合：販売条件、撤回権の案内、VAT込みの価格
サイトのすべての言語での法的文書

よくある質問

スペインの小規模企業のWebサイトにも法的通知は必要ですか？

原則として必要です。Webサイトが経済活動に関連していれば、事業を紹介するだけのサイトであっても、企業規模にかかわらずLSSIの事業者表示の義務が適用されます。

スペインではCookieの同意なしでGoogleアナリティクスを使えますか？

原則として使えません。標準的なGoogleアナリティクスの設定は必要不可欠でない分析用Cookieを使うため、AEPDのガイドに従えば、訪問者が同意した後にのみ読み込むべきです。それまではバナーでブロックするよう設定してください。

技術的なCookieしか使っていなくても、Cookieバナーは必要ですか？

サイトが厳密に必要なCookieしか使っていなければ同意は不要なので、同意バナーも必要ありません。それでも、それらのCookieをCookieポリシーで説明しておくのが望ましい対応です。ただし、埋め込みコンテンツや第三者のツールが思わぬCookieを追加していることがよくあるので、念入りに確認してください。

UsualMatrixは、同意を先に取るCookieバナー、わかりやすい問い合わせフォーム、サイトのすべての言語の法的ページを備えたWebサイトを、スペインで事業を行う企業向けに制作しています。やり取りは中国語・スペイン語・英語で行います。ホームページ制作サービスをご覧いただくか、Webサイトについてお問い合わせください。

重要： 本記事は、最終更新日時点のスペインおよびEUの規則に関する一般的な情報であり、法的助言ではありません。適用される内容は事業内容、業種、Webサイトの仕組みによって異なるため、個別のケースについては弁護士またはデータ保護の専門家に要件を確認してください。