Checklist legal para sites na Espanha: LSSI, RGPD e cookies

Todo site de empresa voltado ao público na Espanha precisa cumprir alguns requisitos legais, seja um site de uma página para um restaurante, seja uma loja virtual completa. Este checklist resume as principais regras da Espanha e da União Europeia em linguagem simples, para que você possa revisar o seu site ou orientar a sua equipe de desenvolvimento e o seu advogado.

Ponto-chave

Estar em conformidade com a lei na Espanha se resume a transparência e escolha: identifique a sua empresa em um aviso legal (LSSI-CE), explique em uma política de privacidade quais dados pessoais você coleta e por quê (RGPD e LOPDGDD) e não carregue nada que não seja essencial até que o visitante aceite os cookies, com a opção de recusar tão fácil quanto a de aceitar. As lojas virtuais também precisam dar ao consumidor as informações e o direito de desistência (em geral, 14 dias corridos) exigidos pela lei espanhola de defesa do consumidor, em todos os idiomas do site.

As leis que se aplicam

Quatro conjuntos de regras se aplicam à maioria dos sites de empresas na Espanha:

• LSSI-CE: Lei 34/2002, de serviços da sociedade da informação e de comércio eletrônico (Ley de servicios de la sociedad de la información y de comercio electrónico). Ela abrange os sites ligados a uma atividade econômica: dados de identificação, e-mails comerciais, contratação on-line e cookies.
• RGPD: o Regulamento Geral sobre a Proteção de Dados da União Europeia (Regulamento (UE) 2016/679), conhecido em inglês como GDPR, que rege qualquer tratamento de dados pessoais.
• LOPDGDD: Lei Orgânica 3/2018, de Proteção de Dados Pessoais e garantia dos direitos digitais, a lei espanhola que adapta e complementa o RGPD.
• Lei de defesa do consumidor: para lojas virtuais, principalmente o texto consolidado da Lei Geral para a Defesa dos Consumidores e Usuários (Real Decreto Legislativo 1/2007).

A Agência Espanhola de Proteção de Dados (Agencia Española de Protección de Datos, AEPD) fiscaliza a proteção de dados e os cookies e publica o guia de referência sobre cookies.

Aviso legal

O artigo 10 da LSSI (em espanhol) obriga o titular do site a oferecer aos usuários acesso permanente, fácil, direto e gratuito a dados básicos de identificação. Em geral, essas informações ficam em uma página de “Aviso legal” com link no rodapé de todas as páginas:

• Nome ou razão social
• Endereço (domicílio)
• E-mail e qualquer outro dado que permita um contato direto e efetivo
• Número de identificação fiscal (NIF; para empresas, antes se chamava CIF)
• Dados de inscrição no Registro Mercantil ou em outro registro público, quando for o caso
• Dados profissionais, se você exerce uma profissão regulamentada, e dados da autorização, se a sua atividade exige autorização prévia
• Preços, se forem exibidos, informados com clareza, incluindo impostos e custos de entrega

Política de privacidade (RGPD e LOPDGDD)

Se o seu site coleta dados pessoais (formulários, newsletters, pedidos, ferramentas de análise), você precisa de uma política de privacidade: os artigos 13 e 14 do RGPD exigem que você explique como trata esses dados. Uma política de privacidade deve cobrir:

• Quem é o responsável pelo tratamento e como contatá-lo, além do encarregado da proteção de dados, se você tiver designado um
• Finalidades: para que você usa cada tipo de dado (responder a consultas, pedidos, newsletters)
• Base jurídica de cada finalidade: consentimento, execução de contrato, obrigação legal ou interesse legítimo
• Destinatários: quem mais recebe os dados (provedores de hospedagem, e-mail, pagamentos ou análise) e eventuais transferências para fora do Espaço Econômico Europeu
• Conservação: por quanto tempo você guarda os dados, ou os critérios usados para definir esse prazo
• Direitos: acesso, retificação, apagamento, limitação, portabilidade, oposição e revogação do consentimento, e como exercê-los
• O direito de apresentar reclamação à AEPD

O artigo 11 da LOPDGDD (em espanhol) permite informar em camadas: uma primeira camada curta, no ponto em que os dados são coletados, com pelo menos a identidade do responsável, a finalidade e os direitos que o usuário pode exercer, mais um link que dê acesso fácil e imediato à política completa.

Cookies e consentimento

Na Espanha, os cookies não essenciais só podem ser usados depois que o visitante consente. A regra vem do artigo 22.2 da LSSI, e o guia de cookies da AEPD (Guía sobre el uso de las cookies, em espanhol, atualizado pela última vez em maio de 2024) explica como aplicá-la. As regras principais:

• Nenhum cookie não essencial antes do consentimento. Os cookies estritamente necessários para o funcionamento do site (sessão, carrinho de compras, segurança, registro da escolha de consentimento) estão isentos. Cookies de análise, publicidade e redes sociais não estão, e não podem carregar até que o usuário aceite.
• Um banner claro. Explique brevemente para que os cookies são usados e ofereça as opções já na primeira camada. Recusar deve ser tão fácil quanto aceitar, por exemplo com botões “Aceitar” e “Recusar” com o mesmo destaque. Continuar navegando não é consentimento válido, e as opções não podem vir pré-selecionadas.
• Uma política de cookies que liste os cookies usados, quem os instala (você ou terceiros), a finalidade e a duração de cada um e como retirar o consentimento.
• Uma forma de mudar o consentimento a qualquer momento, como um link “Configurações de cookies” no rodapé que reabra as opções.
• Ferramentas de terceiros também contam. Vídeos incorporados, mapas, widgets de chat, pixels de anúncios e tags de análise podem instalar cookies; se esses cookies não forem estritamente necessários, peça o consentimento antes, por exemplo carregando o conteúdo incorporado só depois de um clique. Isso vale também para a tag do Google e o Pixel da Meta, usados nas plataformas que comparamos em Google Ads ou Meta Ads.

Formulários de contato

Um formulário de contato coleta dados pessoais, então precisa de informação no ponto de coleta, apenas os campos necessários e caixas de consentimento desmarcadas:

• Informe no ponto de coleta. Ao lado do formulário, mostre um aviso curto de primeira camada: responsável, finalidade, base jurídica, direitos e um link para a política de privacidade.
• Peça só o que você precisa. Nome, e-mail e mensagem costumam bastar.
• Use as caixas de seleção corretamente. Se você usa uma caixa para confirmar que o usuário leu a política de privacidade, ela não pode vir marcada. Se também quiser enviar e-mails de marketing, peça com outra caixa, separada e desmarcada: o artigo 21 da LSSI proíbe e-mails comerciais que o destinatário não tenha pedido ou autorizado expressamente antes, com a exceção principal dos clientes atuais que recebem ofertas de produtos ou serviços semelhantes.
• Saiba para onde vão os dados: qual caixa de entrada ou sistema recebe as mensagens, quem tem acesso e por quanto tempo você as guarda. Cite na política de privacidade os provedores envolvidos.
• Inclua as ferramentas antispam nas suas políticas, se elas tratarem dados dos visitantes ou instalarem cookies.

Lojas virtuais: o básico da lei do consumidor

Lojas virtuais que vendem a consumidores também precisam cumprir a lei espanhola de defesa do consumidor, que acrescenta informação pré-contratual, direito de desistência e um processo de compra claro. Em linhas gerais, verifique:

• Condições gerais de venda (condiciones generales de contratación), disponíveis antes da compra em um formato que o cliente possa salvar
• Informação pré-contratual: a sua identidade e os seus dados de contato, as características principais dos produtos, o preço total com IVA (o imposto sobre o valor agregado espanhol) e eventuais custos de entrega, e as condições de pagamento e entrega
• Informação sobre o direito de desistência: segundo o artigo 102 da lei do consumidor (em espanhol), o consumidor em geral pode desistir de uma compra a distância em até 14 dias corridos, sem precisar justificar. Explique como fazer, ofereça o formulário-modelo de desistência e informe as exceções legais que se aplicam aos seus produtos
• Informação sobre a garantia legal dos produtos que você vende
• Um processo de compra claro: as etapas a seguir, como corrigir erros de digitação, os idiomas disponíveis, um botão final de pedido que indique claramente a obrigação de pagar e uma confirmação depois da compra

Esses pontos vêm principalmente do Real Decreto Legislativo 1/2007 e dos artigos 27 e 28 da LSSI. Se você ainda está decidindo entre loja própria e marketplaces, veja o nosso guia loja virtual ou marketplace: onde vender na Espanha.

Sites multilíngues e checklist final

Se o seu site tem vários idiomas, como espanhol, português e inglês, publique o aviso legal, as políticas, o banner e os avisos dos formulários em cada um deles, dizendo a mesma coisa. Revise tudo sempre que adicionar uma ferramenta como Google Analytics, um pixel de anúncios, um widget de chat ou uma newsletter.

Antes de publicar, confira se você tem:

1. Um aviso legal com os dados de identificação da LSSI, com link no rodapé
2. Uma política de privacidade com todas as informações do RGPD, incluindo o direito de reclamar à AEPD
3. Um banner de cookies: nada não essencial antes do consentimento, recusar tão fácil quanto aceitar
4. Uma política de cookies e um link “Configurações de cookies”
5. Formulários de contato com informação de primeira camada e sem caixas pré-marcadas
6. Para lojas virtuais: condições de venda, informação sobre desistência, preços com IVA
7. Textos legais em todos os idiomas do site

Perguntas frequentes

Um site de pequena empresa na Espanha precisa de aviso legal?

Em geral, sim. Se o site está ligado a uma atividade econômica, inclusive quando só apresenta o seu negócio, os requisitos de identificação da LSSI se aplicam, seja qual for o tamanho da empresa.

Posso usar o Google Analytics sem consentimento de cookies na Espanha?

Em geral, não. Uma configuração padrão do Google Analytics usa cookies de análise não essenciais, então, segundo as orientações da AEPD, ele só deve carregar depois que o visitante aceitar. Configure o seu banner para bloqueá-lo até lá.

Preciso de um banner de cookies se só uso cookies técnicos?

Se o seu site usa apenas cookies estritamente necessários, não é preciso consentimento e, portanto, você não precisa de um banner de consentimento. Mesmo assim, é uma boa prática descrever esses cookies em uma política de cookies. Verifique com cuidado, porém: conteúdos incorporados e ferramentas de terceiros costumam acrescentar cookies inesperados.

A UsualMatrix cria sites para empresas na Espanha com banners de cookies que pedem o consentimento antes de tudo, formulários de contato claros e páginas legais em todos os idiomas do site, trabalhando em chinês, espanhol e inglês. Conheça o nosso serviço de criação de sites ou fale com a gente para conversar sobre o seu site.

Importante: este artigo traz informações gerais sobre as regras espanholas e europeias na data da última atualização e não constitui aconselhamento jurídico. O que se aplica depende do seu negócio, do seu setor e de como o seu site funciona, então peça a um advogado ou especialista em proteção de dados que confirme os requisitos para o seu caso.