Юридические требования к сайту в Испании: GDPR и cookie

Любой сайт компании, ориентированный на аудиторию в Испании, должен выполнять ряд юридических требований — будь то одностраничный сайт ресторана или полноценный интернет-магазин. В этом чек-листе простым языком собраны основные правила, чтобы вы могли проверить свой сайт или поставить задачу веб-команде и юристу. Статья адресована компаниям, которые работают в Испании или продают испанским клиентам, независимо от того, где они зарегистрированы.

Главное

Соответствие сайта требованиям в Испании сводится к прозрачности и праву выбора: укажите сведения о компании в правовой информации (LSSI-CE), объясните в политике конфиденциальности, какие персональные данные вы собираете и зачем (GDPR и LOPDGDD), и не загружайте ничего необязательного, пока посетитель не согласится на cookie, причём отказаться должно быть так же легко, как согласиться. Интернет-магазины также обязаны предоставлять потребителям информацию и право на отказ от покупки (как правило, 14 календарных дней), которых требует испанское законодательство о защите прав потребителей, — на каждом языке сайта.

Какие законы применяются

К большинству сайтов компаний в Испании применяются четыре группы правил:

• LSSI-CE: Ley 34/2002 — закон об услугах информационного общества и электронной коммерции. Он распространяется на сайты, связанные с экономической деятельностью: идентификационные сведения, коммерческие рассылки, онлайн-заключение договоров и cookie.
• GDPR: Общий регламент ЕС по защите данных (Регламент (ЕС) 2016/679), который регулирует любую обработку персональных данных.
• LOPDGDD: Ley Orgánica 3/2018 — испанский органический закон о защите персональных данных и гарантии цифровых прав, который адаптирует и дополняет GDPR.
• Законодательство о защите прав потребителей: для интернет-магазинов — прежде всего консолидированный Общий закон о защите прав потребителей и пользователей (Real Decreto Legislativo 1/2007).

Надзор за защитой данных и cookie осуществляет Испанское агентство по защите данных (Agencia Española de Protección de Datos, AEPD); оно же публикует основное руководство по cookie.

Правовая информация (aviso legal)

Статья 10 LSSI (на испанском) обязывает владельца сайта обеспечить пользователям постоянный, простой, прямой и бесплатный доступ к основным идентификационным сведениям. Обычно их размещают на странице «Aviso legal» (правовая информация), ссылка на которую есть в подвале каждой страницы:

• Имя или наименование компании (razón social)
• Адрес (domicilio)
• Адрес электронной почты и другие данные, позволяющие напрямую и эффективно связаться с вами
• Налоговый номер (NIF; для компаний раньше назывался CIF)
• Данные о регистрации в Торговом реестре или другом государственном реестре, если применимо
• Профессиональные данные, если вы работаете в регулируемой профессии, и сведения о разрешении, если ваша деятельность требует предварительного разрешения
• Цены, если они указаны, — чётко, с налогами и стоимостью доставки

Политика конфиденциальности (GDPR и LOPDGDD)

Если сайт собирает персональные данные (формы, рассылки, заказы, аналитика), нужна политика конфиденциальности: статьи 13 и 14 GDPR (на английском) обязывают объяснять, как вы обращаетесь с этими данными. Политика конфиденциальности должна содержать:

• Кто является оператором (контролёром) данных и как с ним связаться, а также контакты инспектора по защите данных (DPO), если он назначен
• Цели: для чего вы используете каждый тип данных (ответы на запросы, заказы, рассылки)
• Правовое основание для каждой цели: согласие, исполнение договора, юридическая обязанность или законный интерес
• Получатели: кто ещё получает данные (провайдеры хостинга, почты, платежей или аналитики) и передаются ли данные за пределы Европейской экономической зоны
• Срок хранения: как долго вы храните данные или по каким критериям это определяется
• Права: доступ, исправление, удаление, ограничение обработки, переносимость, возражение и отзыв согласия, а также как их осуществить
• Право подать жалобу в AEPD

Статья 11 LOPDGDD (на испанском) допускает многоуровневый подход: короткий первый уровень в месте сбора данных — как минимум личность оператора, цель и права пользователей, — плюс ссылка, по которой можно легко и сразу открыть полную политику.

Cookie и согласие

В Испании необязательные cookie можно использовать только после согласия посетителя. Это правило установлено пунктом 2 статьи 22 LSSI, а руководство AEPD по cookie (Guía sobre el uso de las cookies, на испанском, последнее обновление — май 2024 года) объясняет, как его применять. Основные правила:

• Никаких необязательных cookie до согласия. Cookie, строго необходимые для работы сайта (сессия, корзина, безопасность, запоминание выбора по cookie), освобождены от согласия. Аналитические, рекламные cookie и cookie соцсетей — нет, и они не должны загружаться, пока пользователь не согласится.
• Понятный баннер. Коротко объясните, для чего используются cookie, и предложите выбор уже на первом уровне. Отказаться должно быть так же легко, как согласиться, — например, кнопки «Принять» и «Отклонить» одинаково заметны. Продолжение просмотра сайта не считается согласием, а варианты не должны быть отмечены заранее.
• Политика cookie со списком используемых cookie, тем, кто их устанавливает (вы или третьи лица), их назначением и сроком действия, а также способом отозвать согласие.
• Возможность изменить согласие в любой момент — например, ссылка «Настройки cookie» в подвале, которая снова открывает выбор.
• Сторонние инструменты тоже считаются. Встроенные видео, карты, виджеты чатов, рекламные пиксели и теги аналитики могут устанавливать cookie; если эти cookie не строго необходимы, сначала запросите согласие — например, загружайте встроенный элемент только после клика. Это касается и отслеживания конверсий в контекстной рекламе Google и таргетированной рекламе в Facebook.

Контактные формы

Контактная форма собирает персональные данные, поэтому ей нужны информирование в месте сбора, только необходимые поля и неотмеченные флажки согласия:

• Информируйте в месте сбора. Рядом с формой покажите краткое уведомление первого уровня: оператор, цель, правовое основание, права и ссылка на политику конфиденциальности.
• Запрашивайте только необходимое. Часто достаточно имени, email и сообщения.
• Правильно используйте флажки. Если флажком пользователь подтверждает, что прочитал политику конфиденциальности, он не должен быть отмечен заранее. Если вы хотите также отправлять маркетинговые письма, спросите об этом отдельным неотмеченным флажком: статья 21 LSSI запрещает коммерческие рассылки, которые получатель заранее не запрашивал и явно не разрешал; главное исключение — предложения похожих товаров или услуг существующим клиентам.
• Знайте, куда попадают данные: в какой почтовый ящик или систему приходят сообщения, у кого к ним есть доступ и сколько вы их храните. Назовите задействованных провайдеров в политике конфиденциальности.
• Опишите антиспам-инструменты в своих политиках, если они обрабатывают данные посетителей или устанавливают cookie.

Интернет-магазины: основы защиты прав потребителей

Интернет-магазины, продающие потребителям, должны также соблюдать испанское законодательство о защите прав потребителей, которое добавляет преддоговорную информацию, право на отказ и понятный процесс заказа. В общих чертах проверьте:

• Общие условия продажи (condiciones generales de contratación), доступные до покупки в форме, которую клиент может сохранить
• Преддоговорную информацию: ваши идентификационные и контактные данные, основные характеристики товаров, итоговую цену с НДС (IVA) и стоимостью доставки, условия оплаты и доставки
• Информацию о праве на отказ: согласно статье 102 закона о защите прав потребителей (на испанском), потребители, как правило, могут отказаться от дистанционной покупки в течение 14 календарных дней без объяснения причин. Объясните, как это сделать, приложите типовую форму отказа и укажите законные исключения, которые относятся к вашим товарам
• Информацию о законной гарантии на продаваемые товары
• Понятный процесс заказа: шаги, которые нужно пройти, способы исправить ошибки ввода, доступные языки, финальная кнопка заказа, которая ясно указывает на обязанность оплатить, и подтверждение после покупки

Эти требования вытекают главным образом из Real Decreto Legislativo 1/2007 и статей 27 и 28 LSSI. Если вы ещё выбираете между собственным интернет-магазином и маркетплейсом, учтите, что на маркетплейсе часть оплаты, доставки и возвратов берёт на себя площадка.

Многоязычные сайты и итоговый чек-лист

Если сайт на нескольких языках — например, на испанском, английском и русском, — публикуйте правовую информацию, политики, баннер и уведомления в формах на каждом из них, с одинаковым содержанием. Пересматривайте их каждый раз, когда добавляете инструмент вроде Google Analytics, рекламного пикселя, виджета чата или рассылки. Испанская версия важна и для поиска: сайт только на русском или английском не может конкурировать в испаноязычной выдаче, как объясняет наше руководство по продвижению сайта в Испании.

Перед публикацией убедитесь, что у вас есть:

1. Правовая информация с идентификационными сведениями по LSSI и ссылкой в подвале
2. Политика конфиденциальности со всей информацией по GDPR, включая право подать жалобу в AEPD
3. Cookie-баннер: ничего необязательного до согласия, отказаться так же легко, как согласиться
4. Политика cookie и ссылка «Настройки cookie»
5. Контактные формы с информацией первого уровня и без заранее отмеченных флажков
6. Для интернет-магазинов: условия продажи, информация о праве на отказ, цены с НДС
7. Юридические тексты на каждом языке сайта

Частые вопросы

Нужна ли правовая информация (aviso legal) на сайте малого бизнеса в Испании?

Как правило, да. Если сайт связан с экономической деятельностью — в том числе если он просто представляет вашу компанию, — требования LSSI об идентификационных сведениях применяются независимо от размера компании.

Можно ли использовать Google Analytics в Испании без согласия на cookie?

Как правило, нет. Стандартная настройка Google Analytics использует необязательные аналитические cookie, поэтому, согласно руководству AEPD, она должна загружаться только после согласия посетителя. Настройте баннер так, чтобы до этого момента аналитика была заблокирована.

Нужен ли cookie-баннер, если используются только технические cookie?

Если сайт использует только строго необходимые cookie, согласие не требуется, поэтому баннер согласия не нужен. Тем не менее хорошей практикой остаётся описать эти cookie в политике cookie. Но проверьте внимательно: встроенный контент и сторонние инструменты часто добавляют неожиданные cookie.

UsualMatrix создаёт сайты для компаний в Испании с cookie-баннерами, которые сначала спрашивают согласие, понятными контактными формами и юридическими страницами на каждом языке сайта. Мы общаемся на китайском, испанском или английском языке. Посмотрите нашу услугу разработки сайтов или напишите нам, чтобы обсудить ваш сайт.

Важно: эта статья содержит общую информацию о правилах Испании и ЕС на дату последнего обновления и не является юридической консультацией. Что именно применимо, зависит от вашего бизнеса, отрасли и того, как работает ваш сайт, поэтому попросите юриста или специалиста по защите данных подтвердить требования для вашего случая.