Вимоги до сайту в Іспанії: LSSI, GDPR і файли cookie

Будь-який сайт компанії, розрахований на людей в Іспанії, має відповідати кільком юридичним вимогам, байдуже, чи це односторінковий сайт ресторану, чи повноцінний інтернет-магазин. У цьому чек-листі основні правила викладено простою мовою, щоб ви могли перевірити свій сайт або поставити завдання веброзробникам і юристу.

Головне

Відповідність сайту вимогам в Іспанії зводиться до прозорості й вибору: укажіть дані про компанію в юридичному повідомленні (aviso legal, за LSSI-CE), поясніть у політиці конфіденційності, які персональні дані ви збираєте і навіщо (GDPR і LOPDGDD), і не завантажуйте нічого необов’язкового, доки відвідувач не погодиться на cookie, причому відмовитися має бути так само легко, як погодитися. Інтернет-магазини також мають надавати споживачам інформацію та право на відмову від покупки (зазвичай 14 календарних днів), яких вимагає іспанське законодавство про захист прав споживачів, і все це кожною мовою сайту.

Які закони діють

Для більшості сайтів компаній в Іспанії діють чотири групи правил:

• LSSI-CE: Закон 34/2002 про послуги інформаційного суспільства та електронну комерцію (Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico). Він стосується сайтів, пов’язаних з економічною діяльністю: ідентифікаційних даних, комерційних листів, укладання договорів онлайн і файлів cookie.
• GDPR: Загальний регламент ЄС про захист даних (Регламент (ЄС) 2016/679), який регулює будь-яке оброблення персональних даних.
• LOPDGDD: Органічний закон 3/2018 про захист персональних даних і гарантії цифрових прав (Ley Orgánica 3/2018), іспанський закон, що адаптує й доповнює GDPR.
• Законодавство про захист прав споживачів: для інтернет-магазинів це передусім консолідований Загальний закон про захист прав споживачів і користувачів (Real Decreto Legislativo 1/2007).

Іспанське агентство із захисту даних (Agencia Española de Protección de Datos, AEPD) наглядає за захистом даних і використанням cookie та публікує базовий посібник щодо файлів cookie.

Юридичне повідомлення (aviso legal)

Стаття 10 LSSI (іспанською) зобов’язує власника сайту надати користувачам постійний, легкий, прямий і безкоштовний доступ до базових ідентифікаційних даних. Зазвичай їх розміщують на сторінці «Aviso legal» (юридичне повідомлення), посилання на яку є у футері кожної сторінки:

• Ім’я або назва компанії (razón social)
• Адреса (domicilio)
• Електронна пошта та інші дані, що дають змогу зв’язатися напряму й ефективно
• Податковий номер (NIF; для компаній раніше називався CIF)
• Дані про реєстрацію в Торговому реєстрі (Registro Mercantil) чи іншому публічному реєстрі, якщо це стосується вас
• Професійні дані, якщо ви працюєте в регульованій професії, і дані дозволу, якщо ваша діяльність потребує попереднього дозволу
• Ціни, якщо вони вказані, — чітко, з податками й вартістю доставки

Політика конфіденційності (GDPR і LOPDGDD)

Якщо ваш сайт збирає персональні дані (форми, розсилки, замовлення, аналітика), вам потрібна політика конфіденційності: статті 13 і 14 GDPR (англійською) вимагають пояснити, як ви поводитеся з цими даними. Політика конфіденційності має охоплювати:

• Хто є контролером даних і як із ним зв’язатися, а також контакти інспектора із захисту даних (DPO), якщо ви його призначили
• Мету: для чого ви використовуєте кожен тип даних (відповіді на запити, замовлення, розсилки)
• Правову підставу для кожної мети: згода, виконання договору, юридичний обов’язок чи законний інтерес
• Одержувачів: хто ще отримує дані (провайдери хостингу, пошти, платежів чи аналітики) і чи передаються дані за межі Європейської економічної зони
• Строк зберігання: як довго ви зберігаєте дані або за якими критеріями це визначаєте
• Права: доступ, виправлення, видалення, обмеження оброблення, перенесення, заперечення й відкликання згоди, а також як ними скористатися
• Право подати скаргу до AEPD

Стаття 11 LOPDGDD (іспанською) дозволяє багаторівневий підхід: короткий перший рівень там, де збираються дані, щонайменше з ідентифікацією контролера, метою і правами користувача, плюс посилання, яке дає легкий і негайний доступ до повної політики. Якщо у вас є ще й мобільний додаток, App Store і Google Play вимагають окремих декларацій про приватність; про це — у гайді про те, як створити додаток.

Файли cookie і згода

В Іспанії необов’язкові файли cookie можна використовувати лише після згоди відвідувача. Це правило випливає зі статті 22.2 LSSI, а як його застосовувати, пояснює посібник AEPD щодо cookie (Guía sobre el uso de las cookies, іспанською, остання редакція — травень 2024 року). Ключові правила:

• Жодних необов’язкових cookie до згоди. Файли cookie, без яких сайт не може працювати (сесія, кошик, безпека, запам’ятовування вибору щодо згоди), звільнені від цієї вимоги. Аналітичні, рекламні cookie та cookie соцмереж — ні: вони не повинні завантажуватися, доки користувач не погодиться.
• Зрозумілий банер. Коротко поясніть, для чого використовуються cookie, і запропонуйте вибір уже на першому рівні. Відмовитися має бути так само легко, як погодитися, наприклад кнопками «Прийняти» і «Відхилити» однакової помітності. Продовження перегляду сайту не є дійсною згодою, а варіанти не можна позначати заздалегідь.
• Політика файлів cookie зі списком cookie, які ви використовуєте, хто їх встановлює (ви чи треті сторони), їхньою метою і строком дії, а також тим, як відкликати згоду.
• Можливість будь-коли змінити згоду, наприклад посилання «Налаштування cookie» у футері, яке знову відкриває вибір.
• Сторонні інструменти теж враховуються. Вбудовані відео, карти, віджети чату, рекламні пікселі й теги аналітики можуть встановлювати cookie; якщо ці cookie не є строго необхідними, спершу запитайте згоду, наприклад завантажуйте вбудований вміст лише після кліку. Про піксель Meta й теги Google у рекламних кампаніях ідеться в порівнянні Google Ads і Meta Ads для малого бізнесу.

Контактні форми

Контактна форма збирає персональні дані, тож їй потрібні інформування в місці збору, лише необхідні поля й непозначені прапорці згоди:

• Інформуйте в місці збору. Поруч із формою покажіть коротке повідомлення першого рівня: контролер, мета, правова підстава, права й посилання на політику конфіденційності.
• Просіть лише те, що потрібно. Часто достатньо імені, електронної пошти й повідомлення.
• Правильно використовуйте прапорці. Якщо прапорцем користувач підтверджує, що прочитав політику конфіденційності, цей прапорець не можна позначати заздалегідь. Якщо ви також хочете надсилати маркетингові листи, запитайте про це окремим непозначеним прапорцем: стаття 21 LSSI забороняє комерційні листи, яких одержувач попередньо не запитував або прямо не дозволив, з головним винятком для наявних клієнтів, яким пропонують схожі товари чи послуги.
• Знайте, куди потрапляють дані: яка поштова скринька чи система отримує повідомлення, хто має до них доступ і як довго ви їх зберігаєте. Назвіть залучених провайдерів у політиці конфіденційності.
• Згадайте антиспам-інструменти у своїх політиках, якщо вони обробляють дані відвідувачів або встановлюють cookie.

Інтернет-магазини: основи захисту прав споживачів

Інтернет-магазини, що продають споживачам, мають також відповідати іспанському законодавству про захист прав споживачів, яке додає вимоги щодо переддоговірної інформації, права на відмову й зрозумілого процесу замовлення. У загальних рисах перевірте:

• Загальні умови продажу (condiciones generales de contratación), доступні до покупки у формі, яку клієнт може зберегти
• Переддоговірну інформацію: ваші ідентифікаційні й контактні дані, основні характеристики товарів, повну ціну з ПДВ (IVA) і вартістю доставки, умови оплати й доставки
• Інформацію про право на відмову: згідно зі статтею 102 закону про захист прав споживачів (іспанською), споживач зазвичай може відмовитися від дистанційної покупки протягом 14 календарних днів без пояснення причин. Поясніть, як це зробити, надайте типову форму відмови й укажіть законні винятки, що стосуються ваших товарів
• Інформацію про законну гарантію на товари, які ви продаєте
• Зрозумілий процес замовлення: кроки, які треба пройти, спосіб виправити помилки введення, доступні мови, фінальну кнопку замовлення, з якої чітко зрозуміло, що настає обов’язок оплатити, і підтвердження після покупки

Ці пункти випливають переважно з Real Decreto Legislativo 1/2007 і статей 27 та 28 LSSI. Якщо ви ще вирішуєте, де продавати, порівняйте власний інтернет-магазин і маркетплейс в Іспанії.

Багатомовні сайти й підсумковий чек-лист

Якщо ваш сайт має кілька мов, наприклад іспанську, англійську та українську, публікуйте юридичне повідомлення, політики, банер і повідомлення біля форм кожною з них, з однаковим змістом. Як налаштувати самі мовні версії для Google (окремі URL-адреси й теги hreflang), пояснює наш гайд із SEO-просування сайту в Google. Переглядайте їх щоразу, коли додаєте інструмент на кшталт Google Analytics, рекламного пікселя, віджета чату чи розсилки.

Перед публікацією перевірте, що у вас є:

1. Юридичне повідомлення з ідентифікаційними даними за LSSI, посилання на нього у футері
2. Політика конфіденційності з усією інформацією за GDPR, зокрема правом подати скаргу до AEPD
3. Банер cookie: нічого необов’язкового до згоди, відмовитися так само легко, як погодитися
4. Політика файлів cookie і посилання «Налаштування cookie»
5. Контактні форми з інформацією першого рівня й без заздалегідь позначених прапорців
6. Для інтернет-магазинів: умови продажу, інформація про право на відмову, ціни з ПДВ
7. Юридичні тексти кожною мовою сайту

Поширені запитання

Чи потрібне юридичне повідомлення (aviso legal) на сайті малого бізнесу в Іспанії?

Як правило, так. Якщо сайт пов’язаний з економічною діяльністю, зокрема просто представляє ваш бізнес, вимоги LSSI щодо ідентифікаційних даних діють незалежно від розміру компанії.

Чи можна в Іспанії використовувати Google Analytics без згоди на cookie?

Як правило, ні. Стандартне налаштування Google Analytics використовує необов’язкові аналітичні cookie, тож, згідно з настановами AEPD, воно має завантажуватися лише після згоди відвідувача. Налаштуйте банер так, щоб до того моменту він блокував аналітику.

Чи потрібен банер cookie, якщо сайт використовує лише технічні cookie?

Якщо сайт використовує лише строго необхідні cookie, згода не потрібна, тож і банер згоди не потрібен. Проте описати ці cookie в політиці файлів cookie — добра практика. Перевірте все уважно: вбудований вміст і сторонні інструменти часто додають неочікувані cookie.

UsualMatrix створює сайти для компаній в Іспанії з банерами cookie за принципом «спершу згода», зрозумілими контактними формами й юридичними сторінками кожною мовою сайту і працює китайською, іспанською та англійською. Перегляньте нашу послугу створення сайтів або напишіть нам, щоб обговорити ваш сайт.

Важливо: ця стаття — загальна інформація про іспанські та європейські правила станом на дату останнього оновлення, а не юридична консультація. Що саме стосується вас, залежить від вашого бізнесу, галузі й того, як працює ваш сайт, тож попросіть юриста чи фахівця із захисту даних підтвердити вимоги для вашого випадку.