西班牙網站法規清單：法律聲明、隱私權政策與Cookie政策

在西班牙經營或面向西班牙客戶的公司，網站同樣要遵守西班牙和歐盟的相關法律。不少華人商家的網站由海外團隊或現成範本架設，常常缺少法律聲明和隱私權政策，Cookie 橫幅也形同虛設。以下依模組整理一份檢查清單。

重點

西班牙網站法規的核心是透明和選擇權：依 LSSI-CE 在法律聲明裡公開經營者身分，依 GDPR 和 LOPDGDD 在隱私權政策裡說明蒐集哪些個人資料、做什麼用；在訪客同意之前，不載入任何非必要的 Cookie 和追蹤程式碼，拒絕要和接受一樣容易。網店還要滿足消費者保護法的告知義務和撤回權（一般為 14 個日曆天），而且每種語言版本的法律文件都要齊全。

法律聲明（Aviso legal）：LSSI-CE

西班牙網站的法律聲明用來公開經營者身分。西班牙《資訊社會服務與電子商務法》（Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico，簡稱 LSSI-CE 或 LSSI）第 10 條要求透過網站經營的主體，以長期、便利、直接且免費的方式公開下列資訊，通常放在頁尾連結的「法律聲明」（Aviso legal）頁面：

• 公司名稱，或個人經營者的姓名；
• 稅籍編號 NIF（公司稅號過去常稱 CIF）；
• 登記地址；
• 電子郵件等能直接聯絡到您的方式；
• 在商業登記處（Registro Mercantil）等公共登記機關的登記資訊（如適用）；
• 需要事先取得行政許可的業務，還需提供許可資訊和主管機關；
• 受規範的專門職業，還需提供職業資格、所屬專業公會等資訊。

另外，網站上標示價格時要清楚正確，並說明是否含稅、是否另收運費。

隱私權政策：GDPR 與 LOPDGDD

只要網站蒐集個人資料（聯絡表單、訂單、電子報，甚至分析工具），就需要一份符合歐盟《一般資料保護規則》（Reglamento (UE) 2016/679，簡稱 GDPR，西班牙語 RGPD）和西班牙《個人資料保護與數位權利保障組織法》（Ley Orgánica 3/2018, de 5 de diciembre，簡稱 LOPDGDD）的隱私權政策。

GDPR 第 13 條和第 14 條（英文）規定了必須告知的內容。隱私權政策（Política de privacidad）要用清楚易懂的語言說明：

• 資料控管者：誰在處理資料、如何聯絡；設有資料保護長（DPO）的，一併提供。
• 目的：例如回覆詢問、處理訂單、寄送電子報。
• 法律依據：每個目的對應的依據，例如同意、履行契約、法定義務或正當利益。
• 接收者：例如物流、金流和主機服務商。資料傳輸到歐洲經濟區以外時（包括使用伺服器位於中國大陸、台灣、美國等地的工具），要如實說明，並有合法的傳輸保障，例如歐盟標準契約條款。
• 保存期限：保存多久，或決定期限的標準。
• 使用者權利：查閱、更正、刪除、限制處理、反對和資料可攜等權利及行使方式；基於同意的處理可以隨時撤回。
• 申訴管道：使用者有權向西班牙資料保護局（AEPD，Agencia Española de Protección de Datos）申訴。

LOPDGDD 第 11 條允許「分層告知」：在蒐集資料的地方（例如表單旁）先提供基本資訊，至少包括控管者身分、處理目的和可以行使的權利，並附上能方便、立即查看完整隱私權政策的連結。這也是西班牙網站的常見做法。

Cookie：LSSI 第 22.2 條與 AEPD 指南

在西班牙，網站使用非必要 Cookie 之前必須先取得訪客同意。這條規則來自 LSSI 第 22 條第 2 項，具體做法可參考 AEPD 發布的《Cookie 使用指南》（Guía sobre el uso de las cookies，西班牙語，2024 年 5 月更新版）：

• 同意之前，不載入非必要 Cookie：分析工具（如 GA4）、廣告像素（如 FB 廣告投放用的 Meta Pixel）、部分線上客服外掛，都要在使用者同意後才載入；嵌入的第三方影片和地圖如果會寫入非必要 Cookie，也要先取得同意（例如點擊後再載入）。購物車、登入狀態、記住 Cookie 選擇這類技術上必要的 Cookie 可以直接使用。
• 橫幅設計：第一層就讓「拒絕」和「接受」一樣容易，例如兩個同樣醒目、同一層級的按鈕，並提供依類別選擇的「設定」選項。
• 無效的同意：繼續瀏覽、捲動頁面、預設勾選的選項，都不算有效同意。
• Cookie 政策：用獨立頁面列出使用了哪些 Cookie、用途、保存時間、是否來自第三方，以及如何撤回同意。
• 隨時可以改變心意：例如在頁尾放「Cookie 設定」連結，撤回同意要和給予同意一樣簡單。

自我檢查方法：用無痕視窗開啟網站，先不點橫幅，在開發人員工具裡看是否已寫入分析或廣告類 Cookie。

聯絡表單

聯絡表單是蒐集個人資料的地方，要做到就地告知、只收必要資訊、同意選項不預設勾選：

• 表單旁放第一層隱私資訊，並連結到完整的隱私權政策；
• 只蒐集必要欄位，不要因為「以後可能用得到」就要求填寫證件號碼、生日等；
• 在適當情況下設置確認勾選方塊（例如「我已閱讀並接受隱私權政策」），不要預設勾選；
• 想寄送行銷郵件或電子報，要用獨立的勾選方塊取得同意，不能和送出詢問綁在一起。LSSI 第 21 條原則上禁止寄送收件人事先沒有要求或明確同意的商業電子郵件（向既有客戶推廣同類產品或服務等情形除外）；
• 表單資料寄到哪裡、誰能看到、保存多久，要和隱私權政策寫的一致。

網店：消費者保護的基本要求

直接向消費者銷售的網站（例如品牌自己的獨立站），還要遵守西班牙消費者保護法規，主要是《消費者與使用者保護一般法》整合修訂文本（Real Decreto Legislativo 1/2007，簡稱 TRLGDCU）。概括來說：

• 銷售條款（Condiciones generales de contratación）：下單、付款、配送、保固、退換貨等內容，購買前就能查看；
• 撤回權資訊：說明消費者的撤回權（derecho de desistimiento）、期限、行使方式和例外情況，並提供撤回表格範本。依 TRLGDCU 第 102 條，遠距購買的撤回期一般為 14 個日曆天，消費者無須說明理由；
• 價格含稅：向消費者顯示含增值稅（IVA）的最終價格，運費等額外費用在下單前明確告知；
• 法定保固：說明所售商品的法定保固（garantía legal）資訊；
• 付款按鈕和訂單確認：付款按鈕要清楚表明下單即需付款，例如「pedido con obligación de pago」或類似的明確說法；下單後向客戶寄送確認。

面向企業的批發網站規則不同，但同樣需要清楚的交易條款。

多語言網站：每種語言都要完整

網站有中文、西班牙語、英語等多個版本時，法律聲明、隱私權政策、Cookie 政策和橫幅也應有對應語言的版本，且內容一致。常見的問題是西班牙語頁面有隱私權政策，中文頁面卻沒有，或者橫幅只有西班牙語。用訪客看得懂的語言說明，同意才稱得上「知情」。

一頁檢查清單

上線前逐項核對以下 8 點：

1. 法律聲明：公司名稱、NIF、地址、電子郵件、登記資訊齊全。
2. 隱私權政策：控管者、目的、法律依據、接收者、保存期限、使用者權利、AEPD 申訴管道。
3. 同意之前不載入非必要 Cookie。
4. 橫幅第一層「拒絕」和「接受」一樣容易，並有設定選項。
5. 有 Cookie 政策，可以隨時修改或撤回同意。
6. 表單有第一層隱私資訊，行銷同意獨立勾選、不預設勾選。
7. 網店有銷售條款和撤回權資訊，價格含 IVA。
8. 每種語言的法律文件齊全且一致。

常見問題

只是形象網站，沒有網店，也需要這些頁面嗎？

一般需要。透過網站經營就應公開身分資訊；只要有聯絡表單或分析工具，就涉及個人資料和 Cookie，也需要隱私權政策和 Cookie 設定。

用了 GA4，一定要有 Cookie 橫幅嗎？

一般是的。GA4 會寫入分析類 Cookie，依照 AEPD 指南需要先取得同意。可以把網站設定為使用者點擊「接受」後才載入 GA4。

法律文件可以直接從別的網站複製嗎？

不建議。每家公司的資料處理方式、工具和服務商都不同，照抄的內容往往與實際不符。可以參考架構，但要依實際情況撰寫，並請律師審閱。

Cookie 橫幅、表單隱私提示、多語言法律頁面這些技術部分，我們可以協助落實；法律文件的具體內容，建議由律師確認。需要的話可以看看我們的網站架設服務，或聯絡我們，我們以中文、西班牙語或英語回覆。

說明：本文僅為一般性資訊，不構成法律意見。法規和監管機關的指南可能更新，具體到您的公司、產業和網站功能，請諮詢西班牙執業律師或專業的資料保護顧問確認。