Web txiki bat gai puruki tekniko bat dirudi, baina bere lehen baliabidea bisitari europar baten nabigatzailean kargatzen duen unetik, interakzio bakoitzean elkarbizi diren bi arauren aplikazio-eremuan sartzen da: (EB) 2016/679 Erregelamendua (RGPD) eta Informazio Gizartearen eta Merkataritza Elektronikoaren Zerbitzuei buruzko 34/2002 Legea (LSSI-CE). 3/2018 Lege Organikoak (LOPDGDD) garapen nazionala gehitzen du, eta jardueraren arabera beste batzuk gehitzen dira (1/1982 LO irudientzat, 1/2007 LEDred kontsumitzaileentzat, sektore-araudi propioa).
Gida honek egiten du errepasoa web espainiar batek zer dokumentu, konfigurazio eta praktika izan behar dituen gutxieneko geruza komun hori betetzeko, "eguneratuta egoteari" buruzko dei generikorik gabe eta tonu alarmistarik gabe. Helburua operatiboa da: proiektu-arduradun batek bere weba baliozkotzeko edo birdiseinua enkargatzeko erabil dezakeen checklist bat, lege-piezak hasieratik pentsatuta.
Zein arau aplikatzen zaizkio web espainiar bati 2026an?
Espainiatik ustiatzen den eta Europar Batasunean bisitariak dituen edozein webguneri aplikagarri zaion oinarrizko esparruak, gutxienez, honakoak konbinatzen ditu:
- RGPD (EB 2016/679 Erregelamendua): webak biltzen dituen datu pertsonalen tratamendua arautzen du, kontaktu-formulario sinple batetik cookieen bidezko jarraipenera arte. 2018ko maiatzetik aplikatzen da.
- LOPDGDD (abenduaren 5eko 3/2018 Lege Organikoa): RGPDren garapen nazionala. Arau espezifikoak gehitzen ditu baimentzeko adinari buruz (7. art., 14 urte informazio gizartearen zerbitzuetan), lan-eremuko tratamenduei buruz, konfidentzialtasun-betebeharrari buruz, DBO izendatzeari buruz eta zigor-erregimenari buruz.
- LSSI-CE (uztailaren 11ko 34/2002 Legea): informazio gizartearen zerbitzuen prestatzaileen jarduera arautzen du. Bere 10. artikuluak webaren titularra identifikatzeko betebeharra ezartzen du; 21. artikuluak bide elektronikoko komunikazio komertzialak arautzen ditu; 22.2 artikuluak erabiltzailearen ekipoan datuak biltegiratzeko eta berreskuratzeko gailuak arautzen ditu (cookieak, pixelak, fingerprinting-a).
- Maiatzaren 5eko 1/1982 LO, ohorearen, intimitate pertsonal eta familiarraren eta norbere irudiaren babes zibilari buruzkoa: garrantzitsua weban argitaratutako pertsonen argazkietarako.
- 1/2007 LEDred (Kontsumitzaileen eta Erabiltzaileen Defentsarako Lege Orokorra) eta 4/2022 Legea (ondasunen berme-erregimena hiru urtera aldatu zuena): webak kontsumitzaileei salmentak egiten dizkienean aplikagarriak.
Horri, jardueraren arabera, betekizun propioak gehi ditzakeen sektore-araudi espezifikoa gehitzen zaio (sanitarioa, finantzarioa, juridikoa, hezitzailea, ostalaritzakoa, etab.). Artikulu hau edozein webi aplikagarri zaion geruza komunean zentratzen da; sektoreko berezitasunak pieza dedikatuetan lantzen dira.
Lege-oharra: nor dagoen atzean identifikatzen duen dokumentua (LSSI-CE 10. art.)
Lege-oharrak LSSI-CE Legearen 10. artikuluaren betebeharrari erantzuten dio, zeinak eskatzen baitu zerbitzuaren prestatzaileak bide elektronikoz —modu iraunkor, erraz, zuzen eta doakoan— identifikazio-informazio hau ematea:
- Sozietate-izena, IFZ edo IFK eta helbidea.
- Merkataritza Erregistroan edo inskribatuta legokeen beste erregistro publiko batean inskripzio-datuak.
- Posta elektronikoko helbidea eta komunikazio zuzen eta eraginkorra ezartzeko aukera ematen duen beste edozein datu.
- Jarduera aurretiazko administrazio-baimen erregimenaren mende badago, baimen horri eta ikuskatze-agintaritzari buruzko datuak.
- Lanbide arautu bat bada (abokatuak, arkitektoak, medikuak, etab.), lanbide-elkargoari buruzko datuak, elkargokide-zenbakia, titulu akademikoa eta aplikagarri diren lanbide-arauak.
- Zerga-identifikazio zenbakia harekin eragiteko betebeharra dagoenean.
- Prezioei buruzko erreferentzia egiten bada, prezioari buruzko informazio argi eta zehatza, zergak eta bidalketa-gastuak barne hartzen dituen adieraziz.
Lege-oharra webaren oinean (footer) esteka iraunkor batetik eskuragarri egon behar da. Ez da nahikoa PDF deskargagarri baten barruan edo sarbide zaileko goitibeherako menu baten barruan izatearekin: praktika hori LSSI-CE 10. artikuluak berak eskatzen duen informazio iraunkor, erraz, zuzen eta doakoaren irizpidearen aurkakotzat jotzen da.
Pribatutasun-politika: RGPDren 13. eta 14. artikuluetako informatzeko betebeharra
Pribatutasun-politikak RGPDak bi artikulurekin ezartzen duen informatzeko betebeharra betetzen du datuen jatorriaren arabera:
- RGPD 13. art. datuak zuzenean interesdunarengandik lortzen direnean (webeko formularioak, erregistroak, harpidetzak, bezero gisa alta). Informazioa bilketa unean eman behar da.
- RGPD 14. art. datuak interesdunarengandik lortzen ez direnean, hirugarren batengandik edo publikoki eskuragarri den iturri batetik baizik (prospekzio datu-baseak, sare profesionaletako profilak, erregistro publikoak, bitartekariak). Informazioa datuak lortu ondorengo hilabetea gaindituko ez duen arrazoizko epe batean eman behar da, edo lehen kontaktuan datuak interesdunarekin komunikatzeko erabiliko badira.
Ohiko web batek bi planoak konbinatzen ditu: kontaktu-formularioak 13. artikulua aktibatzen du, ataria, merkataritza-bitartekaria edo zerrenda profesionalaren bidez lortutako lead-ek 14. artikulua aktibatzen duten bitartean. Pribatutasun-politikak bi kasuak kontuan hartu behar ditu batera gertatzen direnean.
Administrazio-doktrinak gomendatutako eredua geruzaka informatzea da: lehen geruza labur bat bilketa-puntuaren ondoan (formularioa, bannerra, kontuaren alta) eta bigarren geruza oso bat lehen horretatik estekatua.
Bigarren geruzaren (politika osoaren) gutxieneko edukiak, RGPDren 13. eta 14. artikuluen arabera, honakoa barne hartu behar du:
- Tratamenduaren arduradunaren identitatea eta kontaktu-datuak.
- Datuen Babeseko Ordezkariaren (DBO) kontaktu-datuak, erakundeak RGPDren 37. artikuluaren edo LOPDGDDren 34. artikuluaren arabera izendatu badu.
- Tratamenduaren helburuak eta helburu bakoitzerako oinarri juridikoa (RGPD 6. art.: kontratuaren exekuzioa, baimena, interes legitimoa, legezko betebeharra, interes publikoko eginkizuna, funtsezko interesak).
- Datuen hartzaileak edo hartzaile-kategoriak.
- Nazioarteko transferentziak, hala badagokio, erabilitako oinarria adieraziz (egokitasun-erabakia, berme egokiak, salbuespenak).
- Kontserbazio-epea edo, posible ez denean, hura zehazteko irizpideak.
- Interesdunen eskubideak (sarbidea, zuzenketa, ezabatzea, mugaketa, aurkaratzea, eramangarritasuna) eta baliatzeko era.
- Kontrol-agintaritza eskudunaren aurrean erreklamazioa aurkezteko eskubidea.
- Efektu juridiko edo esanguratsuak dituzten erabaki automatizatuak badaude (RGPD 22. art.): aplikatutako logikari eta aurreikusitako ondorioei buruzko informazioa.
- 14. artikulua aplikatzen denean gainera: tratatutako datu-kategoriak eta datorren iturria, publikoki eskuragarri den iturri batetik datorren adieraziz (RGPD 14.2.f art.).
Kasu zehatz bati (ecommerce) aplikatutako pribatutasun-politikan sakontzeko, komeni da gida dedikatua berrikustea: zer eduki behar duen online denda baten pribatutasun-politikak.
Cookie-politika eta gida indarrean dagoenaren araberako bannerra
LSSI-CE Legearen 22.2 artikuluak aurretiazko, informatutako eta berariazko baimena eskatzen du erabiltzailearen ekipoan eskatutako zerbitzua emateko zorrozki beharrezkoa ez den biltegiratze- edo berreskuratze-gailu bat instalatu aurretik. Cookieen erabilerari buruzko gida ofizial indarrean dagoenak, 2024ko maiatzean eguneratutako bere bertsioan, printzipio hori eguneroko praktikan nola aplikatu zehazten du.
Inplementazio baliozko bat dekoratibo batetik bereizten dituzten irizpide teknikoak hauek dira:
- Bisualki parekatutako hiru aukera bannerrean: guztiak onartu, guztiak ukatu eta kategoriaka konfiguratu. Ukatze-botoia ezin da tamaina txikiagoko esteka baten azpian ezkutatu ez "konfiguratu"-ren atzean gorde.
- Zorrozki beharrezkoak ez diren cookie eta gailu guztien aurretiazko blokeoa erabiltzaileak aukeratu arte. Analitika, marketin edo sare sozialetako script-en aurretiazko karga baimenaren aurretik da maizen arau-hausletzat jo den praktiketako bat.
- Kategoriaka granulartasuna (zorrozki beharrezkoak, hobespenak, analitika, marketina, sare sozialak) batzuk onartzeko eta beste batzuk ukatzeko benetako aukerarekin.
- Baimenaren arrazoizko epea: gida indarrean dagoenak egokitzat jotzen du hogeita lau hilabete gaindituko ez dituen epea, zeinaren ondoren berriro eskatu behar den.
- Birkonfigurazio-esteka webaren oinetik iraunkorki eskuragarria ("Cookieak konfiguratu" edo baliokidea), erabiltzaileari bere hasierako erabakia oztoporik gabe aldatzeko aukera ematen diona.
- Cookie-politika taula zehatzarekin: cookie bakoitza izen teknikoz, titularrez, helburuz, iraupenez eta desinstalatzeko eraz identifikatua. Pixelak, SDKak eta fingerprinting-gailuak berdin zerrendatu behar dira, ez cookieak zentzu hertsian soilik.
Hori guztia online denda zehatz batean nola inplementatu xehetasunerako, ikus gida: cookieak eta baimena online dendan RGPDaren eta LSSI-CEren arabera.
Formularioak: klausula informatiboa, legitimazio-oinarria eta baimenaren froga
Datu pertsonalak (kontaktua, newsletter-aren alta, kontuaren erregistroa, aurrekontu-eskaera, enplegurako hautagaitza) biltzen dituen edozein formuliok RGPDa aktibatzen du. Irizpide operatiboak hauek dira:
- Geruzaka informatzeko klausula. Lehen geruza bidaltze-botoiaren ondoan doa funtsezko informazioarekin: nor den arduraduna, helburua, oinarri juridikoa eta bigarren geruzarako esteka.
- Oinarri juridiko egokia. Zerbitzu zehatzei buruzko kontaktu-formularioetarako, ohikoena kontratu-aurreko neurrien exekuzioa da (RGPD 6.1.b art.) bisitariak kontratazio bati buruzko informazioa eskatzen badu; soporte edo kontsulta ireki generikoetarako, interes legitimoak (6.1.f) funtzionatu ohi du dokumentatutako balancing test-arekin.
- Lauki espezifikoa lehenetsita desmarkatua helburu gehigarri bakoitzerako. Ez da baliozkoa "Baldintzak onartzen ditut" bakar bat aldi berean kontaktua eta ondorengo komunikazio komertzialen bidalketa legitimatzeko. Baimenak helburu bakoitzerako espezifikoa izan behar du.
- Pribatutasun-politika eskuragarria formularioan bertan esteka batetik; inoiz ez erabilera-baldintza orokorretan bereizketarik gabe txertatua.
- Baimenaren froga: arduradunak frogatu ahal izan behar du interesdunak baimena eman zuela (RGPD 7.1 art.). Praktikan horrek data, ordua, testu informatiboaren bertsioa eta onarpen-mekanismoa erregistratzea eskatzen du.
- Oinarri bikoitza 6. art. + 9. art. formularioak kategoria bereziko datuak (osasuna, biometria, ideologia, etab.) biltzen baditu. Bi oinarriak aldi berean gabe, tratamendua ez da legezkoa.
Posta elektronikoko komunikazio komertzialak (LSSI-CE 21. art.)
Pertsona fisikoei zuzendutako email marketing kanpainak LSSI-CE Legearen 21. artikuluak arautzen ditu. Erregela orokorra bide elektronikoz komunikazio komertzialak hartzailearen aurretiazko baimen espresik gabe bidaltzeko debekua da.
LSSI-CE 21.2 artikuluak salbuespen mugatu bat sartzen du (soft opt-in izenekoa) komunikazioak baimen berri baten aurretik bidaltzeko aukera ematen duena hiru baldintza aldi berean betetzen direnean:
- Hartzailearen datuak enpresarekiko aurreko kontratu-harreman baten esparruan modu legitimoan lortu ziren (hau da, hartzailea jada bezeroa da).
- Komunikazioak jatorrizko kontratu-harremana motibatu zuten produktu edo zerbitzuen antzekoei buruzkoak dira.
- Datuen bilketa unean eskaini zen, eta ondorengo komunikazio bakoitzean eskaintzen da, tratamenduari aurka egiteko prozedura sinple eta doako bat.
Hiru betekizunak metagarriak dira: bat huts egiten badu, salbuespena ez da aplikatzen eta baimen espresa behar da. Hirugarrenei erositako posta-zerrendak ez dira bidalketa komertzialetarako oinarri baliozkoa: RGPDren baimena askea, espezifikoa, informatua eta zalantzarik gabekoa da (4.11 art.), eta ez da arduradunen artean lagatzen.
Web-diseinua eta -garapena: lege-geruza wireframe-an jaiotzen da
Web baten betetze-arazoen zatirik handiena ez da lege-oharra amaieran gehitzean sortzen, askoz lehenago hartutako erabaki teknikoetan baizik: non ostatatzen den zerbitzua, zein CMS erabiltzen den, hirugarrenen script-ak nola kargatzen diren, baimen-kudeatzaileak cookieak klikaren aurretik blokeatzen dituen ala ez, formularioak honeypot eta captcha proportzionala barne hartzen dituen, segurtasun-goiburuak konfiguratuta dauden. Proiektu bat produkzioan dagoenean berridaztea hasieratik ondo diseinatzea baino bikoitza kostatzen da.
Horregatik, lege-geruza lehen wireframe-tik integratzen duten inplementazio teknikoetarako (baimen-kudeatzaile ondo konfiguratua, datuen tratamendu zuzeneko hostinga, baimenaren frogadun formularioak, segurtasun-goiburuak, gida indarrean dagoenaren arabera dinamikoki sortutako cookie-politika), web-garapenean espezializatutako partner batekin lan egitea erabaki zentzuduna da. Web-diseinu eta -garapen agentzia gisa, ohikoa dugu Volantis-ekin kolaboratzea, zeinak proiektuak pieza horiek diseinu-fasean pentsatuz jorratzen dituen.
Egiaztapen azkarreko checklist-a
| Dokumentua edo pieza | Erreferentzia-araua | Ohiko puntu kritikoa |
|---|---|---|
| Lege-oharra | LSSI-CE 10. art. | IFK, helbidea edo merkataritza-erregistroko datuak falta. |
| Geruzaka pribatutasun-politika | RGPD 13. art. | Ez du helburu bakoitzaren oinarri juridikoa ez nazioarteko transferentziak identifikatzen. |
| Tauladun cookie-politika | LSSI-CE 22.2 art. + cookieen gida indarrean (2024ko maiatza) | Cookieen zerrenda desaktualizatua; ez ditu pixelak ez SDKak barne hartzen. |
| Baimen-bannerra | LSSI-CE 22.2 art. + cookieen gida indarrean (2024ko maiatza) | Ukatu esteka txiki baten azpian ezkutatua; cookieak klikaren aurretik kargatzen dira. |
| Baimenaren frogadun formularioak | RGPD 7. eta 13. art. | Ez da data, ordua ez onartutako testuaren bertsioa erregistratzen. |
| Email marketina | LSSI-CE 21. art. | Erositako edo berrerabilitako zerrendei bidalketa baimen espezifikorik gabe. |
| Kontratazioaren baldintza orokorrak (ecommerce) | 1/2007 LEDred + 4/2022 Legea | Hiru urteko bermera eguneratu gabe. |
| Hostinga eta nazioarteko transferentziak | RGPD 44-49. art. + DPF (2023/1795 Erabakia) | AEBetako hornitzailea DPFn ziurtatu gabe eta SCC sinatu gabe. |
"Bere hiru lege-dokumentuak gabeko web bat ez da web txiki bat: web esposatu bat da. Betetzearen eta ez betetzearen arteko aldea ez dago proiektuaren tamainan, arduraduna argitaratu aurretik pentsatzen eseri den ala ez dago."
Mario P. Talamillo · Bazkide zuzendaria, Certix®
Ohiko galderak
Zer gutxieneko lege-dokumentu izan behar ditu Espainiako edozein webek?
Gutxienez hiru: lege-oharra (LSSI-CE 10. art.), pribatutasun-politika (RGPD 13. eta 14. art. datuen jatorriaren arabera) eta cookie-politika (LSSI-CE 22.2 art. + cookieen gida indarrean, 2024ko maiatza). Kontsumitzaileei saltzen badie, kontratazioaren baldintza orokorrak gehitu; erregistratutako erabiltzaileak kudeatzen baditu, erabilera-baldintzak. Horietako bat falta izatea ez da forma-akats bat: weba gutxieneko lege-estaldurarik gabe uzten du.
Nahikoa al da cookie-bannerrak Onartu botoia izatea?
Ez. Cookieen erabilerari buruzko gida indarrean dagoenak (2024ko maiatza) bisualki parekatutako hiru aukera eskatzen ditu: onartu, ukatu eta konfiguratu. Gainera, funtsezkoak ez diren cookieak ezin dira klikaren aurretik kargatu. Onartu soilik erakusten duen banner batek RGPDren 4.11 artikuluko baimen askearen betekizuna urratzen du.
EBtik kanpoko hosting batek betetzean eragiten al du?
Bai. Oinarri propioa behar duen nazioarteko transferentzia bat da. AEBetarako, hornitzailea Data Privacy Framework-ari atxikita dagoen araberakoa da (2023/1795 egokitasun-erabakia). Atxikita ez badago, Kontratu Klausula Tipoak sinatu eta Transfer Impact Assessment bat dokumentatu behar dira.
Kontaktu-formulario bat datu-tratamendutzat jotzen al da?
Bai. Datu identifikatzaile bat (izena, emaila, telefonoa) biltzen duen edozein formuliok RGPDa aktibatzen du. Geruzaka informatzeko klausula, oinarri juridiko egokia, helburu gehigarrietarako lauki espezifiko desmarkatua eta baimenaren froga (data, ordua eta testuaren bertsioaren erregistroa) behar ditu.
Erreferentziak eta sakontzeko baliabideak
- Cookieak eta baimena online dendan RGPDaren eta LSSI-CEren arabera
- Zer eduki behar duen online denda baten pribatutasun-politikak
- Datuen babeseko betetze-araudia: zertan datzan
- Certix-en datuen babeserako aholkularitza
- Betekizun horiekin lerrokatutako web-diseinu eta -garapen profesionalerako: somosvolantis.com
Eduki hau orientagarria eta dibulgatiboa da soilik; ez du inola ere aholkularitza juridiko espezializatua osatzen. Araudia kasu zehatz bakoitzean aplikatzeak banakako azterketa eskatzen du. Sektoreko araudi autonomikoak deskribatutako betekizun orokorrak zabaldu edo aldatu ditzake.