Le règlement général sur la protection des données (RGPD) est le texte européen qui encadre la collecte et l’utilisation des données personnelles, et il s’applique à toute boutique en ligne qui vend à des particuliers, quelle que soit sa taille. Un site e-commerce ne réalise pas un seul traitement, mais plusieurs, avec des règles différentes. La commande repose sur le contrat, la facture sur une obligation légale, les offres par courriel sur la loi espagnole sur le commerce électronique (LSSI) et les cookies de mesure d’audience sur le consentement. Connaître la base juridique de chacun permet de savoir quels documents juridiques la boutique doit publier, quelles cases elle doit prévoir dans ses formulaires et ce qu’elle peut faire de sa base de clients.
Si vous avez besoin d’un conseil juridique pour les mentions légales et les CGV de votre boutique en ligne en Espagne, demandez une évaluation initiale gratuite.
Chaque utilisation des données d’un client nécessite l’une des bases juridiques de l’article 6, paragraphe 1, du RGPD, et la base dépend de la finalité, non de la donnée. La même adresse électronique est traitée pour envoyer la confirmation de commande, au titre de l’exécution du contrat, et pour envoyer des offres, sur une autre base et selon les règles de la LSSI. Le tableau présente la cartographie habituelle d’une boutique en ligne.
| Traitement | Base juridique | Points d’attention |
|---|---|---|
| Gérer la commande, le paiement et la livraison | Exécution du contrat (art. 6.1.b) | Seulement les données nécessaires pour vendre et livrer. Demander davantage de données n’est pas couvert par cette base |
| Compte client | Exécution du contrat (art. 6.1.b) avec la personne qui le crée | Expliquer à quoi il sert et permettre de le supprimer |
| Facturation et comptabilité | Obligation légale (art. 6.1.c) | Les données sont conservées pendant les délais du droit commercial et fiscal, même si le client demande leur effacement |
| Service client, rétractation et garantie | Contrat et obligation légale (art. 6.1.b et c) | Les données de la réclamation sont conservées tant qu’une responsabilité peut être engagée |
| Newsletter aux personnes qui n’ont pas acheté | Consentement (art. 6.1.a) et article 21.1 de la LSSI | Case non cochée, distincte de l’acceptation des conditions de vente |
| Offres par courriel aux clients | Intérêt légitime (art. 6.1.f) et article 21.2 de la LSSI | Seulement des produits similaires à ceux achetés, avec une opposition simple et gratuite dans chaque envoi |
| Courriel de panier abandonné | Consentement si le courriel est commercial et que la personne n’est pas encore cliente | Sans achat préalable, il n’y a pas de relation contractuelle et l’exception de l’article 21.2 de la LSSI ne s’applique pas |
| Avis avec nom ou photo | Consentement de l’auteur de l’avis (art. 6.1.a) | Indiquer comment vous vérifiez que l’avis provient d’un acheteur |
| Mesure d’audience, publicité et pixels | Consentement (art. 6.1.a) et article 22.2 de la LSSI | Aucun cookie ni pixel non nécessaire n’est activé avant l’acceptation de l’utilisateur |
| Prévention de la fraude au paiement | Intérêt légitime (art. 6.1.f) | La limiter au nécessaire et l’expliquer dans la politique de confidentialité |
Le consentement ne corrige pas une base juridique mal choisie. L’article 6.3 de la loi espagnole sur la protection des données (LOPDGDD) interdit de subordonner le contrat au consentement du client à des traitements sans rapport avec lui. Une case unique qui accepte à la fois les conditions de vente et la newsletter n’est pas valable pour la newsletter.
La loi espagnole 34/2002 sur les services de la société de l’information et le commerce électronique (LSSI) interdit, à son article 21.1, l’envoi par courriel de communications commerciales que le destinataire n’a pas sollicitées ou expressément autorisées. Le RGPD détermine si les données peuvent être traitées et la LSSI si le courriel peut être envoyé, et la boutique doit respecter les deux.
La seule exception figure à l’article 21.2. Il est possible d’écrire sans consentement préalable à un client existant si trois conditions sont réunies:
Le client doit en outre pouvoir s’y opposer au moment de l’achat et dans chaque communication, par une procédure simple et gratuite. En dehors de cette exception, y compris pour les abonnés qui n’ont jamais acheté et les paniers abandonnés par des non-clients, le consentement préalable est requis.
L’article 22.2 de la LSSI exige un consentement éclairé pour déposer ou lire des cookies et technologies similaires sur l’appareil de l’utilisateur, sauf les cookies techniques ou strictement nécessaires au service demandé. Le panier, la session de commande ou la mémorisation du choix en matière de cookies ne nécessitent pas de consentement. La mesure d’audience, la publicité, les pixels des réseaux sociaux et le reciblage, si.
Le guide sur l’utilisation des cookies de l’autorité espagnole de protection des données (AEPD, en espagnol), mis à jour en juillet 2023 selon les lignes directrices du comité européen de la protection des données, exige que les options accepter et refuser soient présentées au même niveau, sans que refuser soit plus difficile qu’accepter. Ses critères s’appliquent depuis le 11 janvier 2024. La proposition européenne d’omnibus numérique prévoit d’exempter certains usages, comme la mesure d’audience propre. Elle est encore en négociation, et le Conseil de l’UE a arrêté sa position le 21 octobre 2026, comme nous l’expliquons dans notre article sur les cookies après l’omnibus numérique. Nous l’expliquons dans notre article sur l’omnibus numérique et les changements du RGPD.
Une boutique en ligne partage des données avec plusieurs prestataires, et chacun de ceux qui les traitent pour son compte est un sous-traitant. L’article 28 du RGPD exige un contrat avec chaque sous-traitant qui fixe l’objet, la durée, les mesures de sécurité et le sort des données à la fin. Dans un site e-commerce type, ces prestataires sont des sous-traitants:
La passerelle de paiement et le transporteur agissent souvent en partie comme responsables de leurs propres traitements, car leur propre réglementation les encadre. Il convient de vérifier au cas par cas le rôle que chacun déclare dans ses conditions.
Si un prestataire stocke ou consulte les données hors de l’Espace économique européen, les articles 44 et suivants du RGPD sur les transferts internationaux s’appliquent également. Pour les prestataires américains adhérant au cadre de protection des données UE-États-Unis, la décision d’adéquation de la Commission suffit. Pour les autres, des garanties comme les clauses contractuelles types sont nécessaires, et la boutique doit mentionner le transfert dans sa politique de confidentialité.
Au-delà du choix des bases juridiques, le RGPD impose à la boutique en ligne de pouvoir démontrer sa conformité. Le minimum à formaliser par écrit est le suivant:
Le délégué à la protection des données n’est pas obligatoire pour la plupart des boutiques. L’article 34.1.d de la LOPDGDD l’impose aux prestataires de services de la société de l’information qui établissent des profils de leurs utilisateurs à grande échelle, dans la ligne de l’article 37, paragraphe 1, point b), du RGPD.
Café de Altura, une boutique en ligne fictive de café de spécialité, compte 4 000 clients, une newsletter de 9 000 abonnés et une campagne de reciblage sur les réseaux sociaux. Son formulaire de commande comporte une seule case, «J’accepte les conditions et je souhaite recevoir les nouveautés», et son bandeau cookies ne propose que «Accepter» et «Paramétrer».
L’examen de la boutique révèle trois problèmes. La case unique ne donne pas un consentement valable pour la newsletter, car elle est liée à l’achat. Le bandeau ne permet pas de refuser au même niveau qu’accepter, comme l’exige le guide de l’AEPD. Et la plateforme d’emailing stocke les données aux États-Unis sans que la politique de confidentialité le précise.
La solution consiste à séparer la case de la newsletter, à n’écrire aux clients sans consentement qu’avec des offres de café et d’accessoires, au titre de l’article 21.2 de la LSSI, et à demander le consentement des autres abonnés. Il faut ajouter le bouton de refus au bandeau, vérifier l’adhésion du prestataire au cadre de protection des données et mettre à jour la politique. Aucun de ces changements n’oblige à refaire la boutique.
La protection des données est l’un des volets de la réglementation du e-commerce en Espagne, avec la LSSI, les droits des consommateurs et le DSA.
Dans la plupart des cas, non. L’article 34.1.d de la LOPDGDD ne l’impose qu’aux prestataires de services de la société de l’information qui établissent des profils de leurs utilisateurs à grande échelle. Une boutique qui vend et expédie des commandes, avec une newsletter et une mesure d’audience courante, n’est généralement pas dans ce cas, même si elle peut en désigner un volontairement.
Oui, à trois conditions prévues à l’article 21.2 de la LSSI. Le client doit avoir déjà acheté, son adresse électronique doit avoir été obtenue lors de cet achat et l’offre doit porter sur des produits de votre entreprise similaires à ceux qu’il a achetés. Vous devez aussi lui permettre de s’y opposer lors de l’achat et dans chaque courriel, simplement et gratuitement.
Si la personne qui a abandonné le panier est déjà cliente et que le courriel propose des produits similaires à ceux qu’elle a achetés, l’exception de l’article 21.2 de la LSSI s’applique. Si elle n’a jamais acheté, il n’y a pas de relation contractuelle préalable et un courriel commercial nécessite son consentement préalable, qui peut être demandé par une case dans le tunnel de commande.
Oui, si l’outil dépose des cookies ou lit des informations sur l’appareil de l’utilisateur. L’article 22.2 de la LSSI n’exempte que les cookies techniques et strictement nécessaires, et la mesure d’audience n’en fait pas partie. La proposition d’omnibus numérique prévoit d’exempter la mesure d’audience propre, mais elle n’est pas adoptée.
C’est une violation de données. Vous devez la notifier à l’AEPD dans les 72 heures après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque pour les clients, selon l’article 33 du RGPD. Si le risque est élevé, vous devez aussi en informer les clients concernés. Il convient de documenter la violation et les mesures prises même sans notification.
Mettre en ordre les bases juridiques d’une boutique en ligne prend peu de temps et évite les problèmes les plus fréquents, qui tiennent presque toujours à une case, à un bandeau ou à un prestataire sans contrat. Chez Innovatech, nous révisons la protection des données des boutiques en ligne avec le reste de leurs documents juridiques, dans le cadre de notre conseil juridique pour les mentions légales et les CGV des boutiques en ligne en Espagne. Écrivez-nous pour une évaluation initiale gratuite.
Marta Suárez-Mansilla est associée gérante d'Innovatech Legal et abogada inscrite à l'ICAM (Ilustre Colegio de la Abogacía de Madrid), active en droit des technologies. Elle a suivi le cours Copyright de la Harvard Law School et le programme Blockchain de BerkeleyX, et conseille des entreprises technologiques depuis plus de huit ans.