En bref : en Espagne, l'article 22.2 de la LSSI impose un consentement préalable, après une information claire et complète, avant tout cookie qui n'est pas strictement nécessaire, et la LOPDGDD complète le RGPD pour le traitement des données collectées. Tout site qui s'adresse au public espagnol est concerné, y compris depuis la France. L'AEPD sanctionne activement, avec des amendes allant de quelques milliers d'euros pour un petit site à 20 000 euros pour un grand opérateur.
LOPDGDD : de quoi parle-t-on ?
La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) a été publiée au BOE le 6 décembre 2018 et est entrée en vigueur le lendemain, le 7 décembre 2018. Elle adapte le droit espagnol au RGPD : elle en précise certaines règles, organise l'AEPD et classe les infractions pour les délais de prescription. Elle ajoute aussi un catalogue de « droits numériques ».
Pour les cookies, le texte décisif est plus ancien : l'article 22.2 de la Ley 34/2002 de servicios de la sociedad de la información y de comercio electrónico (LSSI), en vigueur depuis le 12 octobre 2002 et modifié à plusieurs reprises depuis. Il prévoit que les prestataires peuvent utiliser des dispositifs de stockage et de récupération de données sur les terminaux des destinataires à condition que ceux-ci aient donné leur consentement, après avoir reçu une information claire et complète sur leur utilisation, notamment sur les finalités.
Le même article prévoit que, lorsque c'est techniquement possible et efficace, le consentement peut être donné au moyen des paramètres du navigateur ou d'autres applications.
L'AEPD a publié un guide sur l'utilisation des cookies, mis à jour en mai 2024, qui sert de référence pratique aux éditeurs. Il tient compte des travaux du comité européen de la protection des données, notamment de sa task force sur les bandeaux cookies.
Qui est concerné ?
- Les prestataires de services de la société de l'information établis en Espagne : sites vitrines, e-commerce, médias, applications ;
- les entreprises étrangères, y compris françaises, dont les sites visent le public espagnol ;
- les éditeurs qui intègrent des services tiers (analyse, publicité, réseaux sociaux), qui restent responsables de l'information et du recueil du consentement sur leur site.
Le guide de l'AEPD prévoit aussi des règles spécifiques pour les mineurs de moins de 14 ans, détaillées plus bas.
Ce que la LOPDGDD et la LSSI imposent pour les cookies et le consentement
Le consentement préalable
La règle est l'opt-in : aucun cookie non exempté avant le consentement. Le guide de l'AEPD est explicite sur un point souvent mal compris en Espagne : si l'utilisateur ne clique pas sur le bouton d'acceptation et se contente de continuer à naviguer, il n'autorise pas l'utilisation des cookies. Le consentement doit être un acte positif clair, conforme au RGPD.
Les exemptions
L'article 22.2 de la LSSI n'empêche pas le stockage ou l'accès de nature technique :
- dans le seul but d'effectuer la transmission d'une communication sur un réseau de communications électroniques ;
- dans la mesure strictement nécessaire à la fourniture d'un service de la société de l'information expressément demandé par le destinataire.
Le guide de l'AEPD détaille les finalités exemptées, comme les cookies qui permettent uniquement la communication entre l'équipement et le réseau, ou ceux qui sont strictement nécessaires au service demandé (panier, session, sécurité).
Durée, retrait et preuve
- Durée : l'AEPD considère comme une bonne pratique que la validité du consentement ne dépasse pas 24 mois, et que le choix soit conservé pendant cette période sans redemander l'accord à chaque visite.
- Retrait : l'utilisateur doit pouvoir retirer son consentement à tout moment, de manière simple ; le panneau de configuration doit rester accessible en permanence.
- Preuve : le RGPD impose de pouvoir démontrer le consentement. Conservez un registre des choix et des versions de votre bandeau.
L'AEPD présente plus largement comme une meilleure pratique le renouvellement du consentement à intervalles appropriés. Elle demande aussi que le panneau de configuration indique clairement comment enregistrer la sélection, par exemple au moyen d'un bouton dédié, pour que l'utilisateur sache que ses préférences ont bien été prises en compte.
Le cas des mineurs
Le guide traite spécifiquement des moins de 14 ans. Lorsque des cookies sont utilisés uniquement à des fins analytiques, le consentement du titulaire de l'autorité parentale peut être obtenu en avertissant le mineur, dans la première couche, qu'il doit prévenir ses parents ou son tuteur avant de poursuivre sa navigation, pour qu'ils acceptent ou refusent les cookies. L'objectif est d'éviter de collecter des données supplémentaires sur l'enfant ou ses parents.
Le bandeau de cookies conforme en Espagne
Le guide de l'AEPD fixe des exigences précises pour la première couche d'information. Elle doit notamment indiquer :
- l'identité de l'éditeur et les finalités des cookies ;
- si les cookies sont propres ou de tiers ;
- une information générale sur le type de données collectées en cas de profilage (par exemple pour la publicité comportementale) ;
- la manière d'accepter, configurer et refuser les cookies ;
- un lien clairement visible vers une seconde couche plus détaillée (« Cookies », « Política de cookies »).
Sur le choix lui-même, l'AEPD exige que l'utilisateur puisse toujours refuser, et que l'option de refus soit proposée dans la même couche et au même niveau que l'option d'acceptation, avec un mécanisme similaire (bouton ou autre). Le bouton de configuration doit mener directement au panneau de paramétrage, sans obliger à parcourir de longs textes.
Le guide écarte aussi les murs de cookies qui n'offrent pas d'alternative au consentement : l'accès aux services ne doit pas être conditionné à l'acceptation des cookies, en particulier quand le refus d'accès empêcherait l'exercice d'un droit. Notre article sur le cookie wall et ses alternatives détaille ce point, et le guide du bandeau cookies conforme vous donne la structure complète. Pensez enfin à un bandeau et une politique de cookies en espagnol.
Sanctions et contrôles
L'autorité : l'AEPD contrôle à la fois la LSSI (pour les cookies) et le RGPD et la LOPDGDD (pour les données).
Les plafonds : la LSSI qualifie d'infraction légère (article 38.4.g) le fait d'utiliser des dispositifs de stockage et de récupération de données sans avoir fourni l'information ou obtenu le consentement exigés par l'article 22.2. L'article 39 fixe les amendes :
- infractions légères : jusqu'à 30 000 euros ;
- infractions graves : de 30 001 à 150 000 euros ;
- infractions très graves : de 150 001 à 600 000 euros.
Lorsque des données personnelles sont traitées sans base légale ou sans information suffisante, le RGPD s'applique en plus, avec son plafond de 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.
Deux décisions réelles de l'AEPD :
- Vodafone España, 20 000 euros (résolution du 28 avril 2023, PS/00567/2022) : lors d'une vérification du 28 septembre 2022, l'AEPD a constaté que des cookies non nécessaires, propres et tiers, étaient utilisés dès l'arrivée sur la page d'accueil, sans action de l'utilisateur ni consentement. Le recours de l'opérateur a été rejeté.
- CHATWITH.IO WORLDWIDE (PS/00080/2023) : l'AEPD a prononcé trois amendes, 5 000 euros pour violation de l'article 22.2 de la LSSI (cookies), 2 000 euros pour défaut d'information au titre de l'article 13 du RGPD, et 5 000 euros au titre de l'article 5.1.a du RGPD, avec une injonction de mise en conformité.
Ces montants paraissent modestes à côté des sanctions de la CNIL, mais ils montrent que l'AEPD contrôle aussi les petits sites : la procédure contre CHATWITH.IO a été ouverte sur la réclamation d'un particulier.
Checklist de conformité
- Inventoriez vos cookies propres et tiers sur toutes vos pages.
- Isolez les cookies techniques strictement nécessaires, seuls exemptés.
- Bloquez les autres jusqu'au consentement : pas de cookie avant le clic.
- Affichez Aceptar et Rechazar dans la même couche et au même niveau.
- Ajoutez un bouton Configurar qui mène directement au panneau de paramétrage.
- Rédigez une première couche complète et une politique de cookies en espagnol.
- Proscrivez le consentement par navigation et les murs de cookies sans alternative.
- Conservez le choix jusqu'à 24 mois au plus, puis redemandez.
- Permettez le retrait à tout moment et conservez la preuve des choix.
Comment FlowConsent vous aide à respecter la LOPDGDD et la LSSI
FlowConsent affiche un bandeau en espagnol avec Aceptar, Rechazar et Configurar au même niveau, bloque les cookies non techniques avant le consentement et garde un accès permanent au panneau de préférences. Le scan automatique identifie les cookies de vos pages pour alimenter votre déclaration de cookies, et chaque choix est enregistré en preuve de consentement exportable. L'outil est hébergé en Europe et intègre Google Consent Mode v2.
Commencez par notre scanner gratuit, puis créez votre compte : gratuit jusqu'à 25 000 sessions par mois, puis 14,99 €/mois jusqu'à 100 000 sessions, installation en une dizaine de minutes.
Pour aller plus loin
L'Espagne applique les mêmes principes que la France, avec un guide de l'AEPD particulièrement détaillé sur la présentation du bandeau. Les articles suivants vous aident à concevoir ce bandeau, à rédiger votre politique de cookies et à préserver votre taux de consentement sans enfreindre les règles.