İspanya'da web sitesi için yasal zorunluluklar: aviso legal, gizlilik ve çerezler

İspanya'da bir işletme web sitesi açtığınızda dört temel yasal başlığı karşılamanız gerekir: LSSI-CE kapsamında kimlik bilgilerinizi gösteren bir "aviso legal", RGPD ve LOPDGDD'ye uygun bir gizlilik politikası (política de privacidad), AEPD rehberine uygun bir çerez onay sistemi ve online satış yapıyorsanız tüketiciye yönelik satış koşulları. Bu yazı, sahada sık gördüğüm eksikleri anlatan genel bir bilgilendirmedir; hukuki danışmanlık değildir. Kendi durumunuz için mutlaka bir avukat veya gestoría ile doğrulayın.

Aviso legal: siteyi kimin işlettiği

İspanya'daki 34/2002 sayılı Bilgi Toplumu Hizmetleri ve Elektronik Ticaret Kanunu (LSSI-CE), 10. maddesinde, internet üzerinden hizmet veren işletmelerin bazı bilgileri sitede "kalıcı, kolay, doğrudan ve ücretsiz" şekilde erişilebilir tutmasını ister. BOE'deki güncel metne göre bu bilgiler şunlardır:

• Ad veya şirket unvanı ve adres (İspanya'da yerleşik değilseniz İspanya'daki daimi işyerinin adresi)
• E-posta adresi ve doğrudan, etkili iletişim kurmayı sağlayan diğer bilgiler
• Kayıtlıysanız Registro Mercantil veya ilgili kamu siciline ait kayıt bilgileri
• Faaliyetiniz ön izin gerektiriyorsa izin bilgileri ve denetleyen kurum
• Düzenlenmiş bir meslek icra ediyorsanız bağlı olduğunuz meslek odası, sicil numaranız ve unvanınız
• Vergi kimlik numarası (NIF)
• Fiyat gösteriyorsanız vergilerin ve varsa kargo masraflarının dahil olup olmadığı
• Katıldığınız davranış kuralları (código de conducta) varsa bunlar

Pratikte bu bilgiler sitenin altbilgisindeki "Aviso legal" bağlantısında toplanır. Türk işletmelerinde gördüğüm en yaygın eksik, NIF ve sicil bilgisinin hiç yazılmaması ya da Türkiye'deki şirket bilgilerinin İspanya'daki şirketin yerine konmasıdır.

Gizlilik politikası: RGPD ve LOPDGDD

Sitenizde iletişim formu, rezervasyon, bülten kaydı ya da sipariş varsa kişisel veri topluyorsunuz demektir. Bu durumda AB Genel Veri Koruma Tüzüğü (RGPD, Türkçede GDPR olarak bilinir) ve İspanya'nın 3/2018 sayılı LOPDGDD kanunu devreye girer. Gizlilik politikanızda genel olarak şu sorulara açık cevap verilmelidir:

• Verileri kim işliyor (veri sorumlusunun kimliği ve iletişim bilgisi)
• Hangi verileri, hangi amaçla ve hangi hukuki dayanakla işliyorsunuz
• Veriler kimlerle paylaşılıyor (örneğin e-posta servisi, ödeme sağlayıcısı)
• Veriler ne kadar süre saklanıyor
• Kişi erişim, düzeltme, silme, itiraz gibi haklarını nasıl kullanabilir
• AEPD'ye (İspanya Veri Koruma Kurumu) şikâyette bulunma hakkı

Formların altına, kişiyi gizlilik politikasına yönlendiren kısa bir bilgilendirme metni koymak da yaygın ve doğru bir uygulamadır. Pazarlama e-postası göndermek istiyorsanız bunun için ayrı, önceden işaretlenmemiş bir onay kutusu kullanın.

Bir uyarı: başka bir siteden kopyalanmış gizlilik metni, sizin gerçekte kullandığınız araçları anlatmıyorsa işe yaramaz. Metin, sitenizde gerçekten neler olduğunu yansıtmalı.

Çerez onayı: AEPD ne istiyor

LSSI-CE'nin 22. maddesi, zorunlu olmayan çerezler için kullanıcının bilgilendirilmiş onayını şart koşar. AEPD'nin çerez rehberi, 2023'te güncellenmiş ve yeni kriterler için 11 Ocak 2024'e kadar uyum süresi tanımıştı. Rehberin pratikte öne çıkan noktaları şunlar:

1. Reddetmek, kabul etmek kadar kolay olmalı. Çerez bandının ilk katmanında "Reddet" seçeneği, "Kabul et" ile aynı seviyede ve benzer görünürlükte olmalı. Sadece "Kabul et" ve "Ayarlar" düğmesi sunan bantlar artık yeterli sayılmıyor.
2. Önceden işaretlenmiş kutu olmaz. Analitik veya reklam çerezleri varsayılan olarak kapalı gelmeli.
3. Onay alınmadan çerez yüklenmez. Google Analytics, Meta Pixel gibi kodlar kullanıcı onay vermeden çalışmamalı.
4. Onay geri alınabilmeli. Kullanıcı tercihini sonradan kolayca değiştirebilmeli; altbilgide kalıcı bir "Configurar cookies" bağlantısı bunun için yaygındır.
5. Çerez politikası ayrı bir sayfada hangi çerezlerin, kim tarafından, ne amaçla ve ne süreyle kullanıldığını anlatmalı.

Burada pazarlama tarafını da ilgilendiren bir nokta var: onay vermeyen ziyaretçiler reklam ve analitik verinize yansımaz. Bu, yasal yükümlülüktür; çözüm, onay bandını kaldırmak değil, ölçüm kurulumunu buna göre doğru yapmaktır. Reklam ölçümünün bu yapıyla nasıl çalıştığını İspanya'da Google Ads yazısında kısaca anlattım.

E-ticaret: satış koşulları ve 14 günlük cayma hakkı

Sitenizden tüketiciye ürün veya hizmet satıyorsanız, İspanya Tüketici ve Kullanıcıları Koruma Genel Kanunu (TRLGDCU) devreye girer. Sitenizde "Condiciones generales de contratación" başlıklı bir sayfa olmalı ve sipariş öncesinde tüketiciye fiyat, vergiler, teslimat masrafları, ödeme ve teslim koşulları, cayma hakkı gibi bilgiler açıkça verilmelidir.

Cayma hakkı (derecho de desistimiento) konusunda BOE'deki güncel metne göre:

• Tüketici, mesafeli sözleşmelerde kanundaki istisnalar dışında 14 takvim günü içinde sebep göstermeden sözleşmeden cayabilir (102. madde).
• Süre, hizmet sözleşmelerinde sözleşmenin yapıldığı gün, ürün satışlarında ise tüketicinin ürünü fiilen teslim aldığı gün başlar (104. madde).
• Cayma hakkını kullandığı için tüketiciye ceza öngören veya bu haktan feragat ettiren maddeler geçersizdir.
• Kişiye özel üretilen ya da çabuk bozulan ürünler gibi bazı durumlar istisnadır (103. madde); hangi ürününüzün istisnaya girdiğini avukatınızla netleştirin.

Bu kurallar şirketten şirkete satışta (B2B) farklı işler. E-ticaret altyapısını kurarken bu sayfaları en başta planlamak, sonradan eklemekten çok daha kolaydır. Konunun teknik ve pazarlama tarafı için İspanya'da e-ticaret sitesi kurmak yazısına bakabilirsiniz.

Erişilebilirlik: e-ticarette yeni yükümlülük

Avrupa Erişilebilirlik Yasası olarak bilinen 2019/882 sayılı AB Direktifi, İspanya'da 11/2023 sayılı Kanun ile iç hukuka aktarıldı. Kanunun metnine göre erişilebilirlik gereklilikleri 28 Haziran 2025'ten itibaren uygulanıyor ve kapsamdaki tüketici hizmetleri arasında e-ticaret hizmetleri açıkça sayılıyor. Aynı kanun, hizmet sunan mikro işletmeleri bu hizmet gerekliliklerinden muaf tutuyor. Direktifteki tanıma göre mikro işletme, 10 kişiden az çalışanı olan ve yıllık cirosu veya bilanço toplamı 2 milyon avroyu aşmayan işletmedir.

Yani küçük bir dükkân sitesi büyük ihtimalle muaf, ama büyüyen bir online mağaza kapsama girebilir. Muaf olsanız bile okunaklı yazı boyutu, yeterli renk kontrastı, görsellerde açıklama metni ve klavyeyle kullanılabilir menüler hem müşteriniz hem Google için iyi uygulamadır. Kapsamda olup olmadığınızı ve geçiş hükümlerini avukatınızla değerlendirin.

Site İspanyolca olmak zorunda mı

Bildiğim kadarıyla bir web sitesinin yalnızca İspanyolca olmasını zorunlu tutan genel bir kural yok; Türkçe veya İngilizce bölümleriniz olabilir. Ama pratikte İspanya'daki müşteriye satış yapıyorsanız yasal sayfalarınızın ve satış koşullarınızın müşterinin anlayacağı dilde, yani en azından İspanyolca olması hem güven hem de olası bir anlaşmazlıkta sizin için daha güvenli bir zemin sağlar. Katalonya'da faaliyet gösteriyorsanız dil konusunda bölgesel düzenlemeler de olabileceği için bunu da danışmanınıza sorun.

Sahada en sık gördüğüm hatalar

Türk işletmelerinin İspanya sitelerini incelediğimde aynı sorunlar tekrar ediyor:

• Türkiye'deki bir siteden kopyalanmış KVKK metninin İspanya sitesinde gizlilik politikası olarak kullanılması
• Çerez bandının görüntülendiği ama arka planda analitik ve reklam kodlarının onaydan önce zaten çalıştığı kurulumlar
• Sadece "Aceptar" düğmesi olan ya da "Reddet" seçeneğini ikinci ekrana saklayan bantlar
• Aviso legal sayfasında şirket yerine sadece marka adının yazılması
• Online satış yapıldığı halde cayma hakkı ve iade sürecinin hiç anlatılmaması
• Yasal sayfaların sitede olup altbilgiden bağlantı verilmemesi, yani ziyaretçinin bulamaması

Bunların çoğu bir web geliştiricinin birkaç saatte düzeltebileceği teknik konular; metnin içeriği ise hukuki bir iştir. İki tarafı karıştırmamak gerekir: tasarımcı yasal metin yazmamalı, avukat da çerez kodunun nasıl yüklendiğini kontrol etmek zorunda kalmamalı. İkisi birlikte çalıştığında en temiz sonuç çıkar. Kullandığınız araçlar değiştikçe, örneğin yeni bir reklam pikseli veya yeni bir e-posta servisi eklediğinizde, gizlilik ve çerez politikasını da güncellemeyi alışkanlık haline getirin.

Yayına almadan önce kontrol listesi

• Altbilgide Aviso legal, Política de privacidad ve Política de cookies bağlantıları var mı?
• Aviso legal'de unvan, adres, e-posta, NIF ve sicil bilgileri doğru mu?
• Çerez bandında Reddet düğmesi ilk katmanda, Kabul et ile aynı seviyede mi?
• Analitik ve reklam kodları onaydan önce çalışmıyor mu?
• Formlarda gizlilik bilgilendirmesi ve ayrı pazarlama onayı var mı?
• Satış yapıyorsanız satış koşulları ve cayma hakkı sayfası hazır mı?

Bu başlıkları en başta tasarıma dahil ettiğim siteleri İspanya web tasarım hizmetimde hazırlıyorum; yasal metinlerin içeriğini ise avukatınız veya gestoríanızla birlikte netleştirmenizi öneririm. Şirket kurulumu aşamasındaysanız İspanya'da şirket kurmak için dijital rehber sayfası, genel çerçeve için de İspanya dijital pazarlama sayfası işinize yarayacaktır.