Requisitos legales de una web en España: checklist

Una web de empresa en España no solo tiene que verse bien y posicionar: también debe cumplir varias normas sobre información, datos personales y cookies. Esta lista repasa lo que debes revisar, con el nombre correcto de cada norma, para que sepas qué preguntar a tu abogado o a quien gestione tu web.

Idea clave

Cumplir la ley con una web en España se resume en transparencia y capacidad de elección: identifica a la empresa en el aviso legal (LSSI-CE), explica en la política de privacidad qué datos recoges y para qué (RGPD y LOPDGDD) y no cargues nada que no sea imprescindible hasta que el usuario acepte las cookies, con un rechazo tan fácil como la aceptación. Si vendes online, añade la información precontractual y el derecho de desistimiento (con carácter general, 14 días naturales) que exige la normativa de consumo, en cada idioma de la web.

Qué normas afectan a tu web

A la mayoría de webs de empresa en España les afectan cuatro normas:

LSSI-CE: la Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico. Regula la identificación de la empresa, las cookies, el email comercial y la contratación online, y se aplica a las webs de una actividad económica aunque no vendas por internet.
RGPD: el Reglamento General de Protección de Datos de la Unión Europea (Reglamento (UE) 2016/679).
LOPDGDD: la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, que adapta el RGPD en España.
Normativa de consumo, si vendes a consumidores: principalmente el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios (Real Decreto Legislativo 1/2007).

La autoridad de control en protección de datos es la AEPD (Agencia Española de Protección de Datos).

Aviso legal: quién está detrás de la web

El artículo 10 de la LSSI-CE obliga a ofrecer, de forma permanente, fácil, directa y gratuita, los datos que identifican al titular de la web. Lo habitual es reunirlos en una página de aviso legal enlazada desde el pie de todas las páginas:

Nombre o denominación social.
NIF (el antiguo CIF, en el caso de las sociedades).
Domicilio.
Correo electrónico y otros datos que permitan una comunicación directa y efectiva.
Datos de inscripción en el Registro Mercantil u otro registro público, si corresponde.
Si tu actividad requiere autorización administrativa o es una profesión regulada, los datos correspondientes (autorización, colegio profesional, título).

Si la web muestra precios, deben indicarse con claridad, especificando si incluyen impuestos y, en su caso, los gastos de envío.

Política de privacidad (RGPD y LOPDGDD)

Si tu web recoge datos personales, aunque sea a través de un simple formulario de contacto, necesitas una política de privacidad que explique, con lenguaje claro, la información que exigen los artículos 13 y 14 del RGPD:

Quién es el responsable y cómo contactar con él (y con el delegado de protección de datos, si lo hay).
Para qué se usan los datos (finalidades).
Con qué base jurídica: por ejemplo, consentimiento, ejecución de un contrato, obligación legal o interés legítimo.
Cuánto tiempo se conservan, o con qué criterio se decide.
A quién se comunican, incluidos los proveedores que tratan datos por tu cuenta (alojamiento, correo, analítica), y si hay transferencias fuera del Espacio Económico Europeo.
Qué derechos tiene el usuario: acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, además de retirar el consentimiento en cualquier momento.
Que puede presentar una reclamación ante la AEPD.

La política debe describir lo que tu web hace de verdad, no lo que dice una plantilla genérica.

Cookies: primero el consentimiento

Las cookies no necesarias solo pueden instalarse después de que el usuario acepte. Así lo establece el artículo 22.2 de la LSSI-CE, y la Guía sobre el uso de las cookies de la AEPD (actualizada en mayo de 2024) concreta cómo aplicarlo:

No instales cookies no necesarias antes de que el usuario acepte. Las de analítica (como Google Analytics), publicidad o píxeles de redes sociales necesitan consentimiento previo, y también las que instalen los vídeos o mapas incrustados de terceros cuando no sean necesarias (puedes pedirlo justo antes de cargar el contenido). Las estrictamente necesarias para que la web funcione (sesión, carrito, recordar la elección sobre cookies) están exentas.
Un banner claro, con la opción de rechazar tan visible y fácil como la de aceptar, en la misma capa. Seguir navegando o hacer scroll no cuenta como consentimiento, y las casillas no pueden venir marcadas por defecto.
Una política de cookies que explique qué cookies se usan, quién las instala (propias o de terceros), para qué y durante cuánto tiempo.
Una forma sencilla de cambiar de opinión, por ejemplo un enlace permanente a la configuración de cookies en el pie de página.

Lo mismo vale para tecnologías similares, como el almacenamiento local del navegador. Si además tienes una app, revisa también los SDK de analítica y publicidad que incluya; lo tratamos en nuestra guía sobre cómo desarrollar una app.

Formularios de contacto y comunicaciones comerciales

Cada formulario de contacto recoge datos personales, así que debe informar en el mismo punto, pedir solo lo necesario y separar los consentimientos:

Informa junto al formulario, en una primera capa breve (responsable, finalidad, base jurídica, derechos), con un enlace a la política de privacidad completa. El artículo 11 de la LOPDGDD permite ofrecer la información de esta forma por capas.
Pide solo los datos que necesitas para responder.
Usa una casilla sin marcar cuando el tratamiento se base en el consentimiento, y casillas separadas para finalidades distintas: responder a una consulta no es lo mismo que enviar un boletín.
Menciona en tus políticas los servicios antispam que uses, como los sistemas tipo captcha.

Para enviar publicidad por email, el artículo 21 de la LSSI-CE exige, con carácter general, que el destinatario la haya solicitado o autorizado expresamente; la excepción principal son los clientes con relación contractual previa, para productos o servicios similares. Darse de baja siempre debe ser sencillo y gratuito.

Si vendes online: normas de consumo

Una tienda online dirigida a consumidores tiene obligaciones adicionales, entre ellas:

Condiciones generales de contratación accesibles antes de comprar.
Información precontractual clara: características del producto, precio final con IVA incluido, gastos de envío, formas de pago y plazos de entrega.
Información sobre el derecho de desistimiento, que según el artículo 102 del texto refundido de consumidores es, con carácter general, de 14 días naturales en las compras a distancia, sin necesidad de indicar el motivo; también sus excepciones y un formulario modelo para ejercerlo.
Información sobre la garantía legal de los productos.
Un botón de compra inequívoco, que deje claro que el pedido implica pagar, y una confirmación del pedido después de la compra.
Según la comunidad autónoma, puede haber obligaciones adicionales, por ejemplo sobre hojas de reclamaciones.

El derecho de desistimiento se aplica también cuando vendes en marketplaces; nuestra comparativa entre tu propia tienda y las plataformas de compra online en España explica qué cambia en cada caso.

Webs en varios idiomas y checklist final

Si tu web está en varios idiomas, los textos legales, el banner de cookies y la información de los formularios deben estar en cada uno de ellos: el usuario tiene que entender lo que acepta. Mantén las versiones sincronizadas y revísalas cada vez que añadas una herramienta nueva, como un chat o un píxel de publicidad (por ejemplo, para tus campañas de Google Ads o Meta Ads).

Antes de publicar, comprueba que:

El aviso legal incluye todos los datos de identificación.
La política de privacidad describe los tratamientos reales y menciona la AEPD.
Ninguna cookie no necesaria se carga antes del consentimiento.
El banner permite rechazar con la misma facilidad que aceptar.
Hay una política de cookies y un enlace para cambiar la configuración.
Cada formulario informa sobre el uso de los datos.
Si vendes online, las condiciones, los precios con IVA y el desistimiento están claros.
Los textos legales, el banner y la información de los formularios existen en cada idioma de la web.

Preguntas frecuentes

¿Necesito aviso legal si mi web no vende nada?

En general, sí: una web corporativa que presenta tus servicios forma parte de tu actividad económica y entra en el ámbito de la LSSI-CE.

¿Puedo cargar Google Analytics antes de que el usuario acepte las cookies?

No, porque sus cookies no son estrictamente necesarias. Debe cargarse solo cuando el usuario acepte, y dejar de usarse si retira el consentimiento.

¿Me sirve una plantilla de política de privacidad descargada de internet?

Como punto de partida, sí, pero debe adaptarse a tu empresa: tus datos, tus finalidades, tus proveedores y tus plazos de conservación.

Si necesitas una web con el banner de cookies, la carga de herramientas tras el consentimiento y los formularios bien resueltos, en UsualMatrix nos ocupamos de la parte técnica en español, chino e inglés. Consulta nuestro servicio de diseño web o escríbenos desde la página de contacto.

Aviso: este artículo ofrece información general y no constituye asesoramiento jurídico. Las obligaciones concretas dependen de tu actividad y de cómo funciona tu web, así que consulta con un abogado o asesor especializado para confirmar qué necesitas en tu caso.