Si tu web sirve para captar clientes, vender o simplemente presentar tu negocio, en España está sujeta a dos normas principales: la LSSI (Ley 34/2002 de servicios de la sociedad de la información) y el RGPD junto con la LOPDGDD para los datos personales. Esta guía resume qué tiene que aparecer en la web y dónde, en el orden en que solemos revisarlo cuando auditamos la web de un cliente.
1. El aviso legal: quién está detrás de la web
El artículo 10 de la LSSI obliga a quien presta servicios por internet a mostrar, de forma permanente, fácil, directa y gratuita, una serie de datos. En la práctica se agrupan en una página llamada “Aviso legal” enlazada desde el pie de todas las páginas.
Lo que tiene que aparecer, según el caso:
- Nombre o denominación social, domicilio y un email u otra vía de contacto directo.
- NIF de la persona o empresa titular.
- Datos registrales si la empresa está inscrita en el Registro Mercantil u otro registro público.
- Si la actividad necesita autorización administrativa, los datos de esa autorización y del organismo que la supervisa.
- Si es una profesión regulada (abogacía, arquitectura, psicología…), el colegio profesional, el número de colegiado y el título.
- Si se mencionan precios, deben ser claros, indicar si incluyen impuestos y, en su caso, los gastos de envío.
- Los códigos de conducta a los que estés adherido, si los hay.
El error más común que vemos es dejar el aviso legal de una plantilla con huecos sin rellenar o con los datos de otra empresa. Es peor que no tenerlo: transmite abandono y no cumple la ley. Si eres autónomo, el titular eres tú, con tu nombre y tu NIF; no hace falta tener una sociedad para publicar una web, pero sí identificarse.
2. La política de privacidad: qué haces con los datos
En cuanto tu web tiene un formulario, un botón de suscripción o un chat, recoges datos personales. El artículo 13 del RGPD dice qué hay que contar a la persona en el momento de recogerlos:
| Qué hay que informar | Ejemplo práctico para una web pequeña |
|---|---|
| Quién es el responsable y cómo contactar | Tu nombre o empresa, NIF, dirección y un email. |
| Para qué se usan los datos | Responder a la consulta y preparar un presupuesto. |
| Base legal | Tu consentimiento al enviar el formulario o medidas precontractuales. |
| Destinatarios | El proveedor de hosting o de email que procesa los mensajes. |
| Transferencias fuera de la UE | Si usas servicios con servidores fuera del Espacio Económico Europeo. |
| Plazo de conservación | Mientras dure la relación y los plazos legales después. |
| Derechos | Acceso, rectificación, supresión, oposición, limitación y portabilidad, y reclamar ante la AEPD. |
Dos detalles que se olvidan a menudo:
- Información en el propio formulario. Además de la página completa, junto al botón de envío debe haber un resumen (la llamada “primera capa”): responsable, finalidad, derechos y enlace a la política.
- Casilla sin marcar. Si pides consentimiento para algo opcional, como enviar un boletín, la casilla no puede venir marcada por defecto.
3. Cookies: el banner no es decoración
El artículo 22.2 de la LSSI exige consentimiento para guardar o leer información en el dispositivo del usuario, salvo que sea técnicamente necesaria para el servicio que pide. La Agencia Española de Protección de Datos (AEPD) publica una guía sobre el uso de cookies que concreta cómo aplicarlo. Lo esencial:
- Las cookies técnicas no necesitan consentimiento: sesión, carrito, idioma elegido o la propia decisión sobre cookies. Hay que informar de ellas, pero no pedir permiso.
- Analítica, publicidad y redes sociales sí lo necesitan, y no pueden cargarse antes de que la persona acepte. Un banner que avisa mientras Google Analytics ya está funcionando no cumple.
- Rechazar debe ser tan fácil como aceptar. Desde su actualización de 2023 (la versión vigente es de mayo de 2024), la guía pide que la primera capa tenga un botón para rechazar con la misma visibilidad que el de aceptar.
- “Si sigues navegando, aceptas” no vale como consentimiento.
- Tiene que haber una forma sencilla de cambiar de opinión después, por ejemplo un enlace permanente en el pie.
- Como buena práctica, la AEPD considera que la decisión no debería conservarse más de 24 meses sin volver a preguntar.
Cómo comprobarlo tú mismo: abre tu web en una ventana privada, no toques el banner y abre las herramientas del navegador (pestaña Red o Aplicación). Si ves peticiones a googletagmanager.com, facebook.net o similares antes de aceptar, el banner no está bloqueando nada.
4. Si muestras anuncios o usas píxeles de publicidad
Medir campañas de Google Ads o Meta, o mostrar anuncios de terceros, implica cookies de publicidad. Además de pedir consentimiento:
- La política de privacidad y la de cookies deben nombrar a esos proveedores y explicar que pueden mostrar anuncios basados en visitas anteriores.
- Hay que indicar cómo desactivar la publicidad personalizada; en el caso de Google, desde su página de configuración de anuncios.
- Si usas Google AdSense en el Espacio Económico Europeo, Google exige además una plataforma de gestión del consentimiento certificada por Google que siga el marco TCF de IAB.
5. Si vendes o contratas online
Una tienda online o un formulario de reserva con pago añade obligaciones de la normativa de consumidores: condiciones generales de contratación accesibles antes de pagar, precio final con impuestos, información sobre el derecho de desistimiento de 14 días cuando aplique y un justificante de la compra. No es lo mismo una web que solo informa que una que cobra: si tu web va a cobrar, reserva tiempo para esta parte antes del lanzamiento.
6. Accesibilidad
La Ley 11/2023 traspone la directiva europea de accesibilidad de productos y servicios (conocida como European Accessibility Act), aplicable desde el 28 de junio de 2025 a ciertos servicios como el comercio electrónico. Las microempresas que prestan servicios están exentas, pero hacer una web legible, navegable con teclado y con buen contraste es barato si se plantea desde el diseño, y mejora la experiencia de todo el mundo.
7. Lista rápida antes de publicar
- Aviso legal con nombre, NIF, domicilio y email reales, enlazado desde el pie de todas las páginas.
- Política de privacidad que coincide con lo que hace la web de verdad (formularios, proveedores, plazos).
- Resumen de privacidad junto a cada formulario y casillas opcionales sin marcar.
- Banner de cookies que bloquea analítica y publicidad hasta que se aceptan, con botón de rechazar visible.
- Política de cookies con la lista real de cookies, quién las pone y cuánto duran.
- Enlace permanente para cambiar las preferencias de cookies.
- Si vendes: condiciones de contratación y derecho de desistimiento antes del pago.
- Ningún texto de plantilla visible: ni “Lorem ipsum”, ni corchetes con datos pendientes.
Fuentes
- Ley 34/2002 (LSSI), texto consolidado en el BOE: artículos 10 y 22.
- Reglamento (UE) 2016/679 (RGPD) en EUR-Lex: artículo 13.
- AEPD, Guía sobre el uso de las cookies.
- Ley 11/2023, de 8 de mayo, en el BOE (accesibilidad de productos y servicios).
- Ayuda de Google AdSense: contenido obligatorio de la política de privacidad.