Qué es la LSSI (Ley 34/2002) y cómo afecta a tu web

La LSSI es la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI-CE). Regula en España las actividades económicas que se hacen por Internet y obliga a quien tiene una web de empresa o profesional a identificarse (el aviso legal), a pedir permiso para las cookies que no son técnicas, a no enviar publicidad por correo sin autorización y a informar antes y después de vender online.

Aquí te explicamos qué es, a quién se aplica, qué te exige en la práctica y qué pasa si no se cumple, con el artículo concreto de cada obligación.

Qué es la LSSI-CE

Es la ley española que incorporó la directiva europea sobre comercio electrónico. Según su artículo 1, regula el régimen jurídico de los servicios de la sociedad de la información y de la contratación por vía electrónica: las obligaciones de quienes prestan esos servicios, las comunicaciones comerciales por vía electrónica, la información antes y después de los contratos electrónicos y el régimen sancionador.

Lleva en vigor desde octubre de 2002 y se ha modificado varias veces. La versión consolidada del BOE indica como última actualización la publicada el 23 de enero de 2025. Conviene consultar siempre esa versión, y no copias antiguas.

La LSSI-CE no sustituye a la normativa de protección de datos ni a la de consumo: convive con ellas. El aviso legal sale de la LSSI-CE; la política de privacidad, del RGPD; y las condiciones de una tienda online, de ambas y de la normativa de consumo.

¿A quién se aplica?

Su artículo 2 la aplica a los prestadores de servicios de la sociedad de la información establecidos en España. Y su anexo define esos servicios como los prestados normalmente a título oneroso, a distancia, por vía electrónica y a petición de quien los usa, añadiendo que también incluye los que no se cobran a quien los usa siempre que sean una actividad económica para quien los presta.

En la práctica, esto suele incluir:

• La web de una empresa o de un profesional que presenta sus servicios, aunque no venda nada en línea.
• Las tiendas online y las webs con reservas o pagos.
• Los blogs o webs con publicidad que generan ingresos.
• El envío de comunicaciones comerciales por correo electrónico.

El anexo excluye, entre otros, los servicios por teléfono de voz, fax o télex, y el correo electrónico usado para fines ajenos a una actividad económica. Una web personal sin ninguna actividad económica puede quedar fuera, pero cada caso tiene matices.

Según el artículo 4, a quien está establecido fuera de la Unión Europea y dirige sus servicios específicamente a España también se le aplican las obligaciones de la ley, siempre que no lo impidan tratados internacionales.

Qué te exige: las obligaciones que afectan a una web

1. Identificarte: el aviso legal (artículo 10)

Debes ofrecer de forma permanente, fácil, directa y gratuita tu nombre o razón social, domicilio, correo electrónico, NIF, datos registrales si los hay y, según el caso, autorización administrativa, colegio profesional, información de precios con impuestos y gastos de envío, y códigos de conducta. La ley da la obligación por cumplida si la información está en la propia web. Te lo contamos con una plantilla en la guía sobre qué debe incluir el aviso legal.

2. Pedir permiso para las cookies (artículo 22.2)

Solo puedes usar cookies y dispositivos similares en el equipo de quien visita la web si esa persona da su consentimiento después de recibir información clara y completa sobre sus fines. Quedan fuera las de carácter técnico estrictamente necesarias para el servicio que la persona ha pedido. Cómo se aplica lo explica la Guía sobre el uso de las cookies de la AEPD, y en XEVIA lo contamos en las guías del banner de cookies y de la política de cookies.

3. Publicidad por correo, solo con autorización (artículos 20, 21 y 22.1)

• Las comunicaciones comerciales deben ser claramente identificables como tales, y también quién las envía (artículo 20).
• Está prohibido enviar publicidad por correo electrónico o medios equivalentes que no se haya pedido o autorizado expresamente (artículo 21.1).
• La excepción: si hay una relación contractual previa, puedes escribir a tu clientela sobre productos o servicios propios similares a los que contrató, siempre que obtuvieras sus datos de forma lícita (artículo 21.2).
• En todo caso, debes ofrecer una forma sencilla y gratuita de oponerse o darse de baja, al recoger los datos y en cada envío. Si es por correo, con una dirección electrónica válida para hacerlo (artículos 21.2 y 22.1).

4. Informar si vendes online (artículos 27 y 28)

Antes de iniciar la compra, debes explicar los pasos para contratar, si archivarás el contrato y será accesible, cómo corregir errores al introducir datos y en qué idiomas se puede contratar, y poner a disposición las condiciones generales para que se puedan guardar y reproducir. Después, debes confirmar la recepción del pedido con un acuse de recibo por correo en las 24 horas siguientes o con una confirmación equivalente al terminar el proceso. Si la otra parte es una empresa y ambas lo pactáis, se pueden excluir estas obligaciones; con personas consumidoras, no. Más detalle en la página de requisitos de una tienda online.

Ejemplo: el pie de un correo comercial

Un modelo orientativo para cumplir la identificación y la baja que piden los artículos 20, 21 y 22.1. Sustituye los huecos entre comillas y en cursiva por tus datos:

«Recibes este correo de «nombre de la empresa» («NIF», «domicilio») porque «te suscribiste a nuestro boletín el «fecha» / eres cliente de «producto o servicio»». Si no quieres recibir más comunicaciones comerciales, escribe a «dirección de correo para bajas» o pulsa «Darme de baja»; es gratuito. Más información en nuestra «política de privacidad (enlace)».»

Y el asunto o el contenido deben dejar claro que se trata de publicidad.

Qué sanciones prevé

El artículo 39 fija las multas según la gravedad:

• Leves: hasta 30.000 euros.
• Graves: de 30.001 a 150.000 euros.
• Muy graves: de 150.001 a 600.000 euros.

Algunos ejemplos del artículo 38 que afectan a una web corriente:

• Usar cookies sin informar o sin consentimiento: leve; si se reincide y así se ha declarado por resolución firme en los tres años anteriores, grave.
• No dar los datos del aviso legal: leve; el incumplimiento significativo de la identificación y contacto (letra a) o de la información de precios (letra f) puede ser grave.
• Enviar publicidad por correo sin cumplir el artículo 21: leve; si el envío es masivo, o insistente o sistemático a la misma persona, grave.
• No poner a disposición las condiciones generales antes de contratar: grave.
• No dar la información previa a la contratación del artículo 27.1 a personas consumidoras: leve.

La cuantía se gradúa con criterios como la intencionalidad, la duración, la reincidencia, los perjuicios o los beneficios obtenidos (artículo 40). Según el artículo 43, las infracciones de cookies y de publicidad por correo las sanciona la Agencia Española de Protección de Datos; las demás graves y leves, la Secretaría de Estado de Digitalización e Inteligencia Artificial. Puedes seguir la actualidad en el Observatorio normativo de XEVIA.

Errores frecuentes

• Pensar que la LSSI-CE solo afecta a las tiendas online. Una web corporativa sin venta suele estar incluida.
• Confundir la LSSI-CE con el RGPD. El aviso legal no sustituye a la política de privacidad, ni al revés.
• Comprar o importar listas de correos y enviarles publicidad sin autorización expresa.
• Enviar boletines sin enlace de baja o con una baja que obliga a iniciar sesión o a dar explicaciones.
• Un banner de cookies que no bloquea nada hasta que se acepta.
• Precios sin indicar si incluyen impuestos o sin los gastos de envío.

Cómo comprobar si tu web cumple la LSSI-CE

1. Busca el aviso legal desde el pie de tu web y compara cada dato con los del artículo 10.
2. Abre la web en una ventana privada y comprueba que no se instalan cookies de analítica o publicidad antes de aceptar.
3. Revisa el pie de tus correos comerciales: identificación, aviso de que es publicidad y baja sencilla y gratuita.
4. Si vendes, haz una compra de prueba: ¿ves las condiciones antes de pagar y recibes la confirmación?

El diagnóstico gratuito de XEVIA hace una primera lectura automática de la página de inicio desde fuera: comprueba si enlaza el aviso legal y si le faltan datos como el NIF, el domicilio, el correo o los datos registrales, detecta herramientas de seguimiento que se cargan sin esperar al consentimiento y cookies no técnicas que se instalan en la primera visita, y en tiendas avisa si no encuentra condiciones de venta. Es orientativo: no revisa tus correos comerciales ni el proceso de compra, ni recorre el resto de páginas. Para seguir, usa la herramienta para comprobar si tu web cumple el RGPD y la LSSI.

Preguntas frecuentes

¿LSSI y LSSICE son lo mismo?

Sí. Son dos abreviaturas de la misma ley: la Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico.

¿Me afecta si mi web está alojada fuera de España?

Lo que cuenta es dónde está establecido el prestador, no el servidor. El artículo 2 dice que el uso de medios tecnológicos situados en España no basta, por sí solo, para considerar a alguien establecido aquí; y, a la inversa, una empresa establecida en España sigue sujeta a la ley aunque aloje su web en otro país.

¿Puedo escribir a empresas sin su permiso?

El artículo 21 habla de «destinatarios», sin distinguir entre particulares y empresas, y el anexo define el destinatario como la persona física o jurídica que usa el servicio. Si no hay autorización previa ni relación contractual, el envío de publicidad por correo electrónico entra, en principio, en la prohibición.

¿Cuánto tarda en prescribir una infracción?

Según el artículo 45, las leves prescriben a los seis meses, las graves a los dos años y las muy graves a los tres años.

¿Qué más textos legales necesita mi web?

Además de lo que pide la LSSI-CE, la política de privacidad del RGPD y, si vendes, las obligaciones de consumo. Lo tienes todo junto en la guía sobre los requisitos legales de una página web.

Este artículo es informativo y no sustituye el estudio de tu caso concreto. Para las cuestiones jurídicas, XEVIA cuenta con un equipo de abogados expertos en derecho digital que puede estudiarlo: cuéntanos tu caso.