Requisitos legales de una página web en España: textos y obligaciones

Una página web de empresa o de profesional en España necesita, como base, tres textos legales: el aviso legal, que identifica a su titular (LSSI-CE), la política de privacidad, que explica cómo se tratan los datos personales (RGPD), y la política de cookies con su banner de consentimiento (LSSI-CE y guía de la AEPD). Si además vendes online, se suman las condiciones de contratación, la información sobre el desistimiento y, en muchos casos, requisitos de accesibilidad.

Esta guía reúne todas las obligaciones en un solo sitio, explica de dónde sale cada una y te lleva a la guía detallada de cada texto. Al final tienes una lista para revisar tu web.

¿A qué webs se aplican?

La Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (LSSI-CE) se aplica a los prestadores de servicios establecidos en España (artículo 2). Según su anexo, también cuentan los servicios que no se cobran a quien los usa, siempre que supongan una actividad económica para quien los presta. Por eso, la web de una empresa o de un profesional suele estar incluida aunque no venda nada en línea.

El Reglamento General de Protección de Datos (RGPD) se aplica en cuanto la web trata datos personales: un formulario, un boletín, una herramienta de analítica. Y la normativa de consumo entra en juego si vendes a personas consumidoras. Cada caso tiene matices, pero casi ninguna web de empresa queda fuera de todo.

Los tres textos básicos

1. Aviso legal

Lo exige el artículo 10 de la LSSI-CE. Debe dar de forma permanente, fácil, directa y gratuita el nombre o razón social, el domicilio, un correo electrónico, el NIF, los datos registrales si los hay y, según la actividad, la autorización administrativa, los datos del colegio profesional, la información sobre precios y los códigos de conducta. Lo explicamos con una plantilla en la guía sobre qué debe incluir el aviso legal.

2. Política de privacidad

La exige el artículo 13 del RGPD cuando la web recoge datos personales. Debe decir quién es el responsable, para qué se usan los datos y con qué base jurídica, a quién se comunican, cuánto tiempo se guardan, qué derechos hay y que se puede reclamar ante la AEPD. Junto a cada formulario, el artículo 11 de la LOPDGDD permite un resumen con enlace a la política completa. Tienes el detalle y un modelo en la guía sobre qué debe incluir la política de privacidad.

3. Política de cookies y banner

El artículo 22.2 de la LSSI-CE solo permite usar cookies que no sean técnicas si la persona da su consentimiento después de recibir información clara y completa. En la práctica son dos piezas: el banner, que pide el consentimiento con botones de aceptar y rechazar al mismo nivel, y la política de cookies, que da el detalle. Las explicamos en la guía del banner de cookies según la AEPD y en la de qué debe incluir la política de cookies.

Si tu web tiene formularios o envía correos

• Primera capa de privacidad en cada formulario: responsable, finalidad, derechos y enlace a la política.
• Casillas sin marcar: el considerando 32 del RGPD dice que las casillas ya marcadas no son consentimiento.
• Publicidad por correo, solo con permiso: el artículo 21 de la LSSI-CE prohíbe enviar comunicaciones comerciales por correo electrónico que no se hayan pedido o autorizado expresamente. La excepción es la clientela con la que ya hay una relación contractual, para productos o servicios propios similares. En todos los casos hay que ofrecer una forma sencilla y gratuita de darse de baja en cada envío.
• Publicidad identificable: según el artículo 20 de la LSSI-CE, las comunicaciones comerciales deben reconocerse como tales y dejar claro en nombre de quién se hacen.

Si vendes online

Una tienda online suma obligaciones de la LSSI-CE y de la ley general para la defensa de los consumidores (texto refundido aprobado por el Real Decreto Legislativo 1/2007):

• Antes de contratar (artículo 27 de la LSSI-CE): explicar los pasos para hacer el pedido, si el contrato se archiva y será accesible, cómo corregir errores al introducir los datos y en qué idiomas se puede contratar, y poner a disposición las condiciones generales para que se puedan guardar.
• Información precontractual (artículo 97 del texto refundido): características del producto, identidad y contacto de la empresa, precio total con impuestos, gastos de envío, formas de pago y entrega, garantía legal y, cuando exista, el derecho de desistimiento con su formulario.
• Desistimiento: con carácter general, 14 días naturales sin dar explicaciones (artículo 102). Si no se informa de este derecho, el plazo se alarga hasta doce meses después del plazo inicial (artículo 105).
• Confirmación del pedido (artículo 28 de la LSSI-CE): un acuse de recibo por correo en las 24 horas siguientes o una confirmación equivalente al terminar la compra.
• Accesibilidad: desde el 28 de junio de 2025, la Ley 11/2023 exige requisitos de accesibilidad a los servicios de comercio electrónico. Las microempresas que prestan servicios están exentas.

Lo desarrollamos en la página de requisitos de una tienda online.

Lo que no se ve en la web, pero también cuenta

• Contratos con quien trata datos por ti: el alojamiento, el proveedor del boletín o la empresa que mantiene la web actúan como encargados del tratamiento, y el artículo 28 del RGPD exige un contrato con ellos.
• Registro de actividades de tratamiento (artículo 30 del RGPD): las organizaciones de menos de 250 personas solo quedan exentas si el tratamiento es ocasional, no entraña riesgo y no incluye datos especialmente protegidos. Tratar a diario los datos de la clientela no es ocasional, así que lo habitual es tenerlo.
• Seguridad: el artículo 32 del RGPD pide medidas técnicas y organizativas adecuadas al riesgo. En una web eso incluye, entre otras cosas, conexión cifrada (HTTPS), software actualizado y copias de seguridad.
• Chatbots: desde el 2 de agosto de 2026, el artículo 50 del Reglamento (UE) 2024/1689 de inteligencia artificial exige que quien conversa con un sistema de IA sepa que lo es.

Qué riesgo hay

Las sanciones dependen de la norma:

• LSSI-CE (artículos 38 y 39): infracciones leves, hasta 30.000 euros; graves, de 30.001 a 150.000 euros. No dar los datos del aviso legal o usar cookies sin consentimiento son, en principio, leves; la reincidencia en las cookies o un incumplimiento significativo de algunos datos del artículo 10 pueden ser graves.
• RGPD (artículo 83): hasta 20 millones de euros o el 4 % de la facturación anual global para infracciones como las de los principios, el consentimiento o los derechos de las personas, y hasta 10 millones o el 2 % para otras, como las de seguridad.

Son máximos legales: cada multa se gradúa según el caso. Si quieres ver qué normas obligan hoy y cuáles llegan, consulta el Observatorio normativo de XEVIA.

Lista para revisar tu web

1. ¿El pie de todas las páginas enlaza el aviso legal, la política de privacidad y la política de cookies?
2. ¿El aviso legal tiene nombre o razón social, NIF, domicilio, correo y, si es una sociedad, datos registrales?
3. ¿La política de privacidad describe cada formulario y servicio que usa tu web, con su base jurídica y su plazo?
4. ¿Cada formulario tiene su primera capa y ninguna casilla marcada por defecto?
5. ¿El banner permite rechazar con un botón al mismo nivel que aceptar, y las cookies de analítica o publicidad esperan a la decisión?
6. ¿Hay un enlace permanente para cambiar la elección de cookies?
7. ¿Los textos coinciden con lo que hace la web hoy, no con lo que hacía cuando se redactaron?
8. Si vendes: ¿condiciones de contratación, precio final con impuestos, gastos de envío, desistimiento con formulario y confirmación del pedido?
9. Si vendes a personas consumidoras: ¿has revisado la accesibilidad de la tienda?
10. ¿La web carga por HTTPS y está actualizada?

Errores frecuentes

• Textos de plantilla sin adaptar, con datos de otra empresa o tratamientos que no existen.
• Normas derogadas: citar la LOPD de 1999 o hablar de «ficheros inscritos».
• Todo en una página interminable en lugar de tres textos claros.
• Banner decorativo: pide permiso, pero las cookies se instalan igual.
• Revisar una vez y olvidarse. Cada plugin, formulario o herramienta nueva puede cambiar lo que hay que contar.

Cómo comprobarlo

Con el diagnóstico gratuito de XEVIA obtienes una primera lectura en segundos. Revisa la página de inicio desde fuera, como lo haría cualquier persona que la visite: comprueba si enlaza el aviso legal, la privacidad y las cookies; lee el aviso legal y la política de privacidad en busca de datos y apartados que suelen faltar; y detecta herramientas de seguimiento que se cargan antes del consentimiento, formularios sin información de privacidad y, si es una tienda, la falta de condiciones de venta o de información sobre devoluciones. Es una revisión automática y orientativa: no recorre toda la web, no interactúa con el banner y no valora si tus textos describen lo que haces de verdad.

Para profundizar, tienes la herramienta para comprobar si tu web cumple el RGPD y la LSSI. Si necesitas que alguien lo revise contigo, XEVIA cuenta con un equipo de abogados expertos en derecho digital que puede estudiar tu caso.

Preguntas frecuentes

¿Qué es la LSSI y por qué aparece tanto?

Es la ley que regula los servicios de la sociedad de la información en España: de ella salen el aviso legal, las cookies, la publicidad por correo y la contratación electrónica. La explicamos en la guía sobre qué es la LSSI y cómo afecta a tu web.

¿Una web sin formularios necesita política de privacidad?

Depende de si trata datos personales. Si carga analítica, mapas, vídeos o tipografías desde servidores de terceros, esos servicios reciben datos de la visita, como la dirección IP, y conviene informar de ello.

¿Puedo usar un generador de textos legales?

Como punto de partida, sí. Pero el texto tiene que describir tu web real. La AEPD ofrece Facilita RGPD para tratamientos de poco riesgo y advierte de que sus documentos hay que adaptarlos a cada caso.

¿Cada cuánto tengo que revisar los textos legales?

Siempre que cambie algo en la web y, como mínimo, de forma periódica. Las herramientas externas cambian aunque tú no toques nada.

Este artículo es informativo y no sustituye el estudio de tu caso concreto. Para las cuestiones jurídicas, XEVIA cuenta con un equipo de abogados expertos en derecho digital que puede estudiarlo: cuéntanos tu caso.