Si tu negocio tiene web, la ley te obliga a identificarte en ella (art. 10 de la LSSI), a explicar qué haces con los datos de quien te escribe (art. 13 del RGPD) y a no instalar cookies que no sean técnicas sin un consentimiento previo e informado (art. 22.2 de la LSSI). Son tres textos: aviso legal, política de privacidad y política de cookies, más el banner. Las multas leves de la LSSI llegan a 30.000 € y las graves a 150.000 €; las de protección de datos siguen la escala del RGPD.
Quién está obligado
La Ley 34/2002 de servicios de la sociedad de la información (LSSI) se aplica también a los servicios que el visitante no paga, cuando son una actividad económica para quien los presta (anexo, letra a). Una web desde la que vendes, das a conocer tus servicios o envías publicidad entra ahí, seas autónomo o sociedad: necesitas aviso legal, política de privacidad y, si usas cookies no técnicas, banner y política de cookies. Si vendes a consumidores, mira también vender por internet y condiciones generales.
El aviso legal: qué datos tienes que dar
El art. 10.1 de la LSSI exige que visitantes y Administración puedan consultar en todo momento y gratis: tu nombre o denominación social; tu residencia o domicilio o, en su defecto, la dirección de un establecimiento permanente en España; un correo electrónico y otro dato de contacto directo; la inscripción en el Registro Mercantil u otro registro público, si la tienes; el NIF; los datos de la autorización administrativa si tu actividad la necesita, y los códigos de conducta a los que estés adherido. En una profesión colegiada añades colegio, número de colegiado, título y normas profesionales (art. 10.1.d). Si muestras precios, indica si incluyen impuestos y gastos de envío (art. 10.1.f). Basta con publicarlo en la web (art. 10.2), normalmente en un enlace «Aviso legal» en el pie de página.
La política de privacidad
Cada formulario de contacto, presupuesto o suscripción recoge datos personales. Al recogerlos debes informar de quién eres, los fines y la base jurídica, a quién se comunican los datos, si salen de la UE, cuánto tiempo los guardarás, los derechos del interesado y la posibilidad de reclamar ante la autoridad de control (art. 13 del Reglamento General de Protección de Datos, RGPD). La Ley Orgánica 3/2018 (LOPDGDD) permite hacerlo por capas: junto al formulario, la información básica, y un enlace a la política completa (art. 11).
Si quieres usar ese correo para publicidad, pídelo con una casilla aparte, porque el consentimiento debe distinguirse claramente de los demás asuntos (art. 7.2 RGPD). El resto de obligaciones con datos de clientes y empleados está en protección de datos para negocios.
Cookies: el consentimiento va antes
El art. 22.2 de la LSSI solo permite instalar cookies si el usuario consiente después de recibir información clara y completa sobre sus fines; se exceptúan las estrictamente necesarias para el servicio que ha pedido, como la sesión o el carrito. La Agencia Española de Protección de Datos (AEPD), en su guía sobre el uso de las cookies (actualizada en mayo de 2024), no exime a las de análisis aunque sean propias, y fija estos criterios:
- En la primera capa, un botón para aceptar y otro para rechazar con la misma visibilidad, y acceso a un panel de configuración por finalidades.
- Seguir navegando no es consentir, y las casillas premarcadas no valen (sentencia del Tribunal de Justicia de la UE Planet49, C-673/17, de 1 de octubre de 2019).
- El color o el contraste de los botones no puede llevar a aceptar sin querer.
- Es buena práctica que el consentimiento no dure más de 24 meses, y retirarlo debe ser tan fácil como darlo.
Un muro que impide entrar sin aceptar solo se admite si se avisa y se ofrece una alternativa de acceso equivalente sin cookies, aunque sea de pago (apartado 3.2.10 de la guía). La perspectiva del usuario está en cookies y consentimiento.
Las herramientas de terceros no te eximen. Si la analítica, los píxeles de redes sociales o la publicidad instalan cookies antes de que el usuario pulse «Aceptar», respondes tú como titular de la web y, en algunos casos, también la red publicitaria (art. 37 LSSI). Compruébalo en una ventana privada antes de hacer clic.
Correos comerciales y boletines
Enviar publicidad por correo electrónico o un medio equivalente exige que el destinatario lo haya pedido o autorizado expresamente (art. 21.1 LSSI). La excepción son tus clientes: si obtuviste sus datos de forma lícita al contratar, puedes escribirles sobre productos o servicios tuyos similares a los que compraron (art. 21.2). Cada envío debe identificarse como publicidad (art. 20.1) e incluir una dirección electrónica para darse de baja de forma sencilla y gratuita (arts. 21.2 y 22.1).
Qué cuesta no cumplir
| Incumplimiento | Calificación | Multa | Quién sanciona |
|---|---|---|---|
| No identificarte en la web (art. 10) | Leve; grave si el incumplimiento es significativo en nombre, domicilio, correo o precios | Hasta 30.000 €; grave, de 30.001 a 150.000 € | Secretaría de Estado de Digitalización e Inteligencia Artificial |
| Cookies sin información o sin consentimiento (art. 22.2) | Leve; grave si reincides en tres años con resolución firme | Hasta 30.000 €; grave, de 30.001 a 150.000 € | AEPD |
| Publicidad por correo sin consentimiento (art. 21) | Leve; grave si es masiva o insistente | Hasta 30.000 €; grave, de 30.001 a 150.000 € | AEPD |
| No informar en los formularios (art. 13 RGPD) | Leve si la información es incompleta; muy grave si se omite | Escala del art. 83 RGPD | AEPD |
Las multas de la LSSI se gradúan por la intencionalidad, la duración, los beneficios y la reparación del daño, entre otros criterios (art. 40). En protección de datos cabe un apercibimiento en lugar de multa (art. 58.2.b RGPD).
Revisión en una tarde: ① comprueba que el aviso legal tiene todos los datos del art. 10; ② rellena tu formulario y mira si aparece la información básica y una casilla separada para publicidad; ③ verifica que no se carga ninguna cookie no técnica antes de aceptar; ④ prueba a rechazar con un solo clic; ⑤ suscríbete a tu boletín y prueba el enlace de baja.
Preguntas que nos hacéis cada semana
¿Necesito todo esto si mi web es solo informativa?
Sí, salvo las condiciones de contratación, que solo hacen falta si vendes o contratas en línea. Una web que da a conocer tu negocio es una actividad económica a efectos de la LSSI (anexo, letra a).
¿Puedo medir las visitas sin pedir consentimiento?
La guía de la AEPD no exime a las cookies de análisis, aunque ve poco probable que supongan un riesgo si son propias, tratan datos agregados con fines estadísticos y se permite oponerse. Si la herramienta es de un tercero, pide el consentimiento antes de cargarla.
¿Vale un texto copiado de otra web?
Solo si lo adaptas: el aviso legal debe llevar tus datos y la política de privacidad tiene que describir tus formularios, tus proveedores y tus plazos de conservación. Si no se corresponde con lo que haces, no cumple el art. 13 del RGPD.
¿Cada cuánto vuelvo a pedir el consentimiento de cookies?
La AEPD considera buena práctica no superar los 24 meses y respetar la elección mientras tanto. Si cambian las finalidades o los terceros, hay que pedirlo de nuevo.
Te llama un abogado de empresa y autónomos
en menos de 48 horas.
Sin compromiso y sin coste. Y si hay que actuar, el precio está publicado antes de que nos llames y se paga hasta en 12 cuotas: servicios y precios de empresa y autónomos →
Un abogado te llamará en menos de 48 horas (días laborables). No compartimos tus datos con nadie. También por WhatsApp: 605 443 928
Continúa tu historia
→ Cookies y consentimiento: lo que puede exigir el usuario
→ Protección de datos para negocios
→ Vender por internet: condiciones generales y desistimiento
→ Publicidad en redes e influencers
→ Si alguien ha registrado tu dominio
Marco legal: arts. 10, 20, 21, 22, 27, 28, 37 a 40 y 43 y anexo de la Ley 34/2002 (LSSI) · arts. 7, 13, 14, 58.2.b y 83 del Reglamento (UE) 2016/679 · arts. 11, 72 y 74 de la LO 3/2018 (LOPDGDD) · Guía de la AEPD sobre el uso de las cookies (mayo de 2024) · STJUE de 1 de octubre de 2019, Planet49, C-673/17. Contenido revisado por el equipo jurídico de The Juris · octubre de 2026.