Textos legales de una web: qué exige la ley y qué debe tener tu página

Respuesta corta: qué textos legales necesita una web en España

Una web de negocio en España necesita, como mínimo, tres textos: un aviso legal con los datos del titular, una política de privacidad si recoge datos personales y una política de cookies con un banner que funcione de verdad si usa cookies que no sean estrictamente técnicas. Si además vende online, se suman las condiciones de venta y la información sobre desistimiento y devoluciones. Lo que casi nadie cuenta es que los textos legales de una web son solo la mitad del trabajo. La otra mitad es técnica: que el banner bloquee de verdad las herramientas de seguimiento hasta que el usuario acepta, que los formularios informen de lo que ocurre con los datos y que lo que dice cada documento coincida con lo que la web hace. Muchas páginas tienen los tres textos publicados y aun así incumplen, porque el documento dice una cosa y el código hace otra. Esta guía recorre cada texto, qué debe contener, cuándo te afecta y qué tiene que hacer la web para respaldarlo. Si estás montando tu primera web, por dónde empezar explica el orden de las decisiones. Los textos legales suelen dejarse para el final, y conviene pensarlos desde el principio.

Un texto legal correcto sobre una web que hace otra cosa no protege a nadie. Lo que cuenta es que el documento y la web digan lo mismo.

Las tres normas que hay detrás: LSSI, RGPD y consumo

No existe una única ley de los textos legales de una web. Los documentos que ves en el pie de casi cualquier página responden a obligaciones de normas distintas, y saber cuál es cuál ayuda a entender por qué cada uno dice lo que dice.

Aviso legal y cookies salen de la LSSI, la privacidad del RGPD y la LOPDGDD, y las condiciones de venta de la normativa de consumo. Cada texto responde a una ley distinta, y por eso un único documento genérico no los sustituye.

• LSSI-CE (Ley 34/2002 de servicios de la sociedad de la información y de comercio electrónico): obliga a identificar a quien presta el servicio (artículo 10), regula el uso de cookies y dispositivos similares (artículo 22.2) y fija las reglas de las comunicaciones comerciales por correo electrónico (artículo 21). Es la base del aviso legal y de la política de cookies.
• RGPD (Reglamento UE 2016/679) y LOPDGDD (Ley Orgánica 3/2018): regulan cualquier tratamiento de datos personales, y un formulario de contacto ya lo es. Exigen informar con claridad de quién trata los datos, para qué y con qué derechos (artículo 13 del RGPD y artículo 11 de la LOPDGDD). Son la base de la política de privacidad.
• Normativa de consumo (texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios): se aplica cuando se vende a consumidores. Exige información previa sobre el producto y el precio, y reconoce el derecho de desistimiento. Es la base de las condiciones de venta.
• Normativa sectorial: algunas actividades añaden obligaciones propias, como las profesiones colegiadas, la salud, el juego o los servicios financieros. Si es tu caso, la información del aviso legal crece y conviene consultarlo con un profesional.

Cuándo te afecta: no solo les pasa a las tiendas online

Es habitual pensar que los textos legales son cosa de comercios electrónicos. No lo son. La LSSI se aplica a quien presta servicios por internet como parte de una actividad económica, y eso incluye una web corporativa que presenta servicios, capta clientes o muestra publicidad, aunque no venda nada online. El RGPD se aplica en cuanto la web recoge datos personales de forma profesional, y un formulario de contacto o una herramienta de analítica bastan. Esta es la lectura práctica según el tipo de web:

La pregunta útil no es si vendes online. Es si ejerces una actividad económica y si tu web recoge datos personales de alguien, aunque sea un nombre y un correo.

• Web corporativa o de profesional autónomo que presenta servicios: aviso legal siempre. Política de privacidad en cuanto haya un formulario, y política de cookies si carga analítica, mapas o vídeos incrustados.
• Blog con newsletter: lo anterior, más un consentimiento específico para enviar comunicaciones comerciales por correo y una baja sencilla en cada envío.
• Tienda online: todo lo anterior, más condiciones de venta, precios con impuestos, gastos de envío visibles y derecho de desistimiento.
• Web con área privada, reservas o chat: la política de privacidad debe cubrir también esos datos, y conviene revisar con qué proveedores se comparten. Es el caso de un chatbot, que conversa con personas y guarda lo que escriben.
• Web personal sin actividad económica: la LSSI no se aplica en principio, pero si usa formularios o cookies de terceros, el RGPD y la norma de cookies siguen vigentes.

Aviso legal: los datos del titular que la web debe mostrar

El aviso legal responde a una pregunta sencilla: quién está detrás de esta web. El artículo 10 de la LSSI obliga al prestador del servicio a mostrar sus datos de forma permanente, fácil, directa y gratuita. En la práctica significa un enlace visible en el pie de todas las páginas, no un documento enterrado a tres clics. Además de los datos obligatorios, suele añadirse un apartado de condiciones de uso, propiedad intelectual y ley aplicable. No lo exige la LSSI, pero es habitual y ayuda a delimitar responsabilidades. Estos son los datos que sí pide la ley:

Muchos avisos legales se quedan en un nombre y un correo. Si faltan el domicilio o los datos registrales de una sociedad, el texto está incompleto aunque parezca profesional.

• Identidad: nombre y apellidos si eres autónomo, o denominación social si eres una sociedad.
• Domicilio: el de residencia o el de la sede o, en su defecto, el de un establecimiento permanente en España. Si trabajas desde casa y no quieres publicar tu vivienda, no hay una respuesta única: depende del domicilio que figure en tu alta y de tu situación. Consúltalo con tu gestor antes de decidir.
• Contacto: una dirección de correo electrónico y otro dato que permita una comunicación directa y efectiva, como un teléfono.
• Datos registrales: los de inscripción en el Registro Mercantil si eres sociedad, o en otro registro público si tu actividad lo exige.
• Autorización administrativa: si tu actividad la necesita, la información de la autorización y del organismo que la concede.
• Profesiones reguladas: colegio profesional, número de colegiado, título académico y normas profesionales aplicables.
• Precios: cuando se indiquen, deben ser claros e incluir impuestos y gastos de envío.

Política de privacidad: qué debe contar, qué no y dónde se coloca

La política de privacidad cumple el deber de informar del RGPD. Hace falta siempre que la web trate datos personales, y los trata más de lo que parece: el formulario de contacto, la suscripción a la newsletter, un registro de usuario, una reserva, un pedido, un chat y también la dirección IP o los identificadores que recogen algunas herramientas de analítica. El artículo 13 del RGPD enumera lo que hay que contar, y el artículo 11 de la LOPDGDD permite hacerlo por capas. Junto a cada formulario basta un resumen con el responsable, la finalidad y los derechos, y un enlace a la política completa, que es donde va el detalle. Una duda frecuente es la casilla de aceptación. Cuando la base jurídica es el consentimiento, como en una newsletter, la casilla debe venir sin marcar y ser específica para esa finalidad. En un formulario de contacto, en cambio, el tratamiento suele apoyarse en responder la petición de quien escribe, y lo obligatorio es informar, no pedir un consentimiento que no es la base. Puedes mantener una casilla de 'he leído la política', pero no sustituye a la información ni vale como consentimiento para otros fines. Esto es lo que debe contar la política:

La política de privacidad no se escribe una vez a partir de una plantilla. Se escribe a partir de lo que tu web hace con los datos: sin ese inventario, el texto es una suposición.

• Quién es el responsable: identidad y datos de contacto, y los del delegado de protección de datos si lo hay.
• Para qué se usan los datos: cada finalidad por separado. Responder una consulta no es lo mismo que enviar publicidad.
• Con qué base jurídica: consentimiento, ejecución de un contrato o medidas precontractuales, interés legítimo u obligación legal. Cada finalidad tiene la suya.
• A quién se comunican: destinatarios o categorías de destinatarios, como el alojamiento web, la herramienta de correo, la gestoría o la pasarela de pago.
• Si salen de la Unión Europea: las transferencias internacionales y las garantías que las respaldan, un punto que afecta a muchas herramientas de proveedores estadounidenses.
• Cuánto tiempo se conservan: un plazo o, al menos, los criterios para fijarlo.
• Qué derechos tiene la persona y cómo ejercerlos: acceso, rectificación, supresión, limitación, oposición y portabilidad, además de poder retirar el consentimiento.
• Dónde reclamar: ante la Agencia Española de Protección de Datos.

Política de cookies y banner: donde más webs incumplen sin saberlo

Las cookies son el apartado donde más se nota la diferencia entre tener un texto y cumplir. El artículo 22.2 de la LSSI exige informar con claridad sobre las cookies y obtener el consentimiento del usuario antes de instalarlas, salvo las técnicas imprescindibles para prestar el servicio que el usuario ha pedido, como mantener una sesión o recordar el contenido de un carrito. Las de analítica, publicidad y seguimiento necesitan, en general, consentimiento previo, según el criterio de la AEPD en su guía sobre el uso de las cookies, actualizada en 2023. El banner es solo la interfaz. Lo que importa es lo que ocurre detrás. Estos son los criterios que tiene que cumplir:

Un banner que dice 'al continuar navegando aceptas las cookies' no cumple. Y uno que ofrece rechazar, pero deja cargar la analítica de todas formas, es peor: aparenta un control que no existe.

• Consentimiento previo: ninguna cookie no técnica debe instalarse ni ningún script de seguimiento cargarse antes de que el usuario acepte.
• Rechazar tan fácil como aceptar: el botón para rechazar debe estar en la primera capa del banner y tener una presencia visual comparable a la del botón de aceptar. Esconderlo en un submenú de configuración no cumple el criterio de la guía de la AEPD.
• Sin consentimiento tácito ni presiones: seguir navegando, hacer scroll o cerrar el banner no equivalen a aceptar, y las casillas premarcadas tampoco valen. Tampoco debe impedirse el acceso a quien rechaza, salvo supuestos muy concretos en los que se ofrezca una alternativa.
• Configuración por categorías: quien quiera elegir debe poder aceptar o rechazar por finalidades, como analítica o publicidad.
• Información clara: qué cookies hay, de quién son, para qué sirven y cuánto duran, normalmente en una tabla dentro de la política de cookies. Es el apartado que antes se queda desactualizado.
• Revocación sencilla: un enlace permanente, normalmente en el pie, que permita cambiar la decisión en cualquier momento con la misma facilidad con la que se dio.
• Renovación razonable: la AEPD recomienda no conservar la decisión más de 24 meses antes de volver a pedirla.

Test de cinco minutos para saber si tu banner funciona de verdad

Nada de esto se comprueba leyendo la política. Se comprueba mirando qué hace la web, y con el navegador basta. Presta atención también a los contenidos incrustados: un mapa, un vídeo o un widget de reservas pueden instalar cookies o enviar datos del visitante a un tercero desde que se carga la página, aunque no hayas contratado ninguna herramienta de analítica.

Si el banner dice una cosa y la pestaña Red dice otra, manda la pestaña Red. Es lo que ve cualquier auditoría, y lo que ve la AEPD si investiga.

• Paso 1. Abre tu web en una ventana de incógnito, para partir sin decisiones guardadas, y no pulses nada del banner.
• Paso 2. Abre las herramientas del desarrollador (tecla F12) y, en la pestaña Aplicación, revisa las cookies del sitio. Antes de aceptar solo deberían aparecer las técnicas, como la que recuerda la decisión del banner.
• Paso 3. En la pestaña Red, recarga la página y busca peticiones a servicios de analítica, publicidad, redes sociales o mapas. Si salen antes del consentimiento, la web las carga sin permiso.
• Paso 4. Pulsa Rechazar y repite la comprobación. No debería aparecer nada que no sea técnico.
• Paso 5. Acepta y vuelve a mirar: ahora sí deberían cargarse. Después usa el enlace de configuración del pie para cambiar la decisión y comprueba que se aplica al recargar.
• Paso 6. Compara lo que has visto con la tabla de la política de cookies. Si hay cookies que no figuran, el texto está incompleto.

Condiciones de venta y otros textos cuando vendes online

Si la web vende productos o servicios a consumidores, entran en juego las normas de consumo y con ellas un cuarto texto: las condiciones de venta o condiciones generales de contratación. No hay una fórmula única, pero hay contenidos que deben estar a la vista antes de que el cliente pague.

En una tienda online, los textos legales no son un trámite de fin de proyecto. El proceso de compra debe construirse alrededor de ellos: dónde se muestra cada información y en qué momento se acepta.

• Información previa: características principales del producto o servicio, precio total con impuestos y gastos de envío, formas de pago, plazos de entrega y duración del contrato si la hay.
• Derecho de desistimiento: el consumidor dispone, en general, de 14 días naturales para desistir sin dar explicaciones, con excepciones como los productos personalizados. Si no se le informa de este derecho, el plazo se amplía hasta doce meses.
• Devoluciones y garantía legal: cómo se gestionan las devoluciones, quién asume el coste del envío de vuelta y qué garantía legal cubre los bienes.
• Confirmación del pedido: el botón final debe dejar claro que implica una obligación de pago, con una fórmula como 'pedido con obligación de pago'.
• Aceptación de las condiciones: que el cliente pueda leerlas y las acepte antes de comprar, y que quede guardada la versión que aceptó.
• Atención al cliente y reclamaciones: un canal de contacto y la información sobre cómo reclamar.

Lo que tiene que hacer la web además de mostrar los textos

Aquí es donde el desarrollo marca la diferencia. Un texto legal necesita una implementación coherente detrás, y casi todo lo que sigue depende de cómo se construya la web, no de cómo se redacte el documento.

Dos webs con el mismo aviso legal pueden estar en situaciones muy distintas: una carga la analítica antes del consentimiento y la otra no. La diferencia no está en el texto, está en el código.

• Enlaces visibles en todas las páginas: aviso legal, privacidad y cookies en el pie, sin depender de la portada ni de un menú.
• Información junto a cada formulario: el resumen de primera capa y el enlace a la política, también en formularios secundarios como la newsletter o el chat.
• Scripts condicionados al consentimiento: la analítica, los píxeles de publicidad y los contenidos incrustados se cargan solo tras aceptar. Es una decisión de arquitectura, no un ajuste del banner.
• Un banner que no desplace la página: si empuja el contenido al aparecer, provoca saltos de diseño y empeora el CLS, una de las métricas que explicamos en SEO técnico. Un banner superpuesto y previsto en el diseño evita el problema.
• Registro de las decisiones: poder demostrar qué eligió el usuario y cuándo, cuando la base jurídica es el consentimiento.
• Proveedores bajo contrato: con el alojamiento, la herramienta de correo o la plataforma de reservas que traten datos por tu cuenta, el RGPD exige un contrato de encargado del tratamiento. Muchos proveedores lo incluyen en sus condiciones, pero conviene comprobarlo.
• Seguridad y brechas: medidas razonables para proteger los datos y un procedimiento para avisar a la AEPD en un máximo de 72 horas si hay una brecha que suponga riesgo para las personas.

Los errores más frecuentes al copiar o generar los textos

Copiar los textos de otra web o rellenar una plantilla sin pensar es la forma más rápida de cumplir en apariencia y la más habitual de acabar con un documento erróneo. Estos son los fallos que más se repiten:

Un texto legal con el CIF de otra empresa no es un descuido menor: indica a quien lo lee que nadie lo ha revisado.

• Datos de otra empresa: nombres, domicilios o CIF ajenos que se olvidaron al copiar. Se ven más de lo que parece.
• Referencias derogadas: menciones a la antigua Ley Orgánica 15/1999 o a ficheros inscritos en el registro de la AEPD. Desde la aplicación del RGPD ya no se inscriben ficheros, y la ley de 1999 quedó sustituida por la LOPDGDD.
• Textos que no coinciden con la web: una política que dice no usar cookies mientras la web carga analítica, o que no menciona la herramienta de correo que sí se usa.
• Finalidades mezcladas: una sola casilla para aceptar la política, recibir publicidad y ceder datos a terceros.
• Plantillas con huecos sin rellenar: corchetes con el nombre de la empresa o apartados que no se aplican a tu caso.
• Textos que no se actualizan: se añadió un chatbot, un píxel de publicidad o una pasarela de pago y nadie revisó los documentos.
• Páginas legales difíciles de encontrar: enlaces solo en la portada o con un tamaño ilegible.

Sanciones: qué prevé la ley y qué conviene evitar de verdad

Las sanciones existen y los máximos son altos, pero conviene leerlos con proporción. La LSSI prevé multas de hasta 30.000 euros para las infracciones leves, de 30.001 a 150.000 para las graves y de 150.001 a 600.000 para las muy graves. En protección de datos, el RGPD fija topes de hasta 10 o 20 millones de euros, o del 2 % o el 4 % de la facturación anual mundial, la cantidad que sea mayor, según el tipo de infracción. Son cifras pensadas para los casos más serios y las empresas más grandes, no para una web de pyme con un aviso legal incompleto. Para una pequeña empresa, lo que conviene evitar no es solo la cifra máxima, sino el procedimiento: una denuncia de un usuario o una actuación de oficio, la obligación de dar explicaciones, la corrección de la web con prisa y, según la gravedad, una sanción. A eso se suman costes menos visibles, como la desconfianza de un cliente que descubre que la web no respeta sus datos o, si hay una brecha de seguridad, la obligación de comunicarla. Es la misma lógica que con la accesibilidad web o con Verifactu si facturas con software propio: cumplir con tiempo cuesta menos que corregir bajo requerimiento.

El riesgo de una pyme no es tanto la multa máxima como acabar corrigiendo con prisa y bajo requerimiento lo que se podía haber hecho con calma al construir la web.

Quién redacta los textos y cuándo acudir a un profesional

Hay tres caminos para conseguir los textos, y no son excluyentes. Las plantillas y los generadores gratuitos sirven para empezar, siempre que se rellenen con datos reales y se adapten. La AEPD ofrece la herramienta gratuita Facilita, pensada para negocios que tratan datos de bajo riesgo, que ayuda a generar documentos como las cláusulas informativas y el registro de actividades de tratamiento. Y para webs con un tratamiento más complejo, un abogado o una consultora de protección de datos aporta lo que ninguna plantilla puede: aplicar la norma a tu caso concreto. Al pedir presupuesto para una web, pregunta si incluye los textos legales y el banner de cookies funcionando. Suele quedar fuera, como explicamos en cuánto cuesta una página web. Este artículo es informativo, refleja el marco vigente en España en el momento de publicarse y no sustituye al asesoramiento jurídico, porque la normativa y los criterios de las autoridades evolucionan.

El desarrollador de tu web debe poder decirte qué hace la web con los datos. Redactar el texto jurídico que lo describe, y responder de él, es decisión tuya y, si hay dudas, de un profesional del derecho.

• Una plantilla o un generador es razonable en una web informativa sencilla, con formulario de contacto, sin venta online y con pocas herramientas de terceros.
• Conviene una revisión profesional en tiendas online, newsletters con volumen, áreas de clientes, webs que tratan datos de salud, financieros o de menores y proyectos que usan inteligencia artificial con datos de personas.
• En todos los casos, el texto lo valida quien responde: el titular de la web es el responsable, no el desarrollador ni el generador, y lo que el documento afirma tiene que ser cierto.

Preguntas frecuentes sobre los textos legales de una web

Estas son las dudas que más se repiten cuando alguien revisa su web por primera vez.

• ¿Es obligatorio el aviso legal si soy autónomo y no vendo online? En general, sí. Si la web promociona tu actividad profesional, se entiende que ejerces una actividad económica a través de internet y debes mostrar tus datos de identificación. La excepción son las webs personales sin ninguna finalidad económica.
• ¿Puedo copiar los textos legales de otra web? No es recomendable. Un texto legal describe quién eres y qué hace tu web. Copiarlo arrastra datos de otro titular, herramientas que no usas y omisiones de las que sí usas. Como mucho, úsalo como referencia de estructura.
• ¿Necesito banner de cookies si solo uso cookies técnicas? Si todas las cookies son estrictamente necesarias para prestar el servicio que pide el usuario, no hace falta pedir consentimiento ni mostrar un banner. Aun así, es buena práctica explicarlo en la política de cookies o en la de privacidad.
• ¿Google Analytics requiere consentimiento? Con el criterio actual de la AEPD, sí: las cookies de analítica necesitan consentimiento previo. Google Analytics lo usan muchas webs como herramienta SEO gratuita, y quien prefiera evitar el banner puede valorar alternativas sin cookies, comprobando antes que no tratan datos identificables.
• ¿Tengo que registrar mi web o mis ficheros en la AEPD? No. Desde la aplicación del RGPD, en 2018, ya no se inscriben ficheros. Lo que sí conviene llevar, en la práctica casi cualquier negocio que trata datos de clientes o empleados de forma habitual, es un registro interno de actividades de tratamiento.
• ¿Necesito un delegado de protección de datos? Solo en supuestos concretos, como el tratamiento de datos sensibles a gran escala, la observación sistemática de personas a gran escala o determinadas entidades que enumera la LOPDGDD. La mayoría de las pymes no lo necesita.
• ¿Las plataformas como Wix, Shopify o WordPress ya incluyen los textos legales? Algunas ofrecen plantillas o generadores y otras añaden banners de cookies, pero la responsabilidad sigue siendo del titular de la web. Con plataformas como Wix o Squarespace, además, tienes menos control sobre qué scripts se cargan y cuándo. Comprueba siempre que el texto describe lo que realmente se usa y que el banner bloquea lo que dice bloquear.
• ¿Cada cuánto hay que revisar los textos? Cada vez que cambie algo que afecte a los datos: una herramienta nueva, un proveedor, un formulario o un cambio de titular. Y una revisión periódica, por ejemplo anual, aunque no haya cambios. Encaja bien en un mantenimiento web que revise algo más que si la web está encendida.
• ¿Los textos legales influyen en el SEO? Google no los ha confirmado como factor de posicionamiento. Aun así, una identificación y un contacto claros refuerzan la confianza de quien visita la web, y un banner mal programado sí puede perjudicar la velocidad y la estabilidad visual, que se miden en los Core Web Vitals.

Por dónde empezar: el inventario de datos de tu web

El primer paso no es descargar una plantilla. Es saber qué hace tu web. Dedica una tarde a hacer un inventario y los textos saldrán casi solos. En Mizura Studio tratamos la parte técnica de este cumplimiento como parte del desarrollo de una web: dónde se cargan los scripts, cómo funciona el banner y qué información acompaña a cada formulario. Si tu web ya existe y no sabes en qué punto está, cuéntanos tu caso.

Los textos legales de una web no empiezan en un generador. Empiezan en saber con precisión qué datos recoge tu web y a quién se los envía.

• Anota quién eres a efectos legales: titular, domicilio, correo y teléfono, y los datos registrales si eres una sociedad.
• Lista cada formulario, chat, newsletter, reserva o registro, y qué datos pide, para qué y adónde van.
• Lista cada herramienta de terceros que carga la web: analítica, mapas, vídeos, fuentes, píxeles, chat, pasarela de pago y correo.
• Haz el test de cinco minutos para ver qué cookies y qué peticiones se producen antes de aceptar.
• Redacta o genera los textos a partir de ese inventario y pide que los valide quien corresponda.
• Programa la revisión: cada herramienta nueva obliga a repasar los textos y el banner.