Textos legales de una página web: qué es obligatorio y cómo revisarlo

Toda web de empresa o despacho en España necesita un aviso legal con tus datos y la información de privacidad junto a cada formulario. Si usa cookies que no son técnicas, como las de Analytics o las de un vídeo de YouTube, necesita también un aviso de cookies. Y ese aviso debe dejar rechazarlas igual de fácil que aceptarlas. Si vendes online, súmale condiciones de contratación y desistimiento, y quizá información de accesibilidad.

Abajo tienes qué texto necesita cada web y qué debe decir cada uno. También una auditoría de 20 minutos con el navegador y un checklist de 20 puntos con su artículo.

Esta guía no sustituye a quien redacte tus textos: te sirve para revisar los que tienes y encargar los que faltan. Cuando algo es interpretación nuestra y no texto de una norma, lo marcamos como criterio prudente.

Qué textos necesitas depende de lo que hace tu web, no de su tamaño

Cada texto sale de una norma distinta y se activa por algo concreto: identificarte, recoger datos, usar cookies, vender o hacer promociones.

El aviso legal es el único que necesita cualquier web de negocio. La LSSI se aplica también a servicios gratuitos para el usuario si son una actividad económica para quien los presta, incluido el suministro de información (anexo, letra a). La web de un despacho o de una pyme lo es, aunque no venda nada.

Las condiciones de uso son otra cosa: no hemos encontrado ninguna norma que las exija a una web informativa sin zona de clientes.

Ejemplo

Pongamos una asesoría de Castellón con web informativa, formulario de contacto, mapa de Google y Analytics. Necesita aviso legal, información de privacidad junto al formulario y una política completa. Necesita aviso y política de cookies por Analytics y, si instala cookies, por el mapa. No necesita condiciones de contratación: en su web no se contrata nada.

Qué debe decir cada texto, punto por punto

Aviso legal: quién eres, con datos que se puedan comprobar

El art. 10.1 de la LSSI pide que estos datos estén accesibles «de forma permanente, fácil, directa y gratuita»:

• Nombre o razón social, domicilio, email y cualquier otro dato que permita contactarte de forma directa (letra a).
• NIF (letra e) y, si estás inscrito, los datos del Registro Mercantil u otro registro público (letra b).
• La autorización previa, si tu actividad la necesita, y el organismo que te supervisa (letra c). El caso de las clínicas está en publicidad sanitaria.
• Colegio, número, título, Estado que lo expidió y normas profesionales, si ejerces una profesión regulada (letra d). Lo que añade cada profesión está en publicidad de abogados y en la web de una correduría.
• Si los precios incluyen impuestos y gastos de envío (letra f), y los códigos de conducta a los que estés adherido (letra g).

Si vendes a consumidores, añade el teléfono (Ley de Consumidores, art. 97.1.c). El titular es tu empresa, no la agencia que hizo la web. Criterio prudente: enlaza el aviso desde el pie de todas las páginas.

Privacidad: la información empieza junto al botón de enviar

Cuando recoges datos de alguien, debes informarle en ese momento (RGPD, art. 13), con un lenguaje claro y sencillo (art. 12.1). La LOPDGDD permite hacerlo en dos capas (art. 11):

• Junto al formulario: quién es el responsable, para qué usará los datos y cómo ejercer los derechos, con un enlace al resto. Si elaboras perfiles, también eso.
• En la política completa: contacto del responsable y, si lo hay, del delegado de protección de datos. Cada finalidad con su base jurídica, destinatarios, transferencias internacionales, plazos de conservación, derechos y derecho a reclamar ante la AEPD.

Criterio prudente sobre la casilla «Acepto la política de privacidad». Para contestar una consulta no necesitas consentimiento: aplicas, a petición del interesado, medidas precontractuales (art. 6.1.b). Si pones una casilla, que sea para confirmar que se ha leído la información. El consentimiento sí hace falta para enviar la newsletter a quien no es cliente, con casilla propia, opcional y sin marcar (arts. 6.1.a y 7.2).

Tres puntos que se suelen olvidar:

• El delegado de protección de datos de las clínicas. Lo necesitan los centros sanitarios obligados a llevar historias clínicas, salvo el profesional que ejerce a título individual (LOPDGDD, art. 34.1.l). Su contacto va en la política.
• Los proveedores que tratan datos por ti. Hosting, email, CRM o agenda online necesitan un contrato de encargado del tratamiento (RGPD, art. 28.3). Suele ser un anexo de sus condiciones, como el de Calendly.
• Los emails comerciales. Solo a quien lo autorizó o a clientes, sobre productos similares a los que contrataron, y siempre con una baja sencilla y gratuita (LSSI, art. 21).

Cookies: un aviso que deje rechazar igual de fácil que aceptar

Para instalar o leer cookies, o tecnologías similares, necesitas el consentimiento del usuario tras informarle de forma clara y completa (LSSI, art. 22.2). Quedan fuera las estrictamente necesarias para el servicio que el usuario pide.

La Guía sobre el uso de las cookies de la AEPD concreta cómo hacerlo. Es la versión de mayo de 2024, la que la AEPD tiene publicada a 2 de octubre de 2026. El banner, o primera capa, debe incluir (apartado 3.1.2.2):

• Para qué se usan las cookies y si son propias o también de terceros.
• Qué tipo de datos se recogen, si se elaboran perfiles.
• Un botón para aceptar, otro similar para rechazar y otro para configurar por finalidades. Criterio prudente: si solo usas una finalidad, como la analítica, aceptar y rechazar ya cubren la configuración.
• Un enlace visible a la política de cookies, y quién eres si no se deduce de la web.

La opción de rechazar va en la misma capa, al mismo nivel y con un mecanismo similar al de aceptar (apartado 3.2.1). No se puede empujar a aceptar ni usar colores engañosos, como un «Rechazar» que apenas se lee. Seguir navegando no es consentir.

Las exentas. No necesitan consentimiento, entre otras, las cookies de sesión, autenticación, seguridad, equilibrio de carga, personalización de la interfaz y sesión del reproductor (apartado 1). La guía recomienda informar de ellas de forma genérica. Si tu web solo usa estas, no necesitas banner.

La analítica, en general, no está exenta. La AEPD solo admite eximir la medición de audiencia si cumple condiciones estrictas (guía de enero de 2024):

• Estadísticas anónimas, para uso exclusivo del editor.
• Sin cruzar ni ceder los datos a terceros, y sin seguimiento entre sitios.
• Cookies con vida limitada, por ejemplo 13 meses, y datos guardados 25 meses como máximo.
• Información en la política de privacidad y contrato de encargado con el proveedor.

La misma guía advierte de que varias ofertas del mercado reutilizan los datos para otros fines y quedan fuera. Criterio prudente: con Google Analytics, pide consentimiento.

Google ofrece dos formas de hacerlo (modo de consentimiento). En la básica, sus etiquetas se bloquean hasta que el usuario acepta. En la avanzada, se cargan antes del banner y envían «pings sin cookies» si el usuario rechaza. La básica es la que no deja dudas. Qué medir y cómo está en cómo medir los contactos de tu web.

Después del clic. La AEPD considera buena práctica renovar el consentimiento como mucho cada 24 meses (apartado 3.2.8). Retirarlo debe ser tan fácil como darlo, con acceso permanente a la configuración (apartado 3.2.9; RGPD, art. 7.3). Un muro de cookies solo cabe con una alternativa genuinamente equivalente (apartado 3.2.10): en la web de un despacho o una pyme, el criterio prudente es no usarlo.

La política de cookies explica qué tipos usas y para qué, quién las usa, cómo aceptar, rechazar y revocar, las transferencias y los plazos (apartado 3.1.1).

Si vendes online: condiciones antes de pagar y 14 días para desistir

Si en tu web se compra, se paga una reserva o se contrata un servicio, se suman tres obligaciones:

1. Antes de contratar, explica los pasos, si archivarás el contrato, cómo corregir errores y en qué lenguas. Y ofrece las condiciones generales en un formato que el cliente pueda guardar (LSSI, art. 27).
2. Al consumidor, la información previa: identidad, dirección, teléfono, email, precio total con impuestos y gastos, pago, entrega, garantía legal y desistimiento con su formulario (Ley de Consumidores, art. 97). El botón final dice «pedido con obligación de pago» o algo igual de claro (art. 98.2).
3. El desistimiento: 14 días naturales sin dar motivos (art. 102), desde el contrato en servicios y desde la entrega en productos (art. 104). Si no informas, el plazo se alarga 12 meses (art. 105). Devuelves el dinero en 14 días como máximo (art. 107).

Lo que cambia en 2026. La Directiva (UE) 2023/2673 exige una función de desistimiento con la etiqueta «desistir del contrato aquí» o una equivalente. Los Estados debían aplicarla desde el 19 de junio de 2026 a los contratos celebrados en una web o una app (nuevo art. 11 bis de la Directiva 2011/83/UE).

No hemos encontrado en el BOE la norma española que la incorpore: la Ley de Consumidores consolidada, actualizada el 28 de febrero de 2026, no la recoge. Criterio prudente: si vendes online, prepárala ya.

Y quita un enlace. El enlace a la plataforma europea de resolución de litigios en línea ya no se exige. El Reglamento que lo pedía está derogado desde el 20 de julio de 2025 y la plataforma, suprimida (Reglamento (UE) 2024/3228).

Accesibilidad: una página que explique cómo cumples

Si la Ley 11/2023 te obliga, tus condiciones generales, o un documento equivalente, deben explicar cómo cumple tu servicio los requisitos de accesibilidad (art. 13.2). Te alcanza sobre todo si vendes online a consumidores, salvo que seas una microempresa que presta servicios (art. 3.3).

Si atiendes al público sin vender en la web, el Real Decreto 193/2023 te exigirá una web con nivel AA desde 2029 o, como muy tarde, antes de 2030. El detalle está en accesibilidad web obligatoria, y el test de accesibilidad te dice con hasta 7 preguntas si te afecta.

Siete errores típicos, y tres que la AEPD ya ha multado

1. Textos copiados o plantillas sin rellenar. En el procedimiento PS/00458/2023, la AEPD multó con 3.000€ a una inmobiliaria cuya política daba como responsable «XXXXX» (resolución). Otras pistas: datos de otra empresa o de tu agencia, o citas a la LOPD de 1999, derogada desde 2018 (LOPDGDD, disposición derogatoria única).
2. Un banner sin «Rechazar». Si para rechazar hay que entrar en «Más opciones», no cumple la guía de la AEPD.
3. Analytics antes de que el usuario decida. En el PS/00079/2023, la AEPD propuso 2.000€ al titular de una pequeña web de noticias, que pagó 1.600€ (resolución). Al entrar se instalaban las cookies de Google Analytics, y el banner solo ofrecía «más opciones» y «acepto». El titular alegó lo que le había explicado su proveedor. La sanción fue para él.
4. Un «Rechazar» que no rechaza. En el PS/00040/2024, la sociedad titular de una web de motor pagó 6.000€ sobre una sanción inicial de 10.000€ (resolución). Sus vídeos de YouTube instalaban cookies antes de cualquier acción y también después de pulsar «Rechazar todo».
5. Formularios sin información. La LOPDGDD califica de muy grave omitir el deber de informar (art. 72.1.h), y de leve dar una información incompleta (art. 74.a).
6. Casillas premarcadas o todo en una casilla. Las casillas ya marcadas no son consentimiento (considerando 32 del RGPD). Y la petición de consentimiento debe distinguirse de los demás asuntos (art. 7.2).
7. Una política de cookies que no coincide con lo instalado. Cada plugin nuevo puede añadir cookies, y la AEPD recomienda revisarlas periódicamente (apartado 3 de su guía).

Los tres procedimientos empezaron con la reclamación de un usuario.

Auditoría de 20 minutos con el navegador

Es el mismo método que describen las resoluciones de la AEPD: entrar con el navegador limpio y sin tocar nada. Necesitas Chrome en un ordenador y tu política de cookies a mano.

1. Prepara el navegador (minutos 0 a 2). Abre una ventana de incógnito con Ctrl + Mayús + N, o Cmd + Mayús + N en Mac. Abre las herramientas para desarrolladores con F12, o Cmd + Opción + I en Mac (Chrome). En la pestaña Red, marca «Inhabilitar caché».
2. Carga tu portada sin tocar el banner (minutos 2 a 6). En Red, abre «Más filtros» y marca «Solicitudes de terceros» (Chrome). Apunta los dominios de analítica, publicidad, vídeo, mapas o agenda. Después abre Aplicación, «Almacenamiento», «Cookies» y tu dominio (Chrome).
3. Lee el banner como un cliente (minutos 6 a 9). ¿Está «Rechazar» al lado de «Aceptar», con el mismo tipo de botón? ¿Dice para qué se usan las cookies? ¿Enlaza a la política? ¿«Configurar» lleva directo a un panel sin nada marcado?
4. Pulsa «Rechazar» y navega (minutos 9 a 13). Visita 2 o 3 páginas, entre ellas la de contacto y una con vídeo o mapa. Vuelve a mirar Red y Cookies: no debe aparecer nada nuevo de analítica, publicidad, YouTube, Maps ni Calendly.
5. Busca cómo cambiar de opinión (minutos 13 a 15). Tiene que haber un enlace permanente, normalmente en el pie, que abra de nuevo la configuración.
6. Acepta y compara (minutos 15 a 17). Cierra todas las ventanas de incógnito y abre otra. Carga la web, pulsa «Aceptar» y compara las cookies con tu política: cada una debe figurar en ella.
7. Revisa el formulario (minutos 17 a 19). ¿Hay información básica junto al botón, con enlace a la política? ¿Alguna casilla viene marcada? ¿La newsletter tiene casilla propia?
8. Busca restos de textos copiados (minutos 19 a 20). En el aviso legal y la política de privacidad, busca con Ctrl + F: «XXX», «15/1999», «litigios en línea» y el nombre de tu agencia o de otra empresa.

Un aviso sobre el paso 2. En incógnito, Chrome bloquea por defecto las cookies de terceros (Ayuda de Chrome). Por eso los terceros se detectan mejor en Red que en Cookies.

Qué significa lo que ves antes de decidir:

WhatsApp, Calendly, mapas y vídeos: lo incrustado se carga al abrir la página

Un contenido incrustado se descarga de los servidores de otra empresa en cuanto se abre la página. Google lo explica para YouTube y Analytics: el navegador le envía la URL y la IP del visitante, y Google puede instalar o leer cookies (Google). Según la guía de la AEPD, si incluyes contenidos de terceros que usan cookies, debes asegurarte de que se informa y se pide consentimiento (apartado 4).

• WhatsApp. Un enlace wa.me con tu número abre el chat al pulsarlo (WhatsApp), y hasta entonces no carga nada. Un botón flotante de un plugin sí puede cargar código: compruébalo con la auditoría. Si atiendes por WhatsApp, tu política debe decir para qué usas esas conversaciones y cuánto las guardas.
• Calendly. Avisa de que usa cookies aunque ocultes su banner y, en ese caso, recomienda no cargarlo hasta que el usuario acepte las cookies de rendimiento (Calendly). Trata los datos de quien reserva como encargado, con transferencias a Estados Unidos (DPA), y tu política debe decirlo (RGPD, art. 13.1.f). Criterio prudente: un enlace a tu página de Calendly es más sencillo que el calendario incrustado.
• Google Maps. El mapa incrustado también se descarga de Google al abrir la página: comprueba con la auditoría qué peticiones y cookies genera. Criterio prudente: una imagen del mapa con enlace a Google Maps, o cargar el mapa solo cuando el usuario lo pide y ha aceptado.
• YouTube. Es el caso sancionado en el PS/00040/2024. El modo de privacidad mejorada usa el dominio youtube-nocookie.com, y Google promete que esas visualizaciones no influirán en la experiencia en YouTube ni personalizarán anuncios (YouTube). No promete que no se guarde nada. Criterio prudente: muestra una imagen del vídeo y carga el reproductor solo tras el consentimiento.

Las multas por estos fallos llegan a 150.000€ en la LSSI y a millones en el RGPD

Las cuantías de la LSSI están en su art. 39 y el reparto de competencias, en el art. 43. En infracciones leves o graves, el órgano sancionador puede apercibirte para que corrijas en un plazo, en lugar de abrir el procedimiento (art. 39 ter). Regularizar con diligencia también rebaja la escala de la multa (art. 39 bis).

Checklist: 20 puntos con su artículo

Criterio prudente: corrige primero los puntos 6, 12, 13 y 15. Cualquier visitante puede comprobarlos en un minuto, y los tres casos de arriba empezaron por la reclamación de un usuario.

Qué hacer el lunes

1. Haz la auditoría de 20 minutos en tu portada y en tu página de contacto, y apunta lo que se carga antes de decidir.
2. Si algo se carga antes de aceptar, pide a quien lleva tu web que lo bloquee hasta el consentimiento. En Google, modo básico.
3. Busca en tus textos «XXX», «15/1999», «litigios en línea» y cualquier nombre que no sea el tuyo.
4. Pon la información básica junto a cada formulario y quita las casillas premarcadas.
5. Pide a tus proveedores su contrato de encargado: hosting, email, CRM y agenda.
6. Si vendes online, revisa el botón de pago y el desistimiento, y prepara la función «desistir del contrato aquí».
7. Pasa el checklist a quien revise tus textos. El contenido jurídico debe validarlo un abogado o un consultor de protección de datos.

Si vas a rehacer la web, es el momento de resolver el banner, los formularios y los vídeos desde el diseño. En NOR studio partimos de esta lista en cada web que diseñamos, y el contenido jurídico lo valida tu asesor.