Textos legals d’una pàgina web: què és obligatori i com revisar-ho

Tota web d’empresa o de despatx a Espanya necessita un avís legal amb les teues dades i la informació de privacitat al costat de cada formulari. Si usa galetes (cookies) que no són tècniques, com les d’Analytics o les d’un vídeo de YouTube, necessita també un avís de galetes. I eixe avís ha de deixar rebutjar-les igual de fàcil que acceptar-les. Si vens en línia, afig-hi condicions de contractació i desistiment, i potser informació d’accessibilitat.

Més avall tens quin text necessita cada web i què ha de dir cadascun. També una auditoria de 20 minuts amb el navegador i una llista de comprovació de 20 punts amb el seu article.

Esta guia no substituïx qui redacte els teus textos: et servix per a revisar els que tens i encarregar els que falten. Quan alguna cosa és interpretació nostra i no text d’una norma, la marquem com a criteri prudent.

Quins textos necessites depén del que fa la teua web, no de la seua grandària

Cada text ix d’una norma distinta i s’activa per alguna cosa concreta: identificar-te, recollir dades, usar galetes, vendre o fer promocions.

L’avís legal és l’únic que necessita qualsevol web de negoci. La LSSI s’aplica també a serveis gratuïts per a l’usuari si són una activitat econòmica per a qui els presta, inclòs el subministrament d’informació (annex, lletra a). La web d’un despatx o d’una pime ho és, encara que no venga res.

Les condicions d’ús són una altra cosa: no hem trobat cap norma que les exigisca a una web informativa sense zona de clients.

Exemple

Posem una assessoria de Castelló amb web informativa, formulari de contacte, mapa de Google i Analytics. Necessita avís legal, informació de privacitat al costat del formulari i una política completa. Necessita avís i política de galetes per Analytics i, si instal·la galetes, pel mapa. No necessita condicions de contractació: en la seua web no es contracta res.

Què ha de dir cada text, punt per punt

Avís legal: qui eres, amb dades que es puguen comprovar

L’art. 10.1 de la LSSI demana que estes dades siguen accessibles «de forma permanent, fàcil, directa i gratuïta»:

• Nom o raó social, domicili, correu electrònic i qualsevol altra dada que permeta contactar-te de manera directa (lletra a).
• NIF (lletra e) i, si estàs inscrit, les dades del Registre Mercantil o d’un altre registre públic (lletra b).
• L’autorització prèvia, si la teua activitat la necessita, i l’organisme que et supervisa (lletra c). El cas de les clíniques està en publicitat sanitària.
• Col·legi, número, títol, Estat que el va expedir i normes professionals, si exercixes una professió regulada (lletra d). El que afig cada professió està en publicitat d’advocats i en la web d’una corredoria.
• Si els preus inclouen impostos i despeses d’enviament (lletra f), i els codis de conducta als quals estigues adherit (lletra g).

Si vens a consumidors, afig-hi el telèfon (Llei de consumidors, art. 97.1.c). El titular és la teua empresa, no l’agència que va fer la web. Criteri prudent: enllaça l’avís des del peu de totes les pàgines.

Privacitat: la informació comença al costat del botó d’enviar

Quan reculls dades d’algú, l’has d’informar en eixe moment (RGPD, art. 13), amb un llenguatge clar i senzill (art. 12.1). La LOPDGDD permet fer-ho en dues capes (art. 11):

• Al costat del formulari: qui és el responsable, per a què usarà les dades i com exercir els drets, amb un enllaç a la resta. Si elabores perfils, també això.
• En la política completa: contacte del responsable i, si n’hi ha, del delegat de protecció de dades. Cada finalitat amb la seua base jurídica, destinataris, transferències internacionals, terminis de conservació, drets i dret a reclamar davant de l’AEPD.

Criteri prudent sobre la casella «Accepte la política de privacitat». Per a contestar una consulta no necessites consentiment: apliques, a petició de l’interessat, mesures precontractuals (art. 6.1.b). Si poses una casella, que siga per a confirmar que s’ha llegit la informació. El consentiment sí que cal per a enviar el butlletí a qui no és client, amb casella pròpia, opcional i sense marcar (arts. 6.1.a i 7.2).

Tres punts que se solen oblidar:

• El delegat de protecció de dades de les clíniques. El necessiten els centres sanitaris obligats a portar històries clíniques, llevat del professional que exercix a títol individual (LOPDGDD, art. 34.1.l). El seu contacte va en la política.
• Els proveïdors que tracten dades per tu. Allotjament, correu electrònic, CRM o agenda en línia necessiten un contracte d’encarregat del tractament (RGPD, art. 28.3). Sol ser un annex de les seues condicions, com el de Calendly.
• Els correus comercials. Només a qui ho va autoritzar o a clients, sobre productes semblants als que van contractar, i sempre amb una baixa senzilla i gratuïta (LSSI, art. 21).

Galetes: un avís que deixe rebutjar igual de fàcil que acceptar

Per a instal·lar o llegir galetes, o tecnologies semblants, necessites el consentiment de l’usuari després d’informar-lo de manera clara i completa (LSSI, art. 22.2). En queden fora les estrictament necessàries per al servei que demana l’usuari.

La Guia sobre l’ús de les galetes de l’AEPD concreta com fer-ho. És la versió de maig de 2024, la que l’AEPD té publicada a 2 d’octubre de 2026. El bàner, o primera capa, ha d’incloure (apartat 3.1.2.2):

• Per a què s’usen les galetes i si són pròpies o també de tercers.
• Quin tipus de dades es recullen, si s’elaboren perfils.
• Un botó per a acceptar, un altre de semblant per a rebutjar i un altre per a configurar per finalitats. Criteri prudent: si només uses una finalitat, com l’analítica, acceptar i rebutjar ja cobrixen la configuració.
• Un enllaç visible a la política de galetes, i qui eres si no es deduïx de la web.

L’opció de rebutjar va en la mateixa capa, al mateix nivell i amb un mecanisme semblant al d’acceptar (apartat 3.2.1). No es pot empényer a acceptar ni usar colors enganyosos, com un «Rebutjar» que a penes es llig. Continuar navegant no és consentir.

Les exemptes. No necessiten consentiment, entre altres, les galetes de sessió, autenticació, seguretat, equilibri de càrrega, personalització de la interfície i sessió del reproductor (apartat 1). La guia recomana informar-ne de manera genèrica. Si la teua web només usa estes, no necessites bàner.

L’analítica, en general, no està exempta. L’AEPD només admet eximir el mesurament d’audiència si complix condicions estrictes (guia de gener de 2024):

• Estadístiques anònimes, per a ús exclusiu de l’editor.
• Sense creuar ni cedir les dades a tercers, i sense seguiment entre llocs.
• Galetes amb vida limitada, per exemple 13 mesos, i dades guardades 25 mesos com a màxim.
• Informació en la política de privacitat i contracte d’encarregat amb el proveïdor.

La mateixa guia advertix que diverses ofertes del mercat reutilitzen les dades per a altres fins i en queden fora. Criteri prudent: amb Google Analytics, demana consentiment.

Google oferix dues maneres de fer-ho (mode de consentiment). En la bàsica, les seues etiquetes es bloquegen fins que l’usuari accepta. En l’avançada, es carreguen abans del bàner i envien «pings sense galetes» si l’usuari rebutja. La bàsica és la que no deixa dubtes. Què mesurar i com està en com mesurar els contactes de la teua web.

Després del clic. L’AEPD considera bona pràctica renovar el consentiment com a molt cada 24 mesos (apartat 3.2.8). Retirar-lo ha de ser tan fàcil com donar-lo, amb accés permanent a la configuració (apartat 3.2.9; RGPD, art. 7.3). Un mur de galetes només és admissible amb una alternativa genuïnament equivalent (apartat 3.2.10): en la web d’un despatx o d’una pime, el criteri prudent és no usar-lo.

La política de galetes explica quins tipus uses i per a què, qui les usa, com acceptar, rebutjar i revocar, les transferències i els terminis (apartat 3.1.1).

Si vens en línia: condicions abans de pagar i 14 dies per a desistir

Si en la teua web es compra, es paga una reserva o es contracta un servei, se sumen tres obligacions:

1. Abans de contractar, explica els passos, si arxivaràs el contracte, com corregir errors i en quines llengües. I oferix les condicions generals en un format que el client puga guardar (LSSI, art. 27).
2. Al consumidor, la informació prèvia: identitat, adreça, telèfon, correu electrònic, preu total amb impostos i despeses, pagament, entrega, garantia legal i desistiment amb el seu formulari (Llei de consumidors, art. 97). El botó final diu «comanda amb obligació de pagament» o alguna cosa igual de clara (art. 98.2).
3. El desistiment: 14 dies naturals sense donar motius (art. 102), des del contracte en serveis i des de l’entrega en productes (art. 104). Si no n’informes, el termini s’allarga 12 mesos (art. 105). Retornes els diners en 14 dies com a màxim (art. 107).

El que canvia en 2026. La Directiva (UE) 2023/2673 exigix una funció de desistiment amb l’etiqueta «desistir del contracte ací» o una d’equivalent. Els Estats havien d’aplicar-la des del 19 de juny de 2026 als contractes formalitzats en una web o una aplicació (nou art. 11 bis de la Directiva 2011/83/UE).

No hem trobat en el BOE la norma espanyola que la incorpore: la Llei de consumidors consolidada, actualitzada el 28 de febrer de 2026, no la recull. Criteri prudent: si vens en línia, prepara-la ja.

I lleva un enllaç. L’enllaç a la plataforma europea de resolució de litigis en línia ja no s’exigix. El Reglament que el demanava està derogat des del 20 de juliol de 2025 i la plataforma, suprimida (Reglament (UE) 2024/3228).

Accessibilitat: una pàgina que explique com complixes

Si la Llei 11/2023 t’obliga, les teues condicions generals, o un document equivalent, han d’explicar com complix el teu servei els requisits d’accessibilitat (art. 13.2). T’afecta sobretot si vens en línia a consumidors, llevat que sigues una microempresa que presta serveis (art. 3.3).

Si atens el públic sense vendre en la web, el Reial decret 193/2023 t’exigirà una web amb nivell AA des de 2029 o, com a molt tard, abans de 2030. El detall està en accessibilitat web obligatòria, i el test d’accessibilitat et diu amb fins a 7 preguntes si t’afecta.

Set errors típics, i tres que l’AEPD ja ha multat

1. Textos copiats o plantilles sense omplir. En el procediment PS/00458/2023, l’AEPD va multar amb 3.000€ una immobiliària la política de la qual donava com a responsable «XXXXX» (resolució). Altres pistes: dades d’una altra empresa o de la teua agència, o cites a la LOPD de 1999, derogada des de 2018 (LOPDGDD, disposició derogatòria única).
2. Un bàner sense «Rebutjar». Si per a rebutjar cal entrar en «Més opcions», no complix la guia de l’AEPD.
3. Analytics abans que l’usuari decidisca. En el PS/00079/2023, l’AEPD va proposar 2.000€ al titular d’una xicoteta web de notícies, que va pagar 1.600€ (resolució). En entrar s’instal·laven les galetes de Google Analytics, i el bàner només oferia «más opciones» i «acepto». El titular va al·legar el que li havia explicat el seu proveïdor. La sanció va ser per a ell.
4. Un «Rebutjar» que no rebutja. En el PS/00040/2024, la societat titular d’una web de motor va pagar 6.000€ sobre una sanció inicial de 10.000€ (resolució). Els seus vídeos de YouTube instal·laven galetes abans de cap acció i també després de prémer «Rechazar todo».
5. Formularis sense informació. La LOPDGDD qualifica de molt greu ometre el deure d’informar (art. 72.1.h), i de lleu donar una informació incompleta (art. 74.a).
6. Caselles premarcades o tot en una casella. Les caselles ja marcades no són consentiment (considerant 32 del RGPD). I la petició de consentiment s’ha de distingir dels altres assumptes (art. 7.2).
7. Una política de galetes que no coincidix amb el que hi ha instal·lat. Cada plugin nou pot afegir galetes, i l’AEPD recomana revisar-les periòdicament (apartat 3 de la seua guia).

Els tres procediments van començar amb la reclamació d’un usuari.

Auditoria de 20 minuts amb el navegador

És el mateix mètode que descriuen les resolucions de l’AEPD: entrar amb el navegador net i sense tocar res. Necessites Chrome en un ordinador i la teua política de galetes a mà.

1. Prepara el navegador (minuts 0 a 2). Obri una finestra d’incògnit amb Ctrl + Maj + N, o Cmd + Maj + N en Mac. Obri les eines per a desenvolupadors amb F12, o Cmd + Opció + I en Mac (Chrome). En la pestanya Red, marca «Inhabilitar caché».
2. Carrega la teua portada sense tocar el bàner (minuts 2 a 6). En Red, obri «Más filtros» i marca «Solicitudes de terceros» (Chrome). Apunta els dominis d’analítica, publicitat, vídeo, mapes o agenda. Després obri Aplicación, «Almacenamiento», «Cookies» i el teu domini (Chrome).
3. Llig el bàner com un client (minuts 6 a 9). Està «Rebutjar» al costat d’«Acceptar», amb el mateix tipus de botó? Diu per a què s’usen les galetes? Enllaça a la política? «Configurar» porta directament a un panell sense res marcat?
4. Prem «Rebutjar» i navega (minuts 9 a 13). Visita 2 o 3 pàgines, entre elles la de contacte i una amb vídeo o mapa. Torna a mirar Red i Cookies: no ha d’aparéixer res nou d’analítica, publicitat, YouTube, Maps ni Calendly.
5. Busca com canviar d’opinió (minuts 13 a 15). Hi ha d’haver un enllaç permanent, normalment en el peu, que torne a obrir la configuració.
6. Accepta i compara (minuts 15 a 17). Tanca totes les finestres d’incògnit i obri’n una altra. Carrega la web, prem «Acceptar» i compara les galetes amb la teua política: cadascuna hi ha de figurar.
7. Revisa el formulari (minuts 17 a 19). Hi ha informació bàsica al costat del botó, amb enllaç a la política? Alguna casella ve marcada? El butlletí té casella pròpia?
8. Busca restes de textos copiats (minuts 19 a 20). En l’avís legal i la política de privacitat, busca amb Ctrl + F: «XXX», «15/1999», «litigis en línia» i el nom de la teua agència o d’una altra empresa.

Un avís sobre el pas 2. En incògnit, Chrome bloqueja per defecte les galetes de tercers (Ajuda de Chrome). Per això els tercers es detecten millor en Red que en Cookies.

Què significa el que veus abans de decidir:

WhatsApp, Calendly, mapes i vídeos: el que està incrustat es carrega en obrir la pàgina

Un contingut incrustat es descarrega dels servidors d’una altra empresa tan bon punt s’obri la pàgina. Google ho explica per a YouTube i Analytics: el navegador li envia l’URL i la IP del visitant, i Google pot instal·lar o llegir galetes (Google). Segons la guia de l’AEPD, si inclous continguts de tercers que usen galetes, t’has d’assegurar que s’informa i es demana consentiment (apartat 4).

• WhatsApp. Un enllaç wa.me amb el teu número obri el xat en prémer-lo (WhatsApp), i fins aleshores no carrega res. Un botó flotant d’un plugin sí que pot carregar codi: comprova-ho amb l’auditoria. Si atens per WhatsApp, la teua política ha de dir per a què uses eixes converses i quant de temps les guardes.
• Calendly. Avisa que usa galetes encara que n’amagues el bàner i, en eixe cas, recomana no carregar-lo fins que l’usuari accepte les galetes de rendiment (Calendly). Tracta les dades de qui reserva com a encarregat, amb transferències als Estats Units (DPA), i la teua política ho ha de dir (RGPD, art. 13.1.f). Criteri prudent: un enllaç a la teua pàgina de Calendly és més senzill que el calendari incrustat.
• Google Maps. El mapa incrustat també es descarrega de Google en obrir la pàgina: comprova amb l’auditoria quines peticions i galetes genera. Criteri prudent: una imatge del mapa amb enllaç a Google Maps, o carregar el mapa només quan l’usuari ho demana i ha acceptat.
• YouTube. És el cas sancionat en el PS/00040/2024. El mode de privacitat millorada usa el domini youtube-nocookie.com, i Google promet que eixes visualitzacions no influiran en l’experiència en YouTube ni personalitzaran anuncis (YouTube). No promet que no es guarde res. Criteri prudent: mostra una imatge del vídeo i carrega el reproductor només després del consentiment.

Les multes per estes fallades arriben a 150.000€ en la LSSI i a milions en el RGPD

Les quanties de la LSSI estan en el seu art. 39 i el repartiment de competències, en l’art. 43. En infraccions lleus o greus, l’òrgan sancionador et pot advertir perquè corregisques en un termini, en lloc d’obrir el procediment (art. 39 ter). Regularitzar amb diligència també rebaixa l’escala de la multa (art. 39 bis).

Llista de comprovació: 20 punts amb el seu article

Criteri prudent: corregix primer els punts 6, 12, 13 i 15. Qualsevol visitant els pot comprovar en un minut, i els tres casos de més amunt van començar per la reclamació d’un usuari.

Què fer dilluns

1. Fes l’auditoria de 20 minuts en la teua portada i en la teua pàgina de contacte, i apunta el que es carrega abans de decidir.
2. Si alguna cosa es carrega abans d’acceptar, demana a qui porta la teua web que la bloquege fins al consentiment. En Google, mode bàsic.
3. Busca en els teus textos «XXX», «15/1999», «litigis en línia» i qualsevol nom que no siga el teu.
4. Posa la informació bàsica al costat de cada formulari i lleva les caselles premarcades.
5. Demana als teus proveïdors el seu contracte d’encarregat: allotjament, correu electrònic, CRM i agenda.
6. Si vens en línia, revisa el botó de pagament i el desistiment, i prepara la funció «desistir del contracte ací».
7. Passa la llista de comprovació a qui revise els teus textos. El contingut jurídic l’ha de validar un advocat o un consultor de protecció de dades.

Si penses refer la web, és el moment de resoldre el bàner, els formularis i els vídeos des del disseny. A NOR studio partim d’esta llista en cada web que dissenyem, i el contingut jurídic el valida el teu assessor.