Aplica a EspañaNormas y plazos de España. Si estás en otro país, quédate con el método y comprueba las fechas de tu administración.
Lo que tu web tiene que llevar por ley: aviso legal, privacidad y cookies
Qué te pide la LSSI, el RGPD y la ley española de protección de datos, con textos para copiar, una tabla de qué necesitas según lo que tiene tu web y las multas reales con enlace al BOE.
Trámites · 5 de septiembre de 2026 · 9 min de lectura
Tu web tiene que llevar tres cosas por ley en España: un aviso legal con tus datos de titular, una política de privacidad si recoges datos de alguien, y un aviso de cookies solo si usas cookies que no sean necesarias. Lo primero lo pide la LSSI, lo segundo el RGPD y la LOPDGDD, y lo tercero la propia LSSI en su artículo 22.2. Una web de escaparate con formulario de contacto y sin Google Analytics se cumple con dos páginas de texto y una casilla. Aquí tienes los textos para copiar y adaptar.
Es para ti si tienes un negocio con puerta a la calle y no sabes si lo del pie de tu web sirve para algo. Al terminar sabrás qué texto te falta, tendrás el aviso legal y la casilla del formulario escritos, y sabrás qué multa es real y cuál es un mito. No es asesoramiento jurídico: es la lectura de las normas hecha por alguien que monta webs, con enlace a cada artículo para que lo compruebes. Revisado el 5 de septiembre de 2026. Forma parte de la sección Trámites.
Qué necesitas según lo que tiene tu web
La frutería de Paco, con horario, fotos y un botón de WhatsApp, no necesita lo mismo que la clínica de Marta, que pide cita con un formulario y mide las visitas con Google Analytics.
Tabla: tienes, necesitas, dónde va
| Tienes… | Necesitas… | Dónde va |
|---|---|---|
| Cualquier web de un negocio | Aviso legal | Enlace en el pie de todas las páginas |
| Formulario, correo de contacto o cita por internet | Política de privacidad y casilla de consentimiento | Enlace en el pie y casilla junto al botón de enviar |
| Google Analytics, píxel de Facebook o vídeos de YouTube incrustados | Banner de cookies con aceptar y rechazar, y política de cookies | Banner al entrar y enlace en el pie |
El aviso legal: los datos que pide la LSSI
La Ley 34/2002, la LSSI, obliga en su artículo 10 a que quien tiene una web con actividad económica ponga a disposición de quien la visita, de forma permanente, fácil, directa y gratuita, una serie de datos. Es la placa con el nombre y el NIF que tienes en la puerta, pero en la web. Lo que pide el artículo 10:
- Tu nombre o el de la sociedad, la dirección de un establecimiento en España y un correo electrónico.
- Los datos de inscripción en el Registro Mercantil, si eres sociedad.
- Si ejerces una profesión regulada: el colegio, el número de colegiado, el título y las normas de tu profesión.
- El NIF.
- Si la web muestra precios, si incluyen impuestos y los gastos de envío.
Dos olvidos que veo cada semana. Marta es fisioterapeuta, profesión regulada: su aviso legal tiene que llevar el colegio y el número de colegiada, y los avisos de plantilla no lo traen. Lucía pone «tarta de tres chocolates, 32 €»: tiene que decir si es con IVA incluido.
Plantilla de aviso legal mínimo
Copia esto en una página llamada «Aviso legal», enlazada desde el pie, y rellena los huecos. Quita las líneas que no te apliquen.
Aviso legal
Titular de esta web: [Nombre y apellidos o razón social], con NIF [número], y domicilio en [calle, número, código postal, localidad]. Correo de contacto: [correo]. Teléfono: [teléfono].
[Solo sociedades] Inscrita en el Registro Mercantil de [provincia], tomo [x], folio [x], hoja [x].
[Solo profesiones reguladas] [Nombre] es [profesión] colegiada en el [Colegio] con el número [x], con el título de [titulación]. Las normas de la profesión pueden consultarse en [web del colegio].
[Solo si hay precios] Los precios de esta web incluyen el IVA.
Esta web no usa cookies de seguimiento ni de publicidad. [Quita esta línea si tienes banner de cookies.]
La política de privacidad y la casilla del formulario
Si alguien te deja su nombre y su teléfono para pedir cita, tratas datos personales. El Reglamento europeo, el RGPD, en su artículo 13, dice qué tienes que contarle cuando te los da: quién eres, para qué los usas, con qué base legal, a quién se los pasas y qué derechos tiene.
La Ley Orgánica 3/2018, la LOPDGDD, lo hace más llevadero en su artículo 11. Permite dar la información en dos capas: una básica junto al formulario y el resto en una página aparte. La básica lleva al menos la identidad del responsable, la finalidad y la posibilidad de ejercer los derechos. Es la hoja que firmas en la consulta de Marta antes de la primera sesión, pero en la web.
La casilla del formulario, para copiar
Ponla encima del botón de enviar y sin marcar: el artículo 6 de la LOPDGDD exige un consentimiento libre, específico, informado e inequívoco, y una casilla marcada de antemano no es ninguna de esas cosas.
☐ He leído la política de privacidad [enlace a tu página] y acepto que [Nombre del negocio] use mis datos para responder a mi consulta.
Responsable: [Nombre]. Finalidad: atender tu consulta o cita. Derechos: puedes acceder, corregir o borrar tus datos escribiendo a [correo]. Más información en la política de privacidad.
Qué lleva la página de privacidad
La segunda capa es una página con lo que falta del artículo 13, en tu lengua: quién eres, para qué usas los datos y cuánto tiempo los guardas, a quién se los pasas con nombre (el programa de citas, la gestoría, el servicio de correo) y cómo ejercer los derechos, incluida la reclamación ante la AEPD. Si además facturas, Verifactu y la factura electrónica fijan sus propios plazos de conservación.
Cookies: banner solo si te hace falta
El artículo 22.2 de la LSSI dice que puedes guardar cookies en el móvil del visitante si te ha dado su consentimiento tras una información clara. Una cookie es un apunte que la web deja en el navegador, como la ficha que Paco guarda de un cliente habitual para acordarse de lo que pide. El mismo artículo deja fuera las cookies necesarias para prestar el servicio que el visitante ha pedido.
Qué cookies no necesitan banner
La Guía sobre el uso de las cookies de la AEPD, actualizada en mayo de 2024, concreta cuáles están exentas: las de entrada del usuario, las de sesión para identificarse, las de seguridad, las del reproductor de vídeo y las de personalización, como el idioma. Una web de escaparate sin medición ni publicidad no tiene ninguna otra, y no necesita banner.
La misma guía es clara con la medición: las cookies de análisis no están exentas del consentimiento. Si tienes Google Analytics, necesitas el banner; si lo quitas, el banner desaparece con él. Y si lo necesitas, la guía exige que rechazar se ofrezca al mismo nivel y con la misma visibilidad que aceptar: un botón grande de «Aceptar» y un enlace pequeño de «Configurar» no cumple, y seguir navegando tampoco vale como consentimiento.
Las multas de verdad y las de mito
Es el apartado que más miedo vende. Los rangos están en las leyes enlazadas arriba.
Lo que dice la LSSI
El artículo 39 de la LSSI fija tres tramos: infracciones leves, multa de hasta 30.000 €; graves, de 30.001 € a 150.000 €; muy graves, de 150.001 € a 600.000 €. Según el artículo 38, no poner los datos del aviso legal es leve, y pasa a grave solo si el incumplimiento es significativo en el nombre, la dirección o los precios. Usar cookies sin información ni consentimiento es leve, y la sanciona la AEPD según el artículo 43.
Lo que dice el RGPD
El artículo 83 del RGPD tiene dos techos: hasta 10.000.000 € o el 2 % de la facturación anual para las obligaciones de organización y seguridad, y hasta 20.000.000 € o el 4 % para los principios básicos, el consentimiento y los derechos de las personas. Son techos, no tarifas. La LOPDGDD clasifica en su artículo 74 como leve no facilitar toda la información del artículo 13, y en el artículo 72 como muy grave omitir por completo el deber de informar. El artículo 58.2 del RGPD permite a la AEPD cerrar el expediente con un apercibimiento, un aviso sin multa.
Los mitos
- «Te multan con 20 millones por no tener banner de cookies.» Las cookies van por la LSSI: infracción leve, hasta 30.000 €, y solo si de verdad las usas sin consentimiento.
- «Hay que inscribir los ficheros en la AEPD.» Eso era de la ley anterior. La LOPDGDD no pide inscribir nada; pide que informes y que puedas demostrar cómo tratas los datos.
Cuándo necesitas un abogado y cuándo no
Para una web de escaparate con formulario y sin cookies de seguimiento, los textos los puedes escribir tú en una tarde: la ley pide información concreta, no redacción jurídica. Necesitas un abogado o un asesor en protección de datos cuando:
- Tratas datos de salud en la web. Un formulario de cita con nombre y teléfono no lo es; uno que pregunta la dolencia, sí.
- Vendes por internet con carrito y pagos, porque entran condiciones de venta y devoluciones.
- Mandas boletines por correo o tienes cámaras, fichaje de empleados o un programa de fidelización.
- Recibes un requerimiento de la AEPD. Ahí no improvises.
Lista de comprobación antes de publicar
- Comprobar que el pie de todas las páginas enlaza a «Aviso legal» y «Privacidad».
- Comprobar que el aviso legal lleva nombre, NIF, dirección y correo, y el colegio si eres profesión regulada.
- Comprobar que el formulario tiene la casilla sin marcar y el texto de información básica.
- Abrir la web en una ventana privada y mirar si sale un banner que no debería, o si falta y usas Google Analytics.
Si haces la web ahora, en la guía para crear la web de tu negocio estos textos son un paso final, y en los 12 elementos que necesita la web de una pyme verás dónde van.
Resumen: qué hacer esta semana
- Abrir tu web en el móvil y mirar si en el pie están «Aviso legal» y «Privacidad».
- Rellenar la plantilla del aviso legal con tus datos, incluido el colegio si te aplica, y publicarla.
- Poner la casilla sin marcar en el formulario con el texto de información básica.
- Decidir: o quitas Google Analytics, o pones un banner con aceptar y rechazar al mismo nivel.
- Guardar copia de los textos fuera de la web con la fecha.
Si prefieres ahorrarte el tiempo y que lo haga alguien, en la página de planes está lo que cuesta.
Preguntas frecuentes
- ¿Puedo copiar el aviso legal de otra web y cambiar el nombre?
- Los datos que exige la LSSI son los mismos para todos, así que la estructura se parece en todas las webs. Lo que no puedes copiar es el contenido de otra sin adaptarlo: el registro mercantil, el número de colegiado o los precios con IVA son tuyos. Usa la plantilla de este artículo y rellena cada hueco con tus datos.
- ¿Necesito política de privacidad si solo pongo mi teléfono y mi correo?
- Si la gente te escribe al correo o te llama, tratas sus datos, aunque no haya formulario. Un párrafo de privacidad con quién eres, para qué usas los datos y cómo pueden pedir que los borres cumple la información básica que pide la LOPDGDD. Cuesta diez minutos y te evita un expediente por algo formal.
- ¿Hace falta banner de cookies si uso Google Analytics?
- Sí. La guía de cookies de la AEPD dice que las cookies de análisis no están exentas del consentimiento. Si mides visitas con Google Analytics, necesitas un banner con botón de aceptar y de rechazar al mismo nivel. Si quitas la medición o usas una que no ponga cookies, el banner sobra.
- ¿Los textos legales tienen que estar en el pie de todas las páginas?
- La LSSI pide que la información sea de acceso permanente, fácil y directo. Un enlace en el pie de cada página cumple esa condición sin discusión. Esconderla en una página a la que solo se llega desde el menú de tres rayas no vale, porque el acceso deja de ser directo.
- ¿Qué pasa si recibo un requerimiento de la AEPD?
- Tienes un plazo para contestar y explicar cómo tratas los datos. Si es un fallo formal, como una política incompleta, es habitual que lo corrijas y el expediente acabe en apercibimiento, que es un aviso sin multa. Para responder a la Agencia sí conviene un abogado, aunque el texto de tu web lo hayas hecho tú.
Sigue leyendo
Esta guía la escribe alguien que también hace páginas web, de pago único y sin cuota mensual. Si prefieres que lo haga por ti, enservicios está lo que cuesta.