Textos legales obligatorios en tu web: cuáles y por qué

Te has metido en el pie de tu web y hay tres enlaces que no sabes muy bien quién puso ni si dicen lo que tienen que decir. O peor: hay uno solo, o ninguno. La buena noticia es que la lista de textos legales obligatorios en España es corta y cerrada: son tres, y un cuarto si vendes. La mala es que el error más habitual no es que falten, sino que están copiados de otra web y mencionan datos, servicios o cookies que tú no tienes.

Aquí tienes qué textos exige la ley, qué norma obliga a cada uno, qué tiene que decir cada uno como mínimo y dónde deben estar enlazados. Al final, los fallos que un competidor molesto o una reclamación detectan en dos minutos.

Aviso: esto es una guía práctica, no asesoramiento jurídico. Para redactar los textos de una web con tienda, con datos sensibles o con varios países, cuenta con un abogado.

Los tres o cuatro textos que exige la ley y qué norma obliga a cada uno

No hay una única «ley de webs». Cada texto viene de una norma distinta, y saber cuál te ayuda a entender qué puede pedirte cada uno:

Aviso legal → lo obliga la LSSI-CE (Ley 34/2002, de servicios de la sociedad de la información). Es el texto que dice quién eres.
Política de privacidad → la obligan el RGPD (Reglamento UE 2016/679) y la LOPDGDD (Ley Orgánica 3/2018). Dice qué haces con los datos de quien entra.
Política de cookies → la obliga el artículo 22.2 de la LSSI-CE. Dice qué se instala en el dispositivo del visitante y con qué permiso.
Condiciones generales de contratación → las obligan la LSSI-CE y la ley de consumidores (el texto refundido aprobado por el Real Decreto Legislativo 1/2007). Solo si vendes online, pero entonces sin excusa.

Fíjate en una cosa importante: estos textos no son intercambiables. Un «Aviso legal y política de privacidad» todo junto en una página es una señal de que se copió de una plantilla vieja. Se pueden agrupar en una misma página si están claramente separados por secciones, pero cada bloque tiene su contenido mínimo y su norma detrás.

Aviso legal: los datos identificativos que pide la LSSI

El aviso legal es el más fácil de arreglar y el que más se ve mal, porque casi siempre se quedó con los datos de la plantilla o de la agencia. La LSSI obliga a que aparezcan, de forma permanente, fácil, directa y gratuita:

Nombre o denominación social completa. Si eres autónomo, tu nombre y apellidos; no basta el nombre comercial.
NIF o CIF.
Domicilio de establecimiento. Si trabajas desde casa y no quieres publicar tu dirección particular, la solución no es omitirla: es tener un domicilio social o profesional distinto.
Correo electrónico y algún otro medio de comunicación directa y efectiva (teléfono o formulario).
Datos de inscripción en el Registro Mercantil si eres sociedad: tomo, folio, hoja y, si lo tienes, inscripción.
Colegio profesional, número de colegiado y título académico si ejerces una profesión regulada (abogacía, arquitectura, medicina, ingeniería…).
Autorización administrativa previa y datos del órgano de supervisión, si tu actividad la requiere.
Precio de los productos o servicios, indicando si incluye impuestos y gastos de envío, cuando se ofrezcan en la web.

Comprueba tú mismo, ahora: abre tu aviso legal y busca el NIF. Es el campo que más veces falta. Si tienes dudas sobre el alcance completo de esta norma, lo desarrollamos en el artículo sobre las obligaciones que la LSSI-CE impone a la web de una empresa.

Política de privacidad: lo que tiene que decir sí o sí

Este texto no es un adorno: es la forma en que cumples el deber de informar. Tiene que contener, como mínimo:

Identidad y datos de contacto del responsable (tú, con NIF y dirección).
Datos del delegado de protección de datos, si lo has designado. Si no tienes, no inventes uno.
Finalidades de cada tratamiento, separadas: responder consultas, gestionar pedidos, enviar la newsletter, medir el tráfico. Nada de «gestionar la relación comercial» como cajón único.
Base legal de cada finalidad. Si invocas el interés legítimo, tienes que decir cuál es.
Destinatarios o categorías de destinatarios: hosting, plataforma de correo, pasarela de pago, gestoría, transportista.
Transferencias internacionales, si las hay, y con qué garantía se hacen. Si usas herramientas alojadas fuera de la Unión Europea, esto te aplica aunque no te lo hayas planteado.
Plazos de conservación o los criterios para determinarlos. «El tiempo necesario» a secas no vale; di algo como «hasta que retires el consentimiento y después bloqueados durante los plazos legales de prescripción».
Derechos de las personas y cómo ejercerlos, con una vía de contacto real.
Derecho a reclamar ante la Agencia Española de Protección de Datos.
Si hay decisiones automatizadas o elaboración de perfiles, y con qué lógica.

Un detalle práctico que se olvida siempre: la política de privacidad tiene que coincidir con la realidad. Si menciona un chat que ya no usas, o no menciona el píxel de publicidad que sí tienes puesto, el texto juega en tu contra en lugar de protegerte. La base conceptual de todo esto está en la guía de qué te obliga de verdad el RGPD en una web pequeña.

Política de cookies: por qué copiarla de otra web te delata

La política de cookies es el texto que más se copia y el que peor aguanta una comprobación, porque es el único verificable en treinta segundos desde fuera. Cualquiera puede abrir tu web, mirar qué cookies se instalan y compararlo con tu listado.

Los desajustes típicos:

La política habla de cookies de Google Analytics y tú ya no usas analítica. O al revés.
Menciona redes sociales que no tienes incrustadas y no menciona el vídeo de YouTube que sí tienes en la portada, que instala sus propias cookies en cuanto carga.
Da plazos de caducidad genéricos que no coinciden con los reales.
Está redactada para otro país o cita normativa que no es la española.

La política de cookies tiene que listar cookie por cookie (o al menos por categoría y proveedor) el nombre, la finalidad, la duración y quién la instala, y tiene que ir acompañada de un mecanismo que permita rechazar tan fácilmente como aceptar y retirar el consentimiento después. Todo eso, con el detalle de cómo montarlo sin cargarte la analítica, está en el artículo sobre el banner de cookies conforme a la guía de la AEPD.

Condiciones de contratación: solo si vendes, pero entonces sin excusa

Si tu web permite comprar, reservar pagando o contratar un servicio, necesitas condiciones generales de contratación. Y aquí ya no basta con tenerlas: hay que poder demostrar que el cliente las aceptó antes de pagar. Contenido mínimo:

Identidad del vendedor y datos de contacto.
Descripción del producto o servicio y precio final con impuestos y gastos de envío desglosados.
Formas de pago, plazos y modalidades de entrega.
Derecho de desistimiento: el plazo legal, cómo ejercerlo y un formulario de desistimiento a disposición del cliente. Si no informas del desistimiento, el plazo se amplía notablemente en contra tuya.
Excepciones al desistimiento, si tu producto está entre ellas (personalizados, precintados, contenido digital ya descargado).
Garantía legal de conformidad y procedimiento de reclamación.
Trámite del pedido: los pasos que hay que seguir, si se archiva el documento electrónico y en qué idioma se formaliza.

Un apunte de actualidad que conviene revisar: durante años era obligatorio enlazar la plataforma europea de resolución de litigios en línea. Esa plataforma dejó de estar operativa, así que si tu tienda todavía tiene ese enlace, hoy apunta a un sitio que ya no presta el servicio. Ábrelo y compruébalo antes de dejarlo puesto.

Dónde deben estar enlazados y con qué visibilidad

El criterio legal es «permanente, fácil, directo y gratuito». Traducido a decisiones concretas:

Enlaces en el pie de todas las páginas, incluidas las páginas de aterrizaje de campañas, que son las que suelen quedarse fuera de la plantilla.
Texto del enlace claro: «Aviso legal», «Política de privacidad», «Política de cookies». Nada de esconderlos dentro de un menú desplegable de «Información».
Contraste y tamaño legibles. Gris claro sobre blanco a 9 píxeles no es «fácil y directo».
La política de privacidad, enlazada además desde cada formulario, junto a la casilla de consentimiento.
Un enlace o botón permanente para volver a abrir la configuración de cookies una vez aceptadas.
Si tienes la web en varios idiomas, los textos legales también, y con el mismo contenido.

Errores que un inspector o un competidor detectan en dos minutos

El NIF o el domicilio no están en el aviso legal, o son los de la agencia que hizo la web.
Aparece el nombre de otra empresa en algún párrafo, resto evidente de la plantilla copiada.
La política de cookies no coincide con lo que se carga de verdad.
No hay botón de rechazar en la primera capa del banner, o rechazar cuesta tres clics más que aceptar.
La política de privacidad no menciona a los destinatarios reales de los datos (hosting, plataforma de correo, pasarela de pago).
Los textos están en el pie pero dan error 404 porque se rehízo la web y las URL cambiaron.
Hay tienda y no hay condiciones de contratación, o las hay pero no se aceptan en ningún punto del proceso de compra.
No se puede retirar el consentimiento de cookies una vez dado.

Si tienes que priorizar: primero el aviso legal, porque se arregla en diez minutos y es el más comprobable; después la coherencia entre la política de cookies y lo que realmente carga tu web, que es de donde salen la mayoría de las reclamaciones a pymes españolas. El marco completo de qué normas te aplican según lo que hace tu empresa está en la guía de normativa de protección de datos y ciberseguridad para pymes.

Antes de reescribir nada, conviene saber qué está publicando tu web ahora mismo: qué cookies y qué servicios de terceros se cargan, si los enlaces del pie responden y qué información técnica estás dejando a la vista. Pide el informe gratuito del estado de tu web y compara lo que dicen tus textos con lo que hace tu web de verdad.

Seguir leyendo en esta sección

Ver todo en Cookies y textos legales → · Mapa completo del sitio