Obligaciones legales de una tienda online: lista 2026

Vas a montar una tienda online, o ya la tienes funcionando y quieres saber si te falta algo por cumplir. Esta es la lista completa de obligaciones legales de un comercio electrónico en España, ordenada por el recorrido que hace tu cliente: desde que aterriza en la ficha del producto hasta que recibe el pedido y, si hace falta, lo devuelve. No es asesoramiento jurídico para tu caso concreto, pero sí el mapa completo para saber qué tienes puesto y qué te falta.

Detrás de cada punto hay una norma: la LSSI-CE (Ley 34/2002) para el comercio electrónico, el texto refundido de la Ley de Consumidores y Usuarios (RDL 1/2007) para la relación con el comprador, y el RGPD con la LOPDGDD para los datos. Vamos por partes.

Identificación, precios e información previa al pedido

Antes de que nadie compre, tu tienda tiene que dejar claras dos cosas: quién eres y qué le va a costar exactamente.

Quién eres (identificación). La LSSI te obliga a mostrar de forma accesible, normalmente en el aviso legal:

Nombre o denominación social, y NIF.
Domicilio o dirección de contacto.
Correo electrónico y cualquier otro dato para contactar de forma directa.
Si estás inscrito en el Registro Mercantil, los datos de inscripción.
Si tu actividad necesita autorización o colegiación, los datos correspondientes.

Qué cuesta (precios e información previa). Cada producto debe mostrar el precio final con impuestos incluidos (el IVA no se añade por sorpresa al final) y, por separado y antes de pagar, los gastos de envío y cualquier coste adicional. Además, antes de que el cliente se comprometa, tiene que tener a la vista las características del producto, la forma de pago, el plazo de entrega y la existencia del derecho de desistimiento. Ocultar costes hasta el último paso del carrito es una de las prácticas que más reclamaciones genera.

Condiciones generales de contratación y confirmación del pedido

Tu tienda necesita unas condiciones generales de contratación accesibles: el documento que explica cómo se compra, cómo se paga, cómo se entrega, cómo se devuelve y qué garantías hay. El cliente debe poder leerlas y aceptarlas antes de pagar, y debe poder guardarlas y reproducirlas (que no desaparezcan después de comprar).

Y hay una obligación concreta que mucha gente no conoce: la LSSI exige confirmar la recepción del pedido. En la práctica esto se cumple con el correo automático de «hemos recibido tu pedido» que envía la tienda tras la compra, en un plazo razonable. Ese correo no es opcional ni es solo cortesía: es un requisito. Asegúrate de que tu plataforma lo envía de verdad y de que no se queda atascado en el spam del cliente.

El resto de textos que tu web necesita tener publicados (aviso legal, privacidad, cookies, condiciones) los repasamos uno a uno en la guía de textos legales obligatorios en una web.

Derecho de desistimiento: 14 días, excepciones y formulario

Esta es la obligación estrella del comercio a distancia y la que más disgustos da cuando se ignora. El cliente tiene 14 días naturales para devolver el producto sin dar ninguna explicación. El plazo cuenta desde que recibe el producto, no desde que lo compra.

Puntos que tienes que tener claros:

Debes informar del derecho antes de la compra. Si no lo haces, el plazo de devolución no se queda en 14 días: se amplía hasta 12 meses más. Es decir, callártelo te sale carísimo.
Tienes que poner a disposición un modelo de formulario de desistimiento (hay un modelo oficial que puedes copiar y adaptar), aunque el cliente puede desistir por cualquier medio.
Al desistir, devuelves el importe del producto y el envío de ida. El coste de la devolución puede asumirlo el cliente si se lo has advertido antes.

Excepciones: no todo admite desistimiento. Entre otros, quedan fuera los productos hechos a medida o personalizados, los perecederos, los precintados que no se pueden devolver por higiene o salud una vez abiertos (cosmética, ropa interior), los contenidos digitales ya descargados con consentimiento expreso, y la prensa. Si vendes algo de esto, dilo claramente en la ficha, porque la excepción solo vale si el cliente lo sabía.

Datos de clientes: base legal, plazos de conservación y newsletter

Cada pedido genera datos personales, y ahí entra el RGPD. Lo esencial para una tienda:

Base legal de cada tratamiento. Para gestionar el pedido, la base es la ejecución del contrato: no necesitas pedir permiso para tratar los datos que hacen falta para servir la compra. Pero para mandarle publicidad después, la base es distinta y normalmente necesitas consentimiento.
La newsletter va siempre separada de la compra. No puedes meter a alguien en tu lista de correo por el hecho de haber comprado, ni con una casilla premarcada en el carrito. El consentimiento de marketing es un acto aparte y voluntario.
Plazos de conservación. Los datos fiscales de la venta se guardan el tiempo que exige la normativa contable y tributaria. Pero no puedes conservar para siempre y para todo: un contacto que nunca compró o unos datos que ya no necesitas para nada deben eliminarse o anonimizarse.

Si tu tienda es pequeña, el conjunto de obligaciones de datos que sí te aplican de verdad (y las que no) está resumido en obligaciones de RGPD para una web pequeña. Y si algún día sufres una brecha (por ejemplo, te roban datos de clientes), hay un reloj corriendo: tienes que saber cómo notificar una brecha a la AEPD en 72 horas.

Pagos: qué datos no debes guardar nunca y qué exige tu pasarela

Regla de oro y sin matices: los datos completos de la tarjeta de tus clientes no deben pasar ni guardarse en tu servidor. En concreto, el código de seguridad (CVV) no se puede almacenar jamás, ni siquiera cifrado.

La forma correcta de cobrar en una tienda pequeña o mediana es delegar el pago en una pasarela (la de tu banco, o servicios como Stripe, Redsys, PayPal). Cuando el cliente paga, sus datos de tarjeta viajan directamente a la pasarela, que está sujeta al estándar de seguridad del sector de tarjetas (PCI DSS), y a ti te devuelve solo una confirmación o un identificador (token). Así tú nunca tocas el número real de la tarjeta y te quitas de encima la parte más peligrosa del cumplimiento.

Lo que sí es tu responsabilidad:

Que tu web tenga HTTPS en todo el proceso de compra (certificado válido, candado que no dé error).
Que la integración con la pasarela esté al día y no uses módulos de pago viejos o abandonados.
Que nadie haya inyectado código en tu página de pago para robar tarjetas por el camino, un ataque real y silencioso.

Reseñas, resolución de litigios y garantías

Reseñas honestas. Si muestras valoraciones de productos, tienes que indicar si compruebas que quien las deja compró de verdad, y no puedes publicar reseñas falsas ni pagar por reseñas positivas presentándolas como espontáneas. Las prácticas engañosas con reseñas están expresamente prohibidas.

Resolución de litigios. Durante años, las tiendas estaban obligadas a enlazar la plataforma europea de resolución de litigios en línea. Ojo aquí, porque esto ha cambiado: esa plataforma de la UE se retiró en 2025, así que el clásico enlace ya no cumple ninguna función. Lo que sí conviene seguir ofreciendo es información clara sobre cómo reclamar y, si te has adherido a algún sistema de arbitraje de consumo, indicarlo. Verifica el requisito vigente antes de copiar el texto de una tienda antigua, porque muchas siguen enlazando algo que ya no existe.

Garantía legal. Los productos nuevos tienen una garantía legal de conformidad de 3 años desde la entrega (se amplió desde los 2 años anteriores). Es una garantía que da la ley, independiente de la garantía comercial del fabricante, y no puedes reducirla en tus condiciones. Deja claro cómo se ejercita.

Seguridad del carrito: el robo de tarjetas también es un problema legal

Este último punto se sale de los formularios y las plantillas, pero es donde una tienda se puede jugar de verdad la reputación y una sanción. Si un atacante inyecta código en tu proceso de pago y roba las tarjetas de tus clientes mientras las teclean, no es solo un problema técnico: es una brecha de datos personales con obligaciones legales inmediatas.

Qué significa en la práctica:

Tienes que detectarlo. Estos ataques no rompen nada visible; la tienda sigue funcionando mientras el código copia los datos. Por eso pasan desapercibidos durante semanas.
Si ocurre, se activan las obligaciones de notificación a la autoridad y, en muchos casos, a los clientes afectados, con plazos cortos.
Y arrastra responsabilidad frente al banco, la pasarela y los propios compradores.

Cómo reconocer las señales de que están robando tarjetas en tu checkout y qué hacer sin destruir las pruebas lo explicamos paso a paso en cómo comprobar si están robando tarjetas en tu tienda online. Cumplir con la parte de datos empieza por tener las medidas de protección de datos y ciberseguridad montadas antes de que pase nada, no después.

Antes de la próxima campaña, mira tu tienda desde fuera

La mitad de esta lista se cumple con textos y procesos; la otra mitad depende de que tu tienda no tenga agujeros por los que se cuelen los problemas legales de verdad, como el robo de datos de clientes. Antes de meter tráfico con la próxima campaña, mira cómo se ve tu web desde el punto de vista de un atacante. Escanea tu tienda gratis con PathScan y sabrás si el carrito, el pago y los datos de tus clientes están donde deben estar.

Seguir leyendo en esta sección

Ver todo en Cookies y textos legales → · Mapa completo del sitio