Legal
Lo legal mínimo de la web de un negocio en España (2026)
La web de un negocio está sujeta a cuatro o cinco normas a la vez. Ninguna es difícil por separado, pero cada una pide algo distinto y conviene saber cuáles te tocan según lo que hace tu web. Esta guía repasa el mínimo para una web de negocio local: qué textos necesitas, qué tienen que decir y qué errores se repiten. Es una guía orientativa, no asesoramiento jurídico: si tu caso tiene particularidades, consúltalo con un abogado o con tu gestoría.
Qué normas te tocan según lo que hace tu web
Una web que sólo presenta el negocio necesita mucho menos que una que cobra reservas o vende. Busca tu caso en esta tabla.
| Norma | Cuándo te aplica | Qué te pide |
|---|---|---|
| LSSI (Ley 34/2002), art. 10 | Siempre que la web tenga actividad económica, aunque no venda | Aviso legal con los datos del titular |
| RGPD y LOPDGDD (LO 3/2018) | Si recoges datos personales: formulario, reservas, boletín, chat | Información de privacidad, base jurídica, contratos con encargados, registro de actividades |
| LSSI, art. 22.2 y guía de la AEPD | Si usas cookies o similares que no sean técnicas | Banner de consentimiento con «Rechazar» al nivel de «Aceptar» |
| TRLGDCU (RDL 1/2007) | Si publicas precios o vendes a consumidores | Precio final con impuestos, información previa, desistimiento |
| LSSI, arts. 27 y 28 | Si se contrata o se paga por la web | Explicar los pasos antes de contratar y confirmar después |
| Ley 11/2023 | Comercio electrónico de empresas que no son microempresas | Que el servicio sea accesible |
Aviso legal: quién está detrás de la web
El artículo 10 de la Ley 34/2002 de Servicios de la Sociedad de la Información (LSSI) obliga a cualquier prestador de servicios con actividad económica en internet a ofrecer cierta información «de forma permanente, fácil, directa y gratuita». No hace falta vender online: una web que promociona un negocio ya es actividad económica. Lo habitual es una página «Aviso legal» enlazada desde el pie de todas las páginas.
Lo que debe aparecer, según las letras del artículo 10.1:
- Nombre o denominación social, domicilio, correo electrónico y otro dato de contacto directo, como un teléfono.
- Datos de inscripción en el Registro Mercantil o en el registro público que corresponda, si estás inscrito.
- Si tu actividad necesita autorización administrativa previa, los datos de esa autorización y del órgano que la supervisa.
- Si ejerces una profesión regulada: colegio profesional, número de colegiado, título académico, Estado que lo expidió y normas profesionales aplicables.
- Tu NIF.
- Si mencionas precios, información clara sobre el precio, si incluye impuestos y, en su caso, los gastos de envío.
- Los códigos de conducta a los que estés adherido, si los hay, y dónde consultarlos.
Autónomo o sociedad
Si eres autónomo, el titular eres tú: tu nombre, tu NIF y el domicilio de la actividad. Puedes añadir tu nombre comercial, pero no sustituye al nombre real. Si tienes una sociedad, va la razón social completa (con «S.L.» o «S.A.»), su NIF y los datos registrales: Registro Mercantil, tomo, folio, hoja e inscripción.
Privacidad: si tu web recoge datos personales
En cuanto la web recoge datos de personas —un formulario de contacto, una reserva, un boletín, un chat—, se aplican el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales (LOPDGDD). Tú eres el «responsable del tratamiento»: decides para qué se usan esos datos y respondes de ellos.
Qué tiene que decir la política de privacidad
El artículo 13 del RGPD fija lo que hay que contar cuando recoges datos de la propia persona. La LOPDGDD (artículo 11) permite hacerlo en dos capas: un resumen breve junto al formulario y la información completa en una página aparte, enlazada desde ese resumen.
- Quién es el responsable y cómo contactar con él.
- Para qué usas los datos y con qué base jurídica.
- A quién se comunican, incluidos los proveedores que los tratan por ti.
- Si salen del Espacio Económico Europeo y con qué garantía.
- Cuánto tiempo los guardas o con qué criterio decides el plazo.
- Los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, y cómo ejercerlos.
- El derecho a reclamar ante la Agencia Española de Protección de Datos (AEPD).
La base jurídica: por qué puedes usar esos datos
Todo uso de datos necesita una base legal del artículo 6 del RGPD. Para una web de negocio local se usan casi siempre tres: la ejecución de un contrato o de medidas precontractuales (responder a quien te pide un presupuesto, gestionar su reserva), el consentimiento (el boletín, las comunicaciones comerciales) y el cumplimiento de una obligación legal (conservar facturas).
La consecuencia práctica: no necesitas una casilla de consentimiento para atender una reserva, porque la persona te la pide. Sí la necesitas si además quieres enviarle ofertas, y esa casilla tiene que ir aparte, sin marcar y sin ser obligatoria para reservar.
Formularios de contacto
Pide sólo lo que necesitas para responder: nombre, una forma de contacto y el mensaje. Un formulario de contacto no necesita la fecha de nacimiento ni el DNI. Debajo del botón de enviar, pon la primera capa: responsable, finalidad, derechos y el enlace a la política completa.
Cuánto tiempo guardas los datos
El RGPD no da un número; te pide que fijes un plazo razonable y lo cumplas. Un mensaje de contacto que no termina en encargo no tiene por qué guardarse más de unos meses. Los datos de clientes con facturas se conservan mientras lo exige la normativa mercantil y fiscal. Cuando ya no los necesitas, la LOPDGDD (artículo 32) obliga a bloquearlos: guardados sólo a disposición de jueces y autoridades hasta que prescriban las responsabilidades, y luego borrarlos.
Proveedores que tratan datos por ti
El hosting donde vive la web, el servicio de correo, la herramienta de reservas o el programa de facturación tratan datos de tus clientes en tu nombre: son «encargados del tratamiento». El artículo 28 del RGPD exige un contrato con cada uno que fije qué pueden hacer con los datos. Los proveedores grandes lo incluyen en sus condiciones como «acuerdo de tratamiento de datos» o DPA; guarda una copia o el enlace.
Si el proveedor está fuera del Espacio Económico Europeo, por ejemplo en Estados Unidos, la transferencia necesita una garantía: que la empresa esté adherida al Marco de Privacidad de Datos UE-EE. UU. o que use cláusulas contractuales tipo. Dilo en la política de privacidad.
Registro de actividades de tratamiento
El artículo 30 del RGPD exime del registro a las organizaciones de menos de 250 personas, salvo que el tratamiento no sea ocasional, suponga un riesgo o incluya datos sensibles. Un negocio que trata datos de clientes cada semana no lo hace de forma ocasional, así que lo prudente es tenerlo: una tabla con cada tratamiento, finalidad, datos, destinatarios, plazos y medidas de seguridad. La herramienta gratuita Facilita RGPD de la AEPD lo genera para negocios de poco riesgo.
Clínicas, fisioterapeutas, psicólogos o centros de estética que anotan el motivo de la cita pueden estar tratando datos de salud, que son una categoría especial. Pide el mínimo en el formulario y revisa tu caso con detalle: las obligaciones son más exigentes.
Precios: con impuestos si vendes a consumidores
La Ley General para la Defensa de los Consumidores y Usuarios (texto refundido aprobado por el RDL 1/2007, TRLGDCU) exige que el precio que ve un consumidor sea el precio final completo, impuestos incluidos, con los cargos adicionales indicados. «Corte de pelo 18 €» tiene que significar 18 € al pagar. Si tus clientes son empresas o autónomos, mostrar precios sin IVA es habitual, siempre que lo digas junto al precio («+ IVA»).
Si vendes o cobras reservas online
Cuando el contrato se cierra a distancia —el cliente compra o paga una reserva desde la web—, se suman las obligaciones de la contratación electrónica (LSSI) y de los contratos a distancia (TRLGDCU).
Antes de contratar
El artículo 97 del TRLGDCU enumera la información que el consumidor tiene que tener antes de pagar: qué compra, quién eres, cómo contactarte, el precio total con impuestos, las formas de pago y entrega, el derecho de desistimiento o el motivo por el que no existe, y las garantías. La LSSI (artículo 27) añade que expliques los pasos para contratar, cómo corregir errores antes de confirmar y en qué idiomas se puede contratar. Todo esto suele ir en unas condiciones generales enlazadas antes del botón de pago.
Después de contratar
El artículo 28 de la LSSI obliga a confirmar la compra, por ejemplo con un correo de acuse de recibo, en las 24 horas siguientes. Ese correo es también el lugar natural para recordar las condiciones de cancelación.
Desistimiento: 14 días y sus excepciones
Por regla general, el consumidor puede desistir de un contrato a distancia en 14 días naturales sin dar explicaciones (artículos 102 y 104 del TRLGDCU). Si no le informas de este derecho, el plazo se alarga doce meses (artículo 105).
El artículo 103 recoge excepciones que importan a muchos negocios locales: los servicios ya ejecutados por completo cuando el cliente aceptó expresamente que empezaran antes de acabar el plazo; los bienes hechos a medida o que caducan rápido, como la comida; y los servicios de alojamiento, alquiler de vehículos, comida o actividades de ocio con una fecha o periodo concretos. Una reserva de mesa con señal o una entrada para un taller en una fecha fija entran normalmente aquí. Que no haya desistimiento no te libra de informar: tienes que decir antes del pago que ese derecho no existe y cuáles son tus condiciones de cancelación.
Si tus condiciones mencionan la plataforma europea de resolución de litigios en línea (ODR), actualízalas: la plataforma cerró el 20 de julio de 2025 y desde entonces ya no hay que enlazarla.
Accesibilidad: la Ley 11/2023
La Ley 11/2023, de 8 de mayo, traspone la Directiva europea de accesibilidad (2019/882). Su Título I se aplica desde el 28 de junio de 2025 a una lista cerrada de productos y servicios para consumidores; entre los servicios está el comercio electrónico (artículo 2.2.f), junto a banca, transporte, comunicaciones o libros electrónicos.
El artículo 3.3 exime de los requisitos de accesibilidad a las microempresas que prestan servicios. Microempresa es la que tiene menos de 10 personas empleadas y un volumen de negocio anual o un balance de hasta 2 millones de euros. Una peluquería, un taller o un restaurante pequeño con reservas online quedan, en general, fuera. La exención no alcanza a los productos que fabricas o importas, sólo a los servicios.
Aunque no te obligue, una web accesible es mejor web: buen contraste, textos alternativos, formularios con etiquetas y uso con teclado. Hecho desde el principio, no cuesta más.
Qué pasa si no cumples: sanciones
Las cuantías máximas asustan, pero las autoridades gradúan según el tamaño, la intención, el daño y si corriges rápido. La LSSI (artículo 39 bis) permite aplicar la escala inferior si regularizas con diligencia o reconoces la infracción.
| Norma | Ejemplo de infracción | Multa |
|---|---|---|
| LSSI, leve | Faltar el NIF, los datos registrales o de colegiado; cookies sin informar | Hasta 30.000 € |
| LSSI, grave | Incumplimiento significativo de identificarte o de informar de precios | De 30.001 a 150.000 € |
| LSSI, muy grave | Supuestos excepcionales, ajenos a una web de negocio corriente | De 150.001 a 600.000 € |
| RGPD, art. 83.4 | Obligaciones del responsable y del encargado, seguridad | Hasta 10 millones o el 2 % de la facturación mundial |
| RGPD, art. 83.5 | Principios, base jurídica, derechos de las personas | Hasta 20 millones o el 4 % de la facturación mundial |
Lista de comprobación
Repasa tu web con esta lista. Si todo está marcado, tienes el mínimo cubierto para una web de negocio local.
- Aviso legal con nombre o razón social, NIF, domicilio, correo y teléfono, enlazado desde el pie de todas las páginas.
- Datos del Registro Mercantil si eres sociedad; colegio y número de colegiado si tu profesión está regulada.
- Política de privacidad que nombra responsable, finalidades, bases jurídicas, plazos, proveedores, transferencias y derechos.
- Formularios que piden sólo lo necesario; casilla de comunicaciones comerciales aparte y sin marcar.
- Contrato o DPA aceptado con hosting, correo, herramienta de reservas y facturación.
- Banner de cookies sólo si hay cookies no exentas, con «Rechazar» al nivel de «Aceptar» y nada cargado antes de aceptar.
- Precios finales con IVA para consumidores, o «+ IVA» visible si vendes a empresas.
- Si cobras online: condiciones generales, información de desistimiento o de su excepción, política de cancelación y correo de confirmación.
Cómo redactar los textos sin copiarlos de otra web
Copiar los textos de otro negocio es el error más común: describen finalidades, proveedores y plazos que no son los tuyos. Revísalos también cada vez que añades un formulario, un chat, un píxel o una herramienta nueva.
Un orden que funciona: primero haz la lista de lo que recoge tu web y de los proveedores que usas (hosting, correo, reservas, pagos, analítica). Después genera la base con Facilita RGPD de la AEPD, ajústala a tu caso y añade el aviso legal con los datos del artículo 10. Si tu negocio trata datos de salud, cobra por adelantado o vende fuera de España, revísalo con un profesional.
Esta guía es información general a fecha de octubre de 2026 y no sustituye el consejo de un abogado. Las normas y los criterios de la AEPD cambian; consulta siempre el texto consolidado en el BOE.
Preguntas frecuentes
¿Un autónomo necesita aviso legal en su web?
Sí. El artículo 10 de la LSSI se aplica a cualquier web con actividad económica, también la de un autónomo que sólo presenta sus servicios. Tienes que mostrar tu nombre, NIF, domicilio y un correo de contacto.
¿Google Analytics necesita banner de cookies?
Sí, si usa cookies. La guía de la AEPD no exime a las cookies de análisis del consentimiento; sólo dice que las de primera parte con datos agregados suponen poco riesgo. Hasta que el visitante acepte, Analytics no debe cargarse.
¿Mi web tiene que cumplir la Ley de accesibilidad?
La Ley 11/2023 se aplica al comercio electrónico y a otros servicios concretos desde el 28 de junio de 2025, pero las microempresas que prestan servicios (menos de 10 personas y hasta 2 millones de facturación o balance) están exentas. Una web que sólo informa no está en la lista de servicios.
¿Mis clientes pueden cancelar una reserva pagada y pedir el dinero en 14 días?
Depende del servicio. Los servicios de comida y de ocio con fecha concreta no tienen derecho de desistimiento, pero tienes que avisarlo antes del pago y publicar tus condiciones de cancelación. Para otros servicios, el plazo general de 14 días sí se aplica salvo que el servicio ya se haya prestado con su consentimiento expreso.
Fuentes
- Ley 34/2002, de servicios de la sociedad de la información (LSSI), texto consolidado — BOE
- Reglamento (UE) 2016/679, General de Protección de Datos — EUR-Lex
- Ley Orgánica 3/2018, de Protección de Datos y garantía de los derechos digitales — BOE
- Guía sobre el uso de las cookies (actualización 2023) — AEPD
- Real Decreto Legislativo 1/2007, Ley General para la Defensa de los Consumidores y Usuarios — BOE
- Ley 11/2023, de 8 de mayo, de trasposición de Directivas en materia de accesibilidad — BOE
- Facilita RGPD — AEPD
- Cierre de la plataforma europea de resolución de litigios en línea — Centro Europeo del Consumidor en España