Una web petita pot semblar un assumpte purament tècnic, però des del moment en què carrega el seu primer recurs al navegador d'un visitant europeu entra en l'àmbit d'aplicació de dues normes que conviuen en cada interacció: el Reglament (UE) 2016/679 (RGPD) i la Llei 34/2002 de Serveis de la Societat de la Informació i de Comerç Electrònic (LSSI-CE). La Llei Orgànica 3/2018 (LOPDGDD) afegeix el desenvolupament nacional, i segons l'activitat concorren altres (LO 1/1982 per a imatges, RDLeg 1/2007 per a consumidors, normativa sectorial pròpia).
Aquesta guia recorre quins documents, configuracions i pràctiques ha de tenir una web a Espanya per complir aquesta capa comuna mínima, sense invocacions genèriques a "estar al dia" i sense to alarmista. L'objectiu és operatiu: una checklist que un responsable de projecte pugui usar per validar la seva pròpia web o per encarregar el redisseny amb les peces legals pensades des del principi.
Quines normes s'apliquen a una web espanyola el 2026?
El marc bàsic aplicable a qualsevol lloc web operat des d'Espanya amb visitants a la Unió Europea combina, com a mínim:
- RGPD (Reglament UE 2016/679): regula el tractament de dades personals que reculli la web, des d'un simple formulari de contacte fins al seguiment mitjançant galetes. S'aplica des de maig de 2018.
- LOPDGDD (Llei Orgànica 3/2018, de 5 de desembre): desenvolupament nacional del RGPD. Afegeix regles específiques sobre edat per consentir (art. 7, 14 anys en serveis de la societat de la informació), tractaments en l'àmbit laboral, deure de confidencialitat, designació de DPD i règim sancionador.
- LSSI-CE (Llei 34/2002, d'11 de juliol): regula l'activitat dels prestadors de serveis de la societat de la informació. El seu art. 10 imposa l'obligació d'identificar el titular de la web; l'art. 21 regula les comunicacions comercials per via electrònica; l'art. 22.2 regula els dispositius d'emmagatzematge i recuperació de dades a l'equip de l'usuari (galetes, píxels, fingerprinting).
- LO 1/1982, de 5 de maig, de protecció civil del dret a l'honor, la intimitat personal i familiar i la pròpia imatge: rellevant per a fotografies de persones publicades a la web.
- RDLeg 1/2007 (Llei General de Defensa dels Consumidors i Usuaris) i Llei 4/2022 (que va modificar el règim de garanties a tres anys per a béns): aplicables quan la web fa vendes a consumidors.
A això se suma, segons l'activitat, normativa sectorial específica que pot afegir requisits propis (sanitària, financera, jurídica, educativa, hostalera, etc.). El present article se centra en la capa comuna aplicable a qualsevol web; les particularitats sectorials es tracten en peces dedicades.
Avís legal: el document que identifica qui hi ha darrere (art. 10 LSSI-CE)
L'avís legal respon a l'obligació de l'art. 10 de la LSSI-CE, que exigeix que el prestador del servei faciliti per mitjans electrònics —de forma permanent, fàcil, directa i gratuïta— la següent informació identificativa:
- Denominació social, NIF o CIF i domicili.
- Dades d'inscripció al Registre Mercantil o un altre registre públic en què estigués inscrit.
- Adreça de correu electrònic i qualsevol altra dada que permeti establir comunicació directa i efectiva.
- Si l'activitat estigués subjecta a un règim d'autorització administrativa prèvia, les dades relatives a aquesta autorització i l'autoritat supervisora.
- Si es tracta d'una professió regulada (advocats, arquitectes, metges, etc.), dades del col·legi professional, número de col·legiat, títol acadèmic i normes professionals aplicables.
- Número d'identificació fiscal quan existeixi obligació d'operar amb un.
- Si es fa referència a preus, informació clara i exacta sobre el preu, indicant si inclou impostos i despeses d'enviament.
L'avís legal ha de ser accessible des d'un enllaç permanent al peu de la web (footer). No n'hi ha prou amb tenir-lo dins d'un PDF descarregable ni dins d'un menú desplegable de difícil accés: aquesta pràctica es considera contrària al criteri d'informació permanent, fàcil, directa i gratuïta exigit pel mateix art. 10 LSSI-CE.
Política de privacitat: el deure d'informació dels arts. 13 i 14 RGPD
La política de privacitat compleix el deure d'informació que el RGPD imposa amb dos articles segons l'origen de les dades:
- Art. 13 RGPD quan les dades s'obtenen directament de l'interessat (formularis de la web, registres, subscripcions, alta com a client). La informació s'ha de facilitar en el moment de la recollida.
- Art. 14 RGPD quan les dades NO s'obtenen de l'interessat, sinó d'un tercer o d'una font accessible al públic (bases de dades de prospecció, perfils de xarxes professionals, registres públics, intermediaris). La informació s'ha de facilitar en un termini raonable que no podrà excedir d'un mes des de l'obtenció de les dades, o en el primer contacte si les dades s'usaran per comunicar-se amb l'interessat.
Una web habitual combina tots dos plans: el formulari de contacte activa l'art. 13, mentre que els leads obtinguts via portal, intermediari comercial o llistat professional activen l'art. 14. La política de privacitat ha de contemplar tots dos supòsits quan concorrin.
El model recomanat per la doctrina administrativa és el d'informació per capes: una primera capa breu al costat del punt de recollida (formulari, bàner, alta de compte) i una segona capa completa enllaçada des d'aquesta primera.
El contingut mínim de la segona capa (política completa) ha d'incloure, conforme als arts. 13 i 14 RGPD:
- Identitat i dades de contacte del responsable del tractament.
- Dades de contacte del Delegat de Protecció de Dades (DPD), si l'entitat el té designat conforme a l'art. 37 RGPD o a l'art. 34 LOPDGDD.
- Finalitats del tractament i base jurídica per a cada finalitat (art. 6 RGPD: execució de contracte, consentiment, interès legítim, obligació legal, missió d'interès públic, interessos vitals).
- Destinataris o categories de destinataris de les dades.
- Transferències internacionals, si escau, amb indicació de la base utilitzada (decisió d'adequació, garanties adequades, excepcions).
- Termini de conservació o, quan no sigui possible, criteris per determinar-lo.
- Drets dels interessats (accés, rectificació, supressió, limitació, oposició, portabilitat) i forma d'exercir-los.
- Dret a presentar reclamació davant l'autoritat de control competent.
- Si hi ha decisions automatitzades amb efectes jurídics o significatius (art. 22 RGPD): informació sobre la lògica aplicada i les conseqüències previstes.
- Quan s'apliqui l'art. 14 addicionalment: les categories de dades tractades i la font de la qual procedeixen, indicant si prové d'una font accessible al públic (art. 14.2.f RGPD).
Per aprofundir en la política de privacitat aplicada a un cas concret (ecommerce), convé revisar la guia dedicada: què ha d'incloure la política de privacitat d'una botiga online.
Política de galetes i bàner conforme a la guia vigent
L'art. 22.2 de la LSSI-CE exigeix consentiment previ, informat i específic abans d'instal·lar qualsevol dispositiu d'emmagatzematge o recuperació de dades a l'equip de l'usuari que no sigui estrictament necessari per prestar el servei sol·licitat. La guia oficial vigent sobre ús de galetes, en la seva versió actualitzada el maig de 2024, detalla com aplicar aquest principi en la pràctica diària.
Els criteris tècnics que distingeixen una implementació vàlida d'una de decorativa són:
- Tres opcions equiparades visualment al bàner: acceptar-les totes, rebutjar-les totes i configurar per categories. El botó de rebuig no es pot amagar sota un enllaç de mida inferior ni amagar-se darrere de "configurar".
- Bloqueig previ de totes les galetes i dispositius no estrictament necessaris fins que l'usuari hagi triat. La càrrega anticipada de scripts d'analítica, màrqueting o xarxes socials abans del consentiment és una de les pràctiques que amb més freqüència s'ha qualificat com a infractora.
- Granularitat per categories (estrictament necessàries, preferències, analítica, màrqueting, xarxes socials) amb opció real d'acceptar-ne unes i rebutjar-ne d'altres.
- Termini raonable del consentiment: la guia vigent considera adequat un període que no excedeixi els vint-i-quatre mesos, transcorreguts els quals cal tornar a sol·licitar-lo.
- Enllaç de reconfiguració accessible permanentment des del peu de la web ("Configurar galetes" o equivalent), que permeti a l'usuari canviar la seva decisió inicial sense obstacles.
- Política de galetes amb taula detallada: cada galeta identificada per nom tècnic, titular, finalitat, durada i forma de desinstal·lació. Els píxels, SDKs i dispositius de fingerprinting han d'aparèixer igualment llistats, no només les galetes en sentit estricte.
Per al detall de com implementar tot això en una botiga online concreta, veure la guia: galetes i consentiment en botiga online conforme al RGPD i la LSSI-CE.
Formularis: clàusula informativa, base legitimadora i prova del consentiment
Qualsevol formulari que reculli dades personals (contacte, alta de newsletter, registre de compte, sol·licitud de pressupost, postulació a feina) activa el RGPD. Els criteris operatius són:
- Clàusula informativa per capes. La primera capa va al costat del botó d'enviament amb la informació essencial: qui és el responsable, finalitat, base jurídica i enllaç a la segona capa.
- Base jurídica adequada. Per a formularis de contacte sobre serveis concrets, l'habitual és execució de mesures precontractuals (art. 6.1.b RGPD) si el visitant sol·licita informació sobre una contractació; per a contacte genèric de suport o consulta oberta, sol operar l'interès legítim (art. 6.1.f) amb balancing test documentat.
- Casella específica desmarcada per defecte per a cada finalitat addicional. No és vàlid un únic "Accepto els termes" per legitimar alhora el contacte i l'enviament posterior de comunicacions comercials. El consentiment ha de ser específic per a cada finalitat.
- Política de privacitat accessible des d'un enllaç en el mateix formulari; mai incrustada en termes generals d'ús sense distinció.
- Prova del consentiment: el responsable ha de poder demostrar que l'interessat va consentir (art. 7.1 RGPD). A la pràctica això exigeix registrar data, hora, versió del text informatiu i mecanisme d'acceptació.
- Doble base art. 6 + art. 9 si el formulari recull dades de categoria especial (salut, biometria, ideologia, etc.). Sense les dues bases simultànies, el tractament és il·lícit.
Comunicacions comercials per correu electrònic (art. 21 LSSI-CE)
Les campanyes d'email màrqueting dirigides a persones físiques es regeixen per l'art. 21 de la LSSI-CE. La regla general és la prohibició d'enviar comunicacions comercials per via electrònica sense consentiment previ exprés del destinatari.
L'art. 21.2 LSSI-CE introdueix una excepció acotada (l'anomenat soft opt-in) que permet enviar comunicacions sense nou consentiment previ quan concorren tres condicions simultànies:
- Les dades del destinatari es van obtenir de forma lícita en el marc d'una relació contractual prèvia amb la mateixa empresa (és a dir, el destinatari ja és client).
- Les comunicacions es refereixen a productes o serveis similars als que van motivar la relació contractual originària.
- Es va oferir en el moment de la recollida de les dades, i s'ofereix en cada comunicació posterior, un procediment senzill i gratuït per oposar-se al tractament.
Els tres requisits són acumulatius: si en falla un, no s'aplica l'excepció i cal consentiment exprés. Les llistes de correus comprades a tercers no són base vàlida per a enviaments comercials: el consentiment del RGPD és lliure, específic, informat i inequívoc (art. 4.11), i no es cedeix entre responsables.
Disseny i desenvolupament web: la capa legal neix al wireframe
La major part dels problemes de compliment d'una web no es generen en afegir l'avís legal al final, sinó en decisions tècniques preses molt abans: on s'allotja el servei, quin CMS s'usa, com es carreguen els scripts de tercers, si el gestor de consentiment bloqueja o no les galetes abans del clic, si el formulari inclou honeypot i captcha proporcional, si les capçaleres de seguretat estan configurades. Reescriure un projecte quan la web ja està en producció costa el doble que dissenyar-lo correctament des del principi.
Per això, per a implementacions tècniques que integrin la capa legal des del primer wireframe (gestor de consentiment ben configurat, hosting amb tractament de dades correcte, formularis amb prova del consentiment, capçaleres de seguretat, política de galetes generada dinàmicament conforme a la guia vigent), treballar amb un partner especialitzat en desenvolupament web és una decisió raonable. Com a agència de disseny i desenvolupament web col·laborem habitualment amb Volantis, que aborda els projectes pensant ja en aquestes peces durant la fase de disseny.
Checklist de comprovació ràpida
| Document o peça | Norma de referència | Punt crític habitual |
|---|---|---|
| Avís legal | Art. 10 LSSI-CE | Falta CIF, domicili o dades del registre mercantil. |
| Política de privacitat per capes | Art. 13 RGPD | No identifica base jurídica de cada finalitat ni transferències internacionals. |
| Política de galetes amb taula | Art. 22.2 LSSI-CE + guia vigent sobre galetes (maig 2024) | Llista de galetes desactualitzada; no inclou píxels ni SDKs. |
| Bàner de consentiment | Art. 22.2 LSSI-CE + guia vigent sobre galetes (maig 2024) | Rebutjar amagat sota enllaç petit; galetes carreguen abans del clic. |
| Formularis amb prova del consentiment | Arts. 7 i 13 RGPD | No es registra data, hora ni versió del text acceptat. |
| Email màrqueting | Art. 21 LSSI-CE | Enviament a llistes comprades o reutilitzades sense consentiment específic. |
| Condicions generals de contractació (ecommerce) | RDLeg 1/2007 + Llei 4/2022 | No actualitzades a la garantia de tres anys. |
| Hosting i transferències internacionals | Arts. 44-49 RGPD + DPF (Decisió 2023/1795) | Proveïdor EUA no certificat al DPF i sense SCC signades. |
"Una web sense els seus tres documents legals no és una web petita: és una web exposada. La diferència entre complir i no complir no està en la mida del projecte, està en si el responsable s'ha assegut a pensar abans de publicar."
Mario P. Talamillo · Soci director, Certix®
Preguntes freqüents
Quins documents legals mínims ha de tenir qualsevol web a Espanya?
Tres com a mínim: avís legal (art. 10 LSSI-CE), política de privacitat (arts. 13 i 14 RGPD segons l'origen de les dades) i política de galetes (art. 22.2 LSSI-CE + guia vigent sobre galetes, maig 2024). Si ven a consumidors, afegir condicions generals de contractació; si gestiona usuaris registrats, condicions d'ús. Faltar-ne un no és una fallada formal: deixa la web sense cobertura legal mínima.
N'hi ha prou que el bàner de galetes tingui botó d'Acceptar?
No. La guia vigent sobre ús de galetes (maig 2024) exigeix tres opcions equiparades visualment: acceptar, rebutjar i configurar. A més, les galetes no essencials no es poden carregar abans del clic. Un bàner que només mostra Acceptar incompleix el requisit del consentiment lliure de l'art. 4.11 RGPD.
Un hosting fora de la UE afecta el compliment?
Sí. És una transferència internacional que necessita base pròpia. Per als EUA, depèn de si el proveïdor està adherit al Data Privacy Framework (Decisió d'adequació 2023/1795). Si no ho està, cal signar Clàusules Contractuals Tipus i documentar un Transfer Impact Assessment.
Un formulari de contacte compta com a tractament de dades?
Sí. Qualsevol formulari que reculli una dada identificativa (nom, email, telèfon) activa el RGPD. Necessita clàusula informativa per capes, base jurídica adequada, casella específica desmarcada per a finalitats addicionals i prova del consentiment (registre de data, hora i versió del text).
Referències i recursos per aprofundir
- Galetes i consentiment en botiga online conforme al RGPD i la LSSI-CE
- Què ha d'incloure la política de privacitat d'una botiga online
- Compliment en protecció de dades: en què consisteix
- Consultoria de protecció de dades de Certix
- Per a disseny i desenvolupament web professional alineat amb aquests requisits: somosvolantis.com
Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada. La normativa autonòmica sectorial pot ampliar o modificar els requisits generals descrits.