Unha web pequena pode parecer un asunto puramente técnico, pero desde o momento en que carga o seu primeiro recurso no navegador dun visitante europeo entra no ámbito de aplicación de dúas normas que conviven en cada interacción: o Regulamento (UE) 2016/679 (RGPD) e a Lei 34/2002 de Servizos da Sociedade da Información e de Comercio Electrónico (LSSI-CE). A Lei Orgánica 3/2018 (LOPDGDD) engade o desenvolvemento nacional, e segundo a actividade concorren outras (LO 1/1982 para imaxes, RDLex 1/2007 para consumidores, normativa sectorial propia).
Esta guía percorre que documentos, configuracións e prácticas debe ter unha web en España para cumprir esa capa común mínima, sen invocacións xenéricas a "estar ao día" e sen ton alarmista. O obxectivo é operativo: unha checklist que un responsable de proxecto poida usar para validar a súa propia web ou para encargar o redeseño coas pezas legais pensadas desde o principio.
Que normas se aplican a unha web española en 2026?
O marco básico aplicable a calquera sitio web operado desde España con visitantes na Unión Europea combina, como mínimo:
- RGPD (Regulamento UE 2016/679): regula o tratamento de datos persoais que recolla a web, desde un simple formulario de contacto ata o seguimento mediante cookies. Aplícase desde maio de 2018.
- LOPDGDD (Lei Orgánica 3/2018, do 5 de decembro): desenvolvemento nacional do RGPD. Engade regras específicas sobre idade para consentir (art. 7, 14 anos en servizos da sociedade da información), tratamentos no ámbito laboral, deber de confidencialidade, designación de DPD e réxime sancionador.
- LSSI-CE (Lei 34/2002, do 11 de xullo): regula a actividade dos prestadores de servizos da sociedade da información. O seu art. 10 impón a obriga de identificar ao titular da web; o art. 21 regula as comunicacións comerciais por vía electrónica; o art. 22.2 regula os dispositivos de almacenamento e recuperación de datos no equipo do usuario (cookies, píxeles, fingerprinting).
- LO 1/1982, do 5 de maio, de protección civil do dereito á honra, intimidade persoal e familiar e propia imaxe: relevante para fotografías de persoas publicadas na web.
- RDLex 1/2007 (Lei Xeral de Defensa dos Consumidores e Usuarios) e Lei 4/2022 (que modificou o réxime de garantías a tres anos para bens): aplicables cando a web realiza vendas a consumidores.
A isto súmase, segundo a actividade, normativa sectorial específica que pode engadir requisitos propios (sanitaria, financeira, xurídica, educativa, hostaleira, etc.). O presente artigo céntrase na capa común aplicable a calquera web; as particularidades sectoriais trátanse en pezas dedicadas.
Aviso legal: o documento que identifica quen está detrás (art. 10 LSSI-CE)
O aviso legal responde á obriga do art. 10 da LSSI-CE, que esixe que o prestador do servizo facilite por medios electrónicos —de forma permanente, fácil, directa e gratuíta— a seguinte información identificativa:
- Denominación social, NIF ou CIF e domicilio.
- Datos de inscrición no Rexistro Mercantil ou outro rexistro público no que estivese inscrito.
- Enderezo de correo electrónico e calquera outro dato que permita establecer comunicación directa e efectiva.
- Se a actividade estivese suxeita a un réxime de autorización administrativa previa, os datos relativos a esa autorización e a autoridade supervisora.
- Se se trata dunha profesión regulada (avogados, arquitectos, médicos, etc.), datos do colexio profesional, número de colexiado, título académico e normas profesionais aplicables.
- Número de identificación fiscal cando exista obriga de operar cun.
- Se se fai referencia a prezos, información clara e exacta sobre o prezo, indicando se inclúe impostos e gastos de envío.
O aviso legal debe ser accesible desde unha ligazón permanente no pé da web (footer). Non abonda con telo dentro dun PDF descargable nin dentro dun menú despregable de difícil acceso: esa práctica considérase contraria ao criterio de información permanente, fácil, directa e gratuíta esixido polo propio art. 10 LSSI-CE.
Política de privacidade: o deber de información dos arts. 13 e 14 RGPD
A política de privacidade cumpre o deber de información que o RGPD impón con dous artigos segundo a orixe dos datos:
- Art. 13 RGPD cando os datos se obteñen directamente do interesado (formularios da web, rexistros, subscricións, alta como cliente). A información debe facilitarse no momento da recollida.
- Art. 14 RGPD cando os datos NON se obteñen do interesado, senón dun terceiro ou dunha fonte accesible ao público (bases de datos de prospección, perfís de redes profesionais, rexistros públicos, intermediarios). A información debe facilitarse nun prazo razoable que non poderá exceder dun mes desde a obtención dos datos, ou no primeiro contacto se os datos van usarse para comunicarse co interesado.
Unha web habitual combina ambos os planos: o formulario de contacto activa o art. 13, mentres que os leads obtidos vía portal, intermediario comercial ou listado profesional activan o art. 14. A política de privacidade debe contemplar ambos os supostos cando concorran.
O modelo recomendado pola doutrina administrativa é o de información por capas: unha primeira capa breve xunto ao punto de recollida (formulario, banner, alta de conta) e unha segunda capa completa ligada desde esa primeira.
O contido mínimo da segunda capa (política completa) debe incluír, conforme aos arts. 13 e 14 RGPD:
- Identidade e datos de contacto do responsable do tratamento.
- Datos de contacto do Delegado de Protección de Datos (DPD), se a entidade o ten designado conforme ao art. 37 RGPD ou ao art. 34 LOPDGDD.
- Finalidades do tratamento e base xurídica para cada finalidade (art. 6 RGPD: execución de contrato, consentimento, interese lexítimo, obriga legal, misión de interese público, intereses vitais).
- Destinatarios ou categorías de destinatarios dos datos.
- Transferencias internacionais, no seu caso, con indicación da base utilizada (decisión de adecuación, garantías adecuadas, excepcións).
- Prazo de conservación ou, cando non sexa posible, criterios para determinalo.
- Dereitos dos interesados (acceso, rectificación, supresión, limitación, oposición, portabilidade) e forma de exercelos.
- Dereito a presentar reclamación ante a autoridade de control competente.
- Se hai decisións automatizadas con efectos xurídicos ou significativos (art. 22 RGPD): información sobre a lóxica aplicada e as consecuencias previstas.
- Cando se aplique o art. 14 adicionalmente: as categorías de datos tratadas e a fonte da que proceden, indicando se provén dunha fonte accesible ao público (art. 14.2.f RGPD).
Para profundar na política de privacidade aplicada a un caso concreto (ecommerce), convén revisar a guía dedicada: que debe incluír a política de privacidade dunha tenda en liña.
Política de cookies e banner conforme á guía vixente
O art. 22.2 da LSSI-CE esixe consentimento previo, informado e específico antes de instalar calquera dispositivo de almacenamento ou recuperación de datos no equipo do usuario que non sexa estritamente necesario para prestar o servizo solicitado. A guía oficial vixente sobre uso de cookies, na súa versión actualizada en maio de 2024, detalla como aplicar ese principio na práctica diaria.
Os criterios técnicos que distinguen unha implementación válida dunha decorativa son:
- Tres opcións equiparadas visualmente no banner: aceptar todas, rexeitar todas e configurar por categorías. O botón de rexeitamento non pode agocharse baixo unha ligazón de tamaño inferior nin agocharse detrás de "configurar".
- Bloqueo previo de todas as cookies e dispositivos non estritamente necesarios ata que o usuario elixise. A carga anticipada de scripts de analítica, marketing ou redes sociais antes do consentimento é unha das prácticas que con máis frecuencia se cualificou como infractora.
- Granularidade por categorías (estritamente necesarias, preferencias, analítica, marketing, redes sociais) con opción real de aceptar unhas e rexeitar outras.
- Prazo razoable do consentimento: a guía vixente considera adecuado un período que non exceda os vinte e catro meses, transcorridos os cales hai que volver solicitalo.
- Ligazón de reconfiguración accesible permanentemente desde o pé da web ("Configurar cookies" ou equivalente), que permita ao usuario cambiar a súa decisión inicial sen obstáculos.
- Política de cookies con táboa detallada: cada cookie identificada por nome técnico, titular, finalidade, duración e forma de desinstalación. Os píxeles, SDKs e dispositivos de fingerprinting deben aparecer igualmente listados, non só as cookies en sentido estrito.
Para o detalle de como implementar todo isto nunha tenda en liña concreta, ver a guía: cookies e consentimento en tenda en liña conforme ao RGPD e á LSSICE.
Formularios: cláusula informativa, base lexitimadora e proba do consentimento
Calquera formulario que recolla datos persoais (contacto, alta de newsletter, rexistro de conta, solicitude de orzamento, postulación a emprego) activa o RGPD. Os criterios operativos son:
- Cláusula informativa por capas. A primeira capa vai xunto ao botón de envío coa información esencial: quen é o responsable, finalidade, base xurídica e ligazón á segunda capa.
- Base xurídica adecuada. Para formularios de contacto sobre servizos concretos, o habitual é execución de medidas precontractuais (art. 6.1.b RGPD) se o visitante solicita información sobre unha contratación; para contacto xenérico de soporte ou consulta aberta, adoita operar o interese lexítimo (art. 6.1.f) con balancing test documentado.
- Casa específica desmarcada por defecto para cada finalidade adicional. Non é válido un único "Acepto os termos" para lexitimar á vez o contacto e o envío posterior de comunicacións comerciais. O consentimento debe ser específico para cada finalidade.
- Política de privacidade accesible desde unha ligazón no propio formulario; nunca embebida en termos xerais de uso sen distinción.
- Proba do consentimento: o responsable debe poder demostrar que o interesado consentiu (art. 7.1 RGPD). Na práctica isto esixe rexistrar data, hora, versión do texto informativo e mecanismo de aceptación.
- Dobre base art. 6 + art. 9 se o formulario recolle datos de categoría especial (saúde, biometría, ideoloxía, etc.). Sen as dúas bases simultáneas, o tratamento é ilícito.
Comunicacións comerciais por correo electrónico (art. 21 LSSI-CE)
As campañas de email marketing dirixidas a persoas físicas réxense polo art. 21 da LSSI-CE. A regra xeral é a prohibición de enviar comunicacións comerciais por vía electrónica sen consentimento previo expreso do destinatario.
O art. 21.2 LSSI-CE introduce unha excepción acoutada (o chamado soft opt-in) que permite enviar comunicacións sen novo consentimento previo cando concorren tres condicións simultáneas:
- Os datos do destinatario obtivéronse de forma lícita no marco dunha relación contractual previa coa propia empresa (é dicir, o destinatario xa é cliente).
- As comunicacións refírense a produtos ou servizos similares aos que motivaron a relación contractual orixinaria.
- Ofreceuse no momento da recollida dos datos, e ofrécese en cada comunicación posterior, un procedemento sinxelo e gratuíto para opoñerse ao tratamento.
Os tres requisitos son acumulativos: se falla un, non se aplica a excepción e cómpre consentimento expreso. As listas de correos compradas a terceiros non son base válida para envíos comerciais: o consentimento do RGPD é libre, específico, informado e inequívoco (art. 4.11), e non se cede entre responsables.
Deseño e desenvolvemento web: a capa legal nace no wireframe
A maior parte dos problemas de cumprimento dunha web non se xeran ao engadir o aviso legal ao final, senón en decisións técnicas tomadas moito antes: onde se aloxa o servizo, que CMS se usa, como se cargan os scripts de terceiros, se o xestor de consentimento bloquea ou non as cookies antes do clic, se o formulario inclúe honeypot e captcha proporcional, se as cabeceiras de seguridade están configuradas. Reescribir un proxecto cando a web xa está en produción custa o dobre que deseñalo correctamente desde o principio.
Por iso, para implementacións técnicas que integren a capa legal desde o primeiro wireframe (xestor de consentimento ben configurado, hosting con tratamento de datos correcto, formularios con proba do consentimento, cabeceiras de seguridade, política de cookies xerada dinamicamente conforme á guía vixente), traballar cun partner especializado en desenvolvemento web é unha decisión razoable. Como axencia de deseño e desenvolvemento web colaboramos habitualmente con Volantis, que aborda os proxectos pensando xa nestas pezas durante a fase de deseño.
Checklist de comprobación rápida
| Documento ou peza | Norma de referencia | Punto crítico habitual |
|---|---|---|
| Aviso legal | Art. 10 LSSI-CE | Falta CIF, domicilio ou datos do rexistro mercantil. |
| Política de privacidade por capas | Art. 13 RGPD | Non identifica base xurídica de cada finalidade nin transferencias internacionais. |
| Política de cookies con táboa | Art. 22.2 LSSI-CE + guía vixente sobre cookies (maio 2024) | Lista de cookies desactualizada; non inclúe píxeles nin SDKs. |
| Banner de consentimento | Art. 22.2 LSSI-CE + guía vixente sobre cookies (maio 2024) | Rexeitar agochado baixo ligazón pequena; cookies cargan antes do clic. |
| Formularios con proba do consentimento | Arts. 7 e 13 RGPD | Non se rexistra data, hora nin versión do texto aceptado. |
| Email marketing | Art. 21 LSSI-CE | Envío a listas compradas ou reutilizadas sen consentimento específico. |
| Condicións xerais de contratación (ecommerce) | RDLex 1/2007 + Lei 4/2022 | Non actualizadas á garantía de tres anos. |
| Hosting e transferencias internacionais | Arts. 44-49 RGPD + DPF (Decisión 2023/1795) | Provedor EE.UU. non certificado en DPF e sen SCC asinadas. |
"Unha web sen os seus tres documentos legais non é unha web pequena: é unha web exposta. A diferenza entre cumprir e non cumprir non está no tamaño do proxecto, está en se o responsable se sentou a pensar antes de publicar."
Mario P. Talamillo · Socio director, Certix®
Preguntas frecuentes
Que documentos legais mínimos debe ter calquera web en España?
Tres como mínimo: aviso legal (art. 10 LSSI-CE), política de privacidade (arts. 13 e 14 RGPD segundo a orixe dos datos) e política de cookies (art. 22.2 LSSI-CE + guía vixente sobre cookies, maio 2024). Se vende a consumidores, engadir condicións xerais de contratación; se xestiona usuarios rexistrados, condicións de uso. Faltar un deles non é un fallo formal: deixa a web sen cobertura legal mínima.
Abonda con que o banner de cookies teña botón de Aceptar?
Non. A guía vixente sobre uso de cookies (maio 2024) esixe tres opcións equiparadas visualmente: aceptar, rexeitar e configurar. Ademais, as cookies non esenciais non poden cargarse antes do clic. Un banner que só mostra Aceptar incumpre o requisito do consentimento libre do art. 4.11 RGPD.
Un hosting fóra da UE afecta ao cumprimento?
Si. É unha transferencia internacional que necesita base propia. Para EE.UU., depende de se o provedor está adherido ao Data Privacy Framework (Decisión de adecuación 2023/1795). Se non o está, cómpre asinar Cláusulas Contractuais Tipo e documentar un Transfer Impact Assessment.
Un formulario de contacto conta como tratamento de datos?
Si. Calquera formulario que recolla un dato identificativo (nome, email, teléfono) activa o RGPD. Necesita cláusula informativa por capas, base xurídica adecuada, casa específica desmarcada para finalidades adicionais e proba do consentimento (rexistro de data, hora e versión do texto).
Referencias e recursos para profundar
- Cookies e consentimento en tenda en liña conforme ao RGPD e á LSSICE
- Que debe incluír a política de privacidade dunha tenda en liña
- Cumprimento en protección de datos: en que consiste
- Consultoría de protección de datos de Certix
- Para deseño e desenvolvemento web profesional aliñado con estes requisitos: somosvolantis.com
Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizado. A normativa autonómica sectorial pode ampliar ou modificar os requisitos xerais descritos.