Si tu empresa tiene presencia en internet —una web, una tienda online, un blog o incluso una app móvil— la LSSI-CE te obliga. Y no es opcional. La Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico lleva vigente desde 2002 y continúa siendo una de las normas de cumplimiento digital más incumplidas en España, especialmente entre pymes y autónomos.
Esta guía explica qué exige la LSSI-CE, cómo encaja con el RGPD y la LOPDGDD, qué multas contempla y qué debe tener en orden cualquier organización con presencia digital en España.
Qué es la LSSI-CE y por qué sigue vigente en 2026
La LSSI-CE transpuso al ordenamiento español la Directiva 2000/31/CE sobre el comercio electrónico. En aquella época, el objetivo era dar seguridad jurídica a las transacciones realizadas por internet y establecer reglas claras para los prestadores de servicios digitales.
Más de dos décadas después, la norma ha sido modificada en varias ocasiones —especialmente en materia de cookies (art. 22.2, incorporado por Ley 56/2007 y Ley 25/2009) y comunicaciones comerciales— pero su estructura esencial permanece: quien preste servicios en la sociedad de la información debe identificarse, informar a sus usuarios y respetar reglas específicas en materia de publicidad electrónica y contratación digital.
A diferencia del RGPD, la LSSI-CE no regula exclusivamente datos personales. Regula la actividad digital en sentido amplio: los servicios de internet, el comercio electrónico, la responsabilidad de los intermediarios y las comunicaciones comerciales por cualquier vía electrónica.
LSSI-CE, RGPD y LOPDGDD: el triángulo del compliance digital
Las tres normas coexisten y se complementan. Incumplir una no exime de las otras. Cualquier empresa española con presencia digital debe cumplir con las tres de forma simultánea.
| Norma | Qué regula | Quién supervisa (España) |
|---|---|---|
| LSSI-CE (Ley 34/2002) | Servicios digitales, comercio electrónico, spam, cookies, aviso legal, responsabilidad de intermediarios | AEPD (spam y cookies) · Secretaría de Estado de Telecomunicaciones (resto) |
| RGPD (Reglamento UE 2016/679) | Tratamiento de datos personales en toda la UE | AEPD |
| LOPDGDD (LO 3/2018) | Adaptación española del RGPD + derechos digitales | AEPD |
Regla práctica: cuando un tratamiento de datos tiene lugar en el entorno digital (un formulario web, una newsletter, el uso de analytics), entran en juego simultáneamente las tres normas. La política de cookies, por ejemplo, está regulada por la LSSI-CE en cuanto al consentimiento previo, y por el RGPD en cuanto a los requisitos de ese consentimiento.
Ámbito de aplicación: ¿a quién obliga la LSSI-CE?
La LSSI-CE aplica a los prestadores de servicios de la sociedad de la información establecidos en España, y también —en ciertos aspectos— a los establecidos en otro Estado miembro de la UE cuando sus servicios se dirijan principalmente al mercado español.
¿Qué es un "servicio de la sociedad de la información"? La norma lo define de forma muy amplia: cualquier servicio prestado a distancia, por vía electrónica y a petición individual del destinatario, con o sin contraprestación económica. En la práctica, esto incluye:
- Páginas web corporativas que ofrezcan información sobre productos o servicios
- Tiendas online (e-commerce)
- Plataformas SaaS y aplicaciones móviles
- Blogs y medios de comunicación digitales
- Servicios de correo electrónico o mensajería
- Prestadores de alojamiento web (hosting) y acceso a internet
- Motores de búsqueda
La LSSI-CE no aplica a servicios prestados por vía no electrónica, ni a la radiodifusión sonora o televisiva, ni a los servicios de telecomunicaciones stricto sensu.
Las obligaciones de información del prestador: el aviso legal (art. 10)
El artículo 10 de la LSSI-CE es el que más directamente afecta a cualquier empresa con web. Establece que el prestador de servicios debe disponer de medios que permitan a los destinatarios y a las autoridades competentes acceder con facilidad y de forma permanente a determinada información. Esta información es la que habitualmente se recoge en el aviso legal de un sitio web.
| Dato obligatorio | Qué debe incluirse |
|---|---|
| Denominación social | Nombre completo de la persona física o jurídica titular del servicio. |
| Residencia o domicilio | Dirección postal completa donde el prestador está establecido. |
| Datos de contacto | Dirección de correo electrónico y cualquier otro dato que permita establecer comunicación directa y efectiva. |
| Número de identificación fiscal | NIF, CIF o equivalente que identifique al prestador en el tráfico mercantil. |
| Datos de inscripción registral | Si el prestador está inscrito en el Registro Mercantil u otro registro público, debe indicarse el número de inscripción. |
| Autorización administrativa previa | Si la actividad requiere autorización administrativa previa (p. ej., servicios financieros, farmacéuticos), los datos de dicha autorización. |
| Profesiones reguladas | Si el prestador ejerce una profesión regulada: colegio profesional, título académico, Estado de expedición y normas de la profesión. |
| Precios y condiciones | Cuando el servicio conlleve precio, debe indicarse con transparencia, incluyendo impuestos aplicables y gastos de envío si los hubiera. |
"El aviso legal no es un texto que se copia de otra web y se pega en la tuya. Es el documento que identifica a tu empresa ante tus clientes y ante la ley. Cuando está mal, es como tener el CIF de otro colgado en tu puerta."
Mario P. Talamillo · Socio director, Certix®
Comunicaciones comerciales por vía electrónica: la normativa anti-spam (arts. 19–22)
La LSSI-CE regula con detalle las comunicaciones comerciales electrónicas, es decir, cualquier mensaje enviado por correo electrónico, SMS, WhatsApp u otra vía electrónica con finalidad publicitaria o promocional, incluidos los mensajes de fidelización y las newsletters.
Prohibición del spam (art. 21)
La LSSI-CE prohíbe el envío de comunicaciones publicitarias o promocionales por correo electrónico u otras vías de comunicación electrónica que no hayan sido previamente solicitadas o autorizadas por el destinatario. Este es el principio de opt-in previo: sin consentimiento previo, no hay envío.
La excepción del art. 21.2 LSSI-CE: tres requisitos acumulativos
El art. 21.2 LSSI-CE permite enviar comunicaciones comerciales sin nuevo consentimiento solo cuando concurren simultáneamente tres requisitos:
- Los datos del destinatario se obtuvieron de forma lícita en el marco de una relación contractual previa con la propia empresa (es decir, el destinatario ya es cliente).
- Las comunicaciones se refieren a productos o servicios de la propia empresa que guarden una relación de similitud directa con los inicialmente adquiridos por el cliente.
- Se ofrece, en el momento de la recogida de los datos y en cada comunicación posterior, un procedimiento sencillo y gratuito para oponerse al tratamiento (mecanismo de baja).
Los tres requisitos son acumulativos: si falla uno, la excepción no se aplica y hace falta consentimiento expreso previo. La similitud entre el producto inicialmente contratado y el ofrecido posteriormente debe valorarse de forma objetiva, conforme a las expectativas razonables de un cliente medio: no basta con que ambos productos sean comercializados por la misma empresa.
Una nota adicional sobre el plano subjetivo: aunque la LSSI-CE tiene un régimen propio, las comunicaciones B2B dirigidas a personas de contacto identificables (p. ej., "jose@empresa.com") quedan también sujetas al RGPD respecto a esos datos personales, por lo que la valoración debe hacerse de forma conjunta entre ambas normas.
Obligaciones de identificación de las comunicaciones comerciales (art. 20)
- Deben ser claramente identificables como comunicaciones comerciales.
- La persona física o jurídica en cuyo nombre se envían debe ser claramente identificable.
- Las ofertas promocionales (descuentos, regalos, concursos) deben identificarse claramente como tales y sus condiciones deben ser accesibles y presentarse de forma clara e inequívoca.
- Los mensajes de correo no deseado deben poder identificarse de manera inmediata, sin que el receptor tenga que abrirlo (asunto del mensaje).
La política de cookies: art. 22.2 LSSI-CE y RGPD
El artículo 22.2 de la LSSI-CE, introducido por Ley 25/2009 y modificado posteriormente, establece la obligación de obtener el consentimiento del usuario antes de instalar cookies u otros dispositivos de almacenamiento y recuperación de datos en su dispositivo, cuando dichas cookies no sean estrictamente necesarias para la prestación del servicio.
El consentimiento para instalar cookies (art. 22.2 LSSI-CE) debe cumplir íntegramente las condiciones de validez del RGPD (art. 4.11): libre, específico, informado e inequívoco. Se excluyen por completo las fórmulas de consentimiento implícito, por navegación continua o por silencio del usuario. La mera permanencia en la web, el scroll, el cierre del banner sin elección o cualquier otra acción pasiva no constituyen consentimiento válido para el art. 22.2 LSSI-CE.
En la práctica, la regulación de cookies en España opera a dos niveles simultáneos:
| Aspecto | LSSI-CE (art. 22.2) | RGPD |
|---|---|---|
| Obligación principal | Consentimiento previo informado para cookies no técnicas | Condiciones de validez del consentimiento (libre, específico, informado, inequívoco) |
| Cookies técnicas | Exentas de consentimiento (necesarias para el servicio) | Base jurídica: interés legítimo o ejecución del contrato |
| Cookies analíticas / de marketing | Requieren consentimiento previo (opt-in) | Requieren consentimiento válido (art. 6.1.a RGPD) |
| Información | Información clara y completa sobre uso de cookies | Información por capas (arts. 13–14 RGPD) |
| Retirada del consentimiento | Debe poder retirarse de forma sencilla | Misma facilidad que para otorgarlo (art. 7 RGPD) |
La Guía sobre el uso de las cookies de la AEPD, en su versión actualizada en mayo de 2024, fija los criterios que deben cumplir los banners para ser conformes con los arts. 22.2 LSSI-CE y 4.11 / 7 RGPD.
Equiparación visual de los botones de aceptar y rechazar
El banner de cookies debe presentar la opción de Rechazar en el primer nivel informativo, con el mismo peso visual, color y facilidad de acceso que la opción de Aceptar. Los dos botones deben aparecer equiparados: cualquier diseño que destaque visualmente Aceptar sobre Rechazar —tamaños distintos, color contrastante en uno solo, ubicación menos accesible para Rechazar, jerarquía tipográfica desigual u ocultación del botón de rechazo tras un enlace secundario— se considera contrario al criterio de consentimiento libre y a la doctrina administrativa vigente sobre uso de cookies, en su versión actualizada en mayo de 2024.
Conviene también recordar otros criterios técnicos del mismo documento: ninguna cookie no técnica puede instalarse antes de obtener el consentimiento (el comportamiento por defecto del banner debe ser inactivo respecto de analíticas, publicidad y otras finalidades no exentas); la retirada del consentimiento debe ser tan sencilla como su otorgamiento; y la información sobre tipos, finalidades, terceros y plazos debe presentarse de forma capa por capa, sin obligar al usuario a leer textos extensos para poder decidir.
La contratación electrónica (arts. 23–29)
La LSSI-CE establece el régimen jurídico de los contratos celebrados por vía electrónica. Su objetivo es dotar de seguridad jurídica a las transacciones online, equiparando su validez a la de los contratos en papel.
Principios clave
- Validez del contrato electrónico (art. 23): los contratos celebrados por vía electrónica producen todos los efectos previstos por el ordenamiento jurídico, siempre que concurran los requisitos generales de formación de los contratos (consentimiento, objeto y causa lícitos).
- Información previa obligatoria (art. 27): antes de iniciar el procedimiento de contratación, el prestador debe poner a disposición del destinatario de forma permanente, fácil y gratuita: las condiciones generales, los trámites a seguir, si el contrato será archivado y si será accesible, los medios técnicos para identificar y corregir errores, y las lenguas en que podrá formalizarse el contrato.
- Confirmación de la contratación (art. 28): el prestador debe confirmar la recepción del pedido al destinatario mediante acuse de recibo por correo electrónico u otro medio de comunicación equivalente tan pronto como el destinatario lo haya enviado.
- Soporte duradero (art. 24): la oferta y la aceptación pueden archivarse y reproducirse. El prestador debe facilitar al aceptante un acuse de recibo.
Responsabilidad de los intermediarios (arts. 13–17)
La LSSI-CE establece un régimen específico de responsabilidad limitada para los prestadores de servicios intermediarios: operadores de redes, proveedores de acceso, prestadores de servicios de caché, de alojamiento de datos y de enlaces. El principio general es que estos intermediarios no son responsables por los contenidos que transmiten, almacenan o enlazan si no tienen conocimiento efectivo de su ilicitud y actúan con diligencia para retirarlos en cuanto lo tienen.
Este régimen es relevante para empresas que operen plataformas, marketplaces, foros o cualquier servicio donde los usuarios generen contenidos.
El régimen sancionador de la LSSI-CE
Las infracciones de la LSSI-CE pueden dar lugar a multas significativas. Las sanciones se clasifican en tres niveles según la gravedad de la conducta:
| Nivel | Sanción máxima | Ejemplos de infracción |
|---|---|---|
| Leve | 30.000 € | Incumplimientos formales de información (aviso legal incompleto), no comunicar al destinatario el archivo del contrato. |
| Grave | 150.000 € | Envío de comunicaciones comerciales sin identificarlas como tales, incumplimiento de las obligaciones de información previa en la contratación, ausencia de mecanismo de opt-out. |
| Muy grave | 600.000 € | Envío masivo de comunicaciones comerciales sin consentimiento previo (spam), incumplimiento de órdenes de retirada de contenidos ilícitos, obstrucción a la inspección. |
En materia de cookies y spam, la AEPD es el organismo competente para la instrucción y resolución de procedimientos sancionadores. Sus resoluciones son públicas y consultables en la web de la agencia.
Lo que debe tener en orden cualquier empresa con web en España
Estas son las obligaciones operativas más comunes que derivan de la LSSI-CE para cualquier empresa con presencia digital en España:
| ✓ | Elemento | Base legal |
|---|---|---|
| □ | Aviso legal con todos los datos del art. 10 LSSI-CE | Art. 10 LSSI-CE |
| □ | Política de privacidad conforme al RGPD (arts. 13–14) | Arts. 13–14 RGPD |
| □ | Adaptación de formularios: cláusula informativa y casilla de consentimiento en cada formulario de contacto o captación | Arts. 13–14 RGPD · Art. 7 RGPD |
| □ | Banner de cookies con opt-in previo para cookies no técnicas | Art. 22.2 LSSI-CE · Art. 6.1.a RGPD |
| □ | Política de cookies detallada (tipos, finalidades, terceros, duración) | Art. 22.2 LSSI-CE · Guía AEPD 2023 |
| □ | Consentimiento expreso y previo para envíos de email marketing | Art. 21 LSSI-CE · Art. 6.1.a RGPD |
| □ | Identificación clara de comunicaciones comerciales (asunto + pie de email) | Art. 20 LSSI-CE |
| □ | Mecanismo de baja sencillo y gratuito en todas las comunicaciones | Art. 22.2 LSSI-CE · Art. 21 RGPD |
| □ | Información previa a la contratación electrónica (condiciones generales accesibles) | Art. 27 LSSI-CE |
| □ | Confirmación del pedido / acuse de recibo automático (e-commerce) | Art. 28 LSSI-CE |
| □ | Contratos de encargo de tratamiento con proveedores digitales (hosting, CRM, email…) | Art. 28 RGPD |
Preguntas frecuentes sobre la LSSI-CE
¿La LSSI-CE obliga también a autónomos y microempresas?
Sí. La LSSI-CE no distingue por tamaño de empresa. Cualquier persona física o jurídica que preste servicios a través de internet —aunque sea un autónomo con una web de presentación— está obligada a cumplir con las exigencias del artículo 10. La ausencia de aviso legal o su carácter incompleto es una de las infracciones más frecuentes en pequeños negocios digitales.
¿Qué ocurre con el envío de emails comerciales a clientes existentes?
El art. 21.2 LSSI-CE establece una excepción que solo opera cuando concurren simultáneamente tres requisitos: (1) los datos se obtuvieron lícitamente en el marco de una relación contractual previa con la propia empresa, (2) las comunicaciones se refieren a productos o servicios de la propia empresa que guarden una relación de similitud directa con los inicialmente adquiridos, y (3) en cada comunicación se ofrece un procedimiento sencillo y gratuito de oposición. Los tres requisitos son acumulativos: si falla uno, la excepción decae y se necesita consentimiento expreso previo. No debe interpretarse como una habilitación genérica para envíos sin consentimiento. La postura más segura, especialmente cuando la similitud entre productos no es evidente o cuando ha transcurrido un periodo prolongado desde la relación contractual, es obtener consentimiento explícito y documentado.
¿Mi web necesita banner de cookies si solo uso Google Analytics?
Sí. Google Analytics instala cookies en los dispositivos de los visitantes con finalidad analítica. Al no ser cookies técnicamente necesarias para el funcionamiento del servicio, requieren consentimiento previo informado conforme al art. 22.2 LSSI-CE y al art. 6.1.a RGPD. La AEPD lo ha confirmado en reiteradas ocasiones en sus guías y resoluciones.
¿La LSSI-CE aplica a aplicaciones móviles?
Sí. Las aplicaciones móviles que constituyen un servicio de la sociedad de la información —es decir, que se prestan a distancia, por medios electrónicos y a petición individual del usuario— quedan sujetas a la LSSI-CE. Las obligaciones de información pueden cumplirse a través de los apartados de "Acerca de" o "Información legal" de la app, y las condiciones deben estar disponibles antes de que el usuario instale o use el servicio.
¿El aviso legal y la política de privacidad son lo mismo?
No. Son documentos distintos con bases legales diferentes. El aviso legal cumple las exigencias de identificación del art. 10 LSSI-CE. La política de privacidad cumple con la obligación de información a los interesados de los arts. 13–14 del RGPD, explicando qué datos se tratan, con qué finalidad y base jurídica, cuánto tiempo se conservan y qué derechos pueden ejercerse. Una web correctamente cumplida debe tener ambos documentos, y en la práctica también debe tener una política de cookies específica.
¿Qué relación tiene la LSSI-CE con el Reglamento DSA?
El Reglamento (UE) 2022/2065 sobre Servicios Digitales (DSA), aplicable desde febrero de 2024, actualiza y amplía el marco jurídico de los intermediarios digitales en la UE, especialmente para plataformas de mayor tamaño. No deroga la LSSI-CE para el ámbito nacional, pero establece obligaciones adicionales —especialmente para mercados en línea, plataformas con más de 45 millones de usuarios en la UE y motores de búsqueda de alcance muy amplio— que operan de forma complementaria. Las empresas que puedan estar afectadas por el DSA deben verificar su situación de forma específica.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. Para una evaluación de la situación de tu organización, contacta con un especialista en protección de datos y cumplimiento digital.