Requisitos legales de una web en 2026: checklist pymes

Respuesta rápida: cualquier web de empresa o autónomo en España tiene que cumplir, como mínimo, cuatro cosas: un aviso legal con tus datos identificativos (Ley 34/2002, LSSI), una política de privacidad que explique qué haces con los datos personales (RGPD y LOPDGDD), un sistema de cookies que pida consentimiento antes de cargar cookies no técnicas, y formularios que informen y no den nada por aceptado. Si además vendes online, suma las condiciones de contratación, el derecho de desistimiento de 14 días y la garantía legal. Las multas de la LSSI llegan a 600.000 € y las del RGPD son mayores.

En AVGG revisamos webs de pymes de Santander, Cantabria y del resto de España casi cada semana, y los fallos legales se repiten: avisos legales copiados, banners que no dejan rechazar, casillas premarcadas o tiendas que enlazan a una plataforma europea que cerró en 2025. Este es el checklist que usamos nosotros.

Nota: esto es una guía práctica de diseño y desarrollo web, no asesoramiento jurídico. Si tu actividad está regulada (salud, finanzas, seguros, alimentación) o tratas datos sensibles, revisa los textos con tu asesoría o un abogado.

Las normas que afectan a tu web, en una tabla

Norma	Qué te exige en la web	A quién afecta
LSSI (Ley 34/2002)	Aviso legal con datos de la empresa, reglas de cookies y de emails comerciales	Toda web con actividad económica, aunque no venda online
RGPD y LOPDGDD (LO 3/2018)	Política de privacidad, información en formularios, base legal para cada uso de datos	Toda web que recoja datos personales (un simple formulario de contacto ya cuenta)
Ley General de Consumidores (RDL 1/2007)	Condiciones de venta, precio final, desistimiento, garantía	Webs que venden o contratan con consumidores
Ley 11/2023 de accesibilidad	Web usable por personas con discapacidad	Comercio electrónico y servicios a consumidores, salvo microempresas
Ley 10/2025 de atención a la clientela	Canales de atención gratuitos, atención humana, plazos de respuesta	Grandes empresas y suministros básicos; la mayoría de pymes queda fuera

La accesibilidad la tratamos a fondo en nuestra guía sobre accesibilidad web obligatoria en 2026, así que aquí nos centramos en el resto.

1. Aviso legal: quién está detrás de la web

El artículo 10 de la LSSI obliga a que cualquier web con actividad económica muestre, de forma «permanente, fácil, directa y gratuita», quién es el titular. Te afecta aunque no vendas online. En la práctica se resuelve con una página de aviso legal enlazada desde el pie de todas las páginas.

Qué debe incluir como mínimo:

Nombre o razón social del titular. Si eres autónomo, tu nombre y apellidos, no solo el nombre comercial.
NIF.
Domicilio y un email de contacto directo. Un formulario no sustituye al email.
Datos del Registro Mercantil (tomo, folio, hoja) si eres una sociedad.
Colegio profesional y número de colegiado, con el título y el país donde se obtuvo, si ejerces una profesión regulada: abogados, arquitectos, psicólogos, fisioterapeutas, dentistas...
Autorización administrativa si tu actividad la necesita (por ejemplo, agencias de viajes o centros sanitarios).
Precios claros, con impuestos incluidos y gastos de envío indicados, si muestras precios.

El error que más vemos: un aviso legal heredado de la plantilla, con el NIF de otra empresa.

2. Política de privacidad: qué haces con los datos

En cuanto tu web recoge un dato personal (un nombre y un email en el formulario de contacto, una reserva, una suscripción a la newsletter), aplica el RGPD. El artículo 13 te obliga a informar, en el momento de recoger los datos, de lo siguiente:

Quién es el responsable del tratamiento y cómo contactarlo.
Para qué finalidad usas los datos (responder consultas, enviar presupuestos, newsletter...).
La base legal: consentimiento, ejecución de un contrato, obligación legal o interés legítimo.
A quién se comunican los datos y si salen de la UE (por ejemplo, si usas herramientas con servidores en Estados Unidos).
Cuánto tiempo los conservas.
Cómo ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, y el derecho a reclamar ante la AEPD (Agencia Española de Protección de Datos).

La LOPDGDD permite dar esta información en dos capas: un resumen breve junto al formulario (responsable, finalidad, derechos y enlace) y la política completa en su propia página. Es lo que recomendamos.

Ojo con las políticas genéricas descargadas de internet: si usas Google Analytics, un chat de WhatsApp o un CRM, la política debe mencionarlo.

3. Cookies: el punto donde más webs fallan

El artículo 22.2 de la LSSI dice que solo puedes instalar cookies que no sean estrictamente necesarias si el usuario da su consentimiento antes. La AEPD actualizó su Guía sobre el uso de las cookies en 2023 para alinearla con los criterios europeos, y desde entonces lo que se exige está bastante claro:

Las cookies de analítica, publicidad y redes sociales no se cargan hasta que el usuario acepta. Si tu web carga Google Analytics o el píxel de Meta nada más entrar, incumples aunque tengas banner.
El botón de «Rechazar» tiene que estar en la primera capa del banner y ser tan visible y fácil como el de «Aceptar». Un «Configurar» escondido no vale.
Seguir navegando o hacer scroll no es consentimiento.
El usuario debe poder cambiar de opinión en cualquier momento, normalmente con un enlace o icono permanente.
Necesitas una política de cookies que liste qué cookies usas, de quién son, para qué sirven y cuánto duran.

Las cookies técnicas (sesión, carrito, idioma) no necesitan consentimiento.

Si haces publicidad, Google exige desde 2024 el Modo de consentimiento v2 (Consent Mode) para seguir midiendo y personalizando anuncios con usuarios del Espacio Económico Europeo. Si tu banner no se comunica con Google Ads y Analytics, pierdes datos de conversiones.

4. Formularios: consentimiento sin trampas

El formulario de contacto es el punto donde tu web convierte visitas en clientes, y también donde más fácil es hacerlo mal. Lo que debe tener:

La primera capa de información de privacidad visible junto al botón de envío, con enlace a la política completa.
Una casilla sin marcar para aceptar la política de privacidad, cuando la base legal sea el consentimiento. Nunca premarcada.
Una casilla separada si quieres enviar publicidad o newsletter. El artículo 21 de la LSSI prohíbe enviar comunicaciones comerciales por email sin consentimiento previo, salvo a clientes con los que ya tienes relación y sobre productos similares.
Pedir solo los datos que necesitas. Si para dar un presupuesto te basta con nombre, email y mensaje, no pidas el DNI ni la fecha de nacimiento. Lo exige el principio de minimización del RGPD y, de paso, cada campo de más baja la conversión.

5. Si vendes online: condiciones de contratación

Una tienda online o una web con reservas y pagos tiene obligaciones extra por la Ley General para la Defensa de los Consumidores y Usuarios. Antes de que el cliente pague, debe tener a la vista:

Las características del producto o servicio.
El precio total con IVA incluido y los gastos de envío. Los costes sorpresa en el último paso están prohibidos y disparan el abandono del carrito.
Las formas de pago y entrega y los plazos.
El derecho de desistimiento: 14 días naturales para devolver sin dar explicaciones, con sus excepciones (productos personalizados, perecederos, precintados de higiene abiertos...). Si no informas de este derecho, el plazo se amplía hasta 12 meses más.
Un formulario modelo de desistimiento.
La garantía legal: 3 años para productos nuevos (2 para contenidos y servicios digitales) desde la reforma de 2022.
Cómo presentar quejas y reclamaciones y si estás adherido a algún sistema de arbitraje o mediación de consumo.

Además, el botón final del pedido debe dejar claro que implica pagar, con un texto tipo «Pedido con obligación de pago» o «Comprar y pagar». Un simple «Continuar» no cumple. Y después de la compra tienes que enviar la confirmación del pedido en un soporte duradero, normalmente un email con el resumen y las condiciones.

Dos cambios recientes que muchas tiendas no han aplicado

El enlace a la plataforma ODR ya sobra. Durante años fue obligatorio enlazar la plataforma europea de resolución de litigios en línea (ODR). El Reglamento (UE) 2024/3228 la eliminó y cerró el 20 de julio de 2025. Si tu tienda sigue mostrándolo, quítalo. Lo que sí sigue vigente es informar de tus canales de reclamación y, si estás adherido, de la entidad de resolución alternativa de conflictos.

El botón de desistimiento está en camino. La Directiva (UE) 2023/2673 obliga a que, si el contrato se hizo en una web o app, el cliente pueda desistir también desde ella con una función visible del tipo «Desistir del contrato aquí». La UE fijó su aplicación para el 19 de junio de 2026, pero a octubre de 2026 España todavía no ha completado la transposición. Si vas a rehacer tu tienda ahora, conviene dejarla preparada para añadir esa función sin tocar todo el proceso de compra.

Si estás empezando, en nuestra guía para crear una tienda online paso a paso verás dónde encaja todo esto en el proyecto.

Cuánto te puede costar no cumplir

LSSI (aviso legal, cookies, emails comerciales): infracciones leves hasta 30.000 €, graves de 30.001 € a 150.000 € y muy graves de 150.001 € a 600.000 €.
RGPD: hasta 20 millones de euros o el 4 % de la facturación anual global en los casos más graves. La AEPD también sanciona a pequeñas empresas, a menudo tras la denuncia de un particular.

Nuestra lectura, después de años trabajando con pymes: el riesgo no es que te inspeccionen por sorpresa, es que un cliente molesto, un excompañero o un competidor presente una denuncia. Con una web en regla, esa denuncia no va a ningún sitio. Además, unos textos legales en regla y un formulario claro dan confianza a quien duda si contactarte.

Checklist rápido para revisar tu web hoy

Abre tu web en una ventana de incógnito y comprueba:

En el pie de página hay enlaces a aviso legal, privacidad y cookies, y funcionan.
El aviso legal tiene tu razón social, NIF, dirección y email, no los de otra empresa.
Al entrar aparece el banner de cookies con Aceptar y Rechazar al mismo nivel.
Antes de aceptar, no se cargan Google Analytics, píxeles ni vídeos de YouTube con cookies (puedes verlo en las herramientas de desarrollador del navegador, pestaña Red).
Hay un enlace o icono para cambiar la configuración de cookies después.
Los formularios muestran la información básica de privacidad y la casilla está sin marcar.
La casilla de newsletter o publicidad es independiente de la de privacidad.
La política de privacidad menciona las herramientas que de verdad usas.
Si vendes: precio final con IVA y envío antes del pago, desistimiento explicado, garantía de 3 años y botón final que dice claramente que se paga.
No queda ningún enlace a la antigua plataforma ODR.
Si eres sociedad, aparecen los datos del Registro Mercantil; si eres profesional colegiado, tu colegio y número.

Qué hacemos en AVGG con la parte legal

Cuando diseñamos una web, dejamos montada la estructura legal: páginas legales en el pie, banner que bloquea de verdad los scripts hasta el consentimiento, Consent Mode v2 si hay publicidad, formularios correctos y, en tiendas, la información obligatoria en cada paso de la compra.

Todo esto entra en el proyecto, sin sorpresas en la factura. Si quieres saber qué más debería llevar una web profesional, tienes nuestra guía de qué incluye una página web profesional para una pyme, y si ya tienes web y quieres mantenerla al día con los cambios normativos, en cuánto cuesta mantener una página web explicamos qué cubre un buen mantenimiento.

Preguntas frecuentes

¿Es obligatorio el aviso legal si solo tengo una web informativa?

Sí. La LSSI se aplica a cualquier web que forme parte de una actividad económica, venda o no online. Una web que presenta tus servicios para conseguir clientes ya lo es.

¿Necesito banner de cookies si no uso Google Analytics?

Si tu web solo usa cookies técnicas, no necesitas pedir consentimiento, aunque sí informar en la política de cookies. Pero revisa bien: un vídeo de YouTube incrustado, un mapa de Google Maps, un chat o un botón de redes sociales suelen instalar cookies de terceros.

¿Cada cuánto hay que revisar la parte legal de la web?

Como mínimo una vez al año y siempre que añadas una herramienta nueva (un chat, un píxel de publicidad, un CRM) o empieces a vender online.

¿Quieres que revisemos tu web? Escríbenos y te decimos qué falla y qué cuesta arreglarlo, sin compromiso.

Requisitos legales de una página web en 2026: checklist para pymes