Si tienes un negocio en Barcelona o el Vallès y tu web tiene un formulario de contacto, un mapa de Google o una etiqueta de Google Analytics, ya tienes obligaciones legales en tu web. No hace falta vender online. Basta con que alguien te escriba desde la web o con que se carguen cookies que no son estrictamente necesarias. La mayoría de pymes lo resuelve con un banner de cookies copiado y un aviso legal genérico, y ahí es donde aparecen los problemas: banners que no dejan rechazar, analítica que se activa antes de que el visitante decida nada y aviso legal sin NIF ni dirección.

Te explicamos qué piden la LSSI y el RGPD a la web de una pyme, los errores que más vemos y qué parte depende de cómo está construida la web. No es asesoramiento jurídico: los textos legales de tu negocio conviene que los revise un profesional. Pero muchos fallos no están en los textos, sino en cómo funciona la web por dentro.

Las tres normas que afectan a la web de tu negocio

Para una pyme local, las obligaciones de la web salen sobre todo de tres normas:

La LSSI (Ley 34/2002, de servicios de la sociedad de la información). Obliga a identificarte en la web (lo que solemos llamar aviso legal) y regula el uso de cookies.
El RGPD (Reglamento General de Protección de Datos) y la LOPDGDD (Ley Orgánica 3/2018). Se aplican en cuanto tratas datos personales: un nombre, un email o un teléfono que llega por el formulario ya cuenta.
La Guía sobre el uso de las cookies de la AEPD (Agencia Española de Protección de Datos). No es una ley, pero es el criterio con el que la Agencia revisa los banners de cookies, y es la que concreta cómo deben ser.

1. Aviso legal: quién está detrás de la web

La LSSI exige que tu web muestre, de forma permanente, fácil, directa y gratuita, quién es el titular. Según la página oficial de la LSSI sobre obligaciones de los prestadores, como mínimo:

Nombre o denominación social.
Domicilio, email y algún otro dato de contacto directo, como un teléfono.
NIF.
Número de inscripción en el Registro Mercantil u otro registro público, si estás inscrito.
Si ejerces una profesión regulada (fisioterapia, abogacía, arquitectura, psicología…), los datos del colegio profesional y tu número de colegiado.
Si muestras precios, si incluyen impuestos y gastos de envío.

Lo que solemos encontrar: un aviso legal copiado con el nombre de otra empresa, un enlace en el pie que da error 404 o un texto sin NIF ni dirección. Si eres autónomo, también te toca.

2. Política de privacidad y formularios de contacto

En cuanto alguien te deja su nombre, su email o su teléfono en la web, estás tratando datos personales. Eso incluye el formulario de contacto, el de reserva, la suscripción a la newsletter y el botón de WhatsApp si guardas esas conversaciones.

La AEPD recomienda informar en dos capas, como explica en su página sobre el derecho de información:

Primera capa, junto al formulario: quién es el responsable, para qué usarás los datos, la base jurídica, si se los vas a ceder a alguien y una referencia a cómo ejercer los derechos. Tiene que estar a la vista cuando el usuario pulsa "Enviar", no escondida en otra página.
Segunda capa, en la política de privacidad: el detalle completo (cuánto tiempo guardas los datos, a quién se comunican, cómo ejercer los derechos de acceso, rectificación o supresión, y el derecho a reclamar ante la AEPD).

Errores habituales en formularios:

Una casilla de "acepto la política de privacidad" ya marcada.
Mezclar en una sola casilla el contacto y el envío de publicidad. Si quieres mandar newsletters, pide ese permiso por separado.
Una política de privacidad genérica que no menciona los servicios que de verdad usa la web (el proveedor de email, la herramienta de reservas, el CRM).

Si tu negocio trata datos de bajo riesgo (clientes, proveedores, empleados), la AEPD ofrece Facilita RGPD, una herramienta gratuita que genera las cláusulas informativas para tus formularios y otros documentos básicos. La propia Agencia avisa de que no sirve para tratamientos de alto riesgo, como los datos de salud: si tienes una clínica, una consulta o un centro de fisioterapia, conviene que lo revise un profesional.

3. Cookies: donde más fallan las webs de las pymes

La LSSI permite usar cookies solo si el usuario ha dado su consentimiento después de recibir información clara sobre para qué sirven. Quedan fuera las estrictamente necesarias para que la web funcione o para dar un servicio que el usuario ha pedido, como la sesión o el carrito de la compra.

Todo lo demás necesita consentimiento previo. En una web de negocio local suele ser:

Google Analytics u otras herramientas de analítica.
El píxel de Meta o las etiquetas de Google Ads.
Vídeos de YouTube incrustados.
Mapas de Google Maps incrustados.
Chats y widgets de terceros.

Qué exige la AEPD al banner de cookies

En julio de 2023 la AEPD actualizó su Guía sobre el uso de las cookies para adaptarla a las directrices europeas sobre patrones engañosos, con un plazo de adaptación que terminó el 11 de enero de 2024. Lo más importante para tu web:

Rechazar tiene que ser tan fácil como aceptar. Las dos opciones deben aparecer en la misma capa, al mismo nivel y con un formato similar. Un botón "Aceptar" grande y de color con un enlace gris de "configurar" ya no vale.
"Seguir navegando" no es consentimiento. Tampoco lo es hacer scroll o cerrar el banner.
La información de cookies va aparte. No se puede mezclar la aceptación de cookies con la de las condiciones de uso o la política de privacidad.
El usuario tiene que poder retirar el consentimiento en cualquier momento, según la Guía sobre el uso de las cookies (PDF), por ejemplo con un enlace en el pie de la web.

El fallo que no se ve: el banner existe, pero no bloquea nada

Este es el error que más vemos y el que menos detectan los dueños. La web tiene un banner correcto, con sus dos botones, pero Google Analytics, el píxel de Meta o el mapa ya se han cargado antes de que el visitante pulse nada. El banner es decorativo.

Pasa cuando se instala un plugin de cookies y nadie conecta los scripts a él, o cuando alguien añade una etiqueta nueva meses después saltándose el sistema de consentimiento.

Puedes hacer una comprobación rápida:

Abre tu web en una ventana de incógnito.
No toques el banner.
Abre las herramientas de desarrollador del navegador (F12 en Chrome), ve a la pestaña "Aplicación" o "Almacenamiento" y mira las cookies.
Si ya aparecen cookies de Google Analytics (empiezan por _ga) o de Meta (_fbp), tu banner no está bloqueando nada.

Qué te puedes jugar si no cumples

Según la LSSI, usar cookies sin informar o sin consentimiento es una infracción leve, con multas de hasta 30.000 euros. No mostrar los datos del aviso legal es otra infracción leve distinta. Si además falla el tratamiento de datos personales, entra en juego el RGPD, cuyas multas máximas son mucho más altas.

Para poner cifras reales: según recoge el despacho Satya Legal en su análisis de multas por cookies, la AEPD multó a Vueling en 2019 con 30.000 euros porque su banner no permitía rechazar las cookies, y la sanción quedó en 18.000 euros al reconocer la responsabilidad y pagar de forma voluntaria. El mismo análisis señala que la AEPD puede optar por un apercibimiento con plazo para corregir en lugar de multar, y que los procedimientos suelen empezar por la reclamación de un usuario o de un competidor.

Para una pyme, el riesgo más probable no es una multa enorme, sino una reclamación que te obliga a contestar requerimientos y rehacer la web con prisas.

Qué depende de los textos y qué depende de la web

Aquí está la parte que casi ningún artículo legal explica. Cumplir no es solo tener tres páginas con texto legal. Muchas obligaciones dependen de cómo está construida la web:

Obligación	Depende de los textos	Depende de la web
Aviso legal	Datos del titular correctos	Que la página exista, cargue y esté enlazada desde todas las páginas
Privacidad en formularios	Cláusula informativa adecuada	Que aparezca junto al botón de enviar, casillas sin marcar, datos que van a un sitio seguro
Cookies	Política de cookies con la lista real	Que el banner bloquee de verdad los scripts hasta que el usuario acepte
Consentimiento revocable	Explicar cómo cambiar la opción	Un enlace en el pie que reabra la configuración

Por eso una web con mantenimiento reduce el riesgo. Cada vez que se añade una herramienta (un chat, un nuevo píxel, un widget de reseñas), hay que comprobar que pasa por el sistema de consentimiento y que la política de cookies se actualiza. Si nadie revisa la web, esos cambios se acumulan sin control. Lo contamos con más detalle en qué pasa cuando no mantienes tu web.

Además, cuantos menos servicios de terceros cargue tu web, menos cookies tienes que gestionar, y eso también se nota en la velocidad, como explicamos en por qué una web lenta hace perder clientes.

Checklist legal para la web de tu pyme

Repásala una vez al año o cada vez que cambies algo importante en la web:

El aviso legal muestra nombre o razón social, NIF, domicilio, email y teléfono.
Si eres profesional colegiado, aparecen tu colegio y tu número de colegiado.
El aviso legal, la política de privacidad y la política de cookies están enlazados en el pie de todas las páginas y cargan sin error.
Cada formulario muestra la información básica de privacidad junto al botón de enviar.
Ninguna casilla de consentimiento viene marcada por defecto.
El permiso para enviar publicidad se pide aparte.
El banner de cookies tiene "Aceptar" y "Rechazar" al mismo nivel y con el mismo peso visual.
Con el banner sin tocar, no se carga ninguna cookie de analítica ni de publicidad.
La política de cookies lista las cookies que la web usa de verdad hoy.
Hay un enlace para cambiar la configuración de cookies en cualquier momento.

Si quieres incluir esta revisión en el mantenimiento de tu web, en nuestra checklist de mantenimiento web anual tienes el resto de tareas.

Preguntas frecuentes

¿Necesito aviso legal si soy autónomo y mi web es solo informativa?

Sí. La LSSI pide identificar al titular de la web aunque no vendas online. Como autónomo, tienes que mostrar tu nombre, tu NIF, un domicilio y datos de contacto directo. Si ejerces una profesión colegiada, añade el colegio y tu número de colegiado.

¿Mi web necesita banner de cookies si no tiene tienda online?

Depende de las cookies que use, no de si vendes. Si solo usa cookies técnicas necesarias, no hace falta pedir consentimiento. Pero si carga Google Analytics, el píxel de Meta, vídeos de YouTube o mapas de Google incrustados, necesitas un banner que pida permiso antes de activarlos.

¿Puedo tener solo un botón de "Aceptar" en el banner de cookies?

No. Desde la actualización de la Guía de cookies de la AEPD, aplicable desde el 11 de enero de 2024, la opción de rechazar debe estar en la misma capa y al mismo nivel que la de aceptar, con un mecanismo similar. Seguir navegando tampoco cuenta como consentimiento.

¿De cuánto puede ser la multa por no cumplir con las cookies?

Según la LSSI, usar cookies sin informar o sin consentimiento es una infracción leve con multas de hasta 30.000 euros. La cuantía se gradúa según factores como la duración, la reincidencia o el volumen de negocio, y la AEPD puede optar por un apercibimiento con plazo para corregir.

¿Me sirve copiar los textos legales de otra web?

No es buena idea. Los textos tienen que reflejar tus datos, tus formularios y las herramientas que usa tu web. Para negocios con tratamientos de bajo riesgo, la herramienta gratuita Facilita RGPD de la AEPD es un buen punto de partida.

Una web que cumple también transmite confianza

Un aviso legal claro, un formulario que explica qué harás con los datos y un banner que deja elegir de verdad le dicen al cliente que detrás hay un negocio serio. Y la parte técnica se resuelve con una web bien construida y revisada de forma periódica.

Si quieres que revisemos si tu web carga cookies antes de tiempo o si a tus formularios les falta información, escríbenos. Te decimos qué falla en la parte técnica y qué conviene que revise tu asesor en los textos.