Aviso Legal, RGPD y Cookies: Lo Obligatorio en tu Web (2026)

¿Qué necesita mi web para ser legal en España?

Cuatro textos y un banner de cookies bien montado. Eso es, en resumen, lo que la ley pide a la mayoría de webs de pymes y autónomos en España. No hace falta un bufete entero, pero tampoco vale copiar el aviso legal de otra web y cambiar el nombre (lo vemos cada semana en auditorías, con el NIF de otra empresa incluido).

En esta guía repasamos qué textos son obligatorios, cómo tiene que funcionar el banner de cookies según la AEPD y qué multas están cayendo de verdad a negocios pequeños. Una aclaración antes de empezar: somos una agencia de diseño web, no un despacho de abogados. Esto es una guía práctica, no asesoramiento legal. Si tu caso tiene miga (datos de salud, menores, perfilado), consulta con un profesional.

Los 4 textos legales que tu web necesita

1. Aviso legal

Es tu identificación ante quien visita la web. La LSSI obliga a mostrar, de forma accesible desde cualquier página (el típico enlace en el pie), estos datos:

• Nombre o razón social y NIF.
• Domicilio o dirección de contacto.
• Email y, si lo tienes, teléfono.
• Datos de inscripción en el Registro Mercantil, si eres sociedad.
• Si tu actividad necesita autorización o colegiación (clínicas, abogados…), el dato correspondiente.

Aplica también a autónomos y a webs que “solo” son un escaparate: si la web sirve a una actividad económica, aunque no vendas online, la LSSI te afecta.

2. Política de privacidad

Si tienes un formulario de contacto, ya tratas datos personales y el RGPD te obliga a explicar quién los recoge, para qué, cuánto tiempo los guardas, si los cedes a alguien y cómo puede la persona ejercer sus derechos (acceso, rectificación, supresión…).

Y ojo al detalle que más multas genera: el propio formulario debe llevar una capa informativa breve justo al lado del botón de enviar, con un enlace a la política completa. Un formulario “desnudo”, sin esa información y sin casilla de aceptación, es de lo primero que mira la AEPD cuando alguien denuncia.

3. Política de cookies

Explica qué cookies usa tu web, de quién son, para qué sirven y cuánto duran. Va de la mano del banner, que vemos en detalle más abajo. Si tu web solo usa cookies técnicas (las imprescindibles para que funcione), no necesitas banner, pero es raro: con solo instalar Analytics o incrustar un vídeo de YouTube ya estás fuera de ese supuesto.

4. Condiciones de venta

Solo si tienes tienda online o cobras por la web. Deben recoger precios con impuestos, gastos de envío, plazos de entrega, el derecho de desistimiento de 14 días y cómo reclamar. Sin esto, cualquier disputa con un cliente la tienes perdida de antemano.

¿Cómo tiene que ser el banner de cookies según la AEPD?

Aquí es donde más webs fallan, incluso las que tienen los textos impecables. La Guía de cookies de la AEPD (actualizada en 2023 y exigible desde enero de 2024) marca reglas claras:

• Rechazar tiene que ser tan fácil como aceptar. Si tu banner tiene un botón grande de “Aceptar” y el rechazo está escondido tras “Configurar” y tres clics, no cumple. Botón de aceptar y botón de rechazar, al mismo nivel.
• Nada de cookies antes del consentimiento. El error técnico más común: la web carga Google Analytics, el píxel de Meta o el chat en cuanto entras, y el banner es puro teatro. Las herramientas de medición y publicidad solo pueden dispararse después de que el usuario acepte.
• Seguir navegando no es consentir. Eso valía hace años; hoy hace falta una acción clara.
• El usuario debe poder retirar su consentimiento igual de fácil, con un enlace o icono permanente tipo “gestionar cookies” en el pie.
• Los muros de cookies (“acepta o no entras”) solo se admiten si ofreces una alternativa razonable, y para una pyme normal no compensa meterse ahí.

¿Cómo saber si tu web hace trampas sin querer? Abre una ventana de incógnito, entra en tu web, no toques el banner y mira las cookies en las herramientas del navegador (aplicación > cookies). Si antes de aceptar ya ves cookies _ga o similares, tienes un problema. Es una de las comprobaciones que hacemos en nuestro servicio de mantenimiento web, porque una actualización de plugin puede romper la configuración sin que nadie se entere.

¿Google Analytics es legal? Sí, pero con consentimiento

Circula el mito de que Google Analytics está prohibido en Europa. No es el caso en España: la AEPD no lo ha vetado. Lo que sí es obligatorio es no cargarlo hasta que el usuario acepte las cookies de analítica.

Ahí entra el Consent Mode de Google, obligatorio en su versión 2 desde marzo de 2024 para quien use funciones publicitarias de Google en Europa. Funciona como un semáforo: tu banner le comunica a Google si hay consentimiento o no, y las etiquetas se comportan en consecuencia. En su modo avanzado, Google recibe señales anónimas sin cookies aunque el usuario rechace, lo que le permite estimar conversiones perdidas.

Para una pyme, nuestra recomendación práctica es la configuración básica: Analytics no se carga hasta que hay consentimiento, punto. Es la opción más defendible ante la AEPD y la más sencilla de auditar. Perderás visibilidad sobre parte del tráfico, cierto. También es verdad que unos datos parciales y legales valen más que unos completos que te pueden costar una multa. Y recuerda que gran parte de lo que importa para el posicionamiento en buscadores se mide fuera de Analytics, con Search Console, que no usa cookies en tu web.

Checklist: tu web legal en 10 puntos

1. Aviso legal con nombre o razón social, NIF y dirección, enlazado desde el pie.
2. Datos registrales si eres sociedad, y colegiación si tu actividad la exige.
3. Política de privacidad completa y actualizada.
4. Capa informativa breve y casilla de aceptación en cada formulario.
5. Política de cookies con el listado real de cookies de tu web (no una genérica).
6. Banner con botones de aceptar y rechazar al mismo nivel.
7. Ninguna cookie de analítica o publicidad antes del consentimiento.
8. Enlace permanente para cambiar o retirar el consentimiento.
9. Condiciones de venta con desistimiento de 14 días, si vendes online.
10. Revisión tras cada plugin o herramienta nueva que instales.

Si has marcado los diez, enhorabuena: estás por delante de la mayoría de webs de tu competencia. Si te fallan varios, no lo dejes para el trimestre que viene; como decíamos arriba, una denuncia se pone en diez minutos.