LSSI-CE: qué obliga a tu web (cookies, aviso legal y comunicaciones comerciales)

Si tu empresa tiene página web, la LSSI-CE te afecta casi con total seguridad. Es la norma que regula qué debe publicar una web, cómo gestionar las cookies y en qué condiciones se pueden enviar emails comerciales. Es una de las leyes más incumplidas por las pymes españolas, y también una de las más fáciles de cumplir cuando se sabe qué exige.

¿Qué es la LSSI-CE y a quién aplica?

La Ley 34/2002, de 11 de julio (LSSI-CE), regula la actividad de los "prestadores de servicios de la sociedad de la información". El nombre suena a operador tecnológico, pero la definición es mucho más amplia: aplica a cualquier persona o empresa que realice una actividad económica a través de Internet, de forma directa o indirecta.

En la práctica, eso incluye a las tiendas online, pero también a la web corporativa de una pyme con formulario de contacto y a cualquier página que capte clientes o inserte publicidad. Solo quedan fuera las webs estrictamente personales: si tu web existe para generar negocio, la LSSI-CE te aplica.

Obligación 1: aviso legal con los datos identificativos

El artículo 10 de la LSSI-CE exige que la web ofrezca, de forma permanente, fácil, directa y gratuita, la información que permite saber quién está detrás. Se publica en una página de "Aviso legal" enlazada desde el pie de todas las páginas, como el aviso legal de esta misma web. Debe incluir:

• Denominación social o nombre completo del titular y su NIF.
• Domicilio o dirección de un establecimiento permanente en España.
• Correo electrónico y otro dato que permita una comunicación directa y efectiva.
• Datos de inscripción registral cuando proceda.
• En profesiones reguladas: autorizaciones, colegio profesional y titulación.
• Si se muestran precios: si incluyen impuestos y gastos de envío.

Obligación 2: política de cookies con consentimiento

El artículo 22.2 de la LSSI-CE es la base legal del famoso banner de cookies. Solo pueden instalarse sin permiso las cookies estrictamente necesarias para prestar el servicio; para todas las demás (analítica, publicidad, personalización) hace falta informar y obtener el consentimiento antes de cargarlas. La AEPD exige que rechazar sea tan fácil como aceptar y que el consentimiento pueda retirarse en cualquier momento.

Además del banner, la web debe publicar una política de cookies que explique qué cookies se usan, de quién son, para qué sirven y cuánto duran; puedes ver la estructura habitual en nuestra política de cookies. Un error muy común es tener el banner "de adorno": si las cookies de analítica se cargan antes de que el usuario acepte, se incumple igual que si no hubiera banner.

Obligación 3: comunicaciones comerciales con consentimiento previo

El artículo 21 de la LSSI-CE prohíbe la publicidad por correo electrónico, SMS o mensajería equivalente que no haya sido solicitada o expresamente autorizada por el destinatario. Comprar bases de datos de emails y lanzar campañas "en frío" es, directamente, una infracción.

Existe una excepción: si ya hay una relación contractual previa, la empresa puede enviar comunicaciones sobre productos o servicios similares a los ya contratados. Aun así, todo envío debe identificarse como publicidad, identificar al anunciante y ofrecer un medio sencillo y gratuito para oponerse en cada mensaje.

Obligación 4: contratación electrónica

Si la web permite contratar o comprar online, la LSSI-CE añade deberes de información en dos momentos. Antes de contratar: explicar los trámites del proceso, los medios para corregir errores y las condiciones generales. Después: confirmar la recepción de la aceptación, normalmente con un acuse de recibo por email en las 24 horas siguientes. Los contratos electrónicos son plenamente válidos sin necesidad de papel.

Sanciones: hasta 600.000 euros

El régimen sancionador de la LSSI-CE (artículos 38 a 40) distingue tres niveles:

• Leves: multa de hasta 30.000 euros. Ejemplo típico: no publicar todos los datos del artículo 10 en el aviso legal.
• Graves: de 30.001 a 150.000 euros. Ejemplo: el envío masivo de comunicaciones comerciales no consentidas.
• Muy graves: de 150.001 a 600.000 euros, reservadas a los incumplimientos más serios, como desatender órdenes de los organismos competentes.

La graduación depende de la intencionalidad, la duración, la reincidencia o el volumen de facturación. No hace falta ser una gran empresa para ser sancionado: buena parte de los expedientes nacen de denuncias de usuarios o de competidores.

LSSI-CE y RGPD: dos leyes que se solapan

La LSSI-CE regula el medio (la web, el email comercial, las cookies como técnica), mientras que el RGPD y la LOPDGDD regulan los datos personales que se tratan a través de ese medio: los del formulario de contacto, la lista de newsletter o las cookies de seguimiento. Un mismo hecho puede activar los dos regímenes: un email no consentido puede sancionarse por la LSSI-CE y, si el dato se obtuvo sin base legal, también por el RGPD. Por eso la adaptación seria de una web se hace en bloque: aviso legal, cookies, política de privacidad y registro de tratamientos. Tienes la parte de protección de datos explicada en nuestra página de consultoría RGPD y LOPDGDD.

Cómo lo trabaja Normapymes

En Normapymes tratamos la LSSI-CE como parte del cumplimiento digital completo de la empresa, no como un "pack de textos legales". Dentro del servicio de adaptación al RGPD y la LOPDGDD:

• Auditamos la web real: qué cookies carga, qué formularios tiene y qué textos legales faltan.
• Redactamos y adaptamos aviso legal, política de cookies, política de privacidad y cláusulas de formularios y email marketing.
• Configuramos el consentimiento: banner que bloquea de verdad las cookies no esenciales hasta que el usuario decide.
• Implantación en 2 semanas, desde 800 euros, respuesta en menos de 2 horas y garantía 100% por contrato.

Preguntas frecuentes