El aviso legal de tu web: qué debe llevar

Antes de empezar

• Tu nombre o razón social, tu domicilio y un email en el que contestes.
• Tu NIF y, si estás inscrito en el Registro Mercantil u otro registro público, los datos de inscripción.
• Si ejerces una profesión regulada o tu actividad necesita autorización previa, los datos de tu colegio o del organismo que te supervisa.
• La lista de lo que recoge tu web y de quién te ayuda a tratarlo: el alojamiento, el servicio del formulario, la pasarela de pago, las estadísticas.

El aviso legal: quién está detrás

El artículo 10 de la LSSI pide que visitantes y autoridades puedan llegar a estos datos por medios electrónicos, de forma permanente, fácil, directa y gratuita: tu nombre o razón social; tu residencia o domicilio o, en su defecto, un establecimiento permanente en España; tu email y cualquier otro dato que permita comunicarse contigo de forma directa y efectiva; y tu NIF.

Y solo si te afectan: la inscripción en el Registro Mercantil u otro registro público; la autorización administrativa previa y el organismo que la supervisa; en una profesión regulada, el colegio y el número de colegiado, el título, el Estado de la UE o del EEE que lo expidió y las normas profesionales; y los códigos de conducta a los que estés adherido.

Si la web habla de precios, tienen que ser claros y exactos, e indicar si incluyen los impuestos y, en su caso, los gastos de envío.

La política de privacidad: qué haces con los datos

El artículo 13 del RGPD dice qué contar a la persona en el momento de recoger sus datos: quién es el responsable y cómo contactar con él; para qué se usan y con qué base jurídica; quién más los recibe; si salen de la UE y con qué garantías; cuánto tiempo se guardan; sus derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad; que puede retirar el consentimiento, si el tratamiento se basa en él; y que puede reclamar ante una autoridad de control, que en España es la AEPD.

En «quién más los recibe» entran tus proveedores —alojamiento, formulario, pasarela de pago— y dónde tratan los datos, si es fuera de la UE.

La LOPDGDD permite dos niveles (artículo 11): lo básico donde recoges los datos —quién eres, para qué y que la persona puede ejercer sus derechos— y un enlace al texto completo.

Cookies: cuándo hace falta el aviso

El artículo 22.2 de la LSSI exige informar con claridad y obtener el consentimiento para guardar o leer datos en el dispositivo de quien visita la web. Quedan fuera lo técnico para transmitir la comunicación y lo estrictamente necesario para un servicio que el usuario ha pedido.

La guía de la AEPD (mayo de 2024) lo aplica a las cookies y a tecnologías similares, incluidos los web beacons y la huella digital del dispositivo. Considera exentas las técnicas —de entrada del usuario, de autenticación (solo de sesión), de seguridad, de equilibrio de carga— y las que recuerdan una preferencia elegida por el usuario, como el idioma; las de análisis y las publicitarias necesitan consentimiento.

Si todas tus cookies son exentas, la AEPD dice que no hace falta informar de ellas ni pedir consentimiento: no necesitas banner. Aun así, recomienda una mención genérica en tu política, por transparencia.

Si necesitas banner, rechazar tiene que ofrecerse al mismo tiempo, al mismo nivel y con la misma visibilidad que aceptar, sin mandar a otra capa.

Si cobras por internet

Antes de una compra por internet, la LSSI pide explicar los pasos para contratar, si archivarás el contrato y si el comprador podrá consultarlo, cómo corregir errores al introducir los datos y en qué idiomas se contrata, y dejar las condiciones generales listas para guardarse y reproducirse (artículo 27).

Después, hay que confirmar el pedido: por email en las 24 horas siguientes o, al acabar la compra, por el mismo medio, de forma que el comprador pueda archivarlo (artículo 28).

Si vendes a consumidores, tienen catorce días naturales para desistir, salvo excepciones (artículo 102 de la ley general de consumidores).

Todo eso va en tus condiciones de venta, que conviene que revise un profesional.

Preguntas

¿Tengo que publicar la dirección de mi casa?

La LSSI pide tu residencia o domicilio o, en su defecto, la dirección de un establecimiento permanente en España. Si trabajas desde casa y te preocupa, coméntalo con un profesional.

¿Qué pasa si mi web no lo tiene?

No dar los datos del artículo 10 es una infracción leve de la LSSI, con multas de hasta 30.000 €; si el fallo es significativo en tu identidad y contacto o en los precios, es grave. Usar cookies no exentas sin informar ni pedir consentimiento también es leve (artículos 38 y 39).

¿Puedo usar una plantilla?

Como punto de partida. El RGPD te pide describir tu propio tratamiento, así que el texto debe coincidir con lo que hace tu web: qué servicios reciben datos, dónde y cuánto tiempo.

¿La política de cookies y la de privacidad pueden ir en la misma página?

Sí. Con cookies que piden consentimiento, la AEPD quiere una primera capa, el banner, y una segunda con el detalle, y aconseja llamar al enlace «Política de cookies» y no solo «Política de privacidad». De las exentas, solo recomienda una mención genérica en una u otra.