Respuestas directas a lo que más se pregunta sobre el cumplimiento legal de una web en España: cookies, RGPD, aviso legal, accesibilidad (EAA), transferencias de datos, sector financiero y sanciones. Cada respuesta cita la norma que aplica.
Sí. El artículo 10 de la LSSI (Ley 34/2002) obliga a todo prestador de servicios de la sociedad de la información —cualquier web con actividad económica o que recabe datos— a publicar de forma permanente sus datos identificativos.
Denominación o nombre del titular, NIF/CIF, domicilio, correo electrónico de contacto y, cuando proceda, los datos de inscripción registral y de autorización o colegiación para actividades reguladas.
Sí. La obligación del artículo 10 de la LSSI no depende del tamaño: cualquier autónomo o empresa con una web de actividad económica debe identificarse. De hecho, el 72% de las multas de protección de datos recaen sobre pequeños negocios y autónomos.
Es una infracción de la LSSI. La AEPD ha sancionado a empresas por no identificarse en el aviso legal ni tener política de privacidad; el aviso legal incompleto puede sancionarse hasta 600.000 € en los casos más graves.
Sí. Basta con un formulario de contacto, una suscripción a newsletter o la analítica que registre direcciones IP para que apliquen el RGPD y la LOPDGDD: necesitas política de privacidad, base jurídica y consentimiento válido.
Sí, siempre que trates datos personales. Debe estar accesible y contener la información de los artículos 13 y 14 del RGPD.
El responsable del tratamiento, las finalidades, la base jurídica de cada tratamiento, los destinatarios, los plazos de conservación, los derechos del interesado, la autoridad de control (AEPD) y las transferencias internacionales, si las hay.
Como base sí, pero debe reflejar tus tratamientos reales: tus formularios, tus herramientas (analítica, email marketing) y tus proveedores. Una plantilla genérica sin base jurídica ni plazos es justo lo que la AEPD considera información insuficiente.
No. El consentimiento exige una acción afirmativa clara (artículo 7 del RGPD): la casilla debe estar sin marcar y ser el usuario quien la marque, con un enlace visible a la política de privacidad.
Solo en los supuestos del artículo 37 del RGPD: tratamientos a gran escala, datos sensibles o autoridades públicas. La mayoría de las pymes no lo necesitan, pero sí deben cumplir el resto del RGPD.
Hasta 20 millones de euros o el 4% de la facturación anual global, lo que sea mayor (artículo 83 del RGPD). En España las sanciones se gradúan y muchas multas a pymes van de cientos a miles de euros.
Sí, desde el 28 de junio de 2025, en aplicación de la European Accessibility Act (Directiva UE 2019/882) y la Ley 11/2023, para los servicios digitales dirigidos a consumidores.
A las empresas que ofrecen servicios digitales al consumidor: comercio electrónico, banca, seguros, transporte, telecomunicaciones, educación y más. Algunas microempresas de servicios quedan exentas.
La conformidad con las WCAG 2.1 nivel AA, junto con la publicación de una declaración de accesibilidad y un canal para que los usuarios comuniquen problemas.
El régimen sancionador prevé multas que en los casos más graves pueden alcanzar el millón de euros. Se estima que solo el 2% de las webs del sector privado en España cumple plenamente la normativa.
Sí. Los servicios bancarios y financieros digitales están expresamente incluidos en la European Accessibility Act desde el 28 de junio de 2025.
Sí puede generar incumplimiento. Servir las fuentes de Google desde sus servidores en EE. UU. transfiere la dirección IP del visitante sin garantías (caso del LG de Múnich). Se soluciona alojando las fuentes en tu propio dominio.
Es enviar datos personales fuera del Espacio Económico Europeo, por ejemplo a servidores de EE. UU. a través de Google Fonts, un CDN o una herramienta estadounidense. El capítulo V del RGPD exige garantías adecuadas para ello.
Autoalojando las fuentes y los recursos, o usando proveedores con garantías (cláusulas contractuales tipo o el marco de privacidad UE-EE. UU.) e informándolo en tu política de privacidad.
Sí. La Ley 5/2019 (LCCI) obliga a los intermediarios de crédito inmobiliario a estar inscritos en el registro del Banco de España y a identificar su inscripción, con una vía para que el cliente pueda comprobarla.
Solo si no percibe remuneración del prestamista. El artículo 12 de la Ley 5/2019 reserva el término «independiente» a quien no cobra de las entidades; usarlo indebidamente es publicidad engañosa.
Su inscripción en el Banco de España y cómo comprobarla, si es intermediario vinculado o no vinculado, si presta asesoramiento, sus honorarios y la remuneración que percibe de terceros, y un Servicio de Atención al Cliente con vía de reclamación ante el Banco de España.
El Banco de España inscribe en un registro público, no autoriza comercialmente ni cede su marca. Atribuirse su respaldo o usar su logotipo como aval puede considerarse publicidad engañosa.
No. La Circular 4/2020 del Banco de España exige mensajes claros y equilibrados. Reclamos como «hipoteca aprobada segura» o «sin aval garantizado» no son acreditables y son sancionables.
Sí. El Reglamento (UE) 2024/1689 de Inteligencia Artificial (artículo 50), aplicable desde el 2 de agosto de 2026, obliga a informar de forma clara de que el usuario está interactuando con un sistema de IA.
Son diseños que empujan al usuario a decidir en contra de su interés, por ejemplo un botón «Aceptar cookies» enorme frente a un «Rechazar» escondido. La AEPD y la Unión Europea los vigilan como práctica no conforme.
Sí. El RGPD y la LSSI se aplican a quien dirige servicios a usuarios en España o en la Unión Europea, con independencia de dónde esté alojada físicamente la web.
El aviso legal identifica al titular (LSSI, art. 10); la política de privacidad informa del tratamiento de datos personales (RGPD); la política de cookies detalla las cookies y el rastreo (LSSI, art. 22.2). Son tres documentos distintos y complementarios.
Con una auditoría que revise los textos legales, los formularios, las cookies y los rastreadores disparados antes del consentimiento, las transferencias internacionales y la accesibilidad. Puedes analizar tu web gratis con Custor y ver tu puntuación al instante.
Según el Observatorio de Custor, solo el 36% de las webs auditadas está plenamente conforme; el 64% presenta algún incumplimiento, con una puntuación media de 79 sobre 100. El fallo más común es el aviso legal incompleto.
Cada vez que cambies la web, añadas una herramienta (analítica, chat, píxel de publicidad) o cuando cambie la normativa. La vigilancia continua evita que un plugin nuevo reintroduzca un incumplimiento sin que te enteres.
Custor es un servicio que audita el cumplimiento legal de una web (RGPD, cookies, LSSI, accesibilidad y normativa financiera), genera un informe con las sanciones aplicables y, si quieres, deja la web conforme con un sello verificable.
El diagnóstico es gratuito: analizas tu web y obtienes al instante tu puntuación de cumplimiento y los incumplimientos detectados, cada uno con su norma y su sanción máxima prevista.
No es un sello oficial. Custor emite un sello propio que cubre exactamente lo que ha comprobado, con una página pública de verificación, y acredita el resultado de la auditoría en la fecha indicada. Ningún organismo público concede sellos de cumplimiento web.
Custor carga tu web con un navegador real —como la vería un cliente o un inspector— y comprueba qué cookies se cargan y cuándo, tus textos legales, las transferencias de datos y las señales de accesibilidad. No te pregunta si cumples: lo comprueba.
Custor analiza tu web con un navegador real y te dice tu puntuación de cumplimiento y los riesgos detectados, cada uno con su norma y su sanción. Gratis y sin compromiso.