Lo que tu página web está obligada a cumplir en España en 2026
Cuatro bloques de normativa, una lista de comprobación y las sanciones reales de cada uno. Sin alarmismo y sin vender miedo: lo que aplica de verdad a un negocio pequeño.
Actualizado en septiembre de 2026 · Mr Crab 7
Esto no es un artículo para asustarte. La mayoría de los negocios pequeños de este país tienen la web a medias en esto, no pasa nada la mayor parte del tiempo, y quien te diga que mañana viene la inspección te está vendiendo algo.
Pero conviene saber qué es obligatorio de verdad, qué solo aplica a algunos y qué sanciones hay detrás, porque son cuatro cosas y se arreglan en una tarde. Y porque el día que llega una reclamación de un cliente, lo primero que se mira es lo más fácil de comprobar.
1. Los datos que tienes que publicar sí o sí
El artículo 10 de la Ley 34/2002, la que todo el mundo llama LSSI, obliga a cualquiera que tenga una web con actividad económica a publicar, de forma permanente, fácil y gratuita:
- Tu nombre o la razón social de la empresa.
- El NIF o el CIF.
- El domicilio, o al menos una dirección donde se te pueda localizar.
- Un correo electrónico y algún otro medio de contacto directo.
- Los datos de inscripción en el Registro Mercantil, si la empresa está inscrita.
- El colegio profesional y el número de colegiado, si tu actividad está colegiada.
- La autorización administrativa previa, si tu actividad la requiere.
Esto es lo que se pone en el aviso legal, y es lo que más se incumple. En un rastreo que hicimos en septiembre de 2026 sobre diez servicios españoles de alquiler de páginas web, ocho no publicaban su CIF por ninguna parte, y uno llegaba a publicar literalmente la etiqueta con el campo vacío. Agencias vendiendo webs sin cumplir la norma que deberían aplicar a las webs que venden.
No publicar estos datos está tipificado como infracción grave, con sanciones de 30.001 a 150.000 euros. Es, con diferencia, el incumplimiento más barato de arreglar y el más tonto de mantener.
2. Cookies y datos personales
El aviso de cookies
La regla es sencilla de enunciar y se incumple constantemente: las cookies que no sean estrictamente necesarias para que la web funcione requieren consentimiento previo, informado y específico. Eso significa que la analítica, el píxel de Meta, el vídeo de YouTube incrustado y el mapa de Google no pueden cargarse hasta que el visitante diga que sí.
Tres errores que la Agencia Española de Protección de Datos sanciona con frecuencia:
- Cargar las cookies de medición antes de que el usuario acepte, con el banner todavía en pantalla.
- Poner un botón grande de aceptar y esconder el de rechazar, o no ponerlo. Rechazar tiene que ser tan fácil como aceptar.
- Los muros de cookies mal planteados, en los que no se puede seguir navegando si no aceptas.
La política de privacidad
Tiene que decir quién es el responsable, qué datos recoges, para qué, con qué base jurídica, cuánto tiempo los guardas, con quién los compartes y cómo se ejercen los derechos. Lo importante es que se corresponda con lo que de verdad haces.
Una política copiada de otra web es peor que no tenerla, porque acredita por escrito que no sabías lo que estabas firmando. Si tu formulario acaba en un CRM alojado fuera de la Unión Europea, eso hay que decirlo. Si mandas newsletters, hay que recoger el consentimiento aparte y poder demostrarlo.
3. Accesibilidad: a quién obliga de verdad
Aquí hay mucho ruido, así que vamos con los hechos.
La Ley 11/2023 traspone la Directiva europea de accesibilidad y su Título I es exigible desde el 28 de junio de 2025. El nivel técnico de referencia son las pautas WCAG 2.1 en nivel AA.
Lo importante es a quién obliga:
| Situación | ¿Obligada? |
|---|---|
| Comercio electrónico, banca en línea, transporte de viajeros, libros electrónicos, comunicaciones electrónicas | Sí |
| Microempresa que presta servicios: menos de 10 trabajadores y hasta 2 millones de euros de volumen de negocio o balance | Exenta en servicios |
| Web escaparate de un negocio pequeño, sin venta en línea | Normalmente no |
| Servicios ya prestados antes del 28 de junio de 2025 | Transición hasta 2030, demostrando avances |
Conviene leer bien la exención: el umbral se calcula sobre la empresa entera, no sobre la parte digital, y cubre los servicios, no los productos.
Dicho todo esto, hay un argumento que no es legal y pesa más. Una web accesible es una web que se puede usar con el teclado, que tiene contraste suficiente para leerla al sol, que funciona con el texto ampliado y que un lector de pantalla entiende. Eso no es caridad: es gente mayor que no ve bien la letra gris sobre fondo gris, y es todo el mundo intentando rellenar tu formulario en la calle con el móvil. Cuesta poco hacerlo desde el principio y bastante arreglarlo después.
4. Inteligencia artificial: lo nuevo desde agosto de 2026
El Reglamento Europeo de Inteligencia Artificial, el Reglamento (UE) 2024/1689, viene aplicándose por fases. La que afecta a tu web llegó el 2 de agosto de 2026, con el artículo 50 y sus obligaciones de transparencia.
En lo que toca a un negocio normal, significa dos cosas:
- Si pones un chatbot o un asistente de IA atendiendo a personas, tienes que avisar de forma clara, visible y desde el primer contacto de que están hablando con una máquina. La excepción es que resulte evidente para una persona razonablemente informada y atenta, lo que es más estrecho de lo que parece.
- El contenido generado o manipulado con IA que pueda inducir a error sobre su origen tiene que identificarse.
Las sanciones del reglamento llegan a 15 millones de euros o el 3 % del volumen de negocio mundial, lo que sea mayor. Esos importes están pensados para grandes proveedores de sistemas de IA, no para el chatbot de una clínica dental. Pero la obligación de avisar sí aplica a la clínica dental.
Hay además una obligación anterior, del artículo 4, que casi nadie conoce: las organizaciones que utilizan sistemas de IA deben garantizar un nivel suficiente de alfabetización en IA entre quienes los manejan. Es aplicable desde febrero de 2025.
La lista de comprobación
Abre tu web y ve marcando:
- ¿Hay una página de aviso legal con tu nombre o razón social, tu NIF o CIF y tu domicilio?
- ¿Se llega a ella desde todas las páginas, sin buscarla?
- ¿El aviso de cookies aparece antes de cargar la analítica, y no después?
- ¿El botón de rechazar está igual de visible que el de aceptar?
- ¿Se puede cambiar la decisión sobre cookies más tarde, desde algún enlace?
- ¿La política de privacidad dice lo que de verdad haces con los datos del formulario?
- ¿El formulario tiene una casilla de aceptación que no viene marcada de serie?
- ¿Si mandas comunicaciones comerciales, tienes el consentimiento por separado y puedes demostrarlo?
- ¿Si tienes un chatbot de IA, avisa de que lo es?
- ¿Si vendes en línea, has mirado si te aplica la Ley 11/2023?
Si has fallado más de tres, estás donde está la mayoría. Se arregla en una tarde.
Cuánto cuesta ponerse en regla
Haciéndolo tú, con cabeza y sin copiar textos de otra web, entre cuatro y cinco horas. Encargándolo suelto, entre 150 y 400 euros según quién lo haga y cuánto se moleste en preguntarte por tu negocio.
En un plan de mantenimiento o de suscripción debería ir incluido, y si no va incluido merece la pena preguntar por qué. En nuestros planes los textos legales se adaptan a tu actividad desde el primer día, la web sale con el aviso de cookies funcionando y con la declaración de accesibilidad hecha. No porque sea un extra bonito, sino porque una web que no cumple es una web que no está terminada.
Por treinta euros al mes, esta es de esas cosas que no compensa dejar para más adelante.
Preguntas frecuentes
¿Qué datos tengo que poner obligatoriamente en mi web?
Nombre o razón social, NIF o CIF, domicilio, un correo electrónico y cualquier otro dato que permita contactar contigo de forma directa. Si estás inscrito en un registro mercantil, sus datos de inscripción. Si tu actividad está colegiada o requiere autorización administrativa, también. Lo exige el artículo 10 de la LSSI y es lo más fácil de comprobar desde fuera.
¿Es obligatorio el aviso de cookies?
Si tu web solo usa cookies técnicas estrictamente necesarias para funcionar, no necesitas pedir consentimiento. En cuanto cargas analítica, un píxel de publicidad, un vídeo incrustado o un mapa de un tercero, sí: hay que pedir consentimiento antes de cargarlos, y rechazar tiene que ser tan fácil como aceptar.
¿Mi web tiene que ser accesible por ley?
Depende. La Ley 11/2023 es exigible desde el 28 de junio de 2025 y cubre comercio electrónico, banca en línea, transporte de viajeros, libros electrónicos y comunicaciones electrónicas. Las microempresas que prestan servicios quedan exentas: menos de diez trabajadores y no más de dos millones de euros de volumen de negocio o de balance anual. Una web escaparate de un negocio pequeño normalmente no está obligada; una tienda online de una empresa mediana sí.
¿Qué obligaciones nuevas hay sobre inteligencia artificial?
Desde el 2 de agosto de 2026 es aplicable el artículo 50 del Reglamento Europeo de Inteligencia Artificial. Si pones un chatbot o un asistente de IA atendiendo a personas, tienes que avisar de forma clara y desde el primer contacto de que están hablando con una máquina, salvo que resulte evidente. Las sanciones del reglamento llegan a 15 millones de euros o el 3 % del volumen de negocio mundial.
¿Cuánto cuesta poner en regla una web pequeña?
Si lo haces tú, tiempo: unas cuatro o cinco horas para redactar los textos legales con cabeza y montar un aviso de cookies que funcione de verdad. Si lo encargas suelto, entre 150 y 400 euros según quién lo haga. En un plan de mantenimiento o de suscripción suele ir incluido.
¿Prefieres no ocuparte de nada de esto? Es exactamente lo que hacemos: la web, el dominio, el alojamiento, los textos legales y el mantenimiento, desde 30 € al mes.