En una frase. La LSSI-CE (Ley 34/2002) regula los servicios de la sociedad de la información y el comercio electrónico en España, intersectando con el RGPD en tres áreas críticas: cookies (art. 22.2), email/SMS comercial (art. 21) e identificación del prestador (art. 10), y exige analizar por separado las obligaciones de protección de datos y de prestación del servicio.
Puntos clave
- Vigente desde 2002, modificada por el RDL 13/2012 (cookies) y posteriores.
- El ámbito territorial depende del establecimiento del prestador y de los supuestos concretos del artículo 4; dirigirse a España por sí solo no basta para describir toda la regla.
- Cookies: art. 22.2 LSSI + RGPD = consentimiento del usuario.
- Email/SMS comercial: art. 21 LSSI con régimen autónomo.
- La calificación y la autoridad sancionadora dependen del precepto infringido; el artículo 43 atribuye a la AEPD determinadas infracciones de comunicaciones comerciales y cookies.
1. Ámbito de aplicación
La LSSI se aplica a los prestadores establecidos en España y, en los términos de sus artículos 3 y 4, a determinados prestadores establecidos en otros Estados. Un servicio de la sociedad de la información se presta normalmente a título oneroso, a distancia, por vía electrónica y a petición individual; una web gratuita puede entrar en el ámbito si la actividad tiene finalidad económica indirecta, como publicidad o captación comercial. Una intranet puramente doméstica y sin actividad económica plantea una situación distinta. Antes de marcar una casilla de cumplimiento, documente quién presta el servicio, desde dónde está establecido, cómo obtiene ingresos y a qué destinatarios se dirige. La existencia de clientes españoles no transforma automáticamente cualquier servicio extranjero en un servicio sometido a todas las obligaciones españolas.
2. Identificación del prestador (art. 10)
Toda web comercial debe mostrar de forma permanente, accesible y gratuita:
- Denominación social completa.
- Domicilio o residencia y dirección de correo electrónico, junto con otro dato que permita comunicación directa y efectiva.
- NIF o identificador fiscal cuando corresponda.
- Datos de inscripción registral si los hay.
- Datos de autorización administrativa si actividad regulada.
- Códigos de conducta a los que adherido.
El artículo 10 no fija una multa automática. El artículo 38 diferencia incumplimientos significativos y otros incumplimientos; la gravedad y el importe se deciden en el expediente concreto.
3. Cookies: art. 22.2 LSSI
Régimen integrado con RGPD. Requisitos:
- Información clara y comprensible sobre cookies utilizadas.
- Consentimiento previo para dispositivos de almacenamiento o acceso que no encajen en la excepción del artículo 22.2: transmisión de una comunicación o prestación de un servicio expresamente solicitado.
- Posibilidad de revocación.
- Botón “Aceptar” y “Rechazar” al mismo nivel visual.
Ver bandera de cookies AEPD 2026.
4. Tipos de cookies y régimen
| Tipo | Consentimiento | Ejemplo |
|---|---|---|
| Técnicas (sesión, carrito) | No requerido | Login, idioma |
| Personalización | No si elegido por usuario | Tema oscuro |
| Analíticas propias | Depende de la tecnología y de las condiciones de exención; no hay exención general por ser propias | Medición interna |
| Analíticas de terceros | Depende de finalidad y configuración; algunas mediciones de audiencia pueden cumplir los criterios estrictos de exención AEPD | Herramienta de medición |
| Marketing | Requerido | Meta Pixel, Google Ads |
| Sociales | Requerido | Botones share Facebook |
5. Comunicaciones comerciales: art. 21 LSSI
Régimen restrictivo para email, SMS, mensajería:
- Regla general: prohibido enviar sin consentimiento previo del destinatario.
- Excepción: cliente con relación contractual previa, sobre productos similares y con opción clara de oposición.
La interpretación es restrictiva. La similitud debe justificarse por la naturaleza de lo contratado y la expectativa razonable del cliente; la ley no define una categoría de catálogo universal.
6. Régimen del email comercial
Toda comunicación comercial electrónica debe:
- Identificarse claramente como comunicación comercial; la ley no exige una palabra fija en el asunto para todo mensaje.
- Identificar al anunciante.
- Indicar las condiciones de la oferta si la hay.
- Ofrecer mecanismo simple y gratuito de baja en cada envío.
La AEPD puede sancionar determinadas infracciones de los artículos 21 y 22 conforme al reparto del artículo 43 LSSI. No existe una tarifa fija por campaña.
7. Lista Robinson y telemarketing
LSSI-CE coordina con la Ley General de Telecomunicaciones art. 66. Las llamadas comerciales se analizan con la Ley General de Telecomunicaciones y la normativa de protección de datos, según el canal, la relación previa y la oposición manifestada. Hay que identificar al anunciante, atender el rechazo y verificar los sistemas de exclusión publicitaria cuando proceda; una consulta a la Lista Robinson no constituye por sí sola una base para llamar.
8. Comercio electrónico: arts. 23-29 LSSI
Obligaciones específicas en ventas online:
- Información precontractual completa (productos, precios, gastos envío, derecho desistimiento).
- Acuse de recibo de la aceptación por correo electrónico u otro medio equivalente en los términos y plazos del artículo 28, salvo una excepción legal aplicable.
- Información post-contractual (factura, condiciones).
- Términos y condiciones accesibles antes de la celebración del contrato.
- Política de devoluciones y desistimiento (14 días B2C).
9. Régimen sancionador LSSI
| Tipo | Importe (EUR) |
|---|---|
| Leve | Hasta 30.000 |
| Grave | 30.001 - 150.000 |
| Muy grave | 150.001 - 600.000 |
Infracciones típicas:
- Falta de identificación (leve).
- Envío masivo sin consentimiento (grave).
- Cookies no técnicas sin consentimiento (art. 38.4.g; la reincidencia en los términos del art. 38.3.i puede elevar la calificación).
- Envío masivo o insistente sin cumplir el artículo 21 (grave según el artículo 38.3.c; no se convierte en muy grave por una regla automática de reincidencia).
10. Coordinación AEPD + autoridad sectorial
El artículo 43 LSSI atribuye a la AEPD determinadas infracciones tipificadas de comunicaciones comerciales y dispositivos de almacenamiento, y asigna otras al órgano estatal competente. Si los hechos también implican tratamiento de datos personales, se analiza el RGPD por sus propios elementos. La existencia de dos normas no significa dos sanciones automáticas por el mismo hecho: el artículo 44 LSSI y el principio de non bis in idem obligan a examinar sujeto, hecho y fundamento. Una revisión útil separa el incumplimiento del deber de informar sobre el prestador, la colocación de una cookie y el tratamiento posterior de los datos obtenidos.
11. Obligaciones específicas de marketplaces y plataformas
Una plataforma que aloja ofertas de terceros debe primero identificar su categoría de servicio en el DSA. Las obligaciones sobre información de comerciantes, avisos de contenidos, reclamaciones y cooperación no se aplican idénticamente a todo marketplace: dependen de si es servicio de alojamiento, plataforma en línea o plataforma que permite contratar con comerciantes, y de las excepciones aplicables, incluidas las previstas para microempresas y pequeñas empresas. Documente quién vende, quién aloja la oferta y qué funciones presta realmente la plataforma antes de asignar una obligación.
12. DSA y nueva regulación europea
El Reglamento de Servicios Digitales (DSA, Reglamento UE 2022/2065) añade obligaciones europeas para servicios intermediarios según su función y tamaño. No convierte a todos los comercios electrónicos en plataformas ni elimina el aviso legal, las reglas españolas sobre comunicaciones comerciales o el análisis de cookies. Para una tienda que vende sus propios productos, el punto de partida sigue siendo identificar el servicio y sus contratos; para un mercado que aloja ofertas de terceros, se revisan además las obligaciones del DSA que correspondan a su categoría. El porcentaje máximo del DSA no es una multa ordinaria ni un sustituto del régimen LSSI.
13. Base normativa y relación con el RGPD
La norma de cabecera es la Ley 34/2002 (LSSI-CE), pero su intersección con la privacidad tiene raíz europea: el art. 22.2 sobre cookies transpone el art. 5.3 de la Directiva 2002/58/CE (ePrivacy). Por eso el consentimiento de cookies se interpreta con el estándar del Reglamento (UE) 2016/679: libre, específico, informado e inequívoco.
La AEPD tiene competencias expresas en determinadas infracciones LSSI y en materia de protección de datos. La calificación depende del acto y de los datos tratados. Su Guía de cookies fija que rechazar debe ser tan fácil como aceptar. El régimen coincide en gran parte con el analizado en las sanciones AEPD de marketing y publicidad, donde el email y las cookies concentran los expedientes.
14. Errores frecuentes que activan sanción
Tres fallos fáciles de detectar durante una revisión de una web española:
- Aviso legal incompleto: falta el CIF, el email de contacto o los datos registrales. Debe contrastarse con el artículo 10 y la tipificación concreta del artículo 38.
- Cookies que se cargan antes del consentimiento: el tag de Google Analytics o el píxel de Meta se disparan al cargar la página, antes de que el usuario pulse “Aceptar”. El equipo puede verificarlo mediante una visita sin consentimiento y una inspección de solicitudes de red.
- Baja de email que no funciona: enlace roto, que exige login o que tarda más de lo razonable. El art. 21 exige un mecanismo sencillo y gratuito en cada envío.
Ninguno requiere un análisis jurídico sofisticado para detectarse: son verificables con las herramientas de desarrollador del navegador y una prueba de baja real.
15. Cómo cumplir LSSI-CE
- Aviso legal completo accesible desde toda página.
- Política de privacidad con sección de cookies.
- Banner de cookies conforme guía AEPD 2026.
- Términos y condiciones accesibles antes de compra.
- Sistema de baja en cada email comercial.
- Evaluación del régimen de llamadas comerciales y consulta de sistemas de exclusión cuando corresponda.
- Procedimiento de respuesta a reclamaciones.
- Checklist RGPD que cubre intersección.
Véase también: modelo de aviso legal.
FAQ
¿LSSI-CE aplica a mi blog personal?
Solo si tiene fin económico (publicidad, productos, servicios). Blog personal sin ingresos no entra en LSSI.
¿Necesito banner de cookies si solo uso analíticas?
Depende de la tecnología, finalidad y configuración. La guía AEPD admite una exención limitada para determinadas mediciones de audiencia bajo condiciones estrictas, incluso si interviene un tercero. Una herramienta propia tampoco queda exenta por su titularidad: compruebe si almacena información en el equipo y si encaja de verdad en una excepción de la guía AEPD.
¿Puedo enviar email a clientes que ya tengo?
Solo sobre productos o servicios similares a los ya contratados y con opción de baja en cada envío (art. 21 LSSI).
¿Las sanciones LSSI y RGPD se acumulan?
Pueden concurrir obligaciones distintas, pero no hay acumulación automática de multas. Deben identificarse el precepto, los hechos, la autoridad competente y el fundamento de cada reproche; el artículo 44 LSSI exige respetar el principio non bis in idem.
¿La LSSI-CE obliga a un aviso legal aunque no venda online?
Sí, si la web tiene ánimo de lucro, aunque sea indirecto (publicidad, generación de contactos comerciales). El artículo 10 exige hacer accesibles de modo permanente, fácil, directo y gratuito los datos de identificación y contacto aplicables al prestador.
Aplicación práctica: decidir qué obligaciones corresponden a cada función
Una empresa puede tener simultáneamente un sitio institucional, una tienda, una newsletter y un espacio donde terceros publican ofertas. Revisar «la web» como si fuera un único tratamiento confunde obligaciones. Empiece por inventariar cada función y quién toma las decisiones. El aviso legal identifica al prestador del servicio; la política de privacidad explica tratamientos de datos; la política de cookies describe el almacenamiento o acceso al terminal; las condiciones de venta ordenan el contrato. Pueden enlazarse entre sí, pero un documento no sustituye el contenido exigido en otro. En el modelo de aviso legal conviene verificar los datos contra la entidad que realmente factura, no contra la marca comercial que figura en el logotipo.
Para el aviso legal, compruebe razón social o nombre, residencia o domicilio, dirección electrónica y dato de contacto directo, datos registrales cuando procedan, NIF y autorizaciones o profesión regulada si son relevantes. El artículo 10 LSSI también exige información clara sobre precios cuando el prestador los muestra: indique si incluyen impuestos y gastos de envío. No basta un formulario sin identificación del prestador. Un correo que nadie atiende tampoco cumple bien la finalidad de contacto directo y efectivo. Conserve una captura fechada de las páginas de información, además de un proceso para actualizar datos de contacto al cambiar de sociedad o domicilio.
Auditoría de cookies con un navegador limpio
Primero abra el sitio en una sesión nueva y sin consentimientos guardados. Registre la hora de carga, las cookies y el almacenamiento local creados antes de pulsar una opción; revise también las peticiones a terceros que puedan transmitir identificadores. Después pulse «Rechazar» y repita la visita. Las tecnologías no exentas deben permanecer bloqueadas en ambos estados. A continuación acepte una categoría concreta y compruebe que solo esa categoría se activa. Finalmente retire el consentimiento desde un control accesible y compruebe que la decisión se respeta. El nombre comercial de una cookie no determina su régimen: importan finalidad, necesidad técnica, destinatario y datos recogidos.
La Guía de cookies de la AEPD exige que aceptar y rechazar se ofrezcan al mismo tiempo, nivel y visibilidad. Una interfaz que esconde «Rechazar» en un segundo panel dificulta una elección libre. Una configuración granular debe evitar casillas premarcadas para fines no necesarios. Si se apoya en la excepción técnica, documente por qué esa función es estrictamente necesaria para el servicio solicitado. El mismo análisis ayuda a mantener coherente la política de privacidad: el banner, la descripción de finalidades y la configuración real de etiquetas deben coincidir. Compare la información publicada con un modelo de política de cookies y adapte cada categoría al comportamiento comprobado.
Correo comercial: comprobar la excepción sin ampliarla
El artículo 21 parte de la prohibición de mensajes promocionales electrónicos no solicitados ni expresamente autorizados. Su excepción requiere una relación contractual previa, datos de contacto obtenidos lícitamente y promociones de productos o servicios de la propia empresa similares a los contratados. Además debe ofrecerse una oposición sencilla y gratuita tanto al recoger el dato como en cada comunicación. Los ejemplos de consentimiento RGPD ayudan a distinguir una autorización granular de una aceptación general. No basta que una persona haya descargado una guía gratuita o visitado una página para convertirla en «cliente». Tampoco basta un contrato con otra sociedad del grupo para atribuir la excepción a todas las marcas.
Antes de activar una campaña, guarde el origen y la fecha del contacto, la versión del aviso o consentimiento, el producto contratado, el criterio de similitud y las exclusiones por baja. Haga una prueba real del enlace de oposición desde móvil y sin sesión iniciada. Cuando el usuario se opone, suprimir el contacto de la lista de envío no significa borrar cualquier dato inmediatamente: puede conservarse el mínimo necesario para respetar la oposición, con acceso restringido y plazo justificado. Esa separación entre marketing y supresión general evita reimportar una dirección desde otra base. La guía de sanciones de marketing aporta contexto, pero la decisión operativa debe sustentarse en el artículo 21 vigente.
Las llamadas telefónicas requieren un análisis propio de la normativa de telecomunicaciones y protección de datos. No traslade sin más el artículo 21 LSSI de correo electrónico a toda llamada. La consulta de sistemas de exclusión publicitaria y el fundamento para llamar dependen del canal y de la situación concreta. Mantener una matriz por canal —correo, SMS, mensajería, llamada— evita que un consentimiento dado para uno se use indiscriminadamente en otro.
Compra en línea: una secuencia verificable
El artículo 27 LSSI exige poner a disposición del destinatario, antes de iniciar el procedimiento de contratación, información sobre trámites, archivo y accesibilidad del documento electrónico, medios técnicos de corrección de errores e idiomas disponibles. Las condiciones generales deben poder guardarse y reproducirse. El artículo 28 exige confirmar la recepción de la aceptación por correo electrónico dentro de las 24 horas siguientes, o mediante un medio equivalente inmediatamente después del proceso de contratación que el destinatario pueda archivar, salvo las excepciones de su apartado 3. El vendedor debe comprobar además las reglas de consumo que correspondan, incluyendo información precontractual y desistimiento cuando exista, sin atribuir esas reglas exclusivamente a la LSSI.
Haga una compra de prueba: identifique en qué pantalla ve el precio total, impuestos y gastos; compruebe que puede corregir una dirección errónea antes de confirmar; descargue las condiciones aplicables; guarde el acuse de recibo. Si un marketplace interviene, identifique qué entidad vende el producto y cuál presta el servicio de intermediación. Esa distinción determina quién debe informar, responder y conservar evidencia de cada paso. La guía de RGPD para comercio electrónico ayuda a revisar los datos de clientes, que son una capa distinta de las formalidades del contrato electrónico.
Evidencia mínima para una revisión interna
Una revisión eficaz termina con un expediente pequeño: inventario de servicios y entidades prestadoras, versión de aviso legal, matriz de cookies y pruebas de bloqueo, textos de consentimiento o excepción de campañas, muestras de baja efectiva, captura del recorrido de compra y responsables de actualización. Anote la fecha y el entorno de cada prueba; un banner correcto en escritorio puede fallar en móvil o en una versión regional. Repita el ensayo después de incorporar etiquetas, proveedores de análisis o un nuevo formulario. Si encuentra un fallo, registre cuándo empezó, qué usuarios pudieron verse afectados, qué se desactivó y cómo comprobó la reparación. La trazabilidad permite explicar una decisión concreta; una afirmación genérica de «cumplimiento LSSI» no lo hace.
Fuentes oficiales para verificar el texto vigente: Ley 34/2002 consolidada en BOE, artículos 1–4, 10, 20–22, 27–28 y 37–44; Guía de cookies AEPD; RGPD en EUR-Lex.