El comercio electrónico en España está regulado por la Ley de Servicios de la Sociedad de la Información (LSSI-CE), la normativa de protección de datos (RGPD y LOPDGDD), la legislación de consumo (TRLGDCU) y los reglamentos europeos DSA, Omnibus y GPSR. Toda tienda online —venda productos propios o actúe como marketplace— debe cumplir estas normas para operar legalmente y evitar sanciones. No es una sola ley: es un conjunto de obligaciones europeas y españolas que se aplican de forma acumulativa.
En esta guía encontrarás qué norma regula cada aspecto de la venta online, qué textos son obligatorios, qué derechos tiene tu cliente y qué sanciones arriesgas si no cumples.
Si necesitas abogados de comercio electrónico para adaptar tu tienda online, solicita una valoración inicial gratuita.
La venta online en España se rige por seis bloques normativos principales: la LSSI-CE (Ley 34/2002), el RGPD y la LOPDGDD, el Texto Refundido de la Ley General para la Defensa de los Consumidores y Usuarios (TRLGDCU, RDL 1/2007), el Reglamento de Servicios Digitales (DSA, Reglamento UE 2022/2065), el Reglamento General de Seguridad de los Productos (GPSR, Reglamento UE 2023/988) y la normativa de medios de pago y fiscalidad. Cada una regula una dimensión distinta de tu tienda y se aplica al mismo tiempo.
| Norma | Qué regula | Autoridad competente | Sanción máxima |
|---|---|---|---|
| LSSI-CE (Ley 34/2002) | Identificación del prestador, contratación electrónica, comunicaciones comerciales y cookies | Administración competente en digitalización; AEPD para comunicaciones comerciales | Hasta 600.000 € (infracciones muy graves) |
| RGPD + LOPDGDD (LO 3/2018) | Tratamiento de datos personales y consentimiento | Agencia Española de Protección de Datos (AEPD) | Hasta 20 M€ o el 4 % de la facturación global anual |
| TRLGDCU (RDL 1/2007) + Directiva Omnibus | Derechos del consumidor, desistimiento, garantías, precios y reseñas | Organismos de consumo autonómicos | Sanciones de consumo según comunidad autónoma |
| DSA (Reglamento UE 2022/2065) | Servicios de intermediación, marketplaces y moderación de contenidos | Coordinador de Servicios Digitales y Comisión Europea | Hasta el 6 % de la facturación mundial anual |
| GPSR (Reglamento UE 2023/988) | Seguridad de productos no alimentarios y trazabilidad | Autoridades de vigilancia del mercado | Sanciones por comercializar productos inseguros |
| Normativa de pagos e IVA (PSD2; Ley 37/1992) | Métodos de pago, autenticación reforzada e IVA en ventas a distancia | Banco de España y Agencia Tributaria | Sanciones tributarias y financieras |
La consecuencia práctica es clara: cumplir solo una de estas normas no basta. Una tienda puede tener una política de privacidad impecable y aun así ser sancionada por no informar del derecho de desistimiento o por anunciar una rebaja sin el precio de referencia correcto.
Toda tienda online debe publicar cuatro textos legales: el aviso legal, la política de privacidad, la política de cookies y las condiciones generales de contratación. Deben estar accesibles desde cualquier página, redactados de forma clara y adaptados a tu modelo de negocio. Las plantillas genéricas copiadas de otra web son una de las causas más habituales de incumplimiento.
El aviso legal identifica a la empresa o profesional responsable de la tienda. La LSSI-CE obliga a mostrar el nombre o razón social, el NIF o CIF, el domicilio, los datos de contacto y, si procede, los datos de inscripción registral. Es obligatorio para cualquier web con actividad económica, no solo para las que venden directamente.
La política de privacidad informa de qué datos personales recoge la tienda, con qué finalidad y bajo qué base de licitud, conforme al RGPD y la LOPDGDD. La política de cookies detalla las cookies que usa la web y debe ir acompañada de un sistema de consentimiento válido: sin casillas premarcadas y con opción real de rechazar. El consentimiento de cookies es uno de los focos de inspección más frecuentes de la AEPD.
Las condiciones de contratación regulan la relación de compraventa: proceso de pedido, precios e impuestos, formas de pago, plazos y costes de envío, derecho de desistimiento, garantías y resolución de conflictos. Deben aceptarse de forma expresa antes de finalizar la compra. Una condición abusiva u oculta puede declararse nula y acarrear sanciones de consumo.
Antes de poner a la venta el primer producto, comprueba este mínimo legal:
El RGPD obliga a toda tienda online a tratar los datos personales de sus clientes con una base de licitud válida, información transparente y medidas de seguridad adecuadas. Un ecommerce trata datos en cada pedido, registro, newsletter y cookie, por lo que el cumplimiento no es opcional.
Las obligaciones nucleares son cuatro: definir la base de licitud de cada tratamiento, obtener consentimiento válido para marketing y cookies, mantener un registro de actividades de tratamiento y firmar contratos de encargo con los proveedores que acceden a datos (pasarela de pago, logística, plataforma de email, hosting). El incumplimiento puede sancionarse con hasta 20 millones de euros o el 4 % de la facturación global anual. Por su complejidad, conviene apoyarse en abogados de protección de datos cuando el volumen de datos o el catálogo crece.
El derecho de desistimiento permite al consumidor devolver una compra realizada online en un plazo de 14 días naturales, sin justificar su decisión y sin penalización. El plazo se cuenta desde la recepción del producto, según el artículo 102 del Real Decreto Legislativo 1/2007 (TRLGDCU).
La obligación clave para la tienda es informar de este derecho antes de la compra y facilitar un formulario de desistimiento. Si no lo hace, el plazo de devolución se amplía hasta doce meses adicionales. Cuando el cliente desiste, la tienda debe reembolsar todo lo abonado —incluidos los gastos de envío estándar— en 14 días naturales; si se retrasa, el consumidor puede reclamar el doble. Existen excepciones tasadas: productos personalizados, bienes perecederos o contenido digital ya descargado.
A esto se suman las garantías legales: el consumidor tiene derecho a productos conformes y a su reparación o sustitución si son defectuosos. Pongamos el caso de una tienda de complementos de moda que no informa del desistimiento ni incluye el formulario. Ante una reclamación de consumo, tendría que aceptar la devolución de un pedido de varios meses atrás, porque el plazo se habría ampliado a doce meses. Revisar los textos legales antes de vender habría evitado el conflicto.
El Reglamento de Servicios Digitales (DSA, Reglamento UE 2022/2065) se aplica desde el 17 de febrero de 2024 y alcanza a tu tienda en cuanto dejas de vender solo productos propios. Si permites que terceros ofrezcan los suyos, eres una plataforma en línea y asumes obligaciones que una tienda convencional no tiene.
Las tres que más se pasan por alto son la trazabilidad de los vendedores, con verificación de la identidad del comerciante antes de dejarle vender, lo que se conoce como KYBC, el sistema de notificación y retirada de productos ilícitos, y el mecanismo interno de reclamaciones. Las sanciones alcanzan el 6 % de la facturación mundial anual. Los cuatro escalones de la norma y las exenciones para pequeñas y microempresas están desarrollados en nuestra guía del Reglamento de Servicios Digitales.
La Directiva Omnibus y el GPSR son dos normas recientes que afectan de lleno a la venta online y que la mayoría de guías todavía no recoge: la primera regula cómo anuncias precios y reseñas; la segunda, la seguridad de los productos que vendes.
La Directiva Omnibus (Directiva UE 2019/2161) se transpuso en España mediante el Real Decreto-ley 24/2021 y es aplicable desde el 28 de mayo de 2022. Introduce dos obligaciones que afectan a cualquier tienda. En las rebajas, debes indicar el precio más bajo aplicado en los 30 días anteriores a la promoción, para evitar descuentos ficticios. En las reseñas, debes informar de si las opiniones publicadas proceden de clientes que realmente compraron el producto y cómo se verifican. Publicar reseñas falsas o no acreditar su autenticidad es una práctica comercial desleal sancionable.
El Reglamento General de Seguridad de los Productos (GPSR, Reglamento UE 2023/988) es aplicable desde el 13 de diciembre de 2024 y sustituye a la antigua directiva de 2001. Exige que los productos no alimentarios vendidos en la UE sean seguros e impone obligaciones de trazabilidad, información mínima de seguridad y comunicación de incidentes a fabricantes, importadores, distribuidores y marketplaces. Si vendes productos físicos a consumidores europeos —propios o de terceros— el GPSR te obliga a documentar la seguridad y el origen de lo que comercializas.
La venta online suma obligaciones de pago y fiscales que conviene revisar desde el inicio. En los pagos, la normativa europea PSD2 exige autenticación reforzada del cliente (la verificación en dos pasos al pagar con tarjeta) y contratos claros con tu pasarela de pago. En el IVA, el régimen de ventas a distancia marca dónde tributas.
Si vendes a consumidores de otros países de la UE, existe un umbral común de 10.000 euros anuales (IVA excluido). Por debajo, aplicas el IVA español. Al superarlo, tus ventas tributan en el país de destino y puedes declararlas desde España a través de la ventanilla única (OSS), con el Modelo 369. Para los bienes importados de fuera de la UE en envíos de hasta 150 euros existe el régimen IOSS. A todo ello se añaden los contratos con tus proveedores logísticos y tecnológicos, donde el asesoramiento en contratación tecnológica evita problemas en entregas, devoluciones y responsabilidad.
Las sanciones por incumplir la normativa de comercio electrónico varían según la norma vulnerada y pueden acumularse. La LSSI-CE prevé multas de hasta 600.000 euros en infracciones muy graves. El RGPD alcanza los 20 millones de euros o el 4 % de la facturación global anual. El DSA puede sancionar a las plataformas con hasta el 6 % de su facturación mundial. A ello se suman las sanciones de consumo que imponen las comunidades autónomas por cláusulas abusivas, falta de información o vulneración del derecho de desistimiento.
Muchos incumplimientos no nacen de mala fe, sino de copiar textos legales de otra web sin adaptarlos al modelo de negocio. El coste de un mal texto rara vez es solo la multa: es vender durante meses con unas condiciones que un tribunal puede declarar nulas, con devoluciones y reclamaciones que se podían haber evitado.
Sí. La LSSI-CE obliga a toda web con actividad económica a publicar un aviso legal con los datos identificativos del titular: nombre o razón social, NIF o CIF, domicilio y datos de contacto. Debe estar accesible de forma permanente. Su ausencia es una infracción sancionable.
El consumidor dispone de 14 días naturales desde la recepción del producto para desistir sin justificación, según el artículo 102 del RDL 1/2007. Si la tienda no informó de este derecho ni facilitó el formulario de desistimiento, el plazo se amplía hasta doce meses adicionales.
No siempre. El RGPD exige nombrar un DPO solo cuando la actividad principal implica un tratamiento a gran escala o un seguimiento sistemático de personas. Muchas tiendas online no están obligadas, pero todas deben cumplir el resto del RGPD: base de licitud, información, consentimiento de cookies y contratos con encargados.
Las obligaciones principales del DSA recaen sobre los servicios de intermediación, es decir, plataformas y marketplaces que conectan a terceros vendedores con compradores. Si solo vendes tus propios productos no eres un intermediario en sentido estricto, aunque sí te aplican el resto de normas (LSSI, consumo, RGPD). En cuanto permites que terceros vendan en tu web, el DSA te alcanza.
Dependen de la norma: hasta 600.000 euros por la LSSI-CE, hasta 20 millones o el 4 % de la facturación global por el RGPD, hasta el 6 % de la facturación mundial por el DSA, y sanciones autonómicas de consumo por vulnerar los derechos del comprador. Las infracciones pueden concurrir y sumarse.
Adaptar tu tienda a toda esta normativa no tiene por qué ser un proyecto interminable. En Innovatech revisamos tu ecommerce, detectamos los incumplimientos y te entregamos una hoja de ruta clara. Solicita una valoración inicial gratuita de nuestros abogados de comercio electrónico y vende online con seguridad jurídica.
Marta Suárez-Mansilla, Socia Directora de Innovatech y abogada que ejerce en derecho tecnológico. Formada en Copyright por Harvard Law School y en Blockchain por BerkeleyX, acumula más de 8 años de experiencia asesorando a empresas tecnológicas.