LSSI-CE: ley servicios sociedad información

En una frase. La LSSI-CE (Ley 34/2002) regula los servicios de la sociedad de la información y el comercio electrónico en España, intersectando con el RGPD en tres áreas críticas: cookies (art. 22.2), email/SMS comercial (art. 21) e identificación del prestador (arts. 9-10), con sanciones acumulables AEPD + autoridad sectorial.

Puntos clave

• Vigente desde 2002, modificada por el RDL 13/2012 (cookies) y posteriores.
• Aplicable a TODO prestador de servicio digital con destinatarios en España.
• Cookies: art. 22.2 LSSI + RGPD = consentimiento del usuario.
• Email/SMS comercial: art. 21 LSSI con régimen autónomo.
• Sanciones LSSI hasta 600.000 EUR (muy graves) acumulables con AEPD.

1. Ámbito de aplicación

La LSSI-CE aplica a:

• Webs de empresas españolas con destinatarios en España.
• Comercio electrónico B2C y B2B con destinatarios en España.
• Apps móviles con servicios prestados en España.
• Webs extranjeras que prestan habitualmente servicios en España.

Excluye servicios offline y comunicaciones no electrónicas.

2. Identificación del prestador (arts. 9-10)

Toda web comercial debe mostrar de forma permanente, accesible y gratuita:

• Denominación social completa.
• Domicilio fiscal.
• CIF.
• Datos de contacto (email obligatorio).
• Datos de inscripción registral si los hay.
• Datos de autorización administrativa si actividad regulada.
• Códigos de conducta a los que adherido.

Sanción típica por incumplimiento: 600-30.000 EUR.

3. Cookies: art. 22.2 LSSI

Régimen integrado con RGPD. Requisitos:

• Información clara y comprensible sobre cookies utilizadas.
• Consentimiento previo y específico para cookies NO técnicas.
• Posibilidad de revocación.
• Botón “Aceptar” y “Rechazar” al mismo nivel visual.

4. Tipos de cookies y régimen

5. Comunicaciones comerciales: art. 21 LSSI

Régimen restrictivo para email, SMS, mensajería:

• Regla general: prohibido enviar sin consentimiento previo del destinatario.
• Excepción: cliente con relación contractual previa, sobre productos similares y con opción clara de oposición.

La interpretación es restrictiva. “Similares” significa misma categoría de producto, no cualquier producto del catálogo.

6. Régimen del email comercial

Toda comunicación comercial electrónica debe:

• Identificarse claramente como tal (palabra “publicidad” o “publi”).
• Identificar al anunciante.
• Indicar las condiciones de la oferta si la hay.
• Ofrecer mecanismo simple y gratuito de baja en cada envío.

Sanción típica AEPD + LSSI: 5.000-60.000 EUR.

7. Lista Robinson y telemarketing

LSSI-CE coordina con la Ley General de Telecomunicaciones art. 66. Toda llamada comercial requiere:

• Verificación previa de Lista Robinson.
• Identificación del anunciante al inicio.
• Información sobre derecho de oposición.
• Cese inmediato si el usuario se opone.

8. Comercio electrónico: arts. 23-29 LSSI

Obligaciones específicas en ventas online:

• Información precontractual completa (productos, precios, gastos envío, derecho desistimiento).
• Acuse de recibo del pedido en plazo razonable.
• Información post-contractual (factura, condiciones).
• Términos y condiciones accesibles antes de la celebración del contrato.
• Política de devoluciones y desistimiento (14 días B2C).

9. Régimen sancionador LSSI

Infracciones típicas:

• Falta de identificación (leve).
• Envío masivo sin consentimiento (grave).
• Cookies no técnicas sin consentimiento (grave).
• Envío masivo sistemático sin consentimiento + reincidencia (muy grave).

10. Coordinación AEPD + autoridad sectorial

La LSSI es competencia de Ministerio de Asuntos Económicos. La AEPD interviene cuando hay tratamiento de datos personales asociado:

• Cookies con tracking: AEPD.
• Email comercial: AEPD + LSSI simultánea.
• Identificación del prestador: LSSI.

Sanciones acumulables entre LSSI y RGPD.

11. Obligaciones específicas de marketplaces y plataformas

Marketplaces (Amazon Marketplace, Wallapop, etc.) tienen obligaciones reforzadas:

• Información sobre vendedores y su responsabilidad.
• Sistema de reclamaciones accesible.
• Cooperación con autoridades.
• Retirada de contenidos ilícitos.
• Notificaciones DSA (Reglamento UE 2022/2065) desde 2024.

12. DSA y nueva regulación europea

El Reglamento de Servicios Digitales (DSA, Reglamento UE 2022/2065) sustituye parcialmente el régimen de la LSSI para plataformas medianas y grandes. Coexistencia:

• LSSI para servicios y prestadores no cubiertos por DSA.
• DSA para plataformas online y VLOPs (Very Large Online Platforms).
• Régimen sancionador DSA hasta 6% facturación.

13. Base normativa y relación con el RGPD

La norma de cabecera es la Ley 34/2002 (LSSI-CE), pero su intersección con la privacidad tiene raíz europea: el art. 22.2 sobre cookies transpone el art. 5.3 de la Directiva 2002/58/CE (ePrivacy). Por eso el consentimiento de cookies se interpreta con el estándar del Reglamento (UE) 2016/679: libre, específico, informado e inequívoco.

La AEPD es autoridad competente cuando hay tratamiento de datos personales, lo que ocurre en casi todas las cookies no técnicas y en todo el email comercial. Su Guía de cookies fija que rechazar debe ser tan fácil como aceptar. El régimen coincide en gran parte con el analizado en las sanciones AEPD de marketing y publicidad, donde el email y las cookies concentran los expedientes.

14. Errores frecuentes que activan sanción

Los tres fallos que la Administración detecta con más frecuencia en una web española:

1. Aviso legal incompleto: falta el CIF, el email de contacto o los datos registrales. Infracción leve de los arts. 9-10, pero puerta de entrada a la inspección.
2. Cookies que se cargan antes del consentimiento: el tag de Google Analytics o el píxel de Meta se disparan al cargar la página, antes de que el usuario pulse “Aceptar”. Es la infracción de cookies más común y la más fácil de verificar por la autoridad.
3. Baja de email que no funciona: enlace roto, que exige login o que tarda más de lo razonable. El art. 21 exige un mecanismo sencillo y gratuito en cada envío.

Ninguno requiere un análisis jurídico sofisticado para detectarse: son verificables con las herramientas de desarrollador del navegador y una prueba de baja real.

15. Cómo cumplir LSSI-CE

• Aviso legal completo accesible desde toda página.
• Política de privacidad con sección de cookies.
• Banner de cookies conforme guía AEPD 2026.
• Términos y condiciones accesibles antes de compra.
• Sistema de baja en cada email comercial.
• Verificación Lista Robinson previa a telemarketing.
• Procedimiento de respuesta a reclamaciones.
• Checklist RGPD que cubre intersección.

Véase también: modelo de aviso legal.

FAQ

¿LSSI-CE aplica a mi blog personal?

Solo si tiene fin económico (publicidad, productos, servicios). Blog personal sin ingresos no entra en LSSI.

¿Necesito banner de cookies si solo uso analíticas?

Sí si las analíticas son de terceros (Google Analytics, etc.). Las analíticas propias internas tienen interpretación más laxa AEPD.

¿Puedo enviar email a clientes que ya tengo?

Solo sobre productos o servicios similares a los ya contratados y con opción de baja en cada envío (art. 21 LSSI).

¿Las sanciones LSSI y RGPD se acumulan?

Sí. Son normas distintas con bienes jurídicos distintos. La AEPD y la autoridad LSSI pueden sancionar simultáneamente por los mismos hechos, siempre que respeten el principio non bis in idem cuando el fundamento y el bien jurídico coincidan.

¿La LSSI-CE obliga a un aviso legal aunque no venda online?

Sí, si la web tiene ánimo de lucro, aunque sea indirecto (publicidad, generación de contactos comerciales). Los arts. 9-10 exigen identificar al prestador con denominación social, domicilio, CIF y un medio de contacto directo y accesible de forma permanente.