Requisitos legales para sitios web y aplicaciones: Unión Europea

Comience con la ubicación de su empresa, los mercados a los que se dirige y lo que hace realmente su producto. Las leyes extranjeras de privacidad y consumo pueden ser aplicables, pero el hecho de que un sitio web sea accesible desde un país no constituye por sí mismo un disparador legal universal. Por ejemplo, el ámbito territorial del RGPD incluye el tratamiento en el contexto de un establecimiento en la UE, o una empresa no perteneciente a la UE que ofrece bienes o servicios a personas en la UE o supervisa su comportamiento allí. Evalúe cada ley por separado. Evalúe también la accesibilidad para los productos y servicios cubiertos, las obligaciones de los intermediarios, las obligaciones de transparencia en materia de IA pertinentes y la función de desistimiento para los contratos de consumo en línea cubiertos. La buena noticia es que el reglamento de la UE es coherente. Varios controles pueden reutilizarse en otros mercados, pero el cumplimiento de la UE no establece el cumplimiento de sus leyes locales. La mala noticia es el techo de las sanciones: hasta el 4% de la facturación anual global según el RGPD. Este es el capítulo de la UE de nuestra lista de comprobación legal previa al lanzamiento. Ejecute primero esa secuencia de instrucciones y luego añada esta.

Conclusiones clave

• El establecimiento, la oferta dirigida y el seguimiento determinan el ámbito territorial del RGPD; la mera disponibilidad no.
• Clasifique las bases legales, las funciones de los proveedores y las salvaguardias de transferencia en lugar de llamar a todos los proveedores procesadores.
• Por lo general, se requiere consentimiento para el seguimiento no exento; existen excepciones nacionales limitadas.
• El alcance del AAE (Acta de Accesibilidad Europea) y las exenciones para microempresas requieren una evaluación específica del servicio.
• Los deberes del Artículo 50 difieren para los proveedores y desplegadores de IA.
• Los contratos en línea cubiertos con derecho de desistimiento necesitan la función de desistimiento requerida según las medidas nacionales aplicables a partir del 19 de junio de 2026.
• Francia y España requieren comprobaciones nacionales además de las normas de la UE.

RGPD: las partes que realmente se aplican a un producto pequeño

Una base legal para todo. El consentimiento es una de las seis bases y suele ser la opción más débil: puede retirarse en cualquier momento. La necesidad contractual cubre lo que usted necesita para prestar el servicio; el interés legítimo cubre cosas como la prevención del fraude y la seguridad básica, pero requiere que documente una prueba de equilibrio. El marketing electrónico y el seguimiento de dispositivos tienen normas y excepciones separadas. Los datos de categorías especiales requieren tanto una base legal según el Artículo 6 como una condición del Artículo 9; el consentimiento explícito es una condición posible, no la única.

Transparencia. Su aviso de privacidad debe indicar quién es usted, qué recopila, por qué, sobre qué base, quién lo recibe, cuánto tiempo lo guarda, si sale de la UE y bajo qué salvaguarda, y cómo ejercer los derechos y presentar una queja ante una autoridad de control.

Derechos que funcionan. Acceso, rectificación, supresión, limitación, portabilidad, oposición y el derecho a no ser objeto de decisiones automatizadas únicamente con efectos jurídicos o significativamente similares. Plazo: un mes, prorrogable por dos para solicitudes complejas. Sin coste alguno.

Minimización de datos y limitación de la finalidad. No recopile lo que no necesita; no reutilice lo que recopiló para otra cosa. Este es el principio que más violan los desarrolladores de IA, porque generar "un formulario de perfil de usuario completo" es más fácil que generar uno mínimo.

Contratos de proveedores (Artículo 28). Todo procesador necesita un acuerdo escrito. Verifique la función de cada constructor de aplicaciones, alojamiento, base de datos, correo electrónico, análisis y servicio de IA; algunos actúan como responsables independientes o conjuntos en lugar de procesadores. Verifique que cada uno publique un DPA (Acuerdo de Procesamiento de Datos) y una lista de subprocesadores, y guarde copias.

Transferencias internacionales. Enviar datos fuera de la UE necesita una salvaguarda: una decisión de adecuación, Cláusulas Contractuales Tipo o, para los destinatarios basados en EE. UU., la certificación bajo el Marco de Privacidad de Datos UE-EE. UU. La mayoría de las herramientas que utiliza son estadounidenses; verifique en qué se basa cada una.

Registros y evaluaciones. Las organizaciones de menos de 250 empleados tienen un deber de mantenimiento de registros reducido, pero las excepciones lo anulan para la mayoría de los productos (procesamiento regular o cualquier dato de categoría especial). Mantenga un registro simple de todos modos; el inventario de datos de la lista de comprobación principal ya cubre gran parte. Se requiere una EIPD (Evaluación de Impacto de Protección de Datos) para el procesamiento de alto riesgo: elaboración de perfiles a gran escala, seguimiento sistemático, datos sensibles a gran escala.

Notificación de brechas. Notifique a su autoridad de control en un plazo de 72 horas desde que tenga conocimiento de una brecha de seguridad de datos personales que suponga un riesgo para las personas, y notifique a las personas afectadas directamente si el riesgo es alto. Decida ahora quién hace esto y cómo se enteraría.

Un DPO (Delegado de Protección de Datos) solo es necesario si usted es un organismo público, o sus actividades principales implican el seguimiento sistemático a gran escala o datos sensibles a gran escala. La mayoría de los productos pequeños no necesitan uno, pero si usted está fuera de la UE y procesa datos de la UE regularmente, es posible que necesite un representante en la UE según el Artículo 27.

Cookies y rastreadores

El almacenamiento y el acceso a dispositivos se rigen por las normas nacionales de privacidad electrónica (ePrivacy) junto con el RGPD. Por lo general, se necesita consentimiento para el seguimiento no exento antes de que comience. El almacenamiento necesario puede estar exento, y algunos países permiten la medición de audiencia configurada de forma restringida sin consentimiento. Una solicitud de fuente remota no es automáticamente una cookie: evalúe la solicitud, los datos personales y la base legal por separado.

Para una implementación compartida simple, bloquee la publicidad opcional y el seguimiento hasta obtener el consentimiento, haga que el rechazo sea tan fácil como la aceptación y proporcione la retirada. Trate esto como una configuración conservadora. No describa todas las configuraciones de análisis como ilegales sin consentimiento: la CNIL explica la excepción limitada de medición de audiencia.

Accesibilidad: el Acta de Accesibilidad Europea

El AAE se ha aplicado a productos y servicios específicos, incluido el comercio electrónico de consumo, desde el 28 de junio de 2025. No cubre automáticamente todos los sitios web. Las microempresas que prestan servicios tienen una exención: menos de diez personas y una facturación anual o un total de balance anual que no exceda los 2 millones de euros, sujeto a la definición de empresa aplicable. Las obligaciones del producto son diferentes.

Evalúe el servicio, la implementación nacional y cualquier exención. Las pruebas WCAG son evidencia técnica útil, no prueba por sí misma de que se cumplan todos los requisitos de información, soporte y funcionales del AAE. Consulte la visión general de accesibilidad de la UE y la definición del tamaño de la empresa.

Si aloja contenido de usuario: la DSA

Clasifique el servicio primero: intermediario, servicio de alojamiento, plataforma en línea o mercado. Los deberes de alojamiento incluyen el manejo de notificaciones de contenido ilegal y proporcionar razones para las restricciones pertinentes. Los deberes de las plataformas y los mercados tienen su propio alcance y exenciones para pequeñas empresas; no asuma que cada cuadro de comentarios activa todas las obligaciones de mercado.

Prepare puntos de contacto, términos de moderación y un proceso de informes basado en registros. Los proveedores extranjeros también pueden necesitar un representante legal en la UE. Verifique los artículos y exenciones pertinentes en la Ley de Servicios Digitales (DSA).

La Ley de IA, en la parte que le afecta

Las obligaciones de transparencia del Artículo 50 comenzaron a aplicarse el 2 de agosto de 2026. Los deberes difieren para los proveedores y los desplegadores, y para los chatbots, el contenido sintético y el texto de interés público. Una divulgación de chatbot no es un sustituto del marcado técnico requerido; a la inversa, usar IA para ayudar a escribir código no requiere automáticamente una etiqueta de IA pública en el sitio web resultante.

Inventaríe lo que hace realmente el producto y si usted proporciona o despliega el sistema pertinente. Verifique las excepciones y disposiciones transitorias frente a la guía del Artículo 50 de la Comisión. No confíe en una reclamación genérica de periodo de gracia. Los usos en empleo, educación, crédito y otros usos consecuentes requieren una revisión de clasificación separada.

Si vende a consumidores de la UE

Antes de pagar, proporcione la información aplicable sobre identidad, producto, precio, entrega y desistimiento. Cuando exista un derecho de desistimiento para un contrato a distancia cubierto concluido a través de una interfaz en línea, debe haber una función de desistimiento en línea disponible durante ese periodo, con confirmación en un soporte duradero. Las medidas nacionales se aplican a partir del 19 de junio de 2026. El derecho tiene excepciones; esto no es una regla que requiera reembolsos para cada compra digital indefinidamente. Consulte la Directiva 2023/2673.

El contenido y los servicios digitales inmediatos tienen condiciones diferentes para comenzar el suministro y perder los derechos de desistimiento; utilice el flujo correcto para lo que vende. Mantenga las etiquetas de pago inequívocas sobre el cobro y no preseleccione extras de pago.

Verifique las divulgaciones de identidad nacionales y las normas de consumo. El IVA depende del suministro, el cliente y el establecimiento, por lo que no aplique una regla de primera venta universal sin verificar el régimen pertinente.

Francia y España: la capa nacional

Francia. Revise la identidad comercial y los avisos legales, los términos de venta al consumidor y el acceso a un mediador de consumo apropiado, incluidos los datos de contacto requeridos. No invente un mediador en una política generada. Consulte la guía oficial de mediación y las obligaciones de comercio electrónico.

España. Evalúe la aplicabilidad de la LSSI y sus requisitos de información al proveedor, incluida la identidad, el contacto y los detalles de registro aplicables. Verifique las opciones de cookies frente a la guía actual de la AEPD. Consulte los artículos 2–4, 10 y 22 de la LSSI y la guía de cookies de la AEPD.

Estas son adiciones específicas para el lanzamiento, no encuestas completas de leyes nacionales. Una traducción al francés no establece el cumplimiento en Quebec, y una traducción al español no establece el cumplimiento en México u otros países de América Latina.

La instrucción específica para la UE

Ejecute esto después de las diez instrucciones en la lista de comprobación principal:

Add European Union compliance mechanics to this app. Implement each item and report exactly what changed:

1. Consent gate: no analytics, advertising, chat widget, embedded video, map or third-party font loads before the user chooses. Accept and Reject equally prominent on the first layer, granular categories behind "Manage preferences", nothing pre-selected, and a permanent footer link to change or withdraw consent. Store each consent with a timestamp and the version of the text shown.
2. Audit and list every request the app makes to a third-party domain on first page load, before any consent. This list must be empty except for strictly necessary requests — tell me which ones remain and why.
3. A privacy notice section covering: legal basis for each processing purpose, retention periods, recipients, whether data leaves the EU and under what safeguard, all user rights including the right to complain to a supervisory authority, and our contact details. Use placeholders like [[LEGAL ENTITY]], [[EU REPRESENTATIVE]], [[RETENTION PERIOD]] for anything you cannot know.
4. Self-service rights: export my data, delete my account, correct my profile, and object to marketing — each in at most two clicks, with a log of requests and their dates.
5. An identity page ("Legal notice") reachable from the footer of every page with placeholders for company name, registered address, email, trade register number and VAT number.
6. If the app has any AI feature: a disclosure at the first point of interaction stating the user is interacting with an AI system, and a note stating which provider processes the input.
7. If the app sells to consumers: total price including taxes shown before checkout, a payment button whose label states that ordering creates a payment obligation, the approved consent and acknowledgement flow for immediate digital-content supply, only where the applicable withdrawal exception permits it, and a "Withdraw from contract" function, including a route for guest buyers that opens a confirmation screen with the contract details, completes in one further click, and sends an email acknowledgement.
8. An accessibility pass against WCAG 2.1 Level AA — report findings by severity before fixing.

For each item report PASS or explain what blocked it. Do not write legal claims you cannot verify from the code.
Copiar prompt

Lista de comprobación previa al lanzamiento — UE

• Nada no esencial se carga antes del consentimiento; rechazar es tan fácil como aceptar; el consentimiento se registra
• El aviso de privacidad establece la base legal, retención, destinatarios, transferencias y derechos
• Funciones de proveedores verificadas y DPA recopilados de procesadores; listas de subprocesadores revisadas; salvaguarda de transferencia identificada para cada herramienta fuera de la UE
• Eliminar, exportar y corregir todo el trabajo de principio a fin
• Página de aviso legal / Impressum con detalles de la entidad, accesible desde cada página
• Accesibilidad auditada según WCAG 2.1 AA (o exención de microempresa confirmada por escrito)
• Funciones de IA reveladas en la primera interacción
• Venta: botón de desistimiento activo, precio con IVA mostrado, etiqueta de botón de obligación de pago, casilla de verificación de consentimiento de contenido digital
• Contenido de usuario: mecanismo de aviso y acción, declaraciones de motivos, punto de contacto
• Un plan escrito para quién notifica a la autoridad dentro de las 72 horas si hay una brecha

Qué establecen las comprobaciones de compilación

Las instrucciones son solicitudes de implementación, no una certificación legal. Los controles de dos clics y los valores predeterminados de consentimiento primero son decisiones de diseño prácticas, no requisitos legales universales. Confirme la jurisdicción, las excepciones, la retención y los contratos de proveedores por separado. Verifique los controles con cuentas de prueba y el comportamiento real del navegador/red; un PASA del constructor basado solo en la inspección del código es evidencia incompleta.

Fuentes oficiales y alcance de la revisión

Actualizado el 14 de septiembre de 2026. Las fuentes enlazadas respaldan el alcance y las correcciones discutidas aquí; esta es una revisión editorial, no una opinión legal exhaustiva ni una certificación de su producto. Verifique la norma vigente al actuar.

• Bases legales del CEPD
• Guía del Artículo 50 de la Comisión

• Visión general de la DSA de la Comisión

Comience con el alcance, luego implemente y pruebe los controles pertinentes. Ejecute la lista de comprobación previa al lanzamiento, luego la instrucción de la UE anterior. ¿Vende también en otros lugares? Compare con Estados Unidos, el Reino Unido, Canadá, Australia, Brasil e Israel. Usted puede construir esto.