La Oficina de Promoción de la Sociedad de la Información (ISPO) de la Comisión Europea define el comercio electrónico como «cualquier forma de transacción comercial de bienes y servicios en la cual las partes interactúan de forma electrónica, en lugar de hacerlo a través de intercambios físicos».
Asimismo, el e-commerce comprende actividades muy diversas, como el comercio electrónico de bienes y servicios, suministro en línea de contenidos digitales, transferencia electrónica de fondos, compraventa electrónica de acciones, conocimientos de embarque electrónicos, subastas, diseños y proyectos conjuntos, prestación de servicios en línea, contratación pública, comercialización directa al consumidory servicios de posventa.
Dicha diversidad implica que el desarrollo de una actividad de comercio electrónico no pueda limitarse a la mera incorporación de productos o servicios en una plataforma digital y a la activación del proceso de contratación. Exige, además, dotar dicha actividad de una adecuada cobertura jurídica y asegurar el cumplimiento de las obligaciones legales que resulten aplicables en cada caso.
En este contexto, el Checklist legal para e-commerce se configura como una herramienta imprescindible de verificación que permite identificar, y revisar los principales requisitos legales aplicables a una actividad de comercio electrónico. Su utilidad radica, precisamente, en prevenir errores recurrentes como textos legales incompletos, contratación electrónica mal documentada, cookies sin consentimiento válido, y comunicaciones comerciales sin base jurídica, entre otros.
1) El deber de información general (LSSI-CE)
El artículo 10 de la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (en adelante, LSSI-CE) establece el primer bloque del Checklist legal para e-commerce. En efecto, en base a este precepto, el prestador de servicios de la sociedad de la información debe de poner a disposición de los usuarios y de los órganos competentes determinados medios electrónicos que permitan acceder, de forma permanente, sencilla, directa y gratuita, a la información esencial sobre el propio prestador. Esta información incluye:
- Aviso legal visible desde cualquier página: enlace permanente en el footer y en el menú principal.
- Identidad del titular: nombre o denominación social y domicilio completo.
- Medios de contacto directos y efectivos: correo electrónico operativo y, si procede, teléfono de atención; y debe comprobarse su funcionamiento.
- Datos registrales y fiscales: NIF/CIF y datos de inscripción registral cuando proceda; datos de colegiación en actividades reguladas.
- Información de precios: precio total con impuestos incluidos y desglose de gastos adicionales antes de finalizar la compra.
- Coherencia documental: coincidencia entre los datos del aviso legal, la factura y la pasarela de pago; si el titular real difiere del sujeto que factura, debe constar y justificarse expresamente.
2) La contratación electrónica (LSSI-CE)
La contratación electrónica constituye uno de los elementos centrales de cualquier e-commerce. Así pues, la LSSI-CE reconoce expresamente la validez y eficacia de los contratos celebrados por vía electrónica, sin que sea necesario que consten adicionalmente en soporte papel. No obstante, el hecho de que el contrato se celebre electrónicamente no elimina la necesidad de cumplir determinados requisitos formales.
En este sentido, esta materia exige revisar especialmente dos momentos: la información previa a la contratación electrónica, regulada en el artículo 27 LSSI-CE, y la información posterior o confirmación de la contratación electrónica, prevista en el artículo 28 LSSI-CE.
Por una parte, antes de iniciar el procedimiento de contratación, el prestador de servicios debe poner a disposición del usuario de forma permanente, fácil y gratuita la siguiente información clara, comprensible e inequívoca sobre:
- Las condiciones generales de contratación que, en su caso, rijan el contrato.
- Los trámites o pasos que debe seguir para celebrar el contrato.
- Si va a archivar el documento electrónico del contrato y si va a ser accesible.
- Los medios técnicos que pone a su disposición para identificar y corregir los errores en la introducción de los datos antes de confirmarlos.
- La lengua o lenguas en las que puede formalizarse el contrato.
- Por otra parte, después de haberse celebrado el contrato, el prestador está sujeto a confirmar la recepción de la aceptación por alguno de los siguientes medios:
- Por medio de un acuse de recibo por correo electrónico u otro medio de comunicación electrónica equivalente a la dirección que el contratante haya señalado, en el plazo de las 24 horas siguientes a la recepción de dicha comunicación electrónica.
- Por medio de un medio equivalente al que se haya utilizado en el procedimiento de contratación.
3) Términos y condiciones (T&C)
Los términos y condiciones (en adelante, T&C) constituyen el marco contractual aplicable a la relación jurídica entre el titular del e-commerce y el cliente. Por consiguiente, el Checklist legal para el comercio electrónico debe incluir necesariamente la verificación de que su contenido está correctamente estructurado, es comprensible, resulta accesible antes de la contratación y refleja fielmente la operativa real de la tienda online.
En particular, la revisión de los T&C deberá centrarse en comprobar los siguientes aspectos:
- Objeto del contrato, ámbito de aplicación, tipología de cliente a la que se dirige la plataforma —B2C, B2B o ambas—, ámbito territorial e idioma contractual.
- Procedimiento de contratación, incluyendo el registro de usuarios, selección de productos o servicios, proceso de pedido, revisión previa, confirmación de la compra, mecanismos de corrección de errores y momento de perfección del contrato.
- Precio final, impuestos aplicables, gastos adicionales, descuentos, cupones, promociones y cualesquiera condiciones o limitaciones asociadas.
- Medios de pago aceptados, seguridad de las transacciones y, cuando proceda, mecanismos de autenticación reforzada.
- Condiciones de entrega o prestación del servicio, plazos, costes de envío, transportistas, incidencias logísticas, entregas parciales, recogidas y ventas internacionales.
- Régimen de desistimiento, devoluciones, cambios, reembolsos y condiciones aplicables al estado del producto devuelto.
- Canales de atención al cliente y procedimientos de gestión de incidencias, quejas y reclamaciones.
- Condiciones de uso del sitio web, derechos de propiedad intelectual e industrial, contenidos, signos distintivos y limitaciones de uso.
- Limitaciones de responsabilidad, supuestos de fuerza mayor y exclusiones de responsabilidad, evitando cláusulas abusivas o desequilibradas en relaciones con consumidores y usuarios.
- Duración, cancelación, renovación automática o compromisos de permanencia, especialmente en servicios digitales, membresías o suscripciones.
- Ley aplicable, jurisdicción competente y mecanismos de resolución extrajudicial de conflictos, con especial cautela en contratos celebrados con consumidores y usuarios.
La finalidad de esta revisión no es reiterar las obligaciones legales ya analizadas en los apartados anteriores, sino comprobar que los T&C las integran correctamente en un documento contractual único.
Finalmente, cabe mencionar que, si bien no existe una base legal única que contenga una lista exhaustiva del contenido esencial de los T&C de un e-commerce, dicho contenido se desprende de la normativa general sobre la formación contractual, contratación electrónica y protección de consumidores y usuarios.
4) Derechos del consumidor (B2C)
Siempre que el e-commerce se dirija a consumidores o usuarios (B2C), más allá del cumplimiento de las obligaciones propias de la contratación electrónica, deberá observar las exigencias específicas previstas en la normativa de defensa de consumidores y usuarios, a saber, el Texto Refundido de la Ley General para la Defensa de los Consumidores y Usuarios (en adelante, TRLGDCU).
En este ámbito, la revisión legal deberá centrarse en verificar que, antes de que el consumidor quedejurídicamente vinculado por el contrato, se le facilita de forma clara, comprensible y suficiente la información esencial sobre la operación, incluyendo especialmente:
- Las características principales del producto, servicio o contenido digital.
- La identidad del empresario y sus datos de contacto.
- El precio total, incluidos impuestos, tasas y, en su caso, gastos adicionales.
- Los procedimientos de pago, entrega y ejecución.
- La fecha o plazo de entrega de los bienes o de ejecución del servicio.
- La existencia del derecho de desistimiento, sus condiciones, plazo y procedimiento de ejercicio.
- El formulario o instrucciones para ejercer el derecho de desistimiento, cuando proceda.
- La política de devoluciones y las condiciones de reembolso.
- La garantía legal de conformidad y, en su caso, servicios posventa o garantías comerciales.
- Las excepciones al derecho de desistimiento, cuando resulten aplicables.
- La duración del contrato y las condiciones de cancelación, permanencia, prórroga o renovación, especialmente en servicios digitales o suscripciones.
Estos requisitos encuentran su base legal, entre otros, en los artículos 60, 66 bis, 97, 98 y 102 a 108 del TRLGDCU, sin perjuicio de las obligaciones de contratación electrónica previstas en la LSSI, ya analizadas en el apartado anterior.
5) Protección de datos personales y privacidad (RGPD)
En un entorno eminentemente digital como el e-commerce, la protección de los datos personales de clientes y usuarios constituye un elemento esencial de cumplimiento normativo.
En consecuencia, el e-commerce debe garantizar que la recogida y el tratamiento de los datos personales derivados de la compra, el registro de usuarios, los formularios de contacto, la atención al cliente, y otros procesos similares cumplen con el Reglamento General de Protección de Datos (en adelante, RGPD) y la Ley Orgánica de Protección de Datos Personales y Garantía de los derechos digitales (en adelante, LOPDGDD).
En particular, el Checklist legal deberá revisar:
- Existencia de una política de privacidad clara, actualizada, accesible y redactada en lenguaje comprensible.
- Identificación del responsable del tratamiento y, en su caso, del delegado de protección de datos o punto de contacto en materia de privacidad.
- Determinación de las finalidades concretas del tratamiento asociadas a cada proceso.
- Identificación de la base jurídica aplicable a cada tratamiento.
- Inclusión de información básica de protección de datos en los formularios de recogida de datos, mediante un sistema de información por capas que remita a la política de privacidad completa.
- Obtención de consentimientos válidos, específicos, informados e inequívocos cuando sean necesarios, evitando casillas premarcadas y permitiendo su retirada de forma sencilla.
- Revisión de que no se solicitan datos excesivos o innecesarios para la finalidad correspondiente, conforme al principio de minimización de datos.
- Definición de plazos de conservación adecuados y diferenciados según la finalidad del tratamiento.
- Existencia de contratos de encargo del tratamiento con proveedores que accedan a datos personales.
- Revisión de posibles transferencias internacionales de datos derivadas del uso de proveedores o herramientas ubicadas fuera del Espacio Económico Europeo.
- Existencia y actualización del registro de actividades de tratamiento, cuando resulte exigible.
- Implementación de medidas de seguridad apropiadas al riesgo, como control de accesos, copias de seguridad, cifrado o autenticación multifactor cuando proceda.
- Procedimiento interno para atender el ejercicio de derechos de los usuarios.
- Protocolo de gestión, documentación y notificación de brechas de seguridad.
La base normativa principal de dichos requisitos se encuentra en los artículos 5, 6, 12, 13, 15 a 22, 28, 30, 32, 33 y 34 del RGPD, así como en la LOPDGDD.
6) Cookies y tecnologías similares
Las cookies son herramientas fundamentales para ofrecer numerosos servicios de la sociedad de la información: además de mejorar la experiencia de navegación del usuario, permiten personalizar la publicidad en función de los hábitos de navegación y concentran una gran parte de la inversión publicitaria digital.
Precisamente por ello, la gestión de cookies debe entenderse como una parte esencial del diseño jurídico y técnico del e-commerce, y no como un elemento accesorio de la página web. En este sentido, el Checklist legal para e-commerce debe verificar que el uso de cookies y tecnologías similares se ajusta a las exigencias de transparencia, consentimiento previo y capacidad real de elección por parte del usuario.
Sobre esta base, el análisis de cumplimiento en materia de cookies y tecnologías similares debería prestar especial atención a los siguientes aspectos:
- Banner o panel de configuración con opciones reales y equilibradas: aceptar, rechazar y configurar preferencias, evitando patrones de diseño que dificulten o desincentiven el rechazo.
- Bloqueo previo de cookies no necesarias antes de la obtención del consentimiento válido del usuario.
- Política de cookies completa, clara y actualizada, identificando: tipos de cookies utilizadas, finalidad específica, plazo de conservación, titularidad, transferencias internacionales, cuando existan y procedimiento para revocar el consentimiento.
- Existencia de un sistema de gestión y prueba del consentimiento que permita acreditar: fecha y alcance del consentimiento, preferencias seleccionadas y retirada posterior del consentimiento de forma tan sencilla como su otorgamiento.
- Revisión periódica del ecosistema de cookies y tecnologías de seguimiento.
- Verificación específica de integraciones de terceros especialmente intrusivas o de riesgo elevado, tales como Google Analytics 4, Meta Pixel, entre otros.
La base normativa principal se encuentra en el artículo 22.2 de la LSSI-CE, interpretado conforme al RGPD, la LOPDGDD y los criterios de la Agencia Española de Protección de Datos (AEPD) y del Comité Europeo de Protección de Datos (CEPD).
7) Comunicaciones comerciales y marketing digital
Las comunicaciones comerciales constituyen uno de los ámbitos de mayor riesgo en la operativa diaria de un e-commerce, especialmente cuando se utilizan canales como el correo electrónico, SMS, newsletters, campañas de remarketing o automatizaciones vinculadas al comportamiento del usuario.
Los artículos 19 a 22 de la LSSI-CE regulan el régimen aplicable a las comunicaciones comerciales por vía electrónica, sin perjuicio de la aplicación concurrente del RGPD y de la LOPDGDD cuando dichas comunicaciones impliquen tratamiento de datos personales. En particular, el artículo 21 de la LSSI-CE prohíbe, con carácter general, el envío de comunicaciones publicitarias o promocionales por correo electrónico u otros medios de comunicación electrónica equivalentes cuando no hayan sido previamente solicitadas o expresamente autorizadas por el destinatario.
En consecuencia, el Checklist legal para e-commerce debe verificar que las acciones de marketing digital cuentan con una habilitación legal suficiente o, en su caso, con un consentimiento válido, específico y verificable, así como que permiten al usuario oponerse o darse de baja de forma sencilla en cualquier momento.
En particular, la revisión debería centrarse en los siguientes aspectos:
- Existencia de consentimiento válido, verificable y documentado para el envío de newsletters o comunicaciones comerciales, siendo recomendable el uso de sistemas de doble opt-in.
- Inclusión de un mecanismo de baja sencillo, gratuito y funcional en cada comunicación comercial.
- Identificación clara del carácter comercial o promocional de la comunicación.
- Revisión de campañas de segmentación, remarketing y publicidad comportamental desde la perspectiva del RGPD y de la normativa sobre cookies.
- Existencia de bases legales claras en promociones, concursos o sorteos, incluyendo condiciones de participación, premios, plazos, limitaciones y tratamiento de datos personales.
- Revisión específica de comunicaciones automatizadas, como recordatorios de carritos abandonados, para verificar su base jurídica, configuración prudente y coherencia con la política de cookies y de marketing.
8) Seguridad y gestión interna
Más allá de los textos legales visibles en la web, un e-commerce debe contar con una mínima estructura interna que permita acreditar el cumplimiento normativo, garantizar la seguridad de la información y gestionar adecuadamente las incidencias derivadas de la operativa diaria.
Más concretamente, el Checklist legal debería revisar los siguientes aspectos:
- Existencia de copias de seguridad y medidas básicas de continuidad del servicio.
- Registro interno de incidencias relacionadas con pagos, envíos, reclamaciones, devoluciones, accesos indebidos o brechas de seguridad.
- Trazabilidad de la aceptación de los T&C, mediante casillas no premarcadas, registro de fecha, versión aceptada y evidencia técnica del proceso de contratación.
- Control de accesos internos, verificando qué perfiles pueden acceder a pedidos, datos de clientes, facturación, exportaciones o herramientas de marketing.
- Formación mínima del equipo, especialmente en atención al cliente, gestión de reclamaciones, protección de datos y marketing digital.
La base normativa principal se encuentra en los artículos 5.2, 24, 25, 32, 33 y 34 del RGPD, así como en los artículos 27 y 28 de la LSSI-CE en materia de contratación electrónica, sin perjuicio de la posible relevancia de la normativa sobre servicios electrónicos de confianza cuando se utilicen sistemas específicos de evidencia o firma electrónica.
9) Marketplace o plataforma: especial atención al Reglamento de Servicios Digitales
Finalmente, cabe mencionar que cuando el modelo de negocio permita a terceros vender o publicar ofertas a través de la plataforma, el Checklist legal para e-commerce deberá incluir obligaciones adicionales derivadas del Reglamento de Servicios Digitales (DSA).
En particular, cuando el e-commerce opere como marketplace o plataforma, la revisión debería centrarse en:
- Identificación clara de los terceros vendedores o prestadores que ofrecen productos o servicios a través de la plataforma.
- Información transparente sobre el funcionamiento de la plataforma, condiciones de publicación de ofertas y criterios básicos de ordenación o recomendación de contenidos.
- Existencia de mecanismos de notificación y actuación frente a contenidos, productos u ofertas ilícitas.
- Revisión de obligaciones específicas de trazabilidad de comerciantes, cuando resulten aplicables.
