Guía de cumplimiento normativo para agencias WordPress en España: RGPD, AEPD, LSSI y NIS2

#Guía de cumplimiento normativo para agencias WordPress en España: RGPD, AEPD, LSSI y NIS2

El panorama legal para los sitios web corporativos y de comercio electrónico en España ha dejado de ser un conjunto de directrices teóricas para convertirse en un marco operativo estricto. En 2026, desarrollar una página web en España utilizando WordPress exige un conocimiento detallado no solo de la tecnología, sino de las leyes nacionales y europeas que regulan la privacidad, el comercio electrónico, la facturación y la ciberseguridad.

Ignorar estas regulaciones expone a las empresas a sanciones de la Agencia Española de Protección de Datos (AEPD), de la Secretaría de Estado de Digitalización e Inteligencia Artificial y de la Agencia Tributaria. Este artículo analiza los requisitos técnicos necesarios para que una instalación de WordPress cumpla con el marco normativo vigente en España, con referencias a los textos consolidados del BOE y a las guías de la AEPD.

#Cómo cumplir el RGPD en WordPress según la AEPD

El RGPD (Reglamento UE 2016/679) es el pilar fundamental que rige el tratamiento de datos personales en la Unión Europea. En España, su aplicación está supervisada de forma muy activa por la AEPD a través de la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD).

#Cómo alojar Google Fonts en local en WordPress

Uno de los errores más comunes en sitios WordPress es la carga de recursos externos en caliente. Cuando un sitio web realiza una petición a un servidor externo (como los servidores de Google para descargar tipografías), la dirección IP del usuario (considerada dato personal bajo el RGPD) se transmite a ese proveedor tercero y, frecuentemente, fuera del territorio de la Unión Europea.

Esa transmisión necesita una base jurídica y, si el servidor está fuera del Espacio Económico Europeo, garantías para la transferencia internacional. Alojar las fuentes en el propio servidor elimina la petición externa y, con ella, ambos problemas. La solución técnica en WordPress es sencilla: todas las fuentes se descargan y se sirven localmente desde el servidor o se integran en el build estático (en el caso de sitios headless basados en Astro).

Para alojar tipografías de forma local en un desarrollo WordPress clásico, se debe:

1. Descargar los archivos de fuentes (.woff2) desde Google Webfonts Helper o recursos similares.
2. Subir las fuentes a la carpeta del tema o del child theme (/assets/fonts/).
3. Definir las reglas @font-face en la hoja de estilos CSS.
4. Desactivar las peticiones externas mediante filtros en functions.php o herramientas de optimización.

@font-face {
  font-family: 'Outfit';
  font-style: normal;
  font-weight: 400;
  font-display: swap;
  src: url('/assets/fonts/outfit-v11-latin-regular.woff2') format('woff2');
}

#Alojamiento en la UE conforme al RGPD

El RGPD exige que el responsable del tratamiento garantice que los datos de los usuarios se almacenen y procesen en infraestructuras que cumplan con la normativa europea. Las transferencias internacionales de datos a países que no cuentan con una decisión de adecuación de la Comisión Europea requieren garantías adicionales (como la firma de Cláusulas Contractuales Tipo, SCC).

En 2026, la soberanía de datos ha impulsado a las agencias a preferir hosting localizable físicamente en la Unión Europea. El uso de plataformas que canalizan el tráfico a través de proxies fuera del territorio europeo sin acuerdos DPA (Data Processing Agreement) firmes representa un riesgo de cumplimiento significativo. Proveedores de CDN y hosting que ofrecen almacenamiento exclusivo en centros de datos europeos son la opción estándar para los desarrollos en producción.

#Qué exige la LSSI a una web WordPress

La LSSI (Ley 34/2002) transpone en España la Directiva de Comercio Electrónico. Regula los servicios ofrecidos por internet cuando constituyen una actividad económica para el prestador del servicio.

#Qué debe incluir el Aviso Legal

Cualquier sitio web que constituya una actividad económica para su titular (venta directa, publicidad, afiliación o captación de leads) debe ofrecer acceso permanente, fácil, directo y gratuito a la información que enumera el artículo 10.1 de la LSSI, habitualmente reunida en la página de Aviso Legal:

• Nombre o denominación social, residencia o domicilio (o un establecimiento permanente en España), dirección de correo electrónico y cualquier otro dato que permita una comunicación directa y efectiva.
• Datos de inscripción en el Registro Mercantil o en el registro público en el que esté inscrito el titular.
• Si la actividad está sujeta a autorización administrativa previa, los datos de esa autorización y del órgano que la supervisa.
• Si se ejerce una profesión regulada, el colegio profesional y el número de colegiado, el título, el Estado en el que se expidió y las normas profesionales aplicables.
• Número de identificación fiscal.
• Si la web muestra precios, información clara y exacta sobre si incluyen impuestos y, en su caso, gastos de envío.
• Los códigos de conducta a los que el titular esté adherido.

La ley no exige un número de teléfono: basta el correo electrónico más cualquier otro canal de contacto directo. El artículo 38 gradúa el incumplimiento. Un incumplimiento significativo de los párrafos a) (identificación y contacto) y f) (precios) del artículo 10.1 es infracción grave (artículo 38.3 b), y no informar sobre los demás datos es infracción leve (artículo 38.4 b). Según el artículo 39, las infracciones graves se sancionan con multa de 30.001 a 150.000 euros y las leves con multa de hasta 30.000 euros. En WordPress, el sitio natural para estos datos es una página enlazada desde el pie de página de todas las plantillas, incluido el checkout de WooCommerce.

#Gestión de cookies y el banner de consentimiento

El artículo 22.2 de la LSSI permite usar dispositivos de almacenamiento y recuperación de datos en el equipo del usuario solo si este ha dado su consentimiento después de recibir información clara y completa sobre su uso y su finalidad. La Guía sobre el uso de las cookies de la AEPD, actualizada en mayo de 2024, concreta cómo debe funcionar el banner (CMP, Consent Management Platform):

• Equivalencia de botones: la opción de rechazar debe ofrecerse al mismo tiempo, al mismo nivel y con la misma visibilidad que la de aceptar, sin remitir al usuario a otra capa para rechazar. No se permite destacar el botón de aceptación con colores llamativos mientras se oculta la opción de rechazo bajo un enlace de texto poco legible.
• Categorización: el usuario debe poder aceptar o rechazar las cookies por finalidades (analíticas, publicitarias, de preferencias). Las cookies técnicas necesarias para prestar el servicio solicitado (como mantener los artículos en el carrito o recordar el idioma) están exceptuadas del consentimiento.
• Consentimiento activo: la guía recoge el criterio del Comité Europeo de Protección de Datos según el cual seguir navegando no es una forma válida de prestar el consentimiento, y añade que la mera inactividad del usuario tampoco lo es. Los scripts de tracking deben estar completamente inactivos hasta que el usuario pulse “Aceptar”.

#Qué analítica web puede funcionar sin consentimiento según la AEPD

La guía general de la AEPD recuerda que las cookies de análisis no están exentas del deber de consentimiento. La excepción figura en otra guía, Uso de cookies para herramientas de medición de audiencia (enero de 2024), que la admite solo si se cumplen todas estas condiciones:

• La finalidad se limita a medir la audiencia del propio sitio, en nombre exclusivo del editor, y el resultado son datos estadísticos anónimos.
• Los datos no se cruzan con otros tratamientos ni se transmiten a terceros, y no permiten seguir a la persona entre distintos sitios o aplicaciones.
• La vida útil de las cookies se limita a un periodo que permita comparar audiencias (la guía pone como ejemplo trece meses), sin prorrogarse en cada visita, y los datos se conservan como máximo veinticinco meses.
• El usuario es informado, por ejemplo, en la política de privacidad.
• Si la medición la presta un proveedor externo, hay un contrato conforme al artículo 28 del RGPD que le prohíbe reutilizar los datos.

La guía enumera además las mediciones que considera estrictamente necesarias: audiencia por página, páginas de referencia, tipo de dispositivo y navegador, tiempos de carga, tiempo en la página, acciones del usuario y zona geográfica, siempre de forma agregada. Una configuración que comparte los datos con plataformas publicitarias queda fuera de la exención. Una herramienta autoalojada, configurada para no cruzar ni ceder datos, puede encajar en ella.

#Qué multa impone la AEPD por cookies sin consentimiento

Usar cookies no exceptuadas sin informar o sin obtener el consentimiento en los términos del artículo 22.2 es una infracción leve según el artículo 38.4 g) de la LSSI, sancionable con multa de hasta 30.000 euros (artículo 39.1 c). Si se reincide y así lo declara una resolución firme dictada en los tres años anteriores, la infracción pasa a ser grave (artículo 38.3 i), con multa de 30.001 a 150.000 euros. La mayoría de las infracciones de la LSSI las sanciona la Secretaría de Estado de Digitalización e Inteligencia Artificial, pero el artículo 43.1 atribuye a la AEPD las de cookies, las de comunicaciones comerciales por correo electrónico y las relativas a la revocación del consentimiento.

Para fijar la cuantía, el artículo 40 tiene en cuenta, entre otros criterios, la intencionalidad, el tiempo durante el que se cometió la infracción, los beneficios obtenidos, el volumen de facturación afectado y la adopción de medidas para mitigar o reparar el daño. Corregir el banner en cuanto se detecta el fallo y documentar la corrección es, por tanto, un factor que la propia ley tiene en cuenta.

#Cómo hacer formularios RGPD en WordPress

La captación de leads a través de formularios de contacto, suscripciones a boletines informativos o solicitudes de presupuesto es un punto crítico bajo la fiscalización de la AEPD. WordPress, al depender en gran medida de plugins de formularios (como Contact Form 7, Gravity Forms o Formidable Forms), requiere una configuración minuciosa para evitar brechas legales:

#Casilla de consentimiento en el formulario de contacto

Cada formulario de contacto que recoja datos personales (como nombre, correo electrónico o teléfono) debe incluir una casilla de verificación no marcada por defecto (checkbox) mediante la cual el usuario acepte explícitamente la política de privacidad del sitio.

• No se permiten casillas pre-marcadas.
• El envío del formulario debe estar bloqueado hasta que el usuario marque activamente la casilla.
• El texto junto a la casilla debe enlazar de forma clara y accesible a la página de Política de Privacidad.

#Qué debe incluir la primera capa de información de privacidad

La AEPD exige que, inmediatamente debajo del botón de envío del formulario, se muestre una “primera capa” informativa simplificada sobre el tratamiento de los datos. Esta información debe incluir de manera clara y directa:

• Responsable: Nombre del titular del sitio o empresa.
• Finalidad: Para qué se recogen los datos (ej. responder consultas, enviar ofertas comerciales).
• Legitimación: La base jurídica del tratamiento (habitualmente el consentimiento del interesado).
• Destinatarios: Si los datos se cederán a terceros (ej. herramientas de email marketing como Brevo o Mailchimp).
• Derechos: Cómo el usuario puede ejercer sus derechos de acceso, rectificación, supresión y oposición (ej. mediante un correo electrónico a un buzón dedicado).

#Cómo registrar los consentimientos de formularios en WordPress

Para cumplir con el principio de responsabilidad proactiva (accountability) del RGPD, la empresa debe ser capaz de demostrar que un usuario concreto aceptó la política de privacidad en una fecha y hora específicas. En WordPress, esto se logra configurando el plugin de formularios para que almacene en la base de datos la dirección IP (anonimizada parcialmente si es posible), la marca de tiempo (timestamp) y el estado del consentimiento de la casilla marcada en cada envío de formulario.

#Accesibilidad web obligatoria en WordPress con la EAA

La Directiva (UE) 2019/882, conocida como European Accessibility Act (EAA), se transpuso en España mediante el título I de la Ley 11/2023, de 8 de mayo. Exige que determinados productos y servicios, entre ellos los servicios de comercio electrónico (también los construidos con WooCommerce) y los servicios bancarios, de transporte o de comunicaciones electrónicas, sean accesibles para las personas con discapacidad.

#Desde cuándo es obligatoria la accesibilidad de una tienda online en España

Según la disposición final decimoctava de la Ley 11/2023, el título I entró en vigor el 28 de junio de 2025. Desde esa fecha, los servicios incluidos en su ámbito deben cumplir los requisitos de accesibilidad. El artículo 3.3 exime a las microempresas que presten servicios, y la propia ley define microempresa como la que emplea a menos de 10 personas y cuyo volumen de negocios anual o cuyo balance anual total no supera los 2 millones de euros. Una agencia que trabaja para varios comercios tiene que comprobar la exención cliente por cliente, porque cuenta el tamaño del titular de la tienda, no el de la agencia.

#Criterios WCAG 2.2 de nivel AA para WordPress

El criterio práctico para auditar una web es el nivel AA de las Directrices de Accesibilidad para el Contenido Web (WCAG). El W3C explica en la especificación de WCAG 2.2 que esta versión amplía WCAG 2.1 añadiendo criterios, de modo que un sitio conforme con 2.2 también es conforme con 2.1, y recomienda adoptar 2.2 como objetivo aunque las obligaciones formales mencionen versiones anteriores. Esto obliga a las agencias a auditar y optimizar las plantillas y bloques de WordPress bajo criterios estrictos:

• Navegación por teclado: Todo el sitio web, incluidos los menús desplegables y el proceso de checkout de WooCommerce, debe ser navegable utilizando únicamente el teclado (tecla Tab). Los estados de enfoque (focus states) deben ser claramente visibles.
• Lectores de pantalla: Las imágenes deben contener atributos alt descriptivos y los elementos interactivos (botones, enlaces) deben incorporar etiquetas aria-label descriptivas si su contenido de texto no es explícito.
• Contraste de color: El texto del sitio debe mantener una relación de contraste mínima de 4.5:1 respecto al fondo (y 3:1 para textos grandes).

#Por qué los plugins de accesibilidad overlay no resuelven la EAA

Muchas agencias intentan solucionar la accesibilidad instalando plugins de superposición (overlays) que prometen hacer la web accesible de forma automática mediante un botón flotante. Un overlay modifica la página en el navegador después de cargarla, pero no cambia las plantillas, los bloques ni el HTML que genera WordPress, que es donde se comprueban los criterios WCAG. La accesibilidad debe resolverse de forma nativa a nivel de código HTML semántico, no mediante parches de JavaScript.

#Cómo afecta NIS2 a una agencia WordPress en España

La directiva europea NIS2, Directiva (UE) 2022/2555, busca elevar el nivel común de ciberseguridad en toda la Unión Europea. Amplía notablemente el número de sectores regulados y divide a las empresas afectadas en entidades esenciales e importantes. Su artículo 41 fijaba el 17 de octubre de 2024 como fecha límite para que los Estados miembros adoptaran y publicaran las normas de transposición.

#Estado de la transposición de NIS2 en España

A 14 de octubre de 2026, la base de legislación consolidada del BOE no recoge ninguna norma española que transponga NIS2. El marco vigente sigue siendo el Real Decreto-ley 12/2018, de seguridad de las redes y sistemas de información, que transpuso la primera directiva NIS y está desarrollado por el Real Decreto 43/2021. Su artículo 19 impone la obligación de notificar incidentes a los operadores de servicios esenciales y a los proveedores de servicios digitales, que lo hacen a través de su CSIRT de referencia. El artículo 11 asigna al INCIBE-CERT las entidades que no pertenecen al sector público definido en la Ley 40/2015. Salvo que la propia agencia sea operador de servicios esenciales o proveedor de servicios digitales en el sentido de esa norma, la obligación de notificar no recae sobre ella. Lo que sí le llega son las exigencias contractuales de sus clientes regulados.

#Requisitos de NIS2 para agencias WordPress en la cadena de suministro

Una de las novedades más relevantes de NIS2 es el enfoque en la ciberseguridad de la cadena de suministro. El artículo 21.2 incluye entre las medidas mínimas de gestión de riesgos la seguridad de la cadena de suministro, con los aspectos de seguridad de la relación entre cada entidad y sus proveedores directos (letra d), y el uso de autenticación multifactor cuando proceda (letra j). El artículo 21.3 pide además a las entidades que valoren las vulnerabilidades de cada proveedor y la calidad de sus prácticas de ciberseguridad, incluidos sus procedimientos de desarrollo seguro.

Si tu agencia desarrolla, aloja o gestiona el mantenimiento de un sitio WordPress para una entidad regulada, es razonable esperar que el cliente traslade estas medidas al contrato:

• Control de accesos y MFA: Implementación de autenticación de doble factor para todas las cuentas de administrador del CMS y de los paneles de control del servidor.
• Runbook de incidentes: Protocolo documentado para avisar al cliente sin demora, de modo que este pueda cumplir sus propios plazos. El artículo 23.4 de NIS2 exige a la entidad regulada una alerta temprana en 24 horas desde que tiene conocimiento de un incidente significativo, una notificación en 72 horas y un informe final como máximo un mes después de la notificación.
• Auditoría de dependencias: Análisis regular de los plugins de WordPress utilizados en producción para evitar ataques de cadena de suministro (como la introducción de backdoors en actualizaciones de complementos populares).

#Cómo adaptar WooCommerce a VeriFactu

El Real Decreto 1007/2023 aprueba el reglamento que establece los requisitos de los sistemas informáticos de facturación, conocido como reglamento VeriFactu. Su artículo 8 exige que estos sistemas garanticen la integridad, conservación, accesibilidad, legibilidad, trazabilidad e inalterabilidad de los registros de facturación.

#Requisitos técnicos para WooCommerce

Para los comercios electrónicos basados en WooCommerce que venden en el mercado español, la emisión de facturas debe alinearse con el reglamento:

• Código QR: la factura incorpora un código QR cuyos datos el receptor puede remitir voluntariamente a la Agencia Tributaria (artículo 17).
• Integridad del registro: los registros no pueden alterarse sin que el sistema lo detecte y avise. Cualquier corrección o anulación se hace mediante al menos un registro de facturación adicional posterior, de forma que los datos originales se conservan (artículo 8.2 a). Los registros van encadenados para que pueda seguirse su secuencia desde el primero hasta el último (artículo 8.2 b).
• Dos modalidades: el sistema puede remitir todos los registros a la AEAT de forma automática e instantánea, y entonces se considera “Sistema VERIFACTU” y se presume que cumple por diseño (artículo 16). Si no los remite, debe firmar electrónicamente los registros (el artículo 16.3 exime de esa firma solo a los sistemas VERIFACTU).
• Declaración responsable: el productor del software certifica que su sistema cumple el reglamento mediante una declaración responsable visible en cada versión (artículo 13). El reglamento no prevé una homologación del software por parte de Hacienda.

Las agencias de desarrollo WordPress deben evitar los plugins genéricos que almacenan registros modificables y optar por integrar WooCommerce mediante APIs con ERPs o software de facturación cuyo productor aporte esa declaración responsable.

#Plazos de VeriFactu para tiendas WooCommerce

La disposición final cuarta del Real Decreto 1007/2023, en la redacción dada por el Real Decreto-ley 15/2025, de 2 de diciembre, fija estos plazos:

• Contribuyentes del Impuesto sobre Sociedades: sistemas adaptados antes del 1 de enero de 2027.
• Resto de obligados del artículo 3.1 (contribuyentes del IRPF con actividades económicas, no residentes con establecimiento permanente y entidades en régimen de atribución de rentas): sistemas operativos antes del 1 de julio de 2027.
• Productores y comercializadores de software: productos adaptados en un máximo de nueve meses desde la entrada en vigor de la orden ministerial de desarrollo.

El artículo 3.3 excluye a los contribuyentes que llevan los libros registro en los términos del artículo 62.6 del Reglamento del IVA, es decir, a través del Suministro Inmediato de Información (SII). Para el resto, el sistema de facturación tiene que estar adaptado en esas fechas, y en muchas tiendas pequeñas WooCommerce es precisamente el punto donde se genera la factura.

#Checklist de cumplimiento legal para WordPress en España

A continuación se detalla una lista de verificación técnica de los elementos clave que deben configurarse en cualquier instalación de WordPress en el mercado español para asegurar el cumplimiento normativo integral en 2026:

graph TD
    A[Cumplimiento Normativo en España] --> B[Privacidad & RGPD]
    A --> C[Obligaciones Formales & LSSI]
    A --> D[Seguridad & NIS2]
    A --> E[Facturación & VeriFactu]

    B --> B1["Alojamiento local de Google Fonts"]
    B --> B2["Servidores con DPA en territorio de la UE"]
    B --> B3["Bloqueo previo de scripts de tracking"]

    C --> C1["Aviso Legal, Privacidad y Cookies visibles"]
    C --> C2["Banner de cookies con botones equivalentes"]
    C --> C3["Consentimiento explícito e informado"]

    D --> D1["Doble factor (MFA) para administradores"]
    D --> D2["Registro de eventos y logs del sistema"]
    D --> D3["Auditoría automática de plugins instalados"]

    E --> E1["Emisión de facturas no modificables"]
    E --> E2["Software con declaración responsable VeriFactu"]
    E --> E3["IGIC en Canarias e IPSI en Ceuta y Melilla"]

#Lista de comprobación de la configuración de WordPress y WooCommerce

• Fuentes locales: Eliminar cualquier llamada a fonts.googleapis.com o fonts.gstatic.com.
• Exclusión de CDN externo: Asegurar que las imágenes y los recursos estáticos se sirvan desde dominios bajo el control de la UE.
• Políticas actualizadas: Enlaces accesibles desde el pie de página a la Política de Privacidad, el Aviso Legal y la Política de Cookies.
• Banner de cookies conforme: Configurar la herramienta elegida (como Cookiebot, Complianz o un desarrollo propio ligero en Cloudflare Workers) según la guía de cookies de la AEPD, con el botón de rechazo en la primera capa.
• Seguridad en WordPress:
  • Limitar los intentos de acceso incorrectos (mediante plugins de seguridad o a nivel de proxy de Cloudflare).
  • Cambiar el prefijo por defecto de la base de datos de WordPress (wp_) durante la instalación.
  • Implementar un plugin de auditoría de actividad para registrar acciones críticas de los administradores.
• WooCommerce:
  • Configurar las zonas de envío y cálculo de impuestos para Canarias (IGIC), Ceuta y Melilla (IPSI).
  • Habilitar campos específicos para el NIF/CIF en el formulario de facturación del checkout.
  • Conectar el checkout con pasarelas de pago que apliquen la autenticación reforzada de cliente exigida por la PSD2 (3D Secure 2 en los pagos con tarjeta).

#Conclusión

El cumplimiento normativo de un sitio web corporativo o tienda electrónica en España ya no es una simple revisión de textos legales que se pueda resolver con plantillas predefinidas. En el año 2026, la legalidad está intrínsecamente ligada al diseño y arquitectura técnica de la plataforma.

Las agencias de desarrollo web que adoptan un enfoque proactivo de seguridad por diseño y privacidad por defecto no solo mitigan riesgos legales significativos para sus clientes, sino que adquieren una ventaja comercial competitiva decisiva para captar los proyectos de mayor escala y valor en el mercado ibérico.

#Cómo evitar sanciones de la AEPD en WordPress

El cumplimiento legal en el ecosistema digital español exige una vigilancia técnica proactiva:

• Gestión de transferencias internacionales de datos: Tras las sucesivas resoluciones judiciales europeas sobre el flujo transatlántico de información, los administradores deben garantizar que los proveedores de alojamiento, análisis y automatización no transfieran datos a jurisdicciones sin garantías adecuadas sin el consentimiento expreso del usuario.
• Registro de actividades de tratamiento (RAT) en WordPress: Toda empresa debe documentar minuciosamente los formularios de contacto, bases de datos de clientes de WooCommerce y registros de acceso de usuarios registrados. Integrar estas políticas directamente en la documentación técnica del proyecto proporciona tranquilidad legal ante posibles inspecciones de la Agencia Española de Protección de Datos. El rigor jurídico protege el valor patrimonial del negocio.

#Copias de seguridad y formación en RGPD para equipos WordPress

La adopción de buenas prácticas de ciberseguridad minimiza los riesgos legales y operativos en el entorno web:

• Actualizaciones controladas y copias de seguridad inmutables: Implementar sistemas automatizados de respaldo en centros de datos ubicados en territorio europeo garantiza la recuperación inmediata ante incidentes de ransomware o fallos de hardware.
• Capacitación del equipo editorial: Formar a los redactores en la gestión adecuada de imágenes, permisos de autor y tratamiento responsable de datos personales consolida una cultura corporativa de cumplimiento normativo ejemplar y duradero.