Pocas cosas generan tantas dudas en el email marketing como la parte legal. ¿Hace falta pedir permiso a los clientes? ¿Se puede escribir a una dirección de empresa? ¿Qué ocurre con una lista heredada de hace años? Las respuestas dependen del país, del tipo de destinatario y de la relación previa con él.
Aun así, el fondo es bastante sencillo: escribir solo a quien tiene motivos para recibir los correos, dejar claro quién los envía, poder demostrar de dónde sale cada dirección y facilitar la baja sin trabas.
Este artículo repasa esas reglas con un enfoque práctico y centrado en España, donde el RGPD convive con la LSSI. Al final se resumen también las diferencias más importantes en el Reino Unido, Estados Unidos, Canadá y Latinoamérica.
Este artículo tiene carácter informativo y no sustituye al asesoramiento jurídico. Ante un caso concreto, conviene consultar a un profesional o a la Agencia Española de Protección de Datos (AEPD).
Puntos clave
- En España, el email marketing se rige por dos normas a la vez: el RGPD, que protege los datos personales, y la LSSI, que regula el envío de comunicaciones comerciales por medios electrónicos.
- Por regla general, enviar publicidad por correo a particulares exige su consentimiento previo, que debe ser libre, específico, informado e inequívoco.
- Las casillas premarcadas, las cláusulas escondidas en las condiciones generales y el silencio no valen como consentimiento.
- La LSSI permite escribir a los clientes sobre productos o servicios similares a los que ya contrataron, siempre que se les haya dado la opción de oponerse desde el primer momento y en cada envío.
- Hay que poder demostrar cuándo, dónde y cómo aceptó cada suscriptor. Un consentimiento que no se puede probar, a efectos prácticos, no existe.
- Todo correo comercial debe incluir una forma sencilla y gratuita de darse de baja, y las bajas deben aplicarse con rapidez y para siempre.
- Comprar listas o recopilar direcciones de internet es una mala idea, tanto por motivos legales como de resultados.
- Fuera de la UE las reglas cambian: en Estados Unidos, por ejemplo, la ley CAN-SPAM se basa sobre todo en la baja (opt-out) y no en el permiso previo.
RGPD y LSSI: dos normas que se aplican a la vez
Para entender la normativa del email marketing en España, conviene distinguir dos planos.
El RGPD protege los datos. El Reglamento General de Protección de Datos se aplica cada vez que se tratan datos personales, y una dirección de correo que identifica a una persona lo es. Regula cómo se recogen las direcciones, qué hay que explicar al interesado, cuánto tiempo se guardan, qué derechos tiene el suscriptor y qué condiciones deben cumplir los proveedores que manejan esos datos.
La LSSI regula el envío. La Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico, incorpora al derecho español las reglas europeas sobre comunicaciones comerciales no solicitadas. Su artículo 21 establece cuándo se pueden enviar correos publicitarios y el artículo 22, cómo debe poder retirarse el consentimiento.
La AEPD considera que, para el correo comercial, manda la LSSI. Por eso el llamado "interés legítimo" del RGPD no sirve, por sí solo, para justificar el envío de publicidad por email fuera de los supuestos que prevé esa ley.
Hay que tener en cuenta, además, que la Comisión Europea ha propuesto modificar el RGPD y las normas de privacidad electrónica dentro de su paquete de simplificación conocido como "Ómnibus Digital". La parte que afecta a la protección de datos sigue en negociación, así que conviene seguir su evolución.
Qué hace falta para que el consentimiento sea válido
El RGPD fija cuatro condiciones:
- Libre. La persona tiene que poder elegir de verdad. Si para descargar una guía o completar una compra es obligatorio aceptar la newsletter, y esta no es necesaria para el servicio, el consentimiento queda en entredicho.
- Específico. Aceptar una newsletter no autoriza a todo lo demás. Recibir ofertas por SMS o que los datos se cedan a otras empresas son finalidades distintas que requieren su propia casilla.
- Informado. Antes de aceptar, hay que saber quién enviará los correos, qué tipo de contenido llegará y cómo darse de baja.
- Inequívoco. Debe existir una acción clara, como marcar una casilla vacía o enviar un formulario cuya única finalidad sea suscribirse.
Algunas prácticas muy extendidas no cumplen estos requisitos:
- las casillas que ya aparecen marcadas;
- la aceptación incluida dentro de las condiciones de uso o de la política de privacidad;
- una sola casilla para varias finalidades a la vez;
- dar por hecho el consentimiento porque la persona no se ha opuesto o ha visitado la web;
- añadir a la newsletter las tarjetas de visita o los contactos recogidos en una feria sin haber preguntado.
Retirar el consentimiento, por su parte, tiene que ser igual de fácil que darlo. Si para suscribirse bastó un clic, para darse de baja no se puede exigir iniciar sesión, rellenar un formulario o enviar un escrito.
Qué hay que explicar en el formulario
En el momento de recoger la dirección, el RGPD obliga a informar con claridad. En la práctica, lo habitual es una primera capa breve junto al botón de suscripción, con un enlace a la política de privacidad completa. Esa información debe incluir, como mínimo:
- quién es el responsable del tratamiento;
- para qué se usará la dirección, por ejemplo, para enviar una newsletter mensual con novedades y ofertas;
- la base jurídica, que en una newsletter suele ser el consentimiento;
- si los datos llegarán a proveedores o a otros destinatarios;
- cuánto tiempo se conservarán;
- cómo ejercer los derechos de acceso, supresión u oposición, cómo retirar el consentimiento y la posibilidad de reclamar ante la AEPD.
El texto debe entenderse sin formación jurídica. Un párrafo largo y ambiguo no protege más a la empresa; normalmente, al contrario.
¿Es obligatorio el doble opt-in?
Ni el RGPD ni la LSSI obligan, con carácter general, a usar el doble opt-in, es decir, a que el suscriptor confirme su alta pulsando un enlace en un correo de verificación.
Aun así, es muy recomendable. Evita que alguien suscriba la dirección de otra persona, filtra errores de escritura y trampas de spam y deja una prueba sólida de que fue el titular quien aceptó. Para la mayoría de los negocios pequeños, compensa con creces los pocos suscriptores que no llegan a confirmar.
Clientes: la excepción del artículo 21.2 de la LSSI
La LSSI permite enviar comunicaciones comerciales a los clientes sin un consentimiento expreso previo, pero solo si se cumplen todas estas condiciones:
- existe una relación contractual previa, como una compra o un servicio contratado;
- los datos de contacto se obtuvieron de forma lícita dentro de esa relación;
- los correos se refieren a productos o servicios de la propia empresa similares a los que el cliente contrató;
- al recoger los datos se ofreció una forma sencilla y gratuita de oponerse a recibir publicidad;
- cada envío incluye esa misma posibilidad de oponerse.
Es una excepción más estrecha de lo que parece. A quien compró un curso de cocina se le pueden ofrecer otros cursos; enviarle productos sin relación, promociones de terceros o escribir a quien solo pidió un presupuesto ya es mucho más discutible. Ante la duda, lo prudente es pedir el consentimiento. En el Reino Unido existe una figura parecida, conocida como soft opt-in.
¿Y si el destinatario es una empresa?
Es frecuente pensar que el correo comercial entre empresas no necesita consentimiento. En España no conviene darlo por hecho.
Las reglas de la LSSI sobre comunicaciones comerciales se aplican a los destinatarios en general, y la AEPD las ha aplicado a envíos dirigidos a direcciones profesionales. Además, una dirección como maria.lopez@empresa.com identifica a una persona concreta, de modo que también le afecta el RGPD.
Otros países son más flexibles con los destinatarios empresariales; el Reino Unido, por ejemplo. Si la lista incluye contactos de varios países, hay que revisar las reglas de cada uno.
Listas compradas, alquiladas o sacadas de internet
Comprar o alquilar una base de datos de correos casi nunca encaja con la normativa europea. Las personas que figuran en ella no han dado permiso al comprador, y un consentimiento otorgado a otra empresa no se transmite sin más.
Lo mismo sucede con las direcciones copiadas de webs, directorios o redes sociales. Que un correo sea público no significa que su titular quiera recibir publicidad.
Y, más allá de la ley, estas listas funcionan mal. Quien no ha pedido los correos los ignora o los marca como spam, y muchas direcciones están desactualizadas. El resultado es una peor reputación como remitente y más correos que acaban fuera de la bandeja de entrada.
Guardar la prueba del consentimiento
El RGPD exige que quien se basa en el consentimiento pueda demostrarlo. Si un suscriptor o la AEPD preguntan de dónde sale una dirección, "se apuntaría en algún momento" no es una respuesta.
De ahí sale la regla más útil de todo este artículo: sin prueba del consentimiento, no hay consentimiento. Una dirección sin registro de cuándo, dónde y cómo se obtuvo no debería recibir publicidad hasta que se confirme.
Un buen registro de consentimiento recoge:
| Dato | Ejemplo |
|---|---|
| Dirección de correo | suscriptor@ejemplo.com |
| Fecha y hora | 9 de noviembre, 10:42 |
| Origen | Formulario de la newsletter en el pie del blog |
| Qué se aceptó | Newsletter mensual con novedades y ofertas |
| Texto mostrado | Redacción de la casilla y versión del aviso de privacidad |
| Confirmación | Doble opt-in confirmado el mismo día |
Casi todas las plataformas de email guardan parte de esta información de forma automática. Conviene comprobar que no se pierde al importar, exportar o cambiar de plataforma.
Bajas: fáciles, gratuitas y definitivas
El derecho a no recibir más publicidad es la obligación más fácil de entender y, curiosamente, una de las que más se incumplen.
La LSSI exige que cada correo comercial incluya un procedimiento sencillo y gratuito para oponerse a nuevos envíos, y permite revocar el consentimiento en cualquier momento. Esto se traduce en:
- Un enlace de baja visible en todos los correos comerciales, sin letra minúscula ni textos que lo disimulen.
- Ningún obstáculo. No se puede exigir iniciar sesión, justificar la decisión ni pasar por varios pasos. Preguntar el motivo es válido siempre que la respuesta sea opcional.
- Rapidez. La normativa europea no fija un plazo exacto, pero la baja debe aplicarse sin demoras injustificadas. Los grandes proveedores de correo exigen a los remitentes masivos procesar las bajas con un clic en un máximo de dos días, y muchas plataformas lo hacen al momento.
- Carácter definitivo. Una dirección dada de baja no puede volver a la lista por una importación, otra lista o un cambio de plataforma.
- Cualquier vía cuenta. Si alguien pide la baja respondiendo a un correo o escribiendo a atención al cliente, la solicitud es tan válida como si hubiera usado el enlace.
Un centro de preferencias, con la opción de recibir menos correos o solo ciertos temas, puede retener a parte de quienes iban a darse de baja. Pero siempre debe incluir la opción de dejar de recibir cualquier comunicación comercial.
Mantener las direcciones dadas de baja en una lista de exclusión es lo habitual y lo correcto: sirve precisamente para no volver a escribirles.
La plataforma de email como encargada del tratamiento
El proveedor de email trata los datos de los suscriptores por cuenta de quien envía los correos. El RGPD exige un contrato de encargo del tratamiento que fije qué puede hacer con ellos; las plataformas serias lo incluyen en sus condiciones.
También hay que saber dónde se alojan los datos. Si salen del Espacio Económico Europeo, deben existir garantías adecuadas para esa transferencia internacional. En cualquier caso, la responsabilidad sigue siendo de la empresa que envía los correos, sea cual sea la plataforma.
Que quede claro quién escribe y que es publicidad
La LSSI exige que las comunicaciones comerciales se identifiquen claramente como tales y que indiquen en nombre de quién se envían.
En la práctica, esto significa usar un remitente reconocible y una dirección del dominio propio, escribir asuntos que reflejen el contenido, incluir los datos de la empresa en el pie del mensaje y no disfrazar las promociones de correos personales o de avisos de servicio.
Si la lista incluye contactos de otros países
Lo que cuenta son las normas del país del destinatario, no solo las del remitente. Este es el panorama básico:
| Ámbito | Normas principales | En resumen |
|---|---|---|
| Reino Unido | PECR y UK GDPR | Consentimiento para particulares, con soft opt-in para clientes y, desde 2026, para algunos fines benéficos; reglas más flexibles para empresas |
| Estados Unidos | Ley CAN-SPAM | Sobre todo opt-out: cabeceras y asuntos veraces, dirección postal y bajas atendidas en un máximo de 10 días hábiles |
| Canadá | CASL | Consentimiento expreso o implícito, identificación del remitente y mecanismo de baja |
| Latinoamérica | Leyes nacionales | Cada país tiene su propia normativa de protección de datos y comunicaciones comerciales; hay que revisar la del mercado concreto |
Que la ley estadounidense funcione con opt-out no la hace laxa: las sanciones se calculan por cada correo que la incumple. Y una lista válida en Estados Unidos no lo es automáticamente para destinatarios europeos.
Lista de comprobación
Para un equipo pequeño que escribe a suscriptores en España o en el resto de la UE, lo esencial se resume así:
- Formularios con la casilla sin marcar o con una acción de suscripción inequívoca, separada de otras condiciones.
- Una opción por cada finalidad que requiera consentimiento.
- Información básica de privacidad junto al formulario, con enlace a la política completa.
- Doble opt-in activado u otra forma fiable de verificar las direcciones.
- Registro del consentimiento con origen, fecha y texto aceptado.
- Clientes a los que se escribe sin consentimiento expreso que cumplen todos los requisitos del artículo 21.2 de la LSSI.
- Ninguna lista comprada, alquilada o copiada de internet.
- Remitente identificado y enlace de baja operativo en cada envío.
- Bajas aplicadas con rapidez y guardadas en una lista de exclusión permanente.
- Contrato de encargo del tratamiento con la plataforma y garantías para las transferencias internacionales.
- Normativa revisada de cada país con un número relevante de suscriptores.
Preguntas frecuentes
¿Se puede escribir a quien entregó su tarjeta de visita?
No de forma automática. Una tarjeta de visita no equivale a aceptar una newsletter. Lo razonable es enviar un único correo personal relacionado con la conversación y, si encaja, invitar a esa persona a suscribirse.
¿Qué pasa con una lista antigua de la que no consta el origen?
Un consentimiento antiguo solo sirve si cumple los requisitos actuales y puede demostrarse. Si no consta de dónde salió parte de la lista, lo más seguro es pedir a esos contactos que confirmen su suscripción en lugar de seguir escribiéndoles. Esa petición también debe enviarse de forma lícita, así que no arregla una lista que nunca se obtuvo correctamente.
¿Los correos transaccionales necesitan consentimiento?
Los justificantes de compra, los cambios de contraseña o los avisos de envío no suelen requerirlo. Ahora bien, si se les añade contenido promocional relevante, pueden pasar a considerarse comunicaciones comerciales.
¿Cuánto tiempo se pueden conservar los datos?
El necesario para la finalidad. En una newsletter, mientras la suscripción siga activa. Tras la baja, solo lo imprescindible para respetarla, como la dirección en la lista de exclusión. A los suscriptores que llevan mucho tiempo sin interactuar se les puede preguntar si quieren seguir y darlos de baja si no responden.
¿Qué sanciones hay?
Dependen del país y de la norma incumplida. En España, la AEPD puede imponer apercibimientos o multas por infringir la LSSI o el RGPD, y sanciona con frecuencia el envío de publicidad no solicitada. A eso se suman las quejas y las denuncias de spam, que perjudican la entregabilidad y la imagen de la marca.
¿Una asociación necesita consentimiento para escribir a sus socios?
Depende del contenido. La información propia de la condición de socio, como convocatorias o cuotas, no suele considerarse publicidad. La promoción de productos, servicios u ofertas de terceros, en general, sí, y debe seguir las reglas de este artículo.
Cumplir la ley también es cuidar la relación
La normativa puede parecer una lista de trabas, pero casi todo lo que exige es sentido común: escribir a quien quiere leer, explicar con claridad a qué se suscribe, llevar un registro honesto y dejar marchar a quien lo pida.
Si hay que quedarse con una sola idea, que sea esta: sin prueba del consentimiento, no hay consentimiento. Las empresas que trabajan así rara vez tienen que preocuparse por los matices legales y, además, obtienen mejores resultados, porque una lista construida sobre un interés real genera más respuesta, menos quejas y una mejor entregabilidad.
Las normas seguirán cambiando, dentro y fuera de Europa. Los principios que hay detrás, probablemente no.
Fuentes
- EUR-Lex: Reglamento General de Protección de Datos (UE) 2016/679
- BOE: Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico
- Comisión Federal de Comercio de EE. UU.: guía de cumplimiento de CAN-SPAM (en inglés)
- Information Commissioner's Office: marketing directo por correo electrónico (en inglés)
- CRTC: guía sobre el consentimiento según la CASL (en inglés)