En España se envían más de 2.000 millones de correos electrónicos comerciales no solicitados cada año. Detrás de cada uno de ellos puede haber una infracción de la Ley de Servicios de la Sociedad de la Información (LSSI-CE) o del RGPD, y la AEPD lleva años demostrando que no solo sanciona a las grandes corporaciones. Empresas de cualquier tamaño —incluyendo pymes valencianas— han recibido multas por enviar emails comerciales a listas compradas, por no incluir el enlace de baja o por reactivar campañas a contactos que llevaban años inactivos.
El marco legal del email marketing en España
El email marketing en España está regulado por dos normas que se aplican de forma complementaria:
- El RGPD (Reglamento UE 2016/679): regula el tratamiento de datos personales, incluyendo las direcciones de correo electrónico.
- La LSSI-CE (Ley 34/2002): regula específicamente las comunicaciones comerciales por vía electrónica. Su artículo 21 prohíbe el envío de comunicaciones comerciales no solicitadas salvo que exista consentimiento previo o una relación previa con el destinatario.
El incumplimiento de la LSSI puede sancionarse con multas de hasta 150.253 euros para infracciones muy graves.
Los errores más comunes que generan sanciones
1. Listas de correo compradas a terceros
Comprar bases de datos de correos electrónicos y utilizarlas para campañas de email marketing es una práctica que viola sistemáticamente el RGPD. Las personas incluidas en esas listas no han dado su consentimiento a la empresa remitente para recibir sus comunicaciones, independientemente de si en algún momento consintieron compartir sus datos con "empresas del sector" en letra pequeña.
Caso real: empresa multada con 15.000€ por enviar 50.000 emails a lista comprada
La AEPD sancionó a una empresa de servicios con 15.000 euros por realizar una campaña de email marketing masiva a una base de datos de aproximadamente 50.000 direcciones adquirida a un proveedor externo. La resolución determinó que la empresa no podía acreditar el consentimiento válido de los destinatarios, ya que el consentimiento originalmente prestado por los interesados no mencionaba explícitamente a esa empresa como destinataria de comunicaciones comerciales. La infracción se tipificó como grave al amparo de la LSSI-CE.
2. Retargeting sin base legal suficiente
El retargeting por correo electrónico —enviar emails personalizados basados en el comportamiento de navegación del usuario— requiere una base legal doble: consentimiento para instalar las cookies de seguimiento y consentimiento o interés legítimo debidamente ponderado para el envío del email.
Caso real: empresa de telecomunicaciones sancionada con 150.000€
Una operadora de telecomunicaciones fue sancionada por la AEPD con 150.000 euros por la enviar comunicaciones comerciales por correo electrónico a clientes que habían ejercido su derecho de oposición al tratamiento de sus datos con fines comerciales. La empresa argumentó que la base legal era el interés legítimo, pero la AEPD concluyó que ese interés no puede prevalecer cuando el interesado ha manifestado expresamente su oposición.
3. Ausencia de enlace de baja funcional
Todo correo electrónico comercial debe incluir un mecanismo sencillo y gratuito para que el destinatario pueda darse de baja. Un enlace de baja que no funciona, que lleva a una página de error o que requiere iniciar sesión para gestionar las preferencias es, por sí mismo, una infracción de la LSSI-CE.
4. El "soft opt-in" y sus límites
La LSSI permite, bajo ciertas condiciones, enviar comunicaciones comerciales a clientes existentes sobre productos o servicios similares a los que ya contrataron (el llamado "soft opt-in"). Sin embargo, este mecanismo tiene límites claros: solo aplica a productos propios de la empresa, el cliente debe haber tenido la oportunidad de oponerse en el momento de la recogida de datos y la similitud entre productos debe ser real, no una interpretación amplia.
Caso real: aseguradora multada con 80.000€ por marketing a cartera de clientes
Una compañía de seguros fue sancionada con 80.000 euros por enviar comunicaciones comerciales a su cartera de clientes sobre nuevos productos sin haber ofrecido en el momento de contratación la posibilidad de oponerse a ese uso de sus datos. La AEPD determinó que el hecho de ser cliente no otorga automáticamente el derecho a recibir cualquier tipo de comunicación comercial.
Las reglas de oro del email marketing conforme al RGPD y la LSSI
Para el B2C (empresas a consumidores):
- Consentimiento previo, expreso e inequívoco antes del primer envío
- Casilla sin pre-marcar en el formulario de alta
- Doble confirmación recomendada (double opt-in)
- Registro documentado de cuándo y cómo se obtuvo el consentimiento
Para el B2B (empresas a empresas):
- Las direcciones genéricas de empresa (info@empresa.com) tienen un tratamiento algo más flexible bajo la LSSI
- Las direcciones personalizadas (nombre.apellido@empresa.com) son datos personales y requieren consentimiento o interés legítimo documentado
- El interés legítimo debe estar ponderado y documentado, y debe ofrecerse siempre la opción de baja
Checklist de email marketing conforme a la normativa
- Cuento con consentimiento documentado para cada dirección de correo en mi lista
- No utilizo ni he utilizado listas de correo adquiridas a terceros
- Todos mis correos incluyen un enlace de baja funcional y visible
- Proceso las bajas de forma inmediata y no vuelvo a contactar a quienes se han dado de baja
- Registro la fecha, el origen y el mecanismo de obtención del consentimiento de cada suscriptor
- Mis formularios de alta tienen casillas sin pre-marcar para la recepción de comunicaciones comerciales
- Tengo contrato de encargo del tratamiento con mi plataforma de email marketing
- Reviso y depuro mi lista periódicamente eliminando contactos inactivos o con consentimiento expirado
- Para campañas B2B distingo entre direcciones genéricas y personalizadas
- He informado a mis suscriptores de su derecho de oposición al tratamiento con fines comerciales
Una campaña de email marketing mal configurada puede convertirse en una sanción de cinco o seis cifras. En Protección de Datos Valencia revisamos tus flujos de captación y envío, tu base legal y tu documentación de consentimiento para que puedas hacer email marketing con garantías. Solicita una consulta gratuita a través de nuestro formulario de contacto y te explicamos qué cambios necesitas hacer.
Fuentes: Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información (LSSI-CE), Art. 21 | Reglamento General de Protección de Datos (UE) 2016/679, Arts. 6 y 7 | AEPD – Resolución PS/00042/2023 (lista comprada, 15.000€) | AEPD – Resolución PS/00302/2021 (telecomunicaciones, 150.000€) | AEPD – Resolución PS/00181/2022 (aseguradora, 80.000€) | AEPD – Guía sobre el uso de las cookies (2023)
¿Necesitas cumplir con el RGPD?
Habla con nuestros expertos en protección de datos en Valencia. Consulta gratuita y sin compromiso.