El marketing digital es el área donde más pequeñas empresas cometen infracciones sin saberlo. Un banner de cookies mal diseñado, una lista de email comprada, un SMS promocional enviado sin consentimiento o un formulario sin casilla de privacidad. Errores aparentemente menores que la AEPD persigue de forma creciente.
En 2025, el marketing y la publicidad representaron el 12 % de todas las sanciones de la AEPD, con una media de 12.000 euros por expediente y casos que llegaron a los 200.000 euros.
La guerra de los banners de cookies
Caso real: 90.000 ª por un banner mal diseñado
Una empresa fue sancionada con 90.000 euros por tener un banner de cookies que presentaba solo dos opciones: xAceptar’ y ‘Configurar’. El problema: no había opción de ‘Rechazar todo’ al mismo nivel que ‘Aceptar’, lo que en la práctica impedía al usuario negarse con la misma facilidad con que podía aceptar.
La AEPD lo consideró un diseño manipulador (dark pattern) que condicionaba la decisión del usuario.
Qué exige la AEPD en 2025-2026
La guía de cookies actualizada de la AEPD establece:
Lo que es obligatorio:
- Botón ‘Aceptar todo’ y botón ‘Rechazar todo’ en la primera capa del banner, al mismo nivel visual (mismo tamaño, mismo color, mismo lugar en la pantalla).
- Opción de ‘Configurar’ o ‘Gestionar preferencias’ como alternativa, pero nunca como sustituto del rechazo directo.
- Sin cookies de marketing ni analítica activadas hasta que el usuario haya dado su consentimiento.
- Posibilidad de cambiar la decisión en cualquier momento (enlace accesible en el pie de página).
Lo que está prohibido:
- Banners con solo ‘Aceptar’ y ‘Configurar’ (sin rechazo directo).
- Botones de aceptación en color llamativo y botones de rechazo en gris o texto pequeño.
- Casillas premarcadas para tipos de cookies.
- Seguir cargando cookies al hacer scroll o al navegar sin interacción con el banner.
- Textos ambiguos como ‘Al continuar usando este sitio, aceptas las cookies’.
Email marketing: el consentimiento que muchos dan por supuesto
Caso real: hasta 30.000 ª por campaña de email sin consentimiento
Los envíos comerciales sin consentimiento son la infracción más fácil de detectar y denunciar: el destinatario recibe un email que no pidió, lo denuncia con dos clics en la AEPD y el expediente se abre. La AEPD ha estado imponiendo multas de entre 5.000 y 30.000 euros por campaña de emails no solicitados.
Las bases legales para enviar emails comerciales
Consentimiento previo explícito (la más segura): el destinatario ha marcado una casilla que dice expresamente que acepta recibir comunicaciones comerciales tuyas. Esta casilla no puede estar premarcada.
Relación contractual previa (la excepción): puedes enviar comunicaciones comerciales a clientes actuales sobre productos o servicios similares a los que ya han contratado, siempre que:
- En cada envío incluyas una opción de baja clara y funcional.
- El email se refiera a productos o servicios de la misma categoría que los ya adquiridos.
- No sean comunicaciones de terceros (no puedes mandar publicidad de otros aunque el cliente sea tuyo).
Lo que no es base legal:
- Haber encontrado el email en la web del destinatario.
- Haber recibido el email en una reunión o evento.
- Haber comprado una lista de contactos.
- Que el email esté publicado en LinkedIn o redes sociales.
El caso de las listas compradas
Comprar bases de datos de emails para hacer marketing directo es una práctica extendida y una infracción casi garantizada. Las listas comerciales raramente tienen consentimientos válidos para el tipo de marketing que tú quieres hacer. Si las usas, eres responsable de las infracciones aunque el consentimiento lo haya gestionado (mal) otro.
SMS y WhatsApp como canal de marketing
Las mismas reglas que el email aplican al SMS y al WhatsApp comercial, con un agravante: la regulación es más estricta para las comunicaciones de mensajería.
El consentimiento genérico para ‘comunicaciones comerciales’ no es suficiente para enviar mensajes de WhatsApp. Necesitas consentimiento específico para ese canal.
La AEPD ha establecido multas de entre 6.000 y 30.000 euros por campañas de SMS o WhatsApp masivos sin el consentimiento adecuado.
Publicidad en redes sociales y el pixel de seguimiento
Si usas Meta Ads (Facebook/Instagram), Google Ads con remarketing, TikTok Ads o cualquier plataforma de publicidad programática, estás usando tecnologías de seguimiento que requieren consentimiento previo del usuario.
Estas plataformas funcionan con cookies o píxeles que se instalan en el navegador del visitante y lo siguen por internet para mostrarle tus anuncios. Para que eso sea legal:
- El pixel no puede activarse hasta que el usuario haya aceptado las cookies de marketing en tu web.
- El consentimiento debe ser específico para ‘publicidad personalizada’ o ‘seguimiento para publicidad’.
- Si el usuario rechaza, el pixel no se activa. Punto.
Muchas empresas tienen el pixel de Meta activo desde que alguien entra en su web, antes de que el usuario interactúe con el banner de cookies. Eso es una infracción en desde el primer segundo de visita.
El formulario de captación: los tres elementos que nunca pueden faltar
Cualquier formulario donde captures leads (nombre, email, teléfono) para marketing debe incluir:
-
Información sobre el responsable y la finalidad del tratamiento (puede ser enlace a la política de privacidad, pero el enlace debe ser visible y descriptivo).
-
Casilla de consentimiento para comunicaciones comerciales (no premarcada, separada de otras casillas), con texto claro: ‘Acepto recibir comunicaciones comerciales sobre [producto/servicio] por parte de [empresa]’.
-
Enlace a la política de privacidad completa, con texto que describa su contenido (‘Lee nuestra política de privacidad’), no solo ‘Política de privacidad’.
Si el formulario incluye también el opt-in para la newsletter, esa casilla debe ser independiente de la casilla de aceptación de términos o política de privacidad.
Checklist de marketing digital para empresas en Valencia
- Tu banner de cookies tiene botón ‘Rechazar todo’ al mismo nivel que ‘Aceptar todo’.
- Ninguna cookie de marketing se activa antes del consentimiento del usuario.
- Tienes documentado el consentimiento de cada suscriptor de tu lista de email (fecha, canal, texto exacto aceptado).
- Cada email comercial incluye un enlace de baja funcional.
- No usas listas de email compradas a terceros.
- Los formularios de captación tienen casillas de consentimiento no premarcadas.
- El pixel de Meta/Google/TikTok solo se activa tras el consentimiento de cookies.
- Los SMS y mensajes de WhatsApp comerciales tienen consentimiento específico para ese canal.
- Tienes una política de privacidad actualizada y accesible desde todos los formularios y el pie de página.
El marketing digital sin cumplimiento normativo es como construir sobre arena: en cualquier momento una denuncia puede costar más que todas las campañas que has hecho. En Protección de Datos Valencia auditamos tu presencia digital y te decimos exactamente qué necesitas cambiar. Solicita tu consulta gratuita.
Fuentes: AEPD Guía sobre el uso de cookies (2024-2025), blog.psnsercon.com (sanción 90.000ª cookies), LSSI-CE artículo 21, legitec.com (envíos sin consentimiento hasta 5.000ª), Memoria AEPD 2025
¿Necesitas cumplir con el RGPD?
Habla con nuestros expertos en protección de datos en Valencia. Consulta gratuita y sin compromiso.