En 2024, la AEPD recibió más de 18.855 reclamaciones relacionadas con el tratamiento indebido de datos personales, y el email marketing sin consentimiento sigue siendo una de las infracciones más habituales y sancionadas. Las empresas que envían comunicaciones comerciales sin haber obtenido el permiso previo y explícito de sus destinatarios se exponen a multas que pueden superar los 100.000 euros, según la gravedad del caso. En Valencia y en toda España, los negocios de cualquier tamaño —desde autónomos hasta grandes corporaciones— están en el punto de mira de la Agencia Española de Protección de Datos (AEPD). Conocer qué exige la LSSI y el RGPD antes de lanzar tu próxima campaña de email es hoy una obligación, no una opción.

¿Qué dice la normativa sobre email marketing en España?

El marco legal que regula el email marketing en España se asienta sobre dos pilares fundamentales. Por un lado, la Ley 34/2002 de Servicios de la Sociedad de la Información y el Comercio Electrónico (LSSI), cuyo artículo 21 prohíbe expresamente el envío de comunicaciones publicitarias o promocionales por correo electrónico u otros medios electrónicos sin el consentimiento previo, expreso y revocable del destinatario.

Por otro lado, el Reglamento General de Protección de Datos (RGPD) —aplicable directamente en España— establece que el tratamiento de datos personales con fines de marketing directo requiere una base jurídica válida. La más común es el consentimiento, que debe ser libre, específico, informado e inequívoco. Esto significa que las casillas premarcadas, el silencio o la inacción del usuario no constituyen un consentimiento válido bajo el RGPD.

Existe una excepción: si ya hay una relación contractual previa con el cliente y se trata de productos o servicios similares a los ya contratados, es posible enviar comunicaciones comerciales, siempre que se ofrezca una vía sencilla de oposición en cada envío. Pero esta excepción debe interpretarse de forma restrictiva. La AEPD ha dejado claro que cualquier duda debe resolverse a favor del derecho del ciudadano a no recibir publicidad no solicitada.

Casos reales y resoluciones de la AEPD sobre spam y email marketing

La AEPD ha publicado numerosas resoluciones sancionadoras por email marketing ilícito. En el expediente PS/00037/2020, la Agencia sancionó a una empresa por el envío masivo de correos electrónicos comerciales a usuarios que no habían prestado su consentimiento, apreciando infracción del artículo 21 de la LSSI y del artículo 6 del RGPD.

En 2023, una inmobiliaria fue sancionada con 30.000 euros por enviar mensajes SMS publicitarios a usuarios extraídos de una base de datos comprada, sin verificar la existencia de consentimiento previo. En 2024 y 2025, la tendencia se ha acelerado: el sector del marketing y la publicidad concentra el 12% del importe total sancionador de la AEPD, con 358 procedimientos incoados en ese período y una sanción media de 12.000 euros por expediente.

Un caso especialmente relevante fue la multa de 100.000 euros impuesta a una empresa de software de rastreo de correos electrónicos por utilizar píxeles de seguimiento sin el consentimiento previo de los destinatarios, una práctica muy extendida que muchas empresas desconocen que está sujeta a la normativa de protección de datos. En todos estos casos, el error fue el mismo: asumir que disponer del correo electrónico de alguien equivale a tener permiso para enviarle publicidad.

Cómo cumplir la LSSI y el RGPD en tu empresa: pasos prácticos

Para evitar una sanción de la AEPD, tu empresa debe adoptar una serie de medidas concretas antes de lanzar cualquier campaña de email marketing:

• Obtén consentimiento válido y documentado. Usa casillas de verificación sin marcar previamente, con un texto claro sobre qué comunicaciones recibirá el usuario. Guarda el registro del consentimiento: marca temporal, dirección IP y texto exacto visible en el momento de la suscripción.
• Diferencia entre clientes y prospectos. Los clientes actuales con compras de productos similares pueden recibir comunicaciones, pero siempre con opción de baja en cada envío. Los contactos procedentes de bases de datos compradas o cedidas no tienen consentimiento válido: no los uses.
• Consulta la Lista Robinson. Antes de cualquier envío de marketing directo, verifica si los destinatarios están inscritos en la Lista Robinson. Enviarles comunicaciones pese a estar en esa lista agrava la infracción ante la AEPD.
• Incluye siempre un mecanismo de baja sencillo. Cada email comercial debe incorporar un enlace de baja visible y funcional. La normativa exige que la solicitud de baja se procese en un máximo de 48 horas.
• Audita regularmente tus listas de contactos. Elimina los contactos que hayan solicitado la baja o cuyos datos hayan sido obtenidos sin consentimiento válido.

Preguntas frecuentes sobre email marketing y protección de datos

¿Puedo enviar emails a mis clientes para ofrecerles nuevos productos?

Sí, si existe una relación contractual previa y los productos o servicios son similares a los ya adquiridos. Pero debes ofrecer una opción clara de baja en cada comunicación y respetar cualquier solicitud de oposición. Si no se cumple esta condición, necesitas consentimiento expreso e independiente.

¿Cuánto puede multarme la AEPD por enviar spam?

Las infracciones de la LSSI por envío de comunicaciones no consentidas pueden acarrear multas de hasta 30.000 euros en casos leves y de hasta 150.000 euros cuando el envío es masivo o reiterado. Si además se vulnera el RGPD, las sanciones pueden alcanzar el 4% de la facturación anual global de la empresa o 20 millones de euros, aplicándose la cifra más elevada.

¿El formulario de contacto de mi web genera automáticamente consentimiento para el marketing?

No. El consentimiento para recibir comunicaciones comerciales debe ser específico, separado y no puede derivarse automáticamente de un formulario de contacto o de una solicitud de presupuesto. Son finalidades distintas y cada una requiere su propia base jurídica.

Conclusión: el cumplimiento del RGPD en email marketing no es opcional

El email marketing es una herramienta poderosa para cualquier negocio en España, pero su uso sin consentimiento válido puede tener consecuencias económicas muy graves. La AEPD ha demostrado que está dispuesta a sancionar tanto a grandes empresas como a pequeños negocios que no cumplan la LSSI y el RGPD. Si tienes dudas sobre cómo adecuar tus campañas de correo electrónico a la normativa vigente, en nuestra consultoría de protección de datos en Valencia podemos ayudarte a realizar una revisión completa y a implantar los mecanismos de consentimiento correctos. Cumplir la normativa no es un gasto: es la mejor inversión para proteger tu empresa.