El email marketing es una de las áreas donde más sanciones se acumulan en los registros de la AEPD. No porque sea una actividad ilícita en sí misma, sino porque se hace mal con una frecuencia que ya no sorprende. El problema de fondo es siempre el mismo: la empresa cree tener una base jurídica para enviar comunicaciones comerciales cuando en realidad no la tiene, o la tenía y la perdió sin saberlo.
Dos normas que aplican simultáneamente
El email marketing en España está regulado por dos normas que aplican en paralelo y que generan confusión precisamente porque cada una tiene sus propios requisitos.
El RGPD regula el tratamiento de los datos personales del destinatario: recoger su dirección de correo, almacenarla, usarla para enviarle comunicaciones. Exige una base jurídica válida del artículo 6, que en marketing habitual es el consentimiento o el interés legítimo con matizaciones.
La LSSI (Ley 34/2002 de Servicios de la Sociedad de la Información) regula específicamente el envío de comunicaciones comerciales por vía electrónica. Su artículo 21 prohíbe el envío de comunicaciones comerciales no solicitadas salvo que el destinatario las haya solicitado o autorizado expresamente. La LSSI tiene su propio régimen sancionador, independiente del RGPD.
Una misma campaña de email puede infringir el RGPD (por falta de base jurídica para tratar los datos), la LSSI (por enviar comunicaciones no solicitadas) o ambas a la vez. Y los expedientes suelen acumular ambas infracciones.
Qué es el consentimiento válido para email marketing
El consentimiento para recibir comunicaciones comerciales tiene que ser libre, específico, informado e inequívoco. Eso excluye varias prácticas habituales.
Una casilla premarcada en un formulario no es consentimiento válido: el RGPD exige acción afirmativa del usuario, no la ausencia de rechazo. Un consentimiento genérico para “tratamiento de datos” no es consentimiento para recibir comunicaciones comerciales: tiene que ser específico para esa finalidad. Y un consentimiento prestado hace diez años sin renovación puede haber perdido su validez si las condiciones han cambiado o si no existe registro verificable de cuándo y cómo se obtuvo.
El doble opt-in: qué es y por qué reduce el riesgo
El doble opt-in es un proceso en dos pasos: el usuario rellena un formulario (primer paso) y recibe un email de confirmación al que debe responder o hacer clic para activar la suscripción (segundo paso). El RGPD no exige expresamente el doble opt-in, pero es el mecanismo que genera la evidencia más sólida de consentimiento.
El registro del doble opt-in incluye el timestamp de la suscripción, la dirección IP, el identificador del formulario y la confirmación del email. Eso es exactamente lo que la AEPD pide cuando investiga si el consentimiento fue válido. Sin ese registro, demostrar el consentimiento en un expediente es prácticamente imposible.
El soft opt-in: cuándo es legal y cuándo no
El artículo 21.2 de la LSSI establece una excepción al requisito de consentimiento expreso para comunicaciones comerciales: el soft opt-in. Un comerciante puede enviar comunicaciones sobre sus propios productos o servicios similares a clientes que ya compraron previamente, siempre que les diera la posibilidad de oponerse al envío en el momento de la recogida del dato y en cada comunicación posterior.
Los límites del soft opt-in son estrictos. Solo funciona con clientes, no con personas que se registraron sin comprar. Solo cubre productos o servicios similares a los que motivaron la compra original, no el catálogo completo. Y requiere haber ofrecido la oposición en el momento de la recogida del dato, no después.
La compra de bases de datos: por qué sigue siendo un problema
La compra o cesión de bases de datos de contactos para email marketing sigue generando sanciones con regularidad. El argumento habitual del comprador es que el vendedor obtuvo el consentimiento de los destinatarios. El problema es doble.
Primero, el consentimiento para recibir comunicaciones del vendedor no es consentimiento para recibir comunicaciones del comprador. El RGPD exige que el consentimiento sea específico respecto a quién va a enviar las comunicaciones. Si el usuario consintió recibir emails de empresa A, ese consentimiento no se transfiere automáticamente a empresa B que compra la lista.
Segundo, el comprador de la base de datos asume la responsabilidad de verificar la licitud de los datos. No basta con que el vendedor garantice que tiene los consentimientos: el responsable del tratamiento tiene que poder acreditarlo. Y en la práctica, esa acreditación rara vez existe en las bases de datos comerciales.
Cómo gestionar las bajas
Cada email comercial debe incluir un mecanismo de baja claro, visible y que funcione sin autenticación previa. La baja tiene que ser efectiva de forma inmediata o en un plazo muy breve. Seguir enviando emails a alguien que se ha dado de baja es una infracción directa tanto del RGPD como de la LSSI, y es una de las denuncias más fáciles de acreditar que llegan a la AEPD.
El sistema de gestión de bajas tiene que estar integrado con la base de datos para que la supresión sea efectiva. Mantener una lista de bajas separada que se comprueba manualmente antes de cada envío no es suficiente en entornos con volumen.
Fuentes: Reglamento (UE) 2016/679 (RGPD), artículos 6, 7 y 17; Ley 34/2002 de Servicios de la Sociedad de la Información (LSSI), artículos 19-22; Directrices 05/2020 del CEPD sobre consentimiento.
