La situación regulatoria en Europa es transitoria. La Comisión lleva años intentando sustituir la Directiva ePrivacy por un Reglamento ePrivacy directamente aplicable, pero las negociaciones han avanzado con extrema lentitud. Mientras ese Reglamento no se apruebe, la Directiva ePrivacy sigue vigente, y con ella la LSSI en España.

Qué regula la Directiva ePrivacy que el RGPD no cubre

La Directiva ePrivacy regula aspectos específicos de las comunicaciones electrónicas que el RGPD deja fuera o trata de forma general. Los más relevantes para las empresas:

• Cookies y tecnologías de rastreo similares: el artículo 5.3 de la Directiva ePrivacy prohíbe almacenar información o acceder a información ya almacenada en el dispositivo del usuario sin su consentimiento previo, salvo excepciones técnicas. Esta es la base de la regulación de cookies, no el RGPD.
• Comunicaciones comerciales no solicitadas: el artículo 13 regula el spam, las llamadas comerciales automatizadas y el envío de faxes con fines comerciales.
• Confidencialidad de las comunicaciones: los proveedores de servicios de comunicaciones electrónicas no pueden interceptar ni vigilar las comunicaciones salvo excepciones legales.
• Datos de tráfico y localización: los generados en redes de comunicaciones tienen su propio régimen de conservación y uso, distinto del régimen general del RGPD.

La LSSI en España: qué prohíbe y qué permite

La LSSI transpuso la Directiva ePrivacy en España con algunas particularidades. Sus artículos más relevantes para las empresas son el 21 (comunicaciones comerciales no solicitadas) y el 22 (uso de dispositivos de almacenamiento y recuperación de datos, es decir, cookies).

El artículo 22.2 de la LSSI exige que el usuario sea informado de forma clara del uso de cookies y pueda oponerse a ese uso. Desde la revisión de criterios de la AEPD en 2023 y sus actualizaciones en 2024 y 2025, los requisitos prácticos se han endurecido: el consentimiento debe ser previo a la instalación de cookies no técnicas, el botón de rechazo debe ser tan visible y accesible como el de aceptación, y los muros de cookies que bloquean el acceso al contenido hasta aceptar son objeto de investigación activa.

Comunicaciones por mensajería: WhatsApp, SMS y llamadas

El artículo 21 de la LSSI prohíbe el envío de comunicaciones comerciales por cualquier medio de comunicación electrónica sin el consentimiento previo del destinatario. Eso incluye SMS comerciales, mensajes de WhatsApp, comunicaciones por Telegram o cualquier otro servicio de mensajería.

Las llamadas telefónicas comerciales tienen un régimen diferente. Bajo la Directiva ePrivacy y la Ley General de Telecomunicaciones, las llamadas a personas físicas con fines de venta directa deben respetar la lista Robinson (el sistema de exclusión publicitaria español). Las llamadas a empresas tienen menos restricciones, aunque el RGPD sigue aplicando si el número pertenece a un autónomo identificable.

La relación entre ePrivacy y RGPD: quién prevalece

La relación entre ambas normas es de lex specialis: la Directiva ePrivacy prevalece sobre el RGPD en los ámbitos que regula específicamente. Eso tiene una consecuencia práctica importante en materia de cookies.

Para instalar cookies no técnicas, la base jurídica requerida por la Directiva ePrivacy es el consentimiento, sin excepciones relevantes. Eso significa que el interés legítimo del artículo 6.1.f del RGPD no sirve como base para cookies de seguimiento o publicidad comportamental: aunque el RGPD admitiría esa base en abstracto, la Directiva ePrivacy exige consentimiento específicamente para el acceso al dispositivo del usuario.

El Tribunal de Justicia de la UE confirmó esta interpretación en la sentencia Planet49 (C-673/17, 2019) y el CEPD la refrendó en sus directrices sobre cookies. La AEPD aplica este criterio en sus inspecciones.

El futuro: el Reglamento ePrivacy pendiente

El proyecto de Reglamento ePrivacy lleva en negociación desde 2017. A septiembre de 2026, sigue sin aprobarse. Las últimas posiciones del Consejo mantienen desacuerdos relevantes sobre el alcance de las excepciones para datos de tráfico y localización, y sobre el régimen aplicable a los servicios de comunicaciones OTT (WhatsApp, Signal, Teams).

Cuando se apruebe, el Reglamento ePrivacy derogará la Directiva 2002/58/CE y la LSSI tendrá que adaptarse. Los criterios sobre cookies y comunicaciones comerciales podrían cambiar en algunos aspectos. Mientras tanto, la LSSI en su estado actual y los criterios de la AEPD son la referencia operativa.

Fuentes: Directiva 2002/58/CE (ePrivacy), artículos 5 y 13; Ley 34/2002 (LSSI), artículos 21 y 22; Reglamento (UE) 2016/679 (RGPD), artículo 6; STJUE C-673/17 (Planet49); Directrices CEPD 05/2020 sobre consentimiento y 03/2022 sobre cookies.

La entrada ePrivacy y LSSI: el marco legal de las comunicaciones electrónicas que el RGPD no cubre se publicó primero en Adaptación RGPD.