Cold email y RGPD en España: la ley y lo que hace la AEPD
Cold email y RGPD en España: qué permite el artículo 19 de la LOPDGDD, qué prohíbe el 21 de la LSSI y qué hace la AEPD de verdad cuando alguien te reclama.
«Es super ilegal.»
Esa fue la primera respuesta que se llevó un tío que preguntó en r/ESLegal si podía hacer cold email B2B desde España. El siguiente comentario le decía justo lo contrario, que las campañas de mailing comercial son un servicio habitual de las agencias de publicidad. Un tercero remataba diciendo que no conocía ni un solo litigio por esto. Tres respuestas contradictorias en el mismo hilo y ninguna del todo equivocada, que es lo peor que te puede pasar cuando buscas una.
La confusión viene de meter en el mismo saco dos leyes que contestan a preguntas distintas. Una decide si puedes tener el email de esa persona; la otra, si puedes escribirle para venderle algo. Se puede cumplir la primera de manera impecable y estar incumpliendo la segunda desde el primer envío.
No soy abogado y esto no es asesoramiento legal. Soy el que monta las campañas y ha tenido que leerse la LSSI porque los clientes preguntan y se merecen algo mejor que un «tranquilo, esto lo hace todo el mundo».
Las dos preguntas que casi nadie separa
| Lo que te preguntas | La norma que responde | La respuesta corta |
|---|---|---|
| ¿Puedo guardar y usar el email de este profesional? | Artículo 19 de la LOPDGDD, con el RGPD detrás | Sí, si lo usas solo para tratar con su empresa |
| ¿Puedo mandarle publicidad a ese email? | Artículo 21 de la LSSI | No sin permiso previo, salvo una excepción muy concreta |
| ¿Y si le molesta y me reclama? | Artículos 38, 39 y 39 bis de la LSSI | Un apercibimiento o una multa, según cómo lo hayas hecho |
Las dos normas que se solapan en cada campaña de cold email española. Fuente: textos consolidados del BOE de la Ley Orgánica 3/2018 y la Ley 34/2002.
El artículo 19 no es la barra libre que te venden
El artículo 19 de la LOPDGDD presume que tratar datos de contacto profesionales se ampara en el interés legítimo del RGPD. Sostiene prácticamente todo el outbound B2B que se hace en España, y quien te vende una base de datos te lo va a citar en la primera llamada.
Léelo despacio, porque viene con dos condiciones cosidas: que el tratamiento se refiera «únicamente a los datos necesarios para su localización profesional» y que la finalidad sea «únicamente mantener relaciones de cualquier índole con la persona jurídica en la que el afectado preste sus servicios». Puedes tener el nombre, el cargo y el email corporativo de Marta porque quieres hablar con la empresa de Marta; lo que no puedes es montarle una ficha con su vida ni tratarla como particular.
Y hay un matiz que se cae de casi todos los artículos que tocan el tema: esa presunción es rebatible. Funciona como punto de partida en una discusión, no como un sello que la zanja.
El artículo 19 de la LOPDGDD resuelve una pregunta y solo una: si puedes tener guardado el email profesional de alguien. Responde que sí, siempre que te limites a los datos necesarios para localizarle en su trabajo y lo uses únicamente para tratar con la empresa donde presta servicios. Sobre si además puedes enviarle publicidad, el artículo 19 no dice nada. Esa segunda pregunta la contesta el artículo 21 de la LSSI, una ley distinta con otro objeto y otro régimen de sanciones. Confundirlas es el error que veo repetido en la mayoría de guías españolas sobre cold email, incluidas las que citan bien la primera.
En el hilo de r/ESLegal alguien lo explicaba mejor que muchos vendors:
Una cuenta de correo profesional puede ser dato personal. Administracion@iberdrola no lo es, joseperez@iberdrola si. Y da igual que este publicado en internet, no lo puedes usar, igual que no podeis sacar fotos de gente de instagram y usarlas en una campaña de publicidad.
La primera mitad es exacta: [email protected] identifica a una persona, así que es un dato personal aunque esté colgado en la web de la compañía. La segunda se pasa de frenada, porque el artículo 19 existe justamente para permitir ese uso profesional. Aun así prefiero al que se pasa de prudente que a la agencia que te jura que un email publicado en internet es de dominio público.
Lo que dice la LSSI, palabra por palabra
Aquí se decide el asunto de verdad. El artículo 21.1 de la LSSI no deja margen a la interpretación creativa:
«Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.»
El apartado 2 abre una excepción bastante más estrecha de lo que se suele contar. Solo aplica con relación contractual previa, datos obtenidos de forma lícita y productos o servicios de tu propia empresa «similares a los que inicialmente fueron objeto de contratación con el cliente». Sirve para venderle otra cosa parecida a un cliente que ya tienes, no para abrir puerta fría.
Ese mismo apartado trae la obligación más concreta y más ignorada de la ley: en cada comunicación tiene que ir una dirección electrónica válida donde el destinatario pueda oponerse, «quedando prohibido el envío de comunicaciones que no incluyan dicha dirección». Sin vía de baja el envío está prohibido, sin entrar siquiera en la discusión del consentimiento.
Dónde está la raya entre leve y grave
La LSSI mete los incumplimientos del artículo 21 en dos cajones muy distintos, y entre uno y otro hay cinco cifras de diferencia.
| Tipo de infracción | Qué la define (art. 38) | Multa (art. 39) |
|---|---|---|
| Leve | Envío que incumple el artículo 21 sin llegar a grave | Hasta 30.000 € |
| Grave | Envío masivo, o insistente y sistemático al mismo destinatario | De 30.001 a 150.000 € |
| Muy grave | Reservada a incumplimientos de mayor entidad | De 150.001 a 600.000 € |
Ahora la parte incómoda: la ley no pone número a la palabra «masivo». Habla de envío «masivo», «insistente» o «sistemático» sin decir a partir de cuántos destinatarios ni en qué plazo. El salto de treinta mil a ciento cincuenta mil euros depende de un adjetivo.
Si me preguntas dónde está la raya exacta, te digo que no lo sé y que desconfíes de quien te diga que sí. Mi criterio es trabajar bastante por debajo de donde la conversación se pone interesante, que además coincide con lo que funciona: mil emails al día con el mismo copy tampoco te va a dar reuniones.
Qué pasa de verdad cuando alguien te reclama
El buscador de resoluciones de la AEPD tiene 942 resoluciones archivadas bajo el epígrafe «Artículo 21 de la LSSI». Antes de que te tiemble el pulso: ahí dentro hay archivos de actuaciones, apercibimientos y sanciones mezclados, así que ese número mide cuánta gente reclama, no cuánta acaba pagando.
Y existe una figura que no he visto mencionada en ninguno de los artículos que rankean por esta búsqueda: el apercibimiento del artículo 39 bis, que permite a la Agencia requerirte medidas correctoras en lugar de abrir procedimiento sancionador cuando aprecia una disminución cualificada de la culpabilidad.
El camino que sigue una reclamación por el artículo 21. Fuente: resolución A/00008/2019 de la AEPD, procedimiento de apercibimiento.
En el procedimiento A/00008/2019, la AEPD resolvió la reclamación de un ciudadano que recibió un correo comercial ofreciéndole un seguro de salud sin haberlo pedido y sin ninguna dirección donde darse de baja. La Agencia comprobó que la empresa remitente no tenía antecedentes por infracción del artículo 21, valoró que no constaba perjuicio al reclamante ni beneficio obtenido con el envío, y en lugar de abrir un procedimiento sancionador la apercibió por infracción leve. Le dio un mes para cesar los envíos a esa dirección, implantar medidas que evitaran repetirlo e incluir un procedimiento de baja en sus comunicaciones.
El patrón que se repite. El primer aviso de la Agencia suele llegar como requerimiento, y la multa aparece cuando hay reincidencia, cuando el envío es masivo o cuando alguien pidió la baja y se le siguió escribiendo. Lo que convierte un susto en una sanción es tu comportamiento después de la primera queja.
Tampoco es que un apercibimiento salga gratis: tienes un mes para responder a una administración, acreditar medidas y documentar de dónde salió ese contacto. Eso son horas de tu vida y, casi siempre, una factura de abogado.
Qué cambiaría yo en tu campaña el lunes
Pon una vía de baja visible y que funcione en cada email que sale, no un enlace escondido en gris claro. El artículo 21.2 la exige incluso dentro de su propia excepción, y quien te diga que eso destroza la entregabilidad confunde el efecto con la causa: lo que dispara los filtros es el volumen y el copy, no la cortesía.
Trata la baja como una urgencia. Cuando alguien pide que pares, paras ese mismo día y lo dejas registrado. Es la diferencia documental entre un apercibimiento y una sanción.
Ten claro de dónde salió cada contacto. Si construyes tu lista con fuentes públicas identificables contestas en dos minutos; si se la compraste a un bróker que no te enseña el origen, esa respuesta no la tienes y te la van a pedir.
Baja el volumen y sube la relevancia. Los adjetivos que la ley reserva al tramo grave son «masivo» y «sistemático», la definición exacta de una campaña de spray and pray. Nadie reclama a la AEPD por un correo de cinco líneas cuando entiende por qué le ha llegado; reclaman por la plantilla mal fusionada que abre con «Hola {{firstName}}», así que cuidar el mensaje también es protección legal.
Lo que no te puedo cerrar
Buena parte del sector español opera amparándose en el interés legítimo para el tratamiento y asumiendo el riesgo del artículo 21 para el envío. Es una zona gris de verdad y no te voy a fingir una certeza que no existe: hay despachos que consideran que el primer contacto profesional cabe y otros que lo ven prohibido sin matices.
Mi postura, que es la de alguien que manda emails y no la de quien redacta dictámenes: la discusión sobre la base legal se ha comido toda la atención mientras la obligación más clara y verificable de la ley, la dirección de baja en cada envío, se incumple a diario en campañas que por lo demás se creen impecables. Si estás montando la primera, empieza por ahí. Es la única parte de todo esto que no admite interpretación.
Y cuando tu volumen justifique una consulta legal en condiciones, hazla con un abogado especializado. Un post te sirve para saber qué preguntar, no para firmar debajo.
