RGPD y email marketing: guía práctica de cumplimiento
Cómo rigen de verdad el RGPD y la Directiva ePrivacy el email marketing: bases legales, consentimiento, soft opt-in, prueba, derechos de las personas suscritas e implementación práctica.
Qué exige realmente el RGPD a quien hace email marketing
Dicho claro: el Reglamento General de Protección de Datos (Reglamento (UE) 2016/679) no contiene ninguna norma que diga “necesitas consentimiento para enviar un email”. Lo que regula son los datos personales que hay detrás de tu programa de email. Necesitas una base legal para tratarlos, transparencia sobre ellos, exactitud, limitación del plazo de conservación, seguridad y prueba de todo lo anterior. El artículo 5.2 lo resume en una línea: el responsable “será responsable del cumplimiento” de los principios del tratamiento “y capaz de demostrarlo”.
La norma que decide si puedes pulsar enviar está en un instrumento distinto, la Directiva ePrivacy. La mayoría de los artículos sobre este tema mezclan los dos y dan una respuesta equivocada. Mantenerlos separados es el objetivo de esta guía.
Este artículo es orientación práctica para profesionales de marketing, no asesoramiento jurídico. Cita fuentes primarias para que puedas comprobarlas, pero la normativa de protección de datos la aplican autoridades y tribunales nacionales, las transposiciones nacionales difieren y tus circunstancias importan. Antes de cambiar un flujo de consentimiento, una regla de conservación de datos o una transferencia internacional, consulta a un profesional cualificado en tu jurisdicción.
RGPD y ePrivacy: dos instrumentos, un envío
Qué dice la Directiva ePrivacy
La Directiva 2002/58/CE, la Directiva ePrivacy, modificada por la Directiva 2009/136/CE, fija la norma del envío. El artículo 13.1 solo permite el correo electrónico para marketing directo respecto de abonados que hayan dado su consentimiento previo. “Correo electrónico” se define de forma amplia y neutral respecto de la tecnología: el Dictamen 5/2004 del Grupo de Trabajo del Artículo 29 confirmó que abarca las newsletters por email además del SMS y mensajes almacenados similares. El artículo 13.2 recoge la excepción de cliente existente, y el artículo 13.4 prohíbe el email de marketing que disimule la identidad del remitente o que carezca de “una dirección válida a la que el destinatario pueda enviar una petición de que se pongan fin a tales comunicaciones”.
Por qué esto importa en la práctica
El consentimiento no se define en la Directiva ePrivacy. Toma su significado de la normativa general de protección de datos: el artículo 94.2 del RGPD establece que las referencias a la derogada Directiva 95/46/CE se entienden hechas al RGPD. Así que ePrivacy decide cuándo hace falta consentimiento para el acto de enviar, y el RGPD decide qué cuenta como consentimiento y cómo lo demuestras.
Por tanto puedes tener una base válida del RGPD para conservar y analizar la ficha de un contacto y aun así no tener derecho a enviarle un email. Y como ePrivacy es una directiva y no un reglamento, se transpone al derecho nacional, así que los detalles cambian entre Estados miembros.
Elegir una base legal para el email marketing
Consentimiento
El consentimiento del artículo 6.1.a es en lo que se apoya la mayoría de los programas de email dirigidos a consumidores, y con razón: si ePrivacy ya exige consentimiento previo para el envío, usar el consentimiento como base del RGPD mantiene un solo relato en vez de dos. El precio es que puede retirarse en cualquier momento en virtud del artículo 7.3.
Interés legítimo
El artículo 6.1.f permite el tratamiento necesario para los intereses legítimos del responsable, salvo que prevalezcan los intereses o derechos fundamentales de la persona interesada. El considerando 47 dice explícitamente que “el tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo”.
Esa frase se cita constantemente para argumentar que el consentimiento es opcional. Léela con atención. Se refiere a la base del RGPD para el tratamiento, dice “puede considerarse”, así que sigues teniendo que hacer y documentar la ponderación, y no dice nada sobre la norma de ePrivacy para el envío. El interés legítimo es más defendible para el tratamiento alrededor de tu programa, como la segmentación, la supresión y la analítica, y para el contacto entre empresas cuando las normas nacionales tratan de forma distinta a los abonados corporativos. Es una base débil para el email en frío a consumidores en la UE.
El soft opt-in para clientes existentes
El artículo 13.2 de la Directiva ePrivacy es la verdadera excepción. Cuando alguien obtiene los datos de contacto de correo electrónico de sus clientes “en el contexto de la venta de un producto o de un servicio”, esa misma persona puede usarlos para promocionar “sus propios productos o servicios similares”, siempre que a los clientes “se les ofrezca de forma clara y expresa la posibilidad de oponerse, de forma gratuita y sencilla” tanto al recogerse los datos como en cada mensaje posterior.
El Grupo de Trabajo del Artículo 29 dijo que esta excepción “está limitada de varias formas y debe interpretarse de manera restrictiva”. Vale la pena memorizar tres límites:
- Se aplica solo a clientes reales. Quien abandonó un checkout no está cubierto.
- Solo puede enviar la misma persona jurídica que recogió la dirección. Las filiales y las matrices no son la misma empresa.
- Solo valen productos o servicios similares, juzgados desde las expectativas razonables de quien recibe y no desde las ambiciones de quien envía.
Cómo varía el soft opt-in entre Estados miembros
Como la directiva se transpuso a escala nacional, aquí es donde el mismo consejo diverge de verdad según el mercado.
En Irlanda, la regla 13(11) del S.I. No. 336/2011 reformula la excepción y añade un límite temporal estricto: la venta debe haberse producido “no más de 12 meses antes del envío de la comunicación de marketing directo”, o los datos deben haberse usado para email de marketing dentro de ese periodo.
En el Reino Unido, la norma equivalente es la regla 22 de PECR, y la ICO no fija ningún límite temporal así. Describe el soft opt-in como algo que cubre a un cliente existente “que compró (o negoció comprar) un producto o servicio similar en el pasado”, y señala que no se aplica a clientes potenciales, listas compradas ni promociones no comerciales como la captación de fondos benéficos y las campañas políticas.
Dos mercados vecinos, dos normas materialmente distintas. Nunca des por hecho que tu versión local viaja contigo.
Qué significa realmente un consentimiento válido
El artículo 4.11 define el consentimiento como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. El Comité Europeo de Protección de Datos desarrolló cada elemento en las Directrices 05/2020 sobre el consentimiento, adoptadas el 4 de mayo de 2020.
Los cuatro elementos
- Libre. El artículo 7.4 dice que se tendrá “en cuenta en la mayor medida posible” si la ejecución de un contrato se supedita al consentimiento a un tratamiento que no es necesario para él. No conviertas el consentimiento de marketing en una condición del checkout.
- Específico. Cuando el tratamiento tiene varios fines, el consentimiento debe darse para todos ellos (considerando 32). Fines distintos necesitan elecciones distintas: apuntarse a una newsletter no es consentir el SMS, ni compartir datos con terceros.
- Informado. El artículo 7.2 exige que una solicitud de consentimiento incluida en una declaración más amplia sea “claramente distinguible de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo”.
- Inequívoco. Tiene que haber una declaración o una clara acción afirmativa.
Qué no cuenta
El considerando 32 es tajante: “El silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento”. Tampoco lo es una casilla enterrada en las condiciones, ni una única marca que cubra email, SMS, elaboración de perfiles y cesión a terceros.
Retirada
El artículo 7.3 otorga el derecho a retirar el consentimiento en cualquier momento, exige informar de ese derecho de antemano y establece que “será tan fácil retirar el consentimiento como darlo”. Si alguien puede suscribirse con un clic, un flujo de retirada que exige iniciar sesión y llegar a una página de ajustes escondida no cumple el estándar. La retirada no es retroactiva: el tratamiento realizado antes sigue siendo lícito.
Prueba: qué debes poder demostrar
El artículo 7.1 es corto y decisivo: “Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales”. Una columna con “aceptó: sí” no demuestra nada. Un registro que reconstruye el momento del consentimiento, sí.
Qué registrar en el alta
Captura y guarda, por contacto y por finalidad:
- Marca de tiempo de la acción de consentimiento, en una zona horaria estable.
- Origen y método: qué formulario, URL de la página, canal o evento presencial.
- El texto exacto del consentimiento y la versión del aviso de privacidad que se mostró. Un identificador de versión que apunte a un texto archivado es más práctico que guardar el texto completo en cada fila.
- Las finalidades concretas aceptadas, como indicadores separados en vez de un único booleano.
- Evidencia de confirmación y marca de tiempo cuando uses doble aceptación.
- Dirección IP cuando sea proporcionado al riesgo. Es una práctica habitual y una prueba útil, pero no un requisito legal, y es en sí misma un dato personal.
El artículo 30 exige por separado a la mayoría de las organizaciones llevar un registro de actividades de tratamiento: finalidades, categorías de interesados y de datos, destinatarios, transferencias, plazos de conservación y medidas de seguridad. La exención para organizaciones con menos de 250 empleados es estrecha y decae cuando el tratamiento puede entrañar un riesgo para los derechos y libertades, no es ocasional o incluye categorías especiales de datos. El marketing habitual a una base de clientes no es ocasional.
Cuánto tiempo conservar la prueba del consentimiento
El RGPD no fija un plazo concreto. El principio operativo es que la prueba del consentimiento debe sobrevivir al marketing que justifica, más el periodo en el que podría plantearse de forma realista una reclamación. Borrar la ficha de una persona suscrita conservando una entrada de registro minimizada que demuestra el permiso es lo normal.
Derechos de las personas que afectan a los programas de email
Cinco derechos aparecen una y otra vez en las operaciones de email.
- Acceso (artículo 15). Confirmación de si tratas sus datos, una copia de estos e información que incluye finalidades, categorías de datos, destinatarios, plazos de conservación, el origen y cualquier decisión automatizada o elaboración de perfiles. Para los programas de email eso suele significar el historial de engagement y la pertenencia a segmentos, no solo la dirección.
- Rectificación (artículo 16). Corrección de datos inexactos sin dilación indebida y completado de datos incompletos.
- Supresión (artículo 17). Incluido el 17.1.b, cuando se retira el consentimiento y no hay otra base aplicable, y el 17.1.c, cuando la persona se opone conforme al artículo 21.2.
- Oposición al marketing directo (artículo 21). El absoluto. Según el 21.2, la persona interesada “tendrá derecho a oponerse en todo momento” al tratamiento con fines de marketing directo, incluida la elaboración de perfiles relacionada. Según el 21.3, “los datos personales dejarán de ser tratados para dichos fines”. No hay ponderación que aplicar.
- Portabilidad (artículo 20). Se aplica cuando el tratamiento se basa en el consentimiento o en un contrato y es automatizado, y cubre los datos que la persona facilitó. Las puntuaciones y segmentos derivados quedan en general fuera.
Plazos de respuesta
El artículo 12.3 exige actuar sin dilación indebida y, en todo caso, en el plazo de un mes desde la recepción. Ese plazo puede prorrogarse dos meses más por la complejidad o el número de solicitudes, y debes informar a la persona, con los motivos, dentro del primer mes. Una oposición al marketing merece algo mejor que el máximo: trátala como una supresión inmediata y luego gestiona el papeleo dentro del plazo legal.
Implementación práctica
Formularios de alta
Una casilla sin marcar y claramente etiquetada por cada finalidad. Nombra al remitente, di qué vas a enviar y con qué frecuencia aproximada, y enlaza el aviso de privacidad en vez de reproducirlo. No mezcles el consentimiento de marketing con la aceptación de las condiciones ni condiciones la compra a él. Guarda la versión del formulario para poder demostrar después qué había en pantalla.
La doble aceptación y su estatus legal real
La doble aceptación no la exigen ni el RGPD ni la Directiva ePrivacy. Ningún artículo la impone. Lo que produce es prueba: un clic de confirmación, desde el buzón en cuestión, en un momento registrado, es lo más parecido a la mejor prueba disponible de que una persona real que controla esa dirección aceptó. El Grupo de Trabajo del Artículo 29 señaló que los métodos en los que alguien se registra y después se le pide que lo confirme “parecen ser compatibles con la Directiva”.
Así que está recomendada, a veces con fuerza, y en algunos mercados es la norma. No es la ley. La mecánica está en nuestra guía de la doble aceptación.
Centros de preferencias y gestión de las bajas
Todo mensaje de marketing necesita una dirección válida para las solicitudes de baja, y bajo la excepción de cliente existente una vía de oposición sencilla y gratuita en cada mensaje es una condición, no una cortesía. Un centro de preferencias que ofrezca opciones de frecuencia y de temas es una buena práctica, pero una baja global sencilla y en un paso debe seguir estando disponible. Procesa las bajas de forma automática; las colas manuales son la manera en que las organizaciones acaban enviando después de una oposición.
Listas de supresión que deben sobrevivir a las migraciones
Una baja es una instrucción permanente, no un ajuste por lista. El estado de supresión tiene que ser global entre marcas, entre los canales que cubre la oposición y entre plataformas. El momento peligroso es una migración o una reimportación: los contactos pasan al sistema nuevo y los indicadores de oposición no viajan con ellos. Esta es la forma más habitual en que un programa que cumplía deja de cumplir sin hacer ruido.
El mismo riesgo vive en cada integración entre una tienda, un CRM y una plataforma de email, que es donde el consentimiento y el estado de supresión se pierden por el camino. Si estás moviendo datos de Shopify hacia Brevo, Tajo es la capa de sincronización que transporta esos campos entre sistemas. Sea cual sea tu herramienta, la prueba es la misma: después de cualquier migración, confirma que una dirección suprimida conocida sigue estando suprimida.
Conservación y repermisos de listas antiguas
La limitación del plazo de conservación se aplica a las listas de marketing, así que fija una regla documentada de conservación para los contactos inactivos y aplícala. Si una lista lleva años sin usarse, a menudo se propone una campaña de repermiso. Ten cuidado: un email de “confirma que sigues queriendo saber de nosotros” es en sí mismo una comunicación de marketing en la mayoría de las lecturas, así que solo puede ir a personas a las que hoy puedes escribir lícitamente. Si no puedes demostrar una base ahora mismo, la respuesta honesta es borrar. Nuestra guía de limpieza de listas de email cubre la parte de higiene.
Tu proveedor de email es un encargado del tratamiento
Tu proveedor de servicios de email trata datos personales siguiendo tus instrucciones, así que se aplica el artículo 28. Debe existir un contrato u otro acto jurídico vinculante que fije el objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos y las categorías de interesados. El artículo 28.3 exige además cláusulas sobre instrucciones documentadas, confidencialidad, seguridad del artículo 32, subencargados, asistencia con las solicitudes de las personas y deberes en caso de brecha, supresión o devolución de los datos al terminar el servicio, y derechos de auditoría. La mayoría de los proveedores publican un contrato de encargo estándar. Lee su lista de subencargados.
Transferencias internacionales
Si los datos personales salen del EEE, necesitas un mecanismo de transferencia. El artículo 45 permite transferencias a países o marcos que la Comisión Europea ha declarado adecuados. Si no, el artículo 46 exige garantías apropiadas, lo más habitual las cláusulas contractuales tipo de la Comisión, o normas corporativas vinculantes dentro de un grupo. Las decisiones de adecuación cubren varias jurisdicciones, incluido el Marco de Privacidad de Datos UE-EE. UU. adoptado el 10 de julio de 2023. Comprueba dónde guarda los datos tu proveedor de email, no solo dónde tiene la sede.
Cómo se llama el reglamento en tu mercado
El instrumento es el mismo en toda la UE. El nombre no.
| Mercado | Nombre local | Notas |
|---|---|---|
| Alemania, Austria | DSGVO | Datenschutz-Grundverordnung, según la autoridad federal alemana |
| Francia | RGPD | Reglement general sur la protection des donnees, según la CNIL |
| España | RGPD | Reglamento General de Protección de Datos, según la AEPD |
| Países Bajos | AVG | Algemene verordening gegevensbescherming, según la Autoriteit Persoonsgegevens |
| Polonia | RODO | La abreviatura que usa la autoridad polaca UODO |
| Italia | RGPD o GDPR | El Garante usa ambas, junto a Regolamento (UE) 2016/679 |
| Irlanda, uso en inglés | GDPR | También habitual en el uso empresarial italiano y neerlandés |
Fuera de la UE el vocabulario cambia otra vez. El Reino Unido tiene el UK GDPR junto a PECR. Turquía tiene la Kisisel Verilerin Korunmasi Kanunu, ley n.º 6698, conocida como KVKK. Brasil tiene la Lei Geral de Protecao de Dados Pessoais, ley n.º 13.709 de 14 de agosto de 2018, la LGPD. Indonesia tiene la Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Son regímenes separados con sus propias normas, no traducciones, y cumplir el RGPD no significa cumplirlos automáticamente.
Sanciones, y qué hacen realmente las autoridades
El artículo 83 fija dos niveles: hasta 10 millones de euros o el 2 por ciento del volumen de negocio total anual mundial en el 83.4, y hasta 20 millones de euros o el 4 por ciento en el 83.5, aplicándose en cada caso la cuantía mayor. El nivel superior cubre los principios básicos y las condiciones del consentimiento de los artículos 5, 6, 7 y 9, los derechos de las personas de los artículos 12 a 22 y las normas de transferencia de los artículos 44 a 49, así que los fallos de consentimiento y las oposiciones ignoradas están ahí. Las normas nacionales de ePrivacy añaden sus propias sanciones: en Irlanda, incumplir la regla 13 es un delito y cada mensaje cuenta por separado.
Para un remitente de tamaño medio, el riesgo cotidiano no es una multa de titular. Es una única reclamación que provoca la pregunta de la autoridad: enséñanos el consentimiento de esta dirección.
Donde se encuentran el cumplimiento y el rendimiento
Hecho bien, esto además mejora el rendimiento. Las listas construidas sobre un permiso genuino y específico interactúan más y se quejan menos, que es justo lo que premian los sistemas de entregabilidad. Nuestra guía de entregabilidad del email explica ese mecanismo, y nuestra guía de construcción de listas de email cubre una captación que aguanta el escrutinio.