Email marketing y LSSI: ¿puedes escribir a tu lista?

Tienes una lista de correos y quieres saber si puedes escribirles para venderles algo sin meterte en un lío. La respuesta corta: depende de cómo conseguiste esas direcciones y de qué les vas a ofrecer. Si te dieron el correo para comprarte o para pedir un presupuesto, casi siempre puedes; si compraste la lista o la sacaste de webs y directorios, casi nunca. En este artículo separamos los casos concretos, sin rodeos, para que sepas a cuál de tus contactos puedes escribir y a cuál no.

Aquí se cruzan dos normas: la LSSI-CE (Ley 34/2002, que regula la publicidad por medios electrónicos) y el RGPD junto con la LOPDGDD (que regula el tratamiento de los datos personales). La primera dice cuándo puedes mandar el correo comercial; la segunda, cómo tienes que guardar y demostrar el permiso. Las dos se aplican a la vez.

La regla general: consentimiento previo, expreso e informado

El punto de partida de la LSSI es sencillo y estricto: no puedes enviar comunicaciones comerciales por correo electrónico a alguien que no te ha dado permiso antes. Ese permiso tiene que reunir tres condiciones para valer:

Previo: lo dio antes de que le escribieras, no después.
Expreso: hizo un acto claro, como marcar una casilla que no estaba marcada de fábrica. Una casilla premarcada no vale, y el silencio tampoco.
Informado: cuando dijo que sí, sabía quién le iba a escribir y para qué.

Esto es lo que se llama opt-in: la persona entra en tu lista por decisión propia. El caso limpio es el formulario de alta a la newsletter donde alguien escribe su correo y marca la casilla para recibir tus novedades. Si montas bien ese formulario, tienes la base más sólida que existe. Cómo redactar la casilla y qué guardar lo detallamos en la guía sobre el formulario de contacto y el RGPD.

La excepción del cliente previo y sus tres condiciones

La LSSI abre una puerta importante para las empresas: puedes escribir a alguien que ya es tu cliente aunque no marcara ninguna casilla de marketing, siempre que se cumplan estas tres cosas a la vez:

Obtuviste su correo en el marco de una venta o contratación real (te compró, contrató un servicio, te pidió un presupuesto que acabó en pedido).
Le ofreces productos o servicios de tu empresa similares a los que ya contrató.
En cada correo le das una forma fácil y gratuita de darse de baja, y ya se la diste en el momento de recoger el dato.

Traducido: si una peluquería vende un tratamiento a una clienta, puede escribirle para ofrecerle otro tratamiento o un producto de peluquería. Lo que no puede es usar ese mismo correo para venderle un seguro o un viaje, porque eso no es «similar».

Qué es y qué no es un producto o servicio similar

Aquí es donde más gente se equivoca de buena fe. «Similar» no significa «cualquier cosa que yo venda», significa que el cliente razonablemente esperaría que le ofrecieras eso a raíz de lo que ya te compró. No hay una lista cerrada, pero el criterio práctico es este:

Compró unas zapatillas de correr y le ofreces otras zapatillas o ropa deportiva: similar.
Compró unas zapatillas y le ofreces suplementos alimenticios que ahora también vendes: zona gris, tirando a no.
Compró unas zapatillas y le ofreces una promoción de tu nueva agencia de viajes: no, necesitas consentimiento aparte.

Cuando dudes, la salida honesta no es forzar la interpretación: es pedir el consentimiento específico. Un correo diciendo «ahora también hacemos X, ¿quieres que te avisemos?» con un enlace para apuntarse es legal aunque X no sea similar, porque en ese caso la persona te está dando el opt-in nuevo.

Bases de datos compradas: por qué son un problema y no una oportunidad

Es tentador. Alguien te ofrece «5.000 correos de gerentes del sector» y parece un atajo. No lo es, y estas son las razones concretas:

Esas personas no te dieron el consentimiento a ti. El consentimiento no se compra ni se transfiere: quien lo dio (si lo dio) lo dio a otra empresa y para otra finalidad.
No puedes demostrar de dónde salió cada dato ni que la persona aceptara nada. El día que uno reclame, no tienes con qué defenderte.
La calidad suele ser pésima: direcciones muertas, trampas antispam (spamtraps) y quejas que queman la reputación de tu dominio y hacen que tus correos legítimos empiecen a caer en la carpeta de spam de todos, no solo de la lista comprada.

Comprar listas junta lo peor de dos mundos: riesgo de sanción y daño técnico a tu propio correo. Si notas que tus envíos empiezan a rebotar o a ir a spam, el problema de fondo suele estar en la autenticación del dominio; conviene revisar SPF y DKIM antes de que la cosa vaya a más.

Requisitos de cada envío: identificación, palabra publicidad y baja

Aunque tengas el permiso perfecto, cada correo comercial tiene que cumplir unos mínimos de forma. No son opcionales:

Identificarse como publicidad. La comunicación tiene que ser claramente reconocible como comercial. En España se ha usado la práctica de incluir la palabra publicidad o la abreviatura publi al inicio del asunto o del mensaje. Como mínimo, que nadie pueda confundirlo con un correo personal.
Decir quién eres. El correo debe identificar a la empresa en cuyo nombre se hace la promoción: nombre o denominación social y una forma de contacto.
Baja fácil y gratuita en cada envío. Un enlace o dirección para darse de baja que funcione de verdad, en todos los correos, y que se procese sin poner pegas. Nada de «responde con BAJA y en 30 días te sacamos».

La baja, además, tienes que respetarla de inmediato. Seguir escribiendo a alguien que se dio de baja es una de las cosas que más denuncias genera y de las más fáciles de probar en tu contra.

Correo frío B2B: dónde está el límite real en España

Esta es la pregunta que más se repite: «pero si escribo de empresa a empresa, ¿no vale?». La creencia popular dice que el correo frío entre empresas es libre. La realidad en España es más incómoda.

La LSSI regula la publicidad por correo electrónico con independencia de quién sea el destinatario. Y en cuanto el correo va dirigido a una persona identificable ([email protected], o incluso info@ de un autónomo), hay un dato personal de por medio y entra también el RGPD. Es decir: mandar publicidad en frío a un buzón corporativo no está automáticamente permitido solo por ser B2B.

Existe un margen defendible cuando: escribes a una dirección genérica de una persona jurídica (no a una persona física identificada), tu oferta tiene relación directa con la actividad de esa empresa, y ofreces baja desde el primer contacto. Pero es un terreno interpretable, y la tendencia de la autoridad es restrictiva. El enfoque sano para una pyme no es exprimir ese margen, sino convertir el frío en tibio: contenido útil, un formulario donde la gente se apunte, presencia real. Que te escriban ellos primero es más barato que ganar una reclamación.

Si te llega una reclamación por un envío, conviene saber cómo se resuelven de verdad estos casos y qué cuantías se manejan; lo repasamos con ejemplos en el artículo sobre sanciones de la AEPD a pymes.

Cómo demostrar el consentimiento el día que te reclaman

El RGPD funciona con una regla que cambia la partida: la carga de la prueba es tuya. No basta con que tú sepas que la persona se apuntó; tienes que poder demostrarlo. Si no puedes, a efectos prácticos es como si no hubiera consentimiento. Esto es lo mínimo que deberías estar guardando por cada contacto:

Qué aceptó: el texto exacto que había junto a la casilla el día que se apuntó (guarda la versión, porque los textos cambian con el tiempo).
Cuándo: fecha y hora del alta.
Cómo: origen del alta (qué formulario, qué página) y, si tu sistema lo registra, la IP.
El histórico de bajas: cuándo se dio de baja alguien, para probar que dejaste de escribirle.

La mayoría de plataformas de email marketing serias guardan estos datos por ti si tienes activado el doble opt-in (la persona se apunta y confirma pulsando un enlace que le llega al correo). Actívalo: te da la prueba más limpia que existe y te limpia la lista de direcciones falsas de paso. Todo esto forma parte del deber general de responsabilidad proactiva que la normativa exige a cualquier empresa que trata datos; el marco completo lo tienes en nuestra guía de normativa de protección de datos y ciberseguridad para pymes.

Antes de darle a enviar, mira tu correo por dentro

Enviar dentro de la ley es media batalla; la otra media es que los correos lleguen. Un dominio mal autenticado hace que hasta tus envíos permitidos acaben en spam, y eso no lo arregla ningún abogado. Comprueba gratis la configuración de tu correo (SPF, DKIM y DMARC) y sabrás en un minuto si tu dominio está preparado para que tus campañas lleguen a la bandeja de entrada y no te suplanten por el camino.

Seguir leyendo en esta sección

Ver todo en Cookies y textos legales → · Mapa completo del sitio