Una campaña comercial puede incumplir la protección de datos aunque utilice contactos reales, identifique al anunciante y ofrezca una baja. Antes del envío o de la llamada debe existir una habilitación válida para ese canal, una procedencia lícita de los datos y un mecanismo efectivo para respetar las decisiones del destinatario. Comprar una lista o contratar una agencia no sustituye esas comprobaciones.
Esta guía explica qué revisar ante el riesgo de sanciones de la AEPD en marketing y publicidad. Incluye una resolución oficial y las reglas aplicables a correo electrónico, SMS, mensajería, llamadas, publicidad postal y seguimiento publicitario. No presenta medias sectoriales ni una tarifa por campaña: la consecuencia depende de la norma infringida, los hechos acreditados y el procedimiento concreto.
Separar el tratamiento de datos y el canal publicitario
El RGPD regula, entre otras cuestiones, la base del tratamiento, la transparencia, la minimización y el derecho de oposición. Para enviar comunicaciones electrónicas comerciales deben respetarse además las condiciones de la LSSI. Para las llamadas existen reglas específicas de la Ley General de Telecomunicaciones. Cumplir una de estas capas no implica cumplir automáticamente las demás.
Por ejemplo, una empresa puede tener legítimamente el correo de una persona para gestionar una reclamación, sin estar habilitada para enviarle ofertas. También puede disponer de consentimiento para un boletín sin permiso para comunicar la dirección a otro anunciante. La revisión de las bases de legitimación debe identificar la operación y finalidad exactas, no solo si el contacto figura en el sistema comercial.
Conviene distinguir una comunicación necesaria para prestar el servicio de una promoción. Un aviso sobre una entrega no se convierte necesariamente en publicidad, pero añadir descuentos y recomendaciones comerciales cambia el análisis del mensaje. Clasificarlo por su contenido real evita utilizar el canal operativo para esquivar una baja o una negativa previa a recibir ofertas.
Correo, SMS y mensajería: la excepción del cliente previo
El artículo 21 de la LSSI prohíbe las comunicaciones publicitarias o promocionales por correo electrónico u otro medio electrónico equivalente que no hayan sido solicitadas o expresamente autorizadas, con la excepción legal de relación contractual previa. La guía sobre LSSI y comunicaciones comerciales desarrolla este régimen junto al de protección de datos.
La excepción exige que el prestador haya obtenido lícitamente los datos de contacto en una relación contractual anterior y los utilice para productos o servicios de su propia empresa similares a los inicialmente contratados. Debe ofrecer oposición mediante un procedimiento sencillo y gratuito tanto al recoger los datos como en cada comunicación. No basta con acreditar una compra antigua y añadir un enlace de baja al último mensaje.
Esa excepción no está reservada al correo electrónico: su redacción comprende las comunicaciones electrónicas a las que se refiere el artículo. Un SMS o un mensaje comercial por una aplicación no queda sometido a una regla automática de consentimiento sin excepciones por el mero nombre del canal. Debe evaluarse si concurre íntegramente la excepción y si el tratamiento respeta las demás obligaciones aplicables.
La similitud de productos merece una explicación comercial concreta. En un supuesto hipotético, una tienda revisaría si una oferta guarda una relación razonable con lo comprado y con la actividad del mismo prestador. Una base compartida entre sociedades de un grupo no demuestra que cada una tenga una relación contractual con el destinatario. La empresa que envía debe poder justificar su propia habilitación.
Cuando se recurre al consentimiento, la persona debe comprender quién enviará comunicaciones, para qué y con qué alcance. Las preferencias por canal ayudan a reflejar esa decisión, especialmente cuando los usos difieren. No deben esconderse finalidades independientes en una aceptación global ni deducirse autorización del silencio, de una casilla previamente marcada o del simple hecho de facilitar un teléfono.
Llamadas con intervención humana y llamadas automáticas
El artículo 66.1 de la Ley General de Telecomunicaciones distingue las llamadas automáticas sin intervención humana y los faxes de las demás llamadas comerciales. Para los primeros exige consentimiento previo. Para las llamadas con intervención humana admite consentimiento u otra base del artículo 6.1 del RGPD, siempre que sus condiciones se cumplan realmente.
La Circular 1/2023 de la AEPD concreta criterios para estas llamadas. La presunción de interés legítimo vinculada a una relación previa exige, entre otros elementos, obtención lícita del contacto y ofertas de productos o servicios propios similares. No permite comunicar datos a otras empresas del grupo para que llamen sin consentimiento previo específico para esa comunicación.
La circular también acota las expectativas razonables cuando no existe contrato vigente, solicitud o interacción durante el último año. Esa referencia no equivale a una autorización universal para llamar durante doce meses ni a un plazo general de eliminación de todos los datos. Los números generados aleatoriamente y los obtenidos de guías tienen reglas que impiden utilizarlos como un atajo hacia llamadas no solicitadas.
Al comienzo de la llamada deben identificarse la empresa y, en su caso, aquella por cuya cuenta se llama, la finalidad comercial y la posibilidad de revocar el consentimiento o de oponerse. La circular exige atender inmediatamente una manifestación inequívoca contraria a recibir llamadas y prevé su grabación como medio de acreditar el cumplimiento. El guion del agente y el sistema que detiene contactos deben funcionar conjuntamente.
Las reglas sectoriales pueden añadir condiciones. En electricidad, el artículo 13.y del Reglamento aprobado por el Real Decreto 88/2026 incorpora un régimen específico para comunicaciones a consumidores personas físicas, con efectos desde junio de 2026. Una campaña de energía necesita esa revisión adicional; no debe reutilizar sin comprobación el análisis de una campaña de otro sector.
Qué demuestra una sanción oficial y qué no permite concluir
La resolución PS/00135/2025 analiza una llamada comercial realizada el 4 de diciembre de 2023. El procedimiento se inició el 29 de agosto de 2025 y terminó con una multa de 5.000 euros a NEGOCIOS R&R 2020, S. L., por vulnerar el artículo 66.1.b de la Ley General de Telecomunicaciones, infracción tipificada en su artículo 107.30.
El documento examina la identificación del titular de la línea, la cadena de contratación y la ausencia de una base acreditada que justificara el contacto. Un contrato entre empresas que describe una actividad de marketing no demuestra por sí solo que una persona concreta autorizara la llamada. La prueba debe conectar la operación comercial con el destinatario, la procedencia del número y la habilitación aplicable.
Se cita la resolución administrativa disponible y consultada el 29 de septiembre de 2026, sin afirmar que su importe sea judicialmente firme ni atribuir su imposición al año de consulta. Los 5.000 euros no son un precio estándar por llamada ni permiten estimar la multa de otra campaña. El análisis depende de la infracción, sus circunstancias y las reglas del procedimiento correspondiente.
Los problemas de captación y trazabilidad también aparecen en las resoluciones del sector de telecomunicaciones. Para comparar antecedentes con el seguimiento de sanciones de 2025, es necesario separar el año de los hechos, el de la decisión y el de su publicación, además de comprobar recursos posteriores.
Listas de exclusión y bajas internas
El artículo 23 de la LOPDGDD regula los sistemas de exclusión publicitaria. Quien pretende realizar marketing directo debe consultar los sistemas que puedan afectar a su actuación y excluir a quienes hayan manifestado la negativa en los términos legales. El precepto exceptúa la consulta cuando el interesado ha consentido recibir la comunicación de quien pretende realizarla; la excepción no valida consentimientos defectuosos o retirados.
La Lista Robinson no sustituye las bajas comunicadas directamente a la empresa. Si una persona se opone ante el agente comercial, el sistema debe evitar nuevos contactos para esa finalidad, aunque otra lista no refleje todavía esa decisión. Tampoco debe afirmarse que la consulta profesional a cualquier sistema es siempre gratuita: las condiciones del servicio son distintas de la gratuidad del ejercicio del derecho para el interesado.
El derecho de oposición al marketing, regulado en el artículo 21.2 y 21.3 del RGPD, permite oponerse en cualquier momento a esa finalidad, incluido el perfilado relacionado, y exige cesar ese tratamiento. No contiene una franquicia general de cuarenta y ocho horas para seguir enviando ofertas. El plazo general de respuesta del artículo 12 no debe utilizarse como permiso para mantener activa una campaña tras una oposición efectiva.
Puede ser necesario conservar un identificador mínimo en una lista de supresión para impedir que el contacto se reimporte desde otra fuente. Esa información tiene una finalidad de respeto de la negativa y requiere acceso limitado y una conservación justificada. No debe mantenerse indefinidamente todo el historial comercial ni reutilizar la lista de oposición como audiencia para otras promociones.
Comprar contactos exige revisar la cadena completa
Una garantía contractual del vendedor de datos puede ser útil para exigir documentación y responsabilidades, pero no sana una obtención o cesión ilícita. Antes de activar la base, conviene examinar el formulario original, la información presentada, la elección realizada, los destinatarios identificados y las fechas. El anunciante necesita conocer si la habilitación comprende su identidad y su uso, no solo una categoría indefinida de «socios».
Cuando varios responsables pretenden apoyarse en el consentimiento original, su identificación y el alcance de la autorización son esenciales. Además, cada tratamiento necesita su propia justificación. No existe una regla según la cual todos los contactos comprados sean necesariamente ilícitos, ni una estadística general que permita declarar conforme o no conforme un porcentaje del mercado sin datos verificables.
Si los datos no se obtienen del interesado, el artículo 14 exige información dentro de sus plazos: a más tardar en un mes, en la primera comunicación cuando se utilicen para contactar, o antes de la primera comunicación a otro destinatario, según corresponda, salvo una excepción aplicable. Cumplir esa transparencia no crea retrospectivamente permiso para un mensaje prohibido por la LSSI.
En un ejemplo hipotético, una agencia entrega una lista recogida en un concurso. La empresa anunciante comprueba que la autorización solo cubría mensajes del organizador. Aunque los participantes esperasen ofertas del concurso, eso no acredita necesariamente mensajes de la nueva empresa. La decisión correcta es detener el uso previsto y aclarar la cobertura jurídica, no enviar un primer anuncio para pedir permiso dentro de él.
Formularios, prueba del consentimiento y perfiles
Un formulario para solicitar presupuesto puede tratar los datos necesarios para responder a la petición sin obligar a aceptar publicidad adicional. La información debe distinguir esa gestión del seguimiento comercial opcional. Si se solicitan datos que no son necesarios para atender la petición, conviene justificar cada campo y evitar que su obligatoriedad fuerce una cesión o un uso no solicitado.
El artículo 7.1 exige poder demostrar el consentimiento cuando esa sea la base. Las directrices finales 05/2020 del Comité Europeo de Protección de Datos explican esa obligación probatoria. Conservar la versión del texto, el momento y el acto afirmativo puede ayudar. Ni una dirección IP concreta ni un sistema de doble confirmación son requisitos universales impuestos por el RGPD para toda alta.
La doble confirmación puede reducir altas efectuadas por terceros y aportar evidencia, pero debe evaluarse según el servicio. Acumular datos técnicos innecesarios para probar una suscripción también puede generar riesgos. Lo relevante es poder reconstruir una elección informada y su retirada, con evidencia proporcionada y resistente a cambios del formulario o del proveedor.
Segmentar destinatarios no activa automáticamente el artículo 22. Este se refiere a decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente de modo similar, con sus excepciones y garantías. Por separado, la evaluación de impacto será obligatoria cuando concurra el alto riesgo del artículo 35, atendiendo al alcance, los datos, las personas y las consecuencias del tratamiento.
Cookies, publicidad postal y control de proveedores
La publicidad mediante cookies y tecnologías similares requiere examinar el artículo 22.2 de la LSSI, incluidas sus excepciones para almacenamiento o acceso técnicamente necesario en los términos legales. Un permiso para recibir correos no autoriza por sí mismo a instalar seguimiento publicitario. La configuración de un aviso de cookies debe corresponder a las herramientas realmente activadas y a las decisiones que puede tomar el usuario.
En publicidad postal, el interés legítimo puede ser una base pertinente tras valorar finalidad, necesidad y ponderación, pero no es una autorización automática para cualquier envío o fuente de datos. La transparencia, la oposición y los sistemas de exclusión siguen siendo relevantes. Cambiar de canal para contactar a quien rechazó el marketing exige respetar el alcance real de su negativa.
La información de privacidad debe describir los actores y usos reales: anunciante, agencia, plataforma y posibles destinatarios. Una agencia puede actuar como encargada para unas operaciones y como responsable de su propia base para otras. La función efectiva determina las obligaciones; el nombre del contrato o el pago de una comisión no las resuelve por sí solo.
Antes de activar una campaña, una comprobación útil recorre un contacto completo: de dónde vino, por qué puede recibir ese mensaje, qué se le explicó y cómo se detendrán los envíos. Después conviene revisar rechazos, reclamaciones y fallos de sincronización entre herramientas. Así se detectan errores que una revisión aislada del texto publicitario no revela, especialmente cuando participan varios proveedores o se reutilizan listas antiguas.