En resumen
Para enviar newsletters cumpliendo la ley en España necesitas cinco cosas: el consentimiento expreso de quien recibe tus emails (o, para tus clientes, la excepción de la relación contractual previa de la LSSI), la prueba de ese consentimiento, una información clara, un enlace de baja en cada email y un proveedor que trate los datos por tu cuenta con un contrato de encargo (DPA), mejor con los datos en la Unión Europea. Aquí tienes cada punto explicado en la práctica.
Cuándo necesitas el consentimiento
En España el email comercial se rige por tres textos: el RGPD (Reglamento UE 2016/679), la LOPDGDD (Ley Orgánica 3/2018) y, sobre todo, la LSSI (Ley 34/2002). Su artículo 21 es claro: queda prohibido enviar comunicaciones publicitarias por correo electrónico que no hayan sido solicitadas o expresamente autorizadas por quien las recibe.
En la práctica, el consentimiento solo vale si cumple estas condiciones:
- Es libre: nada de casillas premarcadas ni de consentimiento obligatorio para usar un servicio o descargar un regalo.
- Es específico: aceptar la newsletter es distinto de aceptar las condiciones de compra.
- Es informado: dices quién eres y qué vas a enviar.
- Es una acción clara: el silencio o no hacer nada no es consentimiento.
- Una dirección encontrada en internet, en una web o en un directorio, no te autoriza a escribir.
La LSSI no hace excepción para las empresas: la prohibición vale también para direcciones profesionales.
La relación contractual previa: escribir a tus clientes
El artículo 21.2 de la LSSI prevé una excepción útil para quien vende. Si existe una relación contractual previa y obtuviste el email de forma lícita, puedes enviar comunicaciones sobre productos o servicios de tu empresa similares a los contratados, con dos condiciones:
- al recoger el email ofreciste una forma sencilla y gratuita de oponerse;
- cada comunicación vuelve a ofrecer esa misma forma de darse de baja.
La excepción no cubre a quien solo pidió un presupuesto, te dejó una tarjeta o participó en un sorteo, ni las ofertas de otras empresas: para ellos necesitas el consentimiento.
Cómo recoger el consentimiento bien
- Usa un formulario claro: di qué vas a enviar y cada cuánto (“ofertas y novedades, una o dos veces al mes”).
- Si el formulario sirve también para otra cosa (un pedido, una reserva), añade una casilla sin marcar solo para la newsletter.
- Enlaza la información de privacidad: quién trata los datos, para qué y durante cuánto tiempo.
- Activa el doble opt-in: quien se suscribe confirma con un clic desde su correo. La ley no lo exige, pero es la prueba más sólida.
- Pide solo los datos que necesitas: email y nombre bastan casi siempre.
Demostrar el consentimiento
El RGPD (artículo 7) exige poder demostrar que hay consentimiento. No necesitas una firma, pero sí poder enseñar quién aceptó, cuándo, cómo y a qué. Para cada contacto guarda:
- de dónde llegó (formulario de la web, tienda, importación de un archivo, caja);
- fecha y hora del alta y de la confirmación;
- el texto que la persona vio al suscribirse;
- en las importaciones, el origen de la lista y cómo se obtuvo el consentimiento.
En Spedito estos datos se guardan solos en cada contacto: los ves al abrir su ficha, en el apartado de consentimiento. Lo explicamos en Consentimiento y RGPD.
Qué debe llevar cada email
- Quién eres: el nombre del negocio como remitente, reconocible. La LSSI (artículo 20) pide que se identifique claramente en nombre de quién se envía.
- Que se vea que es comercial: una comunicación publicitaria debe poder identificarse como tal.
- Un enlace de baja que funcione en un clic. Gmail y Yahoo también lo piden como cabecera técnica a quien envía mucho, y quieren que la baja se aplique en dos días.
- Una dirección de contacto del negocio.
Spedito añade automáticamente el enlace de baja, también la baja en un clic desde el buzón, y tu dirección postal, en el idioma de quien recibe el email. Quien se da de baja no vuelve a recibir nada, aunque lo importes de nuevo por error.
El proveedor: contrato de encargo y dónde están los datos
La plataforma que usas para tus newsletters trata los datos de tus suscriptores por tu cuenta: para el RGPD es un encargado del tratamiento y necesitas un contrato por escrito, el DPA (artículo 28). Revisa también dónde se guardan los datos: si salen de la Unión Europea hacen falta garantías adicionales.
Con Spedito el DPA vale para todos los clientes y está en las páginas legales. Los datos se quedan en la Unión Europea: la base de datos está en Fráncfort y los emails salen de servidores en Irlanda. La lista completa de proveedores está en la política de privacidad.
Listas compradas, derechos y sanciones
No compres listas de direcciones. Quien te las vende no puede pasarte un consentimiento que le dieron a él, y las listas compradas están llenas de direcciones viejas y trampas antispam que estropean también la entrega de tus emails.
Las personas tienen derecho a saber qué datos guardas, a corregirlos y a suprimirlos. En Spedito, desde la ficha del contacto, exportas sus datos o lo eliminas para siempre con un clic.
Las multas del RGPD (artículo 83) llegan a 20 millones de euros o al 4 % de la facturación mundial, y la AEPD sanciona con frecuencia el envío de publicidad sin consentimiento con arreglo a la LSSI. Para un pequeño negocio, además, el riesgo más inmediato son las denuncias de spam, que mandan a la carpeta equivocada incluso los emails de quien sí te eligió.
La lista de comprobación final
- Formulario con finalidad clara y casilla sin marcar (si hace falta).
- Información de privacidad enlazada desde el formulario.
- Doble opt-in activado.
- Para clientes: opción de oponerse ofrecida al comprar.
- Origen y fecha del consentimiento guardados en cada contacto.
- Enlace de baja y dirección en cada email.
- DPA firmado con el proveedor, datos en la UE.
- Ninguna lista comprada ni copiada de internet.
Preguntas frecuentes
¿Puedo enviar la newsletter a mis clientes sin consentimiento?
Sí, con la excepción de la relación contractual previa del artículo 21.2 de la LSSI: si obtuviste su email de forma lícita en una compra, puedes ofrecerles productos propios similares, siempre que pudieran oponerse al darte el email y en cada envío.
¿El doble opt-in es obligatorio en España?
No, ninguna norma lo exige. Pero debes poder demostrar el consentimiento, y el doble opt-in es la forma más segura de hacerlo.
¿Puedo escribir a empresas sin consentimiento?
En España no: la LSSI no distingue entre particulares y empresas. Necesitas el consentimiento, salvo que haya una relación contractual previa.
¿Durante cuánto tiempo puedo guardar los contactos?
Mientras la persona siga suscrita y tenga sentido escribirle. A quien no abre desde hace mucho es mejor quitarlo: también mejora la entrega. Guarda las pruebas del consentimiento mientras uses los datos, y el tiempo en que podrías tener que mostrarlas.
¿Spedito cumple el RGPD?
Spedito guarda los datos en la Unión Europea, ofrece el DPA a todos los clientes, guarda la prueba del consentimiento, añade la baja a cada email y te permite exportar o borrar los datos de un contacto. Decidir a quién puedes escribir sigue siendo responsabilidad tuya.