RGPD y email marketing: checklist práctico para pymes

La conversación se repite en muchas pymes. Alguien propone mandar una campaña a “la base de datos” y otro pregunta de dónde salieron esos contactos. Silencio. Hay direcciones del formulario de la web, tarjetas de una feria de hace tres años, una hoja que dejó un comercial que ya no está y un archivo que alguien compró en su día. Todo mezclado en la misma lista. El problema no es el envío: el problema es que nadie sabe con qué permiso está ahí cada dirección.

Antes de entrar en materia, un aviso que va en serio: esto es orientación general para ordenar procesos y datos, no asesoramiento jurídico. Cada caso depende del tipo de contacto, del sector y de cómo se recogió la información, así que valida con tu asesoría antes de dar nada por bueno.

Resumen

Todo el email marketing se sostiene sobre una pregunta que debes poder responder dirección por dirección: por qué tengo permiso para escribir aquí. En la mayoría de los casos ese permiso es un consentimiento que puedes demostrar con fecha, origen y texto exacto de lo que se aceptó. Existe una excepción acotada para clientes que ya te compraron, y conviene usarla con prudencia y con criterio profesional. Lo demás son consecuencias: registrar bien el alta, dar una baja que funcione de verdad, no comprar listas y elegir un proveedor que te deje demostrar todo lo anterior.

Cada lista necesita su base jurídica, y no todas tienen la misma

El error más común no es enviar sin permiso: es tener una sola lista donde conviven permisos distintos. Separa por origen y responde por cada grupo.

Personas que se apuntaron en tu web o en un evento. La base habitual aquí es el consentimiento, y el marco lo fija el Reglamento General de Protección de Datos, desarrollado en España por la LOPDGDD. Debe ser una acción afirmativa clara: casilla sin marcar que la persona marca, información previa de quién eres y para qué vas a usar su correo, y posibilidad de retirarlo tan fácil como se dio.

Clientes que ya te compraron. La Ley 34/2002, conocida como LSSI, contempla en su artículo 21 una excepción para comunicaciones comerciales dirigidas a personas de las que obtuviste la dirección en el contexto de una contratación previa, siempre que se trate de productos o servicios similares a los que ya contrataron y que en cada comunicación ofrezcas la posibilidad de oponerse. Es una excepción real, pero es estrecha: “similar” no significa “cualquier cosa que vendamos” y “cliente” no significa “alguien que pidió presupuesto”. Antes de apoyar toda tu estrategia en ella, que la lea tu asesoría con tu caso concreto delante.

Contactos profesionales de empresa. Aquí hay matices según se dirija la comunicación a una persona identificada o a un buzón genérico de la organización. Es terreno donde conviene ir con criterio profesional, no con reglas de foro.

Contactos de origen desconocido. Si no puedes decir de dónde salió una dirección, no tienes base jurídica: tienes una dirección. La Agencia Española de Protección de Datos publica guías y resoluciones que dan bastante idea de cómo se mira esto desde fuera.

Qué hay que registrar del consentimiento

“Tengo su consentimiento” no vale de nada si no puedes enseñarlo. Un registro razonable guarda, por cada alta:

Dato	Por qué importa
Fecha y hora del alta	Sitúa el consentimiento en el tiempo
Origen concreto	Formulario de contacto, descarga, evento, alta en tienda
Texto exacto aceptado	Lo que la persona leyó, no lo que dice tu política hoy
Versión de la política de privacidad	Las políticas cambian y el consentimiento se dio sobre una
Prueba técnica	Registro del envío del formulario, doble confirmación por correo si la usas
Bajas y oposiciones	Fecha y canal, para no volver a escribir por error

La confirmación por doble paso (la persona se apunta y confirma desde un correo) no es una obligación general, pero resuelve dos problemas a la vez: te deja una prueba sólida y limpia las direcciones mal escritas o ajenas. En una pyme, esa tranquilidad compensa perder algunos suscriptores.

Si tus listas mezclan formularios web, contactos de ferias y bases heredadas, podemos ordenar el origen de cada contacto y cómo se registra su consentimiento en tus herramientas de envío. Es trabajo de procesos y datos, y deja el terreno preparado para que tu asesoría revise sobre información fiable.

La baja tiene que funcionar de verdad

Este es el punto donde más pymes fallan sin darse cuenta, y es también el que más reclamaciones genera.

Una baja funcional es un enlace visible en cada envío, que se completa en un clic o dos, sin pedir contraseña, sin obligar a entrar en una cuenta y sin un formulario de tres preguntas antes de dejarte salir. Y una vez pulsada, tiene que surtir efecto en todas las listas donde esté esa persona, no solo en la campaña desde la que se dio de baja. Ese detalle se escapa constantemente cuando hay varias herramientas en marcha: la persona se da de baja del boletín y sigue recibiendo la promoción mensual desde otro sistema.

Comprueba también que la dirección de remite acepta respuestas. Un “noreply@” que rebota convierte una petición de baja en una reclamación.

Listas compradas: la respuesta es no

Alguien te ofrecerá un archivo con miles de correos de tu sector. Suena a atajo y es lo contrario.

No puedes demostrar el consentimiento de esas personas, porque no lo dieron para ti. No puedes acreditar el origen ni el texto que aceptaron. Y aunque el vendedor te asegure que “está todo consentido”, la responsabilidad de demostrarlo será tuya, no suya. A eso se suma el daño práctico: esas listas están llenas de trampas de spam y direcciones muertas que hunden tu reputación de envío y acaban mandando también tus correos legítimos a la carpeta de no deseado.

Lo mismo aplica a extraer direcciones de LinkedIn o de webs corporativas con un script. Que sea técnicamente sencillo no lo convierte en una base jurídica.

Qué mirar en el proveedor de email

No todos los proveedores te lo ponen igual de fácil. Antes de firmar, revisa:

• Contrato de encargado del tratamiento. El proveedor trata datos por cuenta tuya y eso se documenta. Debe ofrecerlo firmado y accesible.
• Dónde se alojan los datos y qué garantías hay si salen del Espacio Económico Europeo.
• Registro de consentimiento por contacto, con fecha, origen y texto. Si la herramienta no lo guarda, tendrás que guardarlo tú en otro sitio.
• Gestión de bajas centralizada entre todas tus listas y campañas.
• Exportación completa de contactos y de su histórico de consentimiento, por si algún día cambias de herramienta.
• Registro de accesos: quién de tu equipo puede ver, exportar o borrar la base.

Checklist antes de la próxima campaña

1. Sé decir, para cada segmento, con qué base jurídica le escribo.
2. Cada alta tiene fecha, origen y texto aceptado guardados.
3. El formulario informa de quién trata los datos y para qué, con enlace a la política de privacidad.
4. La casilla de consentimiento no está premarcada ni mezclada con la aceptación de otras cosas.
5. Cada envío identifica claramente a la empresa remitente.
6. El enlace de baja es visible y funciona en uno o dos clics.
7. Las bajas se aplican en todas las listas y herramientas.
8. Hay una persona responsable de atender peticiones de acceso, rectificación o supresión.
9. Los contactos sin origen conocido están apartados, no en la lista de envío.
10. Todo lo anterior lo ha revisado alguien con criterio jurídico, no solo el equipo de marketing.

Preguntas frecuentes

¿Puedo escribir a un cliente que me compró hace tres años?

Depende de si encaja en la excepción del artículo 21 de la LSSI y de si el producto es similar al que contrató, y el paso del tiempo pesa en esa valoración. Como criterio prudente, si dudas, pide un consentimiento nuevo con una campaña de reactivación clara. Y contrástalo con tu asesoría antes de enviar.

¿Es obligatoria la confirmación por doble correo?

No es una exigencia general, pero es la forma más limpia de acreditar el consentimiento y de mantener la lista sana. Si tu volumen de altas es bajo y cada contacto vale mucho, compensa casi siempre.

¿Qué hago con la lista antigua de la que nadie sabe el origen?

No la borres a lo bruto ni la uses tal cual. Apártala del flujo de envío, documenta lo que sepas de cada bloque y decide con tu asesoría qué se puede reactivar pidiendo consentimiento y qué se elimina. En la checklist de auditoría RGPD para tu web repasamos el resto de puntos de entrada de datos.

Siguiente paso

Casi ningún problema de email marketing empieza en el envío. Empieza en listas antiguas de las que ya nadie recuerda de dónde salieron. Poner esa trazabilidad en orden es trabajo de procesos y de herramientas, y ahí sí podemos ayudarte: limpiamos y documentamos el origen de tus listas para que la revisión jurídica de tu asesoría se haga sobre datos fiables. La primera conversación es sin compromiso.