Newsletter y RGPD en España: consentimiento, LSSI, clientes, B2B y bajas

Lo esencial

• Regla general: está prohibido enviar comunicaciones publicitarias o promocionales por correo electrónico que no hayan sido solicitadas o expresamente autorizadas antes por el destinatario (art. 21.1 LSSI).
• Excepción para clientes: si existe una relación contractual previa, puede escribir sobre productos o servicios de su propia empresa similares a los contratados, siempre que obtuviera los datos de forma lícita (art. 21.2 LSSI).
• B2B: la LSSI no distingue. «Destinatario» es cualquier persona física o jurídica, actúe o no por motivos profesionales.
• Cada envío: debe identificarse como comunicación comercial, identificar a quien la envía e incluir un medio sencillo y gratuito para darse de baja (arts. 20, 21.2 y 22.1 LSSI).
• Prueba: debe poder demostrar el consentimiento (art. 7.1 RGPD). El doble opt-in no es obligatorio por ley, pero es la prueba más sólida.

La regla general: solicitud o autorización expresa previa

El artículo 21.1 de la LSSI prohíbe el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio electrónico equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por sus destinatarios. Una newsletter que promociona la imagen, los productos o los servicios de una empresa es una comunicación comercial en el sentido de la ley.

Cuando el destinatario es una persona física, el consentimiento debe además cumplir el RGPD: una manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa (art. 4.11 RGPD). La AEPD recuerda que el silencio no es consentimiento y que todos los consentimientos deben darse mediante un acto afirmativo claro.

La excepción para clientes

La prohibición no se aplica cuando existe una relación contractual previa, siempre que el remitente haya obtenido de forma lícita los datos de contacto del destinatario y los use para comunicaciones comerciales sobre productos o servicios de su propia empresa similares a los que el cliente contrató inicialmente (art. 21.2 LSSI).

Incluso en ese caso, debe ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto al recoger los datos como en cada comunicación comercial que le envíe.

B2B: la LSSI también se aplica a empresas

A diferencia de otros países, la LSSI no prevé un régimen más flexible para los envíos entre empresas. Su anexo define al «destinatario del servicio» como la persona física o jurídica que utiliza un servicio de la sociedad de la información, sea o no por motivos profesionales. Por tanto, la regla del artículo 21 (consentimiento previo o relación contractual previa) se aplica también cuando escribe a otras empresas y a sus empleados.

Lo que debe contener cada newsletter

• Debe ser claramente identificable como comunicación comercial, y la persona física o jurídica en cuyo nombre se envía también debe ser claramente identificable (art. 20.1 LSSI).
• Está prohibido disimular u ocultar la identidad del remitente (art. 20.4 LSSI).
• Un procedimiento sencillo y gratuito para revocar el consentimiento u oponerse; en el correo electrónico debe consistir necesariamente en una dirección de correo electrónico u otra dirección electrónica válida, y está prohibido enviar comunicaciones que no la incluyan (arts. 21.2 y 22.1 LSSI). En la práctica, un enlace de baja en cada número.
• Retirar el consentimiento debe ser tan fácil como darlo (art. 7.3 RGPD).

Doble opt-in: ¿es obligatorio?

El doble opt-in, en el que el suscriptor confirma su alta pulsando un enlace que recibe por correo, no lo exigen ni la LSSI ni el RGPD. Pero, cuando el tratamiento se basa en el consentimiento, el responsable debe ser capaz de demostrar que el interesado consintió (art. 7.1 RGPD), y el doble opt-in es la forma más fiable de demostrar que fue el titular de la dirección quien pidió el alta.

Sanciones

Según la LSSI, el envío de comunicaciones comerciales por correo electrónico sin cumplir el artículo 21 es una infracción leve (art. 38.4.d), sancionable con multa de hasta 30.000 euros. El envío masivo, o el envío insistente o sistemático a un mismo destinatario, sin cumplir el artículo 21 es una infracción grave (art. 38.3.c), con multa de 30.001 a 150.000 euros (art. 39.1). La AEPD es la autoridad competente para sancionar estas infracciones (art. 43.1).

Las infracciones de las condiciones del consentimiento del RGPD pueden sancionarse con multas de hasta 20 millones de euros o, en el caso de una empresa, hasta el 4 % del volumen de negocio total anual global del ejercicio anterior, optándose por la de mayor cuantía (art. 83.5 RGPD).

Preguntas frecuentes