¿Es legal el cold email en España? RGPD y LSSI explicados

"¿Puedo enviar correos en frío a empresas sin que me multen?" es probablemente la duda que más frena a quien empieza a hacer outreach en España. La respuesta corta es que sí, con condiciones. La larga exige entender dos leyes distintas que se solapan. Aquí las separamos y te dejamos una lista clara de lo que puedes y no puedes hacer.

Aviso importante: este artículo es divulgación general, no asesoría jurídica. Cada caso tiene matices y la normativa se interpreta; si vas a montar operaciones de outreach a gran escala, consulta con un abogado especializado en protección de datos.

Dos leyes, no una

El error habitual es pensar que solo aplica el RGPD. En realidad, al cold email en España lo regulan dos normas a la vez:

• El RGPD (y la LOPDGDD española), que regula cómo tratas los datos personales de los destinatarios.
• La LSSI-CE (Ley 34/2002), que regula el envío de comunicaciones comerciales por medios electrónicos, sobre todo su artículo 21.

Son planos distintos: uno mira el dato, el otro mira el envío. Puedes cumplir uno y saltarte el otro. Para un cold email conforme necesitas ambos.

El RGPD y el interés legítimo

El RGPD exige una base jurídica para tratar datos personales. La mayoría cree que la única opción es el consentimiento, pero el artículo 6 recoge seis bases, y una de ellas es el interés legítimo. Es la que sostiene el cold email B2B.

El interés legítimo permite tratar datos sin consentimiento previo cuando tienes un interés real (vender tu producto a empresas para las que es relevante) que no pesa menos que los derechos del destinatario. La propia AEPD y el considerando 47 del RGPD reconocen que la mercadotecnia directa puede ampararse en interés legítimo.

El test de ponderación

Para invocarlo no basta con decir "tengo interés legítimo": debes documentar un análisis de ponderación que demuestre que tu interés no aplasta los derechos de la persona. En la práctica, este equilibrio se inclina a tu favor cuando:

• El destinatario es un profesional, no un particular, y le escribes por asuntos propios de su actividad.
• Tu producto o servicio es razonablemente relevante para su puesto o su empresa.
• Obtuviste el dato de una fuente lícita (su web corporativa, un perfil profesional público).
• El impacto para la persona es mínimo y puede oponerse con un clic.

Escribir al director de compras de una empresa de logística para ofrecerle software logístico encaja. Bombardear a miles de particulares con ofertas genéricas, no.

Este análisis no tiene por qué ser un documento largo, pero sí debe existir por escrito antes de enviar. En la práctica basta con dejar constancia de cuál es tu interés, por qué el dato del destinatario es relevante para ese interés, de dónde lo obtuviste y qué salvaguardas ofreces (baja inmediata, mínimos datos tratados, contacto solo profesional). Si un día la AEPD pregunta, la diferencia entre una sanción y un archivo suele estar en si puedes enseñar ese razonamiento o si improvisas.

La LSSI-CE y su artículo 21

Aquí está el punto que más gente ignora. El artículo 21 de la LSSI-CE dice, por defecto, que están prohibidas las comunicaciones comerciales por correo electrónico que no hayan sido solicitadas o expresamente autorizadas por el destinatario.

Existe una excepción relevante: cuando ya hay una relación contractual previa y el envío se refiere a productos o servicios similares a los ya contratados. Pero en cold email, por definición, no hay relación previa. Entonces, ¿cómo es viable?

La clave está en el tipo de dato y de destinatario. La LSSI-CE regula comunicaciones dirigidas a personas; cuando escribes a direcciones genéricas y funcionales que no identifican a un individuo, la protección de datos personales pierde peso. Y en el terreno B2B a profesionales identificados, la interpretación práctica se apoya en la relevancia y en el cumplimiento estricto de identificación y baja. No es un cheque en blanco: es un terreno que exige cuidado.

Requisitos para un cold email conforme

Con las dos leyes sobre la mesa, un correo en frío defendible cumple todo esto:

• Identifícate con claridad: nombre real, empresa y datos de contacto veraces. Nada de remitentes falsos.
• Indica que es una comunicación comercial y hazlo reconocible como tal.
• Ofrece una vía de baja sencilla y gratuita en cada correo, y respétala al instante.
• Escribe a profesionales por motivos profesionales, no a particulares al azar.
• Usa datos de origen lícito y sé capaz de explicar de dónde los sacaste.
• Documenta tu análisis de interés legítimo antes de lanzar la campaña.

Estos requisitos, además de mantenerte dentro de la ley, mejoran tu entregabilidad: identificarte y dar baja son también señales que los proveedores premian y que reducen por qué acabas en spam.

B2B frente a B2C: por qué la distinción lo cambia todo

El cold email a particulares (B2C) es un campo minado: casi siempre necesitas consentimiento previo y las bases jurídicas se complican mucho. El B2B a profesionales, en cambio, es donde el interés legítimo tiene recorrido. Por eso todo el enfoque que verás en esta guía y en nuestra guía de cold email está pensado para vender a empresas, no a consumidores. Si tu producto es de consumo, el email en frío no es tu canal.

Buenas prácticas que también te protegen

Cumplir la ley y proteger tu reputación de envío van de la mano. Usar dominios secundarios dedicados evita que un problema de reputación o una queja afecte a tu correo corporativo. Verificar cada dirección antes de enviar reduce rebotes y evita escribir a cuentas abandonadas. Y una secuencia de seguimientos razonable, sin acoso, respeta al destinatario a la vez que mejora resultados. Cuando montes toda tu operativa, encaja el cumplimiento dentro de tu proceso de prospección desde el primer paso.

El derecho de oposición y la baja, en la práctica

Este es el punto donde más gente tropieza, y es el más fácil de cumplir. Toda persona a la que escribas tiene derecho a oponerse al tratamiento de sus datos y a pedir la supresión, en cualquier momento, gratis y sin dar explicaciones. Tu obligación es doble: ofrecer una vía de baja clara en cada correo y ejecutarla de inmediato cuando alguien la use.

"De inmediato" significa que esa persona no debe recibir el siguiente follow-up de tu secuencia. Por eso, si automatizas los seguimientos, necesitas un mecanismo que detecte la baja o la respuesta y detenga la cadencia al instante. Ignorar una petición de baja, o seguir enviando follow-ups a alguien que ya te pidió parar, es la infracción más sencilla de probar que existe: basta un pantallazo. No te la juegues por un correo más.

¿Y si escribo a empresas fuera de España?

El RGPD es europeo, así que se aplica de forma parecida en toda la UE, aunque cada país tiene su propia trasposición de las normas de comunicaciones comerciales (el equivalente a nuestra LSSI-CE). Si haces outreach a otros mercados de la Unión, la base del interés legítimo sigue siendo válida, pero conviene revisar los matices locales, sobre todo en países con criterios más estrictos sobre el correo B2B. Fuera de la UE, las reglas cambian por completo (por ejemplo, la CAN-SPAM estadounidense es bastante más permisiva con el opt-out). La recomendación práctica: aplica siempre el estándar más exigente de los que te afecten, y así no fallarás en ninguno.

Errores que sí te meten en problemas

• Comprar bases de datos: sin origen lícito demostrable, es indefendible.
• Ignorar bajas: la infracción más fácil de probar y sancionar.
• Ocultar quién eres: remitentes falsos o datos de contacto inventados.
• Escribir a particulares como si fueran contactos profesionales.
• No documentar nada: sin análisis de interés legítimo, no tienes defensa.

En resumen

El cold email B2B es legal en España si escribes a profesionales por motivos relacionados con su actividad, te apoyas en un interés legítimo bien documentado, te identificas sin trucos y ofreces una baja inmediata. No es una zona gris sin reglas: es un canal legítimo con requisitos claros. Cúmplelos y podrás vender por correo en frío con tranquilidad. Si además envías desde un correo corporativo bien configurado y con reputación cuidada, tendrás la parte técnica y la legal cubiertas.