¿Es legal el email frío B2B en España? Lo que dicen la LSSI y el RGPD

Por regla general, no: el artículo 21 de la LSSI prohíbe enviar publicidad por email que el destinatario no haya solicitado o autorizado expresamente antes, y protege igual a particulares y a empresas. La gran excepción son tus clientes, para productos o servicios similares a los que ya te compraron. Lo que sí puedes hacer es investigar y cualificar empresas, contactarlas por otros canales con sus propias reglas y conseguir que te pidan la información por email.

La respuesta corta, situación por situación

Cómo prospectar empresas en España sin email frío

Que el primer email comercial esté prohibido no significa que no puedas prospectar. Significa que el primer contacto va por otro canal, o que consigues que el negocio te pida la información. Y a tus clientes actuales sí puedes escribirles, con las condiciones del artículo 21.2 que verás más abajo.

Llamada primero, email después

Es el método clásico para vender a negocios locales: una llamada breve, una observación concreta sobre su negocio y, si hay interés, «¿te lo mando por email?». Ese email ya es solicitado. Anota la fecha y lo que te pidieron. Tienes ejemplos de ese email en plantillas de email para negocios locales.

Las llamadas comerciales tienen sus propias reglas. El artículo 66.1.b de la Ley General de Telecomunicaciones reconoce el derecho a no recibir llamadas comerciales no deseadas, salvo consentimiento previo u otra base legal del RGPD, como el interés legítimo. La AEPD fija sus criterios en la Circular 1/2023:

• Teléfonos profesionales. Para llamar al número profesional de un empleado, un autónomo o un profesional liberal se aplica la presunción de interés legítimo del artículo 19 de la LOPDGDD, si le hablas de algo relacionado con su actividad (artículo 5 de la Circular).
• Al empezar cada llamada, di quién eres y que llamas con fines comerciales, e informa de que pueden oponerse a recibir más llamadas. Un «no me llames más» se atiende en el acto (artículo 6).
• Poder demostrarlo. La Circular cita la grabación de la llamada como forma de acreditar que cumples; si grabas, avísalo al empezar.
• Listas de exclusión. Si tratas datos de personas físicas, como autónomos, consulta antes los sistemas de exclusión publicitaria, como la Lista Robinson, salvo que te hayan dado su consentimiento (artículo 23.4 de la LOPDGDD).

Revisa todo esto antes de montar una campaña telefónica.

Visita y correo postal

Para negocios con local, la visita sigue funcionando: entras, preguntas por el responsable y dejas algo útil. El correo postal dirigido a una empresa queda fuera del artículo 21 de la LSSI, que regula el email y los medios electrónicos equivalentes; si la carta va a nombre de una persona, se aplica el RGPD.

Contenido que genere peticiones

Guías, calculadoras, plantillas o un diagnóstico gratuito a cambio de un formulario con una casilla clara para recibir información. Es más lento, pero todo lo que entra por ahí llega solicitado o autorizado.

Ferias, asociaciones y presentaciones

En una feria sectorial o en la asociación de empresarios de tu ciudad hablas con decenas de negocios en un día. Pide permiso para escribirles y apúntalo. Una presentación personal de un cliente o de un colaborador abre puertas que ningún email frío abre.

Redes profesionales

Un mensaje privado en una red profesional puede considerarse un medio de comunicación electrónica equivalente al email. Úsalas para conversaciones reales y para conseguir que te pidan información, no para mandar la misma oferta a cientos de perfiles.

Para todo lo anterior necesitas lo mismo: saber qué negocios existen en tu ciudad y tu nicho, con su web y una señal concreta de la que hablar. Esa lista se saca de fuentes como Google Maps, y el método completo está en cómo crear una lista de leads B2B por ciudad y nicho.

Qué dice el artículo 21 de la LSSI

«Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.»

Artículo 21.1 de la Ley 34/2002 (LSSI)

La clave está en «solicitadas o expresamente autorizadas». La AEPD ha dejado claro que la ley exige un consentimiento expreso y que no vale un consentimiento tácito (informe 2018-0164 de su Gabinete Jurídico). No haber dicho que no, no es haber dicho que sí.

También entre empresas

La LSSI llama destinatario a la «persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información» (anexo, letra d). Por eso un email comercial al info@ de una sociedad está tan sujeto al artículo 21 como uno a un particular.

Es la gran diferencia con países como Estados Unidos o, para las direcciones de sociedades, el Reino Unido, donde el email B2B funciona con reglas de exclusión: puedes escribir sin consentimiento previo si cumples sus requisitos, como identificarte, ofrecer la baja y respetarla. Si lees guías de cold email escritas para esos mercados, recuerda que en España no se aplican.

Qué cuenta como comunicación comercial

La ley la define como «toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios» de una empresa, organización o profesional (anexo, letra f). Entra casi todo lo que envía un vendedor: la oferta, la presentación de tu agencia, la invitación a una demo o el «¿te interesaría que te enseñara cómo...?».

No es comunicación comercial un email que no promociona nada: pedir un presupuesto como cliente, contestar a una consulta o coordinar un pedido en curso.

Qué significa «solicitada» o «expresamente autorizada»

• Solicitada: el destinatario te pide la información. Por ejemplo, rellena un formulario pidiendo presupuesto o, en una llamada, te dice «mándamelo por email».
• Expresamente autorizada: te da un consentimiento activo e informado para recibir comunicaciones comerciales, como marcar una casilla que no venía marcada.
• No es autorización: que el email sea público, que no se haya opuesto, que venga en una base de datos comprada o que tengas su tarjeta de visita sin más.

En los dos primeros casos, apunta la fecha, el canal y lo que te pidieron o autorizaron. Si un día hay una reclamación, te conviene poder demostrarlo.

¿Y un primer email para pedir permiso?

Es una tentación clásica: un email «solo para preguntar si te puedo enviar información». Si ese mensaje presenta tu empresa o tu oferta, ya promociona tu imagen o tus servicios y encaja en la definición de comunicación comercial. No lo trates como una vía segura.

La excepción de los clientes (artículo 21.2)

Puedes enviar comunicaciones comerciales por email sin un consentimiento nuevo cuando se cumplen todas estas condiciones:

1. Hay una relación contractual previa con el destinatario.
2. Obtuviste sus datos de contacto de forma lícita.
3. Ofreces productos o servicios de tu propia empresa.
4. Son similares a los que contrató.
5. Le ofreciste oponerse, de forma sencilla y gratuita, al recoger sus datos, y se lo ofreces en cada mensaje. En el email, eso significa incluir una dirección de correo válida donde pueda darse de baja.

Ejemplo. Una agencia que ya mantiene la web de sus clientes y les ofrece su nuevo plan de mantenimiento con copias de seguridad diarias encaja en la excepción. La misma agencia enviando ofertas de seguros de una empresa amiga, no: ni es un producto propio ni es similar a lo que contrataron.

Si dudas de si una oferta es «similar», pide antes el consentimiento: es una excepción a una prohibición, y conviene leerla de forma estricta.

Dónde entra el RGPD

Datos de empresa y datos personales

El RGPD protege a las personas físicas. El email genérico de una sociedad (info@) no identifica a nadie, pero una dirección con nombre y apellido, o el Gmail de un autónomo, sí son datos personales. Para tratarlos necesitas una base legal, informar a la persona y respetar sus derechos.

La presunción del artículo 19 de la LOPDGDD

La ley española presume, salvo prueba en contrario, el interés legítimo para tratar los datos de contacto profesionales de quien trabaja en una empresa, si solo usas los necesarios para localizarle profesionalmente y la finalidad es relacionarte con la empresa (artículo 19). Lo mismo vale para autónomos y profesionales liberales cuando los tratas en esa condición.

Eso puede amparar que tengas sus datos profesionales en tu CRM, pero no te autoriza a enviarles publicidad por email. Ahí sigue mandando la LSSI: en el mismo informe 2018-0164, la AEPD explica que, para las comunicaciones comerciales electrónicas, las bases legales del RGPD (incluido el interés legítimo) ceden ante la regla especial del artículo 21.

Informar de dónde sacaste los datos

Si obtienes datos personales de una fuente distinta del propio interesado, como su web, el artículo 14 del RGPD te obliga a informarle: quién eres, para qué usas sus datos, de dónde los sacaste y qué derechos tiene. Debes hacerlo en un plazo razonable, como máximo de un mes, y si vas a contactar con él, como tarde en la primera comunicación.

Oposición y listas de supresión

Cualquier persona puede oponerse en todo momento a que uses sus datos para mercadotecnia directa, y entonces tienes que dejar de hacerlo (artículo 21 del RGPD). Guarda esas oposiciones en una lista de supresión y compárala con cada lista nueva: la LOPDGDD declara lícito conservar esos datos precisamente para no volver a enviar comunicaciones comerciales a quien no las quiere (artículo 23.1).

Qué debe llevar cada email comercial, cuando puedes enviarlo

• Que se identifique como comercial y diga quién lo envía (artículo 20 de la LSSI). Desde la reforma de 2014, la ley ya no exige poner «publicidad» o «publi» al principio del mensaje, como pedían las versiones anteriores, pero sí que el carácter comercial y el remitente sean claramente identificables.
• Ninguna ocultación del remitente (artículo 20.4).
• Una dirección de correo válida para darse de baja en cada mensaje (artículos 21.2 y 22.1), y las bajas, atendidas enseguida.
• La información del RGPD si tratas datos personales (artículos 13 o 14).
• Ningún píxel de seguimiento sin consentimiento. La AEPD ha tratado el píxel en emails publicitarios como un dispositivo de almacenamiento y recuperación de datos del artículo 22.2 de la LSSI, que exige consentimiento informado (informe 0011/2014).

Quién vigila y qué te arriesgas

La AEPD es la autoridad que sanciona los incumplimientos del artículo 21 (artículo 43.1 de la LSSI). La ley distingue dos niveles (artículos 38 y 39):

Si además tratas datos personales sin base legal o sin informar, entra en juego el régimen sancionador del RGPD. La AEPD publica sus resoluciones en su web, y un procedimiento puede empezar con la reclamación de un solo destinatario.

Lista de comprobación antes de escribir a una empresa en España

1. ¿Es cliente y le ofreces algo similar a lo que contrató, o te ha pedido o autorizado la información? Si no, nada de email comercial.
2. ¿Puedes demostrar la solicitud o el consentimiento (fecha, canal, qué pidió)?
3. ¿El mensaje dice claramente quién eres y que es comercial?
4. ¿Incluye una dirección válida para darse de baja? ¿Atiendes las bajas enseguida?
5. ¿Hay personas identificables en la lista? Entonces necesitas una base legal, informar (artículo 14 del RGPD) y consultar la Lista Robinson cuando corresponda.
6. ¿Llevas píxeles de seguimiento? Solo con consentimiento.
7. ¿Compruebas cada lista nueva contra tu lista de supresión?

Preguntas frecuentes

¿Puedo enviar un único email de presentación a una empresa?

Si promociona tu empresa o tus servicios y no te lo han pedido, es una comunicación comercial no solicitada, aunque sea solo uno. El volumen cambia la gravedad (el envío masivo o insistente es infracción grave), no el hecho de que esté prohibido.

¿Y si escribo a una dirección genérica como info@?

Para la LSSI da igual: el destinatario es la empresa, que también está protegida. Lo que cambia es el RGPD, que no se aplica a una dirección que no identifica a ninguna persona.

¿Puedo escribir a empresas de otros países desde España?

La LSSI se aplica a los prestadores de servicios establecidos en España (artículo 2), así que no des por hecho que escribir al extranjero te libra de ella. Además, cuenta la ley del país del destinatario. Si vas a hacer campañas internacionales, consúltalo con un abogado.

¿Sirve de algo comprar una base de datos «con consentimiento»?

Solo si puedes demostrar que cada destinatario consintió, de forma expresa, específica e informada, recibir comunicaciones comerciales de tu empresa. Pide al vendedor la prueba de cómo y para quién se obtuvo; si no la tiene, trata esa base como si no tuviera consentimiento.

¿Y por WhatsApp o SMS?

También son medios electrónicos, así que un mensaje comercial por esas vías necesita la misma solicitud o autorización previa que un email.

Este artículo es información general, no asesoramiento jurídico.