El mismo correo de marketing, enviado en el mismo momento por la misma empresa, puede ser legal si llega a un lector de Ohio e ilegal si llega a uno de Berlín o Toronto. Nada del mensaje tiene que cambiar. Lo que cambia es dónde está el destinatario y si esa persona dio su acuerdo de antemano. Una tienda de EE. UU. puede, por lo general, escribir a un desconocido sin pedir permiso antes, siempre que sea honesta y deje a la persona darse de baja, mientras que en la UE y Canadá ese mismo mensaje normalmente necesitaría consentimiento antes de enviarse.
Esa división es el núcleo de las leyes de privacidad del correo. El GDPR y las normas ePrivacy de Europa y la CASL de Canadá funcionan con consentimiento previo (opt-in), mientras que la ley CAN-SPAM de EE. UU. funciona con baja posterior (opt-out). Junto a ellas hay leyes generales de privacidad, como el GDPR y la CCPA de California, que te dan derechos sobre los datos que las empresas tienen de ti. Este artículo es información general y no asesoramiento jurídico. Las leyes cambian y varían según el país, y su aplicación depende de los hechos, así que consulta la orientación del regulador correspondiente o habla con un abogado cualificado sobre una situación concreta.
Un correo promocional, cuatro resultados
Tomemos un ejemplo práctico. Una pequeña tienda online con sede en Texas compra una lista de direcciones y envía a todos un correo de «20 % de descuento este fin de semana». El mensaje tiene un asunto honesto, una dirección postal y un enlace para darse de baja. Así sale aproximadamente para destinatarios concretos en distintos lugares, suponiendo que cada ley se aplique a la actividad de la tienda allí.
| Destinatario en | Norma principal | Situación probable en este ejemplo |
|---|---|---|
| Estados Unidos | Ley CAN-SPAM | No se exige consentimiento previo. El mensaje puede cumplir si respeta las reglas de contenido y de baja, aunque las direcciones obtenidas por recolección masiva plantean problemas aparte |
| Alemania (UE) | GDPR más las normas nacionales de ePrivacy, en Alemania el artículo 7 de la Ley contra la Competencia Desleal (UWG) | Por lo general necesita consentimiento previo. Las direcciones compradas sin relación con el cliente no cumplen la excepción del soft opt-in |
| Reino Unido | UK GDPR y el reglamento 22 de la PECR | Por lo general necesita consentimiento previo para los suscriptores individuales, o un soft opt-in que la tienda aquí no puede invocar |
| Canadá | CASL | Necesita consentimiento expreso o implícito. Una lista comprada normalmente no da ninguno, y la tienda debe poder demostrar el consentimiento |
Esto muestra también por qué el país de origen del remitente resuelve poco. Una empresa de Texas que se dirige a clientes de la UE puede quedar sujeta a la ley de la UE, y la CASL cubre los mensajes a los que se accede desde ordenadores en Canadá. Donde vende una empresa y donde están sus destinatarios suele importar más que dónde tiene su oficina.
Las leyes de un vistazo
| Ley | Dónde | Modelo de marketing | Quién la aplica | Sanción máxima principal |
|---|---|---|---|---|
| GDPR | UE y EEE; también organizaciones de otros lugares que se dirigen a personas de allí o las vigilan | Exige una base jurídica; se lee junto con las normas ePrivacy | Autoridades nacionales de protección de datos y tribunales | Hasta 20 millones de € o el 4 % del volumen de negocio anual mundial, lo que sea mayor |
| Directiva ePrivacy | UE, a través de la ley nacional de cada Estado miembro | Opt-in para particulares, con un soft opt-in para clientes existentes | Reguladores nacionales, que varían según el país | Fijada por la ley nacional |
| UK GDPR y PECR | Reino Unido | Opt-in con un soft opt-in, cercano al modelo de la UE | El regulador británico de protección de datos | 17,5 millones de £ o el 4 % del volumen de negocio mundial, lo que sea mayor |
| Ley CAN-SPAM | Estados Unidos | Opt-out | La FTC, otras agencias federales, fiscales generales estatales, proveedores de acceso a internet | Más de 50 000 $ por cada correo infractor, ajustados a la inflación cada año |
| CCPA, modificada por la CPRA | Residentes de California y empresas con ánimo de lucro cubiertas | Sin regla de consentimiento para el correo; regula la recopilación, la venta y la cesión | La Agencia de Protección de la Privacidad de California y el Fiscal General | Multas por infracción, mayores si son intencionadas y si afectan a menores |
| CASL | Canadá, incluidos los mensajes enviados desde el extranjero y consultados allí | Consentimiento expreso o implícito antes de enviar | CRTC, Oficina de Competencia, Oficina del Comisionado de Privacidad | Hasta 10 millones de C$ por infracción para organizaciones, 1 millón de C$ para particulares |
¿Es una dirección de correo un dato personal?
Según el artículo 4(1) del GDPR, los datos personales son cualquier información relativa a una persona física identificada o identificable. Una dirección como maria.lopez@example.com lo es claramente. Una menos evidente, como ml1987@example.com, normalmente también, porque pertenece a una persona y puede vincularse con otra información para identificarla. Una dirección compartida como info@company.example puede no ser un dato personal en absoluto, salvo que pueda asociarse a un individuo.
El correo lleva muchos más datos personales que la dirección. Está el contenido del mensaje y sus archivos adjuntos. Están los metadatos, es decir, remitente, destinatarios, horas, asuntos y direcciones IP en las cabeceras. Están los datos de interacción, como cuándo abriste un mensaje y en qué enlaces hiciste clic. Y están los perfiles derivados, como los segmentos de intereses y las predicciones de lo que puedes comprar a continuación.
En EE. UU. los términos son distintos. La CCPA habla de «información personal», definida de forma amplia para incluir identificadores como las direcciones de correo y las inferencias extraídas para construir un perfil. CAN-SPAM no usa ese concepto, porque no es en absoluto una ley general de privacidad. Regula cómo se envía el correo comercial y no te da ningún derecho a ver ni a borrar nada de lo que una empresa tenga.
Europa: dos leyes que funcionan juntas
Muchos artículos describen el marketing con opt-in como una norma del GDPR. En realidad, el requisito de consentimiento para el correo de marketing viene de otra ley, la Directiva ePrivacy (Directiva 2002/58/CE), mientras que el GDPR define qué significa un consentimiento válido y regula lo que ocurre con los datos. Como una directiva se aplica por separado en cada Estado miembro, los detalles difieren dentro de la UE. Francia y Alemania, por ejemplo, tienen sus propias disposiciones nacionales y los criterios de sus propios reguladores.
El artículo 13 de la Directiva ePrivacy
El artículo 13 fija el marco básico. El correo de marketing directo a particulares necesita consentimiento previo. Una excepción estrecha, que suele llamarse soft opt-in, permite que una empresa que obtuvo tu dirección en el contexto de la venta de un producto o servicio promocione sus propios productos o servicios similares, siempre que hayas tenido una oportunidad clara y sencilla de oponerte cuando se recogieron tus datos y en cada mensaje posterior. Los remitentes no pueden ocultar ni disimular su identidad, y deben facilitar una dirección válida para darse de baja.
Las normas para escribir a empresas varían. El artículo 13(5) deja margen a los Estados miembros para tratar de forma distinta a las personas jurídicas, así que algunos extienden el opt-in a las direcciones de empresa y otros no. Las direcciones de trabajo con nombre, como firstname.lastname@company.example, siguen siendo datos personales según el GDPR incluso donde la regla de marketing es más laxa.
Píxeles de seguimiento
El artículo 5(3) de la misma directiva exige consentimiento para almacenar o acceder a información en el dispositivo de un usuario, salvo que sea estrictamente necesario para un servicio que el usuario ha solicitado. Es más conocido por los banners de cookies. Las Directrices 2/2023 del Comité Europeo de Protección de Datos sobre el ámbito técnico del artículo 5(3) consideran que los píxeles de seguimiento en los correos pueden entrar en él. El regulador francés, la CNIL, fue más lejos y publicó en abril de 2026 una recomendación que establece el consentimiento como norma por defecto para los píxeles de seguimiento en el correo, con excepciones limitadas para fines como la seguridad. Espera diferencias entre países y consulta la postura de tu propio regulador. Cómo funciona la tecnología en sí se explica en nuestro artículo sobre los píxeles de seguimiento en el correo.
Lo que añade el GDPR
El Reglamento General de Protección de Datos se aplica desde el 25 de mayo de 2018. Cubre a las organizaciones establecidas en la UE y, según el artículo 3(2), también a las de otros lugares que ofrecen bienes o servicios a personas en la UE o vigilan allí su comportamiento. El considerando 23 da pistas sobre la orientación al público: no basta con tener una web accesible desde Europa, mientras que usar el idioma o la moneda de un Estado miembro para ofrecer bienes allí sí puede bastar. Islandia, Liechtenstein y Noruega aplican el GDPR a través del EEE.
Principios y bases jurídicas
El artículo 5 fija los principios. Una dirección recogida para enviar la confirmación de un pedido no puede reutilizarse sin más para fines no relacionados (limitación de la finalidad). Solo deben recogerse los datos necesarios (minimización de datos), conservarse no más de lo preciso (limitación del plazo de conservación) y mantenerse seguros. La organización también tiene que poder demostrar que cumplió (responsabilidad proactiva).
El artículo 6 exige una base jurídica para cada uso. Para el correo, estas son las habituales:
- Contrato: enviar la confirmación de tu pedido o avisos de la cuenta.
- Obligación legal: conservar facturas por motivos fiscales.
- Consentimiento: suscribirte a un boletín.
- Intereses legítimos: algunas medidas de seguridad y prevención del fraude y, en casos limitados, el marketing directo, pero solo cuando las normas ePrivacy permiten el mensaje en sí.
Qué hace válido el consentimiento
El artículo 4(11) define el consentimiento como libre, específico, informado e inequívoco, manifestado mediante una clara acción afirmativa. El considerando 32 dice que el silencio, las casillas premarcadas y la inacción no cuentan, y el Tribunal de Justicia de la UE confirmó lo de las casillas premarcadas en el caso Planet49 de 2019 (C-673/17). El artículo 7(3) dice que retirar el consentimiento debe ser tan fácil como darlo, de modo que una suscripción de un clic no debería exigir iniciar sesión y cinco páginas para deshacerla. El artículo 7(1) obliga a la organización a poder demostrar el consentimiento, una de las razones por las que los remitentes serios usan correos de confirmación de doble opt-in, aunque el GDPR no nombra ese método.
La agrupación de consentimientos es un punto débil frecuente. El artículo 7(4) plantea si un servicio se hizo depender de un consentimiento que no necesita. «Danos tu consentimiento de marketing o no podrás leer esta página» es el tipo de arreglo que los reguladores examinan de cerca, y la respuesta puede variar según el contexto.
Tus derechos
| Derecho | Artículo | Qué te da | Ejemplo con el correo |
|---|---|---|---|
| Información | 13, 14 | Quién trata tus datos, por qué, durante cuánto tiempo y quién los recibe | Un aviso de privacidad enlazado en el registro a un boletín |
| Acceso | 15 | Una copia de tus datos y detalles de su uso, normalmente gratis | Preguntar a una tienda qué guarda asociado a tu dirección, incluidos los segmentos |
| Rectificación | 16 | Corrección de datos inexactos | Corregir un nombre mal escrito |
| Supresión | 17 | Eliminación en los casos previstos, como datos que ya no son necesarios o consentimiento retirado | Eliminar tu perfil de un servicio que dejaste |
| Limitación | 18 | Una pausa en el uso durante una disputa | Detener el tratamiento mientras se comprueba la exactitud |
| Portabilidad | 20 | Los datos que facilitaste, en un formato legible por máquina, cuando el tratamiento se basa en el consentimiento o en un contrato | Exportar los contactos de un proveedor de correo |
| Oposición | 21 | Detener un tratamiento basado en intereses legítimos; absoluto para el marketing directo | Decirle a una empresa que pare todo el marketing |
| Reclamación e indemnización | 77, 82 | Reclamar ante una autoridad y exigir una indemnización por los daños | Denunciar a un remitente que ignora tu oposición |
El artículo 12(3) da a las organizaciones un mes para responder, ampliable por dos meses más en solicitudes complejas o numerosas, en cuyo caso deben avisarte dentro del primer mes. Pueden pedir una prueba razonable de identidad. Según el artículo 12(5), solo pueden cobrar una tarifa razonable o negarse cuando una solicitud sea manifiestamente infundada o excesiva.
El derecho de oposición al marketing es el más fuerte de todos, y es fácil pasarlo por alto. Los apartados 2 y 3 del artículo 21 dicen que, una vez te opones al marketing directo, tus datos ya no pueden tratarse con ese fin. A diferencia de otras oposiciones, no se aplica ninguna prueba de ponderación. Una empresa puede conservar tu dirección en una lista de supresión para no volver a escribirte, pero no puede seguir haciéndote marketing.
La supresión, en cambio, tiene límites. El artículo 17(3) enumera excepciones, entre ellas las obligaciones legales. Una tienda puede conservar tus facturas después de borrar tu perfil, y debería decírtelo cuando se lo preguntes.
Notificación de violaciones de seguridad
El artículo 33 obliga a una organización a notificar a su autoridad de control una violación de la seguridad de los datos personales en las 72 horas siguientes a tener conocimiento de ella, salvo que sea improbable que suponga un riesgo para las personas. El artículo 34 le obliga a avisar a los afectados sin dilación indebida cuando el riesgo es alto. Por eso a veces tienes noticias de servicios que dejaste hace años. Si recibes un aviso, nuestra guía sobre qué hacer tras una filtración de datos de correo explica los pasos prácticos.
Puede venir un cambio. La propuesta Digital Omnibus de la Comisión Europea, publicada en noviembre de 2025, entre otras cosas ampliaría las 72 horas a 96 y limitaría la notificación al regulador a las violaciones de alto riesgo. A finales de 2026 sigue siendo una propuesta en trámite legislativo, así que las normas actuales siguen vigentes. Consulta el texto final si necesitas apoyarte en esto.
El Reino Unido: parecido, con sus propias novedades
Tras el Brexit, el Reino Unido mantuvo el GDPR en su derecho interno como UK GDPR, junto con la Data Protection Act 2018. El Reglamento de Privacidad y Comunicaciones Electrónicas de 2003 (PECR) recoge las normas ePrivacy, y su reglamento 22 refleja el modelo de opt-in y soft opt-in de la UE para los suscriptores individuales.
La Data (Use and Access) Act 2025 cambió partes de este panorama. Elevó la multa máxima de la PECR de 500 000 £ al nivel del UK GDPR, la mayor cifra entre 17,5 millones de £ o el 4 % del volumen de negocio mundial, y se informó de que el cambio entraba en vigor a principios de 2026. También creó una versión del soft opt-in para organizaciones benéficas, que les permite escribir a quienes han apoyado su labor o se han interesado por ella, con condiciones que incluyen una opción de baja en el momento de la recogida. El propio regulador se está reformando, y la Information Commissioner's Office será sustituida por una Information Commission, así que puedes ver cualquiera de los dos nombres. Su web sigue siendo el lugar para consultar la orientación vigente, y ofrece una herramienta para denunciar el marketing no deseado.
CAN-SPAM: lo que exige realmente la ley federal de EE. UU.
La CAN-SPAM Act de 2003 es la principal ley federal de EE. UU. sobre el correo comercial. A pesar del nombre, no prohíbe el marketing no solicitado. Fija reglas sobre cómo debe enviarse ese correo y da a los destinatarios el derecho a detenerlo. La norma de desarrollo de la FTC está en 16 CFR Parte 316, y la agencia publica una guía de cumplimiento para empresas que merece leerse entera si envías correo de marketing.
Qué mensajes cuentan
Lo que importa es la finalidad principal de un mensaje. Los mensajes comerciales anuncian o promocionan un producto o servicio y están plenamente cubiertos. Los mensajes transaccionales o de relación confirman una transacción, dan información de garantía o seguridad, comunican cambios en una cuenta o suscripción, facilitan información laboral o entregan bienes ya comprados. Están exentos de la mayoría de los requisitos, pero no deben contener información de enrutamiento falsa o engañosa. El correo puramente personal queda fuera de la ley.
No hay excepción para el correo entre empresas. Un mensaje promocional a una dirección corporativa también tiene que cumplir, algo que sorprende a quienes están acostumbrados al trato más blando que recibe el B2B en algunos países.
Los requisitos
- La información de cabecera debe ser exacta. From, To, Reply-To y los datos de enrutamiento deben identificar correctamente quién originó el mensaje.
- El asunto no debe engañar sobre el contenido.
- El mensaje debe identificarse claramente como publicidad, salvo que el destinatario haya dado antes su consentimiento afirmativo.
- Debe incluir una dirección postal física válida, que puede ser una dirección de calle, un apartado de correos registrado o un buzón privado registrado.
- Debe explicar con claridad cómo darse de baja y ofrecer una forma que funcione, como una dirección de respuesta o un enlace.
- Las bajas deben respetarse en un plazo de 10 días hábiles, y el mecanismo debe seguir funcionando al menos 30 días después del envío. Un remitente no puede cobrar una tarifa, pedir información personal más allá de una dirección de correo y las preferencias de baja, ni exigir ningún paso más allá de una respuesta o la visita a una única página web.
- Las direcciones dadas de baja no pueden venderse ni transferirse, salvo a una empresa contratada para ayudar con el cumplimiento.
- Una empresa sigue siendo responsable de quien envíe en su nombre, así que contratar una agencia no traslada el deber a otra parte.
El correo comercial sexualmente explícito debe llevar la etiqueta de advertencia «SEXUALLY-EXPLICIT:» en el asunto, según una norma aparte de la FTC.
Prácticas agravantes y aplicación de la ley
La ley trata ciertas prácticas como agravantes, entre ellas recolectar direcciones de sitios web, generar direcciones mediante «ataques de diccionario» que combinan nombres y letras, y usar scripts para registrar cuentas en masa con el fin de enviar spam. Algunas prácticas engañosas son delitos.
Los destinatarios individuales no tienen derecho a demandar, uno de los puntos más malentendidos de esta ley. La aplicación corresponde a la FTC, a otras agencias federales en los sectores regulados, a los fiscales generales de los estados y a los proveedores de acceso a internet. Puedes denunciar infracciones en ReportFraud.ftc.gov. La FTC sí lleva casos: en 2024 anunció una sanción de 2,95 millones de $ contra la empresa de cámaras de seguridad Verkada, en un caso que incluía cargos por CAN-SPAM. La ley también se impone a la mayoría de las leyes estatales que regulan específicamente el correo comercial, salvo cuando prohíben la falsedad o el engaño.
Los mensajes de texto son aparte
Los SMS de marketing en EE. UU. se rigen principalmente por la Telephone Consumer Protection Act, que por lo general exige consentimiento expreso previo para los SMS de marketing automatizados. Así que la lógica de baja posterior del correo no se traslada a tu número de teléfono, y un formulario de pago que te pide el número está pidiendo un consentimiento distinto.
California y los demás estados de EE. UU.
La California Consumer Privacy Act entró en vigor en 2020 y fue modificada sustancialmente por la California Privacy Rights Act a partir de 2023. Es una ley general de privacidad, relevante para el correo porque tu dirección es información personal y las empresas suelen cederla con fines publicitarios.
Se aplica a las empresas con ánimo de lucro que hacen negocios en California y cumplen al menos una de tres condiciones: unos ingresos brutos anuales por encima de un umbral ajustado a la inflación (empezó en 25 millones de $, y el ajuste de 2025 del regulador lo fijó en 26 625 000 $); comprar, vender o ceder la información personal de 100 000 o más consumidores u hogares de California al año; u obtener al menos la mitad de los ingresos anuales de vender o ceder información personal.
Las empresas cubiertas tienen que respetar estos derechos:
- A saber qué se recopila, de dónde, por qué y con qué categorías de terceros se comparte.
- A eliminar la información personal recopilada sobre ti, con excepciones como completar una transacción o cumplir obligaciones legales.
- A corregir la información personal inexacta.
- A negarte a la venta o cesión. La «cesión» abarca específicamente la divulgación para publicidad conductual entre contextos, lo que puede incluir subir listas de correo de clientes a plataformas publicitarias.
- A limitar el uso de información personal sensible, una categoría que incluye el contenido del correo, los mensajes de correo electrónico y los SMS salvo que la empresa sea el destinatario previsto.
- A no ser discriminado por ejercer estos derechos, aunque las empresas pueden ofrecer incentivos económicos declarados, como programas de fidelidad.
Las solicitudes de conocer, eliminar y corregir deben recibir respuesta en 45 días naturales, ampliables otros 45 con aviso. Las bajas tienen un plazo más corto en la normativa, 15 días hábiles como máximo. Las empresas también deben tratar una señal de preferencia de exclusión como Global Privacy Control, enviada por tu navegador o una extensión, como una exclusión válida de la venta y la cesión.
La Agencia de Protección de la Privacidad de California, que también se conoce como CalPrivacy, y el Fiscal General hacen cumplir la ley. Los particulares solo pueden demandar por ciertas violaciones de seguridad causadas por no mantener una seguridad razonable, con daños fijados por ley por consumidor e incidente. Los californianos tienen además una herramienta aparte bajo la Delete Act: la Delete Request and Opt-out Platform (DROP) les permite enviar una sola solicitud de eliminación a los corredores de datos registrados, y estos debían empezar a procesar esas solicitudes en agosto de 2026.
Muchos otros estados, entre ellos Virginia, Colorado, Connecticut, Texas y Oregón, han aprobado leyes de privacidad integrales con derechos en general similares. Los detalles y los umbrales difieren, y la mayoría no ofrece derecho a demandar, así que consulta la página del fiscal general de tu propio estado.
CASL: el régimen estricto de Canadá
La Ley Anti-Spam de Canadá está en gran medida en vigor desde el 1 de julio de 2014 y es una de las leyes de marketing por correo más estrictas del mundo. Cubre los mensajes electrónicos comerciales, incluidos el correo y los SMS, enviados a ordenadores en Canadá o consultados en ellos.
Un remitente necesita consentimiento expreso o, en situaciones concretas, consentimiento implícito. El ejemplo más conocido de consentimiento implícito es una relación comercial existente, como una compra en los dos años anteriores o una consulta en los seis meses anteriores. Cada mensaje debe identificar al remitente y dar datos de contacto. Cada mensaje necesita además un mecanismo de baja que siga siendo válido durante al menos 60 días después del envío, y las solicitudes deben procesarse en 10 días hábiles.
Las sanciones pueden llegar a 10 millones de C$ por infracción para organizaciones y 1 millón de C$ para particulares. El derecho de acción privada de la ley, que habría permitido a los particulares demandar, fue suspendido por el gobierno en 2017 antes de entrar en vigor. Los canadienses pueden denunciar el spam en el Centro de Denuncia de Spam, parte del programa federal contra el spam.
Otros lugares, en breve
La Spam Act 2003 de Australia exige consentimiento, identificación del remitente y una función de baja operativa, y las solicitudes deben respetarse en cinco días laborables. La aplica la Australian Communications and Media Authority. La LGPD de Brasil es una ley general al estilo del GDPR, aplicada por la autoridad nacional ANPD, con derechos de acceso, corrección, eliminación e información sobre la cesión. La Digital Personal Data Protection Act 2023 de India introduce el tratamiento basado en el consentimiento, y sus reglas, notificadas en noviembre de 2025, se implantan de forma gradual durante 18 meses, así que la mayoría de las obligaciones operativas aún no están en vigor. La Ley Federal de Protección de Datos revisada de Suiza se aplica desde septiembre de 2023 y está muy alineada con los principios del GDPR.
Si tu país no aparece aquí, aun así puede tener una ley pertinente. Tu autoridad nacional de protección de datos o de consumo es el lugar donde consultarlo.
Por qué darse de baja no detiene tus recibos
La gente suele preguntar por qué, tras darse de baja del marketing de una tienda, siguen llegando sus correos de pedidos. Las leyes separan ambas cosas a propósito, y por eso mismo un remitente no puede escapar de las reglas de marketing con solo llamar «mensaje de servicio» a algo.
| Tipo | Ejemplos | GDPR y ePrivacy | CAN-SPAM | CASL |
|---|---|---|---|---|
| Transaccional | Recibos, novedades de envío, restablecimientos de contraseña, alertas de seguridad | Necesita una base jurídica, normalmente el contrato o los intereses legítimos, y no el consentimiento de marketing | Exento de la mayoría de las reglas; sin información de enrutamiento falsa | Las categorías enumeradas están exentas de consentimiento, pero aun así necesitan la identificación del remitente y el contenido de baja |
| Marketing | Ofertas, boletines promocionales, recomendaciones de productos | Consentimiento o soft opt-in; derecho de oposición absoluto | Permitido sin consentimiento; se aplican todos los requisitos | Se exige consentimiento expreso o implícito |
| Mixto | Una confirmación de pedido con un gran banner promocional | La parte promocional puede necesitar consentimiento de marketing | Se juzga por la finalidad principal, mirando el asunto y cómo se coloca el contenido | Puede tratarse como comercial si promociona productos |
Tampoco toda regla con la que te cruzas viene de un legislador. Desde 2024, Google y Yahoo exigen a los remitentes masivos admitir la baja con un clic mediante el mecanismo de la RFC 8058 y atender las solicitudes en dos días. Es una condición de buena entrega fijada por los proveedores de buzones, sin fuerza legal detrás, pero en la práctica frena a algunos remitentes más rápido que los 10 días hábiles de la ley.
Ejercer tus derechos, paso a paso
1. Detén el marketing
Usa el botón de baja que tu app de correo muestra junto al remitente, que se apoya en la cabecera List-Unsubscribe. Si no hay ninguno, usa el enlace del pie de un mensaje legítimo. Hazlo solo con remitentes que reconozcas, porque un enlace en spam evidente puede llevar a cualquier parte, y denunciar es la mejor respuesta allí. Anota la fecha. Según CAN-SPAM y CASL, el correo debería parar en 10 días hábiles. En la UE y el Reino Unido, una oposición debería surtir efecto sin demora, aunque los reguladores suelen aceptar un breve periodo de tramitación.
2. Averigua qué tiene una empresa
Envía una solicitud de acceso del interesado según el GDPR, o una solicitud de conocer según la CCPA. Muchas empresas ofrecen un formulario o portal de privacidad, y usarlo puede acelerar las cosas. Si no, basta un mensaje corto como esta plantilla:
Asunto: Solicitud de acceso a datos personales
Solicito acceso a los datos personales que tienen sobre mí conforme al artículo 15 del GDPR [o: conforme a la California Consumer Privacy Act]. Mi dirección de correo en sus registros es [dirección]. Les ruego que me faciliten una copia de los datos, los fines del tratamiento, las categorías de destinatarios con los que los han compartido, durante cuánto tiempo los conservarán y el origen de los datos si no los obtuvieron de mí. Espero su respuesta dentro del plazo legal.
Envíala desde la dirección que la empresa tiene registrada, al contacto de privacidad que figura en su política de privacidad, y guarda una copia con la fecha. Espera una comprobación de identidad. Es legítima, aunque debería ser proporcionada. Que una tienda pida un escaneo de pasaporte para responder a una solicitud sobre una dirección de boletín merece que lo cuestiones.
3. Pide la eliminación
Si has dejado de usar un servicio, pide la supresión según el artículo 17 del GDPR o la eliminación según la CCPA. La empresa puede conservar los registros que está obligada a mantener, como las facturas, y una dirección en una lista de supresión para no escribirte por error. Es razonable preguntar qué conserva y por qué.
4. Exclúyete de la venta y la cesión en los estados de EE. UU.
Busca un enlace como «Do Not Sell or Share My Personal Information» o «Your Privacy Choices», o activa Global Privacy Control en un navegador o extensión que lo admita. Los californianos pueden usar DROP para los corredores de datos registrados.
5. Escala el asunto si no llegas a ninguna parte
- UE y EEE: reclama ante tu autoridad nacional de protección de datos. El Comité Europeo de Protección de Datos las enumera todas.
- Reino Unido: reclama ante el regulador británico de protección de datos después de plantearlo primero a la organización, o denuncia el marketing no deseado con su herramienta en línea.
- EE. UU.: denuncia el correo comercial engañoso o que incumple la ley en ReportFraud.ftc.gov. Para problemas con la CCPA, presenta una queja ante la Agencia de Protección de la Privacidad de California o el Fiscal General.
- Canadá: denuncia en el Centro de Denuncia de Spam.
Mantén tus pruebas sencillas: la fecha de tu solicitud, una copia de ella, una copia de la respuesta si la hay y ejemplos de los mensajes que siguieron llegando con sus cabeceras completas. Los reguladores no pueden perseguir todas las quejas, así que una queja individual puede no dar un resultado rápido, pero suma al expediente contra un infractor reincidente.
Lo que estas leyes no cubren
El spam delictivo es el hueco más evidente. Alguien que vende medicamentos falsos desde un servidor secuestrado ignora todas las normas anteriores, y por eso un filtro de spam y el botón de denuncia de tu proveedor hacen más contra ese correo que cualquier ley. Detectar y denunciar ese tipo de fraude es una habilidad práctica, y ningún regulador puede hacerlo por ti.
Tu propia correspondencia también queda en su mayor parte fuera de estas normas. Una nota personal a amigos no es correo comercial, y el GDPR tiene una exención para la actividad puramente personal o doméstica en el artículo 2(2)(c). El acceso de las fuerzas de seguridad a los buzones depende de otras leyes, como la Stored Communications Act de EE. UU. y las leyes nacionales de vigilancia, y esas merecen su propia explicación.
Por último, la mayoría de estas leyes obligan a organizaciones de cierto tipo o por encima de cierto tamaño. Una pequeña tienda de California por debajo de los umbrales de la CCPA sigue teniendo que cumplir CAN-SPAM pero no tiene obligaciones de la CCPA. Una organización sin ánimo de lucro puede escapar de la CCPA y seguir sujeta al GDPR cuando escribe a personas en Europa. Mira siempre quién es el remitente antes de suponer qué normas se aplican.
¿Dónde encaja una dirección desechable?
Una dirección de correo desechable es una bandeja temporal que no necesita registro y borra sus mensajes tras poco tiempo. No conocemos ninguna ley de los regímenes anteriores que prohíba usar una por privacidad propia, y hacerlo sigue la misma lógica del deber de minimización de datos que el GDPR impone a las organizaciones. Si un sitio no necesita una relación duradera contigo, puedes decidir no ofrecerla, siempre que sus términos lo permitan. Las normas y los términos varían, así que esto es una observación general y no una garantía para un caso concreto.
Entre los usos habituales están recibir una descarga puntual o probar el registro y los correos de confirmación de tu propia web. VookMail es uno de esos servicios. Hay una dirección lista al cargar la página, puedes pulsar Nuevo para escribir un nombre de usuario en uno de más de 30 dominios o usar el botón amarillo «Aleatorio» para obtener una aleatoria, y los mensajes, los archivos adjuntos y las direcciones se eliminan después de aproximadamente un día. Cómo trata los datos se detalla en la política de privacidad, y la página de metodología explica cómo el correo de sus dominios llega a un proveedor de entrega mediante registros MX y se reenvía por HTTPS.
Se aplican varios límites:
- Los servicios pueden rechazar direcciones desechables, y muchos tienen buenas razones. Nuestro artículo sobre por qué los sitios web bloquean el correo desechable las explica. Cuando un sitio rechaza una, respétalo y usa una dirección permanente o un alias.
- Cualquiera que conozca o adivine una dirección temporal puede abrir esa bandeja, así que da privacidad frente a la lista de correo de una empresa y ninguna confidencialidad a los mensajes. Una dirección aleatoria es la opción más segura.
- La banca, la administración, la sanidad y las redes sociales principales necesitan una dirección que controles siempre, porque envían avisos con relevancia jurídica y mensajes de recuperación.
- El mal uso no tiene protección. El fraude, el acoso, la suplantación o eludir un bloqueo pueden traer consecuencias legales sea cual sea la dirección, y nuestros términos y condiciones los prohíben.
- Las solicitudes de derechos necesitan una dirección estable. Una empresa normalmente te verificará mediante la dirección registrada, así que si puede que quieras usar más adelante tus derechos del GDPR o la CCPA, te conviene más una dirección permanente.
Si envías correo tú mismo
Un boletín o una pequeña tienda online te sitúa al otro lado de todo esto. Si tus lectores son internacionales, el enfoque práctico es construir según la regla más estricta que se aplique a tu audiencia. La lista de abajo es una base, y una revisión de cumplimiento real depende de tu país y de tus clientes.
- Recoge el consentimiento con una casilla sin marcar o una acción de registro explícita, y anota cuándo y cómo se dio.
- Plantéate el doble opt-in, que te da pruebas del consentimiento y evita errores de escritura y registros falsos.
- Enlaza un aviso de privacidad claro allí donde recojas direcciones.
- Mantén separados los flujos transaccionales y de marketing, y no cuelgues promociones en los recibos.
- Pon la identidad de tu organización y una dirección postal válida en cada correo de marketing.
- Admite la baja con un clic con las cabeceras
List-UnsubscribeyList-Unsubscribe-Post, y atiende rápido las bajas. - Mantén una lista de supresión para que las direcciones dadas de baja no se vuelvan a importar.
- No compres listas. Una lista comprada no supera las pruebas de consentimiento en países con opt-in, y suele traer quejas y rebotes que perjudican tu entrega en todas partes.
- Informa del seguimiento de aperturas y clics, y comprueba si los países de tus lectores exigen consentimiento para ello. Francia ya tiene orientación específica sobre esto.
- Fija periodos de conservación y elimina los datos de suscriptores inactivos que ya no necesites.
- Ten un proceso para responder a las solicitudes de acceso, eliminación y corrección en un mes (GDPR) o 45 días (CCPA).
- Prueba el flujo de registro y de baja con una bandeja nueva antes del lanzamiento, para ver lo que ve un suscriptor.
Creencias que causan problemas
«Si una dirección es pública, puedo hacerle marketing.» En los sistemas con opt-in, una dirección visible públicamente no da por sí sola el consentimiento. Según CAN-SPAM, recolectar direcciones de sitios web es un agravante. Que esté publicada simplemente no resuelve la cuestión.
«Darse de baja solo confirma mi dirección a los spammers.» Esto vale para el spam evidente de remitentes desconocidos, donde denunciar es la mejor opción. Con un remitente legítimo, darse de baja es el paso correcto, y la ley obliga al remitente a respetarlo.
«El GDPR solo se aplica a empresas de la UE.» El artículo 3(2) alcanza a las organizaciones de otros lugares que se dirigen a personas de la UE o el EEE o las vigilan. Cómo lo hacen cumplir los reguladores contra una empresa sin presencia en Europa es otra cuestión, y en la práctica puede ser difícil.
«CAN-SPAM me permite demandar a los spammers.» No da ese derecho a los particulares. Otras leyes pueden ayudar en situaciones concretas, y las leyes estatales contra el engaño pueden sobrevivir a la prevalencia federal, así que un abogado puede decirte si algo se aplica a tu caso.
«Borrar mi cuenta borra todos mis datos.» Las empresas pueden conservar legalmente algunos registros, como el historial de transacciones por motivos fiscales. Deberían explicártelo cuando se lo preguntes.
«Los correos transaccionales no están regulados.» Escapan de muchas reglas de marketing, pero aun así necesitan una base jurídica según el GDPR y no deben ser engañosos.
Respuestas breves a preguntas frecuentes
¿Puede una empresa escribirme si nunca me registré?
Depende de dónde estés. En EE. UU., por lo general sí, siempre que cumpla CAN-SPAM y pare cuando te des de baja. En la UE, el Reino Unido y Canadá, un correo de marketing por lo general necesita tu consentimiento o encaja en una estrecha excepción para clientes existentes.
¿Tiene que responder a mi solicitud del GDPR una empresa de fuera de Europa?
Si ofrece bienes o servicios a personas en la UE o el EEE, o vigila allí su comportamiento, el GDPR puede aplicársele. El artículo 27 también exige por lo general a una empresa así que designe un representante en la UE, cuyos datos deberían aparecer en su aviso de privacidad. Si puedes hacer cumplir la solicitud en la práctica es otra cuestión.
¿Tengo derechos de la CCPA si vivo fuera de California?
La CCPA protege a los residentes de California. Algunas empresas ofrecen opciones similares a todo el mundo, y muchos otros estados tienen sus propias leyes, así que sigue valiendo la pena preguntar.
¿Con qué rapidez debería funcionar la baja?
Diez días hábiles como máximo según CAN-SPAM y CASL, cinco días laborables en Australia y, en la práctica, sin dilación indebida en la UE y el Reino Unido. También se espera que los grandes remitentes que usan Gmail y Yahoo actúen en dos días según las reglas de esos proveedores.
¿Es legal el seguimiento de aperturas?
En EE. UU., CAN-SPAM no lo trata directamente. En la UE, los reguladores consideran cada vez más que los píxeles de seguimiento en el correo caen bajo el artículo 5(3) de la Directiva ePrivacy, y la CNIL de Francia ya trata el consentimiento como regla por defecto. En otros lugares, depende de la ley nacional.
¿Dónde puedo leer las propias leyes?
El GDPR y la Directiva ePrivacy están en EUR-Lex. La FTC publica la guía de cumplimiento de CAN-SPAM, el regulador y el Fiscal General de California publican orientación sobre la CCPA, y el Gobierno de Canadá mantiene un sitio sobre la CASL. Estas fuentes oficiales son en las que debes apoyarte, porque este resumen solo puede reflejar la ley tal como la entendíamos cuando se escribió.