El derecho del email marketing en España se resume en una regla: sin consentimiento previo del destinatario no hay envío publicitario (artículo 21 de la LSSI-CE). El RGPD y la LOPDGDD añaden las reglas sobre los datos personales de tu lista. Las multas llegan hasta 30.000 euros en las infracciones leves de la LSSI, hasta 150.000 en las graves y hasta 20 millones de euros en el RGPD.
Qué leyes regulan el email marketing en España
Tres textos se aplican a la vez. La Ley 34/2002 (LSSI-CE) regula los correos publicitarios y las cookies. El Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD) regulan el tratamiento de los datos personales de tu lista. Detrás está la Directiva 2002/58/CE (ePrivacy), cuyo artículo 13 exige el consentimiento previo para el correo de venta directa y prevé una excepción para los clientes. En España la transpone la LSSI.
La AEPD (Agencia Española de Protección de Datos) vigila el cumplimiento de estos textos en materia de envíos y datos. El artículo 43 de la LSSI le atribuye la sanción de los envíos que incumplen el artículo 21 y del uso de cookies sin consentimiento.
Consentimiento previo: la regla del artículo 21 LSSI y su excepción
La respuesta corta es que sin autorización expresa no puedes enviar publicidad por email. El apartado 2 del artículo 21 se redactó con la Ley 9/2014, en vigor desde el 11 de mayo de 2014, y el apartado 1 se mantiene desde la Ley 32/2003. El apartado 1 prohíbe las comunicaciones publicitarias o promocionales por correo electrónico u otro medio equivalente que el destinatario no haya solicitado o autorizado expresamente. La expresión «medio de comunicación electrónica equivalente» abarca otros canales como los SMS, que la directiva ePrivacy asimila al correo electrónico (considerando 40).
La excepción del artículo 21.2 es estrecha. Exige una relación contractual previa, datos de contacto obtenidos de forma lícita y comunicaciones sobre productos o servicios de tu propia empresa similares a los que el cliente contrató. Además debes ofrecer una forma sencilla y gratuita de oponerse al recoger el dato y en cada correo.
La AEPD aplica esa limitación al pie de la letra. En la resolución PS/00407/2023 sancionó con 3.000 euros a una tienda online de informática, cuyos correos invitaban a sorteos de productos informáticos y de viajes. La empresa envió 13 correos comerciales entre el 23 de marzo y el 22 de junio de 2023 a un cliente que se había dado de baja dos veces. La AEPD lo calificó de infracción leve (art. 38.4.d de la LSSI). Antes de la primera baja, los sorteos de productos informáticos habrían entrado en la excepción. Los viajes quedaban fuera porque no eran un producto similar al portátil comprado (resolución de la AEPD).
Particulares y empresas: qué cambia según el destinatario
En España el artículo 21 no distingue entre particulares y profesionales. La LSSI define al destinatario como la persona física o jurídica que usa un servicio de la sociedad de la información, también por motivos profesionales. Un correo comercial a una empresa sigue necesitando una autorización o una relación contractual previa.
La LOPDGDD matiza otra cosa. Su artículo 19 presume, salvo prueba en contrario, amparado en el interés legítimo el tratamiento de datos de contacto de personas que trabajan para una empresa y de empresarios individuales o profesionales liberales, siempre que se limite a lo necesario para la localización profesional y que sirva para mantener relaciones con la empresa. Esa presunción habla de protección de datos y no deroga el artículo 21 de la LSSI, que no contiene ninguna excepción para la prospección B2B en frío.
| Caso | Base principal | Qué necesitas | Excepción posible |
|---|---|---|---|
| Particular sin relación previa | Art. 21.1 LSSI y consentimiento RGPD | Casilla activa, sin premarcar, con información clara | Ninguna |
| Cliente que compró | Art. 21.2 LSSI | Dato obtenido lícitamente y oposición fácil en cada envío | Solo productos o servicios similares |
| Profesional o empresa sin relación previa | Art. 21.1 LSSI (el destinatario puede ser persona jurídica) | Autorización previa de la persona o de la empresa | El art. 19 LOPDGDD no sustituye al art. 21 LSSI |
| Cliente profesional | Art. 21.2 LSSI | Relación contractual y producto similar | Igual que en B2C |
Para el detalle del consentimiento, de la baja y de las pruebas, la guía de RGPD y email marketing amplía este apartado.
Qué debe llevar cada correo comercial
Cada mensaje tiene que identificar quién lo envía y que es publicidad. El artículo 20 de la LSSI exige que las comunicaciones comerciales sean claramente identificables y que lo sea también la persona en cuyo nombre se envían. El artículo 20.4 prohíbe ocultar la identidad del remitente.
Debes incluir además una dirección de correo electrónico u otra dirección válida para ejercer el derecho de oposición. Sin ella el envío queda prohibido (art. 21.2 y 22.1 LSSI). El destinatario puede revocar su consentimiento en cualquier momento con la simple notificación de su voluntad. Si falla de forma significativa el procedimiento de baja, el artículo 38.3.d) lo tipifica como infracción grave.
Antes de una campaña de marketing directo debes consultar los sistemas de exclusión publicitaria. Lo exige el artículo 23.4 de la LOPDGDD, cuyo apartado 1 se reformó con la Ley 10/2025, en vigor desde el 28 de diciembre de 2025. No hace falta esa consulta para quien ya te dio su consentimiento.
Cómo probar el consentimiento y cuánto tiempo conservarlo
La LSSI no fija un plazo de caducidad del consentimiento y la carga de la prueba es tuya. El artículo 7.1 del RGPD obliga al responsable a poder demostrar que el interesado consintió. Al recoger la dirección debes informar de la finalidad comercial y del derecho de oposición (art. 13 RGPD y art. 21.2 LSSI). En la práctica guardas la fecha, la hora, la dirección, el texto exacto del formulario y el origen del alta de cada contacto.
El doble opt-in deja una confirmación fechada que resuelve casi todas las disputas. Las casillas premarcadas no valen para consentir las cookies: el TJUE lo declaró en la sentencia Planet49 (C-673/17, 1 de octubre de 2019), con independencia de que los datos sean personales.
Define un criterio de inactividad, documéntalo y deja de enviar a quien lo supera. Cuando un contacto se opone a la mercadotecnia directa, sus datos dejan de tratarse con esa finalidad (art. 21.3 RGPD). Por eso quien se da de baja pasa a una lista de supresión que consultas antes de cada envío. Conserva también la fecha de la baja y el momento en que dejó de recibir correos, porque son la prueba de que atendiste la petición.
Píxeles de seguimiento en 2026: qué dice la ley
El artículo 22.2 de la LSSI exige consentimiento informado para usar dispositivos de almacenamiento y recuperación de datos en el equipo del destinatario. Solo exceptúa el almacenamiento técnico de la transmisión o el estrictamente necesario para un servicio pedido. Es la norma que cabe invocar frente a los píxeles de apertura.
En Francia, la CNIL adoptó el 12 de marzo de 2026 una recomendación publicada el 14 de abril: medir las aperturas para optimizar campañas exige consentimiento. Solo se admite una exención para la medida individual de la entregabilidad en correos ligados a un servicio solicitado (recomendación de la CNIL). La Guía sobre el uso de las cookies de la AEPD (mayo de 2024) incluye las balizas web («web beacons») entre las tecnologías de seguimiento. Esa guía no trata el correo electrónico. Aplicar el mismo criterio es la opción prudente. Hemos explicado sus efectos en qué cambia con los píxeles de seguimiento.
Sanciones reales del email marketing
El coste del error depende de la norma infringida. Las cifras salen del artículo 39 de la LSSI y del artículo 83 del RGPD.
| Infracción | Norma | Importe máximo |
|---|---|---|
| Envío sin cumplir el art. 21 (leve) | Art. 38.4.d) y 39.1.c) LSSI | Hasta 30.000 euros |
| Envío masivo, insistente o sistemático a un mismo destinatario sin cumplir el art. 21 (grave) | Art. 38.3.c) y 39.1.b) LSSI | De 30.001 a 150.000 euros |
| Cookies sin información ni consentimiento (por analogía, píxeles de apertura si se aplica el art. 22.2) | Art. 38.4.g) LSSI | Hasta 30.000 euros |
| Incumplir los principios del tratamiento o el consentimiento | Art. 83.5 RGPD | 20 millones de euros o, para una empresa, el 4 % del volumen de negocio anual global del ejercicio anterior si es mayor |
La multa del caso anterior (3.000 euros) quedó muy por debajo de esos techos. El artículo 40 de la LSSI gradúa el importe según la intencionalidad, el tiempo de la infracción, la reincidencia, el perjuicio, el beneficio y el volumen de facturación. El procedimiento sancionador dura como máximo nueve meses desde su inicio. Puedes leer los textos íntegros en el BOE.
Errores frecuentes al enviar emailing en España
- Aplicar a un lead de un evento la excepción del cliente, que exige un contrato previo.
- Pensar que una dirección genérica como info@ queda fuera de la LSSI, cuando el destinatario puede ser una persona jurídica.
- Usar listas compradas o alquiladas cuyos contactos no han autorizado a ese remitente.
- Extraer direcciones de redes sociales o directorios y escribirles sin autorización.
- Mantener enviando tras una baja, que fue el fallo sancionado en el caso de los 3.000 euros.
- Contratar una plataforma de envío sin contrato de encargado del tratamiento (art. 28 RGPD).
Lista de comprobación antes de enviar
- Tienes el consentimiento de cada contacto o una relación contractual previa con productos similares.
- Guardas la prueba: fecha, texto del formulario y origen del alta.
- El mensaje identifica al remitente y se reconoce como publicidad.
- Incluye un enlace o una dirección válida para darse de baja.
- Has consultado los sistemas de exclusión publicitaria y tu lista de supresión.
- Los píxeles de apertura solo se activan si el contacto lo aceptó.
- El proveedor de envío figura en tu registro de actividades y tiene contrato de encargo.
Cumplir la ley no basta para llegar a la bandeja de entrada. Una lista legal puede contener direcciones inválidas o trampas de spam que dañan tu reputación. Conviene pasar la lista por un verificador de correos antes de cada campaña. La lista de verificación de la campaña recoge los controles técnicos y la guía de listas B2B cualificadas explica cómo construir una base sin atajos.
