Automatizar el seguimiento comercial sin saltarse la ley

Montar una secuencia de seguimiento comercial cuesta hoy una tarde. Alguien deja su correo en la web y recibe un mensaje de bienvenida; a los tres días, un caso parecido al suyo; a la semana, un WhatsApp para ver si tiene dudas. Mientras, la herramienta le suma puntos según lo que abre. Casi todos esos mensajes son publicidad, y en España la publicidad por canales electrónicos tiene reglas propias, se mande a mano o con un programa. La herramienta no te avisa de ellas.

Lo que sigue es lo que dicen las normas y la Agencia Española de Protección de Datos (AEPD), la autoridad que vigila y sanciona estos envíos. Tu caso concreto lo tiene que mirar quien te asesore.

La regla de partida: sin permiso no hay publicidad electrónica

La norma que manda es la LSSI, la Ley 34/2002 de servicios de la sociedad de la información y de comercio electrónico. Su artículo 21 prohíbe enviar publicidad por correo electrónico u otro medio electrónico equivalente si el destinatario no la ha pedido o autorizado expresamente antes¹. Para la AEPD, los SMS y los mensajes de WhatsApp son medios equivalentes², así que la regla vale igual en los tres canales.

La definición de comunicación comercial es amplia: toda forma de comunicación dirigida a promocionar, directa o indirectamente, la imagen o los bienes o servicios de una empresa¹. Un «¿sigues interesado?» que termina con un enlace a la oferta del mes entra de lleno. Y cada mensaje de ese tipo tiene que ser claramente identificable como comercial, igual que la persona o empresa en cuyo nombre se envía¹.

El permiso tiene que ser expreso. La AEPD rechaza que el artículo 21 admita un consentimiento tácito³ y avisa de que no vale el mensaje que da por aceptado lo que no contestas². El Reglamento general de protección de datos (RGPD, el reglamento europeo sobre datos personales) exige una manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa⁴. De ahí nuestro consejo de que la casilla venga siempre sin marcar: que la marque la persona es justo la acción afirmativa que luego tendrás que demostrar.

Que una dirección esté publicada tampoco da permiso. La AEPD cita una sentencia de la Audiencia Nacional de 2009 que dio por infringido el artículo 21 a quien había mandado correos sin consentimiento a direcciones de una universidad sacadas de su propia página web³.

Y las empresas también están protegidas: mandar publicidad sin legitimación a un correo corporativo genérico es sancionable igual que si el destinatario fuera un particular⁵; en ese expediente, la sanción inicial fue de 2.000 euros⁵.

Responder a quien te pide información

El artículo 21 prohíbe lo que no se ha solicitado¹. Nuestra lectura, que sale del texto de la ley y no de una frase de la AEPD: si alguien te pide información sobre un servicio y le mandas esa información, no le estás enviando nada que no haya pedido. Otra cosa es lo que suele venir detrás: el boletín o la secuencia de cinco correos que ya no contesta a su pregunta. Para eso hace falta su consentimiento o que sea cliente.

Aquí hay dos dudas sin resolver: cuántos mensajes de seguimiento caben dentro de lo que la persona pidió, y si quien rellenó un formulario o pidió presupuesto sin llegar a contratar cuenta ya como cliente para la excepción que viene a continuación. Ninguna tiene un criterio actual de la AEPD que podamos citarte. Nuestro consejo: la secuencia larga, sólo para quien marque una casilla de consentimiento comercial; a los demás, se les contesta lo que pidieron sin colar ofertas.

Para los recordatorios que no venden nada (la cita del jueves, el presupuesto que caduca) sólo hemos encontrado un apoyo indirecto: un informe en el que la AEPD consideró conformes con el artículo 6.1 b) del RGPD las comunicaciones sobre mantenimiento o instalación del servicio en casa del cliente⁶. Mantenlos limpios: en cuanto el recordatorio lleva una oferta, ya promociona algo.

La excepción de los clientes

La regla del consentimiento tiene una salida, y según la AEPD es la única: que haya una relación contractual previa y que la publicidad sea de productos o servicios similares³. La LSSI la rodea de condiciones, y si falla una, la excepción no te cubre:

1. Que hayas obtenido de forma lícita los datos de contacto del destinatario¹.
2. Que anuncies productos o servicios de tu propia empresa, similares a los que el cliente contrató¹. Las comunicaciones comerciales de terceros quedan fuera¹, y la AEPD lo pone como ejemplo expreso⁷.
3. Que le ofrezcas oponerse con un procedimiento sencillo y gratuito, al recoger sus datos y en cada comunicación comercial¹.

Con casos se ve mejor el límite. Si es cliente desde hace dos años, le haces el mantenimiento de la caldera y quieres ofrecerle la revisión anual, estás cerca del supuesto que describe la ley, siempre que se cumplan las otras dos condiciones. Si te compró una impresora y quieres venderle un curso de técnicas de venta, el producto es tuyo pero no se parece a lo que compró: lo prudente es dejarlo fuera de la excepción y pedirle permiso. Y si una empresa amiga tiene una promoción que le vendría bien, es publicidad de un tercero¹.

El antiguo cliente es el caso más dudoso. Cuánto dura la excepción en correo o WhatsApp no está resuelto. La pista más cercana viene de otro contexto: al analizar el interés legítimo, la AEPD consideró que quien ya no es cliente, o lo fue de forma ocasional, no tiene una expectativa razonable de seguir recibiendo ofertas⁸. El plazo de «último año» que quizá hayas leído sale de una circular de la AEPD sobre llamadas comerciales⁹, y no conviene trasladarlo al correo ni a WhatsApp. Nuestro consejo: a quien dejó de comprarte hace años, pregúntale antes de meterle en una secuencia.

Por qué aquí no vale el interés legítimo

El considerando 47 del RGPD dice que el tratamiento de datos con fines de mercadotecnia directa puede considerarse realizado por interés legítimo⁴. Leído suelto, parece que basta un motivo comercial razonable para escribir a cualquiera.

Para correo, SMS y WhatsApp, la AEPD lo ha descartado en varios informes. El régimen de las comunicaciones comerciales electrónicas es normativa específica y prevalece sobre el régimen general del RGPD³. Esas comunicaciones se tienen que basar en el artículo 21.1 de la LSSI, no en el interés legítimo⁷. Y si no fuera así, la LSSI quedaría vaciada de contenido⁸.

El interés legítimo juega en otros terrenos. La AEPD consideró que podría amparar el tratamiento cuando las acciones se hacen por medios no electrónicos, como un folleto por correo postal, pero el medio no basta: la persona tiene que seguir siendo cliente, lo que le ofreces tiene que ser similar a lo que contrató, y debes informarle con transparencia y darle un procedimiento sencillo para oponerse⁸. Para los contactos profesionales, la LOPDGDD (Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales) presume amparado en él el tratamiento de sus datos de contacto y de su puesto, siempre que la finalidad sea únicamente mantener relaciones con la empresa en la que trabajan¹⁰.

Ojo con leer esa presunción de más. Habla de tratar los datos para mantener la relación; el envío de publicidad por medios electrónicos sigue pasando por el artículo 21.1 de la LSSI⁷. Si un proveedor te asegura que entre empresas no hace falta consentimiento, pídele el artículo.

La baja: en cada mensaje y para toda la secuencia

La LSSI pide que la baja sea sencilla y gratuita y que se ofrezca al recoger los datos y en cada comunicación comercial¹. En los correos tiene que incluir necesariamente una dirección de correo electrónico u otra dirección electrónica válida donde ejercer ese derecho¹. Como ejemplos de procedimiento sencillo, la AEPD pone mandar un correo a la dirección indicada, enviar un SMS, pulsar un enlace o llamar a un teléfono gratuito².

El consentimiento se revoca en cualquier momento con una simple notificación al remitente¹, y retirarlo tiene que ser tan fácil como darlo⁴. Además, frente a la mercadotecnia directa el RGPD reconoce un derecho de oposición que se ejerce en todo momento y que obliga a dejar de tratar los datos para ese fin⁴. Las directrices europeas que publica la AEPD aclaran que aquí no se ponderan intereses: la empresa respeta ese deseo sin cuestionar los motivos¹¹. Y hay que mencionar ese derecho de forma explícita, como tarde, en la primera comunicación⁴.

Dos expedientes enseñan cómo se falla. Un cliente que había comprado un portátil en una tienda online, sin aceptar nunca de forma expresa recibir publicidad, siguió recibiendo 13 comunicaciones comerciales después de pedir la baja; la tienda no pudo acreditar su consentimiento y la AEPD le impuso 3.000 euros¹². En el otro, la empresa acusó recibo de la solicitud, confirmó que estaba atendida y después volvió a mandar mensajes publicitarios¹³. La sanción inicial fue de 10.000 euros, que quedaron en 6.000 pagados con las dos reducciones previstas en el acuerdo de inicio¹³.

El segundo caso debería preocupar a quien automatiza: confirmar una baja y seguir enviando es lo que pasa cuando la baja se apunta en una herramienta y los envíos salen de otra. La baja se aplica a la persona entera: si tu programa la saca de la secuencia de bienvenida pero la deja en el boletín o en el flujo de WhatsApp, seguirás escribiéndole. Las respuestas también cuentan, y un «no me escribáis más» contestado a un WhatsApp es una notificación al remitente que alguien tiene que leer. Reimportar una base vieja desde una hoja de cálculo es la forma más tonta de resucitar a quien se dio de baja.

Un último deber: cuando alguien te dice que no quiere recibir publicidad, la LOPDGDD te obliga a informarle de los sistemas de exclusión publicitaria existentes¹⁰: el mensaje que confirma la baja es buen sitio para hacerlo.

Puntuar contactos es elaborar perfiles

La puntuación de contactos (lead scoring, en inglés) suma puntos por abrir correos, visitar la página de precios o trabajar en una empresa de cierto tamaño. El RGPD llama elaboración de perfiles a toda forma de tratamiento automatizado que usa datos personales para evaluar determinados aspectos personales de una persona física⁴. Una nota que estima cuánto le interesa comprar a alguien encaja ahí, y eso trae obligaciones.

Hay que avisar: si vas a elaborar perfiles con los datos que te da la persona, la información básica de protección de datos tiene que decirlo¹⁰. Hay que respetar la oposición, que en mercadotecnia directa alcanza también a la elaboración de perfiles⁴. Y no conviene estirar el interés legítimo: la AEPD dice que no prevalece cuando la publicidad parte de perfiles exhaustivos que combinan diferentes fuentes de información⁸, y las directrices europeas ven difícil justificarlo para prácticas intrusivas de perfilado y seguimiento con fines de mercadotecnia¹¹.

Luego está el artículo 22 del RGPD, que da derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado, perfiles incluidos, con efectos jurídicos o que afecten significativamente de modo similar⁴. Según las mismas directrices, en muchos casos típicos la publicidad dirigida basada en un perfil no tiene ese efecto¹¹. Que tu comercial llame antes a quien tiene más puntos se parece más a ese caso típico que a una decisión con efectos jurídicos. Pero no lo des por cerrado.

El concepto se ha ensanchado: la AEPD explica que la sentencia SCHUFA del Tribunal de Justicia de la UE, de 7 de diciembre de 2023, considera decisión automatizada la puntuación generada automáticamente que se pasa a un tercero cuando este basa en ella su decisión de modo determinante¹⁴. Por otro lado, una puntuación que deja a alguien fuera (no se le contesta, recibe otro precio) ya no se limita a ordenar la agenda. Cuando el artículo 22 entra en juego, una decisión así sólo cabe si es necesaria para un contrato con la persona, si la autoriza una norma europea o nacional o si ella ha dado su consentimiento explícito⁴. En los casos del contrato y del consentimiento, el RGPD pide como mínimo el derecho a obtener intervención humana, a expresar su punto de vista y a impugnar la decisión⁴. Esa intervención no vale de adorno: la AEPD pide que la supervisión sea significativa y no un gesto simbólico¹⁴, y las directrices avisan de que el artículo 22 no se esquiva inventándose una participación humana¹¹.

Nuestro consejo: puntúa con lo que la persona ha hecho contigo, como abrir tus correos o pedirte presupuesto, y no cruces sus datos con bases externas. Escribe los criterios en una página: si nadie sabe explicar por qué un contacto tiene 80 puntos, tampoco sabrás dar información significativa sobre la lógica aplicada⁴ el día que la puntuación decida algo. Que la puntuación ordene y no excluya. Y quien se opone a la publicidad, fuera también de la puntuación comercial.

La Lista Robinson

La LOPDGDD obliga a quien vaya a hacer mercadotecnia directa a consultar antes los sistemas de exclusión publicitaria que puedan afectarle¹⁰, y la AEPD lo concreta: se consultan para excluir de la campaña a las personas inscritas². La Lista Robinson es uno de ellos y funciona para publicidad por teléfono, correo postal, correo electrónico y SMS/MMS¹⁵. Puede inscribirse gratis cualquier persona física, y la inscripción puede tardar hasta dos meses en ser plenamente efectiva¹⁵.

La consulta no hace falta cuando la persona consintió recibir la comunicación de quien la envía¹⁰. Las empresas acceden a la lista cuando no tienen el consentimiento inequívoco de los destinatarios, con una tarifa que se calcula según la propia empresa¹⁶.

Con los clientes hay una zona gris. La página de la AEPD dice que, aunque alguien esté inscrito, los comerciantes pueden mandarle publicidad si es cliente o si les ha dado su consentimiento². Pero la salvedad que recoge la LOPDGDD habla de consentimiento¹⁰, y la propia Lista Robinson se refiere a quien no te ha dado su consentimiento expreso¹⁵. Si escribes a un cliente por la excepción de la LSSI sin haberle pedido nunca permiso, no está claro que puedas saltarte la consulta. Nuestro consejo: pásalo también por la lista. Es un paso más y te ahorra depender de una duda que nadie ha cerrado.

Lo que cuesta equivocarse

Enviar comunicaciones comerciales por correo u otro medio electrónico equivalente sin cumplir el artículo 21 es infracción leve, con multa de hasta 30.000 euros, y pasa a grave, con multa de 30.001 a 150.000 euros, cuando el envío es masivo o insistente o sistemático a un mismo destinatario¹. Sanciona la AEPD, y la cuantía se gradúa con criterios como la intencionalidad o haber tomado medidas para mitigar o reparar el daño¹.

Ojo con esto si automatizas. Una secuencia que manda siete mensajes a la misma persona sin base para hacerlo se parece mucho a lo que la ley describe como envío insistente o sistemático, y lo que en un mensaje suelto sería leve puede acabar en el tramo grave por pura repetición.

Las leves tampoco son calderilla: en otro expediente, la AEPD impuso 20.000 euros por vulnerar el artículo 21.1 de la LSSI, con la infracción calificada como leve¹⁷. Y si lo que se incumple es el RGPD, el techo es otro. Su artículo 83.5, que cubre entre otras las infracciones de los principios del tratamiento, del consentimiento y de los derechos de los interesados (la oposición y el artículo 22 incluidos), prevé multas de hasta 20 millones de euros o, tratándose de una empresa, de hasta el 4 % de su volumen de negocio total anual global del ejercicio anterior, la que sea mayor⁴.

Qué vía vale en cada caso

Para correo, SMS y WhatsApp comerciales. Donde pone «no resuelto», la última columna es consejo nuestro.

Situación del contacto	Qué dicen la norma o la AEPD	Qué necesitas
Pidió información en un formulario	Prohibido lo no solicitado1; contestarle es nuestra lectura	Casilla de consentimiento comercial aparte
Pidió presupuesto y no contrató	No resuelto si cuenta como cliente	Su consentimiento
Cliente, algo tuyo parecido a lo que contrató	Excepción de cliente1	Datos lícitos y baja al recoger los datos y en cada envío1
Cliente, algo tuyo distinto	La excepción exige productos similares3	Consentimiento expreso
Cliente, oferta de otra empresa	Los terceros no entran en la excepción1	Consentimiento expreso
Fue cliente hace años	No resuelto	Pedirle permiso
Pidió la baja	Sus datos dejan de tratarse para mercadotecnia4	Bloqueo en todos los canales
Correo genérico de una empresa	La empresa también está protegida5	Consentimiento expreso
Inscrito en la Lista Robinson, sin tu consentimiento	Hay que excluirlo de la campaña2	Consultar la lista
Folleto por correo postal	El interés legítimo podría ampararlo si el medio no es electrónico, la persona sigue siendo cliente y le ofreces algo similar a lo que contrató8	Informarle con transparencia y darle una oposición sencilla8; revisarlo con quien te asesore

Antes de encender la automatización

1. Separa en el formulario el contacto del permiso comercial: casilla propia, sin marcar, que diga qué vas a enviar y por qué canales. Si vas a puntuar a los contactos, dilo en la información básica¹⁰.
2. Guarda la prueba de cada consentimiento, porque tienes que poder demostrar que se dio⁴: fecha y hora, texto exacto de la casilla y de la información de ese momento, formulario de origen y canal.
3. Anota en el CRM la vía de cada contacto (consentimiento, cliente con lo que contrató, o sólo consulta) y haz que la secuencia lea ese campo antes de mandar nada.
4. Revisa cada plantilla: que se identifique como comercial y diga quién la envía¹, que lleve la baja con una dirección electrónica válida en los correos¹ y que el primer mensaje mencione el derecho de oposición⁴.
5. Haz la baja global: un clic en el enlace o un «no me escribáis más» por WhatsApp tiene que parar todos los pasos pendientes, en todos los canales.
6. Pruébalo con un contacto de prueba: alta, baja y una semana de espera a ver si llega algo. Repítelo al cambiar de herramienta o añadir un canal.
7. Pon un tope de mensajes por contacto y semana. El número lo eliges tú; lo que importa es que exista y que la herramienta lo respete.
8. Antes de cada campaña, pasa por la Lista Robinson a quien no te haya dado su consentimiento, clientes por la excepción incluidos.
9. Escribe los criterios de la puntuación y decide quién revisa cuando deja a alguien fuera.