¿Puedo enviar este correo?

Y sí, también para info@empresa.es

Esto es lo que casi nadie espera. El anexo de la propia ley define «destinatario» como «persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información».

Persona jurídica. Es decir: una SL, una SA, una cooperativa o una asociación también es destinataria, y su buzón genérico está igual de protegido que el correo personal de alguien. No existe en España la puerta que sí abren otros países para una dirección impersonal de una sociedad.

Fíjate en lo que eso implica, porque es contraintuitivo: aquí la protección es más amplia que la del RGPD. El RGPD solo habla de personas físicas, así que el buzón de una sociedad no es dato personal y tu fichero puede estar impecable en materia de protección de datos. Eso no te dice nada sobre si puedes enviar. Son dos preguntas distintas, y las dos se tienen que contestar sí. La primera la tienes en datos de clientes y el RGPD.

Antes de seguir: qué no es publicidad

La prohibición es de comunicaciones publicitarias o promocionales, y no de cualquier correo. Esto descarta buena parte del miedo.

No es publicidad la respuesta a una consulta. Ni un presupuesto que te han pedido. Ni un mensaje sobre un trabajo en marcha, una confirmación de cita o una pregunta sobre un envío. Eso es correspondencia comercial ordinaria y no tiene ningún problema, aunque la persona no te haya firmado nada nunca.

La frontera está donde ofreces algo que nadie te ha pedido. Y la pregunta que mejor funciona en la práctica: ¿este correo seguiría teniendo sentido si yo no tuviera nada que vender?

La única puerta: quien ya es cliente

El apartado 2 del mismo artículo levanta la prohibición «cuando exista una relación contractual previa». Tres condiciones, y van juntas:

1. Hay una relación contractual previa de verdad. Un presupuesto que no se aceptó no lo es; una tarjeta de una feria, tampoco.
2. Has obtenido los datos de contacto de forma lícita, y los empleas para comunicaciones sobre «productos o servicios de su propia empresa». De tu empresa: las de tu grupo son terceros.
3. Y son parecidos a lo que contrató. La ley dice «similares a los que inicialmente fueron objeto de contratación con el cliente». Quien hace mantenimiento de calderas puede ofrecer su contrato de revisión; no puede ofrecer un seguro.

Y hay una cuarta cosa que la ley pone «en todo caso», o sea también cuando tienes consentimiento: tienes que ofrecer la posibilidad de oponerse «mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija».

En el momento de recogida es la que se incumple más, porque habla de un momento que ya pasó. Si tu formulario de pedido no ofrecía nada de eso, no lo arreglas hoy con un enlace de baja perfecto. Y el artículo 22.1 añade que el destinatario puede revocar su consentimiento «en cualquier momento» con una simple notificación.

¿Y si quien envía no está en España?

Aquí está la trampa de este tema, y cae gente que ha leído la ley a medias. El artículo 2.1 dice que la Ley 34/2002 se aplica a «los prestadores de servicios de la sociedad de la información establecidos en España». Quien se para ahí concluye que un proveedor extranjero no está sujeto, y a continuación envía correo ilícito.

Porque el artículo 3.1 devuelve al derecho español una lista corta de materias cuando el prestador está en otro Estado miembro y «el destinatario de los servicios radique en España». Y la letra f) de esa lista es exactamente esta: «Licitud de las comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente no solicitadas.»

La identificación del prestador no está en esa lista; el correo comercial no solicitado sí. Así que el principio del país de origen te protege en una cosa y no en la otra. Si tus destinatarios están en España, el artículo 21 te vincula, estés donde estés — y eso también vale para nosotros.

Lo que hay que hacer antes de enviar, y no está en el correo

Esta obligación es española y se olvida siempre, porque no vive en el mensaje sino antes. El artículo 23.4 de la Ley Orgánica 3/2018: «Quienes pretendan realizar comunicaciones de mercadotecnia directa, deberán previamente consultar los sistemas de exclusión publicitaria que pudieran afectar a su actuación», excluyendo del tratamiento a quien se haya opuesto.

Basta con consultar los sistemas que figuran en la relación que publica la autoridad de control. La AEPD menciona en su página sobre publicidad no deseada el Servicio Lista Robinson y la Lista Stop Publicidad, y advierte de que una inscripción es eficaz «a partir del segundo mes» desde que la persona registra sus datos — así que una lista que consultaste hace medio año no te cubre hoy.

Y fíjate en la excepción, porque va al revés de lo que parece: la consulta no hace falta cuando la persona te dio su consentimiento a ti. Es decir, justo quien se apoya en la excepción del cliente del artículo 21.2, que no tiene consentimiento, es quien tiene que consultar.

Lo que tiene que llevar cada mensaje

Tres cosas de la propia ley, y ninguna es complicada:

1. Que se vea que es publicidad. El artículo 20.1 exige que las comunicaciones comerciales sean «claramente identificables como tales», y que la persona física o jurídica en cuyo nombre se hacen sea también claramente identificable.
2. Nada de esconder quién eres. El artículo 20.4 prohíbe el envío «en las que se disimule o se oculte la identidad del remitente». Un asunto tipo «Tu consulta» a alguien que no ha consultado nada entra justo ahí.
3. Una dirección válida para oponerse. El artículo 21.2 lo cierra con una frase que no admite lectura: queda prohibido «el envío de comunicaciones que no incluyan dicha dirección». Un no-reply sin ninguna otra vía es precisamente el caso que la norma prohíbe.

Un detalle que te ahorra copiar una guía antigua: ya no hay que poner la palabra «publicidad» al principio del mensaje. Lo exigía la redacción original de 2002 y se suprimió; el texto vigente solo pide que sea claramente identificable como publicidad. Puedes comprobarlo tú mismo: el BOE deja ver las dos redacciones del artículo 20 una al lado de la otra.

Y la obligación que de verdad importa es la que viene después del enlace: parar de verdad. Una baja que no se procesa es peor que no ofrecer el enlace, porque has hecho una promesa y la has roto.

¿Y por teléfono? No es la salida fácil

La vieja regla de que llamar es más libre que escribir aquí no te sirve, y conviene saberlo antes de cambiar de canal.

El artículo 66.1.b) de la Ley 11/2022, General de Telecomunicaciones, en vigor desde el 29 de junio de 2023, da derecho «a no recibir llamadas no deseadas con fines de comunicación comercial, salvo que exista consentimiento previo del propio usuario [...] o salvo que la comunicación pueda ampararse en otra base de legitimación» del artículo 6.1 del RGPD. Y «usuario», en el anexo de esa misma ley, es «una persona física o jurídica»: las empresas también están dentro.

Ese «otra base de legitimación» es la rendija, y la AEPD explicó en su Circular 1/2023 cómo la mira. El interés legítimo vale, pero tienes que hacer la ponderación antes de empezar y poder justificarla ante la Agencia. Y la frase que decide casi todos los casos de captación en frío: la AEPD «no presumirá [...] la existencia de expectativa razonable de los interesados en aquellos casos en los que no exista relación contractual vigente, solicitud o interacción previa y realizada durante el último año».

La misma circular añade dos deberes concretos: consultar los sistemas de exclusión publicitaria, y al principio de cada llamada decir quién eres, para qué llamas y que la persona puede oponerse. Cómo se lleva una primera llamada — la preparación, la primera frase, el momento de parar — es oficio y no derecho, y lo tienes en captación en frío.

Lo que no te vamos a decir porque no lo hemos podido comprobar en la fuente: qué pasa exactamente cuando llamas a la centralita de una sociedad, donde no hay dato personal de nadie. El derecho del artículo 66.1.b) es del usuario final, que también puede ser una persona jurídica; la salida remite al RGPD, que solo habla de personas físicas; y la circular dice tratar únicamente de datos personales. Esa costura no está resuelta en el texto, así que no la conviertas en un permiso.

Qué pasa si no lo haces

La propia ley tipifica esto, y con dos niveles. El artículo 38.3.c) considera infracción grave «el envío masivo de comunicaciones comerciales [...] o su envío insistente o sistemático a un mismo destinatario» sin cumplir el artículo 21. El artículo 38.4.d) deja como leve el mismo envío cuando no llega a grave.

Las cuantías están en el artículo 39.1: una infracción grave va de 30.001 a 150.000 euros y una leve llega hasta 30.000. Son máximos y no tarifas, y el artículo 39 ter permite incluso no abrir el expediente y limitarse a apercibir, en infracciones leves y graves, para que acredites las medidas correctoras. Un envío aislado de una empresa de dos personas no es una campaña masiva.

Y un dato que cambia a quién tienes delante: quien sanciona esto no es el ministerio, es la Agencia Española de Protección de Datos. El artículo 43.1 se lo atribuye expresamente para las infracciones del artículo 38.3.c) y 38.4.d), que son justo estas. La vía publicitaria y la de protección de datos acaban por tanto en la misma mesa, aunque sigan siendo dos preguntas.

Queda el riesgo práctico, que para una empresa pequeña suele llegar antes que cualquier expediente: tu propio correo. Los destinatarios que pulsan «spam» dañan la reputación de tu dominio de envío, y en algún momento deja de llegar también tu correo normal — tus presupuestos, tus respuestas, tus confirmaciones. Se nota tarde y se arregla mal.

Una forma practicable de hacerlo bien

Guarda cuatro datos por contacto, y no más: de dónde salió la dirección, en qué te apoyas (consentimiento, con fecha y texto literal, o relación contractual previa y qué contrató), baja sí o no, y cuándo consultaste el sistema de exclusión. Parece burocracia y es tu única prueba: el día que haya una reclamación, la pregunta no será si actuabas de buena fe, sino si puedes demostrar de dónde venía la dirección.

En Nermio, hoy, eso cabe a medias y preferimos decírtelo. Puedes escribir un mensaje a un contacto desde la ficha de la empresa, y queda en su historial con la fecha y el remitente. Un envío a un grupo, la pantalla de Campañas, todavía no existe: no hay lista de envío ni enlace de baja automático, y lo que todavía no está tampoco lo prometemos. Tampoco hay una casilla de baja en la ficha de un contacto, así que hasta que la haya, apúntalo en una nota donde tu compañero lo vea. Y las facturas todavía no están disponibles en España, porque Verifactu (Real Decreto 1007/2023) exige del propio programa un registro encadenado por factura que aún no tenemos.

Lo importante: Nermio no comprueba por ti si puedes enviar. No sabe si ese contacto te dio su consentimiento, ni si lo que ofreces es «similar» a lo que contrató. Esa parte se queda de tu lado, y vale más leerlo aquí que descubrirlo después de una reclamación.

Y aplica una regla más estricta que la ley, que además es la más fácil de recordar: envía solo lo que te alegraría recibir. Quien se atiene a eso no se tropieza con ninguna de estas normas.

Esto es una explicación, no asesoramiento jurídico

Lo que has leído es el texto del artículo 21 y de los artículos 2, 3, 20, 22, 38, 39 y 43 de la Ley 34/2002, los artículos 19 y 23 de la Ley Orgánica 3/2018, el artículo 66 de la Ley 11/2022 y la Circular 1/2023 de la AEPD. Lo que no está aquí es la jurisprudencia, y pesa: sobre todo en qué significa «similares» y en cuándo una dirección funcional vuelve a ser un dato personal.

Y no confundas dos cosas que estas leyes invitan a confundir. El artículo 19 de la Ley Orgánica 3/2018 presume lícito tratar los datos de contacto profesionales de quien trabaja en una persona jurídica, y también los de empresarios individuales y profesionales liberales. Es una buena noticia para tu fichero y no dice absolutamente nada sobre enviar publicidad: eso lo rige el artículo 21. Quien lee en el artículo 19 un permiso para la captación en frío está leyendo algo que no está escrito.

Escrito por un proveedor de software al que le conviene que no te parezca demasiado complicado. Si vas a enviar en grandes cantidades, si trabajas con listas compradas o si dudas de verdad, lee los textos en la fuente o pásale tu procedimiento a un jurista. Sale más barato que un expediente.