Prospección por email B2B, RGPD y LSSI: qué está permitido en 2026
¿Es legal el cold email B2B en España? Qué dicen la LSSI, el RGPD y la AEPD, las 5 obligaciones de cada email y las reglas en otros países.
¿Se puede enviar un email comercial a un director de compras que no te conoce? Si esa persona trabaja en España, la respuesta corta es: en general, no sin su consentimiento previo, aunque sea un email entre empresas. En Francia o en el Reino Unido, en cambio, sí está permitido bajo condiciones. Estas son las reglas, con sus fuentes, para prospectar sin asumir riesgos.
En resumen
| País de los destinatarios | Email B2B sin consentimiento previo | Norma de referencia |
|---|---|---|
| España | No permitido en general, salvo relación contractual previa y productos similares | Artículo 21 de la LSSI, RGPD, LOPDGDD (supervisión de la AEPD) |
| Francia | Permitido si el mensaje está relacionado con la función del destinatario | RGPD, artículo L34-5 del CPCE, doctrina de la CNIL |
| Bélgica | Permitido en un marco estricto (datos profesionales públicos) | Code de droit économique, APD |
| Reino Unido | Permitido hacia sociedades (no hacia autónomos) | PECR, ICO |
| Luxemburgo | Regulado: consentimiento en principio para personas físicas | Ley de 30 de mayo de 2005 |
| Alemania | Consentimiento previo exigido, también en B2B | § 7 UWG |
| Italia | Consentimiento previo exigido en principio | Artículo 130 del Codice privacy |
La regla que cuenta es la del país de la persona contactada, no la de la sede de su empresa.
Lo que dice la ley en España
El artículo 21.1 de la LSSI (Ley 34/2002) prohíbe enviar comunicaciones publicitarias o promocionales por correo electrónico u otro medio electrónico equivalente que no hayan sido previamente solicitadas o expresamente autorizadas por sus destinatarios. La propia ley define al destinatario como la persona física o jurídica que utiliza un servicio de la sociedad de la información, sea o no por motivos profesionales. Por eso la prohibición alcanza también a los emails entre empresas.
La única excepción prevista es la del artículo 21.2: puedes escribir sin consentimiento a quien ya es cliente tuyo, si obtuviste sus datos de forma lícita y le ofreces productos o servicios de tu propia empresa similares a los que contrató. Incluso en ese caso, debes ofrecer en cada envío un medio sencillo y gratuito para oponerse, que en el email consiste necesariamente en una dirección electrónica válida.
La AEPD es la autoridad competente para sancionar estos envíos (artículo 43 de la LSSI). Según el artículo 39 de la LSSI, enviar emails comerciales sin cumplir el artículo 21 es una infracción leve, con multa de hasta 30.000 €, y el envío masivo o insistente es una infracción grave, con multa de 30.001 a 150.000 €. A esto puede sumarse el RGPD si el tratamiento de los datos personales no tiene base legal.
Dos matices útiles:
- El artículo 19 de la LOPDGDD presume el interés legítimo para tratar los datos de contacto profesionales de quien trabaja en una empresa, pero solo para mantener relaciones con esa empresa. No sustituye el consentimiento que exige la LSSI para enviar publicidad por email.
- El artículo 23 de la LOPDGDD obliga a quien quiera hacer mercadotecnia directa a consultar antes los sistemas de exclusión publicitaria, como la Lista Robinson, salvo que el destinatario haya dado su consentimiento.
En la práctica, para destinatarios en España, las vías seguras son el consentimiento (formularios, eventos, contenidos descargables con casilla de aceptación explícita) y la relación contractual previa. Este artículo no sustituye un asesoramiento jurídico: ante un caso concreto, consulta a un abogado especializado.
Lo que dice la ley en Francia
La CNIL distingue dos casos. Para los particulares, el consentimiento previo es obligatorio. Para los profesionales, la prospección por email es posible sin consentimiento, siempre que:
- el mensaje tenga relación con la profesión de la persona (un editor de software de contabilidad puede escribir a un director financiero, no ofrecerle unas vacaciones de esquí);
- la persona sea informada, en el momento de la recogida o en el primer mensaje, del uso de su dirección;
- pueda oponerse de forma sencilla y gratuita a cualquier nuevo envío.
La base legal del tratamiento es entonces el interés legítimo (artículo 6.1.f del RGPD). No es un simple trámite: documenta por qué tu enfoque es legítimo y proporcionado (público objetivo, finalidad, medidas de protección).
Las 5 obligaciones de cada email, allí donde está permitido
- Una dirección profesional: nombre.apellido@empresa.com. Las direcciones personales (Gmail, Outlook) siguen el régimen de los particulares, aunque la persona sea directiva.
- Una relación con la función: el asunto debe referirse a la actividad profesional del destinatario. Además, es lo que hace que respondan.
- Un remitente identificable: nombre de la empresa, datos de contacto, sin direcciones ocultas ni asuntos engañosos.
- Un medio para oponerse: un enlace de baja o una simple respuesta «baja», aplicados sin demora y de forma duradera.
- La información sobre el origen de los datos: si no obtuviste la dirección directamente de la persona, el artículo 14 del RGPD obliga a informarle de la fuente y de sus derechos, como tarde en el primer contacto.
En España, estas obligaciones también se aplican a los envíos basados en consentimiento o en relación contractual previa: no lo sustituyen.
¿Y en otros países europeos?
La directiva ePrivacy deja que cada Estado fije sus reglas para los emails dirigidos a personas jurídicas. Resultado: un mismo email puede ser legal en Lyon y estar prohibido en Madrid o en Múnich.
- Alemania: el § 7 de la ley contra la competencia desleal (UWG) exige un consentimiento previo y explícito para la publicidad por email, también entre empresas. La excepción afecta a tus clientes actuales, para productos similares.
- Italia: el artículo 130 del Codice privacy impone en principio el consentimiento para los emails promocionales, y el Garante también sanciona en B2B.
- Reino Unido: las reglas PECR, aplicadas por la ICO, permiten los emails a sociedades sin consentimiento, con posibilidad de oponerse. Los autónomos y las sociedades personalistas (partnerships) están protegidos como particulares.
- Luxemburgo: la ley de 30 de mayo de 2005 prevé en principio el consentimiento para las personas físicas. La prospección a direcciones profesionales relacionada con la actividad suele admitirse, pero conviene validarla caso por caso.
En la práctica: elige tus países objetivo en función de estas reglas, y no al revés.
¿Cuánto tiempo conservar los datos?
En Francia, la CNIL recomienda conservar los datos de un contacto que no ha respondido como máximo 3 años desde el último contacto. En España no hemos identificado un plazo equivalente fijado por la AEPD: aplica el principio de limitación del plazo de conservación del artículo 5 del RGPD y documenta tu criterio. Las listas de exclusión, en cambio, deben conservarse mientras sea necesario para no volver a escribir nunca a quien lo pidió.
Lo que hacemos en Lead Matrix
- Definimos contigo los países objetivo y adaptamos cada campaña a las normas locales descritas arriba.
- Cada campaña se dirige a funciones concretas, con un mensaje relacionado con su actividad.
- Cada email identifica claramente al remitente y permite darse de baja; las oposiciones se aplican de inmediato.
- Tu lista «No contactar» (clientes actuales, competidores, contactos sensibles) se tiene en cuenta en todas las campañas en curso.
Preguntas frecuentes
¿Es legal enviar cold email B2B en España?
En general, no sin consentimiento previo. El artículo 21 de la LSSI prohíbe los emails comerciales no solicitados ni autorizados expresamente, y se aplica también cuando el destinatario es una empresa. La excepción es la relación contractual previa, para productos o servicios similares a los ya contratados.
¿Se puede escribir a una dirección genérica como info@?
Una dirección genérica no identifica a una persona, por lo que el RGPD no se aplica a ella. Sin embargo, la LSSI protege también a las personas jurídicas: en España, enviar publicidad no solicitada a info@empresa.es queda sujeto, en principio, al artículo 21.
¿Puede una empresa española prospectar por email a empresas francesas?
Lo que cuenta es el país del destinatario. En Francia, el email B2B sin consentimiento está permitido si está relacionado con la función de la persona, identifica al remitente y permite oponerse fácilmente. Comprueba siempre las reglas de cada país objetivo.
¿Cuáles son los riesgos en caso de incumplimiento?
En España, la LSSI prevé multas de hasta 30.000 € por infracción leve y de 30.001 a 150.000 € por envío masivo o insistente, impuestas por la AEPD. El RGPD prevé además multas de hasta 20 millones de euros o el 4 % de la facturación mundial si el tratamiento de los datos no es lícito.
Este artículo ofrece información general y no constituye asesoramiento jurídico. Para un caso concreto, consulta a un abogado o a tu delegado de protección de datos.