Disponer de una base de datos de clientes puede ser una herramienta comercial muy valiosa. Permite informar sobre nuevos servicios, lanzar promociones o mantener una relación continuada con quienes ya han confiado en la empresa. Sin embargo, tener un correo electrónico o un número de teléfono no significa automáticamente que podamos utilizarlo para enviar publicidad.
Esta es una de las dudas más frecuentes entre autónomos y pequeñas empresas: ¿puedo enviar promociones a una persona que ya ha sido cliente aunque nunca haya marcado una casilla aceptando publicidad? La respuesta es que, en determinados supuestos, sí. Pero existen límites claros y conviene conocerlos antes de poner en marcha una campaña de email marketing, SMS o mensajería instantánea.
En España, estas comunicaciones están condicionadas por el RGPD, la LOPDGDD y la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI).
Qué dice la ley sobre el envío de publicidad a clientes
El punto de partida está en el artículo 21 de la LSSI. Como regla general, se prohíbe el envío de comunicaciones publicitarias o promocionales por correo electrónico u otros medios electrónicos equivalentes cuando no hayan sido previamente solicitadas o expresamente autorizadas por el destinatario.
Sin embargo, la propia ley establece una excepción importante. Una empresa puede enviar determinadas comunicaciones comerciales a un cliente con el que ya existe una relación contractual previa si se cumplen varias condiciones.
La empresa debe haber obtenido los datos de contacto de forma lícita, la publicidad debe referirse a productos o servicios de la propia empresa y estos deben ser similares a los que el cliente contrató inicialmente. Además, el destinatario debe disponer de una forma sencilla y gratuita de oponerse a seguir recibiendo comunicaciones.
Por tanto, ser cliente no concede a la empresa una autorización ilimitada para utilizar los datos personales con cualquier finalidad comercial.
Un ejemplo práctico
Imaginemos una empresa que comercializa software de gestión. Un cliente contrató una licencia y facilitó su correo electrónico durante el proceso de compra.
Si meses después la empresa lanza una nueva funcionalidad vinculada a ese mismo software o un servicio complementario directamente relacionado, podría existir base para enviarle información comercial, siempre que se respeten el resto de requisitos legales.
Distinto sería utilizar ese correo para promocionar un producto completamente ajeno o ceder los datos a otra sociedad para que haga publicidad. La relación contractual previa no legitima cualquier uso.
En Geslopd se insiste precisamente en la necesidad de identificar qué datos maneja una organización, para qué los utiliza y qué obligaciones derivan de cada tratamiento. Su programa de protección de datos permite estructurar esta gestión y mantener documentados los procedimientos que afectan a clientes, proveedores o trabajadores.
¿Y si la persona todavía no es cliente?
Haber solicitado información, rellenado un formulario o pedido un presupuesto no convierte necesariamente a una persona en cliente ni autoriza automáticamente a incorporarla a una lista publicitaria.
Cuando el envío se basa en el consentimiento, este debe ser libre, específico, informado e inequívoco. No es recomendable mezclar en una única aceptación la autorización necesaria para responder a una solicitud y el permiso para enviar posteriormente publicidad.
Por ejemplo, una persona puede facilitar su correo para recibir un presupuesto. Ese dato es necesario para atender su petición, pero ello no implica que haya aceptado recibir newsletters durante los próximos años.
Una práctica adecuada consiste en separar ambas finalidades mediante una casilla opcional para las comunicaciones comerciales. La Agencia Española de Protección de Datos recuerda que el silencio, la inacción o las casillas premarcadas no constituyen por sí solos un consentimiento válido.
Clientes antiguos: el dato no dura para siempre
Otro error habitual consiste en conservar durante años una base de datos histórica y utilizarla periódicamente para campañas comerciales.
Que una persona fuera cliente en el pasado no significa que su relación con la empresa deba considerarse comercialmente activa de forma indefinida. Es necesario valorar el tiempo transcurrido, el tipo de relación, los productos contratados y la finalidad para la que se recogieron sus datos.
Aquí entran en juego principios del RGPD como la limitación de la finalidad y la minimización. Las bases de datos deberían revisarse periódicamente para detectar contactos sin origen conocido, personas que ya han solicitado la baja y datos que ya no responden a una finalidad legítima.
Para autónomos que gestionan directamente este tipo de información, Geslopd dispone además de una solución específica de protección de datos para autónomos, orientada a ordenar tratamientos habituales como clientes, proveedores, trabajadores o contactos comerciales.
¿Puedo enviar promociones por WhatsApp o SMS?
Cambiar el canal no elimina las obligaciones. Si utilizamos WhatsApp, SMS u otra aplicación de mensajería para enviar promociones, seguimos realizando una comunicación comercial y tratando datos personales.
Uno de los errores más frecuentes consiste en utilizar para campañas de WhatsApp números de teléfono obtenidos únicamente para gestionar pedidos, reservas, consultas o incidencias.
Antes de incorporar esos números a una lista promocional hay que revisar cómo se obtuvieron y con qué finalidad se informó al usuario.
El derecho a darse de baja debe ser sencillo y gratuito
Incluso cuando la comunicación comercial esté permitida por una relación contractual previa, el destinatario debe poder dejar de recibir publicidad de forma clara, sencilla y gratuita.
La LSSI exige esta posibilidad tanto en el momento de obtener los datos como en cada comunicación comercial posterior.
En un correo electrónico puede utilizarse un enlace de baja operativo o una dirección electrónica válida, sin obligar al usuario a realizar trámites complejos.
Cuando alguien solicita dejar de recibir publicidad, esa decisión debe quedar registrada. No basta con eliminarlo de una campaña concreta: hay que evitar que vuelva a incorporarse por error en futuras acciones comerciales.
La AEPD explica cómo ejercer el derecho de oposición o retirar el consentimiento frente al uso de datos con fines publicitarios.
¿Qué ocurre con la Lista Robinson?
Los sistemas de exclusión publicitaria son otro elemento que deben conocer las empresas que realizan acciones de marketing directo.
La Lista Robinson permite a las personas manifestar que no desean recibir publicidad a través de determinados canales. La AEPD dedica un área específica a la publicidad no deseada, donde explica cómo se relacionan estos sistemas con las distintas bases que pueden legitimar una comunicación.
Para una pyme, lo importante es no empezar una campaña exportando sin más todos los contactos del CRM. Debe existir un criterio definido sobre qué personas pueden formar parte de ella y qué base legitima la comunicación.
Siete errores frecuentes que pueden generar problemas
En la práctica, muchos incumplimientos proceden de hábitos comerciales aparentemente normales:
- Comprar bases de datos sin comprobar de dónde proceden.
- Añadir automáticamente a una newsletter a todas las personas que piden presupuesto.
- Utilizar números de atención al cliente para promociones por WhatsApp.
- Mantener indefinidamente contactos de antiguos clientes.
- Enviar publicidad de otras empresas utilizando una base de datos propia.
- No incluir una opción efectiva para dejar de recibir comunicaciones.
- No poder demostrar cuándo y cómo se obtuvo el consentimiento cuando este era necesario.
Este último punto es especialmente importante. La responsabilidad proactiva del RGPD exige que la empresa pueda acreditar que está actuando correctamente. No basta con afirmar que “el cliente lo aceptó”.
Cómo organizar correctamente una base de datos comercial
Una política de marketing compatible con la protección de datos empieza mucho antes de pulsar el botón de enviar.
La empresa debería conocer el origen de cada grupo de contactos, definir la finalidad para la que se utilizan, identificar la base jurídica correspondiente y disponer de procedimientos para atender bajas y derechos de los interesados.
También es recomendable diferenciar en el CRM categorías como clientes actuales, clientes antiguos, leads, personas que han autorizado comunicaciones y contactos que han ejercido oposición. Así, el cumplimiento se incorpora al funcionamiento habitual de la empresa.
Geslopd ayuda a empresas y autónomos a organizar estas obligaciones mediante documentación, análisis de riesgos, medidas de seguridad y seguimiento del cumplimiento. Su sección de preguntas frecuentes permite además resolver dudas habituales sobre las obligaciones básicas de protección de datos.
Antes de lanzar tu próxima campaña, revisa tu base de datos
Una base de datos bien gestionada puede ser un excelente activo comercial. Una base de datos sin origen claro, sin control de bajas o utilizada para finalidades distintas de aquellas para las que se recogieron los datos puede convertirse en un riesgo innecesario.
Antes de enviar la próxima newsletter, promoción por SMS o campaña de WhatsApp, conviene hacerse cuatro preguntas: ¿de dónde procede este contacto?, ¿por qué puedo utilizarlo?, ¿qué tipo de comunicación voy a enviarle? y ¿puede dejar de recibirla fácilmente?
Si tu empresa no tiene documentadas estas respuestas, es un buen momento para revisar cómo está gestionando los datos de clientes y contactos comerciales. Con Geslopd puedes estructurar el cumplimiento del RGPD y la LOPDGDD, mantener actualizada la documentación necesaria y detectar posibles riesgos antes de que se conviertan en un problema.