Boneleads › Cold email legal en España

¿Es legal enviar correos en frío a empresas en España?

Por José Manuel Ramírez, fundador de Boneleads · Actualizado el 21 de octubre de 2026

Esta guía es informativa y no es asesoramiento jurídico. Si tu caso tiene dudas, consúltalo con un abogado especializado en protección de datos.

¿Qué leyes se aplican a un correo comercial en frío?

Se aplican dos normas a la vez, y cada una mira una cosa distinta. La LSSI-CE (Ley 34/2002, de servicios de la sociedad de la información) regula el envío de comunicaciones comerciales por medios electrónicos: cuándo se puede mandar un correo publicitario y qué debe incluir. El RGPD y la LOPDGDD (Ley Orgánica 3/2018) regulan el tratamiento de datos personales: con qué base legal recoges y usas una dirección de correo que identifica a una persona.

Cumplir una no te exime de la otra. Puedes tener una base legal válida para tratar un dato según el RGPD y, aun así, incumplir la LSSI si envías publicidad sin consentimiento previo.

¿Qué dice exactamente el artículo 21 de la LSSI?

El artículo 21.1 prohíbe enviar comunicaciones publicitarias o promocionales por correo electrónico u otro medio equivalente que no hayan sido «previamente solicitadas o expresamente autorizadas» por los destinatarios. Solo hay una excepción (art. 21.2): que exista una relación contractual previa, que los datos se hayan obtenido de forma lícita y que el correo ofrezca productos o servicios de tu empresa similares a los que el cliente ya contrató. Aun así, debes darle la opción de oponerse de forma sencilla y gratuita en cada envío.

Además, el artículo 20 obliga a que el correo sea identificable como comunicación comercial y a que se identifique con claridad quién lo envía, y el artículo 22.1 permite al destinatario revocar su consentimiento en cualquier momento con una simple notificación.

¿Protege la LSSI también a las empresas, o solo a los particulares?

También a las empresas. El anexo de la LSSI define al destinatario como la «persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información», y el artículo 21 habla de «destinatarios» sin distinguir. La AEPD, que es quien sanciona estas infracciones, cita esa definición en sus resoluciones. Por eso, en la letra de la ley, un correo publicitario no solicitado a info@empresa.es está en la misma situación que uno a un particular.

Aquí está la diferencia con el RGPD: el RGPD no protege los datos de las personas jurídicas (considerando 14), pero la LSSI sí regula los envíos a ellas. Por eso el argumento «es B2B, así que basta el interés legítimo» es incompleto en España.

¿Y el interés legítimo del RGPD? ¿No cubre la prospección B2B?

Cubre una parte. El considerando 47 del RGPD reconoce que la mercadotecnia directa puede considerarse un interés legítimo, y el artículo 19 de la LOPDGDD presume ese interés legítimo para tratar los datos de contacto profesionales de quien trabaja en una empresa, siempre que se traten solo los datos necesarios para localizarle y la finalidad sea mantener relaciones con la entidad en la que trabaja. Eso te da base para tener y usar ese dato con fines profesionales.

Lo que no hace es levantar la prohibición del artículo 21 de la LSSI para el envío de publicidad por email. Y el destinatario conserva siempre su derecho de oposición del artículo 21 del RGPD: si dice que no, se acabó.

¿Es lo mismo escribir a info@ que al correo de un empleado?

No del todo. Un correo genérico de empresa (info@, hola@, contacto@) no identifica a una persona, así que normalmente no es un dato personal y el RGPD apenas entra en juego; la LSSI, en cambio, sí. Un correo nominativo (ana.garcia@empresa.es) es un dato personal: se suman las obligaciones del RGPD (base legal, deber de informar, derechos de oposición y supresión) y, si la persona está en un sistema de exclusión publicitaria, la obligación de respetarlo.

El artículo 23 de la LOPDGDD obliga a quien hace mercadotecnia directa a consultar antes los sistemas de exclusión publicitaria (como la Lista Robinson) que puedan afectarle y a excluir a quienes se hayan opuesto, salvo que esa persona te haya dado su consentimiento.

¿Qué pasa con los autónomos?

Un autónomo es una persona física, así que sus datos sí son datos personales aunque los use en su negocio. El artículo 19.2 de la LOPDGDD extiende la presunción de interés legítimo a los datos de empresarios individuales y profesionales liberales cuando se tratan solo en esa condición, pero la regla del artículo 21 de la LSSI para el envío de publicidad es la misma. En la práctica, escribir a un autónomo tiene el riesgo de escribir a una empresa más las obligaciones del RGPD.

¿Qué multas puede poner la AEPD?

La LSSI tipifica como infracción leve (art. 38.4.d) enviar comunicaciones comerciales por correo sin cumplir el artículo 21, con multa de hasta 30.000 € (art. 39.1.c). Es grave (art. 38.3.c) el envío masivo, o el envío insistente o sistemático al mismo destinatario, y también no atender de forma significativa las revocaciones de consentimiento (art. 38.3.d): de 30.001 a 150.000 € (art. 39.1.b).

En la práctica, las sanciones que publica la AEPD por correos publicitarios aislados suelen ser bajas. Por ejemplo, en el procedimiento PS/00092/2022 multó con 800 € a una empresa por enviar un correo publicitario sin consentimiento. Las cuantías suben cuando hay volumen, insistencia o se ignoran las bajas, que es justo lo que más denuncias provoca.

¿Qué debe llevar cada correo comercial?

Aunque el riesgo no desaparece, un correo bien hecho reduce mucho las denuncias y cumple las obligaciones que la ley sí exige siempre:

• Quién eres: tu nombre, tu empresa y una forma de contactar contigo. Nada de remitentes ocultos (art. 20 LSSI).
• Que se note que es comercial: sin asuntos engañosos que simulen una respuesta o una factura.
• Un motivo relacionado con su actividad: algo concreto de su negocio, no publicidad genérica para cualquiera.
• Una baja sencilla y gratuita: una frase clara del tipo «si no quieres que te vuelva a escribir, respóndeme “no” y no te escribiré más», con una dirección válida (art. 21.2 y 22.1 LSSI).
• Información sobre tus datos si el correo es nominativo: de dónde sacaste el dato y cómo ejercer sus derechos (RGPD).

¿Cómo se gestionan las bajas?

Las bajas se cumplen siempre, al momento y para siempre. Quien pide no recibir más correos pasa a una lista de exclusión que se consulta antes de cada envío, también en campañas futuras y aunque cambies de herramienta. No respetar una baja es lo que convierte una infracción leve en una grave y lo que más sanciones provoca. Si la persona pide además que borres sus datos, debes hacerlo, conservando solo lo mínimo para no volver a escribirle.

¿Cuántos correos puedo enviar y cómo protejo mi dominio?

La ley no fija un número, pero el volumen cuenta: el envío masivo es infracción grave. Además, los proveedores de correo castigan a los dominios que mandan muchos correos fríos. Envía desde tu buzón, con pocos correos al día al principio y subiendo poco a poco (lo que se llama «calentar» el buzón), y configura en tu dominio los registros SPF, DKIM y DMARC, que demuestran que los correos los envías tú. Menos envíos y mejor elegidos significa menos denuncias y menos spam.

Checklist antes de lanzar una campaña de correo en frío

1. ¿Tu oferta tiene relación real con la actividad de cada empresa?
2. ¿Has priorizado a clientes actuales o contactos que ya te dieron permiso?
3. ¿Cada correo identifica quién eres y lleva una baja sencilla y gratuita?
4. ¿Tienes una lista de exclusión que se consulta antes de cada envío?
5. Si escribes a personas concretas, ¿les informas de dónde sale su dato y cómo oponerse?
6. ¿Envías poco volumen al día, con seguimientos limitados y sin insistir a quien no responde?
7. ¿Tu dominio tiene SPF, DKIM y DMARC configurados?
8. ¿Conoces el riesgo sancionador y lo has valorado (o consultado) para tu caso?

¿Cómo lo aplica Boneleads?

Boneleads no hace legal un envío que la ley no permite: el remitente sigue siendo responsable del contenido y de la base legal de sus correos. Lo que hace es ponerte fácil cumplir las obligaciones que sí dependen de la herramienta:

• Solo trabaja con datos de contacto que la propia empresa publica en su web y con fuentes públicas; no usa bases de datos compradas. Puedes ver qué datos tiene cada ficha en la base de datos de empresas españolas.
• Cada mensaje parte de un motivo concreto de su web, gracias a la auditoría web como gancho, en lugar de publicidad genérica.
• Las bajas se respetan siempre: pasan a la lista de exclusión de tu cuenta y no se vuelve a escribir a esa dirección.
• Los correos salen desde tu buzón, con límites diarios, rampa de calentamiento y pausas entre envíos, y la secuencia se detiene sola si la empresa responde o se da de baja.

Preguntas frecuentes

Fuentes

1. Ley 34/2002, de servicios de la sociedad de la información (LSSI-CE): arts. 20, 21, 22, 38, 39 y anexo, BOE, consultada el 21 de octubre de 2026.
2. Ley Orgánica 3/2018 (LOPDGDD): arts. 19 y 23, BOE, consultada el 21 de octubre de 2026.
3. Reglamento (UE) 2016/679 (RGPD): art. 6.1.f, art. 21 y considerandos 14 y 47, EUR-Lex, consultada el 21 de octubre de 2026.
4. AEPD, resolución E/02319/2017 (definición de destinatario de la LSSI), consultada el 21 de octubre de 2026.
5. Genbeta, sobre la sanción PS/00092/2022 de la AEPD (800 € por un correo publicitario sin consentimiento), consultada el 21 de octubre de 2026.