Cold Email B2B en España: ¿Qué dicen el RGPD y la LSSI?

Tienes una lista de empresas a las que quieres enviar un email de ventas. Y enseguida te surge la pregunta: «¿Puedo escribirles sin su consentimiento previo? ¿Me meto en problemas con el RGPD o con la LSSI?» El tema de los permisos de cold email B2B bajo el RGPD y la LSSI genera mucha confusión entre autónomos y pymes — y con razón, porque son dos normativas distintas que funcionan con lógicas distintas. A continuación respondo, una por una, las preguntas que de verdad te estás haciendo.

¿Qué es la LSSI y me afecta en B2B?

La LSSI-CE (Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico) es la norma española que regula las comunicaciones comerciales electrónicas. Su artículo 21 prohíbe enviar comunicaciones publicitarias o promocionales por correo electrónico sin consentimiento previo del destinatario.

Si envías emails de marketing a consumidores particulares: el consentimiento explícito es obligatorio, sin discusión. Sin embargo, cuando el destinatario es una dirección corporativa ([email protected], [email protected]…), la interpretación cambia. Las comunicaciones dirigidas a roles empresariales — no a una persona identificable — se sitúan en un espacio con mayor flexibilidad: el principio que rige es el del derecho a darse de baja (opt-out), no la necesidad de opt-in previo. En otras palabras, cuando escribes de empresa a empresa, el marco jurídico es distinto.

¿RGPD y LSSI son lo mismo?

No — y confundirlos puede llevarte a paralizar iniciativas legítimas o, al contrario, a asumir más seguridad de la que tienes.

• LSSI / Comunicaciones comerciales: Regula el envío del mensaje comercial. La pregunta que se hace es: «¿Existe consentimiento o está registrada una baja?»
• RGPD (Reglamento UE 2016/679): Regula el tratamiento de datos personales. La pregunta que se hace es: «¿Bajo qué base jurídica guardas y utilizas esa dirección de correo?»

En el cold outreach B2B, ambas normativas pueden aplicarse simultáneamente, pero ninguna sustituye a la otra. Cumplir con una no te exime de la otra.

¿Es legal enviar un email en frío a una empresa?

Respuesta corta: Sí, es posible — pero con condiciones.

Las direcciones con formato [email protected] son datos personales según el RGPD. Para utilizarlas en un envío, necesitas una base jurídica. Dado que obtener consentimiento explícito antes de un cold email es prácticamente imposible, entra en juego el interés legítimo (Art. 6.1.f del RGPD). El interés legítimo se considera válido cuando el contenido que envías está razonablemente alineado con el rol profesional del destinatario. Si vendes software de gestión y escribes al director de operaciones de una pyme, esa relevancia puede respaldarte. Si en cambio mandas el mismo email a cualquier contacto sin ningún filtro, ya no hay base legítima que lo sostenga.

¿Las direcciones genéricas (info@, ventas@) son más seguras?

En gran medida, sí. Estas direcciones pertenecen a un rol corporativo, no a una persona identificable, por lo que no entran directamente en la definición de dato personal del RGPD. Eso te da mayor margen tanto desde la óptica del RGPD como de la LSSI.

Aun así, «más seguro» no significa «sin restricciones». La obligación de incluir un mecanismo de baja sigue vigente, especialmente en envíos masivos. Usar una dirección genérica por sí solo no es una cobertura legal completa: el resto del proceso también tiene que estar bien hecho.

¿Qué debo hacer en la práctica?

Si haces estas tres cosas bien, operas dentro del marco legal y evitas riesgos reputacionales innecesarios:

1. Incluye siempre un enlace de baja (opt-out). La LSSI y el RGPD lo exigen. Una línea de «Si no deseas recibir más emails, haz clic aquí» es a la vez protección legal y señal de confianza para el destinatario.
2. Cuida la relevancia entre contenido y rol. Si escribes a direcciones personales de trabajo, que el mensaje esté alineado con el sector y la función del destinatario refuerza tu base de interés legítimo ante cualquier reclamación.
3. Guarda registros de envíos y bajas. Si recibes una reclamación ante la AEPD (Agencia Española de Protección de Datos), tendrás que demostrar quién solicitó la baja y qué medidas tomaste. Sin ese registro, defenderte es mucho más difícil.

Herramientas de outreach B2B como LeaderMix añaden automáticamente un enlace de baja en cada email y registran las solicitudes de opt-out empresa por empresa. Para equipos pequeños, llevar ese registro a mano no es sostenible a largo plazo.

La conclusión práctica es clara: cuando hablamos de permisos de cold email B2B bajo el RGPD y la LSSI, la regla es esta — direcciones corporativas, contenido relevante para el sector, opt-out en cada envío. Con esos tres elementos, trabajas dentro del marco legal. Si quieres sistematizarlo, echa un vistazo a los planes de LeaderMix.