Respuesta corta: en España el cold email B2B no es libre ni está prohibido sin más. El RGPD permite tratar datos de contacto profesionales por interés legítimo, pero la LSSI exige consentimiento previo para comunicaciones comerciales por correo, también entre empresas. Un correo a una persona concreta, relevante para su puesto, con identificación clara y baja sencilla reduce el riesgo; no lo elimina.
Aviso: este artículo es informativo y no es asesoramiento jurídico. Resume textos legales públicos tal como los entendemos a 01/11/2026. Antes de lanzar una campaña, consulta con un abogado especializado en protección de datos.
«En B2B puedes escribir a quien quieras, porque es una empresa.» Nos lo dicen en casi todas nuestras primeras llamadas con clientes nuevos. Y la verdad es que, en España, eso no es lo que dice la ley.
Tampoco es verdad lo contrario, que todo tu correo en frío sea ilegal. Nos lo pregunta también mucho cliente asustado. La respuesta está en medio, y depende de dos normas que se suelen confundir: el RGPD, que regula qué haces con los datos personales, y la LSSI, que regula cómo envías comunicaciones comerciales por medios electrónicos. Tú puedes cumplir una y saltarte la otra sin darte cuenta. Nos ha pasado verlo en cuentas que nos llegan de otra agencia.
Esto no es asesoramiento legal, ojo. Lo que sí hacemos nosotros, y te lo contamos tal cual, es montar campañas de outbound cada semana. Aquí tienes cómo leemos nosotros estas normas, con el enlace a cada texto oficial para que lo compruebes tú.
¿Qué normas aplican al cold email B2B en España?
| Norma | Qué regula | Qué te pide en la práctica |
|---|---|---|
| RGPD (Reglamento UE 2016/679) | El tratamiento de datos personales, también el nombre y el correo de un profesional | Una base legal (interés legítimo, art. 6.1.f), informar al contacto (art. 14) y respetar su oposición (art. 21) |
| LSSI (Ley 34/2002) | Las comunicaciones comerciales por correo electrónico | Consentimiento previo salvo relación contractual previa (art. 21), identificarte (art. 20) y ofrecer baja gratuita (art. 22) |
| Directiva ePrivacy (2002/58/CE) | El marco europeo del que sale la LSSI | Deja a cada país decidir cómo protege a las personas jurídicas (art. 13.5) |
| LOPDGDD (LO 3/2018) | La adaptación española del RGPD | Datos de contacto profesionales (art. 19) y sistemas de exclusión publicitaria como la Lista Robinson (art. 23) |
¿El RGPD te deja usar el interés legítimo para prospectar?
Sí, pero ojo con las condiciones. El considerando 47 del RGPD dice que el tratamiento con fines de mercadotecnia directa puede considerarse realizado por interés legítimo. «Puede» es la palabra que a nosotros nos importa. No es automático.
Para apoyarte en el artículo 6.1.f te toca superar una prueba de ponderación en tres pasos, que el EDPB explica en sus Directrices 1/2024 sobre interés legítimo:
- Que tu interés sea legítimo, real y concreto. Vender tu servicio a empresas lo es.
- Que el tratamiento sea necesario para ese interés. Si tú solo necesitas el correo de trabajo y el puesto, no guardes su móvil personal ni tu copia del perfil entero.
- Que tu interés no pese más que los derechos del contacto. Aquí entra lo que la persona puede esperar razonablemente.
Pues ojo con esa última parte: es donde vemos fallar más campañas, incluidas algunas que nos han llegado para revisar. Una directora de compras puede esperar que tu empresa le escriba sobre compras. Un técnico de mantenimiento no espera que le escribas sobre software de contabilidad porque su correo apareció en tu base de datos comprada.
Yo te recomiendo dejar tu ponderación por escrito. Si un día la AEPD te pide explicaciones, lo primero que te pedirá es ese documento. Nosotros lo guardamos con cada campaña.
¿Por qué la LSSI es el punto más delicado en España?
Pues porque el artículo 21 de la LSSI prohíbe enviar comunicaciones publicitarias o promocionales por correo electrónico que no hayan sido solicitadas o autorizadas expresamente por sus destinatarios. La única excepción es que ya exista una relación contractual previa y le ofrezcas productos o servicios parecidos a los que contrató.
La LSSI no distingue entre particulares y empresas. La Directiva ePrivacy, en su artículo 13.5, permite a cada Estado decidir cómo protege a las personas jurídicas, y España optó por no hacer una excepción B2B. Otros países sí la hacen. Por eso, a ver, los artículos en inglés que dicen que el cold email B2B «es legal en Europa» no te sirven tal cual aquí. A nosotros nos lo preguntan mucho.
Entonces, ¿cómo trabajamos las agencias de outbound en España? La zona de debate está en qué cuenta como «comunicación comercial». Un correo personal, escrito para una persona y un puesto concretos, que propone una conversación sobre un problema de su empresa, no se parece a un boletín promocional enviado a miles de direcciones. Hay quien defiende que tu primer correo, si es así, queda fuera del artículo 21. Nosotros no lo daríamos por hecho. La AEPD, en cambio, ha sancionado correos comerciales no solicitados enviados a direcciones de empresa; puedes buscar sus resoluciones en la sección de procedimientos sancionadores de la AEPD.
Mi lectura, la verdad, es prudente, y es la que aplicamos en nuestros clientes: trata cada primer correo como si la AEPD fuera a leerlo. Si tu correo no aguantaría esa lectura, no lo envíes.
¿Qué tiene que llevar cada correo para cumplir?
Más allá del debate sobre el artículo 21, hay requisitos que, la verdad, no admiten discusión. Estos son los que aplicamos en cada una de nuestras campañas, y los que te pediría yo si fuera tu cliente:
| Elemento | De dónde sale | Cómo lo hacemos |
|---|---|---|
| Quién envía | LSSI art. 20 y RGPD art. 14 | Nombre de la persona, empresa y web reales en la firma |
| Que se reconozca como comercial | LSSI art. 20 | Nada de asuntos que finjan una conversación previa |
| Por qué le escribes y de dónde sacaste su dato | RGPD art. 14 | Una línea con la fuente y un enlace a la política de privacidad |
| Cómo darse de baja | LSSI art. 22 y RGPD art. 21 | Baja con una respuesta o un enlace, gratis y sin pedir datos |
| Qué pasa si dice que no | RGPD art. 21.3 | Lista de exclusión que se aplica a todas las campañas, también futuras |
El artículo 14 del RGPD obliga a informar a la persona cuando no has obtenido sus datos de ella misma, como muy tarde en la primera comunicación. En la práctica te cabe en dos líneas al pie, con un enlace a tu información completa.
¿Qué pasa cuando alguien pide la baja?
Pues pasa a tu lista de exclusión y no vuelve a recibir nada tuyo. Ni de esa campaña ni de la siguiente.
El artículo 21.3 del RGPD es claro: cuando alguien se opone al tratamiento con fines de mercadotecnia directa, sus datos dejan de tratarse para ese fin. Aquí no hay ponderación que valga. Es un derecho absoluto.
El error que más nos encontramos en nuestras auditorías es técnico, no legal. La empresa trabaja con varias herramientas, la baja se registra en una y la siguiente campaña sale desde otra. Por eso nosotros guardamos nuestra única lista de supresión y la cruzamos con cada lista nueva antes de cargarla en Instantly. También te recomendamos aceptar como baja cualquier respuesta tipo «no me escribas más», aunque no use el enlace.
¿De dónde puedes sacar los datos de contacto?
La fuente te importa por dos motivos: porque tienes que decirle a tu contacto de dónde salió su dato (art. 14 RGPD) y porque condiciona tu ponderación de interés legítimo.
Estas son las preguntas que nos hacemos antes de usar cualquier fuente, y que te recomiendo copiar:
- ¿El dato es profesional (correo de trabajo, puesto, empresa) o personal? El artículo 19 de la LOPDGDD presume lícito el tratamiento de datos de contacto profesionales para localizar a la persona en su empresa, pero no lo extiende de forma expresa a la prospección comercial. No lo uses como tu permiso general.
- ¿El proveedor puede demostrar cómo obtuvo los datos? Si no te lo explica, tú no sabrás qué decirle a la persona cuando te pregunte.
- ¿El correo existe? En HelloMrLead verificamos cada dirección con MillionVerifier antes del primer envío y enriquecemos con BetterContact. Un correo verificado no es un correo legal, pero un rebote masivo sí indica que alguien compró una lista sin mirar.
- ¿Has consultado la Lista Robinson? El artículo 23.4 de la LOPDGDD obliga a consultar los sistemas de exclusión publicitaria antes de hacer comunicaciones comerciales a quien no te ha dado su consentimiento.
Las bases de datos compradas «con consentimiento para todo» son la fuente que más problemas da. Ese consentimiento casi nunca cubre a tu empresa ni tu finalidad concreta. Nosotros no las usamos.
¿Cuánto te puede costar hacerlo mal?
La LSSI clasifica las infracciones en leves, graves y muy graves en sus artículos 38 y 39. El envío masivo de comunicaciones comerciales no solicitadas, o el envío insistente, puede ser grave, con multas de hasta 150.000 euros; las leves llegan a 30.000. El RGPD tiene su propio régimen en el artículo 83, con importes mucho más altos.
Más allá de la multa, a ti te llega antes otro coste: las denuncias de los destinatarios y las quejas de spam. Esas quejas también nos dañan, y te dañan, la reputación de tus dominios, y eso lo notas en la entregabilidad de toda tu campaña.
¿Cómo lo hacemos en HelloMrLead?
No te vamos a decir que nuestro método es «100 % legal». Nadie puede prometerte eso en España sin un abogado mirando tu caso. Nosotros tampoco. Lo que sí hacemos nosotros con cada cliente:
- Escribimos a personas cuyo puesto encaja con lo que ofrece nuestro cliente. Si no podemos explicar en una frase por qué le escribimos, no entra en la lista.
- Enviamos volúmenes bajos y repartidos en nuestros buzones: 30 correos por buzón al día, con 10 buzones como mínimo. No hay envíos masivos desde un solo dominio.
- Cada correo lleva remitente real, información de privacidad y una forma de baja que funciona con una simple respuesta.
- Mantenemos nuestra lista de supresión común a todas las campañas del cliente.
- Documentamos nuestra ponderación de interés legítimo de cada campaña y la fuente de los datos.
- Nuestro cliente revisa con su asesor legal el texto de privacidad antes del primer envío.
Bueno, esto no convierte el riesgo en cero. Lo baja, y te deja rastro de que lo has pensado.
Errores que vemos con la legalidad del cold email
- Copiar el criterio de otro país, que es lo que más nos encontramos. Lo que es legal en un país sin LSSI no vale tal cual en España.
- Confiar en el «es B2B». La LSSI no hace esa excepción.
- No decir de dónde sale el dato. Es el motivo más fácil de reclamación.
- Gestionar las bajas a mano y en una sola herramienta.
- Escribir a direcciones genéricas tipo info@ con mensajes masivos, pensando que así no hay datos personales. El RGPD quizá no aplica igual, pero la LSSI sí.
Preguntas frecuentes
¿Es legal enviar cold email B2B en España?
Depende de tu caso. El RGPD permite el interés legítimo para mercadotecnia directa, pero la LSSI exige consentimiento previo para comunicaciones comerciales por correo, también entre empresas. Un correo individual, relevante para el puesto, con identificación y baja reduce el riesgo. Consulta a tu abogado antes de lanzar.
¿Necesito consentimiento para escribir a un profesional?
Según el artículo 21 de la LSSI, para comunicaciones comerciales por correo sí, salvo relación contractual previa. Si tu primer correo cuenta como comunicación comercial o no es justo lo que debe valorar tu asesor legal.
¿Tengo que poner un enlace de baja en cada correo?
Sí. El artículo 22 de la LSSI exige un procedimiento sencillo y gratuito para darse de baja en cada comunicación. Nosotros te recomendamos aceptar también como baja cualquier respuesta que la pida.
¿Puedo comprar una base de datos de contactos B2B?
Puedes, pero el riesgo pasa a ser tuyo. Pide a tu proveedor el origen de los datos, verifica los correos y consulta la Lista Robinson. Si no puedes explicar al contacto de dónde salió su dato, no lo uses.
¿Es lo mismo cold email que spam?
Bueno, legalmente no. El spam es el envío masivo de comunicaciones comerciales no solicitadas. Un correo individual a una persona relevante se parece poco a eso, aunque en España ambos pueden caer bajo la LSSI si son comerciales.
Si quieres montar tu propio proceso de SDR
Si prefieres llevar el outbound dentro, el Pack SDR reúne las plantillas y el proceso que usamos para preparar campañas, para que tu SDR no empiece de cero. Consigue el Pack SDR.
