Prospección B2B y RGPD en España: guía y criterios AEPD

Un comercial español que prospecta por email o LinkedIn maneja datos personales, aunque el contacto sea profesional: nombre, cargo, email corporativo. Eso significa que la prospección B2B en España está sujeta al RGPD y a la ley española que lo desarrolla — y que un DPO, un cliente grande o la propia Agencia Española de Protección de Datos (AEPD) puede pedir en cualquier momento que justifiques de dónde salen esos datos y con qué base legal los tratas.

La buena noticia es que la prospección B2B es perfectamente legal en España cuando se hace bien. No hace falta el consentimiento explícito de cada contacto para enviar un primer email comercial a una dirección profesional, pero sí hay reglas concretas que cumplir. Esta guía resume esas reglas en términos prácticos, sin jerga jurídica innecesaria, y con los pasos que un equipo comercial puede aplicar esta misma semana.

¿Es legal la prospección B2B con RGPD en España?

Sí: la prospección B2B es legal en España si se basa en una base legal válida — normalmente el interés legítimo (artículo 6.1.f del RGPD) —, si informa al contacto de forma clara en la primera comunicación, y si ofrece una forma sencilla de darse de baja u oponerse al tratamiento. No requiere consentimiento previo del contacto, pero sí exige poder justificar el origen del dato y respetar su derecho de oposición en cualquier momento.

Esta base legal — interés legítimo — es la que usan de forma habitual las herramientas de enriquecimiento de datos y los equipos comerciales para tratar datos profesionales (email corporativo, cargo, empresa). No cubre datos personales sin relación profesional, y tampoco es automática: exige un ejercicio de ponderación entre el interés del negocio y los derechos del contacto, documentado por escrito.

El marco legal exacto que aplica

En España conviven tres normas relevantes para la prospección B2B, y conviene no confundirlas:

• RGPD (Reglamento UE 2016/679): marco europeo general sobre protección de datos personales. Define las bases legales, el derecho de oposición y las obligaciones de información.
• LOPDGDD (Ley Orgánica 3/2018): desarrolla el RGPD en España y regula, entre otras cosas, el ejercicio del derecho de oposición a la publicidad directa.
• LSSI-CE (Ley 34/2002, de Servicios de la Sociedad de la Información): regula específicamente las comunicaciones comerciales por medios electrónicos (email) y es la que suele generar más dudas en equipos de ventas, porque su redacción original pensaba en el B2C.

La AEPD es la autoridad de control que supervisa el cumplimiento de estas normas en España, publica guías interpretativas y puede sancionar los incumplimientos. No existe una "certificación AEPD" para herramientas comerciales — lo que sí existe son criterios que la agencia aplica de forma consistente cuando evalúa un caso, y que puedes anticipar tú mismo.

Los criterios que un DPO revisa antes de aprobar una campaña

Cuando un DPO o un responsable de compliance valida una campaña de prospección B2B, suele repasar esta lista. Es también, en la práctica, la lista que reduce el riesgo frente a una reclamación:

1. Base legal documentada. ¿Qué artículo del RGPD justifica el tratamiento? Para prospección B2B casi siempre es interés legítimo — y ese interés legítimo debe estar razonado por escrito, no solo asumido.
2. Origen del dato identificable. ¿De dónde viene el email o el teléfono? Una base comprada sin trazabilidad es un riesgo mayor que un dato obtenido por búsqueda en tiempo real desde una fuente pública o profesional verificable.
3. Información en el primer contacto. El primer email o mensaje debe indicar quién trata el dato y cómo ejercer los derechos (acceso, oposición, supresión) — normalmente con un enlace a la política de privacidad.
4. Derecho de oposición operativo. Un enlace de baja que funcione de verdad, no un buzón que nadie revisa. Si alguien se opone, ese contacto sale de la lista de forma inmediata y permanente.
5. Minimización y actualización del dato. Guardar solo los campos que realmente usas, y no conservar datos indefinidamente sin revisión — un dato desactualizado (alguien que ya cambió de empresa) es un riesgo de cumplimiento además de un problema comercial.
6. Contrato con cada proveedor que trata datos por ti. Si usas una herramienta externa de enriquecimiento o un CRM, esa herramienta actúa como encargado del tratamiento (artículo 28 RGPD) y necesita un contrato de tratamiento de datos (DPA) en vigor.

Datos personales vs. datos puramente profesionales

Un matiz que confunde a muchos equipos: no todo dato relacionado con una empresa es un dato personal. El nombre de una sociedad, su CIF o su facturación estimada no son datos personales — son datos firmográficos, y su tratamiento no está sujeto al RGPD de la misma forma. El nombre de una persona, su email nominal (maria.lopez@empresa.com) o su teléfono directo sí son datos personales, aunque el contexto sea profesional.

Esta distinción importa para el diseño del flujo de prospección: puedes construir y segmentar libremente sobre datos firmográficos (sector, tamaño, tecnología usada) sin las mismas obligaciones que aplican en cuanto añades un dato de contacto nominal. La práctica más limpia es tratar cada capa por separado: firmográficos para decidir a qué empresas dirigirte, datos de contacto — con su propia base legal documentada — para decidir a quién escribir.

Buenas prácticas que reducen el riesgo real

Más allá del marco legal, hay decisiones operativas que marcan la diferencia entre una prospección de bajo riesgo y una que acumula exposición:

• Prioriza el dato verificado en el momento del envío frente a listas estáticas compradas hace meses: un contacto que ya no trabaja en esa empresa no solo falla comercialmente, también es un dato que ya no deberías tratar bajo la base legal original.
• Documenta el ejercicio de ponderación de interés legítimo una vez, a nivel de proceso, no campaña por campaña — un párrafo que explique por qué el interés del negocio no perjudica de forma desproporcionada al contacto.
• Automatiza la baja: cuando alguien se opone, esa exclusión debe propagarse a tu CRM y a cualquier herramienta conectada, no vivir solo en la bandeja de un comercial.
• Revisa dónde se alojan los datos de cualquier proveedor que uses para enriquecer o prospectar. Enrich-CRM aloja los datos en servidores ubicados en la UE (París), con un enfoque RGPD nativo desde el diseño, y funciona mediante lookups en el momento de la petición en lugar de mantener una base de datos personal almacenada de forma permanente — lo que simplifica buena parte de los puntos anteriores: menos dato en reposo, origen trazable, actualización constante.

Preguntas frecuentes

¿Necesito el consentimiento del contacto para enviarle un email de prospección B2B? No, si el email es a una dirección profesional y te basas en interés legítimo correctamente documentado. Sí necesitas informar en el primer contacto y ofrecer una baja sencilla y efectiva.

¿Qué pasa si un contacto se opone al tratamiento de sus datos? Debes dejar de tratar sus datos para fines de prospección de forma inmediata. El derecho de oposición (artículo 21 RGPD, desarrollado en la LOPDGDD) es incondicional en el ámbito de la mercadotecnia directa: no puedes exigir justificación.

¿Comprar una base de datos de contactos es legal en España? Puede serlo, pero el riesgo es mayor: necesitas verificar que el proveedor recogió los datos con una base legal válida y puede acreditarlo, y que la información no está obsoleta. Una base sin trazabilidad clara del origen es difícil de justificar ante una reclamación.

¿La AEPD sanciona a empresas por prospección B2B mal hecha? La AEPD tramita y resuelve reclamaciones de particulares sobre tratamiento de datos, incluidas las relacionadas con comunicaciones comerciales no deseadas. El riesgo real no es solo la sanción económica, sino la reclamación individual mal gestionada que escala.

---

Si quieres prospectar con datos verificados en el momento del envío en lugar de una base estática, prueba el plan gratuito de Enrich-CRM — 100 créditos al mes, sin tarjeta.