Checklist RGPD para email marketing (12 puntos)

Antes de cada campaña de email, revisa estos doce puntos: consentimiento, bajas, base de datos, proveedores y revisión final. Si uno falla, no envíes. La lista ayuda a detectar los fallos más comunes, pero no sustituye al consejo de tu asesor ni de tu delegado de protección de datos.

Qué normas aplican

El RGPD (Reglamento (UE) 2016/679) regula los datos personales en toda la UE. En España, la LSSI regula además el envío de comunicaciones comerciales por email. Puedes consultar el texto del RGPD en EUR-Lex y la LSSI en el BOE. Las dudas sobre tu caso concreto, confírmalas con tu asesor o con la AEPD.

Consentimiento y alta (puntos 1 a 4)

1. Cada contacto tiene una prueba de consentimiento. Guarda cuándo, cómo y con qué texto dio su permiso. Si no puedes demostrarlo, la lista no tiene base. El RGPD lo exige en su artículo 7.1.
2. El formulario no trae casillas marcadas. Una casilla premarcada o el silencio no son consentimiento (considerando 32 del RGPD).
3. Cada finalidad tiene su propia elección. Si el consentimiento va junto con otros textos, la petición tiene que distinguirse de ellos (artículo 7.2).
4. La información aparece en el momento del alta. Quién eres, para qué escribirás, cómo darse de baja y cómo ejercer sus derechos (artículo 13).

Bajas y preferencias (puntos 5 y 6)

5. Darse de baja funciona en un clic y sin login. Nadie debería tener que iniciar sesión ni pagar para salir de una lista.
6. Una baja se aplica a todas las listas y automatizaciones. Un contacto que se dio de baja no debe recibir al día siguiente un email de bienvenida ni un recordatorio de carrito.

Base de datos (puntos 7 y 8)

7. No compras listas sin prueba de origen. Pide por escrito cómo se obtuvo cada consentimiento. Si el vendedor no puede enseñarlo, no uses la lista.
8. Sabes qué regla aplica a cada destinatario. En España, la LSSI prohíbe el email comercial no solicitado (artículo 21.1) y solo admite excepciones en algunos casos con clientes previos (artículo 21.2). Si escribes a buzones de empresa o a personas que no son clientes, confirma tu caso con tu asesor.

Proveedores y derechos (puntos 9 a 11)

9. Cada proveedor que trata datos por tu cuenta tiene contrato. Tu herramienta de email, tu CRM y tus formularios necesitan un contrato de encargado del tratamiento (artículo 28 del RGPD).
10. Puedes borrar a una persona en todas partes. Debes saber dónde están sus datos (CRM, email, formularios, exportaciones) y cuánto tardas en borrarlos. El plazo para responder una solicitud es, en general, de un mes (artículo 12.3).
11. Solo ven y exportan la lista las personas que lo necesitan. Revisa los permisos. En Flowgration, los permisos se configuran por módulo, por usuario o por rol.

Antes de enviar (punto 12)

12. Revisas la campaña antes de salir. Segmento correcto, bajas excluidas, remitente identificado, enlace de baja visible y un asunto que describe el contenido.

Cómo usar esta lista

Repásala una vez al trimestre y antes de cada envío grande. Apunta la fecha y quién la revisó. Si un punto no puedes marcarlo, escribe por qué y para cuándo lo vas a corregir. Así tienes un registro útil si alguien reclama.

Preguntas frecuentes

¿Necesito consentimiento para escribir a un cliente?

Depende. Si te compró algo y el email promociona productos similares, el artículo 21.2 de la LSSI puede permitirlo, siempre que pueda darse de baja fácilmente. Para novedades sin relación previa, pide consentimiento. Confirma tu caso con tu asesor.

¿El doble opt-in es obligatorio?

No. Ni el RGPD ni la LSSI exigen una doble confirmación. Lo que sí debes poder demostrar es que la persona dio su consentimiento. El doble opt-in es una forma práctica de hacerlo.

¿Qué es un registro de consentimientos?

Es un registro por contacto con la fecha, el formulario de origen, el texto que aceptó y cualquier baja posterior. Es la prueba que necesitas si alguien dice que nunca dio permiso.

¿Puedo escribir a una dirección genérica de empresa?

Revisa el caso con tu asesor. La LSSI regula el email comercial y la frontera entre personas y buzones de empresa no siempre es clara. Trata esas direcciones con la misma cautela hasta tener una respuesta.

¿Qué hago si alguien pide que borre sus datos?

Atiende la solicitud sin demoras injustificadas y en el plazo legal. Borra en el CRM, en el email y en los formularios. Si necesitas evitar volver a escribirle, conserva solo una entrada de exclusión.

¿Esta lista me hace cumplir la ley?

No. Te ayuda a detectar fallos habituales, pero el cumplimiento depende de tus datos, tus finalidades y tu caso. Para decisiones sobre sanciones o brechas de seguridad, consulta a un abogado o a tu delegado de protección de datos.

Si quieres profundizar en el lado del CRM, lee RGPD y CRM: guía. Para la parte técnica del envío, revisa entregabilidad: SPF, DKIM y DMARC. Y para ver cómo gestionamos la seguridad, consulta seguridad.