El cumplimiento de la normativa sobre correo electrónico no es opcional. En 2026, normativas como el GDPR y CAN-SPAM conllevan multas de hasta el 4 % de los ingresos anuales globales o 20 millones de euros, la cantidad que sea mayor. Y, más allá del riesgo económico, el incumplimiento destruye la confianza que has construido con tus suscriptores.
Tanto si gestionas un boletín, una campaña de captación en frío o correos transaccionales, esta guía recoge todo lo que necesitas saber sobre el cumplimiento de la normativa de correo electrónico en las principales jurisdicciones, y cómo cumplir la ley sin que tu programa de email resulte imposible de gestionar.
Los tres pilares del cumplimiento del correo electrónico
Todas las normativas principales sobre correo electrónico (GDPR, CAN-SPAM, CASL y otras) se reducen a tres principios:
| Pilar | Qué significa |
|---|---|
| Consentimiento | El destinatario debe haber aceptado recibir tus correos (de forma activa o mediante un interés legítimo) |
| Transparencia | Debes identificar claramente quién eres, por qué envías el correo y cómo darse de baja |
| Control | Los destinatarios deben poder darse de baja con facilidad, y debes atender su solicitud con prontitud |
Los detalles varían según la jurisdicción, pero si construyes tu programa de email sobre estos tres pilares, habrás avanzado un 90 % hacia el cumplimiento en cualquier lugar.
GDPR: Reglamento General de Protección de Datos (UE/EEE + Reino Unido)
Aplica a: Cualquier organización que trate datos personales de personas en la UE, el EEE o el Reino Unido, independientemente de dónde esté ubicada tu empresa.
Consentimiento según el GDPR
El GDPR exige una de seis bases jurídicas para tratar datos personales. En el marketing por correo electrónico, las dos más relevantes son:
| Base jurídica | Cuándo se aplica | Ejemplo |
|---|---|---|
| Consentimiento | El suscriptor ha aceptado de forma explícita recibir correos | "Marca esta casilla para recibir nuestro boletín" (desmarcada por defecto) |
| Interés legítimo | Tienes un motivo válido y no prevalece sobre los derechos de la persona | Enviar un seguimiento a alguien que descargó tu libro blanco |
Requisitos del consentimiento
- Acción afirmativa: Las casillas premarcadas no son un consentimiento válido. El suscriptor debe realizar una acción deliberada.
- Granular: El consentimiento para fines de marketing debe ser independiente del consentimiento para las condiciones del servicio
- Informado: Explica con exactitud a qué se está suscribiendo (tipo, frecuencia y canal)
- Retirable: Darse de baja debe ser tan fácil como suscribirse
- Documentado: Guarde registros de cuándo, cómo y qué consentimiento se otorgó
Derecho de acceso y supresión
Según el RGPD, los suscriptores pueden:
- Solicitar todos los datos que usted tenga sobre ellos (solicitud de acceso a datos del interesado — DSAR)
- Solicitar la eliminación de sus datos (derecho de supresión o "derecho al olvido")
Debe responder en un plazo de 30 días. Tener una base de datos limpia y con capacidad de búsqueda facilita mucho esto: si no puede encontrar los datos de un suscriptor, no puede cumplir con la normativa.
Multas del RGPD
- Nivel inferior: Hasta 10 millones de euros o el 2 % de los ingresos anuales globales
- Nivel superior: Hasta 20 millones de euros o el 4 % de los ingresos anuales globales
Ejemplos reales: Meta fue multada con 1200 millones de euros en 2023 por infracciones del RGPD relacionadas con las transferencias de datos.
CAN-SPAM: Controlling the Assault of Non-Solicited Pornography and Marketing Act (Estados Unidos)
Aplica a: Todos los correos comerciales enviados desde o hacia los Estados Unidos.
CAN-SPAM es menos estricta que el RGPD: funciona con un modelo de exclusión voluntaria (opt-out) en lugar de inclusión voluntaria (opt-in). Aun así, impone requisitos importantes:
Requisitos de CAN-SPAM
| Requisito | Lo que debe hacer |
|---|---|
| Sin encabezados falsos | Los campos "De", "Para" y la información de enrutamiento deben ser precisos e identificar al remitente |
| Sin asuntos engañosos | La línea de asunto debe reflejar el contenido real del correo |
| Identificarlo como publicidad | Indicar que el mensaje es publicitario (se considera implícito si es claramente promocional) |
| Dirección física | Incluya una dirección postal física válida en cada correo electrónico |
| Mecanismo de exclusión | Enlace de baja claro que funcione durante al menos 30 días después del envío |
| Respetar las exclusiones con prontitud | Procese las solicitudes de baja en un plazo de 10 días hábiles |
| Supervisar a terceros | Usted es responsable del cumplimiento aunque un tercero envíe correos en su nombre |
Multas de CAN-SPAM
- Hasta 51 744 dólares por infracción (cada correo que infrinja la ley cuenta como una infracción separada)
- Daños agravados por infringir la ley a sabiendas
CASL: Ley Antispam de Canadá
Aplica a: Mensajes electrónicos comerciales enviados desde Canadá o accedidos en Canadá.
CASL es la más estricta de las tres principales regulaciones:
| Requisito | Detalles |
|---|---|
| Consentimiento expreso | Obligatorio para la mayoría de los correos comerciales (el consentimiento implícito caduca a los 2 años) |
| Identificación | Nombre completo del remitente, dirección postal e información de contacto (teléfono, correo electrónico o web) |
| Mecanismo de cancelación de suscripción | Debe ser gratuito, funcionar durante 60 días y procesarse en un plazo de 10 días hábiles |
| Carga de la prueba | Usted debe demostrar que tiene el consentimiento: el destinatario no tiene que demostrar que no lo dio |
Multas de CASL
- Hasta 10 millones de CAD por infracción para las corporaciones
- Los directores y responsables pueden ser considerados personalmente responsables
Otras jurisdicciones que conviene conocer
| Regulación | Región | Diferencia clave |
|---|---|---|
| LGPD | Brasil | Basada en el RGPD: consentimiento por opt-in y derechos de acceso y eliminación de datos |
| PDPA | Singapur | Basado en el consentimiento; requiere notificación de "finalidad razonable" |
| POPIA | Sudáfrica | Consentimiento previo (opt-in) para marketing directo; normas estrictas sobre transferencias transfronterizas de datos |
| CCPA/CPRA | California, EE. UU. | Derecho a conocer, eliminar y oponerse a la venta de datos; se aplica a las direcciones de correo electrónico |
| PIPEDA | Canadá (general) | Se solapa con CASL y añade requisitos de exactitud de los datos y de salvaguarda |
Enfoque práctico: si cumples con el RGPD y con CAN-SPAM, cumplirás con la mayoría de las demás normativas o estarás muy cerca de hacerlo. El RGPD es el listón más alto.
Cumplimiento en la práctica: qué implementar
1. Recogida del consentimiento
Los formularios de suscripción deben:
- Incluir una casilla de consentimiento para marketing sin marcar (RGPD)
- Indicar qué recibirán los suscriptores y con qué frecuencia
- Enlazar a tu política de privacidad
- Usar doble confirmación (opt-in confirmado): no es obligatorio en todos los países, pero se recomienda encarecidamente
2. Mecanismo de baja
Todo correo electrónico de marketing debe incluir:
- Un enlace de baja de un solo clic (visible, no oculto en texto diminuto)
- Una cabecera List-Unsubscribe (RFC 8058) para darse de baja con un clic desde la interfaz de Gmail/Yahoo
- Procesamiento en un plazo de 10 días hábiles (CAN-SPAM), idealmente de inmediato
Google y Yahoo ahora exigen una cancelación de suscripción con un solo clic para los remitentes masivos (más de 5.000 correos electrónicos al día).
3. Gestión de datos
- Almacene las direcciones de correo electrónico y los registros de consentimiento de forma segura
- Conserve los registros de consentimiento (fecha y hora, IP, URL del formulario, a qué se dio consentimiento)
- Permita a los suscriptores ver y descargar sus datos (RGPD)
- Permita a los suscriptores solicitar la eliminación de sus datos (RGPD)
- No transfiera datos a terceros sin consentimiento explícito
4. Política de privacidad
Su política de privacidad debe explicar:
- Qué datos recopila (correo electrónico, nombre, IP, comportamiento)
- Por qué los recopila (marketing, analítica, personalización)
- Durante cuánto tiempo los conserva
- Quién tiene acceso (empleados, herramientas de terceros)
- Cómo pueden los suscriptores acceder a sus datos, corregirlos o eliminarlos
5. Política de retención de datos
Defina y documente durante cuánto tiempo conserva los datos de los suscriptores:
| Tipo de dato | Retención recomendada |
|---|---|
| Suscriptores activos | Indefinidamente (mientras permanezcan suscritos) |
| Correos electrónicos dados de baja | 3 años (para la lista de supresión, a fin de evitar volver a añadirlos por error) |
| Correos rebotados/no válidos | 6 meses (para el análisis de entregabilidad y luego eliminación) |
| Registros de consentimiento | 3–7 años (para la defensa legal) |
| Respuestas a solicitudes de acceso a datos (DSAR) | 3 años (prueba de cumplimiento) |
6. Verificación de listas de correo y cumplimiento normativo
Verificar su lista de correo electrónico favorece el cumplimiento de la normativa de varias maneras:
- Reduce el riesgo de enviar mensajes a trampas de spam recicladas: Que una trampa de spam detecte un envío puede provocar una revisión por parte de las autoridades reguladoras, ya que sugiere que no mantiene su lista
- Protege la exactitud de los datos: El artículo 5(1)(d) del RGPD exige que los datos personales sean "exactos y, cuando sea necesario, mantenidos al día"
- Minimiza los datos: El principio de minimización de datos del RGPD implica que no debe almacenar direcciones no válidas; verifíquelas y elimínelas
- Facilita las respuestas a las solicitudes DSAR: Una base de datos limpia facilita encontrar y responder a las solicitudes de acceso o eliminación dentro del plazo de 30 días
Lista de verificación de cumplimiento
Utilice esta lista de verificación antes de cada campaña:
□ CAN-SPAM: Dirección postal física incluida a en el pie de página?
□ CAN-SPAM/CASL/RGPD: Funcionando cancelar suscripción enlace presente?
□ Gmail/Yahoo: Lista-Darse de baja encabezado configurado?
□ RGPD: Consentimiento documentado for all destinatarios?
□ RGPD: Privacidad política enlazado y actualizado a fecha?
□ Todas: Remitente nombre y email física claramente visible?
□ Todas: Asunto línea preciso (sin afirmaciones engañosas)?
□ Todas: Lista verified y limpia antes envío?
Puntos clave
- RGPD exige consentimiento previo (opt-in) y se aplica a cualquier dato de residentes de la UE, el EEE o el Reino Unido: multas de hasta el 4 % de los ingresos globales
- CAN-SPAM se basa en la exclusión voluntaria (opt-out), pero exige una dirección física, encabezados precisos y un enlace de baja que funcione
- CASL es la más estricta: se requiere consentimiento expreso y la carga de la prueba recae en el remitente
- Doble opt-in y la verificación de correos electrónicos son tus mejores defensas contra el incumplimiento accidental
- Documenta todo: consentimientos, bajas, respuestas a solicitudes DSAR y políticas de retención de datos
- Si cumples con el RGPD, estarás cubierto en casi todas las demás jurisdicciones
