Base legal: consentimiento previo, informado y específico
El RGPD y la LOPDGDD exigen que el tratamiento de datos personales con fines de marketing directo tenga una base jurídica válida. En la práctica, para el envío de SMS comerciales la base habitual es el consentimiento, que debe reunir estas condiciones:
- Previo: el interesado debe haber dado su consentimiento antes de que se le envíe ninguna comunicación comercial.
- Informado: en el momento de recabar el consentimiento hay que explicar claramente quién es el responsable del tratamiento, con qué finalidad se usará el número de teléfono y qué derechos tiene el usuario.
- Específico: el consentimiento para recibir SMS comerciales debe distinguirse de otros consentimientos (por ejemplo, el de condiciones generales). No vale un consentimiento genérico ni las casillas premarcadas.
- Inequívoco: debe obtenerse mediante una acción afirmativa clara, como marcar voluntariamente una casilla de opt-in.
Además, la LSSI-CE (art. 21) prohíbe el envío de comunicaciones comerciales por medios electrónicos —incluyendo el SMS— sin haber obtenido previamente el consentimiento expreso de los destinatarios, salvo que exista una relación contractual previa y la comunicación se refiera a productos o servicios similares a los contratados (soft opt-in, con posibilidad de oposición en cada envío).
Identificación clara del remitente y la finalidad
Todo SMS comercial debe identificar de forma inequívoca a quien lo envía. No está permitido usar un remitente engañoso, genérico o que induzca a confusión. Las obligaciones concretas son:
- Indicar el nombre o razón social del responsable del envío (ya sea mediante remitente alfanumérico o en el cuerpo del mensaje).
- Que el carácter publicitario o comercial del mensaje quede explícito desde el inicio; no se puede disimular como si fuera un mensaje personal o informativo neutro.
- Proporcionar al menos un medio de contacto accesible (dirección postal, correo electrónico o similar) para que el destinatario pueda ejercer sus derechos.
Derecho de baja, gestión de exclusiones y Lista Robinson
Uno de los pilares de la normativa es la facilidad para dejar de recibir mensajes comerciales. Cada SMS promocional debe incluir un mecanismo de opt-out que cumpla estos requisitos:
- Accesible: la instrucción de baja debe estar en el propio mensaje, no en un enlace secundario difícil de encontrar.
- Gratuito: el proceso de baja no puede suponer ningún coste para el usuario.
- Efectivo y rápido: una vez solicitada la baja, el número debe eliminarse de la lista y no recibir más envíos en un plazo razonable (habitualmente 10 días hábiles como máximo).
Asimismo, antes de iniciar cualquier campaña, es obligatorio cotejar la lista de contactos con el fichero de exclusión publicitaria correspondiente. En España, la Lista Robinson es el servicio de exclusión publicitaria gestionado por la Asociación Española de Economía Digital (Adigital) al que los ciudadanos pueden inscribirse para no recibir publicidad no solicitada. Las empresas tienen la obligación de consultar este fichero antes de cada campaña y excluir a quienes figuren en él.
Franja horaria razonable para el envío promocional
Los SMS de carácter promocional deben enviarse en horarios que no perturben el descanso de los destinatarios. Aunque la normativa no establece un horario concreto a nivel legal, la práctica habitual del sector y las recomendaciones de la Agencia Española de Protección de Datos (AEPD) apuntan a respetar una franja diurna en días laborables, generalmente entre las 9:00 y las 21:00 horas, evitando fines de semana y festivos para comunicaciones intrusivas. Superar estos límites puede considerarse una práctica abusiva y derivar en reclamaciones o sanciones.
SMS comercial frente a SMS transaccional
La distinción entre comunicación comercial y comunicación transaccional es clave porque determina qué obligaciones se aplican:
- SMS comercial (opt-in obligatorio): mensajes cuyo objetivo principal es promocionar productos, servicios, marcas u ofertas. Requieren consentimiento previo expreso, identificación clara, mecanismo de baja y respeto de la franja horaria.
- SMS transaccional (deriva de relación contractual): mensajes que informan al usuario sobre el estado de una operación que él mismo inició: confirmación de pedido, código OTP, alerta de seguridad, recordatorio de cita. Al ser consecuencia directa de una relación contractual, no requieren consentimiento comercial adicional, aunque siguen sujetos al RGPD en cuanto al tratamiento de los datos y deben limitarse al propósito informativo.
Un mensaje que mezcla contenido informativo con publicidad adicional puede ser considerado comercial en su totalidad, con todas las obligaciones que conlleva. Para más información sobre las buenas prácticas operativas, consulta la guía de envío de SMS masivos.
Conservación, seguridad y minimización de datos
El RGPD impone principios que afectan a toda la cadena del envío masivo:
- Minimización: solo deben recabarse y tratarse los datos estrictamente necesarios para la finalidad del envío (habitualmente el número de teléfono y el consentimiento registrado).
- Limitación del plazo de conservación: los datos no deben conservarse más tiempo del necesario. Una vez que el usuario se da de baja o caduca la finalidad, los datos deben suprimirse o anonimizarse.
- Seguridad: las listas de contactos deben almacenarse con medidas técnicas y organizativas adecuadas para evitar accesos no autorizados, pérdidas o fugas. Los contratos con los proveedores de plataformas de envío deben incluir un acuerdo de encargado del tratamiento (DPA) conforme al art. 28 del RGPD.
- Exactitud: las listas deben mantenerse actualizadas y depurarse periódicamente.
Consecuencias del incumplimiento
El incumplimiento de la normativa puede acarrear sanciones significativas. La AEPD es el organismo supervisor en España y dispone de potestad sancionadora en distintos niveles:
- Las infracciones graves del RGPD pueden conllevar multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual global (el importe mayor), y las muy graves hasta 20 millones o el 4 %.
- Las infracciones de la LSSI-CE en materia de comunicaciones comerciales no solicitadas pueden suponer multas de hasta 150 000 euros en los casos más graves.
- La AEPD ha sancionado en diversas ocasiones a empresas por envíos masivos sin consentimiento válido, por no gestionar correctamente las bajas o por no consultar los ficheros de exclusión.
Además de las sanciones económicas, el daño reputacional ante los clientes puede ser considerable. Para profundizar en las prácticas técnicas de envío, consulta también el artículo sobre SMS para empresas.
Preguntas frecuentes
¿Puedo enviar SMS publicitarios a mis clientes actuales sin pedir consentimiento?
Depende. La LSSI-CE permite enviar comunicaciones comerciales a clientes existentes sin consentimiento adicional siempre que los mensajes se refieran a productos o servicios similares a los que ya contrataron (soft opt-in), que se haya informado de esta posibilidad cuando se recogieron los datos y que en cada envío se ofrezca la opción de baja. Fuera de esos casos, se requiere consentimiento expreso previo.
¿Qué información mínima debe incluir un SMS comercial?
El SMS debe identificar al remitente de forma clara (nombre o marca), indicar el carácter publicitario del mensaje e incluir un mecanismo sencillo y gratuito para darse de baja, habitualmente mediante una respuesta con la palabra STOP o un enlace directo al formulario de exclusión.
¿Estoy obligado a consultar la Lista Robinson antes de enviar?
Sí. Antes de iniciar una campaña de SMS comerciales es obligatorio cruzar la lista de destinatarios con el fichero de exclusión publicitaria Lista Robinson y excluir a quienes figuren inscritos en él. El incumplimiento puede derivar en reclamaciones y sanciones.
¿En qué horario puedo enviar SMS promocionales?
La ley no fija un horario exacto, pero la práctica habitual y las recomendaciones del sector sitúan el envío de SMS promocionales entre las 9:00 y las 21:00 horas en días laborables. Enviar fuera de esa franja, o en festivos, puede considerarse una práctica intrusiva y dar lugar a reclamaciones ante la AEPD.
El contenido de esta página es exclusivamente informativo y no constituye asesoramiento jurídico ni legal. La normativa sobre protección de datos y comunicaciones comerciales puede modificarse; conviene consultar a un profesional especializado y verificar siempre la legislación vigente antes de poner en marcha cualquier campaña de SMS comerciales.
