La semana pasada alguien me escribió para preguntarme si podía usar una base de datos que acababa de comprar.
Según el proveedor, los contactos habían aceptado recibir información de empresas colaboradoras. La lista estaba limpia, actualizada y segmentada. Todo sonaba estupendo.
Solo faltaba una cosa bastante importante: poder demostrarlo.
Comprar una lista con miles de correos no convierte automáticamente esos contactos en personas a las que puedes enviar publicidad. Tampoco basta con que el vendedor incluya una cláusula en la factura diciendo que cumple el RGPD.
La respuesta corta
En España, el punto de partida está en el artículo 21 de la LSSI. La norma prohíbe enviar comunicaciones publicitarias por correo electrónico que no hayan sido solicitadas o expresamente autorizadas.
Existe una excepción cuando ya hay una relación contractual previa. En ese caso, la empresa puede utilizar los datos obtenidos lícitamente para promocionar productos o servicios propios similares a los que el cliente contrató inicialmente. Aun así, debe ofrecer una forma sencilla y gratuita de oponerse a esos envíos.
Una base de datos comprada rara vez encaja limpiamente en esa excepción. Las personas de la lista no suelen ser clientes tuyos. Puede que ni siquiera sepan que tu empresa existe.
El consentimiento no se vende por kilos
El proveedor puede asegurarte que todo el mundo dio su consentimiento. El problema aparece cuando intentas averiguar qué aceptó exactamente cada persona.
¿Quién recogió el correo? ¿En qué página? ¿Qué texto aparecía junto al formulario? ¿Se mencionaba a tu empresa? ¿Se explicaba qué tipo de comunicaciones recibiría el usuario? ¿Existe una fecha y una prueba de esa aceptación?
La frase “acepto recibir ofertas de empresas colaboradoras” no es una llave maestra. Si el consentimiento es ambiguo o no permite entender quién utilizará los datos y para qué, confiar en él resulta bastante arriesgado.
Esto es lo que suele perderse en la conversación. No basta con que alguien diga que obtuvo permiso. Si surge una reclamación, necesitas evidencias. Ya hablé de esa diferencia entre cumplir y poder demostrarlo en el artículo sobre qué debe contener un dossier de evidencias.
Lo que pediría antes de utilizar la lista
Si alguien me ofreciera una base de datos comercial, no empezaría preguntando cuántos contactos incluye. Pediría lo siguiente:
- El origen concreto de los datos.
- El formulario y el texto informativo utilizados.
- La fecha en la que se obtuvo cada consentimiento.
- La identidad de las empresas o categorías de empresas mencionadas.
- La finalidad exacta para la que se recogieron los datos.
- El procedimiento para gestionar bajas y oposiciones.
- La prueba de que los datos siguen siendo actuales.
Si el proveedor no puede entregar esa información, yo no utilizaría la lista. Una promesa comercial no sustituye a la trazabilidad.
También tendría cuidado con una respuesta habitual: “Son datos de empresas, así que el RGPD no se aplica”. Un correo como ventas@empresa.com no siempre plantea el mismo problema que una dirección personal identificable. Sin embargo, eso no elimina automáticamente las reglas sobre comunicaciones comerciales electrónicas ni convierte cualquier envío masivo en una buena idea.
Aunque fuera posible, puede seguir siendo un mal negocio
Hay otra parte que casi nunca aparece en el contrato de compra: la calidad real de esos contactos.
Una lista puede contener correos antiguos, direcciones trampa, personas que nunca esperaron saber de ti y usuarios que marcan el primer mensaje como spam. Eso afecta a la reputación del dominio y puede hacer que tus correos legítimos tampoco lleguen a la bandeja de entrada.
Además, los resultados suelen ser peores de lo que promete el tamaño del archivo. Diez mil contactos sin relación contigo no equivalen a diez mil oportunidades. En muchos casos equivalen a unas cuantas aperturas accidentales y una larga lista de personas molestas.
Captar datos propios es más lento. Hay que crear una oferta útil, explicar qué recibirá la persona y ganarse su confianza. Pero esa fricción también filtra. El contacto sabe quién eres y por qué le escribes. Eso cambia completamente la conversación.
Lo vi desde el otro lado cuando escribí sobre cómo conseguir que un lead te entregue sus datos voluntariamente. El dato no aparece por arte de magia. Llega cuando alguien cree que responderás bien a una necesidad real.
Mi conclusión
¿Es siempre ilegal comprar una base de datos? No puedo responder a eso sin conocer su origen, el consentimiento obtenido y el uso que se pretende hacer de ella.
¿Usaría una lista simplemente porque el vendedor afirma que cumple el RGPD? Tampoco.
Antes de enviar un solo correo necesitaría comprobar que las personas autorizaron realmente ese tipo de comunicación y que existe una prueba verificable. También tendría que confirmar que cada mensaje permite oponerse fácilmente a futuros envíos.
Si la base de datos no supera esas preguntas, no has comprado una audiencia. Has comprado el problema de otra persona.