RGPD y newsletter: qué tienes que cumplir para enviar emails en España (2026)

Esta guía no contiene enlaces de afiliado en el cuerpo del texto. Más información en la política de afiliados.

Cuando montas una newsletter en España, te afectan dos normas a la vez. El RGPD, porque guardas y usas datos personales (un email ya lo es). Y la LSSI, porque envías comunicaciones comerciales por correo electrónico. Encima está la LOPDGDD, la ley orgánica que adapta el RGPD en España y concreta algunos detalles.

Aquí repasamos lo que piden esas normas a una newsletter normal: consentimiento, información en el formulario, doble opt-in, baja, proveedor de email y cookies. Cada punto lleva el artículo concreto y el enlace al texto oficial. No cubrimos datos sensibles, menores en profundidad, transferencias internacionales complejas ni envíos masivos B2B a empresas sin relación previa. Si estás montando también la captación, complétalo con nuestra guía sobre cómo crear un embudo de ventas gratis.

Qué normas se aplican a una newsletter

RGPD (Reglamento UE 2016/679)

Regula el tratamiento de datos personales: base jurídica (normalmente, el consentimiento), información, derechos de los suscriptores y proveedores que tratan los datos por ti.

LOPDGDD (Ley Orgánica 3/2018)

Es la adaptación española del RGPD. Dos artículos te interesan: el 11, que permite dar la información en dos capas (una básica junto al formulario y otra completa en tu política), y el 7, que fija en 14 años la edad mínima para consentir por uno mismo el tratamiento de datos. No la confundas con la antigua LOPD 15/1999, que está derogada.

LSSI-CE (Ley 34/2002)

Regula las comunicaciones comerciales por medios electrónicos. Los artículos clave son el 20 (identificación), el 21 (prohibición de envíos no solicitados y excepción de clientes) y el 22 (derecho a revocar el consentimiento). Las infracciones y sanciones están en los artículos 38 y 39.

¿Y si mi newsletter no vende nada?

Matiz importante. El artículo 21 de la LSSI habla de comunicaciones «publicitarias o promocionales». Una newsletter puramente informativa podría quedar, en general, fuera de ese artículo concreto, pero el RGPD se aplica igual porque sigues tratando emails. En la práctica, si incluyes enlaces de afiliado, ofertas o tus productos, te recomendamos tratarla como comercial. Si dudas en tu caso, consúltalo con un profesional.

↔ Desliza la tabla para ver todas las columnas.

Base jurídica: consentimiento (y la excepción de clientes)

Qué es un consentimiento válido

El artículo 4.11 del RGPD lo define como una manifestación de voluntad «libre, específica, informada e inequívoca», dada «mediante una declaración o una clara acción afirmativa». El considerando 32 lo baja a tierra: «el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento» (texto del RGPD en el BOE).

Traducido a tu formulario: la casilla empieza vacía y la marca la persona.

Separado de otras cosas

Si pides el consentimiento junto con otros asuntos, el artículo 7.2 exige que la solicitud «se distinga claramente de los demás asuntos». No lo metas dentro de «Acepto las condiciones de uso».

¿Y el «muro» del lead magnet, es decir, dar el regalo solo a quien se suscribe? Es un tema debatido. El artículo 7.4 pide valorar si el consentimiento es libre cuando se condiciona un servicio a él. No te vamos a decir que esté prohibido ni que esté permitido: depende del caso. Lo que sí recomendamos es explicar con claridad qué recibirá la persona y con qué frecuencia. Para decidirlo en tu negocio, consulta a un profesional.

Clientes previos (soft opt-in)

El artículo 21.2 de la LSSI permite escribir sin consentimiento previo cuando se cumplen a la vez estas condiciones:

• Hay una relación contractual previa (te compró algo).
• Obtuviste sus datos de contacto de forma lícita.
• Le escribes sobre productos o servicios de tu propia empresa similares a los que compró.
• Le ofreciste oponerse, de forma sencilla y gratuita, al recoger los datos y le ofreces hacerlo en cada envío.

Ejemplo: alguien compra tu curso de fotografía con el móvil; escribirle sobre tu curso de edición de fotos encaja, sobre un seguro de viaje no.

Retirarlo tan fácil como darlo

El artículo 7.3 del RGPD dice que «será tan fácil retirar el consentimiento como darlo». Lo vemos en la sección de baja.

Qué información dar en el formulario

El artículo 13 del RGPD enumera lo que debes contar al recoger datos. La LOPDGDD (art. 11) permite hacerlo en dos capas:

• Primera capa, junto al formulario (art. 11.2 LOPDGDD): identidad del responsable, finalidad y posibilidad de ejercer los derechos de los artículos 15 a 22 del RGPD, más un enlace a la información completa.
• Segunda capa, tu política de privacidad: todo lo del artículo 13, incluida la base jurídica, los destinatarios y encargados (tu herramienta de email), las transferencias fuera del EEE si las hay, el plazo de conservación y el derecho a reclamar ante la AEPD.

Minimización: pide solo el email, y el nombre si de verdad lo vas a usar para personalizar.

Doble opt-in: recomendable, no obligatorio

Ni el RGPD ni la LSSI mencionan el doble opt-in. Lo que sí exige el RGPD es que puedas demostrar que la persona consintió (art. 7.1). El doble opt-in, en el que el suscriptor confirma desde un email, es una forma práctica de conseguir esa prueba y de evitar altas falsas o con emails ajenos.

Ejemplo con Systeme.io: según su ayuda oficial sobre el doble opt-in, se activa formulario a formulario; si el contacto no confirma en 24 horas, se elimina, y mientras no confirme quedan en pausa los emails y las automatizaciones dirigidos a él.

Qué guardar como prueba del consentimiento:

• Fecha y hora del alta.
• Formulario o URL desde la que se suscribió.
• Texto exacto de la casilla y de la primera capa en ese momento.
• Fecha y hora de la confirmación, si usas doble opt-in.

Lectura honesta: el doble opt-in reduce algo las altas, pero las que quedan son reales y están documentadas.

Cada email: identificación y baja

La LSSI fija lo que debe llevar cada comunicación comercial:

• Identificable como publicidad y con remitente claro. El artículo 20.1 dice que las comunicaciones comerciales «deberán ser claramente identificables como tales» y que también debe serlo la persona en cuyo nombre se envían. El 20.4 prohíbe disimular u ocultar la identidad del remitente.
• Baja sencilla y gratuita. El artículo 22.1 obliga a habilitar «procedimientos sencillos y gratuitos» para revocar el consentimiento y, en el email, a incluir una dirección de correo electrónico u otra dirección electrónica válida para hacerlo.

Además, los apartados 2 y 3 del artículo 21 del RGPD reconocen el derecho a oponerse en todo momento a la mercadotecnia directa; si alguien lo ejerce, sus datos dejan de tratarse para ese fin.

Checklist para el pie de cada email:

• Nombre del remitente (tú o tu marca) y un dato de contacto.
• Por qué lo recibe («Te escribo porque te suscribiste en…»).
• Enlace de baja de un clic, sin login.
• Enlace a tu política de privacidad.

Tu herramienta de email es encargada del tratamiento

Tu herramienta guarda y envía los emails por tu cuenta, así que es encargada del tratamiento. El artículo 28 del RGPD te pide dos cosas: elegir un encargado que ofrezca «garantías suficientes» y regular la relación con «un contrato u otro acto jurídico». Ese contrato suele llamarse DPA (acuerdo de tratamiento de datos) y los proveedores suelen incluirlo en sus condiciones legales o en los ajustes de la cuenta. Búscalo en la documentación de tu herramienta y guárdalo.

Si el proveedor trata datos fuera del Espacio Económico Europeo, menciónalo en tu política de privacidad (las transferencias se regulan en los artículos 44 y siguientes del RGPD).

Lo que declaran dos de las herramientas que comparamos (es lo que dicen ellas, no una verificación nuestra):

• Systeme.io la opera ITACWT Limited, sociedad irlandesa. Su política de privacidad indica que los datos se almacenan en Amazon Web Services en Irlanda y que no se transfieren fuera de la Unión Europea (consultada el 30 de octubre de 2026).
• MailerLite declara que aloja los datos en la Unión Europea y que tiene certificación ISO 27001.

Que un proveedor declare esto no significa que tu newsletter cumpla: el cumplimiento depende de cómo la uses. Más detalle sobre la privacidad en Systeme.io y MailerLite y en las preguntas sobre RGPD en la comparativa.

Una mención más: el artículo 30 del RGPD obliga a llevar un registro de actividades de tratamiento, con excepciones para organizaciones de menos de 250 personas en ciertos supuestos (art. 30.5). Si te aplica o no depende de tu caso.

Cookies y formularios incrustados

Si incrustas en tu web un formulario o script de tu herramienta de email, o píxeles de publicidad, pueden instalarse cookies o tecnologías similares. Eso entra en el artículo 22.2 de la LSSI, que exige consentimiento informado salvo para las estrictamente necesarias. La guía sobre el uso de las cookies de la AEPD lo explica en detalle.

Un ejemplo de transparencia: comparaembudos.com no usa cookies propias ni analítica, como explicamos en nuestra política de privacidad y cookies. Alternativa sin cookies: enlaza a una página de suscripción alojada por tu proveedor en lugar de incrustar su formulario.

Lo que no deberías hacer

• Comprar o alquilar listas, o importar contactos de LinkedIn o de tarjetas de visita sin su consentimiento.
• Casilla premarcada o consentimiento escondido dentro de las condiciones.
• Usar la lista de clientes para productos no similares sin pedir consentimiento.
• Enviar emails sin baja, o con una baja que exige iniciar sesión.
• Mezclar finalidades en una sola casilla, como newsletter y cesión de datos a terceros.

Sobre los sistemas de exclusión publicitaria (LOPDGDD art. 23), como la Lista Robinson que enlaza la AEPD en su página sobre publicidad no deseada: son relevantes, sobre todo, si escribes a quien no te ha dado su consentimiento ni es cliente. Para una newsletter con consentimiento no suelen ser el foco, pero revisa tu caso.

¿Qué pasa si no cumples?

El artículo 38.3.c de la LSSI califica como infracción grave el envío masivo de comunicaciones comerciales por email, o su envío insistente o sistemático a un mismo destinatario, sin cumplir el artículo 21. Según el artículo 39, las infracciones graves se sancionan con multa «de 30.001 hasta 150.000 euros» y las leves con multa «de hasta 30.000 euros» (BOE, consultado el 30 de octubre de 2026).

En el RGPD, las multas se regulan en el artículo 83; consulta su texto en el BOE. En España, la autoridad de control es la AEPD, y cualquier persona puede presentar una reclamación ante ella.

Checklist RGPD para tu newsletter

Revísala ahora o imprímela (la página está preparada para imprimirse sin menús).

• Casilla de consentimiento sin marcar.
• Texto de primera capa junto al formulario.
• Enlace a la política de privacidad.
• Solo los datos necesarios (email y, si lo usas, nombre).
• Doble opt-in activado (recomendado).
• Prueba del consentimiento guardada.
• DPA del proveedor aceptado y guardado.
• La política de privacidad menciona a tu proveedor de email.
• Remitente identificado en cada email.
• Enlace de baja en cada email.
• Publicidad identificable como tal.
• Revisión anual de los textos legales.

Preguntas frecuentes

Conclusión

Tres acciones para hoy:

1. Revisa la casilla: sin marcar y separada de las condiciones.
2. Añade la primera capa de información bajo el formulario, con enlace a tu política.
3. Comprueba la baja: date de baja tú mismo desde un email y verifica que funciona a la primera.

Si estás eligiendo herramienta, revisa nuestra comparativa de herramientas de email marketing.

Metodología y fuentes

Guía elaborada a partir del texto consolidado de las normas (EUR-Lex, BOE) y publicaciones de la AEPD consultadas el 30 de octubre de 2026. No somos un despacho de abogados: esta guía no es asesoramiento jurídico. Seguimos los criterios de cómo comparamos: citas literales cortas con enlace a la fuente y separación entre lo que dice la ley y lo que recomendamos.

• Reglamento (UE) 2016/679 (RGPD), EUR-Lex
• RGPD en el BOE (DOUE-L-2016-80807) · PDF
• Ley 34/2002 (LSSI-CE), texto consolidado, BOE (arts. 20, 21, 22, 38 y 39)
• Ley Orgánica 3/2018 (LOPDGDD), BOE (arts. 7, 11 y 23)
• AEPD: publicidad no deseada
• AEPD: preguntas frecuentes sobre publicidad no deseada
• AEPD: guía del RGPD para responsables de tratamiento
• AEPD: guía sobre el uso de las cookies
• AEPD: herramientas (incluye Facilita RGPD)
• Ayuda de Systeme.io: cómo configurar el doble opt-in
• Política de privacidad de Systeme.io