El uso de bases de datos de terceros para realizar campañas publicitarias puede acarrear sanciones para autónomos y pymes, incluso cuando los clientes hayan aceptado recibir ofertas de empresas colaboradoras. Las conclusiones del abogado general del Tribunal de Justicia de la Unión Europea (TJUE) refuerzan la importancia de contar con un consentimiento específico, informado e inequívoco, que permita identificar a la empresa que utilizará los datos personales.
El consentimiento genérico no es suficiente para enviar publicidad
Los autónomos y las pequeñas empresas que recurren a bases de datos de terceros para ampliar el alcance de sus campañas comerciales deben prestar especial atención a la procedencia de los contactos y a las condiciones en las que se obtuvieron sus datos personales.
Según la información publicada por Autónomos y Emprendedores el 1 de octubre de 2026, las conclusiones del abogado general del TJUE, presentadas el 17 de septiembre, cuestionan la validez de las autorizaciones genéricas que permiten a empresas colaboradoras utilizar los datos de los clientes sin identificar previamente a los destinatarios de dicha autorización.
El caso analizado se originó en una campaña de publicidad electrónica que afectó a aproximadamente 3,9 millones de personas. Los usuarios habían aceptado que sus datos fueran utilizados por empresas asociadas a sus proveedores de internet, pero no conocían la identidad concreta de las compañías que posteriormente les enviarían publicidad. El procedimiento está relacionado con una sanción de 600.000 euros.
Esta situación pone de manifiesto que disponer de una lista de contactos y contar con una autorización general para recibir ofertas comerciales no garantiza que una campaña cumpla con la normativa de protección de datos.
Las empresas que reciben los datos también son responsables
Uno de los aspectos fundamentales de este pronunciamiento es que las empresas que reciben datos personales de terceros asumen sus propias obligaciones en materia de protección de datos.
La firma de un acuerdo comercial con otra empresa para acceder a su cartera de clientes no exime al autónomo o a la pyme receptora de verificar que el tratamiento de la información es lícito. En función de las circunstancias, la empresa que recibe los datos puede adquirir la condición de responsable del tratamiento, con las obligaciones que establece el Reglamento General de Protección de Datos (RGPD).
El consentimiento debe cumplir los requisitos de ser libre, específico, informado e inequívoco. Además, cuando se utiliza esta base jurídica, los destinatarios deben conocer qué empresa tratará sus datos y con qué finalidad, sin que una referencia indeterminada a socios o colaboradores sea suficiente para justificar cualquier comunicación comercial.
Por tanto, antes de incorporar una base de datos externa a una campaña de marketing, resulta imprescindible comprobar el alcance de las autorizaciones concedidas por los usuarios y las condiciones en las que se recogió su información.
¿Tu empresa utiliza bases de datos de terceros para enviar publicidad?
Verificar el consentimiento, revisar los contratos de cesión y garantizar el cumplimiento del RGPD es fundamental para evitar riesgos legales y proteger la información de tus clientes.
Consulta nuestro servicio de protección de datos y adapta tus campañas comerciales a la normativa vigente.
Qué deben comprobar los autónomos antes de utilizar una lista de contactos
La utilización de datos personales facilitados por otras empresas exige una revisión documental que permita acreditar la legitimidad de su obtención y posterior utilización. No basta con que el proveedor de la base de datos asegure que dispone de los permisos necesarios.
Entre los aspectos que conviene revisar se encuentran los formularios de recogida de datos, las cláusulas informativas, las políticas de privacidad y los mecanismos de consentimiento empleados por la empresa cedente. También es importante comprobar los contratos que regulan la comunicación de los datos y las finalidades concretas para las que se autorizó su utilización.
La empresa receptora debe poder verificar que los usuarios fueron informados adecuadamente y que el consentimiento, cuando sea la base jurídica del tratamiento, permite específicamente el envío de comunicaciones comerciales por parte de la entidad que pretende realizar la campaña.
Asimismo, es necesario conservar evidencias que acrediten la autorización y las condiciones en las que se obtuvo. Esta documentación puede resultar determinante ante una reclamación de un usuario o una investigación de la autoridad de protección de datos.
El enlace para darse de baja no sustituye al consentimiento previo
Otro aspecto relevante de las conclusiones del abogado general del TJUE es que incluir un enlace para cancelar la suscripción en el primer correo publicitario no subsana la ausencia de una autorización válida.
La licitud del tratamiento debe existir antes de enviar la comunicación comercial. Por ello, ofrecer al destinatario la posibilidad de darse de baja no convierte en legítimo un envío que inicialmente carecía de una base jurídica adecuada.
Esta distinción es especialmente importante para los autónomos y las pymes que contratan servicios de marketing, compran bases de datos o establecen acuerdos de colaboración para realizar campañas de captación de clientes.
Además de las obligaciones del RGPD, las comunicaciones comerciales electrónicas deben respetar los requisitos establecidos en la normativa aplicable, incluida la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE).
Qué hacer si ya se están utilizando datos procedentes de terceros
Las empresas que ya realizan campañas publicitarias con listas de contactos cedidas deben revisar cuanto antes la procedencia de esos datos y las autorizaciones que respaldan su utilización.
Si la revisión detecta que el consentimiento es genérico y no permite identificar a la empresa anunciante, puede ser necesario suspender temporalmente la campaña mientras se comprueba la legitimidad del tratamiento. Continuar enviando mensajes sin una base jurídica válida puede dar lugar a reclamaciones de los interesados, actuaciones de las autoridades de control y posibles sanciones.
También debe verificarse que los datos no se estén utilizando para finalidades distintas de aquellas para las que fueron recogidos y comunicados. Cualquier uso adicional deberá contar con una base jurídica propia y cumplir las correspondientes obligaciones de información.
Estas medidas no solo permiten reducir los riesgos de incumplimiento, sino que también contribuyen a mejorar la transparencia de las acciones comerciales y a reforzar la confianza de los clientes.
La importancia de contar con asesoramiento en protección de datos
El uso de bases de datos externas, las campañas de email marketing y los acuerdos comerciales para compartir información personal requieren una gestión adecuada de las obligaciones legales. Una revisión preventiva permite detectar posibles deficiencias en los consentimientos, los contratos y los procedimientos de tratamiento antes de que se produzcan incidencias.
En este contexto, es importante recordar que las conclusiones del abogado general del TJUE constituyen una propuesta jurídica para el Tribunal y no equivalen, por sí mismas, a una sentencia definitiva.
Para autónomos y pymes, disponer de procedimientos claros de recogida, conservación y utilización de datos personales es esencial para desarrollar su actividad comercial con garantías y evitar posibles incumplimientos del RGPD y la normativa sobre comunicaciones electrónicas.
Protege tu negocio y evita riesgos en tus campañas comerciales
En FORLOPD ayudamos a autónomos y empresas a cumplir con la normativa de protección de datos, revisar sus procedimientos y adaptar sus tratamientos a las exigencias legales.
¿Necesitas asesoramiento para tu negocio? Contacta con nuestros especialistas y te ayudaremos a identificar las medidas necesarias para adecuar tu actividad al RGPD.
Fuente: Autónomos y Emprendedores, El artículo se basa en las conclusiones del abogado general del TJUE de 17 de septiembre de 2026.
