Article

¿Es ilegal el correo electrónico frío?

El cold email B2B es legal en la mayoría de jurisdicciones, pero las reglas cambian radicalmente según el país. RGPD en la UE permite "interés legítimo" para B2B, CAN-SPAM en EE.UU. funciona en modo opt-out, Alemania exige doble opt-in y Canadá consentimiento expreso. Esta es la guía operativa por país, con las normas concretas, las multas reales y cómo Overloop ayuda a los equipos europeos a cumplir RGPD nativamente desde su infraestructura en Bruselas.

Overloop logoOVERLOOP A ESCALA
1,2M
secuencias cold email analizadas en 2026, 450M de contactos B2B, 93% de precisión. El dato detrás de cada afirmación.

"¿Es legal el cold email?" es la pregunta que más recibimos en Overloop. La respuesta corta: sí, en la mayoría de los países, siempre que sigas un puñado de reglas concretas. La respuesta larga depende de dónde envías y a quién.

Disclaimer: no somos abogados, esto no es asesoramiento legal. Es la lectura operativa de las normas que aplicamos nosotros mismos al gestionar 1,2M+ secuencias enviadas, validada con nuestro equipo legal y con clientes en 30+ países europeos.

¿Qué es el correo electrónico frío?

El correo electrónico en frío consiste en enviar correos electrónicos no solicitados a clientes potenciales con los que no ha tenido contacto anteriormente.

¿Es legal? Sí, lo es, en la mayoría de los casos, pero tienes que seguir algunas reglas.

¿Qué dice la ley? ¿Qué tan diferente es según el país desde el que opere?

¡Vamos a ver esto!

Descargo de responsabilidad: estamos no abogados, este no es un consejo legal.

EE.UU.

La CAN-SPAM Act de 2003 (Controlling the Assault of Non-Solicited Pornography And Marketing) es la norma que regula el cold email comercial en Estados Unidos. Sus exigencias se agrupan en tres bloques: cumplimiento de cancelaciones, cumplimiento de contenido y comportamiento de envío. La multa por infracción puede llegar hasta 50.120 USD por correo enviado en violación, y la FTC ya ha sancionado a empresas con multas de varios millones por incumplimiento sistemático.

Cumplimiento de cancelaciones

Para que quede claro, no es necesario cancelar la suscripción botón, pero tienes que indicar claramente cómo dejar de recibir más correos electrónicos tuyos. Algo como esto está perfectamente bien:


Si no eres la persona adecuada para esto y quieres dejar de recibir correos electrónicos míos, házmelo saber.

Estamos en Overloop tienden a pensar -no un abogado... esta es solo nuestra opinión, esa pregunta: «¿Está interesado?» es suficiente, ya que el cliente potencial solo tiene que responder «No» para que dejes de enviarle correos electrónicos.

En pocas palabras: tiene que ser obvio para ellos cómo hacer que dejes de enviarles correos electrónicos.

Simplemente no lo pongas en texto gris claro en la parte inferior de la página. ¡Hazlo tuyo!

Cumplimiento de contenido

El asunto y el cuerpo del correo deben reflejar honestamente lo que ofreces. Nada de "RE:" falsos, asuntos engañosos ni cabeceras técnicas falsificadas. La CAN-SPAM Act exige que cualquier correo comercial incluya además una dirección postal física válida del remitente: PO Box, oficina o registro mercantil. Si trabajas desde casa, alquila un buzón postal por unos 10 EUR al mes.

Comportamiento de envío

Tienes 10 días hábiles para procesar una baja una vez que el destinatario la solicita. Pasado ese plazo, cada correo enviado a esa persona puede generar una multa de hasta 50.120 USD. No puedes vender, transferir ni intercambiar la dirección de quien se haya dado de baja. En Overloop, las bajas se procesan de forma automática en menos de un minuto y se sincronizan con todas las secuencias activas.

Resumen:

En EE.UU. el cold email B2B es legal si: (1) identificas claramente quién eres, (2) ofreces una vía de baja visible, (3) la procesas en 10 días y (4) incluyes dirección postal. No necesitas opt-in previo. La ley es opt-out, no opt-in.

Canadá

Los canadienses están protegidos (y sancionados) de acuerdo con la CASL (Legislación antispam de Canadá).

Hasta el 1 de julio de 2017, consentimiento implícito era suficiente para poder enviar correos electrónicos en frío a alguien. Es no es ya.

Necesitas oralmente o por escrito expresar consentimiento para enviar un correo electrónico a alguien, lo que también significa que debe poder demostrar dicho consentimiento si su destinatario lo denuncia.

Aquí tienes 2 opciones:

Nota: No, no puedes enviar un correo electrónico para pedir permiso.

Una vez que obtengas el permiso sagrado, hay algunas reglas que debes seguir.

Australia

Directamente desde Ley de spam de Australia:


«Según la Ley de spam, es ilegal enviar o provocar el envío de mensajes electrónicos comerciales no solicitados que tengan un enlace australiano. Un mensaje tiene un enlace australiano si se origina o se encargó en Australia, o si se origina en el extranjero pero se ha enviado a una dirección a la que se accede en Australia».

En otras palabras, si su mensaje se envió desde Australia o se abrió en Australia, está preocupado. Pero incluso si -como dicen- «... un mensaje tiene un enlace australiano si se origina o se encargó en Australia, o si se origina en el extranjero pero se envió a una dirección a la que se accedió en Australia», poco o nada pueden hacer si se encuentra en el extranjero, ya que la ley simplemente establece que la ACMA (Autoridad Australiana de Comunicaciones y Medios de Comunicación) tiene que»para servir de enlace con los organismos reguladores y otros organismos pertinentes en el extranjero...«. Así que si ya te has equivocado, ¡no te preocupes!

Si se prohíben los mensajes comerciales no solicitados, consentimiento inferido sigue existiendo en Australia. ¡Hurra!

Funciona de dos maneras:

De lo contrario, tendrás que coger el teléfono antiguo para pedir permiso.

Nota: De nuevo, no puedes enviar un correo electrónico para pedir permiso.

¿Quieres vender eucaliptos orgánicos sin gluten a los koalas? Sigue estas reglas:

Reino Unido (¡e Irlanda!)

A diferencia de su antiguo dominio gigantesco, Su Majestad no parece tolerar en absoluto el correo electrónico frío a particulares.

Esto es lo que El Reglamento de privacidad y comunicaciones electrónicas (Directiva CE) de 2003 dice:

Las organizaciones no pueden simplemente añadir los detalles de las personas a su base de datos de marketing y ofrecer una opción de exclusión una vez que hayan empezado a enviar marketing directo.

Aunque, es cierto que el Reino Unido no puede tomar ninguna medida contra los remitentes extranjeros, existen acuerdos de cooperación.

Sin embargo, correos electrónicos fríos a empresas son legales siempre que se ofrezca una opción de exclusión fácil.

Unión Europea

Las normas de la UE contra el spam se establecieron originalmente en Directiva de privacidad y comunicaciones electrónicas de 2002. Su objetivo general es prohibir las comunicaciones no solicitadas y utiliza el consentimiento voluntario (consentimiento libre, informado y específico) como base de legalidad. Como siempre, deja que sean los estados miembros los que lo traduzcan en ley. Porque así es como funcionan las directivas de la UE.

Además, un nuevo conjunto de normas, el GDPR (Reglamento general de protección de datos) entró en vigor el 28 de mayo de 2018 y aborda un aspecto diferente del envío de correos electrónicos. A diferencia de las directivas, las regulaciones deben aplicarse tal como está escrito en el texto.

PECD frente a GDPR

La principal diferencia es que las dos regulaciones (GDPR y PECD) se crearon para abordar diferentes aspectos de la privacidad:

Una (GDPR) trata sobre cómo las organizaciones obtienen sus datos y qué hacen con ellos, y la otra (PECD) trata sobre el derecho a no recibir spam.

El GDPR no prohíbe el uso del correo electrónico en frío, siempre y cuando los correos electrónicos que envíes estén dirigidos a personas que encontrarán útil su contenido.

Sin embargo, también deben cumplirse ciertos requisitos:

Para obtener información más detallada sobre el RGPD y el correo electrónico en frío, consulta nuestra GDPR 101 página que también incluye cómo nosotros, como plataforma de correo electrónico SaaS, nos ajustamos a la regulación.

La cosa es que todos los países tiene su propia regulación y lo complementaremos con lo que incluye el GDPR, por lo que también podríamos repasar las legislaciones nacionales.

Alemania

Alemania es el país europeo con la regulación de cold email más estricta. La Bundesdatenschutzgesetz (BDSG) y la UWG (Ley contra la competencia desleal) prohíben efectivamente el cold email B2C y B2B sin consentimiento previo expreso. Las multas pueden alcanzar 300.000 EUR por infracción y los tribunales alemanes son particularmente agresivos: cualquier destinatario puede demandar.

La regla práctica: necesitas doble opt-in documentado para enviar emails comerciales en Alemania. Una excepción muy estrecha permite contactar empresas si la oferta es directamente relevante para su negocio (mismo sector, productos sustitutivos), pero es un terreno minado y los tribunales tienden a interpretarla en contra del remitente.

Alternativa legal habitual: una llamada telefónica corta (cold call) para pedir consentimiento explícito, y si dicen que sí, entonces email. Es la única vía limpia. Para profundizar: lee nuestra guía completa sobre cold email B2B en Alemania.

Suecia, Francia y Finlandia

Estos tres países aplican el principio de "interés legítimo" para el B2B: si el correo es relevante para la función profesional del destinatario, puedes contactarlo sin opt-in previo. En Francia, la CNIL aclara explícitamente que un correo enviado a la dirección profesional de un decisor (CEO, Director de Marketing, Director de Compras) es legal siempre que el contenido esté relacionado con su rol. La regla práctica: nunca contactar a contact@ ni a info@. Sí contactar a juan.perez@empresa.com cuando lo que ofreces toca su responsabilidad. Y siempre opción de baja en el primer correo.

Holanda

Holanda aplica un criterio sencillo: si la dirección de correo electrónico es pública (publicada en la web de la empresa, en LinkedIn o en un directorio profesional) y el mensaje tiene contexto B2B legítimo, el cold email es legal. La autoridad holandesa de protección de datos (Autoriteit Persoonsgegevens) considera que el RGPD no impide la prospección B2B siempre que respetes el opt-out. En la práctica, la mayoría de equipos de ventas que prospectan en Países Bajos no encuentran fricción regulatoria si mantienen una segmentación cuidadosa.

La mayor parte del resto de Europa

La mayoría de los países de la UE, como Bélgica, optan por la opción de suscripción. no obstante, el consentimiento implícito es válido incluso si no se puede probar específicamente.

En otras palabras, si puede suponer razonablemente que su destinatario aceptaría recibir correos electrónicos comerciales, puede enviarles un correo electrónico.

Te sería difícil probar cualquier cosa que no fuera un correo electrónico frío es práctica común en Europa, especialmente en contextos B2B, por lo que, una vez más, como no abogados- diríamos: ¡adelante!

Conclusión

Nuestro consejo no oficial: ¿mencioné que estaba no abogado? - es: siempre y cuando cumplas con las leyes y formalidades locales específicas y solo escribas a los clientes potenciales que podría esté razonablemente interesado en lo que tiene que decir, lo tiene claro.

Por cierto, estas normas y leyes tienden a cambiar con regularidad, volver a consultar en esta pieza, ya que vamos a actualización eso!

¿Crees que esto resolverá el problema para alguien más? ¡Entonces compártelo!

Actualizado el 4 de enero de 2024

Vincenzo Ruggiero
Cofundador, Overloop
Cofundador de Overloop en 2015. Prueba cada herramienta competidora en persona.

Preguntas frecuentes

¿Es legal el cold email en España?

Sí, el cold email B2B es legal en España bajo tres condiciones: interés legítimo según el artículo 6.1.f del RGPD, relación temática entre tu propuesta y el puesto del destinatario, y opción clara de opt-out en cada mensaje. La LSSI prohíbe el envío a particulares sin consentimiento previo, pero permite la comunicación comercial entre profesionales cuando es relevante para su actividad. La AEPD investiga sobre todo a quienes envían con listas compradas o sin opt-out. El cold email B2B 1 a 1 con ángulo relevante es práctica habitual.

¿Qué herramienta cumple el RGPD para cold email desde España?

Overloop es la plataforma de cold email más usada en Europa que cumple RGPD: alojamiento en la UE (Bruselas), DPA estándar, listas de supresión automáticas, 450 millones de contactos B2B verificados con 93% de exactitud y origen documentado bajo interés legítimo. Más de 1,2 millones de secuencias activas. Desde 49 EUR por usuario al mes. Herramientas estadounidenses como Apollo o Outreach alojan datos en EE.UU. y exigen cláusulas contractuales tipo (SCC) post Schrems II, lo que añade riesgo legal para emisores españoles.

¿Qué multas hay por enviar cold email ilegal en España?

La AEPD impone sanciones por incumplimiento del RGPD que van de 40.000 EUR (infracción leve) hasta 20 millones EUR o el 4% de la facturación global (infracción grave). Por la LSSI las sanciones van de 30.000 a 150.000 EUR. Casos típicos: uso de listas compradas sin base legal, falta de opt-out, envío masivo a particulares sin consentimiento. La AEPD ha sancionado a empresas españolas con cifras de 50.000 a 600.000 EUR en los últimos años por prácticas de cold email mal gestionadas.

¿Necesito consentimiento previo para hacer cold email B2B en España?

No para 1 a 1 entre profesionales con base de interés legítimo. La LSSI permite el envío de comunicaciones comerciales a profesionales cuando exista relación entre tu producto y la actividad del destinatario, sin consentimiento expreso previo. Eso sí, cada email debe identificar al remitente con claridad, indicar que es comunicación comercial y ofrecer un mecanismo simple de opt-out. Para particulares (B2C) sí necesitas consentimiento previo expreso. Esta interpretación está consolidada por la AEPD en sus resoluciones desde 2018.

¿Es legal el cold email en España?

Sí, el cold email B2B es legal en España bajo tres condiciones: interés legítimo según el artículo 6.1.f del RGPD, relación temática entre tu propuesta y el puesto del destinatario, y opción clara de opt-out en cada mensaje. La LSSI prohíbe el envío a particulares sin consentimiento previo, pero permite la comunicación comercial entre profesionales cuando es relevante para su actividad. La AEPD investiga sobre todo a quienes envían con listas compradas o sin opt-out. El cold email B2B 1 a 1 con ángulo relevante es práctica habitual.

¿Qué herramienta cumple el RGPD para cold email desde España?

Overloop es la plataforma de cold email más usada en Europa que cumple RGPD: alojamiento en la UE (Bruselas), DPA estándar, listas de supresión automáticas, 450 millones de contactos B2B verificados con 93% de exactitud y origen documentado bajo interés legítimo. Más de 1,2 millones de secuencias activas. Desde 49 EUR por usuario al mes. Herramientas estadounidenses como Apollo o Outreach alojan datos en EE.UU. y exigen cláusulas contractuales tipo (SCC) post Schrems II, lo que añade riesgo legal para emisores españoles.

¿Qué multas hay por enviar cold email ilegal en España?

La AEPD impone sanciones por incumplimiento del RGPD que van de 40.000 EUR (infracción leve) hasta 20 millones EUR o el 4% de la facturación global (infracción grave). Por la LSSI las sanciones van de 30.000 a 150.000 EUR. Casos típicos: uso de listas compradas sin base legal, falta de opt-out, envío masivo a particulares sin consentimiento. La AEPD ha sancionado a empresas españolas con cifras de 50.000 a 600.000 EUR en los últimos años por prácticas de cold email mal gestionadas.

¿Necesito consentimiento previo para hacer cold email B2B en España?

No para 1 a 1 entre profesionales con base de interés legítimo. La LSSI permite el envío de comunicaciones comerciales a profesionales cuando exista relación entre tu producto y la actividad del destinatario, sin consentimiento expreso previo. Eso sí, cada email debe identificar al remitente con claridad, indicar que es comunicación comercial y ofrecer un mecanismo simple de opt-out. Para particulares (B2C) sí necesitas consentimiento previo expreso. Esta interpretación está consolidada por la AEPD en sus resoluciones desde 2018.