Gestión del consentimiento RGPD para direcciones: la práctica

Una asociación de Madrid acumula 22.000 direcciones postales recogidas durante seis años: formularios de donación, inscripciones a eventos, suscripciones al boletín y un viejo Excel cuyo origen ya nadie recuerda. Antes de la próxima campaña de captación, el delegado de protección de datos plantea una pregunta sencilla: "¿Sobre qué base jurídica se envían estas cartas?" La respuesta no llega. Nadie sabe qué direcciones se recogieron con consentimiento, cuáles se basan en interés legítimo y cuáles vienen simplemente de fondos antiguos.

Este desorden es la regla, no la excepción. En la mayoría de organizaciones existe una base de direcciones y la suposición vaga de que todo está en regla. La gestión del consentimiento es la respuesta estructurada a esa suposición. No se trata de adjuntar un consentimiento a cada línea, sino de saber para cada registro: de dónde procede, qué base jurídica lo sostiene y cómo el destinatario puede modificar su estado en cualquier momento.

Cuándo se necesita realmente un consentimiento

Punto clave inicial: el mailing postal personalizado no equivale al marketing por correo electrónico. El RGPD permite en su artículo 6.1.f) el tratamiento basado en el interés legítimo. El considerando 47 cita expresamente la prospección comercial como uno de sus posibles supuestos. La AEPD lo ha precisado en varias guías: la prospección postal a clientes existentes o a perfiles relacionados es lícita sin consentimiento previo, siempre que se informe al destinatario y se le ofrezca un mecanismo claro de oposición.

Canal	Base jurídica	¿Consentimiento necesario?
Carta a cliente actual	Interés legítimo (art. 6.1.f)	No, pero derecho de oposición
Carta a fichero alquilado	Interés legítimo + información	No, pero origen documentado
Carta a donante (asociación)	Interés legítimo (continuidad)	No, pero contexto del donativo
E-mail comercial B2C	Consentimiento (art. 6.1.a)	Sí, documentado
Llamada telefónica B2C	Consentimiento + Lista Robinson	Sí, expreso
Prospección a menor	Consentimiento parental	Sí, cualificado

El correo postal personalizado es por tanto el gran caso particular. Funciona sin consentimiento previo, siempre que se cumplan las demás obligaciones: información transparente, origen documentado, posibilidad de oposición en cualquier momento. Sin esa disciplina, un envío formalmente lícito puede acabar en una reclamación. Un proceso de limpieza de datos conforme al RGPD es la operación que hace visible esta disciplina.

Las cuatro condiciones de un consentimiento válido

Cuando el consentimiento sí es necesario – por ejemplo, para newsletters o llamadas comerciales – debe cumplir cuatro condiciones recogidas en los artículos 4.11 y 7 del RGPD.

1. Libre. El consentimiento no puede ser condición para una prestación que nada tiene que ver con el tratamiento. Reservar una habitación de hotel no puede depender de la suscripción al boletín. Es la prohibición del acoplamiento.

2. Informado. La persona debe saber quién trata qué datos y para qué fin. Una casilla "Acepto la política de privacidad" no es suficiente. Se necesita una descripción concreta del tratamiento, en lenguaje claro.

3. Específico y activo. Las casillas premarcadas son nulas. El Tribunal de Justicia de la Unión Europea lo zanjó en la sentencia Planet49 (C-673/17) sobre cookies. El principio se aplica a cualquier consentimiento: hace falta una acción positiva.

4. Revocable. El consentimiento se puede retirar en cualquier momento, y la revocación debe ser tan sencilla como la concesión. Quien se inscribió por doble opt-in en línea no puede ser obligado a enviar una carta certificada para darse de baja.

Qué debe documentar un registro de consentimiento

La carga de la prueba recae en el responsable del tratamiento (artículo 7.1 del RGPD). Si no puede demostrar el consentimiento, no lo tiene. La documentación debe resistir una inspección de la AEPD incluso tres años después.

Contenido mínimo de un registro de consentimiento:

Identificador:    ID único, vinculado al registro de dirección
Sello horario:    Fecha + hora (con segundos)
Origen:           Formulario web, papel, teléfono, evento
Detalle origen:   URL de la página o nombre del formulario
Texto utilizado:  Literal del texto de consentimiento mostrado
Finalidad:        Newsletter, prospección, perfilado, cesión
Canales:          E-mail, postal, teléfono, SMS
Dirección IP:     En captaciones online
User-Agent:       Información del navegador, para trazabilidad
Confirmación:     Doble opt-in: sello horario + IP de la confirmación
Estado:           activo | revocado | expirado
Fecha revocación: En su caso, con origen de la revocación

Los dos últimos campos suelen ser el punto débil. Una revocación llega por correo, el equipo de marketing la introduce a mano en la lista, y tres semanas después la persona reaparece en la siguiente campaña porque se importó otro fichero. Una verdadera gestión del consentimiento implica una lista de bloqueo central, consultada en cada operación sobre datos.

Single opt-in y doble opt-in: la diferencia

El single opt-in funciona así: el usuario teclea su dirección de correo en un formulario, pulsa "Suscribirme" y entra en la lista. Rápido, baja fricción, pero jurídicamente arriesgado. Si alguien introduce el correo de un tercero, la empresa no puede demostrar nada.

El doble opt-in resuelve ese problema. Tras la introducción, el sistema envía un mensaje de confirmación con un enlace de activación. Solo el clic en ese enlace hace efectiva la suscripción.

Paso 1: El usuario introduce info@ejemplo.es en un formulario
Paso 2: El sistema guarda el registro con estado "pendiente"
Paso 3: El sistema envía un mensaje con un token único
Paso 4: El usuario hace clic en el enlace de confirmación
Paso 5: El sistema valida el token, pasa el estado a "activo"
        y registra la IP + sello horario del clic

La AEPD recomienda explícitamente el doble opt-in para cualquier prospección por correo electrónico. Más allá del aspecto jurídico, es también un filtro antiabuso eficaz: una dirección introducida con mala intención nunca se confirmará. Las erratas y las suscripciones a terceros quedan fuera.

Plazos de conservación y limpieza automática

Un consentimiento no es eterno. La regla no aparece en el texto del RGPD, pero las autoridades convergen: un consentimiento que no se utiliza durante años pierde su valor probatorio. Un consentimiento de 2018 para un boletín que no se envía desde hace tres años se vuelve jurídicamente frágil.

Plazos contrastados en la práctica para los datos de consentimiento (no para las direcciones en sí):

Estado	Conservación recomendada
Consentimiento activo	Toda la duración de uso
Pendiente (sin clic de confirmación)	14 a 30 días, después borrar
Revocado	3 años tras la revocación (prueba)
Expirado o inactivo	3 años tras el último envío

Importante: estos plazos afectan a la prueba del consentimiento, no a la dirección. La dirección puede permanecer más tiempo bajo otra base jurídica (por ejemplo, condición de cliente activo). Distinguir bien ambos plazos evita el error más frecuente: conservación demasiado corta de la prueba, demasiado larga del dato.

Cinco errores típicos en la práctica

Los proyectos de cumplimiento revelan cinco escollos recurrentes. Conocerlos permite enfocar mejor la auditoría interna.

1. Sin consentimiento por canal. Un consentimiento global "para prospección" es demasiado impreciso. Para hacer marketing por correo, e-mail y teléfono, se necesita un consentimiento por canal, con cada canal nombrado. Excepción: la prospección postal a clientes existentes, que no requiere consentimiento.

2. Casillas premarcadas. Aunque la casilla esté marcada por defecto al cargar la página y el usuario podría desmarcarla, el consentimiento es inválido. La acción positiva es obligatoria.

3. Información enterrada. Describir la finalidad solo en una política de privacidad de catorce páginas vinculada por hipervínculo no cumple la obligación de información. Lo esencial debe figurar en la zona visible del formulario.

4. Revocación solo por vía postal. Si el consentimiento se recogió en línea, la revocación también debe ser posible en línea. Una cláusula "Diríjase por escrito a nuestras oficinas" es inválida y se sanciona con frecuencia.

5. Sin documentación de fondos antiguos. Las direcciones anteriores a 2018 (entrada en vigor del RGPD) suelen carecer de documentación. Ninguna reconstrucción retroactiva funciona. O bien la dirección se sostiene en interés legítimo, o requiere un nuevo consentimiento. Una "campaña de reconfirmación" puede regularizar la base.

Ejemplo práctico: campaña de reconfirmación

Un comercio electrónico español tiene 35.000 suscriptores a su boletín. Para 14.000 de ellos, falta documentación del consentimiento original. En lugar de eliminar esas direcciones, la empresa lanza una campaña de reconfirmación:

Situación inicial: 14.000 direcciones sin prueba de consentimiento
Campaña:          Un e-mail con enlace "Confirmar de nuevo"
Plazo:            14 días para confirmar

Resultado a los 14 días:
- Confirmadas:           5.880 (42 %)
- Sin reacción:          7.560 (54 %)
- Bajas:                   560 (4 %)

Estado tras la limpieza:
- 5.880 direcciones con consentimiento fresco y documentado
- 8.120 direcciones retiradas de la lista
- Borrado definitivo, sin zona gris

La tasa del 42 % es habitual en el sector. Parece baja, pero el balance es bueno: 14.000 direcciones inciertas se transforman en 5.880 consentimientos sólidos. La calidad de la lista sube, las tasas de apertura y clic suben con ella.

Gestión del consentimiento y calidad de las direcciones son inseparables

Constatación técnica recurrente: llevar una gestión del consentimiento impecable mientras se deja deteriorar la calidad de las direcciones no sirve de nada. Si un contacto está duplicado en la base y la revocación solo se marca en una de las copias, el destinatario volverá en el próximo envío.

Consecuencia: la gestión del consentimiento y la protección de datos de clientes están operativamente unidas. Una lista de bloqueo central con estado de consentimiento, un proceso de deduplicación sistemático antes de cada envío, y un cotejo con la Lista Robinson – ese es el mínimo para llevar la arquitectura jurídica a la realidad de la base.

ListenFix cubre esa parte de los datos: el software detecta duplicados con cinco algoritmos de fuzzy matching en paralelo, permite marcar un indicador de bloqueo por registro y exporta una lista de envío limpia que respeta automáticamente esos indicadores. El procesamiento se ejecuta de forma local en el equipo del usuario – las direcciones no salen del entorno corporativo, una capa adicional de protección para datos sensibles de consentimiento.

Tres pasos para empezar

Iniciar hoy una gestión del consentimiento exige una auditoría del fondo. El camino más corto se resume en tres pasos:

1. Inventario de orígenes. Listar de dónde llegan las direcciones a la base: formularios web, papel, eventos, ficheros alquilados o comprados, fondos antiguos. Para cada origen, documentar la base jurídica aplicable.
2. Separación entre dirección y prueba de consentimiento. Los datos de consentimiento deben vivir en una tabla aparte, vinculada por un identificador. Así se puede actualizar, revocar o reconfirmar un consentimiento sin tocar el campo de dirección.
3. Lista de bloqueo prioritaria. Cada envío consulta la lista de bloqueo antes de extraer las direcciones. Quien revocó una vez no reaparece nunca, ni siquiera tras un nuevo import de datos.

Con esta estructura, la gestión del consentimiento pasa de obligación jurídica a ventaja operativa. Una base cuyo estado de consentimiento está documentado registro a registro se segmenta limpiamente para campañas dirigidas – y supera una inspección de la AEPD sin lagunas incómodas.

Descargar ListenFix gratis.