¿Es legal contactar en frío con negocios en España? Email, teléfono, WhatsApp y visita

Quien empieza a vender servicios a negocios locales se hace tarde o temprano la misma pregunta, casi siempre delante de una hoja de cálculo con cuarenta peluquerías, sus teléfonos y, con suerte, algún email: ¿puedo escribirles? Hay quien contesta que sí porque «es lo que hace todo el mundo» y quien contesta que no porque «con la ley de protección de datos no se puede hacer nada». Ninguna de las dos respuestas es cierta.

La verdad es que depende del canal. En España, contactar en frío es legal por algunas vías, está prohibido por otras y en un par de casos hay una zona gris en la que conviene ir con cabeza. Esta guía separa unas de otras, explica qué hacer con los datos de tu lista y propone una forma de trabajar que funciona sin jugársela.

Respuesta corta: contactar en frío con un negocio es legal en persona y, con cuidado, por teléfono, pero no por email, SMS, WhatsApp ni mensaje directo en redes: el artículo 21 de la LSSI prohíbe las comunicaciones comerciales electrónicas que el destinatario no ha pedido ni autorizado, y eso incluye a las empresas. Además, si en tu lista hay autónomos, sus nombres y teléfonos son datos personales y el RGPD te exige una base legal, informarles y respetar que se opongan. Lo más seguro es visitar o llamar y pedir permiso antes de enviar nada por escrito.

Una aclaración antes de seguir: esto es una guía práctica, escrita por quienes hacemos Coworky, no asesoramiento jurídico. Resume el marco general y señala dónde hay dudas. Si vas a montar algo a gran escala, como una campaña automatizada o una base de datos grande, consúltalo antes con un abogado o con tu gestoría.

Tres leyes, tres cosas distintas

Buena parte de la confusión viene de mezclar normas que cubren cosas diferentes. Las que importan aquí son tres:

• La LSSI (Ley 34/2002 de servicios de la sociedad de la información) regula las comunicaciones comerciales por medios electrónicos: el email, pero también los SMS, WhatsApp y cualquier equivalente. Su artículo 21 es el que prohíbe enviarlas sin permiso.
• La Ley General de Telecomunicaciones (Ley 11/2022) regula las llamadas comerciales. Su artículo 66 reconoce el derecho a no recibir llamadas no deseadas con fines comerciales.
• El RGPD y la LOPDGDD (la ley orgánica española de protección de datos, 3/2018) regulan qué haces con los datos personales: guardarlos, usarlos, informar de ello y borrarlos. Se aplican a cualquier canal, también a la visita en persona, porque afectan a la lista que has guardado.

Que sean tres explica algo que desconcierta a mucha gente: puedes cumplir una y saltarte otra. Tener una base legal para guardar el teléfono de un autónomo (RGPD) no te da permiso para mandarle un email (LSSI). Son preguntas distintas y hay que contestarlas por separado.

Canal por canal

Este es el resumen. Debajo se explica cada fila.

Email: la regla más clara y la más incumplida

El artículo 21 de la LSSI prohíbe enviar comunicaciones publicitarias o promocionales por correo electrónico, o por otro medio electrónico equivalente, que el destinatario no haya solicitado o autorizado de forma expresa. Dicho sin rodeos: si no te ha pedido que le escribas, no le escribas.

Lo que más sorprende es que esto vale también entre empresas. La LSSI no distingue entre un particular y una sociedad, y la Agencia Española de Protección de Datos (AEPD) la ha aplicado a envíos dirigidos a empresas. «Es un email de empresa, no de una persona» no te protege.

Algunas ideas que circulan y que no funcionan:

• El email publicado en su web no es un permiso. Está ahí para que los clientes puedan escribir al negocio, no para recibir ofertas. Que Coworky o cualquier herramienta lo recoja de la web del negocio tampoco cambia nada.
• Un enlace para darse de baja no sustituye al consentimiento. Sirve para que quien ya te ha dado permiso pueda retirarlo, pero no legitima el primer mensaje.
• Mandar solo uno tampoco vale. La prohibición es de la comunicación no solicitada, no de la insistencia.
• La excepción del cliente existente no es tuya. La ley permite escribir sin permiso expreso a quien ya es cliente tuyo, ofreciéndole productos o servicios similares a los que contrató, y con una forma sencilla de oponerse en cada mensaje. Alguien a quien aún no has vendido nada no entra aquí.

En cuanto a las consecuencias, la propia LSSI clasifica estos envíos como infracción leve, con multas de hasta 30.000 euros, y como grave cuando son masivos o se envían más de tres comunicaciones en un año al mismo destinatario, con multas que pueden llegar a 150.000 euros. Las sanciones que se imponen a negocios pequeños suelen ser menores, pero el problema no es solo la multa: es el expediente, el tiempo y lo que dice de ti que el primer contacto con un posible cliente sea una infracción.

Un caso intermedio es el formulario de contacto de su web. Si lo usas para colar una oferta, estás enviándole un mensaje comercial por un medio electrónico. No hay una regla expresa para ese supuesto, pero la lectura prudente es tratarlo como un email.

WhatsApp, SMS y mensajes directos

La ley habla de «otro medio de comunicación electrónica equivalente», y ahí caben los SMS, WhatsApp, Telegram y los mensajes directos de Instagram o Facebook. La AEPD ha sancionado mensajes comerciales enviados por WhatsApp sin consentimiento, así que no es una laguna que se pueda aprovechar.

Mucha gente piensa que como el número de WhatsApp es el que el negocio publica para atender a sus clientes, ya vale. No vale por la misma razón que el email: ese número está ahí para que lo usen los clientes.

Las solicitudes de conexión en LinkedIn con un mensaje de venta pegado son menos claras. No hay una doctrina específica, pero lo prudente es considerar que, si el mensaje es comercial y no lo han pedido, cuenta como el resto.

Teléfono: la zona gris

Aquí la norma es distinta y menos tajante. El artículo 66 de la Ley General de Telecomunicaciones reconoce el derecho a no recibir llamadas no deseadas con fines comerciales, salvo que haya consentimiento previo o que la llamada pueda ampararse en otra base legal del RGPD. La AEPD publicó en 2023 su Circular 1/2023 para aclarar cómo se aplica.

En la práctica, llamar a alguien que no ha consentido solo es posible si puedes defender que tienes un interés legítimo que no pesa menos que el derecho de esa persona a que la dejen tranquila. Es una valoración que haces tú, y es la que puede acabar discutiéndose si alguien se queja. No hay una respuesta única, y por eso es zona gris. Lo que sí ayuda a defenderla es llamar de una forma que no moleste y que tenga sentido:

• Llama al teléfono que el negocio publica, en horario comercial y no a su móvil personal.
• Ten un motivo concreto para llamar a ese negocio y dilo en la primera frase: «Te llamo porque he visto que vuestra web no se ve bien en el móvil». Una llamada genérica a todo un polígono es más difícil de defender.
• Pregunta si es buen momento y, si te dicen que no quieren, apunta que no deben recibir más llamadas tuyas y respétalo.
• Si hay autónomos en tu lista, consulta antes la Lista Robinson. El artículo 23 de la LOPDGDD obliga a consultar los sistemas de exclusión publicitaria antes de hacer comunicaciones de marketing directo, y a no tratar los datos de quien se haya opuesto. Además de la Lista Robinson hay un segundo sistema aprobado por la AEPD, así que mira en su web la relación de sistemas vigentes.

Visita en persona: la vía que casi nadie aprovecha

Ninguna de las tres normas prohíbe entrar en un negocio y presentarte. Es el único canal en el que no hace falta ningún permiso previo, y con los negocios de barrio suele ser además el que mejor funciona: el dueño te ve la cara, entiende en diez segundos quién eres y puede decirte que sí o que no en el momento.

Hay que ir con tacto. Elige la hora más tranquila (a media mañana en un comercio, entre servicios en hostelería), preséntate con una frase, ten claro qué le propones y acepta un «ahora no» con una sonrisa. Si te dicen que no, te vas y lo apuntas. El RGPD solo entra en juego por lo que anotes después.

Carta postal

Es el canal que menos se usa y el que menos problemas legales plantea, porque la LSSI no se aplica al correo en papel. Sí siguen aplicándose el RGPD y los sistemas de exclusión. Una carta breve, personalizada, con algo concreto que has visto en su negocio («tu web tarda siete segundos en abrirse en el móvil») y una frase para que puedan pedir no recibir más, tiene mejor respuesta de la que se espera. Eso sí, cuesta más y tarda más que un email, que es justo por lo que pocos la usan.

Qué pasa con los datos de tu lista

Aunque contactes por un canal permitido, la lista que has hecho tiene sus propias reglas. El RGPD solo protege a las personas, no a las sociedades, y eso crea tres casos:

• Una sociedad (SL, SA). Los datos del propio negocio, como su razón social o su teléfono genérico, no son datos personales. Los de las personas concretas que trabajan en ella, como el nombre del gerente o su email corporativo, sí lo son.
• Un autónomo. Su nombre, su teléfono y el nombre de su negocio, que suele ser su nombre propio, son datos personales. El artículo 19 de la LOPDGDD presume lícito tratar los datos de contacto de empresarios individuales cuando se refieren a ellos solo como profesionales y para relacionarse con ellos en esa condición. Esa presunción tiene un alcance limitado: no cubre cualquier cosa que quieras hacer con esos datos.
• Una persona de contacto. Si apuntas el nombre y el móvil de la encargada de un restaurante, son datos personales aunque el restaurante sea una sociedad.

Para guardarlos con una base legal razonable, lo habitual en la prospección comercial es el interés legítimo. Eso te obliga a ser proporcionado y a cumplir unas obligaciones básicas que casi nadie cumple:

1. Informar. Si los datos no te los ha dado la propia persona, el artículo 14 del RGPD exige decirle quién eres, para qué los tratas, de dónde los has sacado y cómo ejercer sus derechos. Hay que hacerlo en el primer contacto y, en todo caso, antes de un mes. En una visita o una llamada basta con una frase y con ofrecer más información si la piden.
2. Guardar lo mínimo. Nombre del negocio, el teléfono que publica, el motivo por el que lo contactas, la fecha y el resultado. No hace falta nada más.
3. Atender el «no». Si alguien se opone o pide que borres sus datos, hazlo. Un detalle práctico: conviene mantener una lista mínima propia de «no contactar» para no volver a molestar a nadie por error. Su finalidad es precisamente respetar la oposición, y la propia lógica de las listas de exclusión va en esa dirección.
4. Borrar lo que ya no necesitas. Una lista de hace tres años sin ningún contacto no se guarda «por si acaso».

De dónde sacas los datos importa. Los de Google Maps tienen sus propias condiciones de uso, que prohíben guardar su contenido fuera de sus servicios (por eso Coworky solo conserva de cada ficha el identificador). Y las bases de datos que se compran «con emails verificados» son el caso más arriesgado: no sabes de dónde salieron los datos ni si alguien dio permiso para usarlos, y la responsabilidad es tuya, no del vendedor.

Cómo conseguir permiso y que quede registrado

Hasta aquí, lo que no se puede. Lo que sí se puede es lo más útil: convertir el contacto en frío en un contacto autorizado. La LSSI no prohíbe escribir a quien te ha dicho que lo hagas. Lo que prohíbe es el primer mensaje no pedido.

Así que la secuencia que funciona, y que es legal, tiene dos tiempos. Primero visitas o llamas, y en esa conversación, antes de colgar o de salir por la puerta, preguntas algo así:

«He visto un par de cosas en vuestra web que se pueden arreglar sin rehacerla. ¿Te parece bien que te las mande por WhatsApp o por email para que las mires con calma?»

Si te dicen que sí, ya tienes una autorización expresa para ese canal y para ese asunto. Y entonces sí puedes escribir:

«Hola, Marta, soy Álvaro, el que ha pasado esta mañana por la tienda. Como quedamos, te dejo aquí lo que te comentaba de la web. Si prefieres que no te escriba más, dímelo y no lo haré.»

Dos cosas hacen que esto sirva de verdad y no sea solo una fórmula:

• Apúntalo. Si alguien te pregunta algún día de dónde sacaste su contacto, tienes que poder demostrar que te lo pidió. Basta con una línea en tu cuaderno o en tu CRM: fecha, canal por el que se dio el permiso y qué aceptó recibir.
• Escribe solo de lo que te autorizaron. Que te dejen mandar una propuesta no significa que puedas añadirlos a una lista de novedades.

Hay otras formas de que sea el negocio quien dé el primer paso, y funcionan mejor de lo que parece cuando se venden servicios locales: tener una web propia que explique qué haces y ofrezca algo útil (una guía, un análisis gratuito de su web), cuidar tu ficha de Google, ir a los encuentros de la asociación de comerciantes de la zona y pedir recomendaciones a los clientes que ya tienes. Ninguna de estas vías te da cuarenta contactos en una tarde, pero los contactos que llegan así vienen con el permiso incluido.

Qué cambia cuando prospectas con Coworky

Coworky no cambia la ley, pero sí hace más fácil trabajar dentro de ella. Buscas un sector en un municipio o un código postal, la herramienta te trae hasta 20 negocios, revisa la web de los que eliges y te da una puntuación de oportunidad y, si quieres, un informe con el guion de la primera llamada. Tres detalles importan para este asunto:

• No envía emails ni mensajes por ti. Es una decisión de diseño: la herramienta te dice a quién visitar o llamar primero y qué decirle, y el envío lo haces tú cuando hay permiso.
• Recoge los contactos que el negocio publica en su web, y ya hemos visto que eso no es un permiso para escribirle. Úsalos para llamar o para saber a quién preguntar al entrar, no para una campaña.
• Cada contacto lleva un motivo concreto, basado en lo que se ha comprobado de su web. Eso hace que tu llamada o tu visita tenga sentido para esa persona, y un contacto concreto, proporcionado y motivado es mucho más defendible que una llamada a todo un directorio. No es una garantía legal, pero va en la dirección correcta.

Puedes probarlo gratis, sin tarjeta, con 3 búsquedas y 10 análisis. Los planes de pago empiezan en 19 € al mes más IVA. Tienes los detalles en la página de precios, y para preparar lo que vas a decir, el guion de llamada en frío es gratuito.

Los errores que más se repiten

Pensar que lo que está publicado es de uso libre. Un teléfono, un email o un perfil que alguien ha publicado para que sus clientes lo usen no es una invitación a recibir publicidad.

Creer que un enlace de baja arregla todo. Es obligatorio en los mensajes que sí puedes enviar, pero no convierte en lícito el primero.

Pensar que un negocio pequeño pasa desapercibido. Basta con que un solo destinatario se queje a la AEPD para que se abra un expediente, y un autónomo que recibe un mensaje comercial en el móvil de su negocio tiene motivos de sobra para hacerlo.

Comprar una base de datos y fiarse del vendedor. Si el vendedor te dice que «cumple el RGPD», la que responde ante la AEPD eres tú cuando la usas.

Guardar los datos para siempre. Una lista antigua sin ningún contacto reciente es un riesgo, no un activo.

Confiar en que «todos lo hacen». Es posible que sea cierto, pero eso no cambia lo que pasa cuando alguien se queja.

Antes de tu primer contacto

Una comprobación rápida que evita casi todos los problemas:

1. ¿Es una visita, una llamada o una carta? Si es un email o un mensaje, ¿tienes permiso expreso de esa persona?
2. ¿Tienes un motivo concreto para contactar con ese negocio y puedes explicarlo en una frase?
3. Si hay autónomos en la lista, ¿has consultado la Lista Robinson?
4. ¿Sabes qué le vas a decir sobre quién eres y de dónde has sacado su contacto?
5. ¿Tienes un sitio donde apuntar el resultado y el permiso, y una lista de «no contactar»?
6. ¿Vas a guardar solo lo necesario?

Si contestas que sí a todo, estás en una posición muy sólida. Y si lo que buscas es un método completo para encontrar y contactar negocios, empieza por la guía para conseguir clientes entre los negocios locales y, si ya sabes con quién hablar, revisa cuánto cobrar por una web y cómo saber si un negocio necesita una web nueva.

Preguntas frecuentes

¿Puedo enviar un email comercial a una empresa que no conozco?

No sin que antes lo haya solicitado o autorizado. El artículo 21 de la LSSI prohíbe las comunicaciones comerciales electrónicas no solicitadas y se aplica también cuando el destinatario es una empresa. La excepción es que ya sea cliente tuyo y le ofrezcas productos o servicios similares a los que contrató.

¿Puedo escribir al email info@ que aparece en la web de un negocio?

Si el mensaje es comercial, no. Que el email esté publicado en su web no es un consentimiento para recibir publicidad: está ahí para que sus clientes puedan contactar. Lo correcto es pedir permiso antes, en persona o por teléfono.

¿Un enlace para darse de baja me permite enviar el primer mensaje?

No. El enlace de baja es obligatorio en los mensajes comerciales que se envían con permiso, pero no sustituye al consentimiento. Sin permiso previo, el primer mensaje ya es una infracción aunque lleve el enlace.

¿Es legal llamar a un autónomo para ofrecerle mis servicios?

Es una zona gris. La Ley General de Telecomunicaciones exige consentimiento previo u otra base legal del RGPD para las llamadas comerciales, y la AEPD ha publicado criterios en su Circular 1/2023. En la práctica, llamar al teléfono que el negocio publica, con un motivo concreto y de forma respetuosa, es defendible como interés legítimo, pero es una valoración que debes poder justificar. Consulta antes la Lista Robinson y no insistas si te dicen que no.

¿Puedo mandar un mensaje por LinkedIn, Instagram o WhatsApp?

La lectura prudente es que cuentan como comunicaciones electrónicas equivalentes al email, así que si el mensaje es comercial y no lo han pedido, el artículo 21 de la LSSI lo prohíbe. Lo seguro es pedir permiso antes en una conversación y escribir después solo de lo que te han autorizado.

¿Qué multa puede caer por enviar emails comerciales sin permiso?

Según la LSSI, la infracción es leve y puede sancionarse con hasta 30.000 euros. Es grave, con multas que pueden llegar a 150.000 euros, si el envío es masivo o si se mandan más de tres comunicaciones al año al mismo destinatario. La cuantía concreta depende de cada caso.

¿Qué es la Lista Robinson y tengo que consultarla?

Es un sistema de exclusión publicitaria al que se apuntan las personas que no quieren recibir marketing. El artículo 23 de la LOPDGDD obliga a consultar estos sistemas antes de hacer marketing directo y a no tratar los datos de quienes se hayan opuesto. Importa sobre todo si en tu lista hay autónomos, que son personas físicas. La AEPD ha aprobado además un segundo sistema, así que revisa en su web la relación vigente.

¿Puedo visitar un negocio sin avisar?

Sí. Ninguna de estas normas prohíbe entrar en un negocio a presentarte. Elige una hora tranquila, preséntate con una frase y acepta un «no» sin insistir. El RGPD solo se aplica a los datos que apuntes después.