Prospección B2B por correo electrónico: qué está permitido en Francia, Alemania, España e Italia

En Francia, un correo electrónico de prospección puede enviarse a un profesional sin su consentimiento previo, siempre que guarde relación con su actividad, le informe y le permita oponerse de forma sencilla. Alemania e Italia, por el contrario, exigen un consentimiento previo, incluso entre empresas; también España, según su autoridad de protección de datos, aunque esta interpretación se discute en el caso de las direcciones genéricas. Fuera de la UE, el Reino Unido y Estados Unidos son más permisivos, y Canadá, más estricto.

Este artículo ofrece información general, actualizada a 13 de octubre de 2026. No constituye asesoramiento jurídico.

¿Qué ley se aplica cuando se escribe a una empresa extranjera?

El reflejo de pensar «envío desde Francia, así que se aplica el derecho francés» es arriesgado. La directiva europea sobre el comercio electrónico excluye del principio del país de origen la admisibilidad de las comunicaciones comerciales no solicitadas por correo electrónico (Directiva 2000/31/CE, anexo). La hipótesis prudente consiste, por tanto, en aplicar la norma del país del destinatario. Canadá lo prevé expresamente: su ley se aplica a los mensajes consultados desde Canadá (Mystrika).

Hay dos nociones recurrentes. El régimen de oposición (opt-out) permite el envío mientras el destinatario no se haya opuesto. El régimen de consentimiento (opt-in) exige un acuerdo previo, libre y verificable.

¿Qué permite Francia?

La CNIL admite la prospección B2B sobre la base del interés legítimo cuando el mensaje guarda relación con la profesión del destinatario, este ha sido informado y puede oponerse; cada mensaje debe identificar al remitente y ofrecer un medio sencillo de rechazar los envíos posteriores. Las direcciones genéricas de personas jurídicas, como contact@ o info@, no están sujetas a estas normas (CNIL, 10 de junio de 2026).

Cuando las direcciones proceden de fuentes públicas, la fuente debe indicarse, a más tardar, en la primera comunicación (CNIL, 30 de abril de 2020). La propia recopilación está controlada: el 5 de diciembre de 2024, la CNIL impuso una multa de 240.000 € a KASPR, que recopilaba los datos de contacto de miembros de LinkedIn que habían restringido su visibilidad y los conservaba cinco años, en una base de unos 160 millones de contactos (CNIL, 19 de diciembre de 2024). Para la extracción automatizada de páginas web (scraping), la CNIL pide, en particular, respetar los archivos robots.txt y los CAPTCHA (CNIL, 19 de junio de 2025).

¿Por qué Alemania es la más estricta?

El artículo 7 de la ley contra la competencia desleal (UWG) califica de publicidad molesta toda publicidad por correo electrónico enviada sin consentimiento previo, expreso y demostrable, tanto entre empresas como dirigida a consumidores; un consentimiento presunto no basta (IHK). La única excepción se refiere a los clientes existentes, para productos similares (IT-Recht Kanzlei).

Quedan abiertos dos canales. La llamada telefónica B2B se admite con consentimiento presunto si existe un vínculo concreto con la actividad de la empresa a la que se llama; la mera presencia en un directorio no basta. El correo postal nominativo está, en principio, autorizado (IHK). El riesgo principal es civil: competidores o asociaciones pueden ejercer acciones de cesación (IT-Recht Kanzlei).

¿Qué dicen Italia y España?

En Italia, el artículo 130 del código de privacidad exige el consentimiento previo del destinatario. El Garante precisó que esta obligación se aplica sea cual sea su naturaleza jurídica, persona física o jurídica (Garante, 7 de mayo de 2015): una dirección info@ no es una excepción.

En España, el artículo 21 de la LSSI prohíbe los correos electrónicos comerciales que no hayan sido solicitados o expresamente autorizados por sus destinatarios, salvo relación contractual previa referida a productos similares (BOE). La AEPD aplica esta norma a las personas jurídicas (AEPD, E/01415/2017). Una guía de un proveedor de software publicada en mayo de 2026 sostiene lo contrario para las direcciones genéricas o vinculadas a un puesto (Overloop): esta postura no vincula a la autoridad. Un envío no conforme es una infracción leve, de hasta 30.000 €; un envío masivo, o más de tres mensajes al mismo destinatario en un año, pasa a ser una infracción grave, de 30.001 a 150.000 € (LSSI, arts. 38 y 39).

¿Y fuera de la UE: Reino Unido, Estados Unidos, Canadá?

En el Reino Unido, el reglamento PECR permite escribir sin consentimiento a los «abonados que son personas jurídicas»: sociedades, sociedades de personas escocesas, LLP y administraciones públicas. Los empresarios individuales y determinadas sociedades de personas reciben el mismo trato que los particulares. El remitente debe identificarse y facilitar una dirección válida para darse de baja (ICO). Desde la ley Data (Use and Access) Act 2025, cuyo grueso entró en vigor el 5 de febrero de 2026, las multas PECR pueden alcanzar 17,5 M£ o el 4 % de la cifra de negocio mundial (Harper James, marzo de 2026).

En Estados Unidos, la ley CAN-SPAM no prevé ninguna excepción B2B. Exige un encabezado exacto, la indicación de su carácter publicitario, una dirección postal válida y la tramitación de las bajas en un plazo de 10 días hábiles, con una sanción que puede alcanzar 53.088 $ por cada correo electrónico no conforme (FTC).

En Canadá, la ley antispam (LCAP) exige un consentimiento expreso o tácito. El consentimiento tácito puede derivarse de una dirección publicada de forma bien visible, sin indicación de rechazo, si el mensaje se refiere a la función del destinatario (CRTC). Las sanciones administrativas llegan hasta 10 M$ CA por infracción para una empresa (Mystrika).

¿Qué régimen se aplica, país por país?

¿Qué normas de entregabilidad se suman a las legales?

Un envío legal puede quedar invisible. Google pide a todos los remitentes mantener una tasa de spam inferior al 0,3 % en Postmaster Tools y recomienda no superar el 0,1 %. Por encima de 5.000 mensajes al día hacia Gmail, exige además SPF, DKIM, DMARC y la baja con un solo clic (Google).

Desde el 5 de mayo de 2025, Microsoft obliga a los dominios que envían más de 5.000 mensajes al día a Outlook.com, Hotmail y Live a publicar SPF, DKIM y DMARC; los mensajes no conformes van primero a la carpeta de correo no deseado (Microsoft, 2 de abril de 2025). Un mensaje segmentado, breve y útil limita las denuncias como spam, que afectan a todo el dominio de envío.

¿Cómo crear una base de datos de prospección sin riesgos?

Los datos de empresa (razón social, actividad, sitio web) no son datos personales; los nombres y las direcciones nominativas sí lo son. Tres reglas reducen el riesgo:

1. Elegir fuentes reutilizables. Las condiciones de uso de un sitio web pueden prohibir la extracción, incluso de una base de datos no protegida (TJUE, 15 de enero de 2015). LinkedIn prohíbe las herramientas automatizadas de extracción y envío (LinkedIn).
2. Informar y limitar la conservación. En España, la AEPD impuso en 2025 una sanción de 1,8 M€ a Informa D&B por haber tratado sin base jurídica ni información los datos de 1,6 millones de empresarios individuales procedentes de un censo público (PPC Land).
3. Mantener una lista de oposición común a todas las campañas, aplicada en cada país.

Francia sigue siendo el único de los cuatro países en el que el envío B2B sin consentimiento previo está claramente admitido. En Alemania, Italia y España, el primer contacto pasa por otros canales: ferias, correo postal, contenidos que llevan al cliente potencial a dar su consentimiento.