Hay dos respuestas estándar a si usted puede contactar a una empresa en Europa sin preguntar antes, y las dos están mal. La primera dice que el RGPD prohibió la prospección en frío en 2018. La segunda dice que el contacto entre empresas quedó exceptuado, así que envíe lo que quiera. La posición real está en medio, se entiende si uno lee los instrumentos en el orden correcto, y el interés legítimo es la bisagra sobre la que gira. Lo que sigue es nuestro entendimiento de trabajo, escrito porque construimos decisiones de producto sobre él.
01Qué regula el RGPD y qué no
El RGPD regula datos personales: información relativa a una persona física identificada o identificable. El considerando 14 lo dice directamente y excluye los datos sobre personas jurídicas. Una empresa no es una persona física, y no queda protegida por el RGPD por el solo hecho de existir.
Así que una dirección genérica de empresa carga una pretensión de dato personal más débil que la dirección de trabajo de una persona con nombre. Compare las dos:
- Un formulario de contacto sin destinatario nombrado, o una dirección de función como info@ o ventas@ en una empresa de cien personas, identifica una organización y una función. No hay ninguna persona en particular del otro lado, y muchas veces no hay una estable.
- [email protected] es un dato personal. Identifica a un individuo, es suyo, y usarlo con fines de trabajo no cambia nada. Tanto la ICO como el CEPD tratan los datos de contacto laboral de una persona identificable como dentro del alcance.
Más débil no es nula, y aquí es donde la gente se pasa de la raya. Una dirección de función igual puede identificar a una persona: info@ en una consultoría de dos personas es un solo humano con nombre, y varios reguladores lo analizan así. Y si usted investigó a alguien o personalizó con cualquier cosa sobre esa persona, trató datos personales para producir el mensaje incluso cuando el destino es genérico. El sobre no decide el análisis. Lo decide el tratamiento.
La publicación también importa, pero menos de lo que la gente espera. Una empresa que publica una página de contacto ha invitado al contacto por esa vía, lo cual es un insumo real para la prueba de expectativas razonables de más abajo. No es consentimiento, y tratarlo como consentimiento es el error más común aquí. Una puerta, en nuestro vocabulario, es una vía de contacto pública, y preferimos formularios sin destinatario nombrado. No adivinamos direcciones de trabajo individuales a partir de un patrón de nombres: práctica común, descartada en lugar de aplazada.
02El interés legítimo del RGPD es una base legal, no un eslogan
El artículo 6(1)(f) hace del interés legítimo una base legal, y el considerando 47 dice que la mercadotecnia directa puede considerarse realizada por uno. Ese considerando se cita todo el tiempo y casi siempre se lee mal. Dice puede considerarse: permiso para correr la prueba, no el resultado. El interés legítimo para la mercadotecnia B2B es real y condicional, y la condición es una evaluación documentada y no una afirmación.
Tiene tres partes, y las tres tienen que sostenerse:
- Finalidad. ¿Existe un interés real, específico y presente? "Hacer crecer el negocio" no pasa, porque describe cualquier cosa que una empresa pudiera hacer. "Contactar a empresas que publican una página de contacto para desarrolladores y ya operan infraestructura de scraping, sobre un producto de scraping" es lo bastante específico como para poder discutirse, que es lo que lo vuelve una finalidad.
- Necesidad. ¿El tratamiento hace falta de verdad para esa finalidad, y algo menos intrusivo lo llevaría al mismo lugar? Si un directorio publicado, una relación existente o un canal entrante servirían, la ponderación no lo rescata. La necesidad es una restricción real, no una casilla.
- Ponderación. Pese su interés contra los derechos, las libertades y las expectativas razonables de quien recibe. La pertinencia carga casi todo el peso. Un mensaje sobre un problema del que quien recibe ha escrito públicamente, enviado a un canal que esa persona publicó, se ubica muy distinto del mismo texto enviado a diez mil direcciones con la esperanza de que algunas aterricen.
La palabra que hace el trabajo es documentada. Escriba la evaluación antes de la campaña, conserve la versión, y anote qué cambió cuando cambió la segmentación. Si un regulador o alguien que recibió el mensaje pregunta, ese documento es la evidencia. Uno producido después de que llegó la queja no es una evaluación, es una defensa, y se lee como tal.
También carga una obligación que la gente se salta. El artículo 14 cubre los datos que usted no obtuvo de la propia persona, y le exige decirle qué tiene, para qué y de dónde salió, a más tardar cuando haga el primer contacto. Así que el primer mensaje tiene que decir de dónde salieron los datos. Casi ninguna prospección en frío lo hace.
03ePrivacy es la regla que de verdad muerde
Aquí está la parte que se salta, y la parte que genera la sanción. El RGPD le da una base legal para tratar los datos. La Directiva ePrivacy regula el acto mismo de la mercadotecnia electrónica, un instrumento aparte con requisitos aparte, así que usted puede satisfacer el artículo 6(1)(f) por completo y aun así tener prohibido enviar.
El artículo 13 fija el consentimiento previo para la mercadotecnia electrónica no solicitada dirigida a personas físicas. El artículo 13(5) luego entrega a los Estados miembros la posición sobre las personas jurídicas, exigiendo únicamente que sus intereses queden suficientemente protegidos. Esa sola remisión es la razón por la que aquí no hay una respuesta europea, solo veintisiete nacionales, y como una directiva se transpone en lugar de aplicarse directamente, esas implementaciones divergieron de forma permanente.
Según las leemos hoy, y este mapa se revisa en lugar de darse por sentado:
- Alemania exige consentimiento previo expreso para la publicidad por correo electrónico bajo el artículo 7 de la UWG, sin excepción empresarial. Los tribunales alemanes han sido consistentes: un correo publicitario no solicitado a un buzón de empresa es una molestia irrazonable, y que quien recibe sea un negocio no lo ayuda.
- Italia exige consentimiento previo para la mercadotecnia electrónica bajo el artículo 130 del Codice Privacy, y el Garante lo ha aplicado a destinatarios empresariales.
- Austria adopta la misma línea bajo su ley de telecomunicaciones. Consentimiento primero, y ser una empresa no lo cambia.
- Francia distingue el B2B de forma explícita. La posición de la CNIL es que contactar a un profesional en una dirección profesional sobre su cargo no requiere consentimiento previo, siempre que se le informe al momento de la recolección y pueda oponerse.
- Irlanda, y buena parte del resto de la UE, tratan a los suscriptores corporativos bajo un régimen de exclusión voluntaria: envíe hasta que se opongan, sujeto a los deberes del RGPD de arriba.
Así que la pregunta no es "¿esto cumple con el RGPD?", que a solas es casi vacía. Es "¿qué implementación nacional aplica a quien recibe?", decidido por dónde está esa persona y no por dónde está usted. Una campaña lícita hacia Dublín e ilícita hacia Múnich es el caso normal, no un caso extremo.
Knockwire excluye por defecto las jurisdicciones de consentimiento previo. Una lectura de Alemania, Austria o Italia queda rechazada en el filtro de jurisdicción, el motivo se escribe en el momento de la decisión, y aparece en el registro de rechazos donde cualquiera puede contarlo. El operador puede volver a encender un país, que es justamente el punto: hacerlo es un acto deliberado con una persona con nombre detrás, tomado bajo su propia asesoría legal. Nunca es el ajuste por defecto y nunca ocurre en silencio.
Una nota honesta sobre el alcance. Un envío por el propio formulario de contacto público de una empresa no es el caso clásico del artículo 13, que apunta al correo electrónico y a las llamadas automatizadas, y en general se analiza bajo el RGPD y las reglas nacionales de competencia desleal. Esa es parte de la razón por la que entregamos así. No es un resquicio y no sobreviviría al uso a volumen. El envío de correo no está construido: está programado para el cuarto trimestre de 2026, así que la lectura de arriba sobre el artículo 13 y el artículo 7 de la UWG es nosotros resolviendo reglas antes de necesitarlas, no describiendo lo que hacemos hoy.
04La posición del Reino Unido: PECR y el suscriptor corporativo
El Reino Unido conservó el PECR después del Brexit, y el PECR traza una línea que el RGPD no traza: suscriptores individuales frente a suscriptores corporativos. El reglamento 22, la regla de consentimiento para el correo de mercadotecnia no solicitado, aplica a los suscriptores individuales. Las sociedades de responsabilidad limitada, las LLP, las sociedades escocesas y los organismos públicos son suscriptores corporativos, y el reglamento 22 no los alcanza. El correo de mercadotecnia a un buzón de una sociedad limitada no necesita consentimiento bajo PECR. Esa parte de la historia de la excepción es cierta.
La mitad que no es cierta es la mitad que genera las multas. El RGPD británico sigue aplicando a cualquier dato personal en ese mensaje o detrás de él, así que usted necesita una base legal, debe el aviso del artículo 14, y el derecho de oposición se mantiene. El reglamento 23 aplica sea cual sea el tipo de suscriptor: no oculte quién envía, y dé una dirección válida para darse de baja. "El B2B está exento" es una afirmación sobre un reglamento, leída como si cubriera todos.
Hay una trampa en la clasificación misma. Los trabajadores independientes y, en Inglaterra, Gales e Irlanda del Norte, las sociedades personales sin constituir son suscriptores individuales bajo PECR, y desde fuera se ven exactamente como empresas pequeñas: un sitio web, una marca, una página de equipo, ninguna constitución. Eso lo resuelve Companies House, no el sitio web. No intentamos esa clasificación de forma automática. Una lectura del Reino Unido que no podamos ubicar con confianza como constituida queda rechazada en lugar de adivinada, y el motivo registrado nombra la evidencia que falta.
05Oposición, exclusión y qué significa de inmediato
El artículo 21 otorga un derecho absoluto a oponerse a la mercadotecnia directa, y absoluto es la palabra correcta. Ninguna ponderación, ninguna evaluación, ningún interés legítimo le sobrevive. Alguien dice que pare, y usted para, de forma permanente. Lo único que conserva es el hecho de la oposición, porque lo necesita para seguir respetándola. Eso es la lista de exclusión: el único lugar donde "conservamos sus datos porque usted nos dijo que nos fuéramos" es la respuesta correcta y no una excusa.
Casi todas las implementaciones logran lo de inmediato y fallan en lo permanente. Una lista de exclusión que se sostiene en la práctica tiene propiedades que vale la pena enunciar:
- Para todo el cliente y no por campaña. Una oposición a una campaña es una oposición, no una opinión sobre esa campaña.
- Indexada por el dominio además de por la dirección, para que la salida de quien se opuso no signifique que su sucesor reciba el mensaje que fue rechazado.
- Verificada antes de escribir el borrador, no antes del envío, para que a ninguna persona se le pida aprobar un mensaje que legalmente no podría salir.
- Permanente, sin vencimiento, sin ventana de reactivación, y sin suponer que el silencio desde entonces significa que la postura cambió.
- Resistente al redescubrimiento. La fuente que los mostró el trimestre pasado los volverá a mostrar, y el registro debería enseñar el mismo motivo de rechazo cada vez.
Ponga a prueba ese último punto en cualquier herramienta que evalúe, la nuestra incluida. Si una empresa excluida puede volver a entrar como candidata nueva bajo un nombre ligeramente distinto, la exclusión es un filtro sobre el envío y no sobre el proceso.