Cookies, email y perfilado: qué exige la ley antes de cada campaña.
Los banners de cookies y el email marketing tienen su propia ley, la LSSI, y la AEPD la aplica: 10.000 € a una agencia por enviar publicidad a quien estaba en la Lista Robinson (PS/00415/2024). Súmale el perfilado, las decisiones automatizadas (Art. 22 RGPD), las herramientas que envían datos fuera de la UE y tu doble rol —responsable de lo tuyo, encargado de lo de tus clientes—. Para cada papel, qué te obliga y qué no, con su artículo; y los documentos, preparados con los datos de tu agencia para que los revises.
Ficha en preparación. Todavía no tiene todo lo que pedimos a una ficha completa: cinco casos de sanción comprobados, cinco situaciones, cinco plantillas y la base sectorial del copiloto. Los casos que ves están comprobados uno a uno en su resolución de aepd.es.
- 3 preguntas
- sin registro
- sin tarjeta
Situación por situación, con la norma que la impone.
Esto es lo propio del sector. Lo que te toca por tu tamaño o por lo que haces (web, cámaras, datos de salud…) lo ves en «¿Qué me aplica?», con este sector ya marcado.
-
Situación 01
Banner de cookies conforme
Qué puede costar si se incumpleCookies sin consentimiento válido: infracción leve del art. 22.2 LSSI (art. 38.4.g), multa de hasta 30.000 € (art. 39.1.c)
- El problema
- Montas webs y campañas para clientes. ¿Cómo debe ser el banner de cookies para no exponerte ni exponer a tu cliente?
- Qué exige la normativa
- Rechazar tan fácil como aceptar · no cargar cookies antes del consentimiento · información granular · Guía AEPD Cookies.
- Cómo lo resuelve AIM ÆGIS
- El agente genera el banner y la política de cookies conformes a la Guía de la AEPD, con la configuración correcta del consentimiento previo.
-
Situación 02
Campañas de email y captación
Qué puede costar si se incumpleCasos reales: 10.000 € a una agencia por enviar publicidad por correo a quien estaba en la Lista Robinson (PS/00415/2024) y 10.000 € a otra por llamar a un número inscrito en ella (PS/00277/2022)
- El problema
- Lanzas campañas de email y formularios de captación para clientes. ¿Qué consentimiento necesitas? ¿Puedes usar la base del cliente?
- Qué exige la normativa
- Consentimiento para comunicaciones comerciales (Art. 21 LSSI-CE) · información en formularios · baja efectiva · base del cliente solo con su garantía de licitud.
- Cómo lo resuelve AIM ÆGIS
- Textos de consentimiento para formularios, política de baja y el acuerdo con el cliente sobre la licitud de su base de datos.
-
Situación 03
Herramientas que envían datos fuera de la UE
Qué puede costar si se incumpleTransferir datos fuera de la UE sin las garantías del capítulo V RGPD es infracción de sus arts. 44 a 49 (art. 83.5 RGPD: hasta 20 M€ o el 4 % del volumen de negocio anual, si es mayor)
- El problema
- Usas analítica, píxeles de redes y plataformas de email que están en EE. UU. ¿Es un problema? ¿Qué documentas?
- Qué exige la normativa
- Análisis de transferencia internacional (Cap. V RGPD) · marco de adecuación o garantías · información en la política de privacidad.
- Cómo lo resuelve AIM ÆGIS
- El agente inventaría tus herramientas, analiza cada transferencia y genera la documentación y la información al usuario.
-
Situación 04
Tu doble rol: responsable y encargado
Qué puede costar si se incumpleCaso real: 100.000 € a una agencia, encargada del tratamiento, que no devolvió los datos a su cliente al acabar el contrato (PS/00315/2020)
- El problema
- Eres responsable de tus propios datos, pero encargada de los de tus clientes. ¿Qué contratos y registros necesitas?
- Qué exige la normativa
- RAT como responsable · contratos Art. 28 con cada cliente como encargada · subencargados (herramientas) con autorización.
- Cómo lo resuelve AIM ÆGIS
- Tu RAT como responsable + los contratos Art. 28 con tus clientes + el registro de subencargados, todo conforme.
Los marcos del catálogo que cubren este sector, con su referencia oficial. Cada uno explica a quién obliga y desde cuándo.
Lo que puede costar no hacerlo.
Cuatro procedimientos de la AEPD contra agencias de marketing y publicidad, cada uno con su resolución enlazada
Importes que citan las resoluciones: de 10.000 € (PS/00415/2024) a 150.000 € (PS/00416/2023)
-
PS/00416/2023 · Beedigital
150.000 €Importe que cita el caso
Una empresa de servicios de marketing digital (Beedigital AI, S.A.) sufrió un acceso no autorizado e intencionado a sus sistemas que afectó a un tratamiento con unas 556.000 personas. La AEPD propuso 150.000 € por vulnerar la confidencialidad (art. 5.1.f RGPD); pagó 120.000 € el 24/01/2025, con la reducción por pago voluntario y sin reconocer su responsabilidad.
CausaAcceso no autorizado a los datos de sus clientes (art. 5.1.f RGPD)
-
PS/00315/2020 · Signallia Marketing Distribution
100.000 €Importe que cita el caso
La empresa que gestionaba los servicios de cuatro hoteles (Signallia Marketing Distribution, S.A.) se negó, al terminar el contrato, a devolverles sus datos y el acceso a sus propios servidores. La AEPD le impuso 100.000 € por incumplir el deber del encargado de devolver los datos (art. 28.3.g RGPD).
CausaEncargado que no devuelve los datos al acabar el contrato (art. 28.3.g RGPD)
-
PS/00415/2024 · AD735 Data Media Advertising
10.000 €Importe que cita el caso
Una empresa de publicidad (AD735 Data Media Advertising, S.L.) envió publicidad por correo electrónico a una persona inscrita desde 2020 en la Lista Robinson. La AEPD le impuso 10.000 € por comunicaciones comerciales sin consentimiento (art. 21 LSSI).
CausaPublicidad por correo a quien está en la Lista Robinson (art. 21 LSSI)
-
PS/00277/2022 · Tecnocube Marketing
10.000 €Importe que cita el caso
Desde líneas de una empresa de marketing (Tecnocube Marketing, S.L.) se hicieron llamadas comerciales a un móvil inscrito en la Lista Robinson desde 2018. La AEPD le impuso 10.000 € (art. 48.1.b de la Ley General de Telecomunicaciones, en relación con el art. 23.4 LOPDGDD).
CausaLlamadas comerciales a un número en la Lista Robinson (art. 48.1.b LGT y art. 23.4 LOPDGDD)
3 documentos, cada uno con su base legal.
Se generan a partir del caso de cada empresa: documentos editables para que los revises, con la norma que cumplen a la vista.
-
Banner y política de cookies conformes
Según la Guía de Cookies de la AEPD.
Base legal: Art. 22 LSSI-CE + Guía AEPDPDF + Word editable -
Contrato de encargado para clientes
La agencia como encargada del tratamiento.
Base legal: Art. 28 RGPDPDF + Word editable -
Análisis de transferencias de herramientas
Inventario y garantías del Cap. V.
Base legal: Cap. V RGPDPDF + Word editable
¿Llevas clientes de este sector? Ofréceselo con tu marca.
Cada cliente del sector ve qué le obliga y por qué, con su artículo; tú revisas lo que exige criterio profesional y lo facturas como servicio tuyo. Te enseñamos cómo, sin compromiso.
Miles de agencias de marketing, publicidad, social media y performance en España.
Lo que te toca a ti, en tres preguntas.
Tu sector ya viene marcado: di cuántas personas sois y qué haces, y verás cada obligación con su porqué y su norma.
- 3 preguntas
- sin registro
- sin tarjeta