Enviar SMS comerciales cumpliendo el RGPD y la LSSI no es complicado si sigues cuatro reglas: consentimiento acreditable, baja fácil y gratuita, horarios sensatos y datos bien custodiados. Esta guía explica lo que exige la ley española a cualquier empresa que envíe SMS masivos, WhatsApp o Telegram a clientes, y cómo SMSverifica te lo pone fácil.
Tres normas regulan la mensajería comercial a particulares en España:
Regula el tratamiento del dato personal: el número de teléfono de tu cliente. Exige base jurídica (consentimiento, contrato o interés legítimo), información transparente, seguridad y derechos del interesado (acceso, supresión, oposición).
Adapta el RGPD a España y añade reglas propias, como los sistemas de exclusión publicitaria (Lista Robinson): antes de una campaña a no clientes debes consultar esas listas de exclusión publicitaria.
La norma clave del envío: prohíbe las comunicaciones comerciales por SMS o email no solicitadas o no consentidas expresamente, con una única excepción: la relación contractual previa. Su incumplimiento es lo que sanciona la AEPD.
Regla de oro: comercial = consentimiento (o cliente previo) + baja fácil. Transaccional (aviso de pedido, código OTP, recordatorio de cita solicitada, aviso de fichaje) = ejecución del servicio, sin necesidad de consentimiento comercial. No mezcles ambos en el mismo mensaje.
El consentimiento es la base jurídica estrella del marketing por mensajería, y la que la AEPD examina primero cuando alguien denuncia.
Puedes enviar publicidad sin consentimiento expreso si se cumplen las tres condiciones a la vez: (1) obtuviste el teléfono en el marco de una venta o contrato previo, (2) la publicidad se refiere a productos o servicios similares a los contratados y (3) ofreces la posibilidad de oponerse en la recogida del dato y en cada mensaje. Si falla cualquiera de las tres, vuelves a necesitar consentimiento.
Además del RGPD y la LSSI, Meta exige opt-in previo para que una empresa inicie conversaciones de WhatsApp con plantillas, y en Telegram es el propio usuario quien debe iniciar la conversación con tu bot: técnicamente el opt-in va incorporado al canal. Aun así, informa siempre de qué tipo de mensajes enviarás y respeta las bajas. Más detalle en WhatsApp Business API y Telegram para empresas.
Todo mensaje comercial debe llevar una vía de baja sencilla y gratuita: un enlace de baja, una palabra clave de respuesta ("BAJA") o una dirección claramente indicada. Y la baja debe surtir efecto de inmediato: seguir enviando tras una solicitud de baja es de las conductas más sancionadas por la AEPD.
{BAJA}: cada destinatario se da de baja con un solo botón, queda en la lista de bajas de tu cuenta y las campañas no vuelven a escribirle, aunque reimportes el contacto. Las bajas que te lleguen por otra vía las anotas tú en esa lista.La normativa de consumidores impone a las llamadas comerciales la franja de 9:00 a 21:00 en días laborables. Para el SMS y el WhatsApp comercial no existe una franja legal estatal específica, pero la expectativa de la AEPD y la buena práctica del sector es aplicar la misma: enviar un SMS promocional a las 7:00 de un domingo es la manera más rápida de generar denuncias y bajas.
El RGPD exige limitación del plazo de conservación: guarda cada dato solo mientras sirva a su finalidad, y documenta los plazos.
| Dato | Plazo orientativo | Por qué |
|---|---|---|
| Prueba del consentimiento (opt-in) | Mientras envíes + prescripción de reclamaciones (hasta 3 años) | Acreditar la licitud del envío ante la AEPD |
| Registro de bajas (opt-out) | Indefinido como lista de supresión | Garantizar que no se vuelve a contactar |
| Historial de mensajes y estados de entrega | El necesario para facturación, soporte y prueba (definido en tu registro de actividades) | Prueba de qué se envió, cuándo y a quién |
| Registro de jornada (si usas avisos de fichaje) | 4 años (RDL 8/2019) | Obligación laboral específica del registro horario |
Plazos orientativos de carácter general: fija los tuyos en el registro de actividades de tratamiento con tu asesoría.
La AEPD publica regularmente resoluciones con multas de varios miles de euros por SMS comerciales sin consentimiento o sin vía de baja, a menudo iniciadas por una única denuncia de un particular. La forma barata de evitarlo: lista propia con opt-in acreditado, baja operativa y mensajes identificados.
Aviso: esta guía es información general actualizada a julio de 2026, no asesoramiento jurídico. Para casos concretos (sectores regulados, menores, datos sensibles), consulta con tu asesoría legal.
Cuando envías mensajes con SMSverifica, tu empresa es la responsable del tratamiento (decide a quién y para qué se envía) y nosotros actuamos como encargados del tratamiento (art. 28 RGPD): tratamos los teléfonos y contenidos solo para prestarte el servicio, con contrato de encargo (DPA) que regula confidencialidad, subencargados, seguridad y supresión al finalizar.
¿Y quién está detrás? SMSverifica es la plataforma de mensajería de ABARCANDO, S.L. (N.I.F. B88017173), operador inscrito en el Registro de Operadores de la CNMC. La titularidad de la marca, de los dominios y del remitente SMS «SMSverifica» está documentada en la página de titularidad.
Repásala antes de cada campaña; si marcas todo, envías tranquilo.
Buena parte de la mensajería útil de una empresa no es publicidad: el aviso al empleado que no ha fichado (registro de jornada obligatorio desde 2019, con la reforma del registro horario digital en tramitación), la notificación al anfitrión cuando llega su visita a recepción, el código de acceso de un solo uso o la entrada con QR enviada por WhatsApp para un evento. Estos envíos se amparan en la relación laboral o contractual y no requieren consentimiento comercial, aunque sí información transparente al interesado.
Es exactamente el terreno donde SMSverifica trabaja junto a sus plataformas hermanas: QRACCESO (control de accesos por QR, validación de entradas y aforo) y ACCESSTIME (registro de jornada). Mensajería transaccional legal, automática y con prueba de entrega. Ver casos de uso de RRHH y accesos →
No es recomendable y casi nunca es legal: el consentimiento del RGPD debe ser específico para tu empresa y tu finalidad, y las listas compradas rara vez lo acreditan. Enviar a bases compradas expone a sanciones de la AEPD y destroza la reputación de tu remitente. Construye tu propia lista con opt-in verificable; por eso SMSverifica no aprueba cuentas que planeen enviar a listas comprometidas.
Los mensajes estrictamente necesarios para prestar el servicio contratado (confirmación de pedido, código OTP, recordatorio de la cita que el cliente pidió, aviso de fichaje al empleado) se amparan en la ejecución del contrato o en el interés legítimo, no en el consentimiento comercial. Eso sí: no aproveches un mensaje transaccional para colar publicidad, porque entonces aplica el art. 21 LSSI.
Mientras sigas enviando comunicaciones a ese contacto y, tras la baja, el tiempo necesario para atender posibles reclamaciones (los plazos de prescripción de las infracciones pueden llegar a 3 años). Guarda qué aceptó, cuándo, cómo y desde dónde: fecha, texto de la casilla y origen del registro.
La LSSI tipifica el envío de comunicaciones comerciales no consentidas con multas de hasta 30.000 € (infracción leve, envío aislado) y de 30.001 a 150.000 € (grave, envíos masivos o reincidencia). La AEPD ha impuesto sanciones documentadas de varios miles de euros por SMS sin consentimiento o sin vía de baja. A eso se suma el posible expediente por RGPD si el tratamiento del dato era ilícito.
Plataforma española con servidores en la UE, DPA, cuentas aprobadas manualmente, trazabilidad de cada envío y saldo que no caduca. Legalidad y entregabilidad van juntas.