RGPD y prospección comercial B2B: qué está permitido en 2026

El RGPD permite la prospección comercial B2B sin consentimiento previo, por email, en LinkedIn o por teléfono, con tres condiciones: el mensaje tiene que ver con el cargo de la persona, ella sabe de dónde vienen sus datos de contacto y puede negarse fácilmente, en cualquier momento. Lo que cambia en 2026 es sobre todo el teléfono hacia particulares y el uso de la IA. Aquí tienes la regla sencilla, canal por canal, comprobada en los textos de la CNIL, de la DGCCRF y de la Comisión Europea, con un modelo de aviso para copiar al pie de tus mensajes.

📌 Lo esencial

• Entre profesionales, la prospección se basa en el interés legítimo: no hace falta consentimiento previo si el mensaje tiene relación con el trabajo del destinatario.
• Cada mensaje debe decir quién escribe, de dónde viene el contacto y cómo dejar de recibir mensajes. Una negativa lo detiene todo, de inmediato.
• En Francia, desde el 11 de agosto de 2026, llamar a un particular exige su consentimiento previo. La llamada comercial entre profesionales sigue basándose en el derecho de oposición.
• Desde agosto de 2026, el reglamento europeo de IA obliga a avisar a una persona de que está hablando con una IA. Un mensaje revisado y asumido por una persona sigue siendo lo más sencillo.

Este artículo no es asesoramiento jurídico: es una lectura práctica de los textos oficiales, con fecha de octubre de 2026. El RGPD y el AI Act se aplican en toda la UE, mientras que los detalles que siguen (CNIL, ley de 2025, Bloctel) describen el marco francés; para un caso concreto, tu abogado o tu DPO siguen siendo la referencia. ⚖️

¿Es legal la prospección comercial B2B con el RGPD?

Sí. El RGPD no prohíbe escribir a un profesional al que no conoces: regula cómo hacerlo. En Francia, la CNIL admite que la prospección dirigida a profesionales se basa en el interés legítimo de la empresa, sin consentimiento previo, siempre que el objeto del mensaje tenga relación con la profesión de la persona contactada.

El ejemplo que da la CNIL es claro: presentar un software al director de informática de una empresa tiene relación con su cargo. Ofrecer un seguro de hogar a ese mismo director, para él, no. 🎯 La pregunta que debes hacerte antes de cada campaña cabe en una línea: ¿mi oferta tiene que ver con el trabajo de esta persona?

Tres reglas completan este principio:

• 🔍 La información: la persona debe saber que sus datos de contacto se usan para prospección y de dónde vienen, como muy tarde en el primer mensaje (artículo 14 del RGPD).
• ✋ La oposición: puede oponerse en cualquier momento, y entonces sus datos dejan de usarse con ese fin (artículo 21 del RGPD).
• 🗂️ La proporción: solo se guardan los datos útiles, y no indefinidamente.

Un caso aparte: las direcciones genéricas del tipo contacto@ o info@ corresponden a una persona jurídica, no a un individuo. La CNIL precisa que no están sujetas a estos principios. Pero una dirección nombre.apellido@empresa sigue siendo un dato personal, con todas las reglas anteriores.

¿Qué reglas se aplican a cada canal: email, LinkedIn, teléfono, IA?

La regla de fondo es la misma en todas partes entre profesionales: un mensaje relacionado con el cargo, una información clara y una negativa respetada. Lo que varía es la forma de obtener el contacto y las obligaciones propias de cada canal, sobre todo el teléfono hacia particulares y las conversaciones que lleva una IA.

Canal	Lo que se permite en B2B	Con qué condición	Lo que está prohibido o es arriesgado
Email nominativo	Escribir sin consentimiento previo	Mensaje relacionado con el cargo, identidad del remitente, forma sencilla de negarse, origen de los datos	Escribir a un particular sin su consentimiento, ignorar una baja
Email genérico (contacto@)	Escribir sin consentimiento previo	Ser pertinente para la empresa	Nada específico del RGPD, pero la entregabilidad sufre si el mensaje no viene al caso
LinkedIn (invitación, mensaje)	Escribir a un miembro sobre su actividad profesional	Las mismas reglas que el email, por prudencia	Recopilar datos de contacto que la persona ha ocultado, guardar datos sin límite
Teléfono hacia un profesional	Llamar sin consentimiento previo	Llamada relacionada con su trabajo, identidad de quien llama, posibilidad de negarse	Volver a llamar a alguien que se ha opuesto
Teléfono hacia un particular (Francia)	Llamar solo con consentimiento previo	Consentimiento válido un año como máximo, prueba guardada 3 años	Llamar sin consentimiento desde el 11 de agosto de 2026
Mensaje escrito o asistido por IA	Usar la IA para preparar y clasificar	Una persona revisa, se avisa a quien conversa con una IA	Dejar que una IA se haga pasar por una persona

Hay dos matices que conviene subrayar. En LinkedIn, ningún texto francés fija un régimen propio para la mensajería: aplicar las reglas del email es la opción más prudente. Y en el caso de autónomos o artesanos a los que se contacta en un móvil personal, la frontera entre profesional y particular es difusa: ante la duda, trátalos como particulares. 💡

¿Qué debe incluir el aviso RGPD de un mensaje de prospección?

Un aviso RGPD de prospección debe decir, en pocas líneas, quién eres, por qué escribes a esta persona, de dónde vienen sus datos de contacto y cómo puede dejar de recibir mensajes. La CNIL exige la identidad del remitente y una forma sencilla de negarse en cada mensaje; el artículo 14 del RGPD añade el origen de los datos.

El artículo 14 del RGPD enumera la información que hay que dar cuando no has obtenido los datos de contacto de la propia persona. Nuestra opción: lo esencial en el mensaje, el detalle tras un enlace a tu política de privacidad. En concreto, el aviso cabe en cinco elementos:

1. Quién escribe: el nombre de tu empresa y una dirección de respuesta válida.
2. Por qué esta persona: la relación entre tu oferta y su cargo.
3. De dónde viene el contacto: perfil público de LinkedIn, web de la empresa, feria, recomendación.
4. Cuánto tiempo: el plazo durante el que guardas sus datos si no hay intercambio.
5. Cómo negarse: una palabra para responder o un enlace, y el compromiso de parar de inmediato, con un enlace a sus derechos (acceso, oposición, reclamación ante la autoridad de protección de datos).

Aquí tienes un modelo para adaptar y colocar debajo de tu firma. ✍️

Ejemplo

Recibes este mensaje porque tu cargo de [directora de compras] en [Empresa] está relacionado con [nuestra oferta de mantenimiento industrial]. Tus datos de contacto profesionales proceden de [tu perfil público de LinkedIn / la web de tu empresa]. [Tu empresa], [ciudad], los conserva como máximo 3 años si no hay intercambio por tu parte. Para no recibir más mensajes, responde simplemente «stop»: paramos en el acto. Tus derechos (acceso, oposición, reclamación ante la autoridad de protección de datos): [enlace a la política de privacidad].

Cinco líneas, no más. Un aviso de veinte líneas en letra pequeña no informa a nadie: espanta. Un aviso corto y franco tranquiliza, y demuestra que sabes lo que haces. 🙂

¿Se puede prospectar en LinkedIn sin infringir el RGPD?

Sí, si escribes a un miembro sobre su actividad profesional, con un mensaje que le concierne, y si no recoges datos de contacto que ha decidido ocultar. El riesgo jurídico en LinkedIn no viene del mensaje en sí, sino de la recogida previa de los datos, sobre todo con extensiones que extraen perfiles.

La CNIL lo recordó con la sanción de 240 000 euros impuesta el 5 de diciembre de 2024 a la empresa KASPR, editora de una extensión de Chrome que mostraba los datos de contacto de las personas cuyo perfil de LinkedIn se visitaba (CNIL, diciembre de 2024). Los incumplimientos señalados son instructivos para cualquier equipo comercial:

• La recogida: KASPR también obtenía los datos de contacto de miembros que habían limitado su visibilidad a sus contactos. Para la CNIL, eso iba más allá de lo que esas personas podían esperar razonablemente.
• La conservación: los datos se guardaban cinco años a partir de cada actualización, lo que equivalía a guardarlos casi sin fin.
• La información: las personas no fueron avisadas hasta 2022, cuatro años después del lanzamiento, mediante un email en inglés.
• Los derechos: las solicitudes de acceso no se atendían correctamente.

⚠️ La lección práctica: si una herramienta te da el email o el teléfono de una persona que no los muestra, pregúntate de dónde los saca. Tú sigues siendo responsable del uso que haces de ellos. Nuestra guía para encontrar el email profesional de un prospecto detalla los métodos fiables y su punto RGPD.

¿Afecta la ley francesa de 2025 a la prospección telefónica B2B?

No directamente. La ley francesa n.º 2025-594 de 30 de junio de 2025, aplicada desde el 11 de agosto de 2026, exige el consentimiento previo para contactar por teléfono a un consumidor. Entre profesionales, la CNIL indica que la llamada sigue basándose en el interés legítimo, con un simple derecho de oposición, si tiene que ver con el trabajo de la persona.

En el lado de los particulares, el cambio es profundo. La DGCCRF precisa que esta reforma pone fin a Bloctel, la lista de exclusión en la que se inscribían los consumidores franceses. 📞 El consentimiento debe ser libre, específico y dado mediante un acto positivo; vale un año como máximo, y su prueba se guarda al menos tres años, según la CNIL. Las llamadas a consumidores solo se permiten de lunes a viernes, de 10:00 a 13:00 y de 14:00 a 20:00.

En el lado de los profesionales, la llamada en frío sigue siendo posible, con los mismos reflejos que en el email: te presentas, dices por qué llamas a esa persona y anotas cualquier negativa para no volver a llamarla. Para que la llamada tenga opciones de prosperar, mejor llamar por un motivo real: es el tema de nuestro artículo sobre la llamada en frío.

¿Qué cambia el AI Act para la prospección con IA?

El AI Act no prohíbe usar la IA para prospectar. Añade una obligación de transparencia, aplicable desde agosto de 2026 según la Comisión Europea: una persona debe saber que está hablando con un sistema de IA, por ejemplo un asistente conversacional, cuando no es evidente.

En prospección, afecta sobre todo a dos usos. Preparar un mensaje, clasificar prospectos, resumir un perfil: la IA sigue siendo una herramienta de trabajo, y el mensaje enviado es el de una persona que lo ha revisado. Llevar sola una conversación con un prospecto: ahí, hay que avisar a la persona de que habla con una IA. 🤖 En ambos casos, el RGPD se sigue aplicando a los datos que trata la IA.

La vía más segura cabe en tres reflejos:

• Una persona revisa cada primer mensaje antes del envío, y lo asume.
• Si un asistente responde a los prospectos, lo dice, y responde con honestidad si se lo preguntan.
• Solo se le dan a la IA los datos útiles para el mensaje: el cargo, la empresa, el hecho público que justifica el contacto.

Para ver cómo un asistente puede llevar la conversación después de la primera respuesta sin engañar a nadie, lee nuestro artículo sobre el agente conversacional IA.

¿Cuánto tiempo guardar los datos de un prospecto?

La CNIL recomienda guardar los datos de un prospecto que no es cliente tres años como máximo, a contar desde su recogida o desde el último contacto procedente del prospecto. Un clic en un enlace cuenta como contacto; un email que envías sin reacción no reinicia el plazo.

Esta referencia procede de los marcos de referencia de la CNIL sobre gestión comercial, que no son vinculantes pero obligan a justificar cualquier desviación. La misma página recomienda guardar al menos tres años la información que permite respetar una oposición, en una lista de exclusión. 🗑️ En la práctica:

• Borra o archiva los prospectos sin intercambio desde hace tres años.
• Guarda la lista de negativas, para no volver a contactar nunca a alguien que ha dicho que no.
• Desconfía de las herramientas que actualizan la fecha de «última actividad» con cada seguimiento automático: un seguimiento no es un contacto del prospecto.

¿Cómo cumplir sin perder reuniones?

Cumplir y conseguir reuniones van en la misma dirección: un mensaje que habla del trabajo de la persona, que dice de dónde vienes y que la deja libre es también el que obtiene respuestas. Cumplir no le cuesta nada a la frase de apertura; lo que sale caro es el mensaje genérico, en negativas y en denuncias de spam.

Así se ve la diferencia, sobre una señal real de prospección.

Ejemplo

Señal: la directora de compras de una pyme industrial publica en LinkedIn que busca reducir las paradas de línea por mantenimiento.

Frase de apertura fallida: «Hola, he encontrado tu email, ayudamos a las empresas a optimizar sus costes. ¿Tienes 15 minutos esta semana?» Nada dice por qué ella, ni de dónde sale la dirección, ni cómo negarse.

Frase de apertura que obtiene respuesta: «Hola, Lucía. Tu publicación sobre las paradas de línea me ha llamado la atención: vemos a menudo este problema en fabricantes que tienen dos proveedores de mantenimiento para el mismo parque de máquinas. ¿Cómo lo gestionáis ahora?» Seguida del aviso RGPD de cinco líneas, con la fuente: su publicación pública en LinkedIn.

La segunda versión respeta las tres reglas de la CNIL, y da un motivo para responder. ✅ Entre nuestros clientes, que escriben sobre el cargo de la persona y respetan cada negativa, responde el 30 % de los prospectos contactados (datos de MeetMagnet del 9 de octubre de 2026, 27 cuentas de clientes de pago, 15 910 prospectos, LinkedIn y email). Una cifra que demuestra que un mensaje asumido y claro no impide obtener respuestas.

Así trabaja MeetMagnet: partimos de una señal pública relacionada con el cargo de la persona, la frase de apertura trata de su trabajo, una persona revisa cada mensaje antes del envío y una negativa detiene la secuencia de inmediato. Para cuidar también la llegada a la bandeja de entrada, nuestra guía sobre la entregabilidad del cold email completa esta parte.

Antes de tu próxima campaña, una lista de control en seis puntos:

1. ¿Mi oferta tiene que ver con el cargo de cada persona a la que me dirijo?
2. ¿Sé de dónde viene cada dato de contacto, y puedo decirlo?
3. ¿Cada mensaje dice quién escribe y cómo negarse?
4. ¿Una negativa detiene la secuencia en todos los canales?
5. ¿Se borran los datos sin intercambio desde hace tres años?
6. ¿Una persona revisa los mensajes, y se anuncia la IA cuando conversa sola?

El RGPD no le cierra la puerta a la prospección B2B: pide escribir a la persona adecuada, por un buen motivo, y decirlo con franqueza. Son también los tres ingredientes de un primer mensaje que consigue una respuesta y, después, una reunión. El verdadero riesgo no es escribir a un desconocido: es comprar bases de datos de origen desconocido, guardar datos sin fin o hacer que una IA hable en lugar de una persona sin decirlo. 🚀

Fuentes

• «La prospection commerciale par courrier électronique», CNIL, consultado el 27 de octubre de 2026, https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-electronique
• «Prospection commerciale par téléphone (hors automate d’appel) : quelles sont les règles ?», CNIL, consultado el 27 de octubre de 2026, https://cnil.fr/fr/prospection-commerciale-par-telephone-hors-automate-dappel-quelles-sont-les-regles
• «Aspiration de données : sanction de 240 000 euros à l’encontre de la société KASPR», CNIL, consultado el 27 de octubre de 2026, https://www.cnil.fr/fr/aspiration-de-donnees-sanction-de-240-000-euros-lencontre-de-la-societe-kaspr
• «Questions-réponses sur les référentiels relatifs à la gestion des activités commerciales et des impayés», CNIL, consultado el 27 de octubre de 2026, https://www.cnil.fr/fr/questions-reponses-sur-les-referentiels-relatifs-la-gestion-des-activites-commerciales-et-des
• «Règlement européen sur la protection des données, chapitre III (articles 14 et 21)», CNIL, consultado el 27 de octubre de 2026, https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3
• «Les règles du démarchage téléphonique s’imposant aux entreprises», DGCCRF, consultado el 27 de octubre de 2026, https://www.economie.gouv.fr/dgccrf/les-fiches-pratiques/les-regles-du-demarchage-telephonique-simposant-aux-entreprises
• «AI Act», Comisión Europea, consultado el 27 de octubre de 2026, https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai