First-party data vs. comprar bases de datos: qué es legal (y qué no) en España en 2026
Spoiler: comprar una base de datos no es ilegal en sí mismo. Lo que casi nunca es legal es usarla, enviar comunicaciones comerciales a las personas de esa lista sin el consentimiento específico que la ley exige. Es la diferencia entre tener el archivo y poder tocarlo, y es donde la mayoría de empresas se equivocan sin darse cuenta.
Qué dice la ley exactamente (son dos normas, no una)
En España, enviar comunicaciones comerciales por email se rige por dos normas que actúan a la vez, y hay que cumplir las dos.
El RGPD y la base legal del dato
Un email es un dato personal. Necesitas una base legal para tratarlo (art. 6) — normalmente consentimiento o interés legítimo. Y si no recogiste tú el dato directamente, sino que lo compraste a un tercero, el artículo 14 del RGPD te obliga a informar a esa persona sobre el origen de sus datos y la finalidad del tratamiento, en un plazo máximo de un mes.
La LSSI-CE y el consentimiento previo
La LSSI-CE (Ley 34/2002, de servicios de la sociedad de la información y comercio electrónico) regula específicamente el envío de comunicaciones comerciales electrónicas. Su artículo 21 es tajante: no se puede enviar publicidad por email sin el consentimiento previo y expreso del destinatario. Solo hay una excepción — que ya sea cliente tuyo y le escribas sobre productos o servicios similares a los que contrató.
Ninguna de las dos normas prohíbe comprar o vender una base de datos como operación en sí. Lo que exigen ambas, cada una por su lado, es que quien la usa tenga la habilitación legal para hacerlo — y ahí es donde casi todo se rompe.
Por qué comprar una base de datos casi nunca resuelve el problema
Aquí está el matiz que se pierde en la mayoría de conversaciones sobre este tema:
El consentimiento no viaja con el archivo.
Cuando alguien dio su email a la empresa A y aceptó recibir sus comunicaciones, ese consentimiento es válido para la empresa A, con esa finalidad concreta. Si la empresa A te vende o cede esa base de datos, tú —empresa B— necesitas tu propio consentimiento de esa persona para escribirle, no el que ella le dio a otro. Comprar la lista no compra el consentimiento; solo compra los datos. En la práctica, la inmensa mayoría de bases de datos que se venden como “leads cualificados” no vienen con ese consentimiento específico y trazable — y si el vendedor no puede demostrarlo dato a dato, tú tampoco puedes usarlos sin asumir el riesgo tú mismo.
Cuánto cuesta hacerlo mal
Las sanciones no son simbólicas, y vienen por dos vías distintas.
| Norma | Sanción |
|---|---|
| LSSI | Entre 30.000 € (infracción leve, envío puntual) y 150.000 € (grave, envío masivo o reincidencia). |
| RGPD | Si el tratamiento carece de base jurídica válida, hasta 20 millones de euros o el 4% de la facturación anual global, lo que sea mayor. |
La Ley 10/2025: el marco se endurece
El marco regulatorio en España no se está relajando en 2026 — va en la dirección contraria. La Ley 10/2025, de 26 de diciembre (BOE 27/12/2025), modifica el artículo 23.1 de la LOPDGDD para reforzar el tratamiento lícito de datos orientado precisamente a evitar el envío de comunicaciones comerciales a quienes ya manifestaron su negativa a recibirlas. Aunque su foco principal son los servicios de atención al cliente, es una señal clara: el regulador está afinando, no relajando, el control sobre las comunicaciones comerciales.
La alternativa real: first-party data
Frente a este riesgo, cada vez más empresas están reorientando su estrategia hacia first-party data: datos que la propia persona te entrega directamente, a ti, con consentimiento explícito para ese uso concreto. Sin intermediarios, sin cesiones, sin “saltos” de consentimiento que romper. La diferencia no es solo legal — también es de calidad:
- El consentimiento nace ya vinculado a la finalidad y al remitente correcto. No hay que reconstruir una cadena de autorizaciones para justificarlo ante una inspección.
- Los datos están más frescos y verificados, frente a listas que a menudo llevan años circulando, revendidas varias veces, con direcciones muertas o desactualizadas.
- La persona sabe exactamente quién tiene sus datos y por qué — lo que reduce quejas, bajas y reportes de spam, señales que además penalizan la entregabilidad de tus campañas.
Cómo acceder a first-party data sin construir un canal de captación desde cero
El problema práctico es que conseguir first-party data a gran escala, por tu cuenta, es lento: requiere tráfico propio, formularios, campañas de captación y tiempo. Por eso existen marketplaces de datos consentidos como el de deitta.
Ese es exactamente el modelo de deitta: un marketplace C2B de datos personales donde los propios usuarios deciden qué categorías de datos compartir, con qué finalidad y con quién, a cambio de una compensación. Cuando una empresa accede a esos datos —registrándose en marketplace.deitta.io— no está comprando una lista de terceros de origen incierto. Está accediendo a datos first-party desde el origen: el consentimiento nace ya para ese propósito exacto, dato por dato, categoría por categoría, sin la cadena de cesiones que rompe la validez legal de las bases de datos tradicionales.
Si estás evaluando varios proveedores de datos, no solo deitta, en cómo elegir un proveedor de datos de consumidores: guía para empresas tienes el checklist completo de preguntas que conviene hacer antes de firmar con cualquiera de ellos. Puedes ver el resto de garantías para empresas en nuestra página de organizaciones.
Checklist rápido antes de usar cualquier base de datos
Si ya tienes una lista sobre la mesa —comprada, heredada de otra campaña, o recibida de un partner— antes de escribir a nadie, comprueba:
- ¿Puedes demostrar, dato a dato, que esa persona dio consentimiento expreso para recibir comunicaciones tuyas (no genéricas, tuyas)? Si no hay forma de acreditarlo, no la uses.
- ¿La finalidad para la que se recogió el dato coincide con lo que quieres hacer ahora? Un consentimiento dado para un sorteo no vale para una campaña comercial distinta.
- ¿Sabes exactamente de dónde viene la lista y cuándo se recogió? Cuanto más antigua y más veces revendida, más probable que el consentimiento original ya no sea válido o verificable.
- ¿Has informado a los interesados del origen de sus datos, como exige el artículo 14 del RGPD, si no los recogiste tú directamente?
Preguntas frecuentes sobre la protección de datos de tu empresa
¿Incumple la protección de datos de tu empresa comprar una base de datos?
No, la compraventa de la base de datos en sí no incumple la protección de datos. Lo que suele incumplirla es usarla para enviar comunicaciones comerciales sin el consentimiento específico y trazable que exigen la LSSI y el RGPD.
¿El interés legítimo exime a tu empresa de cumplir la protección de datos en comunicaciones comerciales?
El interés legítimo es una base jurídica válida del RGPD en ciertos contextos B2B, pero no exime del requisito específico de la LSSI: para comunicaciones comerciales electrónicas en España, se necesita consentimiento previo y expreso, salvo la excepción de cliente existente con productos similares.
Mi empresa ya compró una base de datos y la está usando, ¿cómo cumplo ahora la protección de datos?
Lo más seguro es detener el envío de comunicaciones comerciales a los contactos de los que no tengas consentimiento expreso y documentado, y evaluar con asesoría legal cómo regularizar la situación antes de que llegue una reclamación o una inspección.
¿Qué es first-party data y cómo refuerza la protección de datos de tu empresa?
Son los datos que un usuario te entrega directamente a ti, con consentimiento explícito para la finalidad concreta que le planteas — sin pasar por intermediarios ni cesiones de terceros, lo que simplifica enormemente cumplir con la protección de datos.
¿Protege mejor los datos de tu empresa el first-party data que comprar leads a una agencia?
Depende de cómo esa agencia haya captado los leads. Si el usuario dio su consentimiento explícito para que sus datos se compartieran contigo específicamente, es first-party desde tu perspectiva. Si el consentimiento era genérico o para otro fin, el riesgo para la protección de datos de tu empresa es el mismo que comprar cualquier base de datos.
En deitta, cada dato que recibe tu empresa nace con el consentimiento correcto desde el origen — no se reconstruye después.
¿Quieres datos first-party desde el origen?
Accede al marketplace en marketplace.deitta.io o escríbenos a contacto@deitta.com.
Este artículo tiene carácter divulgativo y no constituye asesoramiento legal. Para tu caso concreto, valida el tratamiento de datos con tu equipo jurídico o tu DPO.
¿Listo para eliminar el riesgo legal de tus datos?
Consigue insights de datos voluntarios, trazables, reutilizables y legalmente robustos.
