¿Qué base jurídica utiliza un programa de fidelización para tratar los datos de los clientes?

Un programa de fidelización combina varias bases jurídicas en función del tratamiento concreto. La gestión propia del programa (alta del cliente, acumulación y canje de puntos, emisión de la tarjeta, atención al cliente) se ampara habitualmente en la ejecución de la relación contractual derivada de la suscripción al programa (art. 6.1.b RGPD), porque al adherirse el cliente acepta un conjunto de condiciones recíprocas. Los tratamientos adicionales que el comercio quiera realizar requieren consentimiento expreso, específico e informado: envío de comunicaciones comerciales personalizadas por email/SMS, elaboración de perfiles de consumo, cesión a empresas del grupo o partners, segmentación con fines de marketing analítico. Cada finalidad se presenta con su casilla separada y desmarcada por defecto. La obligación legal (6.1.c) aplica solo a aspectos puntuales como la facturación. El interés legítimo puede entrar en juego para tratamientos accesorios como análisis estadístico agregado, siempre superando el triple test.

¿Puede el comercio enviar ofertas comerciales por email a los clientes del programa de fidelización?

Sí, siempre que el cliente haya consentido específicamente recibir comunicaciones comerciales electrónicas. El art. 21 de la LSSICE exige consentimiento previo y expreso para enviar comunicaciones comerciales por email, SMS o canales electrónicos equivalentes, con dos matices: el art. 21.2 LSSICE permite enviar comunicaciones comerciales electrónicas a clientes con relación contractual previa cuando se refieran a productos o servicios similares a los inicialmente contratados, siempre que en la primera comunicación y en cada envío posterior se ofrezca un mecanismo sencillo y gratuito de oposición. El programa de fidelización en sí mismo no autoriza por defecto el envío de comunicaciones comerciales, salvo que la suscripción al programa lo incluya como prestación inherente; pero incluso entonces es recomendable presentar el consentimiento de forma diferenciada para evitar dudas sobre la calidad del consentimiento (libre, específico, informado, inequívoco).

¿Cómo se ejerce el derecho de oposición a las comunicaciones comerciales del programa?

Cada comunicación comercial enviada al cliente debe incluir un mecanismo de oposición sencillo y gratuito conforme al art. 22 LSSICE. En el correo electrónico esto se traduce en un enlace de baja visible y operativo que dé de baja al destinatario sin tener que justificarse, identificarse de forma reforzada ni acceder a ningún panel. En SMS, una palabra clave (ej. BAJA) a un número gratuito o, alternativamente, un enlace a una landing de baja. La baja debe procesarse de forma inmediata y la exclusión debe propagarse a todas las herramientas implicadas (CRM, plataforma de email marketing, herramienta de SMS). El cliente conserva además los derechos del RGPD: oposición al perfilado del programa (art. 21 RGPD), supresión, rectificación. La baja en el envío comercial no implica baja en el programa: son tratamientos distintos que el cliente puede separar.

¿Puede el comercio ceder los datos del programa a empresas del grupo o partners comerciales?

Solo con consentimiento expreso, específico e independiente del cliente para esa cesión concreta. Una cesión a terceros con finalidades distintas del propio programa (envío de ofertas de partners, intercambio de bases para campañas cruzadas, cesión a empresas del grupo con personalidad jurídica distinta) es un tratamiento autónomo que requiere su propia casilla de consentimiento, separada de la del propio programa y de la del envío comercial del comercio. Es inadmisible la cesión genérica amparada en un consentimiento global o en la suscripción al programa. El comercio debe identificar previamente las categorías de destinatarios e informar al cliente. Cuando la cesión sea entre responsables del tratamiento independientes, cada uno asume sus propias obligaciones. Cuando se trate de un encargado del tratamiento (procesador en nombre del comercio), se requiere contrato del art. 28 RGPD y no es propiamente cesión, sino acceso por cuenta del responsable.

Programas de fidelización y tarjetas de cliente: RGPD aplicado al comercio

El programa de fidelización es uno de los activos comerciales más valiosos del comercio físico y, a la vez, una de las áreas donde se concentran más errores de cumplimiento: consentimientos genéricos, comunicaciones comerciales sin base clara, cesiones a partners sin información adecuada y bajas que tardan días en procesarse.

Esta guía explica cómo diseñar y operar un programa de fidelización con tarjeta de cliente conforme al RGPD (Reglamento UE 2016/679), la LOPDGDD (Ley Orgánica 3/2018) y el art. 21 de la LSSICE (Ley 34/2002) en materia de comunicaciones comerciales electrónicas.

Anatomía del programa: tratamientos diferenciados

Un programa de fidelización rara vez es un único tratamiento. Habitualmente convive un núcleo y varias capas opcionales, cada una con su propia base jurídica:

Tratamiento	Datos típicos	Base jurídica
Alta y gestión del programa	Identificativos, contacto, número de tarjeta, puntos.	Ejecución de la relación contractual (6.1.b)
Acumulación y canje de puntos	Historial de compras vinculadas a la tarjeta.	Ejecución de la relación contractual (6.1.b)
Comunicaciones comerciales electrónicas	Email, teléfono móvil; segmento básico.	Consentimiento (6.1.a) + art. 21 LSSICE
Perfilado y oferta personalizada	Historial detallado, frecuencia, ticket medio.	Consentimiento expreso (6.1.a)
Cesión a partners o empresas del grupo	Datos identificativos y de segmento.	Consentimiento expreso y específico (6.1.a)
Análisis estadístico agregado	Datos anonimizados o seudonimizados.	Interés legítimo (6.1.f) con triple test

Consentimiento expreso por finalidad

La regla operativa fundamental del programa es la granularidad del consentimiento. No vale una única casilla "acepto la política de privacidad" para cubrirlo todo. Cada finalidad adicional al núcleo contractual del programa se presenta con su propia casilla, desmarcada por defecto, con un texto claro y específico:

Consentimiento al programa (alta, puntos, canje, atención al cliente): no requiere casilla aparte si se ejecuta como parte del contrato del programa. Sí requiere información clara y aceptación de las condiciones generales.
Consentimiento a comunicaciones comerciales electrónicas: casilla separada, desmarcada por defecto. Texto del tipo "Quiero recibir ofertas, descuentos y novedades del programa por email/SMS".
Consentimiento a perfilado para oferta personalizada: casilla separada cuando el perfilado va más allá del análisis estadístico básico y se traduce en ofertas individualizadas relevantes.
Consentimiento a cesión a partners o empresas del grupo: casilla separada e identificación previa, al menos por categorías, de los destinatarios.
Consentimiento de imagen si el programa incluye sorteos, eventos o publicación de ganadores: casilla separada.

Cada consentimiento es revocable en cualquier momento sin condicionar la pertenencia al programa principal. El cliente puede mantenerse en el programa (acumular puntos, canjearlos) y haber retirado el consentimiento a comunicaciones comerciales.

Comunicaciones comerciales y LSSICE

El art. 21 LSSICE exige consentimiento previo y expreso para enviar comunicaciones comerciales por email, SMS y canales electrónicos equivalentes. Hay una vía complementaria en el art. 21.2 LSSICE: a clientes con relación contractual previa, el comercio puede enviar comunicaciones comerciales sobre productos o servicios similares a los ya contratados, siempre que cada comunicación ofrezca un mecanismo simple y gratuito de oposición.

Aplicado al programa de fidelización:

Cuando se quiere ir más allá del producto/servicio similar y enviar ofertas más amplias del comercio o cruzadas con partners, hace falta consentimiento expreso del cliente diferenciado.
Cada email comercial incluye en el pie la identidad del remitente, el mecanismo de baja (enlace operativo) y, cuando aplique, mención al canal alternativo de oposición.
Cada SMS comercial incluye una palabra clave gratuita de baja o enlace operativo.
El comercio mantiene un registro de consentimientos con fecha, canal y texto exacto que se mostró al cliente al solicitarlo.
Las llamadas comerciales con fines de prospección a particulares se regulan por el art. 66.1.b de la Ley General de Telecomunicaciones (Ley 11/2022): el cliente debe haber consentido expresamente la recepción de llamadas comerciales.

Derecho de oposición y mecanismo de baja

El derecho de oposición (art. 21 RGPD) es uno de los más relevantes en marketing y fidelización. Operativamente:

Cada comunicación comercial incluye un canal de baja sencillo y gratuito que no requiere acceso a área privada.
La baja se procesa de forma inmediata. Es habitual que la AEPD valore cuán rápido se efectúa: una baja que tarda varios días en hacerse efectiva genera problemas si en ese intervalo se siguen produciendo envíos.
La baja se propaga a todos los sistemas: CRM, plataforma de email marketing, plataforma de SMS, herramienta de notificaciones push de la app si la hay.
El cliente puede oponerse al perfilado del programa manteniéndose dado de alta: el programa debe seguir funcionando en su modalidad básica (puntos, canje) si el cliente así lo desea.
Se conserva la prueba de la baja (fecha, canal) durante el tiempo necesario para acreditarla.

"En un programa de fidelización, casi todo el cumplimiento se juega en el momento del alta y en el momento de la baja. Un formulario de alta con casillas separadas, un sistema de bajas que funcione el mismo día y un registro limpio de quién consintió qué y cuándo es, en la práctica, el 80% del trabajo."

Mario P. Talamillo · Socio director, Certix®

Información del art. 13 RGPD en el alta

En el momento del alta al programa, el cliente recibe la cláusula informativa del art. 13 RGPD, integrada en el formulario (papel o digital) y conservada como prueba de su entrega. Contenido mínimo:

Identidad del responsable (la sociedad titular del comercio, CIF, domicilio) y datos del DPD si se ha designado.
Finalidades concretas: gestión del programa, acumulación y canje de puntos, en su caso comunicaciones comerciales, perfilado, cesiones.
Bases jurídicas: ejecución de la relación contractual del programa para el núcleo; consentimiento para las finalidades adicionales.
Categorías de destinatarios: gestoría, encargados del tratamiento (plataforma del programa, email marketing, atención al cliente), y partners o empresas del grupo si se ha consentido.
Transferencias internacionales si aplica (proveedores SaaS en EEUU u otros: indicar Data Privacy Framework u otro instrumento adecuado).
Plazos de conservación diferenciados.
Derechos del cliente y vía para ejercerlos.
Derecho a reclamar ante la AEPD.

Plataforma del programa, CRM y encargados

El programa de fidelización suele apoyarse en varias herramientas tecnológicas que actúan como encargados del tratamiento:

Plataforma específica de fidelización (gestor de tarjetas, puntos, canje).
CRM donde residen los datos del cliente y su historial.
Plataforma de email marketing.
Plataforma de SMS o notificaciones push.
Pasarela de pago si el programa incluye descuentos aplicados en la transacción.
Centro de atención al cliente externo si existe.

Para cada uno: contrato del art. 28 RGPD con todas las cláusulas exigidas (finalidad, duración, naturaleza, tipo de datos, categorías de interesados, medidas de seguridad, subencargados, procedimiento de devolución de los datos al finalizar el servicio). Verificar transferencias internacionales y, cuando proceda, mecanismo válido (Data Privacy Framework, cláusulas contractuales tipo).

Conservación de los datos del programa

La política de conservación se diferencia por bloque:

Datos básicos del programa: durante la vigencia de la relación y posteriormente bloqueados durante los plazos de prescripción de acciones civiles aplicables (art. 1964 CC) y, en su caso, fiscales.
Historial de compras vinculado a la tarjeta: durante la vigencia del programa más los plazos de prescripción aplicables.
Comunicaciones comerciales: mientras el consentimiento esté vigente. Tras la revocación, el dato se mantiene únicamente en la lista de exclusión.
Bajas y revocaciones: durante el tiempo necesario para acreditarlas frente a una eventual reclamación.
El programa profesional documenta plazos diferenciados y procede a la destrucción segura cuando vencen.

Checklist mínimo del programa de fidelización

Cláusula del art. 13 RGPD entregada en el alta y conservada como prueba.
Casillas separadas y desmarcadas por defecto para cada finalidad adicional.
Registro de consentimientos con fecha, canal y texto mostrado.
Mecanismo de baja simple, gratuito y operativo en cada envío comercial.
Propagación de la baja a todos los sistemas implicados.
Contratos del art. 28 RGPD con plataforma del programa, CRM, email marketing, SMS y otros encargados.
Verificación de transferencias internacionales con instrumento adecuado.
Política de conservación diferenciada por bloque.
Tratamientos inscritos en el RAT.

Preguntas frecuentes

¿Qué base jurídica utiliza un programa de fidelización?

La gestión del programa (alta, puntos, canje) se ampara en la ejecución de la relación contractual (6.1.b RGPD). Las finalidades adicionales (comunicaciones comerciales, perfilado, cesión a partners) requieren consentimiento expreso (6.1.a). La obligación legal cubre solo aspectos puntuales como facturación.

¿Puede el comercio enviar ofertas por email a los clientes del programa?

Sí, con consentimiento expreso (art. 21 LSSICE) o, en relación contractual previa, sobre productos o servicios similares con mecanismo de baja simple y gratuito en cada envío (art. 21.2 LSSICE). El programa por sí solo no autoriza por defecto el envío comercial.

¿Cómo se ejerce el derecho de oposición a las comunicaciones?

Mediante el enlace de baja simple y gratuito en cada email, o palabra clave/enlace en cada SMS. La baja se procesa inmediatamente y se propaga a todos los sistemas. El cliente puede oponerse a las comunicaciones sin perder su pertenencia al programa.

¿Puede el comercio ceder los datos a partners o empresas del grupo?

Solo con consentimiento expreso, específico e independiente para esa cesión. No vale un consentimiento global. El comercio identifica las categorías de destinatarios e informa previamente al cliente. Cuando es un encargado del tratamiento, en lugar de cesión hay contrato del art. 28 RGPD.

Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.

¿Quieres revisar el programa de fidelización de tu comercio?

En Certix te asignamos un experto en cumplimiento del sector comercio. Sin intermediarios comerciales, sin plantillas genéricas.

Hablar con un experto

Programas de fidelización y tarjetas de cliente: cómo cumplir el RGPD en el comercio