Cookies y consentimiento
Los píxeles de seguimiento, las cookies de análisis y las de publicidad requieren el consentimiento previo e informado del usuario. El banner de cookies debe ser funcional y no predefinido.
Marketing y publicidad digital
Protección de datos para agencias de marketing y publicidad
- art. 34
- LOPDGDD — DPD obligatorio
- Art. 21
- LSSI — email marketing
- Art. 28
- RGPD — encargo del tratamiento
- 24 h
- propuesta personalizada
El perfilado de audiencias, los píxeles de seguimiento, las transferencias a plataformas publicitarias y la posición como encargado del tratamiento hacen de las agencias de marketing uno de los sectores con mayor exposición a sanciones de la AEPD. El art. 34 de la LOPDGDD incluye la publicidad y la prospección comercial entre los supuestos que obligan a designar DPD.
Retos del sector
Obligaciones generales para agencias de marketing y publicidad
Perfilado de audiencias
La creación de perfiles de usuario para publicidad personalizada basada en comportamiento, intereses o localización es un tratamiento de alto riesgo que requiere análisis de impacto en ciertos casos.
Posición en la relación con el cliente
Cuando la agencia accede a datos del cliente y actúa por su instrucción, puede operar como encargada del tratamiento (art. 28 RGPD). La relación jurídica exacta depende del contrato y del contexto de cada operación; conviene analizarla individualmente y documentarla.
Transferencias a plataformas publicitarias
El envío de datos de usuarios a Meta, Google, TikTok o LinkedIn implica transferencias internacionales. Para proveedores estadounidenses adheridos al Data Privacy Framework (DPF), este es el mecanismo actualmente aplicable. Para otros casos se requieren Cláusulas Contractuales Tipo u otros mecanismos del art. 46 RGPD, cuya vigencia conviene verificar periódicamente.
Email marketing
El envío de comunicaciones comerciales a bases de contactos requiere consentimiento previo o la excepción de cliente previo. Las listas adquiridas o cedidas sin garantías son inválidas.
Múltiples relaciones contractuales
La agencia gestiona datos propios como responsable y puede actuar en distintas posiciones respecto a sus clientes según el servicio prestado. La relación jurídica exacta debe analizarse en cada caso; la documentación contractual adecuada es esencial.
Obligación legal
El DPD es obligatorio en agencias de marketing
El art. 34 de la LOPDGDD establece la obligación de designar DPD para las empresas cuya actividad principal sea la publicidad o la prospección comercial. Las agencias de marketing digital, publicidad, email marketing y generación de leads están comprendidas en los supuestos previstos en dicho artículo.
El DPD de una agencia de marketing tiene un papel especialmente relevante: debe supervisar que los tratamientos realizados en nombre de los clientes (encargos) están debidamente documentados y que las transferencias internacionales a plataformas publicitarias tienen cobertura legal.
Aunque esta es la regla general del sector, la exigencia final dependerá de la escala, volumen y tipología exacta de los tratamientos de cada entidad. Cada caso requiere un análisis individualizado.
Certix asume la función de DPD externo como contrato independiente, incluyendo la inscripción en el Registro de Delegados de la AEPD.
Bases jurídicas más habituales
Art. 6.1.a RGPD
Consentimiento — para cookies de publicidad, perfilado y email marketing.
Art. 6.1.b RGPD
Ejecución del contrato de servicios de marketing con el cliente.
Art. 6.1.f RGPD
Interés legítimo — análisis agregado de rendimiento de campañas.
Art. 28 RGPD
Encargo del tratamiento — acceso a datos del anunciante.
Art. 45-46 RGPD
DPF o Cláusulas Contractuales Tipo — según el mecanismo aplicable al proveedor para transferencias fuera del EEE.
El servicio
Qué incluye el servicio para tu agencia de marketing
- 01
Registro de Actividades de Tratamiento
RAT diferenciado: tratamientos propios y tratamientos por encargo de cada cliente anunciante.
- 02
Cláusulas informativas
Textos para contrato de servicios con clientes, formularios web y captación de leads.
- 03
Política de privacidad y cookies
Documentación legal para la web de la agencia y sus herramientas de captación.
- 04
Contratos de encargo del tratamiento
Modelo de DPA listo para firmar con cada cliente anunciante.
- 05
Protocolo de brechas de seguridad
Procedimiento de respuesta con notificación en 72 horas.
- 06
Atención a derechos de interesados
Procedimiento documentado para gestionar solicitudes de contactos de bases de email y usuarios.
- 07
Plataforma de gestión documental
Acceso a plataforma privada con documentos y firma electrónica.
- 08
Soporte continuo
Consultas ilimitadas. Actualización ante cambios normativos.
- 09
DPD externo
Designación obligatoria para agencias cuya actividad principal sea la publicidad o la prospección comercial (art. 34 LOPDGDD). La exigencia final depende del análisis individualizado de cada entidad. Contrato independiente.
¿Necesitas una propuesta para tu agencia?
Cuéntanos el tamaño de la agencia y los servicios que prestas. Propuesta en menos de 24 horas.
Solicitar propuestaFAQ
Preguntas frecuentes sobre protección de datos en agencias de marketing
¿Las agencias de marketing están obligadas a designar un DPD?
El art. 34 de la LOPDGDD establece la obligación de designar DPD para las empresas cuya actividad principal sea la publicidad o la prospección comercial. Las agencias de marketing digital que realizan perfilado de audiencias, gestionan bases de datos o ejecutan campañas de email marketing están comprendidas en los supuestos previstos en dicho artículo. Aunque esta es la regla general del sector, la exigencia final dependerá de la escala, volumen y tipología exacta de los tratamientos de cada entidad. Cada caso requiere un análisis individualizado.
¿La agencia de marketing es encargada o responsable del tratamiento respecto a sus clientes?
Depende del contexto de cada operación y de la relación contractual. Con carácter general, cuando la agencia accede al CRM o a la base de contactos del cliente y actúa estrictamente por instrucción suya, la relación tiende a ser de encargo del tratamiento (art. 28 RGPD). Sin embargo, la relación jurídica exacta puede variar: en algunos casos puede existir corresponsabilidad o una relación RT-RT (ambas partes determinan fines y medios de forma independiente). Cada caso debe analizarse individualmente; esta información es orientativa.
¿Qué base jurídica se requiere para el email marketing?
Para enviar comunicaciones comerciales por email a personas físicas se requiere su consentimiento previo, salvo que ya sean clientes y el contenido del email esté directamente relacionado con el producto o servicio contratado (art. 21 LSSI). Las listas de contactos compradas o cedidas sin consentimiento explícito para esa finalidad no son válidas para email marketing.
¿Los píxeles de seguimiento y cookies requieren consentimiento del usuario?
Sí. Los píxeles de Facebook/Meta, el píxel de Google Ads y las cookies de seguimiento y publicidad requieren el consentimiento informado del usuario web antes de activarse. La AEPD ha sancionado a empresas por instalar estas tecnologías sin consentimiento previo. El banner de cookies debe obtener un consentimiento real, no predefinido.
¿Transferir datos de usuarios a Meta o Google implica una transferencia internacional?
Sí. El envío de datos de usuarios a través de las APIs de Meta o Google supone transferir datos a entidades en EE.UU. Estas transferencias deben ampararse en un mecanismo válido: para proveedores adheridos al Data Privacy Framework (DPF) UE-EE.UU., este es el mecanismo actualmente aplicable; en otros casos se requieren Cláusulas Contractuales Tipo u otros mecanismos del art. 46 RGPD. La agencia debe verificar qué mecanismo aplica a cada proveedor y documentarlo adecuadamente.
¿Puede la agencia acceder al CRM del cliente sin un contrato de encargo?
No. El acceso al CRM del cliente implica acceder a datos personales de los contactos, clientes o leads del anunciante. Sin un contrato de encargo del tratamiento formalizado, este acceso constituye una infracción del art. 28 RGPD. La agencia debe exigir este contrato como paso previo al acceso a cualquier sistema con datos del cliente.
Herramienta gratuita
Test general de protección de datos
Comprueba en 5 minutos tu grado general de adaptación en protección de datos.
Sin email · Anónimo · Sin compromiso
Empezar testMarketing y publicidad digital
Cumplimiento RGPD
para tu agencia.
Un experto analiza tu actividad y te propone la solución adecuada. Sin intermediarios.
Propuesta en 24 h · info@certix.es
Nota legal: Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento especializado.