Protección de datos para
agencias de marketing y publicidad

El art. 34 de la LOPDGDD establece la obligación de designar DPD para las empresas cuya actividad principal sea la publicidad o la prospección comercial. Las agencias de marketing digital que realizan perfilado de audiencias, gestionan bases de datos o ejecutan campañas de email marketing están comprendidas en los supuestos previstos en dicho artículo. Aunque esta es la regla general del sector, la exigencia final dependerá de la escala, volumen y tipología exacta de los tratamientos de cada entidad. Cada caso requiere un análisis individualizado.

Depende del contexto de cada operación y de la relación contractual. Con carácter general, cuando la agencia accede al CRM o a la base de contactos del cliente y actúa estrictamente por instrucción suya, la relación tiende a ser de encargo del tratamiento (art. 28 RGPD). Sin embargo, la relación jurídica exacta puede variar: en algunos casos puede existir corresponsabilidad o una relación RT-RT (ambas partes determinan fines y medios de forma independiente). Cada caso debe analizarse individualmente; esta información es orientativa.

Para enviar comunicaciones comerciales por email a personas físicas se requiere su consentimiento previo, salvo que ya sean clientes y el contenido del email esté directamente relacionado con el producto o servicio contratado (art. 21 LSSI). Las listas de contactos compradas o cedidas sin consentimiento explícito para esa finalidad no son válidas para email marketing.

Sí. Los píxeles de Facebook/Meta, el píxel de Google Ads y las cookies de seguimiento y publicidad requieren el consentimiento informado del usuario web antes de activarse. La AEPD ha sancionado a empresas por instalar estas tecnologías sin consentimiento previo. El banner de cookies debe obtener un consentimiento real, no predefinido.

Sí. El envío de datos de usuarios a través de las APIs de Meta o Google supone transferir datos a entidades en EE.UU. Estas transferencias deben ampararse en un mecanismo válido: para proveedores adheridos al Data Privacy Framework (DPF) UE-EE.UU., este es el mecanismo actualmente aplicable; en otros casos se requieren Cláusulas Contractuales Tipo u otros mecanismos del art. 46 RGPD. La agencia debe verificar qué mecanismo aplica a cada proveedor y documentarlo adecuadamente.

No. El acceso al CRM del cliente implica acceder a datos personales de los contactos, clientes o leads del anunciante. Sin un contrato de encargo del tratamiento formalizado, este acceso constituye una infracción del art. 28 RGPD. La agencia debe exigir este contrato como paso previo al acceso a cualquier sistema con datos del cliente.