Marketing consent obligatorio en 2026: lo que tu CRM tiene que llevar

En 2026 las autoridades de protección de datos europeas están multando por consent mal gestionado. Si tu CRM solo tiene un check "Aceptar marketing" sin granularidad, sin timestamp y sin doble opt-in en muchos casos, estás expuesto. Te contamos qué necesita un CRM moderno.

Por qué el consent vuelve a estar de moda en 2026

El RGPD entró en vigor en 2018 y, durante los primeros años, las autoridades fueron relativamente tolerantes con interpretaciones laxas del consent. Esa tolerancia se acabó. Desde 2023 las multas por gestión deficiente del consentimiento de marketing han crecido año a año en toda la UE. En 2025 y 2026 las cifras de sanciones se han disparado: empresas conocidas como Klarna, Booking, Meta y otras menos visibles han sido multadas con cantidades que van desde decenas de miles a cientos de millones de euros por gestión de consent inadecuada.

La razón del endurecimiento es operativa: las autoridades han desarrollado herramientas y procesos para auditar el consent a escala, y las denuncias de usuarios (sobre todo a través de organizaciones como NOYB de Max Schrems) son cada vez más sistemáticas. El consent ya no es un asunto formal de marketing; es exposición legal real con probabilidad alta de sanción si lo gestionas mal.

Si tu CRM solo tiene un check "Aceptar marketing" sin granularidad por canal, sin timestamp y sin opción de revocación equivalente a la de aceptación, estás expuesto. No es teoría; es la práctica habitual de las inspecciones de las autoridades de protección de datos europeas en 2026.

Qué exige exactamente la normativa actualizada

El RGPD desde 2018 exige consent claro pero la interpretación se ha ido refinando con guías del CEPD (Comité Europeo de Protección de Datos), sentencias del TJUE y resoluciones de autoridades nacionales. El estado del arte en 2026:

• Granularidad por canal y finalidad: no vale un "acepto marketing" agregado. Tiene que ser "acepto emails comerciales" + "acepto SMS" + "acepto llamadas" + "acepto perfilado" como casillas separadas. El usuario debe poder dar o denegar consentimiento a cada uno por separado.
• Opt-in activo: las casillas pre-marcadas son inválidas. El usuario tiene que hacer una acción afirmativa explícita (marcar la casilla, pulsar un botón). Aceptar por defecto no cuenta.
• Prueba del consentimiento documentada: tienes que guardar qué versión del formulario aceptó el usuario, en qué fecha exacta, desde qué IP, qué casillas marcó concretamente. Si hay disputa, sin esta prueba pierdes.
• Información clara y específica: el usuario debe saber qué consiente, quién lo procesará, durante cuánto tiempo, con qué derechos. La política de privacidad enlazada con texto en términos comprensibles.
• Revocación tan fácil como dar consentimiento: si dio consent en 2 clics, tiene que poder revocar en 2 clics. Procesos de "darse de baja" que requieren contactar a soporte, esperar 30 días o llamar por teléfono son inválidos.
• Sin consent por chantaje: no puedes condicionar el servicio principal a aceptar marketing irrelevante. Si vendes seguros, no puedes obligar a aceptar perfilado publicitario para contratar la póliza.

Soft opt-in vs hard opt-in (la distinción clave)

Hay un punto fino que mucha gente desconoce: las bases jurídicas del marketing son distintas según la relación con el destinatario.

Soft opt-in (interés legítimo)

Para contactar con clientes existentes para promocionar productos o servicios similares al que ya compraron, el consent puede ser tácito basado en interés legítimo del responsable. Caso típico: un cliente que compró una herramienta de cocina puede recibir email sobre otra herramienta de cocina del mismo proveedor sin que haya marcado "acepto marketing" expresamente.

Requisitos del soft opt-in:

• Es cliente, no lead frío.
• El producto promocionado es similar al ya adquirido.
• En el momento de la compra se le dio opción de oponerse (no recibir promociones).
• En cada comunicación posterior tiene opción clara de oponerse.

Hard opt-in (consentimiento expreso)

Para marketing a leads fríos que no son clientes, a contactos en otros productos no relacionados o para perfilado publicitario, el consentimiento expreso es obligatorio. Casilla marcada activamente, información clara, granular.

Implicación para tu CRM

Tu CRM debe distinguir contactos según base jurídica de tratamiento. No basta con un campo "marketing_consent = true/false". Necesitas saber si cada contacto está bajo soft opt-in o hard opt-in y para qué canales/finalidades.

Checklist para auditar tu gestión actual

Revisa tu configuración con estos 10 puntos. Si fallas 2 o más, tienes exposición real:

1. ¿Tu formulario público tiene checkbox separado por canal (email/SMS/llamada)?
2. ¿Las casillas están desmarcadas por defecto, requiriendo acción explícita del usuario?
3. ¿La política de privacidad enlazada está actualizada y es accesible desde el formulario?
4. ¿Guardas timestamp exacto del consent de cada usuario?
5. ¿Guardas versión del formulario que firmó (texto exacto, versión datada)?
6. ¿Hay log histórico de cambios de consent (cuándo activó, cuándo modificó, cuándo revocó)?
7. ¿El email permite "darse de baja" con un clic y en cada canal independientemente?
8. ¿La baja es efectiva inmediatamente, sin "se procesará en 7 días" ni reactivaciones automáticas?
9. ¿Distingues soft opt-in (clientes) vs hard opt-in (leads) en tu CRM?
10. ¿Puedes generar evidencia documentada del consentimiento si la AEPD te lo pide en 24-48 horas?

Cómo gestionar tu base actual sin consent granular

Si tu base actual tiene miles de contactos con consent agregado o sin documentación adecuada, tienes problema retroactivo. Opciones:

Re-consent activo

Mandar email a toda la base actual con un formulario donde el usuario actualiza sus preferencias granularmente. "Estamos actualizando tu información para cumplir normativa. ¿Qué tipo de comunicaciones quieres recibir?". Los que no responden en X días, pasan a opt-out por defecto (lo más conservador legalmente).

Re-consent pasivo

Comunicar a la base que estás actualizando preferencias y dar opción de oponerse. Si no se oponen en plazo razonable, mantienes el consent. Más arriesgado legalmente; algunas autoridades lo rechazan.

Backfill por defecto seguro

Asumir que todos los usuarios actuales están en hard opt-in solo para los canales donde puedes demostrar documentación. Si no puedes demostrar, opt-out por defecto. Pérdida de base pero defensa legal sólida.

Lo NO recomendado

Continuar como si nada porque "siempre se ha hecho así". Es la receta para inspección AEPD desagradable.

Cómo lo gestiona REPLAI Sales

REPLAI Sales incluye gestión de consent diseñada para cumplir la normativa actualizada:

• Consent granular por canal (email, SMS, llamada, perfilado) en cada contacto, con valores independientes.
• Log histórico completo de cambios con timestamp, IP, versión del formulario y casillas marcadas.
• Formularios públicos generan automáticamente los checkboxes por canal con política enlazada y desmarcados por defecto.
• Distinción soft opt-in vs hard opt-in por contacto, con base jurídica documentada para cada uno.
• Revocación de un clic en cada email enviado, efectiva inmediatamente sin proceso manual.
• Exclusión automática en campañas: si un contacto se da de baja del canal email, las campañas email posteriores lo excluyen sin que el equipo de marketing tenga que recordarlo.
• Exportación auditable de la documentación de consent de cualquier contacto en caso de requerimiento de autoridad.
• Plantillas legales validadas para re-consent y comunicaciones de actualización.
• Integración con CMP (Consent Management Platforms) externos si tu web los usa para cookies.

Preguntas frecuentes