Denunciar spam en España es un derecho que tienes y que probablemente no estás ejerciendo. Cada correo basura que recibes sin haberlo solicitado es, en la mayoría de los casos, spam ilegal según la legislación española y europea. La AEPD (Agencia Española de Protección de Datos) recibe miles de reclamaciones al año relacionadas con correo no deseado, y aun así, la gran mayoría de usuarios ni siquiera sabe que puede reportar correo basura con consecuencias reales para quien lo envía. Esta guía te lleva paso a paso por el proceso de denuncia de spam en España: qué leyes te protegen, dónde presentar la reclamación, qué pruebas necesitas y qué puedes esperar del proceso. Porque borrar y olvidar está bien, pero hacer que le cueste dinero al spammer está mejor.
Qué dice la ley española sobre el spam
El envío de comunicaciones comerciales no solicitadas está regulado por dos normas principales: la Ley 34/2002 de Servicios de la Sociedad de la Información (LSSI-CE) y el Reglamento General de Protección de Datos (RGPD), complementado por la Ley Orgánica 3/2018 (LOPDGDD). Entre las tres, el spammer lo tiene bastante crudo.
La LSSI-CE, en su artículo 21, prohíbe el envío de comunicaciones comerciales por correo electrónico u otros medios electrónicos equivalentes sin el consentimiento previo y expreso del destinatario. Solo hay una excepción: si ya eres cliente de la empresa y te envía ofertas sobre productos similares a los que compraste. Y aun así, debe darte la opción de darte de baja en cada mensaje.
Las sanciones no son testimoniales. La LSSI-CE contempla multas de hasta 30.000 euros por infracciones leves y hasta 150.000 euros por infracciones graves. Si el spam además viola el RGPD —por ejemplo, porque obtuvieron tu email de una base de datos comprada sin tu consentimiento—, las multas pueden alcanzar los 20 millones de euros o el 4% de la facturación global de la empresa. La AEPD ha impuesto sanciones reales por envío de spam: no es papel mojado.
Un detalle que muchos desconocen: el spam no tiene que ser un intento de robo de credenciales ni contener malware para ser ilegal. Basta con que sea una comunicación comercial enviada sin tu consentimiento.
Qué pruebas necesitas antes de denunciar
Antes de lanzarte a rellenar formularios, recopila las evidencias. Una denuncia sin pruebas es como un filtro antispam sin reglas: no sirve de mucho.
Esto es lo que necesitas guardar:
- El correo completo con cabeceras técnicas. No basta con el contenido visible. Necesitas las cabeceras (headers) del email, que contienen información sobre los servidores por los que pasó el mensaje. En Gmail: abre el mensaje → tres puntos → "Mostrar original". En Outlook: abre el mensaje → Archivo → Propiedades → "Encabezados de Internet".
- Capturas de pantalla del mensaje tal como lo recibiste, incluyendo el remitente y la fecha.
- Prueba de que no diste consentimiento. Esto puede ser complicado de demostrar en negativo, pero ayuda documentar que nunca te registraste en el servicio del remitente.
- Registro de intentos de baja. Si el correo incluía un enlace de "darse de baja" y lo usaste sin resultado, documéntalo. Si no incluía ninguna opción de baja, eso es otra infracción adicional.
- Frecuencia y volumen. Si recibes spam repetido del mismo remitente, guarda varios ejemplos con sus fechas. La reiteración agrava la infracción.
Organiza todo en una carpeta. Fecha, remitente, asunto, cabeceras. Si eres metódico con las pruebas, la AEPD te lo agradecerá y tu reclamación tendrá más peso. También puedes analizar los enlaces sospechosos del correo con herramientas como VirusTotal o URLScan.io para verificar si además del spam hay un componente de phishing o distribución de malware destructivo.
Cómo presentar la denuncia paso a paso
Tienes varias vías para denunciar spam en España, dependiendo de la gravedad y de lo que busques conseguir.
Opción 1: Reclamación ante la AEPD (la más habitual)
- Accede a la sede electrónica de la AEPD en sedeagpd.gob.es. Necesitarás certificado digital, DNI electrónico o Cl@ve.
- Selecciona "Reclamaciones" y elige el tipo: protección de datos o comunicaciones comerciales (LSSI).
- Rellena el formulario. Identifica al reclamado (la empresa o persona que envía el spam). Si no sabes quién es, indica el dominio del remitente y cualquier dato que tengas.
- Adjunta las pruebas que has recopilado: cabeceras del correo, capturas, registro de intentos de baja.
- Envía y guarda el justificante. La AEPD te asignará un número de expediente.
La AEPD suele responder en un plazo de entre 3 y 12 meses, dependiendo de la complejidad. No es rápido, pero funciona. Si la empresa está en España, la AEPD tiene potestad sancionadora directa.
Opción 2: Denuncia ante la Policía Nacional o Guardia Civil
Si el spam incluye elementos de estafa, phishing o suplantación de identidad, ya no es solo un tema de protección de datos: es un delito. En ese caso, además de la AEPD, presenta denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado.
- La Policía Nacional cuenta con la Unidad de Investigación Tecnológica (UIT), accesible en policia.es.
- La Guardia Civil opera a través del Grupo de Delitos Telemáticos (GDT) y acepta denuncias online.
Aporta las mismas pruebas que para la AEPD, más cualquier evidencia adicional de fraude: páginas falsas, solicitudes de datos bancarios, archivos adjuntos sospechosos.
Opción 3: Reclamación a través del INCIBE
El Instituto Nacional de Ciberseguridad (INCIBE) gestiona el buzón de incidentes a través de su línea de ayuda 017 y su formulario de reporte. No tiene potestad sancionadora directa, pero coordina con AEPD, policía y proveedores de servicios de internet. Es especialmente útil para reportar correo basura que distribuye malware o forma parte de campañas masivas. Los datos que recopila INCIBE alimentan los sistemas de alerta temprana a nivel nacional.
Más allá de la denuncia: herramientas para blindar tu bandeja
Denunciar está bien. Prevenir, mejor. Mientras la maquinaria administrativa hace su trabajo, puedes reducir drásticamente el spam que recibes.
Revisa dónde están tus datos. Herramientas como Have I Been Pwned te permiten comprobar si tu dirección de correo ha aparecido en filtraciones de datos. Si es así, probablemente esté circulando en listas que usan los spammers. Los data brokers que venden datos personales son una fuente habitual de direcciones para campañas de spam masivo: conocer su existencia te ayuda a entender de dónde sale tanto correo no deseado.
Usa alias de correo. Servicios como SimpleLogin, AnonAddy o la función de alias integrada en algunos proveedores te permiten dar una dirección diferente a cada servicio. Si uno de ellos empieza a enviarte spam o vende tu dirección, desactivas ese alias y listo. Sabrás exactamente quién filtró tus datos.
Configura filtros agresivos. Los filtros nativos de Gmail y Outlook son decentes, pero no suficientes si recibes volumen alto. Considera soluciones de filtrado con inteligencia artificial que analicen patrones de comportamiento, no solo palabras clave. Si tu empresa necesita una solución más robusta, las herramientas de IA aplicadas a la empresa están avanzando rápido en detección de correo malicioso.
Ejerce tu derecho de supresión. El artículo 17 del RGPD te da el derecho a solicitar que eliminen tus datos. Si una empresa te envía spam, puedes exigirle que borre toda la información que tenga sobre ti. Hazlo por escrito (email vale) y guarda copia. Si no responde en un mes, tienes otra vía de reclamación ante la AEPD.
Y no subestimes la formación en ciberseguridad: muchas direcciones de correo acaban en listas de spam porque alguien en la oficina las introdujo en un formulario sospechoso o respondió a un correo que no debía.
Preguntas frecuentes
¿Puedo denunciar spam si la empresa tiene sede fuera de España?
Sí. Si el spam se dirige a residentes en la UE, el RGPD aplica independientemente de dónde esté la empresa. La AEPD puede coordinarse con autoridades de protección de datos de otros países a través del mecanismo de cooperación europeo. Para empresas fuera de la UE, la efectividad baja, pero la denuncia queda registrada y puede alimentar acciones colectivas.
¿Cuánto tarda la AEPD en resolver una reclamación por spam?
El plazo medio varía entre 3 y 12 meses. Los casos sencillos con pruebas claras se resuelven más rápido. Si la empresa reclamada colabora y demuestra que ha corregido la práctica, la AEPD puede archivar con apercibimiento en lugar de sanción económica.
¿El newsletter de una empresa a la que compré algo es spam ilegal?
No necesariamente. La LSSI permite enviar comunicaciones comerciales a clientes existentes sobre productos o servicios similares a los adquiridos, siempre que se ofrezca la posibilidad de oponerse. Si no te dejan darte de baja o si nunca compraste nada, entonces sí es spam ilegal y puedes denunciar spam ante la AEPD.
¿Merece la pena denunciar un solo correo de spam?
Por un único correo, la AEPD probablemente no inicie un procedimiento sancionador grave. Pero tu denuncia se suma a otras. Si la misma empresa acumula reclamaciones, la AEPD actúa. Piénsalo como votar: tu denuncia individual tiene más impacto del que parece cuando se agrega con las de otros afectados.
¿Puedo pedir una indemnización por recibir spam?
El RGPD reconoce el derecho a indemnización por daños derivados del tratamiento ilícito de datos. En la práctica, reclamar una compensación económica por spam requiere acudir a la vía judicial civil, lo que implica abogado y procurador. Para casos individuales, el coste no suele compensar. Para acciones colectivas o casos graves con perjuicio demostrable, sí puede tener sentido.
El siguiente paso
Abre tu carpeta de spam ahora mismo. Elige el correo más reciente de una empresa española identificable que no te haya pedido consentimiento. Extrae las cabeceras, haz la captura y entra en la sede electrónica de la AEPD. Todo el proceso te llevará menos de 20 minutos. Si cada persona que lee esto denuncia un solo correo, los spammers empezarán a notar que enviar basura a buzones españoles tiene un coste real. Tu bandeja de entrada te lo agradecerá, y la nuestra también.
