Comprar una lista de correos es la forma más rápida de convertir tu dominio en spam y tu empresa en denunciable. Las listas correo compradas prometen miles de contactos por cuatro duros, pero lo que compras de verdad es una multa del RGPD, una reputación de remitente por los suelos y un buzón de quejas. En España, la Agencia Española de Protección de Datos (AEPD) sanciona el envío de comunicaciones comerciales sin consentimiento con multas que llegan a decenas de miles de euros. Y no, "es que la lista la vendía una empresa legal" no te salva. Aquí desmontamos por qué comprar emails es un mal negocio, qué dice la ley y qué hacer si ya has caído en la tentación.
Por qué una lista comprada nunca es legal en la UE
El RGPD (Reglamento UE 2016/679) y la LOPDGDD española exigen consentimiento informado, específico e inequívoco para tratar datos personales con fines de marketing. Un email es un dato personal. Punto.
Cuando compras una base datos email, esas personas dieron su consentimiento —si es que lo dieron— a otra empresa, para otra finalidad. Ese consentimiento no se transfiere con la venta. La AEPD lo ha dejado claro en múltiples resoluciones: el "interés legítimo" no cubre el spam comercial a desconocidos.
La LSSI-CE (Ley 34/2002) añade la guinda: prohíbe enviar comunicaciones comerciales por email sin solicitud o autorización previa del destinatario. Cada correo no consentido es una infracción independiente. Multiplica.
- RGPD: infracciones graves hasta 20 millones de euros o el 4% de la facturación anual global.
- LSSI-CE: sanciones de hasta 150.000 euros por envío masivo no consentido.
- Cargar con la prueba: eres tú quien debe demostrar el consentimiento. Sin él, estás vendido.
Los riesgos de comprar listas que nadie te cuenta
Más allá de la multa, los riesgos comprar listas te tocan donde duele: la entregabilidad. Aunque nunca te denuncien, el daño técnico es inmediato.
Las listas vendidas están plagadas de spam traps: direcciones creadas por proveedores como Spamhaus o Microsoft precisamente para cazar a quien envía sin permiso. Escribes a una y tu IP acaba en una blocklist. Adiós entregabilidad.
| Riesgo | Consecuencia real |
|---|---|
| Spam traps | Tu dominio entra en Spamhaus/Barracuda |
| Tasa de rebote alta | Gmail y Outlook te marcan como sospechoso |
| Quejas de abuso | Tu proveedor SMTP cierra la cuenta |
| Datos caducados | Pagas por buzones muertos y trampas |
Google endureció en febrero de 2024 sus requisitos para remitentes masivos: exige SPF, DKIM, DMARC y una tasa de quejas por debajo del 0,3%. Una lista comprada dispara esa cifra el primer día. Tu email marketing legal se muere antes de empezar.
¿Y la reputación de marca? Aparecer como el remitente que llena buzones de gente que no te pidió nada no genera clientes, genera bloqueos y reseñas de una estrella. Si además tu web tiene un formulario mal protegido, revisa nuestra guía sobre cómo el spam se cuela por todos los canales, porque el email es solo la punta.
Cómo distinguir una lista comprada de una lista legítima
Los vendedores de base datos email son creativos con el lenguaje. "Leads verificados", "contactos opt-in premium", "segmentados por sector". Traducción: emails raspados de webs y directorios públicos.
Señales de que te están colando una lista ilegal:
- Te venden "X euros por cada 10.000 contactos". El consentimiento no se vende al peso.
- No pueden mostrarte la prueba del opt-in de cada dirección.
- Prometen emails "de tu sector" que casualmente nunca han oído hablar de ti.
- El contrato te hace responsable a ti de la legalidad del envío. Ahí lo tienes.
Una lista legítima es la que tú construyes: formularios con casilla de consentimiento sin premarcar, doble opt-in y un registro de cuándo y cómo se dio permiso. Es más lenta, sí. También es la única que no te lleva a los tribunales. Si estás montando la captación desde cero, un formulario web bien configurado con doble confirmación es la base de todo.
Qué hacer si ya compraste una lista
Respira. Ahora actúa antes de que la lista actúe contra ti.
- No la uses. Ni un envío de prueba. Cada correo es una infracción potencial.
- Bórrala y documenta el borrado. Si la AEPD pregunta, quieres poder demostrar que no la trataste.
- Comprueba tu dominio en MXToolbox Blacklist Check por si tu IP ya está listada.
- Verifica exposición de tus propias cuentas en Have I Been Pwned — muchas listas vendidas salen de filtraciones, y la tuya puede estar dentro.
Si sospechas que la lista venía de un archivo con malware adjunto (pasa más de lo que crees con estos "regalos" comerciales), pásalo por VirusTotal antes de abrir nada. Y si te preocupa la privacidad de tus propios datos filtrados, tenemos una guía sobre qué funciona de verdad para reducir tu huella.
La alternativa sensata al atajo ilegal es construir permiso real. Automatizar la captación con herramientas de IA para segmentar contactos que sí quieren saber de ti da mejores resultados que 50.000 desconocidos cabreados.
Preguntas frecuentes
¿Es ilegal comprar listas de correo en España?
Usarlas para enviar publicidad sí es ilegal sin consentimiento previo del destinatario. El RGPD y la LSSI-CE lo prohíben, y la AEPD sanciona el envío no consentido. La compra en sí y el uso posterior te exponen a multas de hasta 20 millones de euros.
¿Qué multa puede ponerme la AEPD por enviar a una lista comprada?
Las infracciones graves del RGPD alcanzan hasta 20 millones de euros o el 4% de la facturación anual. La LSSI añade sanciones de hasta 150.000 euros por envíos masivos no consentidos. La cuantía real depende del volumen y de si hubo denuncias.
¿El "interés legítimo" me permite escribir a contactos comprados?
No para spam comercial a desconocidos. La AEPD interpreta el interés legítimo de forma restrictiva en marketing directo, y una lista comprada nunca lo cumple porque el consentimiento se dio a otra empresa con otra finalidad.
¿Cómo sé si mi dominio ya está en una lista negra por esto?
Comprueba tu IP y dominio en herramientas como MXToolbox o directamente en la web de Spamhaus. Si apareces listado, tu entregabilidad ya está dañada y tocará solicitar la retirada tras corregir el problema de origen.
¿Puedo usar una lista si el vendedor me garantiza que es "opt-in"?
No te fíes. La carga de la prueba del consentimiento es tuya, no del vendedor. Si no puedes demostrar cuándo y cómo cada persona te autorizó a ti concretamente, ante la AEPD estás indefenso aunque tengas un contrato bonito.
El siguiente paso
Abre tu plataforma de email marketing ahora mismo y revisa el origen de tu lista actual: si alguna dirección entró sin un registro de consentimiento con fecha y método, márcala y déjala de usar hoy. Empieza a construir permiso real con doble opt-in en tu próximo formulario. Y si quieres más munición contra el correo basura, pásate por el resto del blog de MataSpam: aquí desmontamos trampas nuevas cada semana.
