El cumplimiento de newsletters es donde más se meten en líos los founders indie y creators. La guía de Iubenda es exhaustiva pero pesada. Este artículo lo condensa a checklist de 7 puntos que cubre el suelo regulatorio sin contratar agencia.
La checklist de 7 puntos
1. Doble opt-in
El usuario se registra. Envías email de confirmación. Hace clic. Suscrito. El single opt-in falla la mayoría de auditorías UE. Coste: 5 minutos en ajustes de ESP.
2. Propósito específico de consentimiento
"Suscribirse al newsletter" pasa. "Mantente informado" no. "Recibir emails de marketing sobre [tema]" también pasa. El consentimiento vago no.
3. Sin casillas pre-marcadas
Solo opt-in activo. Las casillas pre-marcadas son ilegales bajo RGPD desde la sentencia Planet49 de 2019.
4. Desuscripción de un clic
En cada email, enlace en footer para darse de baja. Un solo clic debería bastar. Sin login. Efectivo en menos de 24 horas.
5. Identidad del remitente visible
Tu nombre legal (o comercial), dirección física y email de contacto en el footer de cada email. CAN-SPAM en EE.UU., Art. 13 RGPD en UE.
6. Política de retención para usuarios dados de baja
Cuando alguien se da de baja, ¿qué haces con sus datos? Práctica estándar: mantén el email en una suppression list (para honrar la baja), borra el resto en 30 días.
7. Política de privacidad enlazada en el signup
Bajo el formulario, enlace a tu política. Referénciala en el texto de consentimiento.
| Item | Tiempo setup | Fallo común |
|---|---|---|
| Doble opt-in | 5 min | Single opt-in default en algunos ESPs |
| Consentimiento específico | 10 min | Lenguaje "suscribir" vago |
| Sin pre-tick | 2 min | Forms antiguos aún pre-marcan |
| Baja en 1 clic | 5 min | Baja que requiere login |
| Identidad remitente | 5 min | Falta dirección física |
| Retención datos | 30 min | Sin política documentada |
| Enlace a política | 5 min | Política no enlazada en el form |
La reclamación más común de newsletter a la AEPD en 2025: casillas pre-marcadas y rutas de baja ausentes. Ambas son fixes de 10 minutos. Ambas fallan auditorías repetidamente porque nadie revisa el form de signup.
Conclusión
El newsletter es el área RGPD más simple y la más fallada. El checklist de 7 puntos cubre el suelo en una tarde. Para SaaS con lista seria, documenta también una revisión trimestral.
Para generar una política con la sección de newsletter alineada con Art. 13/14 RGPD, prueba Termerly gratis.
