¿Los datos de contacto profesionales son datos personales?

Los datos de contacto profesionales son datos personales cuando identifican o permiten identificar a una persona física; la palabra «empresa» no clasifica una fila completa: una denominación social puede pertenecer a una persona jurídica, mientras el correo nominativo y el teléfono directo de la misma fila señalan a una persona. El uso posterior y el marketing electrónico requieren pruebas separadas.

Respuesta rápida: Los datos de contacto profesionales son datos personales si identifican a una persona física, aunque aparezcan en un dominio empresarial o sean públicos. Un buzón genérico suele identificar a la organización, salvo que el contexto revele a alguien. Clasifique cada campo, defina su uso conforme al RGPD y compruebe aparte las normas nacionales de ePrivacy.

Última actualización: 26 de agosto de 2026.

La etiqueta B2B no clasifica la fila

El RGPD protege información relativa a una persona física identificada o identificable; no se aplica, como tal, a los datos relativos a personas jurídicas, incluida la denominación y forma de la entidad y sus datos de contacto ¹. Esa separación no convierte toda una ficha comercial en una sola categoría. Un registro puede combinar atributos de la sociedad con campos que señalan a empleados, representantes o personas que desarrollan una actividad económica.

La frase «los datos B2B están exentos del RGPD» es falsa; B2B describe el contexto de una relación, no la naturaleza del sujeto. Si el campo permite distinguir a una persona física directa o indirectamente, es dato personal. El dominio corporativo, la función profesional, la publicación en una web o la compra a un proveedor no cambian esa definición. La Comisión ilustra la diferencia entre datos de una empresa y direcciones profesionales nominativas ².

Tampoco debe aplicarse la regla a toda la base; una fila puede contener la razón social, número registral y centralita de una persona jurídica, junto con el nombre de una responsable de compras y su extensión directa. Los tres primeros campos pueden referirse solo a la organización; los demás identifican a alguien. La finalidad y la combinación disponible pueden hacer identificable incluso un campo que aislado parece neutro.

El error suele mezclar dos preguntas; la primera es si hay datos personales y activa el marco del RGPD. La segunda es si puede utilizarse un canal para una comunicación de marketing; ahí intervienen ePrivacy y la ley del Estado miembro. Una excepción o regla nacional de marketing, cuando exista, no vuelve impersonal la información ni elimina las demás obligaciones.

La clasificación correcta es granular y temporal; anote sujeto, campo, contexto y fecha. Un buzón hoy compartido puede asignarse mañana a una sola persona; una firma añadida puede revelar quién responde; una base enriquecida puede combinar datos hasta identificar. El registro debe poder cambiar de conclusión sin reetiquetar indiscriminadamente toda la lista.

Empiece por el sujeto y después examine el campo

Primero identifique a quién se refiere la información; si el sujeto es exclusivamente una persona jurídica, el campo no es personal por esa razón. Si señala a una persona física, el contexto profesional no la excluye. Cuando el sujeto no está claro, examine el conjunto y los medios razonablemente utilizables para identificarlo, no solo el texto visible en una celda.

El resultado inicial no concede permiso; sirve para saber qué reglas se activan y qué dato necesita protección. Un campo fuera de la definición del RGPD puede seguir sujeto a confidencialidad, contrato, competencia desleal u otras normas; este artículo no convierte «no personal» en «libre para cualquier uso».

La identificación puede ser indirecta; una extensión, un cargo único o la combinación de empresa, ubicación y proyecto pueden señalar a una persona aunque no figure su nombre. Evalúe los medios disponibles para quien trata la lista y los destinatarios previstos. No es necesario que cualquier persona del mundo pueda identificar; importa la posibilidad razonable en el contexto.

Si una fila contiene resultados mixtos, no la fuerce a una sola etiqueta; mantenga clasificación por campo o por conjunto funcional y defina controles que sigan esa granularidad. Puede conservar datos registrales para una finalidad y suprimir un correo nominativo por oposición al marketing. Un sistema que solo permite borrar la fila completa debe documentar la limitación y buscar una solución que respete ambas ramas.

Los datos profesionales nominativos identifican a una persona

Una dirección como [email protected] identifica normalmente a una persona física; lo mismo ocurre con un teléfono directo, una extensión individual o un identificador que vincula de manera estable a un trabajador con una cuenta. El hecho de que la información describa una actividad profesional no elimina a la persona que la realiza.

La disponibilidad pública tampoco es una base jurídica; una página corporativa puede facilitar un contacto para una finalidad concreta, pero no autoriza cualquier perfilado, enriquecimiento, conservación o campaña. Registre de dónde se obtuvo el dato, qué expectativa razonable acompaña al contexto y qué información de transparencia se proporcionará. Si la fuente cambia o desaparece, revise exactitud y necesidad.

Un vendedor puede afirmar que su lista es «conforme», pero esa etiqueta no responde a las preguntas del responsable que la utiliza; debe conocer fuente, fecha, método de recogida, finalidad original, información facilitada, mecanismos de oposición y reglas de marketing aplicadas. La responsabilidad sobre el nuevo uso no se transfiere mediante una garantía comercial general.

El cargo o la función pueden ser datos personales cuando se vinculan a una persona, y el conjunto puede revelar más de lo aparente: nivel de responsabilidad, movimientos profesionales, relaciones comerciales o participación en proyectos; aplique minimización. Si la finalidad solo necesita un buzón funcional, no recopile nombre, número personal y perfiles adicionales por si acaso.

La exactitud es especialmente frágil en contactos de trabajo; las personas cambian de puesto y empresa; los correos se reasignan y los directorios quedan obsoletos. Defina una fecha de verificación, una fuente fiable, un procedimiento de corrección y una regla de retirada. Enviar comunicaciones a una dirección antigua no es solo ineficaz: puede revelar una relación o información a un destinatario incorrecto.

Los buzones genéricos dependen del contexto

Un buzón como info@, ventas@ o compras@ suele identificar a una función de la organización y no a una persona física; esa es una conclusión inicial, no permanente. Si una empresa pequeña asigna el buzón a una sola persona, las respuestas incluyen su firma y los registros internos vinculan todas las acciones con ella, el conjunto puede identificarla.

La dirección también puede cambiar con el tiempo; un buzón compartido puede pasar a ser individual; un alias puede redirigirse a una cuenta nominativa; la firma puede añadir nombre y teléfono. Registre el contexto observado y la fecha. No mantenga una regla rígida basada en el prefijo si los sistemas contienen información que contradice esa apariencia.

Diferencie clasificación y gestión; aunque el buzón sea organizativo, una respuesta recibida puede contener nombre, opinión, firma o información sobre otra persona. Desde ese momento el hilo puede incluir datos personales y necesita una finalidad, acceso limitado, conservación y ruta para derechos. Clasificar la dirección inicial no clasifica todo el contenido posterior.

En la auditoría, los buzones funcionales pueden conservarse como rama separada para determinados usos, pero deben seguir la comprobación de marketing del mercado y canal; «no es dato personal» no significa «se puede enviar». ePrivacy puede regular una comunicación electrónica aunque la dirección no identifique a una persona, según la aplicación nacional y la categoría del destinatario.

Las formas empresariales exigen revisar el Derecho nacional

La forma jurídica no puede aplanarse en una regla europea; el Derecho nacional determina si una entidad tiene personalidad jurídica, cómo se distingue de sus miembros y a quién se refieren sus datos. Por eso la palabra partnership, sociedad personalista o una etiqueta parecida no permite concluir por sí sola que el registro identifica a una persona física.

La dependencia del Derecho nacional es la respuesta, no una evasión; la decisión consta de dos pruebas que no pueden fusionarse: primero, el ordenamiento aplicable determina la naturaleza de la forma y quién es la entidad; después, el RGPD pregunta si este campo o conjunto identifica a una persona física. Por eso ni la etiqueta partnership ni la de empresa individual producen una conclusión europea automática. El resultado puede ser distinto para los datos propios de la entidad y para los que señalan a miembros, representantes o a quien ejerce la actividad.

No confunda ausencia de personalidad jurídica con identificación automática de todos los miembros; el registro concreto todavía debe referirse a una persona física. Del mismo modo, la existencia de una persona jurídica no vuelve impersonales el nombre, el correo o el teléfono de su representante. La forma responde quién puede ser el sujeto; el campo y el contexto responden a quién identifica esta información.

Una lista internacional necesita conservar el país o Derecho aplicable como dato de clasificación; no copie la conclusión de un mercado a otro solo porque las etiquetas comerciales se traducen de forma parecida. Cuando la naturaleza no pueda confirmarse, mantenga el registro como no resuelto, limite usos y obtenga evidencia antes de asignar la rama final.

En España, la Agencia Española de Protección de Datos (AEPD) es el contacto competente que puede orientar al lector; su inclusión aquí ofrece una vía práctica; no convierte este artículo compartido en una afirmación nacional sobre formas empresariales ni altera la dependencia del Derecho aplicable.

Ser dato personal no concede permiso de uso

La clasificación solo abre el análisis; para utilizar un correo profesional personal, defina una finalidad específica y una base jurídica adecuada; facilite información de transparencia, limite los campos, mantenga exactitud, fije conservación y permita los derechos. Un dato público o comprado sigue necesitando esas decisiones ¹.

La base debe corresponder al uso, no al origen; la ejecución de una relación existente, el cumplimiento de una obligación, el interés legítimo o el consentimiento tienen condiciones distintas. No presuponga interés legítimo porque la comunicación es profesional. Describa la necesidad, los intereses, el impacto y las expectativas, y conserve la prueba. Para ciertos canales de marketing puede exigirse consentimiento u otra condición nacional adicional.

La transparencia debe llegar a la persona, incluso cuando el dato procede de otra fuente, salvo que concurra una excepción aplicable y documentada; explique categorías, origen, finalidad, base, destinatarios, conservación y derechos de forma accesible. Un enlace escondido en una campaña no corrige meses de perfilado opaco. Planifique la información desde la adquisición de la lista.

Minimización y exactitud trabajan juntas; conserve solo los campos necesarios y verifique los que dirigen decisiones o comunicaciones. Defina cuándo caduca un dato laboral y cómo se corrige. La conservación no debe depender de que el sistema tenga espacio; vincúlela con la finalidad, las obligaciones y las reclamaciones previsibles, y documente borrado o anonimización.

Los derechos incluyen acceso, rectificación, supresión, limitación, oposición y otros según el tratamiento; para marketing directo, la oposición debe detener ese uso. Puede ser necesario conservar una cantidad mínima en una lista de supresión para no volver a contactar; esa conservación tiene una finalidad distinta, acceso limitado y no autoriza reactivar la campaña.

El marketing electrónico añade otra capa legal

Una campaña electrónica exige dos análisis que no deben fusionarse; el RGPD pregunta si se tratan datos personales y cómo se justifican y gobiernan. La Directiva ePrivacy regula, entre otras materias, comunicaciones no solicitadas y deja aspectos relevantes a la transposición de cada Estado miembro ³. Mercado, canal y categoría de abonado pueden cambiar la respuesta.

No existe una exención europea general para marketing B2B; una empresa que opera en varios países debe comprobar la aplicación nacional en el mercado de destino, no en el país que le resulte más cómodo. Registre la norma, el canal, la categoría, la condición utilizada y la evidencia. Si la conclusión depende de una excepción, anote sus requisitos y no la extienda a otro canal o finalidad.

La etiqueta B2B suele ocultar al menos tres ramas: comunicación a un buzón organizativo, comunicación a una persona en su función y uso de una lista para perfilar o enriquecer; cada rama puede tener distinta clasificación, base y regla de canal. El sistema de campañas debe poder separar destinatarios y aplicar supresión sin borrar evidencia necesaria ni reutilizarla.

La fuente pública no sustituye esta prueba; una dirección publicada para solicitudes de soporte no implica expectativa de recibir prospección. Una compra de lista no transfiere la responsabilidad. Exija al proveedor datos sobre origen, avisos, consentimientos cuando correspondan, criterios y fecha; después aplique su propia finalidad y el Derecho del mercado.

Cuando la ruta nacional no esté resuelta, el resultado no es «probablemente permitido»; mantenga el envío bloqueado o use una comunicación que no sea marketing si existe una razón legítima separada y verdadera. La incertidumbre debe aparecer en el registro con propietario y fecha de resolución.

Convierta la lista en decisiones por campo

Una auditoría útil termina con una acción por campo y finalidad; no basta con contar filas o separar dominios gratuitos y corporativos. Tome una muestra representativa, identifique patrones y aplique el mismo registro a las excepciones. Si el sistema no permite granularidad, documente la limitación como un riesgo y priorice la capacidad de suprimir, restringir y corregir.

Los registros no resueltos necesitan una ruta segura; sepárelos de las campañas y de cualquier enriquecimiento hasta confirmar sujeto, fuente o regla nacional. Asigne propietario, pregunta exacta y fecha. «Pendiente» sin control es una autorización implícita; un estado restringido evita que el proceso automático decida antes que la revisión.

La supresión también es una decisión por finalidad; cuando una persona se opone al marketing, deje de usar sus datos para ese fin. Una lista mínima de supresión puede conservar un identificador necesario para evitar que una compra posterior la vuelva a incorporar. Limite acceso y uso; no la trate como una audiencia excluida que todavía puede analizarse para otros objetivos.

Use resultados agregados para mejorar el origen de los datos; si muchas filas carecen de fecha, transparencia o clasificación nacional, corrija la adquisición y no solo la muestra. Si un proveedor no puede explicar su procedencia, la solución puede ser abandonar esa fuente. La auditoría termina cuando el flujo futuro produce registros mejores.

Dos ramas de una misma fila llevan a controles distintos

Considere una fila mixta: razón social y número registral, nombre y correo directo de una persona, buzón genérico, historial de servicio y una marca de posible prospección; la parte estrictamente relativa a la persona jurídica sigue la rama organizativa. El nombre y el correo directo identifican a una persona física y entran en la rama del RGPD. El buzón genérico exige comprobar contexto antes de asignarlo.

Para administrar un servicio existente, defina qué campos son necesarios, la base aplicable, los destinatarios, la transparencia y la conservación; no utilice automáticamente la misma selección para prospectar. La finalidad de marketing es distinta y requiere su propia base y la comprobación de ePrivacy del mercado y canal. Una relación contractual con la empresa no convierte todos sus contactos en audiencia comercial.

Si la forma empresarial no está clara, abra primero la comprobación nacional; determine quién es la entidad y después si cada campo identifica a una persona física. Mientras la duda persiste, no explote esa ambigüedad para escoger la rama más permisiva. Restrinja los datos y obtenga documentación registral o asesoramiento pertinente.

El resultado puede ser granular: conservar datos de la entidad para facturación; mantener el contacto nominativo mientras sea necesario para el servicio; corregir el cargo; excluir el correo de marketing por oposición; mantener un identificador mínimo en supresión; y permitir o bloquear el buzón genérico según la norma nacional; todas esas acciones pueden coexistir en la misma fila.

La sentencia del Tribunal de Justicia en el asunto C-631/21 ilustra por qué la forma societaria y la referencia a personas físicas no deben confundirse mecánicamente ⁴. Para operar, el equipo no necesita convertir cada caso en un tratado jurídico: necesita conservar la forma exacta, el Derecho aplicable, el sujeto, el campo, la finalidad y la decisión revisable.

Una revisión posterior se activa cuando cambia el cargo, la dirección se reasigna, se añade una fuente, se enriquece el perfil, aparece un nuevo canal, cambia el mercado o se actualiza la norma nacional; la misma fila puede moverse entre ramas con el tiempo. La evidencia de ese movimiento importa tanto como la conclusión actual.

El marketing británico necesita una rama distinta

La prueba de persona física es ampliamente comparable, pero la rama de comunicaciones electrónicas no debe copiarse: en el Reino Unido, PECR utiliza sus propias categorías de abonados, mientras en la Unión la respuesta depende de la transposición de ePrivacy por cada Estado miembro; esta comparación solo explica la divergencia; no incorpora ninguna autorización británica a la decisión europea.

Por tanto, una política global no debe utilizar el resultado de un mercado como valor predeterminado; mantenga reglas por destino, canal y categoría, con evidencia y fecha. Si una campaña cubre varios mercados, cada destinatario debe pasar por su ruta aplicable antes del envío; la clasificación de dato personal permanece separada.

Preguntas frecuentes

¿Un correo profesional con nombre es dato personal?

Sí; una dirección que incorpora nombre y apellido, o que de otro modo individualiza a una persona física, es dato personal aunque el dominio pertenezca a una empresa. También puede identificar indirectamente mediante un cargo único o una extensión vinculada. Ser público no concede permiso. Debe registrarse finalidad, base, fuente, transparencia, conservación, seguridad y derechos, y aplicar además la prueba de marketing si se utiliza para prospección.

El análisis se mantiene por uso; el mismo correo puede ser necesario para coordinar un servicio y estar excluido de una campaña por oposición. Los sistemas deben sostener esa separación sin borrar evidencia necesaria ni permitir una reimportación automática.

¿Un buzón genérico es siempre ajeno al RGPD?

No siempre; [email protected] suele apuntar a la organización, pero una asignación estable, una firma o registros asociados pueden identificar a la persona que lo gestiona. Además, un hilo inicialmente organizativo puede acumular nombres, opiniones y detalles personales. Clasifique el campo con su contexto y fecha, y revise cuando cambie el enrutamiento.

Aunque el buzón no sea dato personal, la comunicación electrónica todavía puede quedar sometida a la norma nacional que aplica ePrivacy; la conclusión «organizativo» no es una licencia de marketing y debe conservarse separada del control de canal.

¿Los datos de una sociedad limitada son personales?

La denominación, el número registral y otros datos referidos exclusivamente a una persona jurídica no son por sí mismos datos personales; sin embargo, una ficha de esa sociedad puede incluir representantes, empleados o contactos identificables. El nombre y correo directo de una persona no pierden su naturaleza por aparecer junto a la razón social.

Clasifique cada campo y conjunto funcional; puede conservar información de la entidad para una obligación y, a la vez, corregir o suprimir un contacto nominativo. Evite declarar toda la fila dentro o fuera del RGPD.

¿Cómo se clasifica una partnership o forma asociativa?

La etiqueta no basta; primero debe determinarse conforme al Derecho nacional la naturaleza de la forma, su personalidad y su relación con miembros o representantes. Después se aplica la prueba del RGPD: ¿el registro se refiere a una persona física identificada o identificable? Esa dependencia nacional es una parte necesaria de la respuesta.

No presuponga que carecer de personalidad identifica automáticamente a todos los miembros, ni que tenerla vuelve impersonales sus contactos; registre país, forma exacta, evidencia y sujeto al que se refiere cada campo.

¿Los datos de una persona que comercia siguen siendo personales?

Sí, cuando la información identifica a una persona física; actuar en un contexto económico o bajo un nombre comercial no borra la identidad individual. Confirme, no obstante, la forma jurídica según el Derecho aplicable y examine el campo concreto. Una dirección puede señalar a la persona, a una entidad distinta o a ambas.

Después de clasificar, aplique finalidad, base, transparencia, minimización, conservación, seguridad y derechos; para comunicaciones comerciales electrónicas, resuelva también la ruta nacional del mercado y canal.

¿B2B significa que el marketing está exento?

No. B2B no es una exención general del RGPD ni una única autorización de marketing para toda la Unión. Si se utilizan datos personales, se necesita una finalidad, base y cumplimiento de principios y derechos. Por separado, ePrivacy y su aplicación nacional determinan condiciones para el canal, el mercado y la categoría correspondiente.

Una excepción estrecha en un país no cambia la clasificación del dato y no debe copiarse a otro. Registre la regla aplicable, sus condiciones y evidencia antes de enviar; si no se ha resuelto, bloquee la campaña.

¿Qué debe conservar el registro de auditoría?

Debe conservar fuente y fecha, campo y contexto, sujeto, finalidad y base, transparencia, exactitud, plazo, derechos y supresión, prueba de marketing y acción final. También debe registrar dudas con propietario y fecha. Así se puede explicar por qué un dato se conserva para un servicio, se corrige, se excluye de campañas o se borra.

Una lista de supresión requiere finalidad limitada y acceso controlado. Su función es impedir un nuevo contacto, no mantener a la persona disponible para análisis o reactivación.

¿Por qué se separa una futura respuesta británica?

Porque la clasificación de persona física puede ser parecida y, sin embargo, la regla de comunicación electrónica divergir. Una página europea debe seguir la transposición de ePrivacy del Estado miembro y no importar permisos de otro régimen. Separar las ramas mantiene visibles la norma, el mercado, el canal y la categoría que producen el resultado.

La separación también evita que un lector confunda idioma con jurisdicción. La decisión práctica debe corresponder al destino real de la campaña, con evidencia actualizada y sin trasladar excepciones entre mercados.