# RGPD para la mensajería: lo que los remitentes empresariales deben saber

> El Reglamento General de Protección de Datos (RGPD) (UE 2016/679) regula la recopilación y el uso de datos personales de personas físicas en la UE/EEE, incluidos los números MSISDN utilizados para la mensajería. En el ámbito de la mensajería empresarial, el RGPD es fundamental en cinco aspectos: base jurídica, derecho de supresión/opción de exclusión, transferencias transfronterizas, acuerdos con el encargado del tratamiento y notificación de violaciones de datos. Las sanciones pueden ascender a 20 millones de euros o al 4 % de la facturación anual global, la cantidad que sea mayor.

- URL canónica: https://www.broadnet.me/es/answers/gdpr-for-messaging
- Idioma: es
- Última revisión: 2026-05-27
- Editor: BroadNet (https://www.broadnet.me)

## Base legal para el marketing por SMS

El artículo 6 exige una de las seis bases legales. Para la mensajería comercial, las más prácticas son el consentimiento explícito (la más segura) o el interés legítimo (viable, pero requiere ponderación y excluye la mayor parte del marketing directo). El PECR (el régimen de privacidad electrónica del Reino Unido y la UE) añade un requisito de consentimiento explícito específico para marketing, además del artículo 6 del RGPD; para los SMS de marketing, se necesitan ambos. Los SMS transaccionales (OTP, confirmaciones de pedidos) no requieren consentimiento explícito, pero sí una base legal (normalmente la ejecución del contrato, artículo 6(1)(b)).

## Transferencias transfronterizas

El envío de un SMS a un destinatario de la UE a través de un SMSC fuera de la UE se considera una transferencia de datos transfronteriza. Tras la sentencia Schrems II (2020), la validez de las cláusulas contractuales tipo depende de una evaluación del impacto de la transferencia. Para los agregadores con sede en EE. UU., el Marco de Protección de Datos UE-EE. UU. (en vigor desde 2023) proporciona una base legal para la transferencia si el agregador está certificado. Para los agregadores con sede en la región MENA, como BroadNet, lo ideal es que el tráfico de destinatarios de la UE se enrute a través de un SMSC de la UE; nosotros gestionamos uno en Fráncfort precisamente para este fin.

## Derecho de supresión y STOP (Detener el tratamiento)

El artículo 17 otorga al interesado el derecho a la supresión de sus datos a petición propia. En el ámbito de la mensajería, esto implica: la palabra clave STOP se respeta de inmediato, el MSISDN del destinatario se elimina de las listas activas, se conserva la preferencia de exclusión (para que no se vuelva a añadir al destinatario en la próxima campaña) y el historial del cuerpo del mensaje se elimina o se anonimiza según la base legal con la que se almacenó. BroadNet ofrece una API de supresión por destinatario para el cumplimiento de las solicitudes de acceso a datos personales (DSAR) del RGPD.

## Procesador frente a controlador

Su CPaaS actúa como procesador (Artículo 28). Usted es el responsable del tratamiento. Debe contar con un Acuerdo de Procesamiento de Datos (DPA) firmado. Los cambios en los subprocesadores (por ejemplo, la red del operador a través de la cual enruta el tráfico) deben ser divulgados y usted debe tener derecho a oponerse. BroadNet mantiene una lista pública de subprocesadores en /trust/subprocessors y notifica a los responsables del tratamiento con 30 días de antelación a cualquier cambio.

## Relacionado

- [Todas las respuestas](https://www.broadnet.me/es/answers)
- [Glosario](https://www.broadnet.me/es/answers)
- [PDPL (KSA): qué implica la Ley Saudí de Protección de Datos Personales para la mensajería](https://www.broadnet.me/es/answers/pdpl-ksa-explained)
- [HIPAA para la mensajería: lo que los remitentes del sector sanitario deben saber](https://www.broadnet.me/es/answers/hipaa-for-messaging)
- [Compliance](https://www.broadnet.me/es/compliance)
- [Trust & security](https://www.broadnet.me/es/trust)