¿Es legal comprar una base de datos de clientes o contactos?
Solo en supuestos muy controlados. Comprar datos personales no es automáticamente ilícito, pero el comprador debe poder justificar el origen lícito de la información y la base jurídica para usarla, especialmente si pretende hacer marketing.
Respuesta rápida
Puede ser legal comprar una base de datos, pero únicamente si la cesión y el uso posterior tienen base jurídica suficiente y el origen de los datos es demostrablemente lícito. Si no puede acreditarse quién los obtuvo, para qué fines y con qué información al interesado, la operación es jurídicamente muy arriesgada.
Qué dice la ley
El RGPD y la LOPDGDD no prohíben toda transmisión de datos, pero exigen base de legitimación, deber de información y respeto al principio de finalidad. En la práctica, comprar una lista “cerrada” para hacer prospección comercial suele plantear problemas porque no basta con que el vendedor asegure verbalmente que los contactos “aceptaron publicidad”. El comprador responde por el tratamiento que realiza desde que recibe la información.
Puntos clave
- El hecho de pagar por una base no acredita por sí solo que la cesión sea válida.
- El comprador debe poder informar al afectado sobre el origen de sus datos y la finalidad del uso.
- Si los datos van a destinarse a marketing electrónico, además puede aplicarse la LSSI.
- Una auditoría documental previa es más importante que el precio o el tamaño de la lista.
Matices y excepciones
No es lo mismo una transmisión interna dentro de una compraventa de empresa, una base de datos estadística anonimizada o un directorio profesional con datos ya publicados para ciertas finalidades. Incluso en esos casos hay que comprobar si realmente son datos personales, si existe expectativa razonable de ese uso y si procede informar al interesado conforme al artículo 14 del RGPD.
Qué hacer en la práctica
Antes de comprar, exija contrato, registro de procedencia, cláusulas de información originales y una descripción exacta de la finalidad para la que se recabaron los datos. Si la prueba documental es incompleta, lo prudente suele ser no usar la base para acciones comerciales masivas hasta tener una revisión especializada.
Fuentes consultadas
- EUR-Lex — RGPD (UE) 2016/679
- BOE — Ley Orgánica 3/2018 (LOPDGDD)
- BOE — Ley 34/2002 (LSSI)
- AEPD — guías y resoluciones sobre marketing y cesiones
Revisión editorial de fuentes: 2026-04-14