Lo que tiene DERECHO a vender (RGPD y monetización)

Antes de monetizar datos, una pregunta prima sobre todas las demás: ¿tiene derecho a venderlos? (Esta guía simplifica las reglas establecidas y no constituye asesoramiento legal: para su caso específico, consulte a su DPO, la CNIL o un abogado).

Todo comienza con una distinción: ¿el dato es personal? Un dato que permite identificar a una persona, directa o indirectamente, es personal y se rige por el RGPD (art. 4(1)). Luego viene un matiz decisivo: un dato anónimo —es decir, que se ha vuelto irreversiblemente no identificable— queda fuera del RGPD (considerando 26), mientras que un dato solo seudonimizado sigue siendo personal (art. 4(5)). La CNIL impone tres pruebas para hablar de anonimización: imposibilidad de individualizar, de correlacionar y de inferir.

Para ceder un dato personal, se necesita una base legal (art. 6(1)): el consentimiento, o el interés legítimo acompañado de una prueba de ponderación. Atención, «vender bajo interés legítimo» no es una regla general —es caso por caso. Otra trampa: revender un dato constituye una finalidad nueva en comparación con la recopilación (art. 5(1)(b) y 6(4)); en la práctica, esto requiere un nuevo consentimiento, y unos CGU aceptados «en bloque» no valen como consentimiento (CNIL). En cuanto a la prospección, el canal electrónico exige un consentimiento previo, mientras que la vía postal o telefónica puede basarse en el interés legítimo con derecho de oposición.

El B2B no escapa al RGPD: una dirección genérica «contacto@empresa» está fuera de su alcance (considerando 14), pero un correo electrónico nominativo «nombre.apellido@» o el nombre de un empleado siguen siendo datos personales (TJUE, C-710/23); para un auto-emprendedor, los «datos de la empresa» a menudo identifican a la persona. De ahí una lista de verificación en cinco preguntas: ¿el dato es personal? ¿Tengo una base legal para cederlo? ¿Es compatible con la finalidad inicial? ¿Las personas están informadas y pueden oponerse? ¿Los opositores están excluidos, con prueba?

Esto no es teórico: el 15 de mayo de 2025, la CNIL sancionó a Solocal Marketing Services (900 000 €) y Caloga (80 000 €) por uso y reventa de datos de prospección sin base legal válida. La lección: un dato conforme se vende, un dato no conforme se sanciona. Prefiera el agregado y el anonimizado, y haga calificar sus datos antes de ponerlos en el mercado.