Con el email marketing llevándose la palma por su precisión quirúrgica a la hora de entregar a cada persona justo lo que necesita, no sorprende que las empresas lo consideren una de las formas más eficaces de comunicar los mensajes de su marca al público objetivo. Desde un ROI excepcional hasta el refuerzo de la identidad de marca, beneficia a los negocios en muchos aspectos.
Sin embargo, sus emocionantes posibilidades plantean nuevos riesgos para los datos y la privacidad de los usuarios. Como el interés comercial por recopilar información personal es cada vez mayor, las empresas deben garantizar el derecho de la persona a la confidencialidad y a la protección. Esto implica seguir marcos legales bien establecidos que cubren lo que las empresas pueden hacer con los datos personales y describen sus obligaciones para dar el control a los usuarios y adoptar las medidas adecuadas para salvaguardar los datos.
¿Cuáles son estas leyes antispam del correo y sus normas de cumplimiento, y cómo pueden las empresas adoptarlas en su día a día para operar de forma legal y ética en el canal? Sigue nuestra guía para conocer las respuestas.
¿Qué son las leyes antispam del correo y el cumplimiento?
Las normativas antispam del correo son un conjunto de reglas, incentivos y sanciones para animar a las empresas de todos los sectores a proteger los datos de las personas y a comportarse de forma legal y ética en los canales de comunicación. Muchos países del mundo han establecido sus propias leyes antispam para los email marketers. Por ejemplo, Argentina aplica la Personal Data Protection Act desde 2000, mientras que Austria cuenta con la Austrian Telecommunications Act desde hace varias décadas.
En su origen, estas leyes se crearon para proteger a los usuarios del spam y los ciberataques, salvaguardar sus datos y su privacidad, y crear un ecosistema sano, transparente y seguro en el canal. Cada país tiene su ley y un organismo regulador que controla a los email marketers, lo que hace que navegar por las leyes antispam del correo y el cumplimiento sea todo un reto.
La buena noticia es que varias leyes clave han sentado las bases de muchas normativas de protección de datos. Conocerlas y obedecerlas permite a las empresas comportarse de forma legal en muchos países del mundo. Son la CAN-SPAM Act, GDPR, HIPAA, CASL y CCPA.
CAN-SPAM Act
CAN-SPAM Act corresponde a The Controlling the Assault of Non-Solicited Pornography and Marketing Act. Aprobada en 2003 en Estados Unidos, se convirtió en una de las primeras grandes normativas que regularon a las empresas comerciales y a las organizaciones sin ánimo de lucro en los canales de correo.
En esencia, es un conjunto de reglas que describe lo que las empresas pueden y no pueden hacer al enviar emails a las personas, y otorga a los destinatarios el derecho a que las empresas dejen de escribirles. Es una guía bien estructurada que cubre todos los aspectos críticos de la comunicación por correo.
Ante todo, establece requisitos para los mensajes comerciales, que no necesariamente se envían de forma masiva. Concierne a todos los mensajes de correo electrónico con intención publicitaria y promocional, tanto si se envían a clientes como a otras empresas.
Estos son los puntos clave de la CAN-SPAM Act:
- Las empresas deben usar información veraz y no engañosa en la cabecera, incluidos los campos "De", "Para", "Responder a", la información de enrutamiento, el nombre de dominio y la propia dirección de correo.
- Las empresas deben usar asuntos descriptivos, significativos, transparentes y sin presiones, que reflejen con precisión el cuerpo principal y el propósito de la correspondencia.
- Las empresas deben indicar claramente cuándo sus mensajes son publicidad.
- Las empresas deben facilitar información de contacto completa, incluida la dirección física, la dirección postal y medios de comunicación directa.
- Las empresas deben ofrecer una forma sencilla, rápida y transparente para que sus suscriptores se den de baja de la lista de correo.
- Las empresas deben atender las solicitudes de baja en un plazo de 10 días hábiles.
Se recomienda encarecidamente a las empresas que se aseguren de que todos sus mensajes electrónicos obedezcan estas leyes. Sin embargo, si no tienen tiempo de integrar los principios de protección de datos en cada newsletter digital, deben determinar el propósito principal de cada una. Según la CAN-SPAM Act, hay tres tipos distintos de mensajes informativos:
- Comerciales. Anuncian o promocionan productos, ofertas, eventos o cualquier otro tipo de contenido.
- Transaccionales. Entregan información sobre la interacción del usuario con la empresa para facilitar el proceso.
- Informativos. Incluyen contenido puramente informativo.
Tras decidir el tipo y el papel de cada newsletter digital, las empresas deben cumplir la normativa con los mensajes comerciales.
Infografía sobre la CAN-SPAM Act por Scannavino Law
GDPR
GDPR es la abreviatura de The General Data Protection Regulation (Reglamento General de Protección de Datos). Se adoptó en 2016 y se popularizó al instante entre todos los miembros de la Unión Europea, ya que ofrecía flexibilidad para modificar algunas de sus disposiciones y adaptarse a los requisitos y demandas específicos de cada país. Al igual que la CAN-SPAM Act, es un conjunto de leyes de privacidad y seguridad de datos que describen los requisitos para las organizaciones de todo el mundo que quieren conectar con el público de la UE.
Esta legislación tiene once capítulos que ofrecen directrices claras a las empresas sobre la transferencia y el tratamiento de datos personales, la protección de los datos personales en reposo y en tránsito, y los derechos que tienen los residentes sobre la recopilación, el uso y la posesión de datos personales.
Esta normativa fue tan exhaustiva, popular y actual que muchos otros países han adoptado su modelo, incluidos Brasil, Japón, Singapur, Sudáfrica y Corea del Sur. Los principios básicos del GDPR que los email marketers deben conocer e introducir son:
- Recopilar los datos personales de forma lícita, justa y transparente. Los usuarios deben saber a dónde van sus datos personales y cómo se van a usar.
- Las empresas solo pueden pedir los datos necesarios y minimizar la recopilación excesiva de datos.
- Cada recopilación de datos debe tener un propósito específico, explícito y legítimo. Las empresas solo pueden usar los datos de los suscriptores para los emails a los que estos han dado su consentimiento.
- Los usuarios tienen derecho a solicitar la eliminación de sus datos de la base de datos de la empresa en un plazo de 30 días.
- Las empresas deben respetar las limitaciones de almacenamiento. Solo pueden guardar los datos de los clientes durante un plazo determinado, establecido por el propósito principal de la correspondencia.
- Las empresas deben proteger los datos de su público frente a ataques deliberados o brechas accidentales.
Por último, pero no por ello menos importante, las empresas deben contar con documentación que pruebe su actividad legítima en el canal. Deben demostrar el consentimiento explícito del suscriptor, explicar cómo se han usado los datos, aportar información sobre la política de retención de datos y describir las medidas de seguridad implementadas.
CCPA
CCPA es la forma abreviada de California Consumer Privacy Act, aprobada en 2018 y muy influida por el GDPR. Se diseñó para proteger a los residentes de California frente a los delincuentes de la privacidad de datos y para mejorar el ecosistema de los canales de correo.
En esencia, obliga a las empresas y a los emprendedores individuales que atienden a clientes del estado a proporcionar a sus suscriptores información explícita sobre cuándo y cómo se recopilan, se usan y se venden sus datos. Esto amplía los derechos del cliente para controlar sus datos y su interacción con las empresas.
Al igual que el GDPR, incluye estos principios cruciales para imponer un comportamiento legítimo, honesto, transparente y ético en el canal.
- Las empresas deben facilitar información explícita sobre cómo recopilan y venden la información de un usuario, incluido el propósito de su uso.
- Las empresas deben dar acceso gratuito a su información y sus revelaciones, y atender las solicitudes de datos de los clientes en un plazo de 45 días.
- Las empresas deben dar a los clientes el derecho a darse de baja de la lista de correo y a eliminar sus datos de sus bases de datos. Los recopiladores de datos externos también deben borrar la información de los clientes.
- Las empresas deben idear una Política de Privacidad que cubra los derechos del consumidor y las formas de presentar solicitudes.
Es importante señalar que se han introducido varias actualizaciones y enmiendas a la ley: las exenciones para empleados y para relaciones entre empresas (Business-to-Business) en 2020, la desidentificación y los datos agregados ese mismo año, y la verificación de solicitudes del consumidor en 2021.
CASL
CASL es la ley antispam de Canadá, que entró en vigor en 2014. Cubre las reglas para las empresas que envían newsletters digitales comerciales, con el fin de prohibir la alteración no autorizada de los datos de transmisión. Centrada en los clientes y en el ecosistema de los canales de correo, esta ley trata de minimizar las formas dañinas y engañosas de spam, incluidos el robo de identidad, el phishing y el spyware. Se aplica a personas, a empresas constituidas o no constituidas, y a organizaciones sin ánimo de lucro.
La normativa exige a las empresas que introduzcan estas prácticas en su día a día:
- Obtener permiso para enviar emails a los consumidores.
- Identificar a la persona, empresa u organización que envía el mensaje.
- Ofrecer formas fáciles y transparentes de darse de baja de la lista de correo.
- Incluir una dirección postal, un número de teléfono o una dirección web válidos para que los consumidores puedan contactar con la empresa.
HIPAA
Aunque HIPAA opera sobre todo en el sector sanitario, ya que es la Health Insurance Portability and Accountability Act, las empresas que operan en los canales de correo también deben conocerla. Firmada como ley en 1996, ha estado en guardia desde entonces, protegiendo a los consumidores frente a la divulgación de información sanitaria sensible y asegurando que no se comparta con nadie no autorizado a verla.
La ley es imprescindible para las organizaciones sanitarias o para cualquiera que trabaje con información sanitaria y use canales de correo para comunicarse con los pacientes. Contiene varias disposiciones relacionadas con la privacidad, la seguridad y la accesibilidad, incluidas las siguientes:
- Las empresas deben proteger los historiales médicos y los datos personales de las personas frente a su uso por entidades no cubiertas.
- Las empresas deben salvaguardar la comunicación digital para combatir los ciberataques y evitar las filtraciones de bases de datos.
- Las empresas deben notificar a los consumidores y a los organismos reguladores cuando se produce una brecha de seguridad de información sanitaria.
¿Por qué deben las empresas conocer y obedecer las leyes antispam del correo y el cumplimiento?
Ante todo, incumplir las normativas puede acarrear multas enormes. Según la CAN-SPAM Act, cada email individual que infrinja sus leyes está sujeto a sanciones de hasta $53.088. Del mismo modo, el GDPR contempla importantes sanciones por incumplimiento, con multas de hasta 10 millones de euros o el 2% de la facturación global anual. Otras normativas no se quedan atrás; por ejemplo, las consecuencias de la CASL por comportarse como un spammer implican multas de hasta $1M para las personas y $10M para las empresas.
En segundo lugar, al introducir las prácticas que exige la ley, las empresas garantizan que su correspondencia digital sea legítima, creíble y transparente. Esto fomenta la confianza entre los proveedores de servicios de correo y los destinatarios, y construye relaciones sólidas con ambas partes. La confianza es crucial para que los consumidores sigan la iniciativa y para que los ESP dejen entrar los emails, otorgando a las empresas sender scores y reputaciones altos.
En tercer lugar, asociar una empresa con una actividad legítima es una de las mejores formas de construir una identidad de marca sólida. Cuanto más honesto, respetuoso y ético sea el comportamiento de una empresa, más fuerte será su reputación. Una buena reputación es esencial para que los negocios refuercen su posicionamiento en el mercado, destaquen frente a la competencia y crezcan.
Por último, obedecer y adoptar las normativas permite a las empresas participar activamente en la lucha contra los actores maliciosos. Ayudan a minimizar los ataques de spam, a localizar a los hackers y a garantizar un ecosistema sano y seguro para consumidores y empresas.
¿Cómo cumplir las leyes antispam del correo y el cumplimiento?
Las leyes antispam del correo y el cumplimiento difieren de un país a otro, lo que dificulta que las empresas (sobre todo las que atienden a públicos internacionales) operen de forma legal en los canales de correo. Pero no hay más salida que obedecerlas. Los negocios están obligados a seguir las normativas para llevar adelante su actividad de marketing. Aquí tienes algunos buenos consejos para que los email marketers se mantengan en cumplimiento con las leyes antispam del correo.
Ten en cuenta que estas prácticas se centran sobre todo en cumplir el GDPR y la CAN-SPAM Act, ya que son las leyes antispam del correo y de cumplimiento más completas y conocidas, y sirven de base a muchas otras normativas específicas de cada país.
Usa Unspam para localizar infracciones
Una de las mejores cosas que puede hacer una empresa para asegurarse de cumplir las leyes antispam del correo y el cumplimiento es adoptar una estrategia proactiva que consista en localizar los pasos en falso y las inconsistencias en su comunicación digital, y eliminarlos antes de que lleguen a sus suscriptores.
La buena noticia es que hay instrumentos profesionales que ayudan a las empresas en esta cuestión. Uno de ellos es Unspam. Es un potente comprobador de spam y una máquina de test de entregabilidad de correo que viene con múltiples funciones útiles:
- Localiza los errores en la autenticación del correo y en la parte técnica del email, incluidos SPF, DKIM, DMARC, el sufijo de dominio, el DNS inverso y la cabecera list-unsubscribe.
- Inspecciona el contenido del email frente a las mejores prácticas del email marketing.
- Saca a la luz las palabras spam y el lenguaje engañoso.
- Analiza el asunto para asegurarse de que sea limpio, claro y significativo.
- Realiza una comprobación de accesibilidad.
Todas estas inspecciones, pequeñas pero vitales, proporcionan a las empresas conocimientos cruciales para eliminar los pasos en falso de sus emails y campañas que podrían causar infracciones de la ley. Junto con el informe, las empresas reciben recomendaciones sobre cómo mejorar sus comunicaciones.
Obtén permiso explícito para enviar emails
Esto es quizá una de las primeras y más importantes cosas que una empresa debe hacer al iniciar el email marketing. Ya sea el GDPR, la CASL o el DPF de la Unión Africana, todos estipulan que las personas deben dar su permiso a la empresa antes de que esta empiece a enviarles mensajes electrónicos.
Según el país, el permiso puede ser implícito o expreso. El consentimiento implícito se suele entender a través de acciones. Por ejemplo, los miembros activos de tu servicio o de tu programa de fidelización te dan un consentimiento implícito. En cambio, el consentimiento expreso se suele dar con palabras. Por lo general, las empresas piden a sus nuevos suscriptores que den su consentimiento introduciendo sus datos en el formulario de suscripción.
Además de asegurarse el consentimiento del consumidor, se recomienda encarecidamente a las empresas que documenten y conserven los registros de consentimiento en una base de datos interna, para poder facilitar esta información a los clientes o a los organismos reguladores.
Para llevar esto a la práctica, las empresas suelen adoptar un sistema de doble opt-in que exige a los nuevos usuarios dejar sus datos personales y su aprobación, y confirmarlos haciendo clic en el enlace especial enviado en una newsletter de confirmación adicional. Esto garantiza el acuerdo mutuo y la implicación con la empresa, algo crucial para construir relaciones fuertes y sanas.
Obtén el consentimiento para enviar todo tipo de emails
Además de obtener el consentimiento de los suscriptores para formar parte de la lista de correo de la empresa, también es crucial obtener su permiso expreso para enviar todo tipo de newsletters digitales, incluidas las promocionales, transaccionales, informativas y conductuales.
Esta práctica permite a las empresas operar de forma legal en el canal del correo y demostrar a cualquier organismo regulador que cuentan con el permiso pleno del usuario para llevar adelante todo tipo de campañas de correo. Además, les ayuda a ser transparentes en su relación con los clientes. Esto último desempeña un papel crucial a la hora de obtener respuestas positivas de la comunicación. La respuesta positiva indica la implicación del usuario con la marca, un factor crítico para que los ISP y los proveedores de correo otorguen a las empresas sender scores altos y la capacidad de superar sus filtros de spam sin problemas.
Sé honesto y transparente en la correspondencia digital
Hablando de ser transparente en la comunicación, obtener el consentimiento para enviar todo tipo de emails no es lo único que una empresa debe hacer para cumplir las normativas antispam. Otra cosa importante es aportar información honesta durante la comunicación, ya que la CAN-SPAM Act y el GDPR estipulan que las empresas no deben incluir información incorrecta ni engañosa.
Esta regla se aplica no solo al contenido del cuerpo, donde se recomienda encarecidamente a las empresas que eviten las técnicas comerciales agresivas, la retórica insistente y el lenguaje parecido al spam, que crean tensión y fuerzan a los suscriptores a actuar bajo presión. También concierne a la información de la cabecera que, a pesar de estar sobre todo en la parte técnica de la comunicación, es importante para establecer relaciones de confianza con los clientes, los ISP y otros participantes clave del ecosistema del correo.
Estas son las principales recomendaciones que se aconseja seguir a las empresas.
Ante todo, deben usar sus nombres reales o los nombres de la empresa en el campo "Remitente".
En segundo lugar, deben autenticar los emails. Además de configurar los registros SPF, DKIM y DMARC, las empresas también deberían crear registros BIMI. Como identificación visual de la marca, BIMI es excelente para hacer que la correspondencia sea creíble y auténtica a un nivel humano. El cumplimiento dista mucho de ser universal aquí: entre los dominios que analizamos, nuestros datos de benchmark muestran que el 90% publica un registro SPF válido y el 87% firma el correo con una clave DKIM funcional, pero solo alrededor del 58% publica una política DMARC (el 42% todavía no tiene ninguna) y un mero 1% publica un registro BIMI.
En tercer lugar, deben incluir la identidad de marca, la dirección física y los datos de contacto en el email.
Por último, deben crear asuntos claros, significativos y no engañosos. Aunque es la principal oportunidad de una empresa para causar una buena primera impresión y animar a los suscriptores a abrir un email, no significa que deba usar todas las cartas del juego de la persuasión. Muchas leyes aconsejan a los email marketers crear asuntos honestos, descriptivos y significativos. Puede despertar curiosidad, pero sin ser insistente ni abrumador.
Haz que el proceso de baja sea simple y rápido
Uno de los principios centrales de la CAN-SPAM Act, el GDPR y otras normativas antispam es que los datos del suscriptor le pertenecen a él, así que solo él tiene derecho a disponer de ellos como quiera. Las empresas deben atender las solicitudes de sus suscriptores relativas a sus datos y a su deseo de permanecer en la lista de correo.
Respetar los derechos de los usuarios es fundamental para llevar adelante campañas de email marketing de forma legal y ética en el canal. Estos son los pasos básicos para lograrlo.
En primer lugar, las empresas deben crear una forma fácil, simple y rápida de darse de baja de la lista de correo. Lo ideal es que sea un proceso de un solo paso con un botón de baja.
En segundo lugar, las empresas deben ofrecer un acceso fácil y rápido a la página de baja. El enlace a la rutina de baja debe incluirse en cada email. Este es un punto ciego generalizado: entre los emails que analizamos, solo el 14% de los remitentes cumple el requisito de List-Unsubscribe de un clic, lo que deja a la gran mayoría por debajo de lo que los reguladores esperan cada vez más.
En tercer lugar, las empresas están obligadas a atender las solicitudes de baja dentro de los plazos establecidos. Según la normativa, puede ir de 10 a 45 días.
Por último, las empresas no pueden usar los datos personales tras atender las solicitudes de baja. Además, deben asegurarse de que las empresas externas con las que hayan compartido los datos personales de los usuarios también eliminen los datos solicitados. Por lo general, esto concierne a las empresas que externalizan sus esfuerzos de email marketing a otras agencias o freelancers.
Conclusión
Seguir las leyes antispam del correo y el cumplimiento es complejo y tiene muchos niveles. Concierne a cada detalle de la newsletter digital, desde la captación de suscriptores hasta la parte técnica, y obliga a las empresas a invertir su tiempo, su dinero y sus recursos humanos.
Pero no hay forma de evitarlo. Las empresas están obligadas a comportarse en el canal del correo conforme a las leyes antispam del correo y el cumplimiento. De lo contrario, podrían enfrentarse a multas enormes por infracciones de la ley. Obedecer las leyes es la única forma de evitar la suspensión de su actividad en los canales de correo, crear relaciones fuertes y sanas con los clientes, y establecer la marca como un socio de confianza y fiable.
Hay muchas recomendaciones para cumplir las normativas antispam más conocidas. Las más críticas son: descubrir los pasos en falso que infringen las leyes en tus emails actuales usando Unspam, obtener el permiso explícito del usuario para enviar todo tipo de emails, ser honesto y transparente en la comunicación, dejar que los suscriptores se den de baja y eliminen sus datos, atender las solicitudes lo más rápido posible y adoptar las mejores prácticas en el canal del correo.
