Extraer un correo que está publicado a la vista en una web no es, por sí solo, ilegal en España ni en la mayoría de países de América Latina. Lo que está regulado —y bastante— es lo que haces después: guardarlo, cruzarlo con otros datos y, sobre todo, escribirle sin que esa persona lo haya pedido. Esa es la línea que casi nadie revisa antes de montar una lista de prospección. Aquí tienes dónde está esa línea, qué te exige el RGPD y qué preguntas conviene resolver antes de descargar el primer CSV.
La respuesta corta: extraer y enviar son dos cosas distintas
La confusión de fondo es que la gente junta dos actos que la ley trata por separado. El primero es recoger un dato que ya está publicado. El segundo es usarlo para mandar comunicaciones comerciales. El primero casi siempre se puede justificar; el segundo tiene reglas propias, y son bastante más estrictas.
Piénsalo así: una tienda de barrio en Valencia publica pedidos@sutienda.es en su pie de página. Lo ha publicado precisamente para que la contacten. Que lo copies en una hoja no es una intromisión en su vida privada. Ahora bien, si lo metes en una secuencia de siete correos automáticos sobre un servicio que nadie pidió, ya no estás usando ese buzón para lo que se publicó. Ahí es donde empiezan los problemas, y no en el momento de copiar.
Un correo publicado sigue siendo un dato personal
El RGPD define dato personal como cualquier información sobre una persona física identificada o identificable. Un correo del tipo nombre.apellido@empresa.com identifica a alguien de forma bastante directa: dice cómo se llama y dónde trabaja. Que esté colgado en una página pública no lo saca del ámbito de la norma. El artículo 4 no dice «salvo que sea fácil de encontrar».
Distinto es un buzón genérico. contacto@, ventas@, soporte@ o facturacion@ no apuntan a una persona concreta: apuntan a una función dentro de una organización. Cuando no hay una persona identificable detrás, el argumento de que estás tratando datos personales se debilita mucho. No es una barra libre —a veces el buzón lo lleva una sola persona y eso se sabe— pero es una diferencia real que conviene aprovechar: si construyes tu lista solo con buzones funcionales, tu exposición baja de forma notable.
El matiz español que casi nadie conoce
En España hay una pieza que ayuda mucho en contextos B2B. La LOPDGDD, la ley que adapta el RGPD al ordenamiento español, contempla expresamente el tratamiento de los datos de contacto de empresarios individuales y profesionales liberales cuando se usan para mantener una relación con la empresa a la que representan: presume que existe interés legítimo, siempre que el trato sea estrictamente profesional y no invada su esfera personal.
Es decir: escribirle al correo profesional de una arquitecta autónoma para hablar de un servicio para su estudio se apoya en una base más sólida que escribirle a su Gmail personal para lo mismo. La presunción no es un cheque en blanco —sigues teniendo que informar, permitir la oposición y ser proporcionado— pero coloca la prospección B2B en un terreno bastante más firme que la captación indiscriminada de particulares.
Lo que cambia según el país
Aquí es donde muchas guías fallan: dan por hecho que «Europa o Estados Unidos», y la mitad de los lectores en español no está en ninguno de los dos sitios.
España
Se aplican el RGPD y la LOPDGDD, con la AEPD como autoridad de control. Y hay una segunda capa que suele olvidarse: la LSSI-CE, la ley de servicios de la sociedad de la información, que regula específicamente las comunicaciones comerciales por vía electrónica. Su regla general es que no se pueden enviar comunicaciones publicitarias por correo o medios equivalentes que no hayan sido solicitadas o expresamente autorizadas. La excepción clásica es la de productos o servicios similares a los que ya se contrataron con un cliente existente. Traducido: en España, el problema típico no es que hayas copiado un correo, sino que has mandado publicidad sin una base para hacerlo.
México
Rige la LFPDPPP, con el INAI como autoridad. Dos conceptos que hay que conocer sí o sí: el aviso de privacidad, que debes poner a disposición del titular explicando qué datos tratas y para qué, y los derechos ARCO (acceso, rectificación, cancelación y oposición). Si extraes contactos y no tienes un aviso de privacidad publicado y accesible, ya vas cojo antes de mandar el primer correo.
Argentina, Colombia y el resto
Argentina se rige por la Ley 25.326 de protección de los datos personales, con obligaciones de registro de bases de datos y un derecho de supresión que hay que atender. Colombia aplica la Ley 1581 de 2012, con su Registro Nacional de Bases de Datos y la Superintendencia de Industria y Comercio detrás. En Perú, Chile y Uruguay hay marcos equivalentes con sus propias particularidades.
El patrón común es el mismo en todos: hay que poder decir de dónde salió el dato, para qué se usa, durante cuánto tiempo se guarda y cómo se sale de la lista. Si tienes esas cuatro respuestas por escrito, la mayor parte del trabajo está hecho. Lo que cambia de un país a otro son los plazos, los formalismos de registro y quién te toca la puerta si alguien reclama.
El interés legítimo: cómo se sostiene y dónde se rompe
Para tratar datos personales necesitas una base legal. En prospección B2B, la que se usa casi siempre no es el consentimiento (obviamente no lo tienes) sino el interés legítimo. Y el interés legítimo no es una fórmula mágica que se invoca: es un análisis de tres pasos que deberías tener escrito en algún sitio.
- Finalidad: ¿qué interés persigues y es lícito? «Ofrecer un servicio de contabilidad a despachos que trabajan con mi mismo software» es una finalidad concreta. «Crecer» no lo es.
- Necesidad: ¿es este tratamiento la vía razonable para conseguirlo, o hay algo menos invasivo? Si podías llegar con un formulario público o con publicidad segmentada, el argumento se debilita.
- Ponderación: ¿pesa más tu interés que los derechos de esa persona? Aquí entra si el contacto es profesional o personal, si el mensaje es relevante para su trabajo, si esperaría razonablemente recibirlo y si le resulta trivial darse de baja.
Ese test se rompe en cuanto el mensaje deja de ser relevante para el destinatario. Escribirle a un despacho de arquitectura sobre software de gestión de proyectos: defendible. Escribir a ese mismo despacho sobre criptomonedas: no hay ponderación que aguante eso.
La obligación de informar que se salta todo el mundo
Cuando los datos no los obtuviste de la propia persona —que es exactamente tu caso— el RGPD te obliga a informarle: quién eres, con qué finalidad tratas sus datos, en qué base legal te apoyas, de qué fuente salió el dato y qué derechos tiene. Y hay un plazo: como máximo un mes, y si vas a comunicarte con esa persona antes, en esa primera comunicación.
La buena noticia es que esto se resuelve bien en la práctica. Un bloque corto al final del primer correo, con un enlace a tu política de privacidad y una línea que diga de dónde salió el contacto («encontramos este correo en la página de contacto de tu web»), cubre el requisito y además sube la tasa de respuesta, porque elimina la sensación de mensaje comprado a granel.
Antes de extraer nada, abre el archivo robots.txt del sitio (la URL del dominio seguida de /robots.txt) y échale un ojo a las condiciones de uso. No es una norma legal en sí misma, pero si el sitio prohíbe expresamente la recogida automatizada y tú la haces igual, ese detalle juega en tu contra en cualquier reclamación.
Los errores que convierten una lista legal en un problema
Se puede tener una lista impecable en origen y arruinarla en el uso. Estos son los fallos que se repiten.
Guardar para siempre. El RGPD exige limitar el plazo de conservación. Un contacto que no respondió a tres correos en dos años no tiene por qué seguir en tu base. Fija un plazo —doce o dieciocho meses es habitual en prospección— y bórralo cuando venza. Además de ser una obligación, mejora tus métricas: las listas viejas están llenas de buzones muertos.
Ignorar una baja. Cuando alguien pide que no le escribas más, eso se ejecuta y se registra. Y no basta con sacarlo de la campaña: hay que dejar constancia de que se opuso, porque si dentro de seis meses vuelves a extraer la misma web y su correo reaparece, lo vas a volver a contactar. Mantén una lista de exclusión permanente y crúzala antes de cada envío. Este es, con diferencia, el error que más reclamaciones genera.
Mezclar fuentes sin trazabilidad. Cuando juntas tres extracciones, dos ferias y un archivo que te pasó un compañero, al final nadie sabe de dónde salió cada contacto. Si te reclaman por uno concreto y no puedes decir de dónde vino, no tienes nada que alegar. Una columna con la fuente y la fecha en tu CSV cuesta cero y vale mucho.
Redes sociales. LinkedIn, Facebook, Instagram y X prohíben la extracción automatizada en sus condiciones de uso y la persiguen activamente. Ahí no discutes con la AEPD: discutes con el departamento legal de una multinacional. No merece la pena.
Cómo hacerlo en la práctica sin montar un scraper
Lo habitual en una agencia pequeña no es un proyecto de scraping con servidores: es alguien que abre veinte webs de posibles clientes y va copiando el correo de la página de contacto. Eso funciona hasta que son doscientas webs, y entonces se convierte en una tarde entera de copiar y pegar con el riesgo de erratas que eso implica.
El punto medio razonable es una herramienta que lea únicamente lo que ya está visible en la página que tienes abierta, sin saltarse logins ni tocar código oculto. Una extensión para extraer los correos que aparecen en una página web hace exactamente eso: recoge lo que cualquier visitante vería con sus propios ojos y te lo devuelve en una lista limpia. Sigues siendo tú quien decide qué webs abre y qué hace después con esa lista, que es donde de verdad está la responsabilidad.
Un truco de eficiencia para prospección B2B: antes de escribir, mira con qué tecnología está montada la web del posible cliente. Saber qué CMS usa una web te dice si tu servicio encaja o no, y filtrar por eso reduce la lista a la mitad. Menos correos, más relevantes, y un test de ponderación mucho más fácil de defender.
⚡ Consejos avanzados
- Prioriza buzones funcionales (info@, ventas@) frente a correos nominales. Menos exposición y, en muchos sectores, llegan igual a la persona que decide.
- Valida el formato y elimina duplicados antes de enviar. Los rebotes altos hacen que Gmail y Outlook empiecen a mandarte a spam, y eso es más difícil de revertir que cualquier trámite legal.
- Guarda en el CSV una columna con la URL exacta de donde salió cada correo y la fecha. Es tu prueba de origen y no cuesta nada.
- Empieza por un envío pequeño, de veinte o treinta contactos. Si la tasa de respuesta es cero, el problema es el mensaje, y escalarlo a mil solo multiplica el ruido.
- Escribe una sola vez y, como mucho, un seguimiento. Las secuencias de seis correos a alguien que nunca pidió nada son lo que convierte una prospección legítima en una denuncia.
El contexto que la mayoría de guías en inglés no cuenta
En España y en buena parte de América Latina, la prospección B2B por correo la hacen agencias de dos, tres o cinco personas: diseño web, marketing, contabilidad, formación. No tienen departamento legal ni presupuesto para una consultoría de cumplimiento, y las plantillas que encuentran en inglés hablan de CAN-SPAM y de California, que no les aplican.
Hay un factor añadido: en gran parte de América Latina el canal comercial se ha desplazado a WhatsApp, hasta el punto de que muchos negocios pequeños publican su número antes que su correo. Eso cambia el cálculo. Un número de teléfono publicado en una web es igual de dato personal que un correo, y escribir por WhatsApp a alguien que no te ha contactado suele percibirse como más invasivo que un correo, porque entra en el mismo sitio donde le escribe su familia. Si tu extracción acaba en una lista de números, aplica el mismo criterio con más cuidado, no con menos.
Y una advertencia sobre las herramientas: muchas plataformas de prospección se facturan en dólares. Con la variación del tipo de cambio, una suscripción de veinte o treinta dólares al mes se convierte en un gasto fijo que pesa de verdad en el presupuesto de una agencia pequeña en pesos. Antes de contratar una plataforma completa, comprueba si tu volumen real justifica el gasto o si lo tuyo se resuelve con una extensión gratuita del navegador y una hoja de cálculo bien ordenada.
Preguntas frecuentes
¿Es legal extraer correos de una web si están a la vista de cualquiera?
Recoger un dato publicado de forma visible no es un acto ilícito en sí mismo, pero eso no lo convierte en libre de obligaciones. Desde el momento en que ese correo identifica a una persona, entras en el ámbito del RGPD (o de la LFPDPPP, la Ley 25.326 o la Ley 1581, según tu país) y necesitas una base legal, informar al titular y permitirle oponerse. La legalidad de la extracción y la legalidad del envío posterior son dos evaluaciones distintas y hay que superar las dos.
¿Un correo tipo info@ o contacto@ cuenta como dato personal?
Normalmente no, porque no identifica a una persona concreta sino a una función dentro de una organización. Es la razón por la que construir listas solo con buzones genéricos reduce mucho tu exposición. Ojo con los matices: si el negocio es de una sola persona y en la misma página figura su nombre, ese buzón puede volverse identificable. Aun así, entre ventas@empresa.com y ana.lopez@empresa.com la diferencia de riesgo es considerable.
¿Tengo que avisar a alguien de que tengo su correo si nunca me lo dio?
Sí. Cuando los datos no proceden del propio interesado, el RGPD obliga a informarle de quién eres, para qué tratas sus datos, en qué base legal te apoyas, de qué fuente salieron y qué derechos tiene, en un plazo máximo de un mes o, si le escribes antes, en esa primera comunicación. En México el mecanismo equivalente es el aviso de privacidad. En la práctica se resuelve con un párrafo al final de tu primer correo enlazando a tu política de privacidad y diciendo dónde encontraste el contacto.
¿Puedo extraer correos de LinkedIn o de Instagram?
No es recomendable. Esas plataformas prohíben expresamente la recogida automatizada en sus condiciones de uso y actúan contra quien lo hace, con bloqueos de cuenta y acciones legales. Ahí el riesgo no es solo de protección de datos: es un incumplimiento contractual con la plataforma. Quédate en webs corporativas, directorios profesionales y registros públicos que no lo prohíban.
¿Cuánto tiempo puedo guardar una lista de contactos extraída?
El principio es de limitación del plazo de conservación: solo mientras sea necesario para la finalidad que declaraste. No hay un número universal, pero en prospección comercial es razonable fijar entre doce y dieciocho meses desde el último contacto y depurar al vencimiento. Lo importante es que el plazo esté definido por escrito y que lo cumplas, no el número exacto que elijas. Las bajas y oposiciones, en cambio, se conservan indefinidamente en una lista de exclusión, precisamente para no volver a escribir a esa persona.
¿Y si mi empresa está en México pero escribo a contactos en España?
El RGPD tiene alcance extraterritorial cuando se dirigen ofertas de bienes o servicios a personas que están en la Unión Europea, así que muy probablemente te aplique aunque no estés establecido allí. Al mismo tiempo sigues sujeto a la LFPDPPP por tu propia actividad. Cuando una campaña cruza fronteras, el criterio prudente es aplicar el estándar más exigente de los dos y consultarlo con un abogado antes de escalar el volumen.
En resumen
La pregunta «¿es legal extraer correos de una web?» tiene una respuesta incómoda: depende menos de la extracción y más de tu disciplina posterior. Recoge solo lo visible, prioriza buzones funcionales, anota de dónde salió cada dirección, informa en el primer correo, respeta cualquier baja para siempre y borra lo que ya no usas. Con eso cubierto, la parte técnica —abrir una web y recoger los correos que muestra— es la parte fácil.
Empieza pequeño: una lista de treinta contactos bien elegidos, un mensaje que de verdad tenga sentido para quien lo recibe y una hoja donde apuntes la fuente y la fecha de cada uno. Si eso funciona, escalarlo es cuestión de repetir el proceso. Si no funciona, mandar mil correos en lugar de treinta no lo va a arreglar, y sí te va a exponer.
