Consentimiento previo del consumidor: cómo obtenerlo y acreditarlo digitalmente

Cada vez que un consumidor rellena un formulario, acepta unas condiciones o recibe una llamada comercial, muere un hada de legal o jurídica. ¿Por qué? Porque acaso alguna de las personas que lo reciben en sus empresas se pregunta alguna vez ¿tengo permiso real para esto, y puedo demostrarlo si alguien me lo pide? Entre el marco sancionador del RGPD, la entrada en vigor de la Ley de Servicios de Atención al Cliente y la presión creciente de asociaciones de consumidores, el consentimiento se ha convertido en ese punto a tener en cuenta. Pero de verdad esta vez.

Lo curioso es que la mayoría de las empresas no falla por mala fe, sino por ignorancia. Por casillas premarcadas, textos legales copiados de internet, consentimientos genéricos que pensamos que sirven para todo o, simplemente, la incapacidad de demostrar meses después que ese cliente dijo X. Y, sorpresa, sorpresa, aquí la carga de la prueba no la tiene el consumidor, la tiene el empresario. ¿No lo sabías? Pues pilla sitio que vamos a desgranar qué es exactamente el consentimiento previo del consumidor, qué tipos existen, dónde suelen fallar las empresas y, sobre todo, cómo la firma digital se ha convertido en la herramienta más indispensable para obtenerlo y acreditarlo.

¿Qué es el consentimiento previo del consumidor?

Es la manifestación de voluntad, libre e inequívoca, mediante la cual una persona autoriza a una empresa a tratar sus datos, a enviarle comunicaciones o a vincularse contractualmente con ella, antes de que esa acción tenga lugar. Sí, nos ha quedado muy técnico, pero es importante dejar claro desde el principio que no hablamos de un trámite posterior ni una casilla que se marca por si acaso. El Reglamento General de Protección de Datos (RGPD), en su artículo 4.11, lo define como toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta el tratamiento de sus datos.

¿Te ha parecido complicado? Pues espera que en España somos de casa grande y esto se completa con:

• La Ley Orgánica 3/2018 de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).
• La Ley de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSICE).
• El texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios (Real Decreto Legislativo 1/2007, TRLGDCU), aunque esto de forma muy concreta.

A tener en cuenta que esta última no habla de consentimiento como un concepto abstracto, sino que lo aterriza artículo por artículo, exigiendo, por poner un ejemplo, que cualquier pago adicional a la contraprestación principal se acepte de forma expresa y bajo un sistema de opción de inclusión, nunca por defecto (art. 60 bis TRLGDCU), y establece sin rodeos que la falta de respuesta a una oferta nunca puede considerarse aceptación (art. 101 TRLGDCU). Sin embargo, lo que más gracia nos hace es que como ya hemos dicho anteriormente, el propio texto legal aclara que la carga de la prueba de haber obtenido ese consentimiento corresponde siempre al empresario, nunca al consumidor.

En números, ¿cómo está la situación? Pues tirando de la memoria anual de la propia Agencia Española de Protección de Datos (AEPD) podemos ver cómo está la actividad sancionadora:

Ya puedes ser de letras puras que los números hablan por sí solos. Cada vez hay más reclamaciones, cada multa es más cara y buena parte de esos expedientes arrancan, precisamente, de una gestión deficiente del consentimiento previo del consumidor. Y aquí es donde entra en juego la firma digital, ya no solo como herramienta para cerrar contratos, sino como el mecanismo que permite dejar constancia, con validez legal, de que ese consentimiento existió, en qué condiciones se otorgó y (lo más importante desde el punto de vista del TRLGDCU) que la empresa puede probarlo.

Tipos de consentimiento previo del consumidor

¿Son dos gotas de agua iguales? Parece que sí, pero ya te decimos que no. Y lo mismo pasa con los consentimientos. No todos son idénticos, y tratarlos como si lo fueran es uno de los errores más comunes en la gestión diaria de cualquier empresa. Ojo con esto, porque la normativa distingue finalidades muy distintas (véase tratar datos, enviar publicidad, cerrar un contrato) y cada una tiene sus propios requisitos, plazos de conservación y consecuencias si se hace mal.

¿Qué supone esto en la práctica? Pues que una empresa puede tener perfectamente resuelto el consentimiento para tratar los datos de un cliente y, al mismo tiempo, estar incumpliendo de forma flagrante la normativa de comunicaciones comerciales o la de contratación a distancia, o viceversa. Veamos los tres bloques principales.

A) Consentimiento para tratar datos personales

Es el consentimiento básico. El que habilita a la empresa a recoger, almacenar y procesar información personal (nombre, email, teléfono, hábitos de compra, datos de navegación, etc.). Se rige directamente por el RGPD y debe cumplir sus cuatro requisitos (libre, específico, informado e inequívoco), que desarrollaremos más adelante.

• Debe solicitarse de forma separada para cada finalidad de tratamiento (marketing, análisis, cesión a terceros…).
• No puede presumirse por el silencio, la inactividad o el uso continuado de un servicio.

B) Consentimiento para comunicaciones comerciales

Atentos aquí porque este es, probablemente, el terreno donde más fricción existe hoy entre empresas y consumidores, y también el que el TRLGDCU regula con más detalle. El artículo 96 exige que en toda comunicación comercial a distancia conste inequívocamente su carácter comercial y que, en el caso de sistemas automatizados de llamadas o fax, exista consentimiento expreso previo del consumidor. La misma norma, por otro lado, limita el horario de las llamadas comerciales a la franja de 9 a 21 horas, prohíbe hacerlas en festivos o fines de semana, y obliga a la empresa a conservar durante al menos un año los datos de quienes hayan ejercido su derecho de oposición.

A esto se suma el artículo 62 TRLGDCU, que introduce una regla especialmente dura para las ventas telefónicas: se presume que no existe voluntad de contratar (y el contrato deviene nulo) si se incumple la normativa sobre llamadas no solicitadas, y ese consentimiento para ser llamado caduca si no se ha renovado de forma expresa en los dos años anteriores a la comunicación. ¿Que si se lo pasan por el forro? Cómo lo sabes.

La realidad según los datos de la OCU, demuestra que este tipo de consentimiento se sigue vulnerando de forma masiva:

Sobra decir que: 

• El consentimiento debe ser expreso, no puede inferirse de la aceptación de una política de privacidad genérica.
• Cada canal (email, SMS, WhatsApp, llamada) puede requerir su propia autorización según el criterio de la empresa y su política interna, aunque la norma no siempre lo exige canal por canal.
• La existencia de una relación contractual previa habilita el interés legítimo en algunos casos, pero no sustituye al consentimiento cuando no hay excepción legal aplicable.
• El consentimiento debe poder revocarse con la misma facilidad con la que se otorgó.
• Debe conservarse constancia documental de cuándo y cómo se obtuvo (el TRLGDCU pone la carga de la prueba en la empresa, nunca en el cliente).
• Las listas de exclusión publicitaria (como la Lista Robinson) deben respetarse siempre, incluso si en algún momento hubo consentimiento. De nuevo, ambos sabemos que se lo pasan por el forro. 

C) Aceptación de un contrato

Este se podría decir que es un consentimiento de naturaleza distinta. ¿Por qué? Porque no regula el tratamiento de datos ni el envío de publicidad, sino la propia formación del vínculo contractual. El artículo 100 TRLGDCU es tajante al respecto y dice que un contrato celebrado sin que se haya facilitado al consumidor la copia firmada o la confirmación documental puede ser anulado a instancia del propio consumidor, y esa nulidad en ningún caso podrá ser invocada por el empresario en su propio beneficio. Es, de nuevo, el consumidor quien decide si el contrato se sostiene o cae.

• Requiere identificación inequívoca de quién firma, algo que el propio TRLGDCU exige expresamente al empresario (art. 97.9 y 99.4).
• Debe quedar vinculado de forma indisociable al documento concreto que se acepta, no vale un sí genérico ni el silencio del consumidor (art. 101 TRLGDCU).
• Su valor probatorio depende directamente del tipo de firma electrónica empleada: no es lo mismo un clic en una casilla que una firma electrónica cualificada conforme al Reglamento eIDAS.

Errores frecuentes al obtener el consentimiento

¿Es el hombre el único animal que se tropieza con la misma piedra? Deberías ver los casos sancionadores. Prácticamente siempre son los mismos. Y como decíamos al principio, las empresas no suelen fallar por desconocer que necesitan el consentimiento, sino por diseñar procesos que, parecen cumplir la norma, pero que en la práctica no resisten un análisis mínimamente riguroso ni, mucho menos, la carga de la prueba que la ley les impone.

El propio sector del comercio electrónico (que no olvidemos que en España mueve ya 27,4 millones de compradores online) concentra buena parte de estos expedientes, precisamente porque los formularios de alta, las cookies y los checkouts son el punto donde más se improvisa.

1. Casillas premarcadas y consentimiento por omisión

El error más clásico, y el que con más frecuencia aparece tanto en las resoluciones de la AEPD como en la propia letra del TRLGDCU. El artículo 60 bis es bastante explícito al decir que si el empresario no obtiene el consentimiento expreso del consumidor para un pago adicional, sino que lo deduce de una opción marcada por defecto que el cliente debería desmarcar, el consumidor tiene derecho al reembolso de ese importe. El principio se extrapola sin dificultad a cualquier otro tipo de consentimiento por omisión.

• El consentimiento por omisión o inacción nunca es válido, aunque el usuario no haya dicho expresamente que no (así lo recoge también el artículo 101 TRLGDCU al señalar que la falta de respuesta jamás equivale a aceptación).
• Un botón de rechazo menos visible o más difícil de usar que el de aceptación invalida todo el proceso, con independencia de que técnicamente exista o no la opción.

2. Consentimiento genérico o agrupado

Si el anterior consentimiento era el clásico este es su mano derecha. El segundo de abordo, vaya. Nos referimos a pedir un único sí que nos sirve, a la vez, para tratar datos, enviar publicidad y ceder información a terceros. Y no te hemos abierto una nueva cuenta bancaria de milagro. 

La normativa exige que cada finalidad se autorice por separado. Es decir, de manera INDIVIDUAL, y agruparlas todas en una sola casilla (por comodidad de diseño o por ahorrar clics) además de ser de vago, es una de las causas más habituales de sanción.

¿Qué requisitos debe cumplir el consentimiento previo?

Molaría que tuviéramos libre albedrío empresarial. Que la normativa dejara el  consentimiento a la interpretación de cada empresa:. Ojalá, ¿eh? Pero no. El RGPD fija tres cualidades que debe reunir siempre, y su ausencia (aunque sea de una sola de ellas) basta para invalidarlo. No es casualidad que buena parte de las sanciones de las que hablábamos antes se sustenten, precisamente, en el incumplimiento de uno solo de estos tres requisitos.

Conviene tratarlos por separado porque cada uno falla de una manera distinta y exige una solución distinta en el diseño del proceso.

A) Libre

El consumidor debe poder decir que no, sin sufrir ninguna consecuencia negativa por ello. 

• Ni perder acceso al servicio.
• Ni pagar más.
• Ni ver degradada la experiencia. 
• Debe ofrecer una alternativa real y equivalente para quien decide no consentir.

Si aceptar un tratamiento de datos no relacionado con el servicio contratado es condición para poder usarlo, ese consentimiento deja de ser libre por definición. 

B) Específico

Cada finalidad necesita su propio consentimiento. Punto. Sin agruparlos. El artículo 60 bis del TRLGDCU es un buen ejemplo de esta exigencia aplicada a un caso muy concreto al decir que cada suplemento o pago adicional debe comunicarse y aceptarse de forma individual, nunca dentro de un paquete genérico de condiciones.

• Un consentimiento para recibir newsletters no habilita el envío de ofertas de terceros.
• Un consentimiento para gestionar un pedido no habilita el uso de esos datos con fines de perfilado publicitario.
• Cuantas más finalidades distintas maneje una empresa, más consentimientos diferenciados tendrá que solicitar y conservar.

C) Informado

El consumidor tiene que saber, con claridad y antes de decidir: 

• Quién trata sus datos.
• Para qué.
• Durante cuánto tiempo.
• Con quién los comparte. 

El propio TRLGDCU, en su artículo 97, exige que esta información precontractual se facilite de forma gratuita, en un lenguaje comprensible y, cuando proceda, en las lenguas oficiales del lugar de celebración del contrato. Vamos que un texto legal de veinte páginas en lenguaje jurídico incomprensible no cumple este requisito. Mira el BOE cómo mira para otro lado, fíjate. Como si esto no fuera con él… 

¿Por qué es importante poder demostrar el consentimiento previo del consumidor?

Espera que ahora viene lo bueno. No basta con haber obtenido el consentimiento, hay que poder demostrarlo. Lo dice el TRLGDCU de forma explícita y repetida en el artículo 60 bis.2 para los pagos adicionales, en el 97.9 y 99.4 para la información precontractual, en el 100.3 para la confirmación documental: en todos los casos, corresponde al empresario probar el cumplimiento de las obligaciones.

Si llega una reclamación, una inspección de la AEPD o una demanda de nulidad contractual al amparo del artículo 100 TRLGDCU, la empresa tiene que aportar la prueba, no limitarse a defenderse. Sin un registro verificable, la empresa parte ya en desventaja, con independencia de lo que realmente ocurra.

Las consecuencias de no poder demostrarlo son de dos tipos, y sí, ambas duelen. Sobre todo al bolsillo de la empresa. 

La vía civil: contratos que pueden anularse a instancia del consumidor (nunca del empresario) simplemente porque no existe constancia de que el consentimiento se otorgó correctamente.Qué evidencias conviene conservar del consentimiento previo del consumidor

La vía sancionadora: multas que, como hemos visto, promedian ya los 148.000 euros por expediente. 

Para que un consentimiento sea defendible ante un organismo supervisor o un tribunal, conviene guardar un conjunto mínimo de datos asociados a cada acción:

• El texto exacto que se mostró al consumidor en el momento de consentir, no una versión posterior o actualizada.
• La fecha y hora exactas en que se otorgó el consentimiento.
• El canal y el dispositivo utilizados para prestarlo.
• La identidad verificada de quien consintió, no solo un nombre autodeclarado en un formulario.
• Constancia de si hubo revocación posterior, y cuándo se produjo.
• El histórico de versiones del texto legal o comercial aceptado, por si la política cambia con el tiempo.

El papel de la firma digital en el consentimiento previo del consumidor

Una firma digital es un proceso criptográfico que vincula de forma indisociable la identidad del firmante, el contenido exacto del documento y el momento en que se firmó, con un sello de tiempo que impide alterar cualquiera de los tres elementos después.

¿Entendemos ya la necesidades de la firma digital en los consentimientos previos?

El Reglamento eIDAS distingue tres niveles (firma simple, avanzada y cualificada) y como imaginarás, no todos sirven para lo mismo. Para una aprobación interna de bajo riesgo, una firma simple reforzada con un código OTP por SMS puede ser suficiente. Para la aceptación de un contrato con un cliente, donde puede depender la validez de la operación entera, conviene subir el nivel a una firma avanzada o cualificada, que identifica de forma inequívoca al firmante y aporta el máximo valor legal posible.

Cómo implementar un proceso de consentimiento previo

Que no cunda el pánico que poner en marcha un proceso sólido y fiable, no exige rehacer toda la infraestructura de la empresa, pero sí ordenar unos pasos concretos:

1. Identifica cada finalidad para la que necesitas consentimiento y sepáralas entre sí.
2. Redacta el texto de cada consentimiento en lenguaje claro, sin remitir a documentos externos interminables.
3. Integra un sistema de firma digital que capture identidad, contenido y sello de tiempo en el mismo acto.
4. Define un mecanismo de revocación tan sencillo como el de aceptación.
5. Establece un periodo de conservación de las evidencias acorde a los plazos de prescripción aplicables.

Firma simple, avanzada o cualificada: elegir el nivel adecuado

Si no es tu primer artículo en nuestro blog, sabrás que no toda interacción con un cliente exige el mismo nivel de firma, y forzar siempre el nivel máximo puede generar fricción innecesaria en procesos de bajo riesgo. El quid de la cuestión está en valorar qué se pierde si ese consentimiento concreto se cuestiona en el futuro.

• Firma simple: adecuada para aprobaciones internas o consentimientos de bajo riesgo; puede reforzarse con OTP.
• Firma avanzada: basada en certificado digital, identifica de forma inequívoca al firmante; buen equilibrio entre seguridad y experiencia de usuario.
• Firma cualificada: basada en un certificado digital cualificado conforme a eIDAS; garantiza el máximo valor legal de la transacción y traslada la carga de la prueba de invalidez a quien la cuestiona.

Beneficios de acreditar el consentimiento previo del consumidor

Más allá de evitar sanciones, contar con un consentimiento bien acreditado tiene un efecto directo sobre el negocio. ¿A qué nos referimos? Pues a que se reduce el tiempo dedicado a resolver reclamaciones, evita la anulación de contratos por defectos de forma y aporta una trazabilidad que agiliza cualquier auditoría, interna o externa.

El mercado actual hace que este beneficio sea cada vez más relevante debido a que el comercio electrónico en España ya no es un canal emergente, sino la forma habitual de relacionarse con el cliente. Tal como lo dicen los datos (sacados del Estudio Ecommerce 2025 de IAB Spain), el 77% de los internautas españoles de entre 16 y 74 años compra online, lo que equivale a unos 27,4 millones de personas, y el 63% de ellos adquirirá sus productos exclusivamente a través de canales digitales. ¿Y sabes qué? Que cada una de esas interacciones implica, en algún momento, un consentimiento que la empresa debería poder acreditar.

• Evita la nulidad de contratos por defectos de forma, con el coste económico y de imagen que eso implica.
• Reduce el tiempo de gestión de reclamaciones ante la AEPD o los servicios de consumo.
• Facilita las auditorías internas y externas, al disponer de un registro centralizado y verificable.
• Refuerza la confianza del cliente, que percibe procesos claros y transparentes.
• Minimiza el riesgo económico frente a sanciones, cuyo importe medio no deja de crecer año tras año.

Como ves, consentir, digitalmente, tiene mucha miga. ¿Lo bueno? Que tenemos las herramientas necesarias para conseguirlo.