Cómo los formularios de registro generan spam en la bandeja de entrada

Qué puede hacer un formulario de registro con tu dirección

Cuando introduces una dirección en un formulario de registro, el sitio puede usarla y la dirección también puede difundirse: mediante una cesión declarada, una venta o transferencia, una filtración de datos o la recopilación a partir de una publicación pública. Una solicitud de baja conforme a CAN-SPAM impide que el remitente envíe futuras comunicaciones comerciales sujetas a la ley y restringe la posterior transferencia de la dirección dada de baja por parte de ese remitente. No recupera las copias ya cedidas, vendidas, filtradas o recopiladas.

El formulario recibe más que una cadena de caracteres. Recibe una dirección válida, además de información contextual: qué te interesaba, desde qué página llegaste y cuándo. Esa combinación es lo que hace que una dirección tenga valor para terceros y explica por qué existen las vías que se describen a continuación.

Si, para empezar, estás decidiendo qué dirección proporcionar a un formulario concreto, puedes crea una dirección desechable para ese formulario y mantener al margen tu bandeja de entrada habitual. La denominación de una dirección de este tipo no determina cómo funciona; eso es precisamente lo que La diferencia entre correo desechable, desechable y desechable aclara. Todo lo que aparece a continuación trata sobre lo que ocurre con una dirección una vez enviada.

Una limitación de este artículo: describe vías posibles basándose en lo que establecen las normas aplicables y las políticas publicadas. No pretende afirmar que sabe qué hace un sitio concreto con tu dirección.

Seguimiento por parte del sitio y difusión a terceros

Según la ley CAN-SPAM de EE. UU., una solicitud de baja se aplica al remitente de un mensaje comercial sujeto a la ley, tanto si ese remitente es el sitio original como si es una empresa que recibió posteriormente la dirección. No crea una orden global de supresión aplicable a todos los que poseen la dirección.

Desde tu perspectiva, hay dos situaciones observables, y resulta útil ponerles nombre, aunque la distinción es descriptiva y no jurídica. Por un lado, están los correos del sitio al que proporcionaste la dirección: su boletín, sus ofertas y sus anuncios de productos. Por otro, están los correos de empresas a las que nunca proporcionaste ningún dato.

La clave está en lo que se desprende de ello. Si una empresa que recibió posteriormente la dirección envía un mensaje comercial sujeto a la ley CAN-SPAM de EE. UU., tiene su propia obligación de ofrecer la baja. El límite jurídico viene determinado por el remitente sujeto a la ley, no por si la dirección llegó a él mediante el uso por parte del sitio original o su posterior difusión. La ley no crea una orden global de supresión aplicable a todos los que poseen la dirección.

La cesión, la venta de listas, las filtraciones de datos y la recopilación automatizada son vías distintas

Una vez que la dirección está en el sistema del sitio, este puede utilizarla para sus propios correos. Además, puede difundirse por cuatro vías distintas, cada una de las cuales ofrece diferentes posibilidades de actuación.

Cesión declarada. La política de privacidad del sitio indica que comparte datos con socios o empresas afiliadas, y el sitio lo hace. Esta es la vía que puedes examinar antes de enviar la dirección, porque la cesión se declara por escrito en algún lugar que puedes consultar.

Venta o transferencia. La dirección pasa a otra empresa como un activo. Hay una restricción importante que conviene conocer: según las normas de la ley CAN-SPAM de EE. UU., una vez que te has dado de baja, ese remitente no puede vender ni transferir tu dirección, ni siquiera como parte de una lista de correo. La única excepción indicada es la transferencia a una empresa contratada para ayudar a ese remitente a cumplir la ley. Esta restricción limita lo que el remitente puede hacer a partir de entonces, pero no permite recuperar una copia transferida antes de que solicitaras la baja.

Una filtración de datos. La dirección escapa del control del sitio sin que este lo pretenda.

Recopilación a partir de una publicación pública. Si la dirección termina publicada en algún lugar, puede recopilarse desde allí. Esta vía requiere que la dirección se haga pública primero, por lo que no se aplica a todos los registros.

Qué cambia realmente una solicitud de baja

Estas son normas de la ley CAN-SPAM de EE. UU. y se aplican a los correos comerciales de marketing sujetos a ella, no a todos los mensajes que una empresa pueda enviarte.

Dentro de ese ámbito, atender una solicitud de baja es una obligación sujeta a un plazo, no una cortesía. El remitente debe atenderla en un plazo de 10 días laborables. El mecanismo de baja que ofrezca debe poder procesar solicitudes durante al menos 30 días después del envío del mensaje. Este requisito establece cuánto tiempo debe permanecer activo el mecanismo, no el plazo para completar tu solicitud.

Las normas también limitan lo que un remitente puede exigirte como condición para atender la solicitud. No puede cobrarte ninguna tarifa, pedirte información de identificación personal aparte de una dirección de correo electrónico ni exigirte ningún paso adicional a enviar un correo electrónico de respuesta o visitar una única página web.

Después de solicitar la baja, la restricción sobre la venta y la transferencia descrita anteriormente se aplica a ese remitente. Cada correo electrónico que infrinja estas normas puede dar lugar a sanciones, por lo que se trata de una obligación vinculante y no de una simple recomendación.

Por qué darse de baja no permite recuperar una dirección

La ley CAN-SPAM impone obligaciones concretas a los remitentes de mensajes comerciales sujetos a ella. Por otra parte, cuando es aplicable el RGPD de la UE o del Reino Unido y existe un derecho válido de supresión, el responsable del tratamiento debe suprimir los datos afectados; las obligaciones frente a terceros de los artículos 17(2) y 19 están sujetas a limitaciones relativas a la adopción de medidas razonables y a la imposibilidad práctica. Ninguno de estos marcos ofrece un mecanismo técnico para recuperar los datos.

Antes de continuar, hay una distinción importante: una solicitud de baja para dejar de recibir comunicaciones comerciales no constituye automáticamente una solicitud de supresión conforme al artículo 17. Son solicitudes diferentes, formuladas en virtud de normas distintas y con alcances diferentes. Según el artículo 17(1) del RGPD de la UE, puede exigirse la supresión cuando concurra alguno de los motivos enumerados, por ejemplo, cuando los datos ya no sean necesarios, se retire el consentimiento y no exista otra base jurídica, la persona se oponga al marketing directo, el tratamiento haya sido ilícito o la supresión sea necesaria para cumplir una obligación legal. El artículo 17(3) permite conservar el tratamiento necesario para ejercer la libertad de expresión e información; cumplir obligaciones legales o desempeñar funciones públicas; atender fines de salud pública; realizar determinadas actividades de archivo, investigación o estadística; y formular, ejercer o defender reclamaciones. La ICO describe el derecho equivalente del RGPD del Reino Unido como un derecho sujeto a condiciones, no absoluto.

Cuando existe una obligación válida de supresión, sus límites aparecen en las obligaciones frente a terceros. El artículo 19 exige que el responsable del tratamiento comunique la supresión a cada destinatario al que se hayan revelado los datos, salvo que resulte imposible o exija un esfuerzo desproporcionado. También obliga al responsable a identificar a esos destinatarios si se lo solicitas. El artículo 17(2) se aplica cuando ese responsable ha hecho públicos los datos y está obligado a suprimirlos: en ese caso, debe adoptar medidas razonables, teniendo en cuenta la tecnología disponible y el coste de su aplicación, para informar a otros responsables de tu solicitud relativa a los enlaces, copias o reproducciones.

La guía de la autoridad de control del Reino Unido añade que el derecho se aplica a los datos que obran en poder de la entidad cuando se recibe la solicitud, no a los que se creen posteriormente.

En conjunto, esta es la respuesta a la pregunta del encabezado. Ambos marcos pueden obligar a una empresa a actuar. Ninguno de ellos ofrece a nadie un botón capaz de acceder a los sistemas de otra empresa y eliminar una copia. Por eso, el momento oportuno para actuar es antes de enviar el formulario, no después.

Cómo revisar un formulario de registro antes de enviarlo

Hay cuatro elementos que puedes revisar antes de pulsar el botón, y cada uno te aporta información específica.

El texto de consentimiento. Comprueba si alguna casilla ya está marcada y lee a qué estás dando realmente tu consentimiento. Aceptar recibir correos de una empresa no es lo mismo que aceptar que comparta tus datos con sus socios.

La sección sobre el intercambio de datos de la política de privacidad. Aquí se describe el intercambio de datos declarado, si lo hay. Una política que especifica las categorías de destinatarios aporta más información que otra que solo dice que los datos pueden compartirse con terceros.

Identidad del remitente. Comprueba quién enviará realmente los mensajes. Si procederán de un socio o una plataforma, en lugar de la empresa cuyo formulario estás rellenando, conviene saberlo mientras aún puedas decidir.

Frecuencia indicada. Un formulario que te informa de qué enviará y con qué frecuencia asume un compromiso que podrás contrastar con sus mensajes posteriores. Uno que no dice nada no asume ese compromiso.

Preguntas frecuentes

¿Puede darse de baja confirmar que una dirección está activa?

Si reconoces al remitente, utiliza su mecanismo para darte de baja. Si recibes un mensaje inesperado o sospechoso, no hagas clic en sus enlaces; márcalo como spam o correo no deseado y denúncialo como phishing cuando corresponda. En sentido estricto, un enlace único puede revelar que alguien interactuó con el mensaje, aunque el mero hecho de que este llegara ya indicaba al remitente que la dirección funcionaba.

¿Cómo puedo saber si un remitente obtuvo mi dirección de otra empresa?

El mensaje por sí solo quizá no permita determinar de dónde obtuvo la empresa la dirección. Recibir correo de una empresa a la que nunca se la proporcionaste demuestra que la consiguió posteriormente, pero no revela si fue mediante un intercambio de datos declarado, una transferencia, una filtración o la recopilación a partir de una publicación accesible al público.

¿Cambiar de bandeja de entrada elimina los datos que un sitio ya conserva?

No. Cambiar a otra bandeja de entrada modifica dónde llega el correo nuevo. No altera lo que una empresa ya ha almacenado ni revoca el consentimiento que concediste anteriormente. Para eliminar los datos que conserva una empresa concreta, debes ejercer el derecho correspondiente frente a ella, cuando la normativa aplicable te lo reconozca. Elegir a qué tipo de bandeja de entrada cambiar es una decisión aparte, y La elección entre un alias y una bandeja de entrada separada determina dónde llegará el correo posterior.