¿Es legal vender datos en España?

Última actualización: 5 de agosto de 2026.

Respuesta rápida. Sí, vender o ceder datos personales es legal en España, pero solo con el consentimiento expreso del titular, conforme al RGPD y a la LOPDGDD, salvo que la cesión sea necesaria para ejecutar un contrato o aplicar medidas precontractuales solicitadas por el interesado. El consentimiento debe ser libre, específico, informado e inequívoco: no valen las casillas premarcadas ni el consentimiento tácito, y el responsable debe poder probar que lo obtuvo. El titular puede revocarlo en cualquier momento, de forma sencilla y gratuita. Para datos sensibles, decisiones automatizadas y transferencias internacionales se exige además consentimiento explícito. Incumplir estos requisitos convierte la venta en un tratamiento ilícito.

Regulación de la Unión Europea

La cesión o venta de datos personales se rige en toda la Unión Europea por el Reglamento (UE) 2016/679, General de Protección de Datos (RGPD). La cesión de datos a un tercero es un tratamiento y, como tal, exige una base de legitimación del artículo 6 RGPD; en el caso de la venta de datos, esa base es, con carácter general, el consentimiento del interesado.

El artículo 6.1 del RGPD establece lo siguiente:

“El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales (…).”

El artículo 7 del RGPD establece las condiciones del consentimiento:

• 1. “Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.
  2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo.
  3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Será tan fácil retirar el consentimiento como darlo.
  4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato.”

Por lo tanto, para ceder o vender datos personales a terceros es necesario, con carácter general, contar con el consentimiento expreso del interesado, salvo que concurra otra base de legitimación del artículo 6 RGPD (por ejemplo, que la cesión sea necesaria para la ejecución de un contrato en el que el interesado sea parte o para aplicar medidas precontractuales solicitadas por él). El consentimiento debe ser otorgado de forma libre, específica, informada e inequívoca. El interesado debe ser informado, conforme a los artículos 13 y 14 del RGPD, de la finalidad para la que se van a utilizar sus datos, así como de los destinatarios o categorías de destinatarios de los mismos. El interesado también tiene derecho a retirar su consentimiento en cualquier momento.

Regulación en España

En España, el RGPD se complementa con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). La LOPDGDD no contiene un régimen especial para la venta de datos: la cesión a terceros es un tratamiento de datos sometido a las reglas generales del RGPD. Su artículo 6, relativo al tratamiento basado en el consentimiento del afectado, establece lo siguiente:

“De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen.”

El propio artículo 6 de la LOPDGDD, junto con el deber de información del RGPD, añade las siguientes reglas relevantes para la cesión o venta de datos:

1. “Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas (artículo 6.2 LOPDGDD).
2. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual (artículo 6.3 LOPDGDD).
3. Además, conforme a los artículos 13 y 14 del RGPD, el responsable debe informar al interesado, entre otros extremos, de los fines del tratamiento y de los destinatarios o categorías de destinatarios de los datos personales.”

¿Qué se entiende por consentimiento libre, específico, informado e inequívoco a la hora de vender datos?

El RGPD requiere que el consentimiento sea “inequívoco”, lo que supone que se preste mediante una manifestación del interesado o mediante una clara acción afirmativa. Esto excluye la utilización del llamado consentimiento tácito, que permitía la normativa española de protección de datos. Así, no se consideran formas válidas de obtener el consentimiento el uso de casillas ya marcadas o la inacción. En cambio, sí son acordes al RGPD, la utilización de una declaración por escrito, o la marcación de casillas en un sitio web de internet. El consentimiento en el marco del RGPD se caracteriza por lo siguiente:

• Puede ser para uno o varios fines.
• Debe ser prestado de forma libre.
• Revocable.
• El responsable debe poder probar en todo momento que ha obtenido el consentimiento.
• Utilizar un lenguaje claro y sencillo.

Por otra parte, también debe ser tenido en cuenta lo siguiente:

• Si se usa para obtenerlo una declaración escrita, debe quedar claramente diferenciada la parte referente a protección de datos del resto de declaraciones.
• Si se recaba el consentimiento para varias finalidades:
  • Sería posible agruparlas en virtud de su vinculación (por ejemplo, consentimiento para la recepción de publicidad propia o de terceros).
  • Pero deberían desagregarse cuando los tratamientos impliquen conductas distintas (por ejemplo tratamiento por quien recaba los datos y cesión a terceros).

Asimismo, existen supuestos en que además de inequívoco, el consentimiento ha de ser explícito:

• Tratamiento de datos sensibles
• Adopción de decisiones automatizadas
• Transferencias internacionales

Hitos necesarios para la venta de datos personales en España

En España, la venta de datos personales está regulada por el Reglamento (UE) 2016/679 (RGPD) y por la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Esta normativa establece que, para que la venta de datos personales sea legal, es necesario contar, con carácter general, con el consentimiento expreso de los titulares de los datos. Para vender datos personales en España, es necesario seguir los siguientes pasos:

1. Obtener el consentimiento expreso de los titulares de los datos. Este consentimiento debe ser otorgado de forma libre, específica, informada e inequívoca. Los titulares de los datos deben ser informados de la finalidad para la que se van a utilizar sus datos, así como de los destinatarios de los mismos.
2. Elaborar un contrato de venta de datos. Este contrato debe recoger los términos y condiciones de la venta, incluyendo la descripción de los datos que se van a vender, el precio de venta y la forma de pago.
3. Documentar el tratamiento en el registro de actividades de tratamiento previsto en el artículo 30 del RGPD. Desde el 25 de mayo de 2018 ya no existe la obligación de inscribir ficheros en la Agencia Española de Protección de Datos (AEPD): aquel registro fue sustituido por este registro interno, que el responsable debe mantener actualizado y facilitar a la AEPD cuando se lo requiera.

Una vez seguidos estos pasos, la empresa podrá vender los datos personales a otras empresas que estén interesadas en ellos.

Formas de vender datos

Hay dos formas principales de vender datos personales:

• Vender los datos directamente a otras empresas. Esta es la forma más sencilla de vender datos, pero también la menos rentable. Las empresas que compran datos directamente a otras empresas suelen pagar un precio más bajo que las que compran datos a través de un intermediario.
• Vender los datos a un intermediario. Los intermediarios, también conocidos como “data brokers”, son empresas que se dedican a comprar y vender datos personales. Los data brokers suelen pagar un precio más alto por los datos que las empresas que compran datos directamente a otras empresas.

¿Qué datos se pueden vender?

Se pueden vender cualquier tipo de datos personales, siempre y cuando se cumplan los requisitos establecidos por la LOPDGDD. Los datos personales más comunes que se venden son los siguientes:

• Datos de contacto: nombre, apellidos, dirección, número de teléfono, dirección de correo electrónico, etc.
• Datos demográficos: edad, sexo, ubicación, etc.
• Datos de comportamiento: intereses, hábitos de compra, etc.
• Datos de navegación: historial de navegación web, cookies, etc.

Ventajas y desventajas de vender datos

La venta de datos personales puede tener ventajas y desventajas.

Ventajas:

• Puede ser una fuente de ingresos para las empresas.
• Puede ayudar a las empresas a mejorar su conocimiento de los clientes.
• Puede ayudar a las empresas a personalizar sus productos y servicios.

Desventajas:

• Puede suponer una violación de la privacidad de los titulares de los datos.
• Puede dañar la reputación de las empresas que venden datos.

Recomendaciones

• Antes de vender datos personales, es importante considerar las ventajas y desventajas de esta práctica. También es importante asegurarse de que se cumplen los requisitos establecidos por la LOPDGDD.
• El análisis sobre el alcance de la protección de datos de carácter personal y la normativa que lo regula, es complejo. Busque un abogado experto en protección de datos.

Si te ha gustado este artículo, también puede interesarte la lectura del siguiente: Diccionario (Jargon) de Protección de Datos (GPDR)

Para un análisis aplicado a su caso, visite nuestra área de Protección de Datos.

No te quedes con la duda, contacta con nosotros. Estaremos encantados de atenderte y de ofrecerte soluciones.

Preguntas frecuentes

Contacto
No te quedes con la duda, contacta con nosotros. Estaremos encantados de atenderte y de ofrecerte soluciones.