BizAuto← Volver al inicio

Blog / Legalidad, RGPD y prospección en España

RGPD y scraping de datos públicos

Los artículos del RGPD que regulan extraer datos de empresas: interés legítimo, deber de informar y derecho de oposición, con el texto literal de cada uno.

Equipo BizAuto · Publicado el 2026-08-24

Respuesta directa

El RGPD no prohíbe el scraping por su nombre — regula el tratamiento de datos personales sea cual sea la técnica de obtención. Tres artículos son los que importan de verdad: el 6.1.f (la base legal del interés legítimo), el 14 (el deber de informar cuando el dato no viene del propio interesado) y el 21 (el derecho de oposición). Cumplir los tres, con matices, es lo que hace defendible una base de datos construida a partir de fichas públicas.

Índice

Por qué "es un dato público" no es una base legal

Es el malentendido más repetido sobre el RGPD, así que conviene aclararlo con el texto en la mano: el RGPD no tiene una excepción llamada "dato público". No existe un artículo que diga "si el dato está publicado, el tratamiento queda fuera del reglamento". Lo que existe son seis bases legales en el art. 6.1, y la publicidad del dato es, como mucho, un factor que pesa a favor al aplicar una de ellas — normalmente la del interés legítimo, letra f.

Esto tiene una consecuencia concreta: el análisis no es "¿es público?" sino "¿qué base legal del art. 6 ampara este tratamiento, y se cumplen sus condiciones?". El resto de este artículo desarrolla esa pregunta con los tres artículos que la responden.

Artículo 6.1.f: el interés legítimo, con su texto exacto

El artículo 6, apartado 1, letra f del RGPD dice, literalmente:

"el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño."

Tres piezas de este texto importan más de lo que parece a primera lectura:

  1. "Necesario" — no basta con que el tratamiento sea útil o conveniente. Tiene que ser necesario para el interés perseguido, lo que excluye recoger más datos de los que ese interés justifica.
  2. "Siempre que no prevalezcan los intereses o derechos... del interesado" — esto es un ejercicio de ponderación, no una casilla que se marca. Hay que sopesar el interés del responsable frente al impacto en el titular del dato.
  3. El artículo no menciona en ningún punto la palabra "público". La condición de que el dato sea accesible públicamente no aparece en el texto — es un elemento que se valora en la ponderación (un dato que el propio negocio ha publicado para ser contactado pesa distinto que uno filtrado), pero el artículo no lo convierte en automático.

Artículo 14: el deber de informar cuando el dato no viene del interesado

Cuando los datos personales no se han obtenido directamente del interesado —que es exactamente lo que ocurre al extraer una ficha de Google Maps o rastrear una web— se activa el art. 14 RGPD, no el art. 13 (que es para cuando el dato lo da la propia persona).

El art. 14.2 exige informar, entre otras cosas, de:

  • La identidad y los datos de contacto del responsable del tratamiento.
  • Las categorías de datos personales de que se trate.
  • Los intereses legítimos perseguidos por el responsable, cuando el tratamiento se base en el art. 6.1.f — es decir, si usas el interés legítimo como base, tienes que decir cuál es ese interés, no dejarlo implícito.
  • El plazo de conservación, o los criterios para determinarlo.
  • La existencia del derecho a solicitar el acceso, rectificación, supresión y oposición.

La ley da un plazo razonable para cumplir este deber (normalmente dentro de un mes desde la obtención del dato, o en el primer contacto con el interesado si se produce antes).

Existe una excepción real, el art. 14.5.b, para cuando facilitar esa información "resulte imposible o suponga un esfuerzo desproporcionado" — pensada para tratamientos de gran volumen, como bases de datos con miles de registros. Pero no es un cheque en blanco: el mismo artículo exige que, en ese caso, el responsable adopte medidas apropiadas para proteger los derechos del interesado, lo que en la práctica se traduce en tener una política de privacidad pública y accesible que cumpla el resto de las exigencias del art. 14, aunque no se notifique individualmente a cada persona.

Artículo 21: el derecho de oposición

El art. 21.1 RGPD da a cualquier interesado el derecho a oponerse en cualquier momento al tratamiento de sus datos cuando este se base en el interés legítimo del art. 6.1.f, "por motivos relacionados con su situación particular". A partir de ahí, el responsable debe dejar de tratar los datos salvo que acredite motivos legítimos imperiosos que prevalezcan sobre los intereses del interesado, o para la formulación, ejercicio o defensa de reclamaciones.

Cuando el tratamiento tiene fines de mercadotecnia directa —el caso más relevante para este blog— el art. 21.2 y 21.3 son todavía más tajantes: el interesado puede oponerse en cualquier momento y sin necesidad de justificar el motivo, y en cuanto se opone, el responsable debe dejar de tratar sus datos para ese fin, sin excepción posible.

Es, en la práctica, el mecanismo de baja que cualquier base de datos construida bajo interés legítimo tiene que ofrecer de forma real y funcional — no como formalidad.

Cómo encajan los tres artículos en la práctica

Puestos en orden, los tres artículos definen un ciclo completo:

  1. Art. 6.1.f — te da (potencialmente) la base legal para tratar el dato sin pedir consentimiento previo.
  2. Art. 14 — te obliga a informar de que lo estás tratando y de por qué, normalmente mediante una política de privacidad accesible si aplicaste la excepción de esfuerzo desproporcionado.
  3. Art. 21 — le da al titular del dato la última palabra: puede oponerse en cualquier momento y sin justificarse, y esa oposición tiene que respetarse de forma efectiva.

Un tratamiento que cumple el primero pero ignora el segundo o el tercero no está protegido por el RGPD solo por tener, en teoría, una base legal — la base legal es una condición necesaria, no suficiente.

Checklist para documentar el tratamiento bajo el artículo 6.1.f

Antes de dar por defendible un tratamiento basado en interés legítimo, conviene poder marcar cada punto con un "sí" verificable, no supuesto:

  • [ ] Interés identificado por escrito. No basta con tenerlo en la cabeza: escribe en una línea cuál es el interés legítimo concreto perseguido (por ejemplo, "contactar con negocios de un sector para ofrecerles un servicio relacionado con su actividad").
  • [ ] Test de necesidad superado. ¿Existía una forma de conseguir el mismo fin con menos datos o menos invasiva? Si la respuesta es sí, el tratamiento actual probablemente no pasa el filtro de necesidad.
  • [ ] Test de ponderación documentado. Aunque sea un párrafo interno, deja constancia de por qué el interés perseguido no queda superado por los derechos del titular.
  • [ ] Categorías de datos limitadas a lo necesario. Nombre del negocio, contacto profesional, dirección — no datos que no aporten nada al fin perseguido.
  • [ ] Política de privacidad pública que cubra las menciones exigidas por el art. 14.2, accesible sin fricción desde donde se recogen o se usan los datos.
  • [ ] Mecanismo de oposición operativo, no solo un texto legal: un canal real donde el titular pueda ejercer el art. 21 y que efectivamente detenga el tratamiento.
  • [ ] Registro de origen del dato (de qué ficha o web pública se obtuvo, y cuándo) por si hay que justificarlo ante una reclamación o una inspección.
  • [ ] Revisión periódica de si el interés legítimo sigue siendo válido según cambia el volumen o el uso de los datos — no es una base legal que se fija una vez y se olvida.

Esta lista no sustituye un análisis legal caso por caso, pero es el mínimo razonable para poder defender, documentalmente, que el tratamiento se hizo con criterio y no de forma automática.

Cuándo el interés legítimo no es suficiente

Hay situaciones donde el interés legítimo, por bien argumentado que esté, no va a superar la ponderación:

  • Volúmenes muy grandes de datos sensibles o de perfiles vulnerables — no es el caso habitual de datos de contacto profesional, pero conviene tenerlo presente si el tratamiento se amplía.
  • Cuando existe una vía de consentimiento razonablemente accesible y no se usa — parte del test de necesidad es preguntarse si había una forma menos invasiva de conseguir el mismo fin.
  • Cuando el interesado ya se ha opuesto una vez — insistir tras una oposición documentada convierte un tratamiento inicialmente defendible en una infracción del art. 21.

Errores comunes

  • Citar "el RGPD" en genérico sin artículo concreto. Si no puedes señalar qué apartado ampara tu tratamiento, probablemente no lo has analizado, solo lo has dado por hecho.
  • Confundir la excepción de esfuerzo desproporcionado (14.5.b) con no informar en absoluto. La excepción traslada la obligación a otra forma (política de privacidad pública), no la elimina.
  • No tener un mecanismo real de oposición del art. 21. Un enlace que no funciona o un proceso lento no cumple "en cualquier momento y sin justificar el motivo".
  • Tratar el interés legítimo como una base legal permanente sin revisión. El test de ponderación puede cambiar si cambia el volumen, el tipo de dato o el uso que se le da.

Cómo lo resuelve BizAuto

BizAuto construye su base de datos a partir de fichas públicas de Google Maps y de las webs oficiales de cada negocio —extracción directa de la ficha, rastreo de la web y, en planes de pago, optimización con inteligencia artificial— bajo el interés legítimo del art. 6.1.f RGPD, con política de privacidad accesible que cumple el deber de información del art. 14, y con un canal para que cualquier negocio pueda solicitar la baja permanente de sus datos en cualquier momento, tal como exige el art. 21. El plan gratuito incluye 100 contactos verificados al mes para revisar este proceso de primera mano antes de decidir si lo integras en tu propia operación.

Preguntas frecuentes

¿El RGPD prohíbe el scraping de datos públicos? No lo prohíbe por nombre. Regula el tratamiento de datos personales sea cual sea la técnica de obtención. Sin una base legal del art. 6 que lo ampare, el tratamiento es ilícito, se haga a mano o de forma automatizada.

¿Qué significa exactamente "esfuerzo desproporcionado" en el artículo 14.5.b? Es la excepción que permite no informar individualmente a cada interesado en tratamientos de gran volumen. No exime de informar del todo: exige medidas alternativas, como una política de privacidad accesible.

¿Puede un negocio pedir que se elimine su dato de una base construida por scraping? Sí, por el derecho de oposición del art. 21 o el de supresión del art. 17. El responsable debe dejar de tratar sus datos salvo motivos legítimos imperiosos que prevalezcan, algo poco habitual en marketing.

Siguientes pasos

Artículo del equipo de BizAuto. Última actualización: 24 de agosto de 2026. Este contenido es informativo y no constituye asesoramiento legal.