Hay una frase que se oye mucho en el sector y que es falsa: «esto son cuatro sellos, no hay datos de por medio».
Un programa de fidelización guarda quién es tu cliente, cómo contactarlo y qué compra. Eso es un tratamiento de datos personales con todas las letras, y lo regula el RGPD igual que a un banco. La diferencia no está en la norma: está en que el banco tiene un departamento y tú no.
La medida del riesgo
Según la Memoria anual 2025 de la Agencia Española de Protección de Datos —analizada aquí en detalle—, el año pasado dejó estas cifras:
| Concepto | 2025 | Variación |
|---|---|---|
| Reclamaciones recibidas | 30.931 | +64% |
| Procedimientos sancionadores abiertos | 495 | +20% |
| Multas impuestas | 325 | +16% |
| Importe total | 48.108.765 € | +35% |
Treinta mil reclamaciones no las presentan treinta mil empresas contra sus competidores: las presentan clientes molestos. Y el motivo más frecuente para que un cliente se moleste con un programa de fidelización es recibir algo que no pidió.
Las cuatro cosas que hay que tener bien
1. El consentimiento tiene que ser específico
Este es el que más multas genera. No vale una casilla que diga «acepto recibir información». Apuntarse al programa y aceptar publicidad son dos finalidades distintas y necesitan dos consentimientos distintos.
Si alguien se da de alta para acumular puntos, tienes base para gestionarle los puntos. Para mandarle una promoción de los jueves, necesitas que lo haya aceptado aparte.
2. Informar antes, no después
En el momento de la alta, el cliente tiene que poder saber quién trata sus datos, para qué, cuánto tiempo y cómo ejercer sus derechos. No hace falta un tratado: una capa breve con enlace a la política completa cumple, y es lo que hace todo el mundo que lo hace bien.
3. Los derechos tienen que funcionar de verdad
Acceso, rectificación, supresión, oposición, limitación y portabilidad. Si un cliente escribe pidiendo que le borres, tiene que haber alguien leyendo ese correo y un sitio donde borrarlo. Un buzón que nadie abre es peor que no tener buzón: deja rastro de que se pidió y no se hizo.
4. Las brechas, notificadas
Es la parte que más creció: los procedimientos sancionadores por brechas de seguridad pasaron de 30 en 2024 a 77 en 2025, un 157% más, y sumaron 19,8 millones —el 40% del importe total—. La Agencia recibió 2.765 notificaciones de brecha, con más de 209 millones de personas potencialmente afectadas.
Si se filtra tu base de clientes, hay 72 horas para notificarlo. Que el fichero sea pequeño no exime.
El apunte que casi nadie hace
El dato con más letra pequeña de toda la memoria es este: los procedimientos abiertos por publicidad bajaron un 39%.
Es tentador leerlo como «se persigue menos». Es más probable lo contrario: llevamos años de sanciones ejemplares en comunicaciones comerciales y el mercado ha ido corrigiendo. Las que quedan son las de quien no se ha enterado todavía.
Qué mirar en tu proveedor
Si el programa lo lleva un software de terceros —el nuestro incluido—, ese proveedor es encargado del tratamiento y tú sigues siendo el responsable. Vale la pena comprobar cuatro cosas antes de firmar:
- Que exista contrato de encargo de tratamiento. Es obligatorio, no opcional.
- Dónde están alojados los datos. Fuera del Espacio Económico Europeo hay que justificar la transferencia.
- Que el consentimiento de marketing se guarde separado del alta, con fecha y origen.
- Que se pueda exportar y borrar un cliente concreto sin abrir un ticket de soporte.
Un proveedor que no sepa responder a estas cuatro preguntas en un correo es un proveedor que te va a dejar solo el día que llegue la reclamación.
Y lo que no es problema
Que guardes los datos no es el riesgo. El riesgo es usarlos para algo que el cliente no autorizó, no poder demostrar que lo autorizó, o no saber dónde están cuando pida que los borres.
Un programa de fidelización bien montado trata menos datos de los que la gente imagina: para dar puntos basta con identificar al cliente. El nombre, el cumpleaños y el resto son cosas que se piden porque «ya que estamos», y cada campo de más es una obligación de más.
Fuentes
- Memoria anual 2025 de la Agencia Española de Protección de Datos. Análisis de cifras en Usercentrics.
- Reglamento (UE) 2016/679 (RGPD) y Ley Orgánica 3/2018 (LOPDGDD).
Esto es una orientación general, no asesoramiento jurídico. Para un caso concreto, consulta a un profesional.
Sigue leyendo
Sector
Uno de cada cuatro hosteleros ya invierte en fidelización (y el resto mira a la IA)
El Barómetro de HIP 2026 pone número a lo que se veía venir: el 28,7% de los hosteleros que van a invertir en tecnología lo harán en CRM y fidelización. Detrás de la IA, pero por delante de casi todo lo demás.
Datos
«Captar un cliente cuesta cinco veces más que retenerlo»: de dónde sale ese dato
Es la frase más repetida del sector y casi nadie sabe citarla. Tiene origen real, tiene autor y dice algo distinto de lo que se le hace decir.
Datos
Los cuatro números de tu programa que deberías mirar cada mes
Un programa de fidelización genera datos desde el primer día. La mayoría de negocios no los mira nunca. Estos cuatro caben en cinco minutos y cada uno lleva a una decisión concreta.
Tarjetas
La tarjeta de plástico ya no la lleva nadie encima
El sector entero se ha movido a la cartera del móvil, y no es por moda. Qué cambia de verdad cuando la tarjeta vive en Apple Wallet o Google Wallet, y qué se pierde por el camino.