Programa de fidelización y RGPD: qué mensajes necesitan consentimiento

Un programa de fidelización que cumple el RGPD necesita dos cosas separadas: un motivo para guardar los datos del cliente y que la tarjeta funcione, y un sí aparte antes de enviarle marketing. Las actualizaciones de la tarjeta, como «se ha añadido un sello» o «tu premio está listo», forman parte de llevar la tarjeta. Los mensajes promocionales, como «te echamos de menos, tienes un sello gratis» o un regalo de cumpleaños, necesitan un consentimiento que el cliente haya dado él mismo: una casilla sin marcar al registrarse que marca él, un registro de ese sí y una salida fácil en cada mensaje.

Lo escribo ahora porque diciembre es el mes en que los dueños envían más mensajes, y con ellos llegan las preguntas: «¿Puedo escribir a todos los que tienen mi tarjeta?» «¿Una notificación de Wallet es lo mismo que un email?» Cuando leí en noviembre de 2026 las páginas que Google muestra para «RGPD programa de fidelización», hablaban de SMS y newsletters. Ninguna menciona un mensaje en una tarjeta de Wallet. Así que aquí explico cómo funciona el consentimiento en una tarjeta de fidelización en Wallet, desde el cartel QR hasta la baja. No soy abogado y esto no es asesoramiento legal. Es lo que dicen los textos oficiales, traducido al idioma de una tienda, más cómo lo configuraría yo.

Qué significa el RGPD para un programa de fidelización

El RGPD es la ley de protección de datos de la UE, y un programa de fidelización entra en ella en cuanto una tarjeta está ligada a una persona: un nombre, un email, un historial de visitas. El negocio que entrega la tarjeta decide qué pasa con esos datos, así que es el responsable. La plataforma que hay detrás de la tarjeta trata los datos siguiendo sus instrucciones.

Llevar la tarjeta en sí es la parte fácil. El cliente pidió una tarjeta, así que necesitas su email para enviársela, sus visitas para contar sellos y su saldo para mostrar el premio. Esos datos sirven a la tarjeta que pidió.

El marketing es otra finalidad, y el RGPD trata cada finalidad por separado. El Comité Europeo de Protección de Datos, que publica la guía de la UE sobre el consentimiento, es claro en tres puntos (según su resumen sobre el consentimiento de abril de 2026, en inglés):

• Una casilla premarcada no es consentimiento. El cliente tiene que marcarla él.
• Un consentimiento atado a otra cosa no es libre. Si la tarjeta solo funciona cuando el cliente acepta el marketing, ese consentimiento no cuenta.
• Retirarlo tiene que ser tan fácil como darlo.

¿Qué mensajes de fidelización necesitan consentimiento?

Los mensajes que promocionan una visita, una oferta o un producto necesitan consentimiento; los que cuentan lo que ha pasado en la tarjeta normalmente no. Lo que decide es lo que dice el mensaje, no el canal por el que llega.

Así clasificaría yo los mensajes que envía una tienda normal:

El regalo de cumpleaños sorprende a mucha gente. Parece un detalle, pero es un mensaje que invita a tu tienda con una oferta, así que va en la columna de marketing. La última fila es la que yo vigilaría: un aviso de horario se convierte en marketing en cuanto le añades una oferta.

¿Un mensaje push de Wallet cuenta como marketing?

Un mensaje push promocional en Wallet es marketing, igual que un email promocional. La norma de la UE sobre comunicaciones comerciales no solicitadas, el artículo 13 de la Directiva sobre la privacidad y las comunicaciones electrónicas, se escribió pensando en el email y el SMS, y no he encontrado un texto oficial que diga exactamente dónde encaja una notificación de Wallet. El RGPD se aplica igualmente, porque el mensaje va a una persona conocida y usa sus datos. Así que la lectura segura es sencilla: si esas palabras necesitarían consentimiento en un email, lo necesitan también en la pantalla de bloqueo.

Dos cosas más sobre el canal. En un iPhone, el cliente puede desactivar las notificaciones de una sola tarjeta en sus ajustes dentro de Wallet, sin borrarla. Y Google Wallet permite como máximo 3 mensajes con notificación en 24 horas, según su documentación para desarrolladores (a noviembre de 2026). Una tienda que se acerque a ese límite tiene un problema mayor que el RGPD.

Cómo funciona el consentimiento, del cartel a la baja

Este es el proceso completo, tal como debería funcionar en una tienda, en seis pasos.

1. El cartel dice a qué se une la gente. «Tu tarjeta de Panadería Lipa, en Apple Wallet o Google Wallet» es suficiente. Nadie debería sentir que escanear un QR le ha apuntado a una lista de correo.
2. El formulario de registro pregunta aparte. El cliente escribe su email y lo confirma. Debajo hay una casilla sin marcar para los mensajes, con palabras claras como: «Envíame ofertas y novedades de Panadería Lipa en mi tarjeta y por email. Puedo desactivarlo cuando quiera». La tarjeta funciona tanto si la marca como si no.
3. El sí queda registrado. El RGPD te pide poder demostrar que una persona dio su consentimiento: quién, cuándo y con qué texto. Una nota en papel no lo consigue cuando hay muchos clientes; tu sistema de fidelización debería hacerlo.
4. Los mensajes se separan según la respuesta. Las actualizaciones de la tarjeta van a todos los que la tienen. Las ofertas, los mensajes para recuperar clientes y los regalos de cumpleaños, solo a quien marcó la casilla.
5. Cada mensaje de marketing tiene una salida. Un enlace para darse de baja en el email y un ajuste en la propia tarjeta cuestan un toque cada uno, igual que marcar la casilla.
6. Un no se aplica al momento. Quien retira el consentimiento ya no recibe la siguiente campaña, y la tarjeta sigue funcionando como siempre. Pierde las ofertas, no los sellos.

En los pasos 3 a 6 es donde falla una lista en papel o una hoja de cálculo con emails. En Loyalius, una plataforma de fidelización que pone tarjetas de sellos, puntos y cashback en Apple Wallet y Google Wallet, el consentimiento se registra por cliente, los mensajes de marketing solo llegan a quien aceptó, y el cliente puede retirarlo desde la tarjeta o con el enlace de baja de un mensaje. El registro del consentimiento viene en todos los planes, así que una sola tienda en Starter tiene el mismo registro que una cadena.

¿Y los clientes que nunca dijeron que sí?

Los clientes que se registraron sin marcar la casilla conservan su tarjeta y siguen recibiendo sus actualizaciones; tus ofertas no. Para la mayoría de las tiendas, esa es toda la respuesta.

Hay una excepción por la que se pregunta a menudo. El artículo 13, apartado 2, de esa directiva permite a un negocio enviar por email publicidad de sus propios productos similares a un cliente que ya tiene, si obtuvo la dirección en el contexto de una venta, el cliente pudo oponerse al darla y puede oponerse en cada mensaje. El Tribunal de Justicia de la UE confirmó en noviembre de 2025 que esta vía funciona sin un consentimiento aparte del RGPD si se cumplen todas las condiciones (asunto C-654/23). Cada país la aplica a su manera, y se escribió para el email, no para las tarjetas de Wallet.

Mi opinión: no construyas tu tarjeta de fidelización sobre la excepción. Preguntar cuesta una casilla, y un cliente que la marcó sabe que le llegarán tus mensajes. Ese cliente desactiva las notificaciones tras el primer mensaje con mucha menos frecuencia.

El mejor momento para preguntar a quien se saltó la casilla es su próxima visita, en persona. Es la misma habilidad que conseguir que la gente se una, de la que hablé en cómo pedirlo en la caja.

Respuestas rápidas

¿Puedo añadir mi antigua lista de emails al programa de fidelización y escribir a todos?

Solo dentro de lo que esas personas aceptaron cuando recogiste sus direcciones. Un email en una lista no es consentimiento por sí solo. Si no puedes demostrar quién aceptó el marketing y cuándo, invítalos a la tarjeta en lugar de enviarles ofertas.

¿Puedo exigir el consentimiento al marketing para dar la tarjeta de fidelización?

No, si quieres que el consentimiento cuente. Según la guía del Comité Europeo de Protección de Datos, un consentimiento atado a algo que la persona no puede rechazar no es libre. Separa la tarjeta y los mensajes: la tarjeta para todos, las ofertas para quien dice que sí.

¿Cuánto tiempo puedo guardar los datos de la tarjeta de fidelización según el RGPD?

El RGPD no fija un número de meses; dice que los datos se guardan solo mientras hagan falta para su finalidad. Decide un plazo para las tarjetas inactivas, ponlo en tu política de privacidad y cúmplelo.

¿El RGPD se aplica a una tienda pequeña con un solo local?

Sí. El RGPD se aplica a cualquier negocio de la UE que trate datos personales, sea del tamaño que sea. Una panadería con 200 titulares de tarjeta tiene las mismas obligaciones sobre el consentimiento que una cadena, solo que con menos gente en la lista.

Mejor pocos síes, pero de verdad

En diciembre tienta enviar una oferta de Navidad a todos los que tienen tu tarjeta. Yo creo que las personas que marcaron la casilla son las únicas a las que vale la pena llegar. Una lista de 200 clientes que pidieron tus mensajes hará volver a más gente que 600 a los que nadie preguntó, porque entre esos 200 a nadie le molesta el primer mensaje.

Así que, antes de que salgan tus mensajes de diciembre, abre tu formulario de registro en tu propio móvil. Comprueba que la casilla está sin marcar, que el texto nombra tu tienda y que la tarjeta funciona sin ella. Si se cumplen las tres cosas, tu mensaje de enero para recuperar clientes puede salir sin pensarlo dos veces.