Consentir a «nuestros socios» no basta: el Abogado General en el caso Canal+ (C-317/25)

Contratas la fibra, rellenas el formulario, marcas la casilla de «ofertas de nuestros socios» y te olvidas del tema. Un mes después te escribe una empresa de la que no has oído hablar en tu vida. ¿Diste tu consentimiento? Para eso no, según el Abogado General del Tribunal de Justicia de la UE, que hoy ha presentado sus conclusiones en el caso Canal+ (C-317/25): un sí a «socios» anónimos no autoriza a ninguno de ellos a hacerte marketing directo.

El asunto empezó con una multa de 600.000 euros en Francia y ha acabado con medio sector del marketing digital mirando a Luxemburgo. Tiene lógica. Con casillas como esa se alimenta el mercado de bases de datos que se compran y se venden, y su mecánica se parece sospechosamente a la de los banners de cookies que te saltan en cada periódico digital. Encima llega en plena campaña Kill the Cookie Banner, que pide a Bruselas jubilar esos banners. Semana movida para el consentimiento.

¿Qué ha dicho hoy el Abogado General en el caso C-317/25?

Esta mañana, el Abogado General Dean Spielmann ha presentado sus conclusiones en el asunto Groupe Canal+. La nota de prensa n.º 130/26 del Tribunal lo resume en una línea: si das permiso a una empresa para que «sus socios» usen tus datos con fines de marketing directo, ese permiso solo vale si sabes quiénes son esos socios. Si no lo sabías, quien quiera escribirte tiene que volver a preguntarte.

¿Y qué pinta un Abogado General en todo esto? Forma parte del Tribunal de Justicia, pero no vota la sentencia. Su trabajo es estudiar el caso a fondo y proponer a los jueces, con total independencia, cómo resolverlo. Sus conclusiones no obligan al Tribunal, que desde hoy delibera y dictará sentencia en una fecha que aún no conocemos. Pero pesan: hasta que hablen los jueces, son el análisis más completo del caso, y los jueces lo tienen sobre la mesa antes de deliberar.

¿Por qué multaron a Canal+ con 600.000 euros?

Retrocedamos a 2021. Canal+ encarga campañas de prospección electrónica dirigidas a unos 3,9 millones de personas a las que no conocía de nada: había comprado las listas a dos proveedores de acceso a internet. Esos abonados, al darse de alta con su operador, habían marcado una casilla que permitía usar sus datos para ofertas de los «partenaires» del operador.

¿Quiénes eran esos partenaires? Misterio. La decisión del Conseil d'État lo describe así: los socios no estaban «nommément identifiés», ni en el formulario, ni en una lista enlazada, ni por ningún otro medio. Ni rastro.

La formation restreinte de la CNIL, el órgano que pone las multas en la autoridad francesa, no se lo compró. En su deliberación SAN-2023-015, de 12 de octubre de 2023, sancionó a Canal+ con 600.000 euros. La prospección fue uno de varios incumplimientos (también había fallos de información, de atención de derechos, de contratos con encargados, de seguridad y de notificación de una brecha), pero el mensaje sobre las listas fue claro: si al consentir no tienes a mano quiénes son los destinatarios, tu consentimiento no está informado. De paso, la CNIL le afeó a Canal+ lo poco que controlaba a sus proveedores de datos.

Canal+ recurrió con un argumento que suena bien a primera vista: los abonados aceptaron ofertas de los socios, y Canal+ era un socio. A su lado se personaron DMA France, CPA, Alliance Digitale y GESTE, o sea, buena parte del marketing digital y de los editores franceses. El Conseil d'État prefirió preguntar a Luxemburgo. En su decisión n.º 490202, de 5 de mayo de 2025, suspendió el pleito y planteó una cuestión prejudicial, registrada en el Tribunal al día siguiente y publicada en EUR-Lex.

¿Qué preguntó el Conseil d'État al TJUE?

Dos cosas. La primera, si el consentimiento que das a quien recoge tus datos (el «primo-collectant») para que los use una categoría de destinatarios, como «los socios», es libre, específico, informado e inequívoco según el artículo 4.11 del RGPD, leído con sus artículos 13 y 14 y con el artículo 13 de la Directiva 2002/58/CE sobre privacidad en las comunicaciones electrónicas. O si, al contrario, cualquier destinatario al que no conocías tiene que pedirte permiso antes de escribirte. La segunda, por si la categoría bastara: cuánto hay que precisarla, y si «socios» da la talla.

Consentimiento a «socios»: las cuatro ideas del Abogado General

1. Saber quién te escribe es parte del consentimiento

El RGPD pide que el consentimiento sea libre, específico, informado e inequívoco. Spielmann pone el foco en lo de «informado»: para que lo sea, tienes que poder conocer la identidad del responsable del tratamiento. Encaja con lo que el Tribunal ya dijo en Orange Romania (C-61/19, 11 de noviembre de 2020): la empresa tiene que poder demostrar que recibiste la información antes de consentir, y una casilla que marcó ella misma en tu contrato no demuestra nada.

Piénsalo así. Te invitan a cenar y la invitación dice «vendrán unos amigos». Cuentas con conocer a alguien nuevo, claro. Lo que no has aceptado es que cualquiera de la agenda del anfitrión, incluidos amigos que todavía no ha hecho, se presente después en tu casa con tu dirección apuntada.

2. Si no sabías quién era, toca pedir permiso de nuevo

La conclusión central: haber aceptado el uso de tus datos por los «socios» de tu operador no significa que aceptaras publicidad de cualquier empresa que quepa en esa palabra. Si no conocías la identidad de quien te escribe cuando diste tu consentimiento, esa empresa tiene que conseguir el suyo propio antes de la campaña, y como tarde en el momento de la primera comunicación.

Ese «como tarde» va a dar juego. ¿Cómo pides permiso por correo sin que el propio correo sea ya publicidad no solicitada, que es justo lo que prohíbe el artículo 13 de la Directiva 2002/58/CE? La nota de prensa no lo aclara, y es de lo primero que buscaremos en el texto íntegro de las conclusiones.

3. El «darse de baja» del primer envío llega tarde

Clásico del sector: «bueno, pero en el primer correo ya puede darse de baja». Para Spielmann, eso no arregla nada. La baja aparece cuando la campaña ya ha arrancado y no puede ocupar el sitio de un permiso que tenía que existir antes. Es como colarte en casa ajena y pedir perdón en el salón: muy educado, y ya estás dentro.

4. Y si el Tribunal no le hace caso, «socios» se queda corto

Como responde que no a la primera pregunta, Spielmann propone no contestar la segunda. Aun así, deja una red por si los jueces van por otro camino. Si bastara con una categoría, tendría que estar tan bien definida que pudieras esperar razonablemente que esa empresa concreta te escribiera. ¿Y «socios»? Demasiado vago para eso.

Traducido: incluso en el mejor escenario para el sector, la etiqueta genérica de muchos formularios de alta se queda fuera de juego.

¿Esto me afecta si estoy en España?

Sí. La pregunta la hace un tribunal francés, pero la respuesta del TJUE vincula a cualquier juez de la UE que se tope con el mismo problema. Y el problema está por todas partes: operadoras, comparadores de seguros y de luz, webs de sorteos y generadores de leads recogen datos con casillas que hablan de «socios», «colaboradores», «terceros seleccionados» o «empresas del grupo». Luego esas listas se alquilan o se venden, y quien las compra lanza la campaña convencido de que el permiso venía de regalo.

Ojo con «empresas del grupo». Suena más concreto, y puede serlo si el grupo está identificado y su perímetro es público. La vara de medir que propone el Abogado General es la misma: ¿podías esperar razonablemente que esa empresa en particular te escribiera?

En España, el artículo 21 de la LSSI (Ley 34/2002), que incorpora el artículo 13 de la Directiva 2002/58/CE, prohíbe enviarte comunicaciones comerciales por correo electrónico o medio equivalente si no las has pedido o autorizado expresamente. Su apartado 2 tiene una excepción para quien ya es cliente y recibe ofertas de productos similares de la misma empresa. Si has comprado una base de datos, esa excepción no te sirve, porque esas personas nunca han sido clientes tuyos. Dependes al cien por cien del consentimiento que recogió otro, y la carga de probarlo es tuya, igual que en el artículo 7.1 del RGPD.

¿Quieres entrenar el ojo? En El Inspector, nuestro juego de objetos ocultos en una oficina de startup con estética de 16 bits, hay una casilla premarcada que te costaría una multa y una newsletter a clientes que, gracias a esa excepción, cumple. A ver si las distingues.

Si el Tribunal sigue al Abogado General, el efecto en España será directo: el consentimiento a «socios» anónimos no autorizará a nadie a mandarte publicidad, y el riesgo de sanción recaerá sobre quien envía, como en Francia, donde la multa se la llevó Canal+ como responsable de la campaña. Y si la sanción llega, aquí tienes qué se puede discutir de una multa de la AEPD ante la Audiencia Nacional.

¿Y mi banner de cookies con cientos de «socios»?

Aquí dejamos de contar lo que dice el Abogado General y empezamos a extrapolar nosotros. Spielmann habla de marketing directo y no dice nada de cookies. Pero razona sobre el consentimiento del RGPD, que es el que se exige para las cookies desde Planet49 (C-673/17, 1 de octubre de 2019). En esa sentencia el Tribunal ya tumbó las casillas premarcadas y exigió informar, entre otras cosas, de si terceros pueden acceder a las cookies.

Abre cualquier periódico digital. El banner puede pedirte permiso para cientos de proveedores. A diferencia de la casilla francesa, aquí suelen tener nombre: el Transparency & Consent Framework (TCF) de IAB Europe mantiene una lista pública que las plataformas de consentimiento te enseñan. Sobre el papel, la identidad está. En la práctica, es como firmar una lista de invitados que nadie ha leído entera.

Si se asienta que consentir exige poder saber quién usará tus datos, la siguiente pregunta es obvia: ¿cumple esa función una lista que no puedes leer en un tiempo razonable? El Abogado General no entra ahí. Lo que sí deja claro es que la identidad del destinatario forma parte del consentimiento, y que una etiqueta genérica no la sustituye.

El TCF, además, ya conoce Luxemburgo. En IAB Europe (C-604/22, 7 de marzo de 2024), el Tribunal declaró que la TC String, la cadena que guarda tus preferencias, es un dato personal cuando puede asociarse a un identificador, y que IAB Europe puede ser corresponsable del tratamiento con sus miembros. Traducción: la maquinaria del consentimiento publicitario vive dentro del RGPD, y cualquier apretón al concepto de consentimiento informado le toca de lleno.

Kill the Cookie Banner: la campaña para jubilar los banners de cookies

El 10 de septiembre, una semana antes de las conclusiones, una coalición de 19 organizaciones de la sociedad civil, empresas y académicos, entre ellas noyb, la organización europea de consumidores BEUC y la red EDRi, publicó una carta abierta bajo el lema Kill the Cookie Banner. La propuesta es sencilla: configuras tus preferencias de privacidad una vez, en el navegador o en el dispositivo, y las webs están obligadas a respetar esa señal. Adiós al carrusel de clics.

La idea ya está escrita en el Ómnibus digital: el artículo 88 ter que la Comisión propone añadir al RGPD haría jurídicamente vinculantes esas señales automáticas. Según la coalición, la presión de la industria del tracking, con Google a la cabeza, ha llevado a varios Estados miembros a bloquearlo, y el Consejo lo ha sacado de su posición. En el Parlamento Europeo hay enmiendas para mantenerlo y mejorarlo, y la campaña, desde killthecookiebanner.eu, anima a escribir a los eurodiputados.

¿Qué tiene que ver con Canal+? Más de lo que parece, y volvemos a extrapolar. Las señales automáticas curan el cansancio: dejas de hacer clic cien veces al día. Pero si algún día le dices «sí» a la publicidad personalizada desde tu navegador, la pregunta del caso Canal+ sigue en pie: ¿a quién le has dicho que sí? Un permiso general, emitido una vez para todas las webs y todos sus proveedores, se parece bastante a la casilla de «nuestros socios». Si el Tribunal hace suyo el criterio de Spielmann, quien diseñe esas señales tendrá que resolver cómo sabes quién recibe tu permiso. Con el rechazo no hay dilema: para decir que no, da igual a quién.

¿Pago o consentimiento? Lo que se juegan los medios

Muchos medios viven de la publicidad personalizada y han optado por el «pago o consentimiento»: o aceptas las cookies publicitarias o te suscribes. La base jurisprudencial es Meta Platforms (C-252/21, 4 de julio de 2023), donde el Tribunal admitió que a quien rechaza ciertos tratamientos se le ofrezca, si hace falta a cambio de una remuneración adecuada, una alternativa equivalente. El Comité Europeo de Protección de Datos matizó en su dictamen 08/2024, de 17 de abril de 2024, que en la mayoría de los casos las grandes plataformas en línea no cumplen si se limitan a ofrecer consentir o pagar. Ese dictamen apunta a las grandes plataformas; trasladarlo tal cual a un diario mediano es discutible.

¿Y qué añade Canal+? Otra extrapolación nuestra. En este modelo, tu consentimiento es la moneda con la que pagas el acceso gratis, y Spielmann propone que esa moneda lleve grabado el nombre de quien la cobra. Cuantos más socios hay en la lista, más difícil es saber a quién estás pagando. Si el Tribunal le sigue, la presión irá hacia listas de proveedores más cortas y hacia la publicidad contextual, la que se fija en lo que estás leyendo y deja tranquilo tu perfil. Para los medios, que compiten con plataformas dueñas de sus propios datos, mala noticia a corto plazo. Para la calidad del consentimiento, buena.

¿Cambia algo el Ómnibus digital?

De momento, nada. La propuesta de la Comisión de 19 de noviembre de 2025 (COM(2025) 837) llevaría las reglas de cookies al propio RGPD, con un artículo 88 bis sobre el acceso a tu dispositivo y el 88 ter de las señales automáticas. Sigue en negociación entre el Parlamento y el Consejo, así que no está en vigor. Hoy mandan el artículo 5.3 de la Directiva 2002/58/CE y, en España, el artículo 22.2 de la LSSI.

Y no cuentes con un atajo. Tal como está propuesta, la reforma mantiene el consentimiento como regla general para acceder a tu dispositivo, y ese consentimiento seguiría siendo el del artículo 4.11 del RGPD, justo el que interpreta el caso Canal+. La sentencia, cuando llegue, pesará igual haya Ómnibus o no.

Tengo una base de datos con consentimiento a «socios»: ¿qué hago?

No esperes a la sentencia para revisarla. Nosotros empezaríamos por el origen de cada consentimiento: qué formulario se usó, cuándo, qué decía exactamente el texto junto a la casilla y qué información había a un clic. Si tu proveedor te «garantiza» por contrato que todo es legal, eso reparte el riesgo entre vosotros dos y poco más. Ante la autoridad respondes tú, que eres quien envía, y a Canal+ la CNIL le reprochó precisamente lo poco que controlaba a sus proveedores.

Después, comprueba si tu empresa aparecía con nombre. Una lista de socios con nombres propios, visible antes de marcar la casilla, te coloca en otro terreno. Un «socios» o «colaboradores» a secas te deja exactamente donde estaba Canal+. En medio hay grises, como los sectores, los grupos empresariales o las listas que crecen después del alta, y para ellos la mejor brújula es la pregunta del Abogado General: ¿podía esa persona esperar razonablemente que tú le escribieras?

Si el origen no aguanta, toca recaptar: pedir un consentimiento propio por un canal que no sea ya publicidad no consentida y asumir que la base va a adelgazar. Cuanto más tardes, menos valen esos datos y más riesgo acumulas. Si operas desde fuera de la UE y tratas datos de usuarios europeos, este análisis forma parte de nuestro servicio de EU Data Compliance. Si tu situación encaja, puedes reservar una videoconsulta aquí (90 €, descontables de la primera factura si finalmente aceptamos tu encargo).

Caso C-317/25: ¿cuándo habrá sentencia?

A 17 de septiembre de 2026, el Tribunal ha empezado a deliberar y no ha fijado fecha. Cuando resuelva, el Conseil d'État decidirá el recurso de Canal+ con esa respuesta, que servirá también a cualquier juez de la UE con un consentimiento a «socios» encima de la mesa. Lo seguimos de cerca desde el área de Datos de PASSAS y actualizaremos este artículo, en esta misma URL, el día que se dicte.

Preguntas frecuentes

¿Son vinculantes las conclusiones del Abogado General en el caso Canal+?

No. Son una propuesta independiente, y el Tribunal puede seguirla entera, en parte o nada. Lo que obliga es la sentencia.

¿Afecta el caso Canal+ a mi banner de cookies?

No directamente, porque las conclusiones tratan del marketing directo electrónico. Pero el razonamiento sobre el consentimiento informado es el mismo, así que un banner que remite a «socios» genéricos está más expuesto que uno que identifica a cada proveedor de forma accesible. Es nuestra lectura; la sentencia dirá.

¿Qué es Kill the Cookie Banner?

Una campaña de 19 organizaciones, empresas y académicos, lanzada con una carta abierta el 10 de septiembre de 2026, que pide mantener en el Ómnibus digital el artículo 88 ter del RGPD. Ese artículo haría vinculantes las señales automáticas: fijas tus preferencias una vez en el navegador y las webs las respetan.

¿Puedo seguir usando una base de datos comprada?

Depende de cómo se obtuvo el consentimiento. Si esas personas vieron el nombre de tu empresa, o una lista accesible que lo incluía, antes de consentir, tu posición es defendible. Si solo aceptaron ofertas de «socios», tanto el Abogado General como la CNIL apuntan a que necesitas su consentimiento antes de escribirles.

¿Sirve de algo el enlace para darse de baja?

Es obligatorio en cada envío, pero no sustituye al consentimiento previo. Para el Abogado General, la baja llega cuando la campaña ya ha empezado.

¿Cuándo habrá sentencia en el caso C-317/25?

Aún no hay fecha. El Tribunal empezó a deliberar el 17 de septiembre de 2026 y anunciará la lectura en su calendario judicial, que se publica en CURIA.