Reglas de Opt-In y Consentimiento SMS 2026: TCPA, RGPD y la Guía Global de Cumplimiento

Respuesta rápida: En 2026, el SMS de marketing en EE. UU. exige consentimiento previo expreso por escrito, y las bajas solicitadas por cualquier método razonable deben atenderse en 10 días hábiles. La regla de consentimiento uno-a-uno está muerta (anulada en enero de 2025) y la disposición "revoke-all" se pospuso al 31 de enero de 2027. La UE, el Reino Unido y Canadá exigen consentimiento opt-in documentado con retirada fácil. La regla universal: si no puedes demostrar el consentimiento, no lo tienes.

La ley de consentimiento SMS se movió más en los últimos dos años que en la década anterior. Este es el estado actual, mercado por mercado, y el sistema de consentimiento que los satisface a todos.

¿Qué Exige la TCPA en 2026?

La Telephone Consumer Protection Act rige la mensajería en EE. UU., aplicada por la FCC y una industria de demandas colectivas muy activa. Los daños legales son de 500 dólares por infracción, 1.500 si es deliberada — por mensaje.

Para mensajes de marketing necesitas consentimiento previo expreso por escrito (PEWC):

• Acuerdo escrito (vale casilla electrónica o formulario web) obtenido antes del primer texto promocional
• Divulgación clara de que la persona acepta recibir mensajes de marketing de tu empresa concreta
• Aviso de que el consentimiento no es condición de compra
• Frecuencia de mensajes, aviso de "pueden aplicarse tarifas de mensajes y datos" e instrucciones STOP/HELP

Para mensajes transaccionales — confirmaciones de pedido, actualizaciones de entrega, OTPs — basta el consentimiento previo expreso (dar el número en una transacción relacionada), siempre que el contenido siga siendo no promocional. Una frase de marketing dentro de una actualización de envío convierte todo el mensaje en marketing.

¿Qué Cambió en 2025–2026?

Tres cambios importan:

Consecuencia práctica: tu gestión de bajas ya no puede ser un filtro de palabras clave. "Por favor dejen de escribirme", una respuesta en otro idioma o un email a soporte inician el reloj de 10 días.

¿Cómo Tratan el SMS el RGPD y las Normas Europeas?

En la UE, el SMS de marketing cae bajo el RGPD más las implementaciones nacionales de ePrivacy:

• El consentimiento opt-in debe ser libre, específico, informado e inequívoco — sin casillas premarcadas ni consentimiento empaquetado en términos generales
• La excepción de soft opt-in: puedes escribir a clientes existentes sobre productos similares si se les ofreció una opción clara de rechazo al recoger sus datos y en cada mensaje
• La carga de la prueba es tuya: quién consintió, cuándo, por qué interfaz, viendo qué texto
• La retirada debe ser tan fácil como la concesión — y atenderse sin demora

El Reino Unido replica esto con UK GDPR y PECR. Las multas escalan al 4% de los ingresos globales, y los reguladores europeos han demostrado que usan casos de SMS para sentar ejemplos.

¿Y Canadá, Australia y Otros Mercados?

• Canadá (CASL): de las más estrictas del mundo — opt-in expreso con prueba documentada, identificación del remitente y baja funcional en cada mensaje. Las sanciones llegan a 10 millones de CAD por infracción.
• Australia (Spam Act): consentimiento (expreso o claramente inferido), identificación del remitente y mecanismo de baja operativo en todo mensaje comercial.
• India, EAU, Singapur y gran parte de Asia y el Golfo: consentimiento más registro obligatorio de remitente/plantillas (el DLT indio es el más pesado); el tráfico sin registrar se bloquea con o sin consentimiento.

El patrón es convergencia global: opt-in documentado, baja fácil, identificación del remitente. Construye para el mercado más estricto que sirvas y rara vez necesitarás excepciones por país.

¿Cómo Es un Flujo de Alta Conforme?

1. Casilla independiente o alta por palabra clave — separada de la aceptación de términos, nunca premarcada
2. Divulgación completa en el punto de recogida: nombre de marca, tipos de mensajes, frecuencia, aviso de tarifas, "el consentimiento no es requisito de compra", STOP/HELP
3. Mensaje de confirmación de doble opt-in — no exigido legalmente en EE. UU., pero crea el registro con marca de tiempo que gana disputas y satisface la carga probatoria del RGPD
4. Confirmación escrita inmediata con las mismas divulgaciones e instrucciones de baja

¿Cómo Gestionar las Bajas en 2026?

• Atiende cualquier revocación razonable: palabras clave, respuestas en lenguaje natural, email, llamadas a soporte
• Suprime en 10 días hábiles como máximo — la buena práctica es minutos, automatizado
• Envía un único mensaje final de confirmación (permitido, y solo eso)
• Propaga la supresión a todas las plataformas que envían por ti — la brecha de sistemas fragmentados es donde nacen las demandas colectivas
• Prepárate para revoke-all (2027): diseña tu modelo de supresión para que una revocación pueda cortar todos los tipos de campaña cuando la norma llegue

¿Qué Registros de Consentimiento Debes Guardar?

Por cada suscriptor: marca de tiempo del alta, origen de recogida (URL, palabra clave, punto de venta), el texto exacto de divulgación mostrado, IP/dispositivo cuando aplique y el historial completo de cambios y bajas. Consérvalos durante la vida de la suscripción más tu plazo de prescripción. Ante un tribunal o una auditoría, un consentimiento sin documentar se trata como consentimiento inexistente.

ViteMobile aplica las listas de supresión a nivel de pasarela en todos los sender IDs, sella con marca de tiempo cada alta y baja, y exporta rastros de auditoría de consentimiento — para que la prueba exista el día que llegue una carta de demanda.

Puntos Clave

• El SMS de marketing en EE. UU. exige consentimiento previo expreso por escrito; las bajas por cualquier método razonable deben atenderse en 10 días hábiles.
• El consentimiento uno-a-uno está anulado; revoke-all llega el 31 de enero de 2027 — diseña tu supresión ya.
• RGPD, PECR británico y CASL exigen opt-in demostrable, libre y con retirada sin esfuerzo.
• Las listas compradas son radiactivas en todos los mercados principales.
• El consentimiento que no puedes documentar es consentimiento que no tienes.

Preguntas Frecuentes

P: ¿Qué consentimiento necesito para enviar SMS de marketing en EE. UU.? R: Consentimiento previo expreso por escrito — un acuerdo escrito o electrónico claro obtenido antes del primer mensaje promocional, con divulgación de tipos de mensajes, frecuencia, tarifas y de que el consentimiento no es condición de compra.

P: ¿Qué cambió en la TCPA para 2025–2026? R: Las bajas por cualquier método razonable deben atenderse en 10 días hábiles (desde abril de 2025); la regla uno-a-uno fue anulada (enero de 2025); la disposición revoke-all se pospuso al 31 de enero de 2027.

P: ¿Es legal enviar SMS a una lista comprada? R: En la práctica no, en ningún mercado principal. En EE. UU. te expone a daños de 500–1.500 dólares por mensaje; bajo el RGPD y la CASL incumple directamente los requisitos de consentimiento válido.

P: ¿Cómo se gestiona el consentimiento SMS bajo el RGPD? R: Opt-in libre, específico, informado e inequívoco — sin casillas premarcadas — con registros demostrables y retirada tan fácil como la concesión.

P: ¿Qué registros debo guardar para demostrar el consentimiento? R: Marca de tiempo del alta, origen, texto exacto de divulgación, IP/dispositivo cuando aplique e historial completo de preferencias, conservados durante la vida de la suscripción más tu plazo de prescripción.