Solo con base en un fundamento de licitud válido. Según el RGPD (Reglamento General de Protección de Datos), el tratamiento de datos personales para fines de marketing directo requiere, en la mayoría de los casos, el consentimiento previo (opt-in) del titular de los datos, especialmente si se realiza por medios electrónicos. Aun así, en ciertos casos, el interés legítimo del responsable puede justificar este tratamiento, siempre que no se sobrepongan los intereses, derechos y libertades de los titulares de los datos.
Además, el RGPD exige que siempre que los datos personales se traten para fines de marketing directo, el titular de los datos tiene el derecho de oponerse en cualquier momento al tratamiento de los datos personales que le conciernen para los fines de dicha comercialización (opt-out) .
También, según la Ley n.º 41/2004, de 18 de agosto, el envío de comunicaciones no solicitadas para fines de marketing directo, como correos electrónicos, llamadas automáticas o SMS, depende del consentimiento previo y expreso del titular de los datos, salvo si se trata de clientes ya existentes y los contactos se obtuvieron en el contexto de la venta de un producto o servicio, en cuyo caso se puede utilizar el régimen de opt-out. La comunicación debe, sin embargo, permitir de forma clara, simple y gratuita la oposición a futuras comunicaciones.
La violación de estas reglas puede implicar la aplicación de multas elevadas.