Desde el 17 de octubre de 2026, toda llamada comercial en España debe hacerse desde un número que empiece por 400. Es unidireccional (no se puede devolver) y los operadores bloquearán las llamadas comerciales que no lo usen. La atención al cliente queda excluida del 400 y va por números gratuitos 800/900 o geográficos. A esto se suman el bloqueo de SMS de remitentes no registrados en la CNMC (desde el 15 de septiembre) y la obligación de renovar los consentimientos cada dos años.
Aviso: este artículo es una guía operativa para equipos de marketing, ventas y RevOps. No es asesoramiento jurídico; valida cualquier decisión legal con tu asesor o tu DPO.
Durante años, la única defensa del ciudadano contra la llamada comercial ha sido no descolgar los números que no reconocía. Eso se acaba. El Gobierno ha aprobado un paquete de medidas que obliga a etiquetar la llamada comercial antes de que suene, bloquea los SMS que suplantan marcas y pone fecha de caducidad al consentimiento. La prensa lo ha contado como «el fin del spam telefónico». Para cualquier empresa que llame, escriba o mensajee a sus clientes, es bastante más que eso: es una reconfiguración de cómo, desde dónde y con qué permiso puedes contactar. Vamos a lo práctico.
Qué es exactamente el prefijo 400 y desde cuándo aplica
El prefijo 400 es una numeración de nueve dígitos que empieza por 400 y que queda reservada en exclusiva para las llamadas comerciales. A partir del 17 de octubre de 2026, cualquier empresa que llame a un ciudadano con fines comerciales tiene que hacerlo desde uno de esos números. La idea es que, en cuanto veas un 400 en la pantalla, sepas sin descolgar que es una llamada comercial y decidas si te interesa.
Tres detalles que marcan la diferencia respecto a intentos anteriores de regular esto:
Primero, no es voluntario ni es una recomendación. Los operadores de telecomunicaciones bloquearán técnicamente las llamadas comerciales que no se hagan desde la numeración 400. Si tu equipo comercial sigue llamando desde un móvil o un fijo normal, esas llamadas simplemente dejarán de llegar.
Segundo, son números unidireccionales: solo sirven para recibir, no se pueden devolver. Es una medida antifraude deliberada: evita que alguien reciba una llamada perdida de un 400 y devuelva la llamada a un número que le cueste dinero o que sirva para estafarle.
Tercero, todo esto se apoya en la Ley de Servicios de Atención a la Clientela (Ley SAC), aprobada en diciembre de 2025, que va mucho más allá de la numeración e introduce obligaciones sobre atención al cliente, plazos de respuesta y, lo que más nos importa aquí, sobre el consentimiento.
Atención al cliente: por qué NO puede usar el 400
Este es el matiz que más confusión está generando. La ley separa deliberadamente dos mundos que muchas empresas hoy mezclan en el mismo número:
- Comunicación comercial saliente (venta, promoción, captación): numeración 400.
- Atención al cliente: números cortos específicamente atribuidos, rangos gratuitos 800 y 900 o números geográficos normales. El 400 tiene prohibido usarse para atención al cliente.
La lógica es proteger al usuario de la ambigüedad: que una llamada comercial no se disfrace de «llamada de tu proveedor» y que el número al que llamas para que te atiendan no sea uno de tarificación dudosa. Para las empresas que hoy usan un único número para todo, esto obliga a separar la operación: una numeración para vender y otra distinta para atender.
Conviene recordar además el criterio que la AEPD ya fijó en 2025: no se pueden hacer llamadas comerciales ni de atención al cliente desde móviles corporativos personales de los empleados. La numeración tiene que ser la atribuida a cada finalidad. Si tu equipo de ventas prospecta desde sus móviles de empresa, esa práctica ya estaba señalada y ahora queda técnicamente cerrada.
SMS: el bloqueo de remitentes no registrados (desde el 15 de septiembre)
Antes incluso que el 400, entra en vigor una medida que afecta a todo el que envíe SMS a clientes. Desde el 15 de septiembre de 2026, los operadores móviles bloquean los mensajes cuyo alias de remitente no esté registrado en la base de datos oficial de la CNMC.
El «alias» es el nombre que aparece como remitente del SMS (por ejemplo, el nombre de tu marca en lugar de un número). Se ha convertido en el vector favorito del smishing: los estafadores suplantan a bancos, empresas de mensajería u organismos públicos usando su alias. El registro obligatorio corta esa práctica de raíz.
El riesgo operativo para una empresa legítima es directo y fácil de pasar por alto: si no registras tu alias, tus SMS dejan de llegar. Y no solo los de marketing. También los transaccionales: el código de verificación, la confirmación de pedido, el aviso de cita. Cualquier flujo que dependa de SMS con nombre de marca hay que auditarlo y registrar el alias antes de mediados de septiembre, o esos mensajes se caen sin previo aviso.
¿Y WhatsApp? El canal que la ley no nombra (pero que no es tierra de nadie)
Seamos claros, porque aquí circula mucha desinformación: la Ley SAC y el prefijo 400 regulan la telefonía y el SMS, no WhatsApp. No hay un «prefijo 400 para WhatsApp».
Pero de ahí a pensar que WhatsApp es terreno libre hay un abismo. A la mensajería comercial por WhatsApp se le aplican, y con fuerza:
- El RGPD, para cualquier tratamiento de datos personales.
- La LSSI, que exige consentimiento para enviar comunicaciones comerciales por vía electrónica, igual que para el email.
- Las propias políticas de WhatsApp Business: opt-in explícito obligatorio antes del primer mensaje, plantillas que Meta debe aprobar y categorías separadas (marketing frente a utility/servicio) con reglas y costes distintos.
La dirección regulatoria es inequívoca: el mensaje comercial no consentido está en el punto de mira, sea cual sea el canal. Que WhatsApp no aparezca en esta ley concreta no significa que puedas hacer en WhatsApp lo que ya no puedes hacer por teléfono; significa que, si trasladas tu presión comercial a WhatsApp para esquivar el 400, te estás metiendo en otro marco (LSSI y las normas de Meta) igual de exigente. Anticiparse ahora evita el susto cuando le llegue el turno.
El consentimiento deja de ser un checkbox: renovación cada 2 años
Aquí está, para nosotros, el cambio de fondo más importante. La Ley SAC establece dos cosas que transforman el consentimiento de formalismo a infraestructura:
- Los consentimientos hay que renovarlos cada dos años. Un «sí» de hace tres años ya no vale.
- Los contratos cerrados en una llamada comercial sin consentimiento previo son nulos.
Traducido a operación: el consentimiento pasa a ser un dato vivo, con fecha y con caducidad, no una casilla que alguien marcó una vez y se olvidó. Y ahí es donde la mayoría de empresas tiene el verdadero problema, que no es de numeración sino de datos: no saben cuándo, cómo ni para qué canal obtuvieron el consentimiento de cada contacto de su base. Está repartido entre formularios antiguos, importaciones de Excel, tarjetas de visita y la memoria de alguien. Cuando el consentimiento caduca cada dos años y su ausencia anula contratos, esa desorganización deja de ser un riesgo teórico.
Qué tienes que hacer en tu operación (checklist por área)
Telefonía y ventas
- Inventariar quién hace llamadas comerciales y desde qué números (incluidos móviles corporativos, que ya no valen)
- Contratar y migrar la marcación comercial a numeración 400 con tu operador antes del 17 de octubre
- Separar la atención al cliente en numeración distinta (800/900 o geográfica)
- Formar al equipo comercial: qué número usar para qué y por qué
SMS y marketing
- Registrar el alias de tu marca en la base de datos de la CNMC antes del 15 de septiembre
- Auditar todos los flujos de SMS, incluidos los transaccionales, para que ninguno dependa de un alias sin registrar
- Revisar que cada envío de SMS comercial tenga consentimiento válido detrás
CRM y RevOps (el núcleo del asunto)
- Registrar en el CRM, por cada contacto y por cada canal (llamada, SMS, email, WhatsApp), la fecha y el origen del consentimiento
- Automatizar avisos de caducidad del consentimiento a los dos años y flujos de renovación
- Segmentar cualquier campaña por estado de consentimiento vigente antes de lanzarla
- Suprimir automáticamente de las acciones comerciales a quien no tenga consentimiento válido y actual
- Documentar todo (registro de actividades de tratamiento) para poder demostrar el cumplimiento
- Exigir y registrar opt-in explícito antes del primer mensaje comercial
- Usar plantillas conformes y separar correctamente marketing de servicio
- Dar al consentimiento de WhatsApp la misma trazabilidad que al del resto de canales
La lectura de fondo: del outbound de interrupción al outbound de permiso
Si juntas todas las piezas (etiquetar la llamada, bloquear el SMS anónimo, caducar el consentimiento), el mensaje es uno solo: el outbound basado en interrupción está perdiendo a la vez eficacia y legalidad en España. Ya veníamos observando que la venta en frío rinde cada vez menos frente al contacto relevante y oportuno, algo que desarrollamos al hablar del embudo oscuro y el cambio en el proceso de compra B2B. Esta ley pone el marco legal encima de esa tendencia de mercado.
En ese escenario, hay un activo que se revaloriza: una base de datos con consentimiento vivo y bien gestionado. No la base más grande, sino la más limpia y la mejor documentada. Y eso no es un problema de abogados, es un problema de arquitectura de CRM: dónde vive el consentimiento, cómo se captura, cómo caduca, cómo se renueva y cómo suprime automáticamente a quien no lo tiene. Exactamente el tipo de sistema que separa a las empresas que verán esta ley como un incordio de las que la verán como una ventaja frente a competidores desordenados. Es la misma lógica de compliance operativo que ya vimos con los píxeles de seguimiento en email: la regulación aprieta, y gana quien tiene sus datos en orden.
Preguntas frecuentes
¿Desde cuándo es obligatorio el prefijo 400? Desde el 17 de octubre de 2026. A partir de esa fecha, los operadores bloquean las llamadas comerciales que no usen numeración que empiece por 400.
¿El prefijo 400 se aplica también a la atención al cliente? No. La atención al cliente tiene prohibido usar el 400; debe emplear números cortos atribuidos, rangos gratuitos 800/900 o números geográficos. La ley separa a propósito la comunicación comercial de la atención al cliente.
¿Qué pasa con los SMS comerciales y el registro de alias? Desde el 15 de septiembre de 2026, los operadores bloquean los SMS cuyo alias de remitente no esté registrado en la base de datos de la CNMC. Afecta también a SMS transaccionales: si no registras tu alias, esos mensajes dejan de entregarse.
¿La nueva ley afecta a WhatsApp? No directamente: la Ley SAC y el prefijo 400 regulan telefonía y SMS. Pero WhatsApp sigue sujeto al RGPD, a la LSSI (consentimiento para comunicaciones comerciales) y a las políticas de WhatsApp Business (opt-in y plantillas aprobadas). No es un canal sin reglas.
¿Tengo que renovar los consentimientos que ya tenía? Sí. La Ley SAC obliga a renovar los consentimientos cada dos años. Un consentimiento antiguo deja de ser válido, y los contratos cerrados en llamadas comerciales sin consentimiento previo son nulos.
¿Qué pasa si sigo llamando desde un número normal después del 17 de octubre? Las llamadas comerciales hechas fuera de la numeración 400 serán bloqueadas por los operadores, además de exponerte a denuncias ante la CNMC o la Oficina de Atención al Usuario de Telecomunicaciones. En la práctica, tus llamadas no llegarán.