WhatsApp Business como herramienta comercial: el problema legal que nadie explica
WhatsApp Business tiene más de 200 millones de usuarios empresariales en el mundo y en España se ha convertido en el canal preferido para la comunicación directa con clientes. La facilidad de uso y las tasas de apertura altísimas lo hacen atractivo para ventas, atención al cliente y fidelización. El problema es que esa misma proximidad lo convierte en un terreno especialmente sensible desde el punto de vista de la protección de datos.
Enviar un mensaje de WhatsApp a alguien es distinto a enviarle un email. El número de teléfono es un dato personal. La app accede a la agenda de contactos. Los mensajes pueden contener información muy personal. Y todo eso ocurre en una plataforma gestionada por Meta, con sus propias condiciones de uso y sus propias transferencias de datos.
Muchas empresas usan WhatsApp Business sin haber reflexionado sobre qué datos tratan, con qué base jurídica, qué información dan a sus clientes sobre ese tratamiento, o qué pasa con los datos cuando el cliente deja de serlo.
Qué datos personales trata tu empresa cuando usa WhatsApp Business
Cuando guardas el número de un cliente en tu agenda y lo contactas por WhatsApp Business, tratas su número de teléfono y su nombre. Si tienes una cuenta de WhatsApp Business API integrada con un CRM, probablemente tratas mucho más: historial de conversaciones, preferencias declaradas, datos del pedido, consultas previas.
Cada mensaje que recibes y conservas es un dato personal. Las fotografías que los clientes te envían (de un producto dañado, de su DNI para una gestión, de algo que quieren que te inspires) son datos personales. Y si usas WhatsApp para coordinar con empleados o colaboradores, los mensajes de esas conversaciones también pueden contener datos de terceros.
El registro de actividades de tratamiento de tu empresa tiene que incluir el tratamiento realizado a través de WhatsApp Business. Si no lo has añadido, hay un incumplimiento del artículo 30 del RGPD.
La base jurídica para contactar a clientes por WhatsApp
Hay tres situaciones distintas que requieren bases distintas:
Clientes con los que ya tienes una relación comercial activa. Para comunicaciones necesarias para gestionar esa relación (confirmar un pedido, informar de una entrega, resolver una incidencia), la base es la ejecución del contrato. No necesitas consentimiento adicional, pero sí tienes que haber informado al cliente de que usas WhatsApp como canal de comunicación.
Envío de comunicaciones comerciales o de marketing a clientes. La LSSI exige consentimiento previo y específico para el envío de comunicaciones comerciales por vía electrónica, incluido WhatsApp. La única excepción es cuando ya eres cliente de un producto o servicio similar: en ese caso, puedes enviar comunicaciones sobre productos relacionados siempre que el cliente haya tenido la oportunidad de rechazarlo en cada comunicación.
Contactar a personas que no son clientes todavía. Para hacer prospección comercial por WhatsApp a personas que no te han dado sus datos voluntariamente, necesitas consentimiento previo y específico. Comprar una lista de números de teléfono y enviar mensajes masivos es una práctica ilícita que puede acarrear sanciones por el RGPD y la LSSI simultáneamente.
Lo que no puedes hacer con WhatsApp Business
Enviar mensajes comerciales no solicitados a personas que no han aceptado recibirlos. Esto incluye reenviar un mensaje a todos los contactos de la agenda o usar grupos de difusión para publicidad sin que los miembros hayan dado su consentimiento explícito.
Guardar conversaciones de WhatsApp indefinidamente sin una política de retención de datos. Los mensajes que guardas en el dispositivo o que exportas a un sistema son datos personales que tienen un plazo de conservación máximo justificado.
Usar WhatsApp para transmitir datos especialmente sensibles (datos de salud, datos financieros, datos de menores) sin medidas de seguridad adicionales. WhatsApp tiene cifrado de extremo a extremo, pero Meta accede a los metadatos de las conversaciones y las copias de seguridad pueden no estar cifradas de la misma manera.
Añadir a alguien a un grupo de WhatsApp de empresa sin su consentimiento. Cuando creas un grupo y añades a alguien, esa persona expone su número a todos los miembros del grupo. Hay que tener permiso para añadir a alguien a un grupo donde va a convivir con otros contactos que no conoce.
Compartir datos de clientes con empleados que no tienen necesidad de conocerlos. El principio de minimización y el de limitación del acceso se aplican también dentro de la empresa.
WhatsApp Business API vs. app estándar: las diferencias relevantes
La app de WhatsApp Business estándar (la que se descarga gratis) funciona en un teléfono, tiene limitaciones de uso y Meta tiene acceso a los datos según sus propias condiciones. La WhatsApp Business API es una solución para empresas que necesitan escala: permite integrarse con CRMs, gestionar múltiples agentes, enviar mensajes masivos a través de plantillas aprobadas por Meta y tener mayor control del historial.
Desde el punto de vista de protección de datos, la API tiene implicaciones adicionales. Los proveedores de la API son encargados del tratamiento con los que hay que tener un contrato (artículo 28 RGPD). Las plantillas de mensajes que Meta aprueba para la API tienen que ser conformes con el RGPD también. Y el hecho de que Meta acceda a los datos de conversaciones de la API para sus propios fines es una transferencia de datos que hay que documentar.
En cualquiera de los dos casos, Meta/WhatsApp es una plataforma con servidores fuera del Espacio Económico Europeo, lo que hace que el tratamiento implique transferencias internacionales de datos. Estas tienen que estar documentadas y respaldadas por las garantías adecuadas (actualmente el Marco de Privacidad UE-EE.UU. para las empresas certificadas).
Cómo informar a tus clientes del uso de WhatsApp
Hay que informar a los clientes de que sus datos se tratan a través de WhatsApp, para qué, con qué base jurídica y cuáles son sus derechos. Esta información tiene que aparecer en la política de privacidad de la empresa, que debe mencionarse en el momento en que se recoge el número de teléfono del cliente.
Si un cliente te da su teléfono en una tienda física, el ticket, formulario o documento donde queda registrado tiene que incluir una referencia a la política de privacidad. Si lo hace online, el formulario donde introduce el número tiene que tener esa información.
No es válido dar el número de WhatsApp de la empresa en la web y asumir que los clientes saben que sus conversaciones se van a guardar y usar para futuras comunicaciones comerciales. La información tiene que darse activamente.
Retención de conversaciones y derecho de supresión
Cuánto tiempo guardas las conversaciones de WhatsApp tiene que estar definido. No hay una regla única: depende del contenido de esas conversaciones. Si son pedidos, el plazo de conservación puede estar vinculado al plazo de reclamación por la compra (generalmente tres años). Si son consultas de atención al cliente sin compra posterior, el plazo puede ser más corto.
Cuando un cliente ejerce su derecho de supresión y pide que elimines sus datos, hay que eliminar también las conversaciones de WhatsApp donde aparezcan sus datos personales, o al menos garantizar que esos datos no se siguen usando. En la práctica, esto significa tener una política interna sobre cómo gestionar esas solicitudes en el canal de WhatsApp.
La exportación de conversaciones de WhatsApp a texto plano o a archivos es un tratamiento de datos que tiene que estar bajo control. Esos archivos tienen que protegerse y eliminarse cuando ya no son necesarios.
Empleados y WhatsApp: el caso de los grupos internos
El uso de WhatsApp por parte de empleados para comunicaciones de trabajo plantea sus propios problemas. Los mensajes de trabajo entre empleados en sus teléfonos personales no están bajo control de la empresa, pero pueden contener información confidencial o datos de clientes.
Muchas empresas tienen grupos de WhatsApp internos para coordinar equipos, compartir documentación o dar avisos. Si en esos grupos circulan datos de clientes (pedidos, incidencias, datos de contacto), la empresa está tratando esos datos en una plataforma que no controla, con metadatos que Meta puede utilizar, y en dispositivos personales de empleados que pueden no estar protegidos.
La política de uso de herramientas digitales de la empresa tiene que abordar esto: qué datos pueden compartirse por WhatsApp, qué no, y qué alternativas existen para la comunicación interna sensible.
Alternativas a WhatsApp con más control sobre los datos
Para empresas que tratan datos sensibles o que necesitan más control sobre las comunicaciones, hay alternativas a WhatsApp que ofrecen mejor posición desde el punto de vista de la protección de datos: Signal (de código abierto, sin monetización de datos), Element/Matrix (descentralizado, puede alojarse en servidores propios), o plataformas de mensajería empresarial como Slack o Microsoft Teams donde la empresa es el propietario de los datos.
Para la comunicación con clientes, los sistemas de chat integrados en la web o en la app propia de la empresa dan mucho más control sobre los datos y la evidencia del consentimiento que WhatsApp.
La decisión de usar WhatsApp Business tiene que tomarse con conocimiento de sus implicaciones de protección de datos, no por defecto.
]]>
