WhatsApp y RGPD: cómo usarlo en tu empresa cumpliendo la normativa
Un comercial deja la empresa y se lleva su móvil con cuatro años de conversaciones con clientes. Una academia crea un grupo de WhatsApp con todos los padres de un curso y, de repente, cuarenta familias tienen el teléfono de las demás. Una clínica recibe por chat fotos de una lesión y nadie sabe dónde acaban guardadas. Son situaciones cotidianas que plantean la pregunta central de esta guía WhatsApp RGPD: cómo usar este canal sin poner en riesgo los datos de tus clientes ni a tu empresa.
WhatsApp no está prohibido ni es «ilegal» para empresas, pero lo que circula por él son datos personales, y eso activa las obligaciones del Reglamento General de Protección de Datos y de la LOPDGDD. Aquí repasamos, de forma práctica, qué tienes que tener en cuenta con WhatsApp y el RGPD. No sustituye al asesoramiento jurídico: úsala para hacer las preguntas correctas a tu asesor o delegado de protección de datos.
Lo esencial en una frase
Tu empresa es responsable de los datos que trata por WhatsApp: necesita una base legal, informar a los clientes, controlar a sus proveedores, limitar lo que guarda y por cuánto tiempo, y poder atender los derechos de cada persona.
1. Dónde están los riesgos reales
Antes de hablar de artículos y bases legales, conviene identificar las situaciones que más problemas generan en pymes:
Móviles personales
Empleados que atienden desde su WhatsApp personal. La empresa no controla los datos, ni las copias de seguridad, ni qué pasa cuando la persona se va.
Grupos con clientes
Cada participante ve el número de los demás. Es una comunicación de datos a terceros que necesita justificación.
Envíos comerciales sin permiso
Promociones a contactos que nunca aceptaron recibirlas por este canal.
Datos sensibles
Salud, documentos de identidad o información financiera enviados por chat sin medidas específicas.
Hay un quinto riesgo menos visible: las copias de seguridad. En el WhatsApp de un móvil, el historial puede guardarse en la nube personal del empleado, fuera de cualquier control de la empresa. Muchos de estos riesgos desaparecen con una decisión organizativa sencilla: usar un número corporativo, gestionado por la empresa, en lugar de los teléfonos personales del equipo. La WhatsApp Business Platform facilita ese control, porque las conversaciones viven en sistemas de la empresa y no en un móvil concreto; te lo explicamos en la guía de WhatsApp Business API. Y si además quieres automatizar la atención, un agente IA para WhatsApp bien diseñado puede incorporar desde el principio la información al cliente, la minimización de datos y la derivación a personas.
2. Bases legales: por qué puedes tratar esos datos
El artículo 6 del Reglamento General de Protección de Datos exige que cada tratamiento tenga una base jurídica. En WhatsApp, las más habituales son estas:
| Situación | Base jurídica habitual | Observaciones |
|---|---|---|
| El cliente pregunta por un servicio o pide presupuesto | Aplicación de medidas precontractuales a petición del interesado | Trata solo lo necesario para responderle |
| Gestión de citas, pedidos o incidencias de un cliente | Ejecución de un contrato | Incluye avisos y recordatorios ligados al servicio |
| Ofertas y novedades por iniciativa de la empresa | Consentimiento, salvo excepciones legales | La normativa de comunicaciones comerciales electrónicas también aplica |
| Análisis de conversaciones para mejorar el servicio | Interés legítimo, con ponderación previa | Mejor con datos anonimizados o agregados |
El permiso de Meta no sustituye al RGPD
Meta exige que el cliente haya aceptado recibir mensajes de tu empresa antes de que le escribas tú (opt-in). Ese requisito de la plataforma es independiente: cumplirlo no garantiza que cumplas el RGPD ni la normativa de comunicaciones comerciales, y viceversa.
3. Informar al cliente sin abrumarlo
El artículo 13 del RGPD obliga a informar a las personas cuando recoges sus datos: quién es el responsable, para qué se usan, con qué base, a quién se comunican, si hay transferencias internacionales, cuánto tiempo se conservan y cómo ejercer los derechos. En un chat, soltar todo eso de golpe es inviable.
La solución habitual es la información por capas, un enfoque que la LOPDGDD contempla expresamente en su artículo 11: un primer mensaje breve con lo esencial y un enlace a la política de privacidad completa. Por ejemplo, en el mensaje de bienvenida o en el primer mensaje del asistente.
- Identifica a tu empresa como responsable del tratamiento.
- Explica en una frase para qué usarás los datos.
- Si hay un asistente automático o con IA, dilo claramente.
- Enlaza a la política de privacidad, adaptada para incluir WhatsApp y los proveedores implicados.
- Indica cómo pedir hablar con una persona y cómo darse de baja de comunicaciones.
4. Proveedores, encargados y transferencias
Cuando usas WhatsApp en tu empresa intervienen terceros: Meta, el proveedor de la plataforma de mensajería, el CRM, y, si hay IA, el proveedor del modelo de lenguaje. Cada uno puede actuar como encargado del tratamiento, tratando datos por cuenta de tu empresa, y el artículo 28 del RGPD exige un contrato que regule ese encargo.
- Haz inventario
Lista todos los proveedores por los que pasan las conversaciones o los datos derivados de ellas. - Revisa su papel
Comprueba en sus condiciones de tratamiento de datos si actúan como encargados y qué garantías ofrecen. Meta publica condiciones específicas para su plataforma empresarial. - Comprueba dónde se tratan los datos
Si salen del Espacio Económico Europeo, debe existir un mecanismo válido de transferencia, como una decisión de adecuación o cláusulas contractuales tipo. - Pregunta por el entrenamiento
Con proveedores de IA, verifica si usan los datos de tus conversaciones para entrenar sus modelos y cómo desactivarlo. - Documenta
Refleja todo en tu registro de actividades de tratamiento.
¿Lo vemos aplicado a tu negocio?
Responde en segundos, cualifica leads, agenda citas y cobra sin salir de WhatsApp. Te enseñamos cómo funcionaría en tu caso en una demo sin compromiso.
Ver agente ia para whatsapp5. Datos de salud y otros datos sensibles
Las clínicas, centros de fisioterapia, psicólogos, farmacias o aseguradoras reciben por WhatsApp información que el RGPD considera de categoría especial, como los datos de salud. Su tratamiento está prohibido salvo que concurra alguna de las excepciones del artículo 9, y exige medidas de seguridad reforzadas.
Medidas prudentes en sectores sensibles
- Diseña la conversación para pedir solo lo imprescindible: para dar una cita no hace falta el historial clínico.
- Evita que documentos sensibles se queden en móviles o en sistemas sin control de acceso.
- Limita quién puede ver las conversaciones y registra los accesos.
- Valora con tu delegado de protección de datos si necesitas una evaluación de impacto.
Si tu caso principal es la gestión de citas, en la guía de citas por WhatsApp automáticas explicamos cómo diseñar el flujo para minimizar datos desde el principio.
6. Cuando hay inteligencia artificial en la conversación
Si un asistente con IA atiende tu WhatsApp, a las obligaciones del RGPD se suman las del Reglamento (UE) 2024/1689 de inteligencia artificial. Desde el 2 de agosto de 2026 es aplicable su artículo 50, que exige informar a las personas de que interactúan con un sistema de IA, salvo que resulte evidente por el contexto.
| Aspecto | Qué revisar |
|---|---|
| Transparencia | Que el primer mensaje indique que es un asistente de IA y cómo hablar con una persona |
| Decisiones automatizadas | Si el asistente toma decisiones con efectos significativos para la persona, el artículo 22 del RGPD impone garantías adicionales |
| Minimización | Que el modelo reciba solo los datos necesarios para responder |
| Proveedor del modelo | Contrato de encargo, ubicación de los datos y uso para entrenamiento |
| Registro y revisión | Quién revisa las conversaciones y durante cuánto tiempo se guardan |
Si te planteas usar ChatGPT u otro modelo directamente, repasa antes los riesgos en el artículo sobre ChatGPT en WhatsApp para empresas. Y si combinas WhatsApp con atención telefónica automatizada, las cuestiones legales de la voz las tratamos en si es legal que una IA atienda tus llamadas.
7. Conservación, derechos y política interna
Dos principios del RGPD suelen olvidarse en WhatsApp: la limitación del plazo de conservación y la capacidad de atender los derechos de las personas. Si las conversaciones están dispersas en varios móviles, es casi imposible saber qué datos tienes de alguien o borrarlos cuando lo pide.
Integrar ayuda a cumplir
Cuando las conversaciones se registran en un CRM o en una plataforma centralizada, es mucho más fácil localizar los datos de una persona, aplicar plazos de borrado y responder a una solicitud de acceso o supresión. Lo explicamos en cómo integrar WhatsApp con CRM.
Completa el planteamiento con una política interna breve para el equipo: qué número se usa, qué se puede enviar por chat y qué no, cómo se gestionan los documentos recibidos, qué hacer si un cliente pide la baja y quién responde a las solicitudes de derechos. La Agencia Española de Protección de Datos publica guías y herramientas útiles para pymes que pueden servirte de punto de partida.
8. Checklist WhatsApp RGPD para tu empresa
Usa esta lista para revisar tu situación actual y priorizar lo que falta:
- Número corporativo gestionado por la empresa, no teléfonos personales.
- Base jurídica identificada para cada uso: atención, gestión de servicios, comunicaciones comerciales.
- Primer mensaje informativo con enlace a la política de privacidad actualizada.
- Permiso documentado antes de enviar comunicaciones comerciales y gestión de bajas.
- Contratos de encargo con Meta, plataforma, CRM y proveedor de IA, si lo hay.
- Transferencias internacionales revisadas.
- Grupos con clientes evitados o justificados.
- Plazos de conservación definidos y aplicados.
- Procedimiento para atender derechos de acceso, rectificación y supresión.
- Aviso claro cuando atiende un asistente con IA.
Haz que lo revise un profesional
Cada empresa tiene circunstancias distintas. Una revisión con tu asesor legal o delegado de protección de datos antes de lanzar un asistente automatizado es una inversión pequeña frente al coste de corregir después.
9. Conclusión: WhatsApp profesional y cumplimiento van de la mano
Usar WhatsApp en tu empresa respetando el RGPD no exige renunciar al canal, sino profesionalizarlo: número corporativo, información clara, proveedores bajo contrato, datos mínimos y conversaciones centralizadas. Curiosamente, las mismas decisiones que te ayudan a cumplir son las que hacen tu atención más ordenada y eficaz.
Las mismas decisiones que te ayudan a cumplir el RGPD son las que ordenan tu atención: un número, un sistema y reglas claras.
En Neuronia diseñamos el chatbot de WhatsApp con la privacidad desde el diseño: información por capas, minimización de datos y proveedores con garantías, siempre en coordinación con tu asesor legal. Solicita un diagnóstico gratuito y revisamos cómo usas hoy WhatsApp y qué conviene cambiar.
10. Preguntas frecuentes
¿Necesito el consentimiento del cliente para contestarle por WhatsApp?
Si es el cliente quien te escribe para pedir información o gestionar un servicio, normalmente la base para tratar sus datos es atender su solicitud o ejecutar el contrato, no el consentimiento. Para enviarle comunicaciones comerciales por iniciativa tuya, en cambio, sí suele hacer falta su consentimiento previo, salvo excepciones.
¿Pueden mis empleados usar su WhatsApp personal con clientes?
Es desaconsejable. La empresa pierde el control de los datos, no puede atender derechos de acceso o supresión, y los contactos y copias de seguridad quedan en dispositivos y cuentas personales. Lo recomendable es un número corporativo gestionado por la empresa.
¿Es legal crear un grupo de WhatsApp con clientes?
Un grupo muestra el número de teléfono de cada participante al resto, lo que supone comunicar datos personales a terceros. Antes de crear uno, valora si existe una base legal y si hay alternativas que no expongan los números, como las listas de difusión o los canales.
¿Meta puede leer los mensajes de mi empresa?
Depende de la modalidad y de cómo se configure. En la plataforma empresarial, los mensajes pasan por la infraestructura de Meta o de tu proveedor para poder procesarse. Revisa las condiciones de tratamiento de datos de Meta y de cada proveedor para saber qué rol asumen y con qué garantías.
¿Necesito una evaluación de impacto para un chatbot de WhatsApp?
No siempre. Puede ser necesaria si tratas datos sensibles a gran escala, como datos de salud, o si el tratamiento implica un alto riesgo por el uso de nuevas tecnologías. Consulta con tu delegado de protección de datos o asesor y revisa las listas publicadas por la AEPD.
¿Cuánto tiempo puedo guardar las conversaciones de WhatsApp?
El tiempo necesario para la finalidad para la que se recogieron, más los plazos legales que obliguen a conservarlas. Conviene fijar plazos concretos por tipo de conversación y aplicar borrados o anonimización cuando venzan.
Implanta agente ia para whatsapp en tu empresa
En un diagnóstico gratuito de 30 minutos analizamos tu caso, te decimos qué automatizaríamos primero y cuánto tiempo podrías recuperar.