WhatsApp y protección de datos (LGPD de Brasil): consentimiento, baja y modelos de mensaje

La Ley General de Protección de Datos de Brasil (Ley 13.709/2018) trata el número de teléfono y el contenido de las conversaciones como datos personales. Todo tratamiento necesita una base legal prevista en la ley, como consentimiento, ejecución de contrato o interés legítimo, además de finalidad clara, necesidad (recolectar solo lo que hace falta) y transparencia con la persona.

En la práctica de marketing y atención esto se traduce en cuatro preguntas que debes saber responder para cualquier contacto: de dónde salió ese número, para qué autorizó el contacto, cuándo y cómo lo autorizó, y cómo pide que paremos. Si la respuesta es "compramos una lista", el riesgo legal y el riesgo de denuncia en WhatsApp son altos a la vez. Mira también envío masivo y LGPD.

La elección de la base legal es una decisión del responsable y debe documentarse. Un mapa común, que no sustituye el análisis jurídico, es este:

El interés legítimo exige una prueba de equilibrio documentada y no es carta blanca para marketing en frío. Para quien empieza, el camino más simple y más defendible para campañas es el consentimiento específico, pedido con claridad.

El consentimiento válido es libre, informado y para una finalidad determinada. Eso significa que la casilla no puede venir marcada de fábrica, que el texto debe decir qué va a recibir la persona y con qué frecuencia, y que el consentimiento para un tema no cubre todos los demás.

Paso a paso: 1) pon en el formulario (sitio, landing, mostrador, registro) un campo propio, sin marcar, que diga que la persona acepta recibir mensajes por WhatsApp sobre los temas X e Y; 2) guarda fecha, hora, origen (formulario, página, agente) y el texto exacto que vio; 3) confirma el registro con un primer mensaje corto de bienvenida que repita la finalidad y ofrezca la salida; 4) respeta la finalidad: si pidió información de citas, no envíes una promoción de otro producto.

Si alguien lo cuestiona, la carga de mostrar la autorización es de quien envió. Por eso, mantén una tabla mínima por contacto: número, nombre, finalidad autorizada, fecha y hora, canal de origen, texto del aviso mostrado e historial de pedidos de baja. Esa tabla es tu documento y debe tener acceso restringido.

Guarda lo necesario durante el tiempo necesario. Definir un plazo de retención y borrar lo que perdió finalidad también forma parte de la ley. Los detalles de cómo ZapZap trata los datos de la cuenta están en seguridad.

La persona debe poder salir con la misma facilidad con que entró. Avisa en cada campaña cómo parar, por ejemplo respondiendo con una palabra acordada, y trata la solicitud como prioridad. La baja es un proceso tuyo. En la práctica, recibes la respuesta por el webhook, identificas la solicitud en tu sistema o automatización y marcas el contacto como "no enviar" en tu base antes del siguiente envío.

Dos reglas de higiene: nunca reactives sin nuevo consentimiento y consulta tu lista de bajas antes de cada campaña. Una baja ignorada es la causa más directa de denuncias, y las denuncias hunden la reputación del número. Mira por qué WhatsApp bloquea números.

Solicitud de consentimiento (formulario): "Quiero recibir mensajes de [Empresa] por WhatsApp sobre [citas y novedades]. Puedo cancelar en cualquier momento respondiendo BAJA."

Primer mensaje tras el registro: "¡Hola, [Nombre]! Te escribe [Empresa]. Pediste recibir [citas y novedades] por aquí. Si quieres parar, solo responde BAJA."

Pie de campaña: "Recibes este mensaje porque te registraste en [origen] el [fecha]. Para no recibir más, responde BAJA."

Confirmación de baja: "Listo, [Nombre]. Ya no recibirás mensajes de [Empresa] por aquí. Si cambias de opinión, solo escríbenos."

Respuesta a quien pregunta de dónde salió su contacto: "Tu número viene del registro que hiciste en [origen] el [fecha]. Si prefieres que borremos tus datos, avísame y nos encargamos." Adáptalo a la realidad de tu proceso y promete solo lo que de verdad ejecutas.

La LGPD da a las personas derechos como la confirmación de que existe tratamiento, acceso, corrección y eliminación, entre otros. Ten un canal y un responsable para recibir esas solicitudes y un plazo interno para responder. En las empresas, el encargado de protección de datos suele centralizar ese contacto.

En lo técnico, protege las claves de la API, no dejes el secreto en código de navegador, restringe quién accede a las conversaciones y evita poner datos sensibles en el cuerpo de los mensajes. Para el uso aceptable del servicio, lee la página de uso aceptable.

Este texto es orientación general. No sustituye asesoría jurídica, no cubre reglas sectoriales (salud, finanzas, cobranza) y no garantiza cumplimiento. Cumplir depende de tu contexto, y las autoridades pueden interpretar cada caso a su manera.

Si tu operación involucra datos de salud, de menores o volumen alto, haz una revisión con un abogado especializado antes de escalar. Y recuerda que la LGPD es una capa: incluso con consentimiento perfecto, el uso no oficial de WhatsApp sigue sujeto a los Términos de la plataforma.

Antes de presionar enviar, confirma: ¿la lista tiene origen y autorización registrados? ¿La finalidad del mensaje coincide con la autorizada? ¿Se quitaron de la lista las bajas recientes? ¿El texto dice quién habla y cómo parar? ¿Quien atiende las respuestas está listo para una solicitud de borrado de datos?