WhatsApp y el RGPD: escribir a tus clientes sin problemas

Nota: esta guía es información general, no asesoramiento jurídico. Cada afirmación legal enlaza a la norma o a la resolución de la que sale. Para un caso concreto, consulta a un abogado o a tu delegado de protección de datos.

En 30 segundos

• Contestar a quien te escribe no necesita un permiso aparte. Tampoco avisarle de su cita o de su pedido: son mensajes de servicio.
• Una promoción por WhatsApp necesita consentimiento expreso, salvo que sea ya tu cliente y le ofrezcas algo parecido a lo que te compró (artículo 21 de la LSSI). La AEPD trata WhatsApp igual que el email o el SMS.
• Cada promoción lleva una forma sencilla y gratuita de darse de baja, y una baja se respeta siempre.
• Meta también exige permiso previo (opt-in) con el nombre de tu empresa, y que respetes cualquier baja. Vale también para la app gratuita.
• La AEPD ya ha multado estos errores: meter a clientes en un grupo (500 € y 3.000 €), seguir enviando promociones tras una baja (1.500 €) y mandar datos de clientes al WhatsApp personal de un empleado (2.500 €).
• Tu empresa es la responsable de los datos. La plataforma que uses es encargada y firma contigo un contrato de encargo.

¿Puedo escribir por WhatsApp a mis clientes?

Sí. Para la mayoría de mensajes basta con el motivo por el que tienes su número. Para la ley hay dos tipos:

• De servicio: respondes a quien te ha escrito, confirmas una cita, avisas de un pedido. El RGPD permite tratar los datos cuando hace falta para un contrato o para las gestiones previas que pide el cliente (artículo 6.1.b).
• Comerciales: la LSSI llama comunicación comercial a toda la que busca «la promoción, directa o indirecta, de la imagen o de los bienes o servicios» de una empresa (anexo, letra f). Para estas pide consentimiento previo.

La regla práctica: si el mensaje vende algo, aunque sea en una línea, trátalo como promoción. Meta hace lo mismo: una plantilla que mezcla un aviso con una oferta es de marketing.

Para todos los mensajes, informa al recoger el número: quién eres, para qué lo usarás y con qué base legal (artículo 13 del RGPD). Meta exige además una política de privacidad publicada. Y la ventana de 24 horas es de Meta, no de la ley: pasado ese plazo desde el último mensaje del cliente, la API solo deja escribir con una plantilla aprobada, que se paga (cuánto cuesta cada una).

¿Qué consentimiento necesito para enviar promociones por WhatsApp?

Necesitas que la persona lo haya pedido o autorizado de forma expresa antes del primer mensaje. La única excepción es tu propio cliente, para productos parecidos a los que ya te compró.

La base europea es la Directiva ePrivacy (2002/58/CE). Su artículo 13 permite la venta directa por «correo electrónico» solo con consentimiento previo, y llama así a «todo mensaje de texto, voz, sonido o imagen» que se guarda hasta que el destinatario lo lee (artículo 2.h). Cada país la aplica con su propia ley.

En España es el artículo 21 de la LSSI. Prohíbe la publicidad «por correo electrónico u otro medio de comunicación electrónica equivalente» que no se haya pedido o autorizado antes. La AEPD cita expresamente «los mensajes SMS o de WhatsApp» como medio equivalente.

La excepción del cliente previo (artículo 21.2) exige las cuatro cosas a la vez:

1. Una relación contractual previa: te compró o contrató algo.
2. Obtuviste su contacto de forma lícita.
3. Le ofreces productos o servicios de tu propia empresa, similares a los que contrató.
4. Le diste la opción de oponerse, sencilla y gratuita, al recoger sus datos y en cada mensaje.

Cómo es un consentimiento válido. «Libre, específica, informada e inequívoca», con una declaración o una clara acción afirmativa (artículo 4.11 del RGPD). En la práctica:

• Nada tácito. Según la AEPD, el artículo 21 no admite un consentimiento tácito (Informe 0164/2018). No vale «si no contestas, entendemos que aceptas».
• Tienes que poder demostrarlo (artículo 7.1). Guarda la fecha, el origen y el texto que la persona aceptó.
• Retirarlo es igual de fácil que darlo (artículo 7.3).

La Lista Robinson. Quien hace publicidad directa tiene que consultar antes las listas de exclusión publicitaria, salvo que la persona le haya dado su consentimiento (artículo 23.4 de la LOPDGDD, la «LOPD» actual).

Cada país, su ley. El RGPD es el mismo en toda la UE; la norma de las promociones electrónicas cambia:

¿Qué exige Meta para escribir por WhatsApp Business?

Meta pide permiso previo para cualquier mensaje que inicies tú, no solo para las promociones. Su WhatsApp Business Messaging Policy rige la app gratuita y la API:

• Solo puedes escribir a quien te dio su número y su permiso para recibir tus mensajes.
• El permiso dice con claridad que la persona acepta recibir mensajes y de qué empresa. Puede ser general, no solo para WhatsApp, siempre que cumplas la ley. Vale por web, SMS, teléfono, en persona o en papel.
• Respeta cualquier petición de baja o de bloqueo, llegue por WhatsApp o por otra vía, y quita a esa persona de tu lista de contactos.

Tus clientes también tienen sus herramientas. Con un ajuste de WhatsApp pueden dejar de recibir tu marketing: si les envías una plantilla de marketing después, Meta no la entrega (error 131050). Pueden bloquearte o denunciarte, y con muchas quejas Meta puede limitar tus envíos o retirarte el acceso.

¿Cómo gestiono las bajas de WhatsApp?

Una baja vale desde que la persona la pide, para todo el equipo, y no hace falta que use una palabra concreta.

• Basta con que lo diga. La LSSI permite revocar el consentimiento «con la simple notificación de su voluntad al remitente» (artículo 22.1). Y el RGPD dice que, tras oponerse, sus datos «dejarán de ser tratados» para publicidad (artículo 21.3).
• Ofrécela en cada promoción (artículo 21.2 de la LSSI). En WhatsApp, lo más sencillo es un botón de respuesta rápida en la plantilla, tipo «No quiero promociones»; Meta lo cita como uso habitual.
• Distingue «no quiero promociones» de «no me escribáis más». Quien deja las ofertas puede seguir recibiendo el recordatorio de su cita.
• Que la vea todo el equipo. Una baja apuntada en el móvil de una persona no llega a la campaña que prepara otra.

Una bandeja de equipo como BlueMarlin guarda en la ficha si el cliente dio su consentimiento, cuándo y por dónde. Una baja lo saca de las campañas para todo el equipo, llegue por el botón de la plantilla, por un mensaje que la pida o por el aviso de Meta.

¿Qué errores con WhatsApp ha multado ya la AEPD?

Estas cuatro resoluciones castigan prácticas corrientes en cualquier negocio:

Grupos con los teléfonos de tus clientes

En un grupo, todos ven el número de todos: «cuando alguien te añade a un grupo, todos sus miembros ven tu número de teléfono», explica la ayuda de WhatsApp. La AEPD ordenó al taller medidas que impidan crear grupos sin consentimiento que permitan «la revelación de los datos personales asociados de los participantes». Que el reclamante hubiera hablado antes con el taller, por unas llantas, no bastó.

Con la lista de difusión de la app, cada cliente recibe el mensaje en su propio chat y su respuesta te llega solo a ti. Eso sí, únicamente la recibe quien tiene tu número guardado, y sigue siendo publicidad: necesita el mismo consentimiento.

Datos de clientes en el móvil personal de un empleado

En el móvil de un empleado, la empresa no puede garantizar la confidencialidad: «personal ajeno a su organización puede tener acceso al mismo», y no conoce su configuración de seguridad. Así lo razonó la AEPD, que además rechazó la excusa de la costumbre: la «economía», la «costumbre» o la «agilidad» no justifican incumplir. La salida es un número de empresa que use todo el equipo.

Mensajes a quien pidió la baja

El cliente pidió la baja por WhatsApp, la empresa le dijo que había borrado sus datos y le siguió llegando publicidad: «¿No me habías borrado? Es la cuarta vez». La AEPD añadió que esos mensajes no estaban amparados en una relación contractual previa, porque la persona solo había pedido precio.

¿Quién es responsable de los datos de mis clientes en WhatsApp?

Tu empresa. El RGPD llama responsable a quien decide para qué y cómo se tratan los datos, y encargado a quien los trata por su cuenta (artículo 4, puntos 7 y 8). La plataforma que uses para WhatsApp es encargada.

• Hace falta un contrato de encargo (DPA, por sus siglas en inglés). Fija el objeto, la duración, la finalidad y el tipo de datos, y obliga al encargado a seguir tus instrucciones (artículo 28.3).
• Meta tiene el suyo: las WhatsApp Data Processing Terms, actualizadas el 22 de agosto de 2025, que se aplican cuando WhatsApp trata como encargado los datos de tus clientes.
• BlueMarlin publica el suyo en /dpa: BlueMarlin es el encargado, Meta figura como subencargado para transmitir los mensajes, y el contrato se acepta al crear la cuenta.
• Lo que no se delega: la base legal, la información a tus clientes, el consentimiento y las bajas. Ninguna herramienta pide el consentimiento por ti.

Preguntas frecuentes

¿Puedo añadir a mis clientes a un grupo de WhatsApp?

No sin su consentimiento. En un grupo todos ven el número de todos, y la AEPD ha multado con 3.000 € a un taller y con 500 € a un catering por meter a clientes en grupos. Para avisar a muchos, usa una lista de difusión o una campaña, que llegan a cada uno por separado, y solo a quien aceptó recibirlas.

¿Necesito permiso para enviar recordatorios de cita por WhatsApp?

No hace falta un consentimiento aparte: el recordatorio no promociona nada y se apoya en la cita que pidió el cliente. Informa de que usarás WhatsApp al recoger su número. Si le añades una oferta, pasa a ser publicidad, para la ley y para Meta.

¿Quien me pidió presupuesto cuenta como cliente?

No necesariamente. En el expediente PS/00323/2020 la persona solo había pedido precio, y la AEPD concluyó que las promociones posteriores no estaban amparadas en una relación contractual previa. La excepción de la LSSI exige que te haya comprado o contratado algo.

¿Tengo que consultar la Lista Robinson antes de una campaña de WhatsApp?

Si la persona te dio su consentimiento, no. Si no, sí: la LOPDGDD obliga a quien hace publicidad directa a consultar antes las listas de exclusión (artículo 23.4). La AEPD recuerda que estar inscrito no impide recibir publicidad de una empresa de la que se es cliente.

¿Puede mi equipo atender a los clientes desde su WhatsApp personal?

Es arriesgado. La AEPD multó con 2.500 € a una empresa que enviaba datos de clientes al WhatsApp personal de un empleado, porque en ese móvil no podía garantizar la confidencialidad. Lo seguro es un número de empresa compartido, de modo que el cliente siga siendo de la empresa cuando alguien se va.

¿Qué multa puede poner la AEPD por publicidad por WhatsApp sin permiso?

Por la LSSI, que en esto aplica la AEPD, hasta 30.000 € si es leve, y de 30.001 a 150.000 € si el envío es masivo o insistente (artículos 38, 39 y 43). Por el RGPD, hasta 20 millones de euros o el 4 % de la facturación anual (artículo 83.5). En los cuatro casos de esta guía, las multas fueron de 500 € a 5.000 €.

Fuentes

Todo lo anterior está comprobado el 30 de septiembre de 2026 en las normas y en las fuentes oficiales:

• Reglamento General de Protección de Datos (UE) 2016/679, EUR-Lex: definiciones (artículo 4), bases legales (6), consentimiento (7), información (13), oposición a la mercadotecnia (21), contrato de encargo (28) y multas (83).
• Directiva 2002/58/CE (ePrivacy), versión consolidada, EUR-Lex: definición de correo electrónico (artículo 2.h) y comunicaciones no solicitadas (13).
• Ley 34/2002 (LSSI), BOE: consentimiento y excepción del cliente previo (artículo 21), revocación (22), infracciones y multas (38 y 39), competencia de la AEPD (43) y definición de comunicación comercial (anexo, letra f).
• Ley Orgánica 3/2018 (LOPDGDD), BOE: sistemas de exclusión publicitaria (artículo 23).
• AEPD: Publicidad no deseada: WhatsApp como medio equivalente, consentimiento no tácito y listas de exclusión.
• AEPD: Informe 0164/2018: el artículo 21 de la LSSI no admite consentimiento tácito.
• Resoluciones de la AEPD PS/00323/2020, PS/00298/2023, PS/00261/2024 y PS/00505/2023: los cuatro casos de la tabla.
• WhatsApp Business Messaging Policy: permiso previo, bajas, plantillas, ventana de 24 horas, política de privacidad y sanciones de Meta.
• Get opt-in for WhatsApp: requisitos y formas del permiso.
• Marketing templates: user preferences: el ajuste para dejar de recibir marketing y el error 131050.
• Template categorization: una plantilla con aviso y oferta es de marketing.
• Template components: el botón de respuesta rápida para darse de baja.
• WhatsApp: La privacidad a simple vista: en un grupo, todos ven tu número.
• WhatsApp: Cómo usar las listas de difusión: cada destinatario lo recibe como un mensaje individual, y solo si tiene tu número guardado.
• WhatsApp Data Processing Terms: Meta como encargado.
• Tabla de países: § 7 UWG (Alemania); CNIL, la prospection commerciale par courrier électronique (Francia); Codice privacy, artículo 130 y líneas guía del Garante del 4 de julio de 2013 (Italia).
• Contrato de encargo de BlueMarlin: papeles de BlueMarlin y de Meta.

Historial de cambios

• 30 de septiembre de 2026: primera versión.