Es la primera pregunta que sale en cuanto alguien propone automatizar WhatsApp: «¿y esto es legal?». La respuesta corta es sí, con condiciones. La larga es que la mayoría de problemas no vienen de escribir al cliente, sino de qué haces con su número después.
Esta guía separa lo que se puede hacer sin más de lo que necesita consentimiento, y lo que directamente no deberías hacer aunque técnicamente puedas.
Para quién es esta guía
Pymes españolas que usan o van a usar WhatsApp para atender clientes, mandar recordatorios o hacer seguimiento comercial. No sustituye asesoramiento legal: al final te digo en qué casos deberías buscarlo.
Dos normas, no una
Aquí está el origen de casi toda la confusión: se habla solo del RGPD cuando en realidad aplican dos cosas distintas.
| Norma | Qué regula | Qué te exige |
|---|---|---|
| RGPD y LOPDGDD | Tratar el número de teléfono, que es un dato personal | Base legal, informar, plazo de conservación y contrato con quien te presta el servicio |
| LSSI-CE, art. 21 | Enviar comunicaciones comerciales por vía electrónica | Consentimiento previo, salvo la excepción de cliente existente. Y salida fácil siempre |
La distinción práctica es esta: responder no es lo mismo que promocionar. Contestar a quien te ha escrito, confirmar una cita o avisar de que su pedido va de camino son mensajes de servicio. Ofrecerle un descuento en algo que no ha pedido es comunicación comercial, y ahí entra el artículo 21.
Qué puedes hacer, ordenado por riesgo
| Situación | ¿Puedes? | Con qué condición |
|---|---|---|
| Responder a quien te escribe | Sí | Ninguna especial. Él ha iniciado el contacto |
| Recordatorio de una cita que tiene contigo | Sí | Es ejecución del servicio, no publicidad |
| Seguimiento de un presupuesto que pidió | Sí | Relación precontractual iniciada por él. No te pases de insistente |
| Promoción a un cliente que ya te compró algo similar | Con matices | Excepción del art. 21 para productos similares, si obtuviste el dato en una venta previa y das opción de oponerse |
| Promoción a alguien que solo pidió información | No sin consentimiento | Pedir información no es comprar. Hace falta que acepte recibir comunicaciones |
| Escribir a una lista comprada o sacada de un directorio | No | Ni consentimiento ni relación previa. Es la vía rápida a una reclamación |
El error que más se repite. Tratar el número que alguien dejó en un formulario de presupuesto como si fuera una suscripción a tus novedades. No lo es. Para responderle sobre lo que pidió vas sobrado; para meterlo en una campaña necesitas que lo haya aceptado, y ese consentimiento tiene que estar separado y ser demostrable.
La ventana de 24 horas y las plantillas de Meta
Hay una capa más, que no es legal pero funciona como si lo fuera: las reglas de Meta. Incumplirlas no te lleva a la AEPD, te lleva a algo más inmediato, que es quedarte sin canal.
La regla central es la ventana de servicio: cuando un cliente te escribe, se abre un plazo de 24 horas durante el cual puedes responderle con mensajes libres. Pasado ese plazo, si quieres iniciar tú la conversación tienes que usar una plantilla aprobada previamente por Meta.
| Situación | Qué puedes mandar | Coste |
|---|---|---|
| Te ha escrito hace menos de 24 h | Lo que quieras, texto libre | Sin coste por mensaje dentro de la ventana |
| Han pasado más de 24 h | Solo plantillas aprobadas | Se cobra por plantilla enviada, según categoría |
| Quieres promocionar algo | Plantilla de categoría marketing | La más cara de todas, y la que más se rechaza |
Las plantillas se envían a revisión y pueden ser rechazadas. Las causas más habituales de rechazo que vemos:
- Clasificar como utility —confirmaciones, avisos— algo que en realidad es promoción. Meta lo detecta y lo tumba.
- Variables sin contexto: una plantilla que es casi toda huecos rellenables se rechaza porque no se puede revisar qué vas a mandar.
- Faltas de ortografía, mayúsculas excesivas o promesas comerciales agresivas.
- Pedir datos sensibles por el chat: números de tarjeta, contraseñas o documentación personal.
El riesgo que más duele. Si mucha gente bloquea o reporta tu número, Meta te baja la calificación de calidad y acaba limitando cuántos mensajes puedes iniciar al día. Es un castigo progresivo y difícil de revertir. En la práctica, esto convierte el consentimiento de una obligación legal en una necesidad operativa: escribir a quien no quiere oírte te cuesta el canal, no solo una multa hipotética.
Cómo se recoge el consentimiento en la práctica
«Consentimiento demostrable» suena a abogado. En la práctica significa poder contestar tres preguntas sobre cualquier contacto de tu base: cuándo dijo que sí, dónde lo dijo y a qué exactamente. Estas son las formas que funcionan:
En un formulario web
Dos casillas separadas, ninguna premarcada. La primera para tratar sus datos y atender su solicitud; la segunda, opcional, para recibir comunicaciones comerciales por WhatsApp y email. Y al guardar el registro, guarda también la marca de tiempo, la IP y el texto exacto que había en pantalla ese día. Ese texto cambia con el tiempo y lo que importa es qué aceptó él, no qué pone hoy en tu web.
En el propio WhatsApp
Vale, y además es limpio: mandas un mensaje con botones preguntando si quiere recibir novedades, y guardas la respuesta en el CRM. Tiene la ventaja de que el consentimiento queda registrado en la misma conversación, con fecha y hora, que es la prueba más difícil de discutir que existe.
En una tienda o consulta física
Es el punto más flojo de casi todas las pymes. Apuntar el número en una libreta no es consentimiento de nada. Si recoges datos en mostrador, ten un impreso breve o un formulario en tablet, y que alguien registre lo mismo que registrarías online. Sin eso, esa parte de tu base de datos no la puedes usar para comunicaciones comerciales.
Webhook (mensaje entrante) → IF (¿el texto contiene BAJA, STOP o similar?) → CRM: Update marcando consentimiento retirado con fecha → Send Message confirmando → Email interno para que nadie lo reactive a mano.
Las bajas que llegan y nadie procesa son el origen de la mayoría de reclamaciones ante la AEPD por este canal. No suele haber mala fe: hay un mensaje de baja perdido en una bandeja compartida que nadie miró el viernes.
Dónde acaban esos números
Al automatizar WhatsApp, el número del cliente pasa por más manos de las que parece: la API de Meta, el proveedor que te da acceso, la herramienta que orquesta el flujo y el sitio donde guardas la conversación. Cada uno de ellos es un encargado del tratamiento y con cada uno hace falta contrato.
Y hay una pieza que casi siempre se pasa por alto: el CRM donde acaba la ficha del contacto. Es la que más datos acumula y la que más tiempo los conserva, así que es donde más importa dónde estén los servidores.
Pipedrive
Desde 14€/usuario/mes · servidores en Alemania
Por eso, si vas a montar el flujo de WhatsApp al CRM, la ubicación de los servidores del CRM deja de ser un detalle técnico. Pipedrive los tiene en Alemania, dentro de la UE, y eso te ahorra el expediente de transferencias internacionales justo en la pieza que más datos concentra. El contrato de encargado sigue haciendo falta; lo que desaparece es la parte que más mantenimiento pide.
Enlace de afiliado. Flowmatic recibe una comisión si contratas tras hacer clic, sin coste adicional para ti.
Lo que tienes que tener montado
- Informar al recoger el número. En el formulario, en el pie del chat o en el primer mensaje: quién eres, para qué vas a usarlo y dónde está tu política de privacidad.
- Consentimiento separado para lo comercial. Una casilla distinta, sin premarcar, y guardando cuándo y cómo se dio. Si no puedes demostrarlo, no lo tienes.
- Salida fácil en cada envío comercial. Un «responde BAJA para dejar de recibir esto» y, muy importante, que esa baja se procese de verdad y sin que nadie tenga que acordarse.
- Avisar si responde un bot. No hace falta un aviso legal aparatoso, basta con que se entienda que quien contesta es un sistema y que hay forma de hablar con una persona.
- Plazo de conservación definido. Las conversaciones no se guardan para siempre por defecto. Decide cuánto tiempo y automatiza el borrado.
Si contesta una IA, cambian algunas cosas
Meter un modelo de lenguaje a responder por WhatsApp añade tres cuestiones que no existían con un bot de menús clásico.
- Transparencia. El usuario tiene que poder saber que habla con un sistema automático. No hace falta un aviso legal solemne; basta con presentarlo con claridad en el primer mensaje y ofrecer paso a una persona.
- A dónde va el texto. Si usas un modelo alojado fuera de la UE, las conversaciones de tus clientes salen de Europa. Eso hay que documentarlo, y conviene mirar si el proveedor usa tus datos para entrenar: muchos lo hacen por defecto en los planes de consumo y no en los de empresa.
- Decisiones automatizadas. Si el sistema solo informa y deriva, no hay problema. Si deniega algo —una cita, un presupuesto, una devolución— sin que intervenga nadie, entras en terreno de decisiones automatizadas y el usuario tiene derecho a intervención humana. La solución sencilla es que la IA proponga y una persona confirme lo que tenga consecuencias.
Una medida técnica que vale por diez páginas de política. Antes de mandar la conversación al modelo, pasa el texto por un nodo que elimine lo que no hace falta para responder: DNI, números de tarjeta, direcciones completas. El modelo contesta igual de bien y el dato sensible nunca sale de tu sistema. Es minimización aplicada, y es de lo poco que reduce riesgo de verdad en lugar de solo documentarlo.
Qué pasa si te reclaman
La imagen de la multa millonaria no es la realidad de una pyme. Lo habitual es esta secuencia:
- Alguien presenta una reclamación ante la AEPD, normalmente porque pidió la baja y siguió recibiendo mensajes.
- La Agencia te traslada la reclamación y te da plazo para responder y para arreglarlo.
- Si respondes, acreditas qué ha pasado y demuestras que has corregido el fallo, muchos expedientes se archivan o acaban en apercibimiento.
- Si ignoras el trámite o el incumplimiento es sistemático, ahí sí llega la sanción económica.
Lo que más pesa en tu favor es poder demostrar: enseñar el registro de consentimiento con su fecha, el registro de la baja y qué hiciste al recibirla. Una empresa con esos registros ordenados sale de casi cualquier reclamación; una que solo puede decir «nosotros creemos que sí lo aceptó» no tiene defensa. Por eso todo este artículo insiste tanto en guardar cuándo y cómo: no es burocracia, es tu prueba.
Preguntas frecuentes
¿Puedo usar WhatsApp normal o necesito la API oficial?
Legalmente, lo que importa es cómo tratas los datos, no qué versión uses. Ahora bien, automatizar sobre WhatsApp normal suele implicar herramientas no oficiales que incumplen las condiciones de Meta y acaban con el número bloqueado. Perder el número de la empresa un lunes por la mañana es un problema mayor que cualquier multa hipotética.
¿Vale el consentimiento del formulario web para escribirle por WhatsApp?
Depende de qué dijera. Si informaste de que ibas a contactar por WhatsApp para atender su solicitud, sí. Si el texto solo hablaba de email, estás usando un canal que él no esperaba. La solución es sencilla: nombrar el canal en la información que das al recoger el dato.
Un cliente me pide que borre sus datos. ¿Qué borro?
Todo lo que no tengas obligación de conservar por otro motivo, y en todos los sistemas, no solo en el principal. Es el punto donde falla casi todo el mundo: se borra del CRM y el número sigue en la herramienta de mensajería, en la hoja de cálculo del comercial y en el histórico del chatbot. Merece la pena montar el borrado como un flujo que recorra todos los sitios.
¿Cuándo necesito a un especialista de verdad?
Si por WhatsApp circulan datos de salud —clínicas, centros médicos, fisioterapia—, si tratas con menores, si haces campañas masivas a listas grandes, o si ya has recibido una reclamación. En esos casos el coste de un asesoramiento puntual es muy inferior al de equivocarse.
¿Automatizar WhatsApp sin sustos?
Montamos el flujo con el consentimiento bien recogido, la baja funcionando de verdad y el borrado recorriendo todos los sistemas. No somos asesores legales, y cuando tu caso pide uno te lo decimos.
Para la parte técnica del canal tienes la guía de WhatsApp Business API, y para el RGPD aplicado al resto de tus automatizaciones, RGPD para pymes que automatizan.
