Actualizado el 25/10/2026
Para usar WhatsApp conforme a la LGPD, la Ley General de Protección de Datos de Brasil, la empresa necesita una base legal para cada finalidad de mensaje, informar al cliente sobre el uso de sus datos, atender pedidos de baja y de eliminación y conservar las conversaciones solo el tiempo necesario. Meta suma sus propias reglas: opt-in claro con el nombre de la empresa, respeto a toda solicitud para dejar de recibir mensajes y prohibición de compartir datos de las conversaciones. Este artículo explica cómo encajan las dos capas y cómo implementarlas en tu sistema.
Un aviso antes de empezar: este texto es informativo y no reemplaza la orientación de un abogado ni del encargado de protección de datos de tu empresa.
Dos reglas a la vez: la ley y la política de Meta
Quien envía mensajes por la API de WhatsApp responde a dos reglas distintas que se suman:
| Capa | Quién la define | Qué exige | Consecuencia del incumplimiento |
|---|---|---|---|
| LGPD (Ley 13.709/2018) | Ley federal brasileña, fiscalizada por la ANPD (autoridad nacional de protección de datos) | Base legal, transparencia, derechos del titular, seguridad | Sanciones administrativas, incluidas multas |
| Política de Mensajes de WhatsApp Business | Meta | Opt-in, opt-out, uso restringido de los datos de las conversaciones | Restricciones de envío, bloqueo del número o de la cuenta |
Cumplir una no garantiza la otra. Un opt-in genérico puede bastar para Meta y aun así no cumplir la LGPD, y viceversa. En la API oficial de WhatsApp (Cloud API), tu empresa toma las decisiones sobre los datos (es el «controlador», en los términos de la ley). La página de privacidad y seguridad de datos de la Cloud API indica que Meta actúa como procesador en nombre de la empresa, en la medida en que la ley aplicable reconozca ese rol.
Base legal: no todo mensaje necesita consentimiento
El art. 7 de la LGPD enumera diez supuestos que autorizan el tratamiento de datos personales. El consentimiento es solo uno de ellos. En el WhatsApp de una empresa, cuatro aparecen con más frecuencia:
| Tipo de mensaje | Base legal más común (art. 7) | Observación |
|---|---|---|
| Confirmación de pedido, seguimiento, copia de factura | Ejecución de contrato (inciso V) | El mensaje es parte del servicio contratado |
| Comprobante fiscal, aviso exigido por norma | Obligación legal o regulatoria (inciso II) | Depende de la norma del sector |
| Ofertas, novedades, campañas | Consentimiento (inciso I) o interés legítimo (inciso IX) | Requiere análisis caso por caso |
| Cobranza de deuda vencida | Contrato (V) o protección del crédito (X) | Cuida el tono y la frecuencia |
Dos observaciones. Primero, elegir la base legal es una decisión documentada del controlador, no una etiqueta que se pone después para justificar el envío. Segundo, si usas el interés legítimo, el art. 10 te limita a los datos estrictamente necesarios y exige medidas de transparencia, y el art. 37 pide un registro de las operaciones, «especialmente cuando se basa en el interés legítimo».
Los datos sensibles cambian las reglas. Salud, religión, origen racial, vida sexual y biometría son datos personales sensibles (art. 5, II), y el art. 11 exige consentimiento «de forma específica y destacada» u otro supuesto propio de ese artículo. Clínicas y laboratorios que envían resultados o recordatorios de citas deben considerarlo desde el diseño del flujo.
Consentimiento: qué pide la ley y cómo probarlo
Cuando la base es el consentimiento, la LGPD fija el estándar en el art. 5, XII: una manifestación «libre, informada e inequívoca» para «una finalidad determinada». El art. 8 agrega que:
- puede darse por escrito o por otro medio que demuestre la voluntad del titular;
- si forma parte de un contrato, debe ir en una cláusula destacada;
- el controlador debe probar que obtuvo el consentimiento correctamente (§ 2);
- las autorizaciones genéricas son nulas (§ 4);
- puede revocarse en cualquier momento, mediante un procedimiento gratuito y sencillo (§ 5).
Los requisitos de Meta son parecidos, pero más simples. La página Get opt-in for WhatsApp pide dejar claro que la persona acepta recibir comunicaciones, dejar claro el nombre de la empresa y cumplir la ley aplicable. Meta recomienda opt-ins separados por categoría de mensaje (pedidos, ofertas, recomendaciones), lo que encaja con la exigencia de finalidad determinada de la LGPD.
En la práctica, una casilla desmarcada por defecto, con texto específico, resuelve las dos capas:
«Quiero recibir ofertas de Tienda Ejemplo por WhatsApp. Puedo cancelar cuando quiera respondiendo BAJA.»
La carga de la prueba es lo que más pesa en el sistema. Guarda el registro de la aceptación junto al contacto:
{
"wa_id": "5511999999999",
"consentimientos": [
{
"finalidad": "marketing",
"base_legal": "consentimiento",
"origen": "checkout_sitio",
"texto_mostrado": "Quiero recibir ofertas de Tienda Ejemplo por WhatsApp. Puedo cancelar cuando quiera respondiendo BAJA.",
"version_politica": "2026-09",
"aceptado_en": "2026-10-12T14:32:10-03:00",
"revocado_en": null
}
]
}Guardar el texto exacto y la versión de la política de privacidad evita discusiones sobre qué aceptó exactamente la persona. El artículo sobre cómo armar una lista opt-in muestra formas de captar ese consentimiento en el sitio, en el checkout y en la propia conversación.
Opt-out: revocar debe ser tan fácil como aceptar
La LGPD garantiza la revocación «mediante procedimiento gratuito y facilitado» (art. 8, § 5) y la incluye entre los derechos del titular (art. 18, IX). La Política de Mensajes de WhatsApp Business va en la misma línea: la empresa debe respetar todas las solicitudes, dentro y fuera de WhatsApp, de quien ya no quiere recibir mensajes.
En el sistema, eso significa tratar al menos cuatro vías de salida:
- Botón en la plantilla. Un botón de respuesta rápida como «No quiero ofertas». El webhook llega con
type: "button"y el texto enbutton.text. - Texto libre. Mensajes como «baja», «stop», «sair» o «parar» (en portugués, «salir» y «parar»). Normaliza el texto y compáralo con una lista de palabras.
- Configuración del propio WhatsApp. El usuario puede detener el marketing de la empresa desde la app. Los envíos posteriores vuelven en el webhook de estado como
failedcon el error131050, según la documentación de plantillas de marketing. - Fuera de WhatsApp. Correo, teléfono, formulario de privacidad, pedido al agente. Todos deben llegar a la misma base.
Un tratamiento mínimo en Node.js para los tres primeros:
const PALABRAS_SALIDA = ['baja', 'stop', 'sair', 'parar', 'cancelar'];
function normalizar(t) {
return t.toLowerCase().normalize('NFD').replace(/[̀-ͯ]/g, '').trim();
}
export function tratarMensaje(msg, db) {
const texto =
msg.type === 'text' ? msg.text.body :
msg.type === 'button' ? msg.button.text : '';
if (PALABRAS_SALIDA.includes(normalizar(texto))) {
db.revocarConsentimiento(msg.from, 'marketing', new Date());
return { responder: 'Listo, ya no recibirás ofertas. Los mensajes sobre tus pedidos continúan.' };
}
}
export function tratarEstado(status, db) {
if (status.status === 'failed' && status.errors?.[0]?.code === 131050) {
db.revocarConsentimiento(status.recipient_id, 'marketing', new Date());
}
}Fíjate en la respuesta: salir del marketing no tiene por qué cortar los avisos de pedido, que tienen otra base legal. Déjalo claro al cliente. Una baja que no se respeta se convierte en reclamos y bloqueos, y los bloqueos afectan la calidad del número.
Conservación: cuánto tiempo guardar las conversaciones
La LGPD no fija un plazo único. El art. 15 dice que el tratamiento termina cuando se alcanza la finalidad, cuando vence el período acordado, cuando el titular lo pide o cuando la ANPD lo determina. El art. 16 ordena eliminar los datos después, con excepciones como el cumplimiento de una obligación legal o regulatoria.
Del lado de Meta, la página de privacidad de la Cloud API informa que los mensajes tienen un período máximo de conservación de 30 días en la infraestructura de Meta, para funciones como el reenvío. El historial de largo plazo, por lo tanto, queda en tu sistema, y la política de conservación es tuya.
Una forma práctica de organizarlo:
| Dato | Ejemplo de regla | Por qué |
|---|---|---|
| Registro de consentimiento y de revocación | Conservar mientras exista la relación y el tiempo necesario para probarlo | Carga de la prueba del art. 8, § 2 |
| Conversaciones de atención | Plazo definido por el área legal según el sector | Finalidad de soporte y defensa de derechos |
| Archivos recibidos (documentos, fotos) | Eliminar o anonimizar al terminar la finalidad | Suelen contener datos sensibles |
| Contactos que pidieron eliminación | Eliminar datos, conservar solo lo necesario para no volver a contactarlos | Art. 18, VI y art. 16 |
Los plazos concretos dependen del sector y de otras leyes. Defínelos con el área legal y automatiza la limpieza con una tarea programada.
Buenas prácticas que Meta ya exige
La Política de Mensajes de WhatsApp Business tiene reglas que refuerzan la LGPD y valen para cualquier empresa en la API:
- No usar los datos de las conversaciones para otros fines, ni reenviar o compartir información de una conversación con terceros.
- No pedir números completos de tarjetas de pago, de cuentas financieras ni de documentos de identidad por el chat.
- Ofrecer un camino hacia un humano cuando la atención es automatizada, con escalamiento claro y directo.
- Mantener datos de contacto de soporte en el perfil de WhatsApp Business.
Si usas un chatbot con IA en WhatsApp, estas reglas también se aplican a lo que el modelo pide y a lo que se envía al proveedor de IA.
Seguridad e incidentes
El art. 46 de la LGPD exige medidas de seguridad técnicas y administrativas contra accesos no autorizados, desde el diseño del producto. En WhatsApp, los puntos de fuga más comunes son tokens de API expuestos en repositorios, paneles de atención con acceso demasiado amplio y cuentas de agentes compartidas. La guía de seguridad de la cuenta business de WhatsApp cubre el PIN, los permisos y las estafas.
Si ocurre un incidente que pueda causar riesgo o daño relevante a los titulares, el art. 48 obliga a comunicarlo a la ANPD y a los afectados. El Reglamento de Comunicación de Incidentes de Seguridad de la ANPD (Resolución CD/ANPD n.º 15/2024) fija un plazo de tres días hábiles.
El riesgo es concreto: el art. 52 prevé advertencia, bloqueo y eliminación de los datos, suspensión del tratamiento y multa de hasta el 2 % de la facturación en Brasil, con un tope de R$ 50 millones (reales brasileños) por infracción.
Checklist de LGPD para el WhatsApp de la empresa
- Base legal definida y registrada para cada tipo de mensaje.
- Política de privacidad que menciona WhatsApp, la finalidad y los derechos del titular (art. 9).
- Consentimiento por finalidad, con texto, fecha y origen guardados.
- Botones y palabras de baja tratados automáticamente, y el error
131050leído como opt-out. - Pedidos hechos fuera de WhatsApp llegando a la misma base.
- Plazo de conservación definido y tarea de limpieza en marcha.
- Encargado de datos designado y contacto publicado (art. 41).
- Acceso al panel y a los tokens limitado a quien lo necesita.
Cómo hacerlo con Vectalk
Vectalk es un proxy de la WhatsApp Cloud API oficial de Meta: los webhooks que llegan a tu sistema son los de Meta, con los mismos campos usados arriba (button.text, statuses[].errors). Puedes registrar todas las URL que necesites por instancia con POST /api/webhooks y consultar el historial con GET /api/messages, filtrando por fecha, estado y dirección, para alimentar tu política de conservación. Los detalles están en docs.vectalk.com.br. Para empezar, crea tu cuenta en apps.vectalk.com.br/register.
Lecturas relacionadas: secuencia de cobranza por WhatsApp y posventa y NPS sin molestar.
Preguntas frecuentes
¿Necesito consentimiento para enviar mensajes por WhatsApp?
No para todos. La LGPD acepta otras bases legales, como la ejecución de contrato para confirmar pedidos. Meta, en cambio, exige opt-in antes de iniciar el contacto, sea cual sea la base legal. En la práctica necesitas las dos cosas: base legal para la ley y opt-in para Meta.
¿El opt-in de Meta reemplaza el consentimiento de la LGPD?
No necesariamente. Meta acepta un opt-in general siempre que cumpla la ley local. La LGPD considera nulas las autorizaciones genéricas cuando la base es el consentimiento. Un texto específico por finalidad cumple ambas reglas.
Un cliente pidió borrar sus datos. ¿Tengo que borrar las conversaciones?
El art. 18, VI garantiza la eliminación de los datos tratados con consentimiento, con las excepciones del art. 16, como una obligación legal. Evalúa con el área legal qué se puede borrar y qué debe conservarse, y registra la decisión.
¿Meta guarda los mensajes de mi empresa?
Según la documentación de la Cloud API, los mensajes permanecen como máximo 30 días en la infraestructura de Meta, para funciones como el reenvío. El historial permanente es responsabilidad de tu sistema.
¿Este artículo sirve como dictamen legal?
No. Resume la ley y las reglas de Meta para orientar la implementación técnica. Las decisiones sobre base legal, plazos y contratos deben pasar por un abogado o por el encargado de protección de datos.
Fuentes oficiales consultadas el 25/10/2026: Ley n.º 13.709/2018 (LGPD), ANPD: comunicación de incidentes de seguridad, Política de Mensajes de WhatsApp Business (actualizada el 23/09/2026), Get opt-in for WhatsApp, Plantillas de marketing, Privacidad y seguridad de datos de la Cloud API.