Enviar mensajes masivos por WhatsApp puede ser perfectamente legal, y también puede terminar en una denuncia ante la autoridad de protección de datos. La diferencia no está en la extensión o el programa que uses, sino en tres cosas muy concretas: de dónde salieron esos números, si la persona puede pedirte que pares en cualquier momento, y si eres capaz de demostrar lo anterior con papeles. Aquí tienes qué exige la normativa en España y en los principales países de América Latina, qué cuenta como consentimiento válido, hasta dónde llega el «interés legítimo» del que todo el mundo habla, y qué conviene guardar antes de pulsar enviar.
La respuesta corta: no es la herramienta, es la lista
Ninguna ley de habla hispana prohíbe «enviar muchos mensajes». Lo que regulan las leyes de protección de datos es tratar datos personales, y un número de teléfono lo es. En el momento en que copias 800 números a una hoja de cálculo y los usas para promocionar algo, ya estás tratando datos personales con fines comerciales. Eso no es ilegal por sí mismo: es una actividad que necesita una base legal, una información previa y una vía de salida para el destinatario.
Dicho de otra forma: dos personas pueden usar exactamente el mismo método de envío el mismo día. La primera escribe a 300 clientes que dejaron su número al comprar y que aceptaron recibir avisos; está dentro. La segunda compra una base de datos de 5.000 números en un grupo de Telegram y escribe a todos; está fuera, y ninguna configuración técnica va a arreglar eso.
Por eso conviene separar dos conversaciones que casi siempre se mezclan. Una es técnica: cómo llegas a mandar trescientos mensajes, si los escribes uno a uno desde el móvil o desde el navegador con una herramienta que permite escribir a un número sin guardarlo en la agenda. La otra es jurídica: si tenías derecho a escribir a esas trescientas personas. La primera pregunta no responde a la segunda, y confundirlas es el origen de casi todos los sustos.
Si escribes desde España: RGPD, LOPDGDD y también LSSI-CE
Mucha gente se queda solo con el RGPD y se olvida de que hay una segunda capa. En España se cruzan tres normas cuando mandas un mensaje comercial por WhatsApp:
El RGPD (Reglamento General de Protección de Datos) regula el tratamiento del número: necesitas una base legal, tienes que informar de quién eres y para qué usas el dato, y tienes que atender los derechos de acceso, rectificación, supresión y oposición.
La LOPDGDD (Ley Orgánica 3/2018) desarrolla el RGPD en España y aterriza cosas como la figura del delegado de protección de datos o el régimen sancionador nacional.
La LSSI-CE (Ley 34/2002, de servicios de la sociedad de la información) es la que suele pillar por sorpresa. Su artículo 21 se refiere a las comunicaciones comerciales por vía electrónica y exige, como regla general, que el destinatario las haya solicitado o autorizado previamente. WhatsApp es, sin discusión, vía electrónica. También obliga a identificar el mensaje como publicidad y a decir claramente en nombre de quién se envía.
La autoridad que investiga y sanciona en España es la AEPD (Agencia Española de Protección de Datos). En la práctica, casi todos los expedientes empiezan igual: alguien recibe un mensaje que no pidió, contesta pidiendo la baja, no le hacen caso, y presenta una reclamación desde la web de la AEPD. El expediente no nace de una inspección sorpresa; nace de un cliente molesto.
México, Argentina, Colombia y Perú: la misma pregunta, reglas distintas
Si tu lista mezcla prefijos, tu problema legal también se mezcla. Un archivo con números +34, +52 y +57 no está sujeto a una sola norma: está sujeto a varias a la vez, y la más exigente marca el ritmo.
México
Rige la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares), y la autoridad de referencia históricamente ha sido el INAI. La pieza central mexicana es el aviso de privacidad: tienes que ponerlo a disposición del titular, decir qué datos tratas, para qué, y cómo puede ejercer sus derechos ARCO (acceso, rectificación, cancelación y oposición). Si vas a usar el número para publicidad, dilo en el aviso; no lo escondas en una línea al final.
Argentina
La Ley 25.326 de Protección de los Datos Personales es la norma base. Además existe el Registro Nacional No Llame, pensado para llamadas y mensajes publicitarios no solicitados: quien se inscribe pide expresamente que no le contacten con fines de promoción. Ignorar esa lista es exactamente el tipo de conducta que genera reclamos.
Colombia
La Ley 1581 de 2012 y su decreto reglamentario exigen autorización previa, expresa e informada del titular. Hay dos detalles que se pasan por alto con frecuencia: la obligación de inscribir las bases de datos en el Registro Nacional de Bases de Datos cuando corresponde, y el Registro Nacional de Números Excluidos, conocido popularmente como «No Molestar», donde la gente pide no recibir publicidad.
Perú
La Ley 29733 de Protección de Datos Personales sigue una lógica parecida: consentimiento previo, informado, expreso e inequívoco para fines publicitarios, y derecho a revocarlo.
Añade una columna «país» y una columna «origen» a tu hoja de contactos el primer día. Cuando alguien reclame dentro de ocho meses, esa columna es la diferencia entre responder en dos minutos y no saber qué contestar.
Qué cuenta como consentimiento y qué no
Aquí es donde caen la mayoría de negocios pequeños, casi siempre de buena fe. Estos son los casos que suelen aparecer:
Vale: una casilla sin marcar que el cliente marca al comprar, con un texto que diga que va a recibir promociones por WhatsApp. Un formulario de contacto donde el propio interesado escribe su número para que le respondas. Alguien que escribe primero a tu número de negocio preguntando por un producto. Un registro presencial firmado en el que se indica el uso publicitario.
No vale: que el número aparezca públicamente en una web, una fachada o un perfil de red social; que sea público no significa que autorice publicidad. Que el cliente te diera el número hace tres años para coordinar una entrega puntual. Que alguien esté en un grupo de WhatsApp del que también eres miembro. Comprar o intercambiar bases de datos, aunque el vendedor jure que «vienen con consentimiento». Y desde luego, una casilla ya marcada por defecto.
El punto incómodo del consentimiento es que debe ser específico para el canal y para la finalidad. Que alguien acepte tu newsletter por correo no implica que acepte mensajes por WhatsApp. Son canales distintos, y en la práctica se perciben de forma muy distinta: un correo publicitario se ignora, un mensaje de WhatsApp a las nueve de la noche se vive como una intrusión.
El interés legítimo: hasta dónde llega de verdad
El interés legítimo es la base legal que más se invoca y peor se entiende. La idea general es que puedes tratar datos sin consentimiento cuando tienes un interés real y ese interés no aplasta los derechos de la persona. El caso típico y razonable: escribes a alguien que ya te compró, sobre algo directamente relacionado con lo que compró, y le das una salida clara.
Lo que no cubre el interés legítimo: contactar a personas que nunca han tenido relación contigo. Un desconocido que recibe una promoción tuya no tenía ninguna expectativa razonable de recibirla, y esa expectativa es precisamente el criterio que se valora. Si tu argumento es «me interesa vender», eso no es un interés legítimo frente a la privacidad de un tercero: es solo tu interés.
Si vas a apoyarte en esta base, documenta el análisis antes de enviar: cuál es tu interés, por qué es necesario ese tratamiento, qué impacto tiene sobre la persona y qué medidas has tomado para reducirlo. Escribirlo en una página te obliga a ser honesto contigo mismo, y sirve como prueba si alguien pregunta.
El derecho de baja: la parte que más te protege
De todas las obligaciones, la baja es la que más te conviene tomarte en serio, porque es la que evita la reclamación. Una persona que recibe algo que no pidió pero puede salir en un segundo casi nunca denuncia. Una persona que pide la baja tres veces y sigue recibiendo mensajes, sí.
- Ponlo en el propio mensaje: una línea final del tipo «Si no quieres recibir estos avisos, responde BAJA y no volveremos a escribirte».
- Que sea gratuito y sin fricción: nada de obligar a llamar por teléfono, entrar a una web con contraseña o rellenar un formulario largo.
- Procesa rápido: no lo dejes para el cierre de mes. Cuanto más tarde, peor pinta tiene.
- Guarda una lista de exclusión permanente: el número que pidió baja no vuelve a entrar, ni siquiera si mañana lo importas otra vez desde otra hoja.
- Cruza esa lista antes de cada envío: el error más común es reimportar un archivo antiguo y volver a escribir a quien ya se dio de baja.
Ese último punto es el que arruina campañas enteras. Si trabajas con listas que se actualizan cada mes, conviene que la depuración sea parte del proceso de envío y no un paso manual que alguien olvida. Al preparar el envío, aprovecha para revisar la columna de exclusiones en la misma pasada: es el único momento en que tienes la lista delante.
Qué registros conviene guardar
La palabra clave del RGPD es responsabilidad proactiva: no basta con cumplir, hay que poder demostrarlo. Traducido a una pyme que vende por WhatsApp, esto es un archivo, no un departamento jurídico.
Guardar esto no es paranoia. Es lo único que convierte una reclamación en un trámite de veinte minutos en vez de un problema abierto.
Las normas de WhatsApp son otra capa, aparte de la ley
Aunque cumplas la normativa de tu país al milímetro, sigues estando sujeto a las condiciones de la plataforma, y esas se aplican por su cuenta. WhatsApp no revisa tu base legal: mira el comportamiento. Ráfagas de mensajes idénticos, tasa alta de bloqueos por parte de quienes los reciben, denuncias como spam, cuentas nuevas que empiezan enviando a cientos de números. Ese patrón termina en restricción de la cuenta sin que ninguna autoridad haya intervenido.
Y ocurre lo contrario también: un envío técnicamente impecable, con pausas largas y mensajes personalizados, puede seguir siendo ilegal si los números salieron de una base comprada. Cumplir la ley y sobrevivir a la plataforma son dos exámenes distintos y hay que aprobar los dos.
Antes de una campaña grande, depura los números que ni siquiera tienen cuenta de WhatsApp. Escribir a líneas inexistentes no vulnera ninguna ley, pero infla tu tasa de fallo y ensucia la señal que la plataforma ve. Comprobarlo con una verificación previa de la lista de números te ahorra ese ruido.
Cuando el contenido cambia las reglas
No todos los mensajes masivos son publicidad, y la clasificación importa. Un aviso de que el pedido salió de almacén, un recordatorio de una cita ya agendada o una notificación de que el servicio estará interrumpido el sábado son comunicaciones de servicio: derivan de una relación que ya existe y el destinatario las espera. Su tratamiento es mucho más pacífico.
El problema aparece cuando el aviso de servicio lleva un descuento pegado al final. Ahí ya es una comunicación comercial disfrazada, y ese truco es viejo y conocido. Si vas a promocionar, sepáralo: un mensaje operativo por un lado, uno comercial por otro, con su línea de baja.
Ojo también con los datos sensibles. Si tu negocio es una clínica, un laboratorio, un despacho jurídico o cualquier actividad donde el propio hecho de que alguien sea tu cliente ya revela información delicada, el listón sube bastante. Escribir «tenemos disponible tu resultado» a un número equivocado no es un error menor.
Lista de comprobación antes del primer envío
⚡ Consejos avanzados
- Identifícate en el primer mensaje: nombre comercial real, no un alias que nadie reconozca.
- Ten publicada una política de privacidad accesible, con un correo donde ejercer derechos que alguien lea de verdad.
- Segmenta por país antes de enviar: distinto marco legal, distinto huso horario, distinto tono.
- Nunca importes una lista cuyo origen no puedas explicar en voz alta ante el cliente.
- Si trabajas con un proveedor que te da los envíos hechos, pide por escrito de dónde salen los datos: la responsabilidad no se subcontrata del todo.
- Fija una revisión trimestral de tu lista de exclusiones y del texto de consentimiento. Los formularios cambian y nadie avisa.
- Si el volumen es alto o el sector es sensible, encarga una revisión a un abogado especializado en protección de datos. Es más barato que un expediente.
Preguntas frecuentes
¿Puedo escribir a números que encontré publicados en internet?
Que un número sea accesible públicamente no equivale a una autorización para enviarle publicidad. Un teléfono en la web de un comercio está ahí para que los clientes contacten con él, no para que tú lo incorpores a una campaña. Como base para un envío comercial masivo, es un terreno muy débil.
¿Sirve poner «si no quieres recibir esto, ignóralo» al final del mensaje?
No. La baja tiene que ser una acción que la persona pueda ejercer, no una omisión. Una instrucción clara del tipo «responde BAJA» funciona; pedirle que no haga nada, no.
¿Qué ley aplico si mi lista mezcla números de España y de México?
En la práctica tendrás que respetar ambas, porque cada destinatario está protegido por la norma de su jurisdicción. Lo habitual es adoptar el criterio más estricto como estándar único, o directamente separar las campañas por país. Consulta con un abogado si el volumen es relevante.
¿Los recordatorios de cita también necesitan consentimiento publicitario?
Un recordatorio de una cita que la persona ya agendó contigo es una comunicación de servicio, no publicidad, y suele tratarse bajo la relación contractual existente. Deja de serlo en el momento en que le añades una oferta.
¿Cuánto tiempo debo guardar la prueba del consentimiento?
Mientras dure el tratamiento y durante el plazo en que puedan exigirte responsabilidad por él. No hay un número único válido para todos los países y sectores, así que fija el criterio con tu asesor y déjalo escrito en tu política interna.
¿Usar la API oficial me exime de todo esto?
No. La API resuelve el lado técnico y el de las condiciones de la plataforma, con plantillas aprobadas y opt-in registrado, pero la ley de protección de datos se aplica igual. El origen del número, la información previa y el derecho de baja siguen siendo tu responsabilidad.
En resumen
La pregunta «¿es legal enviar mensajes masivos por WhatsApp?» tiene una respuesta poco emocionante: depende de tu lista, no de tu software. Si los números llegaron con una autorización clara, si el mensaje dice quién eres, si hay una salida en una línea y si guardas rastro de todo, estás en el terreno razonable en España y en la mayor parte de América Latina.
Si el archivo llegó de un tercero y nadie sabe explicar su origen, ninguna configuración de pausas, plantillas o horarios lo va a arreglar. Empieza por auditar de dónde viene cada contacto; ese ejercicio, que suele durar una tarde, resuelve el 80 % del riesgo. Y para el 20 % restante, que suele ser el que depende de tu sector, habla con un abogado.
