LGPD en WhatsApp: lo que la empresa puede y no puede hacer

Opt-out: cómo registrarlo y por qué es definitivo

El titular puede revocar el consentimiento en cualquier momento, y la revocación debe ser tan fácil como fue la aceptación. En WhatsApp, rara vez llega con la palabra correcta: llega como “no quiero más recibir”, “deja de mandar”, “sácame de ahí” o simplemente un bloqueo.

Tres exigencias operativas:

1. Registrar en el registro, no en la memoria del atendiente. La negativa debe convertirse en un campo en el contacto, visible para todos. Si está en un post-it o en la cabeza de quien atendió, el próximo envío incluirá a esa persona — y ahí no es descuido, es reincidencia documentada.

2. Bloquear envíos futuros, no solo el próximo. La negativa vale para campañas siguientes, para otro atendiente y para el año que viene. Una buena herramienta impide el envío automáticamente; sin eso, alguien va a errar.

3. Separar negativa de campaña de negativa total. Quien pidió no recibir promoción sigue teniendo derecho a los mensajes operativos de su contrato — factura, cita, entrega. Tratar todo como bloqueo absoluto perjudica al propio cliente.

Y el punto que hace la diferencia en una eventual fiscalización: guarde la fecha y el contenido de la solicitud. Demostrar que la negativa fue registrada y respetada es lo que separa una falla puntual de una práctica irregular.

Por cuánto tiempo guardar la conversación

La LGPD no da un plazo en días. Da un criterio: el dato se mantiene el tiempo necesario para la finalidad que justificó la recolección, y luego se elimina — salvo cuando otra norma obliga a guardarlo.

Traduciendo para la operación de quien vende por WhatsApp:

• Conversación de venta que no cerró — mantenga mientras haya expectativa comercial real. Doce a veinticuatro meses es una política común y defendible, siempre que esté escrita.
• Conversación de cliente activo — mientras dure la relación, más el plazo legal aplicable a documentos y obligaciones del contrato.
• Audio, foto y documento enviados en el chat — el punto más descuidado. Aquí aparecen documentos personales, comprobantes y, en algunos sectores, información de salud, que es dato sensible y tiene protección reforzada. Si su negocio recibe este tipo de material por WhatsApp, necesita un tratamiento propio, no una carpeta de medios acumulando años.

Lo esencial es tener una política escrita, aunque sea corta. Plazo indefinido es lo mismo que guardar para siempre — y guardar para siempre aumenta el daño de cualquier incidente futuro.

Quién del equipo puede ver qué

Gran parte del riesgo real no está en la ley, está en el dispositivo. Mientras la atención ocurre en celulares personales, su empresa tiene base de clientes dispersa en dispositivos que no controla, con respaldo en nubes personales y, cuando alguien se va, una conversación que sigue en el bolsillo de un ex empleado.

Tres medidas resuelven la mayor parte de esto:

Atención en número de la empresa, con acceso individual por atendiente. Cada persona entra con su propio login, y el historial queda con la empresa.

Acceso proporcional a la función. Quien atiende necesita ver sus conversaciones; no necesita exportar toda la base.

Rutina de desvinculación. Revocar acceso el mismo día debería ser tan automático como recoger la llave de la oficina — y casi nunca es.

Qué exigir al proveedor del CRM

En la estructura de la ley, quien decide las finalidades del tratamiento es el controlador — su empresa. El proveedor de la herramienta es operador: trata los datos en su nombre. Esto no transfiere la responsabilidad, pero define lo que debe estar en el contrato:

• Cláusula de tratamiento de datos describiendo finalidad, alcance y obligaciones de cada parte.
• Dónde se almacenan los datos y qué subprocesadores participan.
• Plazo y forma de eliminación cuando termine el contrato — y la garantía de exportación del historial antes de eso.
• Compromiso de notificación de incidente, con plazo definido. Si hay filtración, la comunicación a la ANPD y a los titulares es obligación del controlador: usted debe saber rápido.
• Control de acceso y registro de actividad, para poder demostrar quién accedió a qué.

Proveedor que no responde estas cinco preguntas por escrito es un riesgo que usted asume junto — y es una conversación que vale la pena tener antes de firmar, no después del incidente.

Las tres solicitudes más comunes y cómo responder

“¿Qué datos tienen sobre mí?” El titular tiene derecho a confirmación y acceso. La LGPD prevé respuesta inmediata en formato simplificado y, cuando la declaración es completa, plazo de hasta quince días. Tener las conversaciones centralizadas convierte esto en una búsqueda de dos minutos; con el historial disperso en celulares, se vuelve una semana de trabajo.

“Borrad mis datos.” Existe derecho a eliminación, con excepciones: dato que la empresa debe mantener por obligación legal o para ejercer derechos en proceso puede preservarse. La respuesta correcta casi nunca es “borramos todo” ni “no podemos borrar nada” — es explicar qué fue eliminado, qué se mantuvo y por qué.

“No quiero más recibir mensajes.” Revocación de consentimiento. Registre, bloquee envíos promocionales y confirme a la persona que se hizo. La confirmación cierra el asunto y evita la siguiente queja.

Vale saber la consecuencia del otro lado: las sanciones previstas en la ley van desde advertencia hasta multa de hasta 2% de la facturación de la empresa en Brasil, limitada a R$ 50 millones por infracción. Para la empresa pequeña y mediana, sin embargo, el daño más probable no es la multa — es la queja pública, el bloqueo del número por el propio WhatsApp y la pérdida de un canal de ventas entero.

Errores que crean riesgo real

• Comprar lista y disparar. No hay base legal, y el número suele ser bloqueado antes de cualquier discusión jurídica.
• No registrar el origen del contacto. Sin esto, no hay forma de demostrar regularidad.
• Tratar opt-out como preferencia del atendiente. La negativa es dato del registro, no un acuerdo informal.
• Guardar medios para siempre. Documentos y comprobantes acumulados por años aumentan el daño de cualquier incidente.
• Atención en celular personal. Base de clientes fuera del control de la empresa, y sin rutina de desvinculación.
• Contrato de proveedor sin cláusula de datos. La responsabilidad sigue siendo suya, pero sin ninguna obligación del otro lado.

Por dónde empezar esta semana

Agregue un campo de origen en el registro y comience a llenarlo en cada contacto nuevo. Escriba, en una página, la política de guarda: cuánto tiempo mantiene conversación de lead que no cerró, de cliente activo y de medios recibidos. Centralice la atención en un número de la empresa con acceso individual, y cree la rutina de revocar acceso en la desvinculación.

Por último, revise la base actual: separe quién entró por formulario, quién es cliente, quién llamó primero y quién vino de un origen que no sabe explicar. Ese último grupo es donde está el riesgo — y limpiarlo cuesta mucho menos que descubrir su tamaño en una queja.

Preguntas frecuentes