¿Necesito autorización de la LGPD para enviar un mensaje por WhatsApp?

Sí, en la práctica casi siempre: la LGPD exige una base legal para procesar el nombre y el número de un cliente en WhatsApp, y esto suele significar un consentimiento explícito o un interés legítimo justificado por una relación que ya existe: te compró, te buscó primero. Enviar un mensaje a quienes nunca han tenido contacto con su empresa, de una lista comprada a terceros, es el escenario que se vuelve más problemático. A continuación, se muestran las dos bases que se aplican al WhatsApp comercial, qué se considera una suscripción voluntaria defendible y cómo documentarla sin convertirse en burocracia.

LGPD no prohíbe WhatsApp comercial; requiere una base legal

El error más común es tratar la LGPD como una lista de prohibiciones. No dice "no se puede enviar WhatsApp a los clientes"; dice que cualquier procesamiento de datos personales (y el nombre y el número de teléfono ya son datos personales) debe basarse en una de las bases legales previstas por la ley. En la práctica del WhatsApp comercial sólo aparecen con frecuencia dos: el consentimiento y el interés legítimo. Comprender la diferencia entre ellos es lo que separa una campaña defendible de otra que se convierte en queja.

Esta guía utiliza como referencia central la guía ANPD para pequeñas empresas^[1] — pero no reemplaza el asesoramiento legal. La LGPD aplicada a un caso real cambia según el sector, la historia de la base y cómo se recogieron los datos; para decisiones que involucran grandes volúmenes o datos sensibles, vale la pena consultar a un abogado o un DPO antes de actuar.

Las dos bases legales que se aplican al WhatsApp comercial

Consentimiento explícito es la base más segura y fácil de defender: la persona dijo "sí, quiero recibir un mensaje tuyo en WhatsApp" de forma libre, informada y específica, no oculta dentro de un término de uso genérico. Puede revocarse en cualquier momento y la revocación debe ser tan fácil como dar consentimiento.

Interés legítimo es más flexible, pero también más arriesgado de aplicar solo: cubre situaciones en las que ya existe una relación y el mensaje está dentro de lo que la persona razonablemente esperaría: un cliente que compró y recibe un aviso sobre la entrega en sí, por ejemplo. El interés legítimo no es un cheque en blanco: la ley espera un análisis de proporcionalidad entre su interés comercial y los derechos del titular, y no cubre ningún mensaje, y mucho menos una oferta de un producto sin relación alguna con la compra original, enviada a quienes nunca han oído hablar de su empresa.

La tabla resume dónde tiende a encajar cada base — “tiende”, porque la valoración final siempre es caso por caso:

Situación	Base más defendible	¿Necesita una suscripción explícita?
El cliente compró y se le contacta sobre la compra en sí (entrega, factura, soporte)	Interés legítimo/ejecución del contrato	Normalmente no, pero el contenido debe estar dentro del alcance de la compra.
El cliente compró y recibe una oferta por otro producto (venta adicional, campaña)	Área gris: depende del historial y de lo que se informó durante la compra	Se recomienda el consentimiento explícito
El cliente potencial completó el formulario y marcó aceptación específica para WhatsApp	Consentimiento explícito	Sí, y ya está documentado
Contacto en frío de una lista comprada a un tercero	Sin base clara	Sí, y normalmente no hay forma de demostrarlo

¿Qué se considera una aceptación voluntaria defendible en la práctica?

Tres fuentes de contacto suelen resistir bien la verificación:

• Formulario de aceptación específica. El cliente completó un formulario (sitio web, página de destino, WhatsApp Business) y marcó una casilla de aceptación que hablaba específicamente de recibir un mensaje en WhatsApp, no una casilla genérica de "Acepto los términos de uso".
• Cliente que inició la conversación. Hizo clic en el enlace wa.me, escaneó el Código QR o envió el primer mensaje. Su iniciativa demuestra que el canal se abrió voluntariamente, pero no se trata de una licencia permanente: meses de silencio requieren sentido común antes de reabrir con una oferta.
• Cliente que compró y proporcionó el número de contacto relacionado con la compra. Confirmación de pedido, aviso de entrega, factura: el número se proporcionó para ese propósito, y usarlo para ese propósito es el uso más defendible que existe.

Un problema recurrente cuando la base crece: nadie recuerda de memoria qué contacto provino de un formulario y cuál de una lista comprada hace dos años. La solución sencilla es registrar el origen como una etiqueta en la propia conversación tan pronto como entra el contacto: el pegatinas en WhatsApp Business muestra cómo configurar esta taxonomía sin convertirse en un sistema paralelo.

Qué es riesgo: de dónde vienen los contactos que generan más quejas

• Número adquirido de una lista de terceros, sin conexión alguna con su empresa. La persona nunca ha oído hablar de ti, cualquier mensaje llega como spam y no existe base legal que respalde el envío, porque no hubo consentimiento ni relación previa.
• Scraping de números en grupos de WhatsApp o redes sociales. El número que aparece en un grupo público no se convirtió en consentimiento para recibir un mensaje privado: la persona autorizada a participar en ese grupo no puede ser contactada individualmente por alguien que ni siquiera conoce.

Ambos escenarios acumulan riesgo en dos frentes al mismo tiempo: en la LGPD, por tratamiento sin base legal; y en la política de WhatsApp, los mensajes no solicitados, los que tienen más probabilidades de convertirse en una queja (más sobre esta segunda capa más adelante). La ANPD trata a las pequeñas empresas con reglas de cumplimiento simplificadas, pero esto es un plazo y una proporcionalidad en la inspección, no una exención de responsabilidad.^[1].

Cómo documentar el consentimiento sin convertirse en burocracia

No es necesario un sistema legal sofisticado: necesita guardar tres datos para cada contacto:

1. Origen. De dónde salió el número: formulario X, campaña Y, compra del producto Z.
2. Fecha y hora de aceptación. Una simple marca de tiempo ya es una prueba: una hoja de cálculo con una columna de fecha es la solución para la mayoría de las pequeñas empresas.
3. El texto exacto de lo aceptado. "Acepto recibir noticias y promociones en WhatsApp" es diferente a aceptar términos de uso genéricos: mantén la frase específica, no solo el hecho de que "aceptaste algo".

Si posteriormente se revoca el consentimiento, regístrelo también y deje de enviar mensajes de marketing a ese contacto a partir de ese momento. Una etiqueta de “no contactar” en la propia conversación, cruzada con el origen, cubre la mayor parte de lo que una pequeña empresa necesita mostrar si se le pregunta.

Derecho a darse de baja: baja fácil y minimización de datos

La LGPD garantiza al titular el derecho a revocar el consentimiento en cualquier momento, y la regla práctica es sencilla: salir debe ser tan fácil como entrar^[1]. En WhatsApp, esto generalmente significa una palabra clave - "DETENER", "SALIR" - que elimina a la persona de la lista de mensajes de verdad, no como una formalidad decorativa en el pie de página de un mensaje que nadie procesa. Si utiliza un chatbot de palabras clave, vale la pena configurar este activador como una de las primeras respuestas automáticas del flujo.

Darse de baja de un mensaje de marketing no es lo mismo que eliminar al cliente de su sistema: si existe otra base legal para mantener el registro (factura, obligación contractual o fiscal), el registro puede seguir existiendo; lo que debe detenerse es el envío de un mensaje promocional a quienes solicitaron irse.

La otra cara de la misma moneda es la minimización de datos: conserva solo lo que necesitas al enviar mensajes. Para la mayoría de las empresas, el nombre y el número de teléfono son suficientes: pedir el CPF, la dirección completa o la fecha de nacimiento sin una finalidad clara para estos datos es un riesgo innecesario, no es un celo.

LGPD es la ley; La política de WhatsApp es otra capa: las dos cuentan por separado

Incluso con un opt-in perfecto y documentado, WhatsApp puede actuar por sí solo: la política de mensajería de Meta prohíbe el contacto masivo no solicitado y puede suspender un número debido al volumen de denuncias, sin preguntar si había una base legal detrás del envío.^[2]. Y lo contrario también es cierto: seguir la política de WhatsApp y no estar baneado no significa cumplir con la LGPD. Hay dos capas independientes: una capa legal, aplicada por una autoridad de protección de datos; Otra plataforma, aplicada por la empresa propietaria de WhatsApp. Ser limpio en uno no sustituye al otro, y cada uno castiga por un motivo diferente.

Lista de verificación antes de ejecutar la próxima campaña

• Segmentar antes de enviar mensajes. Solo aquellos que tienen una opción de suscripción identificable (formulario, conversación iniciada por él o compra relacionada) ingresan a la campaña.
• Oferta de salida en el primer mensaje de cualquier campaña nueva, con una palabra que realmente funcione.
• Nunca compre una lista ya preparada de un tercero — el costo de un informe masivo, legal o de plataforma, es mayor que el de cualquier lista.
• Revisar la base periódicamente: elimina a cualquiera que no haya respondido en meses y a cualquiera que haya pedido irse.
• Filtrar por etiqueta antes de enviar. No Activador Zapext, puedes segmentar por etiqueta y excluir aquellas marcadas como "no contactar" antes de que se realice cualquier envío masivo.

Nada en este artículo reemplaza la orientación legal: la LGPD aplicada a un caso real –especialmente cuando el fundamento utilizado es el interés legítimo– requiere un análisis específico, y la historia de la empresa también pesa en esta evaluación. Si su envío de mensajes ya tiene un volumen relevante, vale la pena revisar la base de la lista con un abogado o DPO antes de seguir creciendo. Lo que se puede resolver hoy, sin depender de nadie: etiquetar la base de datos por origen, asegurarse de que la palabra de salida realmente funcione y dejar de comprar listas ya preparadas. un Extensión Zapext ayuda a organizar este control (etiquetas, CRM Kanban y envío segmentado, desde R$ 29/mes con garantía de 7 días), pero la base legal para el envío de mensajes sigue siendo responsabilidad del remitente, no de la herramienta.

Fuentes

1. [1] Guia Orientativo — LGPD para pequenas empresas — ANPD (Autoridade Nacional de Proteção de Dados) (2022). consultado el 2026-05-19.
2. [2] WhatsApp Business Messaging Policy — WhatsApp (2024). consultado el 2026-05-19.