Un tratamiento de datos que nadie ha revisado.
WhatsApp es la plataforma de comunicación más utilizada en España. También el canal de tratamiento de datos personales más desregulado del tejido empresarial español. La AEPD lleva años sancionando su uso indebido — desde 300 euros hasta 70.000 euros. Este análisis examina las obligaciones reales que impone el RGPD, las resoluciones sancionadoras publicadas y las medidas concretas que debe adoptar cualquier empresa que use WhatsApp de forma profesional.
Más del 91% de los españoles usa WhatsApp. Es la aplicación instalada en prácticamente todos los teléfonos del país — el del autónomo, el del director de RRHH, el del fontanero, el del médico. Y esa omnipresencia ha creado un hábito que se extiende sin fricciones desde lo personal hasta lo profesional: el mismo canal que usamos para enviar fotos de vacaciones es el que usamos para coordinar una obra, enviar un parte médico, gestionar pedidos de clientes o comunicar decisiones laborales a empleados.
El problema no es WhatsApp en sí mismo. El problema es que ese uso profesional implica tratamiento de datos personales — y el RGPD no distingue entre un canal informal y uno corporativo. Las obligaciones son exactamente las mismas.
1. Por qué WhatsApp es un tratamiento de datos personales
Cuando abres WhatsApp en tu teléfono y escribes a un cliente, estás accediendo como mínimo a su número de teléfono móvil. Ese número es un dato personal en el sentido del artículo 4.1 del RGPD — identifica a una persona física. Si tiene foto de perfil, accedes también a su imagen. Si comparte su ubicación, a sus datos de geolocalización. Si le envías o recibes documentos, esos documentos pueden contener datos de terceros.
Pero el tratamiento no termina ahí. Cuando instalas WhatsApp, la aplicación accede a toda tu agenda de contactos y sube esos metadatos a los servidores de Meta. Cada persona que aparece en tu agenda — aunque no tenga WhatsApp, aunque no lo sepa — tiene sus datos transferidos a una empresa estadounidense. Eso es una transferencia internacional de datos personales sujeta al artículo 46 del RGPD.
📌 Definición operativa: el RGPD define tratamiento de datos personales como "cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos automatizados o no" (art. 4.2). Abrir, leer, enviar o almacenar un mensaje que contiene información sobre una persona identificable es tratamiento. No hace falta que sea una base de datos estructurada.
La empresa que usa WhatsApp para comunicarse profesionalmente se convierte en responsable del tratamiento (art. 4.7 RGPD) de los datos que procesa a través de esa plataforma. Meta, como propietaria de la infraestructura que procesa esos mensajes, actúa como encargada del tratamiento (art. 4.8 RGPD). Y esa relación responsable-encargado tiene consecuencias jurídicas muy concretas.
2. Las cinco capas del problema jurídico
El uso de WhatsApp en entornos profesionales genera infracciones potenciales en cinco áreas diferenciadas del RGPD. No son alternativas — son acumulativas. Una empresa puede incumplir todas simultáneamente.
Cualquier tratamiento de datos personales requiere una base legal del artículo 6.1 RGPD. En el contexto de WhatsApp con clientes, la base habitual es la ejecución de un contrato o el interés legítimo. El problema es que casi ninguna empresa lo ha documentado, y en el caso de empleados, el uso de su teléfono personal requiere consentimiento explícito, que no puede presumirse del mero uso de la herramienta.
Art. 6.1 RGPD — Licitud del tratamientoEl artículo 28 RGPD exige que cuando un responsable del tratamiento usa los servicios de un tercero que accede a datos personales, exista un contrato escrito de encargado del tratamiento (DPA por sus siglas en inglés). WhatsApp Business ofrece estos términos como parte de sus condiciones de servicio para empresas — pero WhatsApp Messenger personal no los incluye de forma equivalente. Una empresa que usa el WhatsApp personal de un empleado para gestionar datos de clientes carece de ese contrato.
Art. 28 RGPD — Encargado del tratamientoLos servidores de Meta están principalmente en Estados Unidos. La transferencia de datos personales a EE.UU. requiere garantías adecuadas conforme al artículo 46 RGPD — habitualmente, Cláusulas Contractuales Tipo (CCT) adoptadas por la Comisión Europea. WhatsApp Business incluye estas cláusulas en su DPA. WhatsApp personal no proporciona el mismo nivel de garantías documentadas para uso profesional.
Arts. 44-49 RGPD — Transferencias internacionalesEl artículo 32 RGPD exige medidas de seguridad técnicas y organizativas proporcionales al riesgo. Un teléfono personal mezclado con el uso profesional implica: ausencia de política de borrado seguro, acceso compartido con terceros (familiares, reparaciones), copias de seguridad no controladas (iCloud, Google Backup) y ausencia de inventario de los datos tratados. La AEPD ha sancionado específicamente la mezcla de uso personal y profesional.
Art. 32 RGPD — Seguridad del tratamientoClientes y empleados deben ser informados de que sus datos son tratados a través de WhatsApp, con qué finalidad, durante cuánto tiempo y qué derechos tienen. El artículo 13 RGPD exige esta información en el momento de la recogida de los datos — es decir, antes o en el momento de la primera comunicación por WhatsApp. Prácticamente ninguna política de privacidad corporativa en España menciona WhatsApp como canal de tratamiento.
Art. 13 RGPD — Información al interesado3. Las sanciones reales: lo que la AEPD ya ha resuelto
La AEPD lleva años resolviendo reclamaciones relacionadas con WhatsApp. No es una amenaza futura — es una realidad documentada con resoluciones públicas accesibles en su web. A continuación, los casos más relevantes ordenados por importe:
(70.000 - reducción) Añadir a empleada a grupo WhatsApp con móvil personal durante sus vacaciones, sin consentimiento ni dispositivo corporativo Art. 6.1 RGPD
→ AEPD
→ PS-00505-2023
→ AEPD
→ AEPD
→ AEPD
→ PS-00365-2023
→ AEPD 2018
⚠️ Argumento que la AEPD rechaza expresamente: la "costumbre inveterada". En múltiples resoluciones, empresas han alegado que el uso de WhatsApp personal era la práctica habitual desde hace años, que los empleados lo aceptaban tácitamente y que nadie había resultado perjudicado. La AEPD es contundente: ninguna práctica habitual puede eximir del cumplimiento del RGPD. "Basta con que se produzca un tratamiento de datos sin base legal para que exista una infracción sancionable", independientemente del daño real.
4. WhatsApp Business no es la solución mágica — pero es el punto de partida
Existe un malentendido frecuente: creer que instalar WhatsApp Business resuelve el problema de cumplimiento. No es cierto. WhatsApp Business es una condición necesaria, no suficiente. Lo que hace WhatsApp Business que el WhatsApp personal no hace:
5. La cuestión de los grupos: el error más sancionado
Los grupos de WhatsApp son el escenario de incumplimiento más frecuente y más sancionado. El problema no es el grupo en sí — es lo que implica:
Cuando añades a alguien a un grupo de WhatsApp, estás realizando al menos tres acciones con consecuencias jurídicas diferenciadas: (1) tratas el número de teléfono de esa persona sin haberle comunicado que la ibas a añadir; (2) expones ese número a todos los demás miembros del grupo, que no tenían ninguna relación con esa persona — esto es una cesión de datos personales a terceros sin base legal; y (3) expones potencialmente la foto de perfil, la descripción personal y otros metadatos de la persona a todos los miembros.
⚠️ Caso ilustrativo verificado — PS-00365-2023: el presidente de una comunidad de propietarios compartió en el grupo de WhatsApp de la comunidad una conversación privada y un recibo bancario de otro propietario sin su consentimiento. Resultado: 2.000 euros de multa. El razonamiento de la AEPD es aplicable a cualquier empresa: el grupo de WhatsApp no es un espacio informal ajeno al RGPD — es un canal de tratamiento de datos personales exactamente igual que el email corporativo.
6. El marco completo de cumplimiento: lo que debe tener una empresa
7. Una nota sobre el INCIBE y la posición oficial
El Instituto Nacional de Ciberseguridad (INCIBE), organismo público de referencia en España, ha publicado una guía oficial en la que establece explícitamente que "las empresas o autónomos que decidan apostar por esta herramienta de mensajería instantánea deberán utilizar WhatsApp Business". Esta recomendación no es una obligación legal en sentido estricto — ningún precepto del RGPD ni de la LOPDGDD menciona WhatsApp Business por su nombre. Pero es la señal más clara de la posición oficial española: usar WhatsApp personal para comunicaciones profesionales es, en la práctica, indefendible ante una inspección.
✓ Conclusión práctica: el uso de WhatsApp en la empresa no es ilegal. Es perfectamente compatible con el RGPD si se hace correctamente. Lo que es incompatible es el uso sin documentación, sin base legal, sin informar a los interesados y con mezcla de uso personal y profesional en el mismo dispositivo. La diferencia entre ambos escenarios es la diferencia entre una empresa conforme y una empresa sancionada.
¿Tu empresa usa WhatsApp con clientes o empleados?
En Artico Consultores revisamos el uso que hace tu empresa de WhatsApp y otros canales de mensajería, documentamos la base legal, actualizamos tu política de privacidad y preparamos el protocolo de uso interno. Todo en un servicio integrado de adecuación al RGPD.
Escríbenos por WhatsApp