WhatsApp funciona para el marketing porque se siente personal. Por eso mismo molesta tanto un mensaje que nadie pidió: la gente bloquea, denuncia y, a veces, reclama ante la autoridad. Recoger bien el permiso no es papeleo añadido a la campaña. Es lo que mantiene sano tu número y hace que tu lista valga algo.
Se aplican dos conjuntos de reglas a la vez: las políticas de Meta, que deciden si puedes seguir usando WhatsApp, y la ley del lugar donde estás tú y están tus clientes. Esta guía repasa ambos para marcas que venden en España, el resto de la UE y Latinoamérica.
Dos capas: la política de Meta y la ley
Las reglas de Meta y la normativa de protección de datos se solapan, pero no son lo mismo:
- La política de Meta fija un mínimo para cualquier empresa en WhatsApp, en cualquier país. Si la incumples, pueden limitar tus envíos o restringir tu cuenta.
- La ley decide si tu tratamiento de datos personales y tus comunicaciones comerciales son lícitos. Si la incumples, te expones a sanciones y reclamaciones.
La propia guía de Meta sobre el permiso lo dice sin rodeos: las empresas deben cumplir la ley aplicable. Cumplir el mínimo de Meta no significa cumplir la ley, ni al revés. Necesitas las dos cosas.
Qué exige Meta
La política de mensajería de WhatsApp Business (actualizada el 23 de septiembre de 2026) y la guía para desarrolladores sobre el permiso fijan las reglas básicas:
- Solo puedes escribir a alguien por WhatsApp si te ha dado su número y has recibido su permiso (opt-in).
- El permiso tiene que dejar claras dos cosas: que la persona acepta recibir mensajes tuyos por WhatsApp y el nombre de tu empresa.
- Puedes recoger el permiso por cualquier canal: tu web, un formulario, un SMS, una llamada, en tienda o en papel, siempre que cumpla esos requisitos y la ley.
- Tienes que respetar cualquier petición de baja, tanto si la persona la pide por WhatsApp como por cualquier otra vía.
- La calidad cuenta. Meta indica que limitará los envíos de las empresas cuya calidad se mantenga baja durante un tiempo. La gente puede bloquearte o denunciarte, y eso influye en lo que puedes enviar.
Meta sugiere además pedir un permiso amplio que cubra los tipos de mensaje que vas a enviar (avisos de pedido, ofertas, recomendaciones) o permisos separados por categoría, para reducir los bloqueos. En ecommerce, separarlos suele ser lo más limpio, por los motivos que verás más abajo.
Lo que el usuario puede hacer dentro de WhatsApp
El cliente no necesita contestar «baja» para dejar de recibirte. WhatsApp le da un ajuste de ofertas y anuncios (Offers and announcements) para dejar de recibir, o volver a recibir, el marketing de una empresa. Cuando lo usa, tus plantillas de marketing a esa persona fallan con el código de error 131050, y puedes recibir un webhook cuando cambia su preferencia. Además, WhatsApp puede limitar cuántas plantillas de marketing recibe una persona del conjunto de empresas cuando parece menos receptiva.
La consecuencia es práctica: una lista llena de gente que en realidad no quería tus mensajes rinde peor y cuesta más.
La categoría de la plantilla decide qué necesita permiso de marketing
Cada plantilla de WhatsApp es de marketing, utility (utilidad) o autenticación. Para el permiso, la categoría importa:
- Los mensajes utility dan seguimiento a algo que el cliente hizo o pidió: una confirmación de pedido, un aviso de envío, una devolución recibida. No pueden llevar promoción.
- Los mensajes de marketing buscan vender, dar a conocer o recuperar clientes.
- Los de autenticación llevan códigos de un solo uso.
Si una plantilla mezcla ambas cosas (un aviso de envío con un código de descuento), Meta clasifica la plantilla entera como marketing. Quien aceptó avisos de pedido no tiene por qué haber aceptado promociones. Mantén ambas cosas separadas en tus plantillas y en tus registros de permiso.
Lo que añade la ley en la UE y en España
RGPD: cómo es un consentimiento válido
Según el RGPD, el consentimiento es toda manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa (artículo 4.11). El considerando 32 añade que el silencio, las casillas ya marcadas o la inacción no constituyen consentimiento.
El artículo 7 suma tres obligaciones que condicionan cómo lo recoges:
- Tienes que poder demostrar el consentimiento. La carga de la prueba es tuya, no del cliente.
- La solicitud debe distinguirse claramente de otros asuntos, con un lenguaje claro y sencillo. Una línea escondida en tus condiciones generales no basta.
- Retirarlo tiene que ser tan fácil como darlo, y hay que informar de que se puede retirar en cualquier momento.
Aparte, el artículo 21 reconoce a cualquier persona el derecho a oponerse en todo momento a la mercadotecnia directa. Si se opone, debes dejar de usar sus datos para ese fin, y ese derecho debe mencionarse de forma explícita, a más tardar en la primera comunicación.
España: la LSSI y la AEPD
La ley española de comercio electrónico (Ley 34/2002, LSSI) prohíbe enviar comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente si el destinatario no las ha solicitado o autorizado expresamente antes (artículo 21.1). La Agencia Española de Protección de Datos (AEPD) aplica esta regla a WhatsApp: en la resolución PS/00323/2020 sancionó a una empresa por enviar mensajes promocionales por WhatsApp sin consentimiento previo.
Hay una excepción (artículo 21.2). Si existe una relación contractual previa, obtuviste los datos de contacto de forma lícita y solo promocionas productos o servicios de tu propia empresa similares a los que el cliente contrató, puedes enviarle comunicaciones comerciales sin ese consentimiento previo. Aun así, tienes que ofrecerle una forma sencilla y gratuita de oponerse al recoger los datos y en cada mensaje.
El artículo 22.1 añade que la persona puede revocar su consentimiento en cualquier momento con una simple notificación, y que debes habilitar procedimientos sencillos y gratuitos para hacerlo. Para las infracciones graves, como el envío masivo o insistente sin cumplir el artículo 21, la LSSI prevé multas de 30.001 € a 150.000 €.
La ley española de protección de datos (LOPDGDD, artículo 23) regula también los sistemas de exclusión publicitaria, como la Lista Robinson. Antes de hacer mercadotecnia directa debes consultar los que te afecten, salvo que la persona te haya dado su consentimiento para recibir esa comunicación.
Latinoamérica: revisa país por país
No hay una regla única para Latinoamérica. Cada país tiene su ley de protección de datos, su autoridad y su propia definición de consentimiento válido. Algunos ejemplos de lo que dicen los textos:
- Colombia. La Ley 1581 de 2012 define la autorización como el consentimiento previo, expreso e informado del titular, y exige obtenerla por cualquier medio que pueda ser objeto de consulta posterior. Dicho de otro modo: necesitas un registro.
- Argentina. La Ley 25.326 exige un consentimiento libre, expreso e informado, por escrito o por otro medio equiparable. Su artículo 27 permite pedir en cualquier momento la baja de las bases de datos con fines de publicidad.
- Chile. La Ley 21.719, publicada en diciembre de 2024, reforma el marco de protección de datos del país y entra en vigor el 1 de diciembre de 2026.
- México. El tratamiento por particulares se rige por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
Si vendes en varios países, diseña para el requisito más estricto que tengas y guarda el registro por país. Tu abogado te dirá dónde las normas locales van más allá.
Cómo recoger un permiso que se sostenga
El patrón que funciona en todos los mercados es el mismo: una acción explícita, un texto claro y un registro.
- En el checkout: una casilla propia, sin marcar, para el marketing por WhatsApp, junto al campo del teléfono. Nombra tu empresa y el tipo de mensajes.
- En un formulario o una landing: el mismo texto y un paso de confirmación en el propio WhatsApp. Cuando la persona te envía el primer mensaje, además sabes que el número es suyo.
- En el chat: un botón o una palabra clave («Sí, quiero ofertas») después de una conversación de atención. Pregunta, no des por hecho. Quien te escribió por un pedido no ha aceptado recibir promociones.
- En tienda: un código QR que abre un chat con un mensaje ya escrito y, después, la pregunta del permiso.
Un ejemplo de solicitud clara:
«Quiero recibir ofertas y novedades de [Marca] por WhatsApp. Puedo darme de baja cuando quiera respondiendo BAJA.»
Cómo demostrar el permiso
El artículo 7.1 del RGPD y el «medio que pueda ser objeto de consulta posterior» de la ley colombiana apuntan a lo mismo: guarda pruebas. Para cada contacto, registra:
| Qué registrar | Para qué |
|---|---|
| El número y el identificador de la persona | Quién dio el permiso |
| Fecha y hora | Cuándo |
| Método y lugar (checkout, URL del formulario, botón en el chat, palabra clave, tienda) | Cómo |
| El texto exacto que aceptó, con el nombre de tu empresa | Qué aceptó |
| Qué categorías (marketing, avisos de pedido) | Alcance |
| Cada cambio posterior: baja, oposición, reactivación | Estado actual |
Guarda las versiones antiguas de tus textos de permiso. Si cambias la redacción en marzo, necesitas saber qué versión aceptó una persona en enero.
Frecuencia y bajas
Tener permiso no te autoriza a escribir tanto como quieras. Algunas pautas:
- Pon fácil la baja en cada mensaje de marketing, por ejemplo con un botón de respuesta rápida como «No quiero ofertas» y una línea corta que lo explique.
- Atiende cualquier petición de baja, la formule como la formule y por el canal que sea, y sincronízala con tus otras herramientas para que esa persona no vuelva a entrar por otra lista.
- Escucha las señales: bloqueos, denuncias y lecturas a la baja indican que envías demasiado o a quien no toca.
- Quita los contactos que nunca interactúan. Suman coste y bloqueos, y no aportan nada a tu calidad.
Lista de comprobación
- Separa los avisos de pedido del marketing, en las plantillas y en el permiso.
- Usa un texto claro que nombre tu empresa y WhatsApp, con una casilla sin marcar o una acción explícita.
- Guarda quién, cuándo, cómo, qué texto y qué categorías, y cada cambio posterior.
- Ofrece una baja sencilla y gratuita en cada mensaje de marketing y respétala en todas partes.
- En España, decide si te apoyas en el consentimiento o en la excepción del artículo 21.2 de la LSSI, y revisa los sistemas de exclusión publicitaria.
- En Latinoamérica, confirma las reglas país por país.
- Revisa tu configuración con un abogado antes de la primera campaña.
Dónde encaja Kanesh
En Kanesh, cada permiso se guarda con el texto exacto que aceptó la persona y cómo lo dio. La base legal sigue siendo responsabilidad tuya; nosotros te ayudamos a conservar la prueba. Pide tu diagnóstico de conversaciones.
Fuentes
Todas las fuentes, consultadas el 29 de septiembre de 2026.
- WhatsApp Business, WhatsApp Business Messaging Policy (se abre en una pestaña nueva) (actualizada el 23 de septiembre de 2026; en inglés)
- Meta for Developers, Get opt-in for WhatsApp (se abre en una pestaña nueva) (en inglés)
- Meta for Developers, Marketing templates (se abre en una pestaña nueva) (en inglés)
- Meta for Developers, Per-user marketing template message limits (se abre en una pestaña nueva) (en inglés)
- Meta for Developers, Template categorization (se abre en una pestaña nueva) (en inglés)
- BOE, Reglamento (UE) 2016/679 (RGPD) (se abre en una pestaña nueva), artículos 4.11, 7 y 21 y considerando 32
- BOE, Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (LSSI) (se abre en una pestaña nueva), artículos 21, 22, 38 y 39
- BOE, Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) (se abre en una pestaña nueva), artículo 23
- AEPD, Resolución PS/00323/2020 (se abre en una pestaña nueva)
- Función Pública (Colombia), Ley 1581 de 2012 (se abre en una pestaña nueva)
- Argentina.gob.ar, Ley 25.326 de Protección de los Datos Personales (se abre en una pestaña nueva)
- Biblioteca del Congreso Nacional de Chile, Ley 21.719 (se abre en una pestaña nueva)
- Cámara de Diputados (México), Ley Federal de Protección de Datos Personales en Posesión de los Particulares (se abre en una pestaña nueva)