Datos de tus clientes en WhatsApp: lo que la Ley 1581 te pide en Colombia

Un negocio que vende por WhatsApp guarda nombres, teléfonos, direcciones, a veces cédulas y comprobantes de pago. Eso es tratamiento de datos personales, y en Colombia lo regula la Ley 1581 de 2012 (la ley de habeas data), con su Decreto 1377 de 2013. Esta guía explica, sin lenguaje de abogado, qué te pide y cómo cumplirla sin frenar las ventas. No reemplaza la asesoría de un abogado para tu caso.

Los principios en una tabla

La autorización: cómo obtenerla en WhatsApp

Cuando un cliente te escribe para comprar, tratar sus datos para atender ese pedido es parte natural de la relación. Lo que sí necesita autorización clara es usarlos para enviarle publicidad después. Formas prácticas:

• Un mensaje al inicio: «Al continuar aceptas nuestra política de tratamiento de datos: [enlace]. ¿Quieres recibir novedades y promociones por WhatsApp?». Su «sí» queda en el chat.
• El formulario de tu página con una casilla de autorización, que guarda fecha, IP y texto aceptado.
• En la tienda física, un registro con firma o un formulario digital.

Lo que no sirve: bases compradas, números «conseguidos» o suponer que porque alguien te escribió una vez acepta campañas para siempre. Además de ilegal, es lo que hace que bloqueen tu número.

La política de tratamiento de datos

Toda empresa que trate datos debe tener una política escrita y accesible (en tu página web, por ejemplo) que diga quién es el responsable, qué datos recoge, para qué, cómo ejercer los derechos y cuánto tiempo los conserva. Y un aviso de privacidad corto que remita a ella. Encantia, por ejemplo, la publica en encantia.co/politica-privacidad.

Los derechos del cliente

Cualquier persona puede pedirte: conocer qué datos tienes de ella, actualizarlos, rectificarlos, suprimirlos y revocar la autorización. Debes tener un canal para esas solicitudes (un correo, por ejemplo) y responder en los plazos de la ley: las consultas en 10 días hábiles y los reclamos en 15. Un «Responde BAJA y no te escribimos más» en tus campañas es, en la práctica, una revocación: respétala de inmediato.

Datos sensibles y menores

Salud, biometría, origen, creencias, vida sexual, afiliación sindical y política son datos sensibles: su tratamiento es opcional para la persona y exige autorización explícita. Si vendes servicios de salud o estética por WhatsApp, esto te aplica de lleno. Los datos de menores de edad tienen protección reforzada.

Tu equipo y la base de datos

El riesgo más común no es un hacker: es el asesor que se va con los contactos en su celular personal. La ley te pide acceso restringido y confidencialidad; en la práctica eso significa:

• Un usuario por persona, con rol, en vez de un celular compartido.
• Que los chats y los datos vivan en el sistema de la empresa, no en teléfonos personales.
• Poder quitar el acceso a alguien el día que se va, sin perder nada.
• Registro de quién vio y escribió qué.

Es una de las razones de fondo para pasar de WhatsApp en el celular a un CRM con la conexión oficial.

Registro Nacional de Bases de Datos

Las sociedades y entidades sin ánimo de lucro con activos superiores a cierto monto (definido en UVT por el Decreto 090 de 2018) deben inscribir sus bases de datos en el RNBD de la Superintendencia de Industria y Comercio. Si tu empresa está cerca de ese umbral, confírmalo con tu contador o abogado.

Qué pasa si no cumples

La Superintendencia de Industria y Comercio es la autoridad. Puede imponer multas, ordenar la suspensión del tratamiento y hasta el cierre de operaciones relacionadas con los datos. Las quejas suelen empezar por un cliente molesto con mensajes que no pidió.

Lista práctica para un negocio que vende por WhatsApp

1. Política de tratamiento de datos publicada y aviso de privacidad.
2. Autorización para publicidad guardada por cliente (en el chat o en un formulario).
3. Un correo para consultas y reclamos, y respuesta en plazo.
4. Opción de baja en toda campaña, aplicada de inmediato.
5. Datos en el sistema de la empresa, con usuarios y roles.
6. Proveedores (CRM, correo, pagos) con compromiso de confidencialidad y datos separados por empresa.
7. Cuidado especial con cédulas, comprobantes y datos de salud.