Habeas data en WhatsApp: escribe a tus clientes con su autorización.

Qué es el habeas data y por qué aplica a tu WhatsApp

La Ley 1581 de 2012 desarrolla el derecho de toda persona a conocer, actualizar y rectificar la información que se haya recogido sobre ella en bases de datos. Se aplica a los datos personales de cualquier base de datos de entidades públicas o privadas (artículo 2). El nombre y el celular de un cliente son datos personales, y la lista de contactos de tu WhatsApp o de tu CRM es una base de datos.

La ley distingue dos papeles (artículo 3). El responsable del tratamiento decide sobre la base de datos: es tu empresa. El encargado trata los datos por cuenta del responsable, como el proveedor de software donde guardas tus contactos. Pedir la autorización y conservar la copia es un deber del responsable (artículo 17).

La autorización: previa, expresa e informada

La ley define la autorización como el consentimiento previo, expreso e informado del titular (artículo 3) y pide obtenerla por un medio que se pueda consultar después (artículo 9). El Decreto 1377 de 2013, hoy compilado en el Decreto 1074 de 2015, acepta tres formas en su artículo 2.2.2.25.2.4: por escrito, de forma oral o mediante conductas inequívocas del titular. El silencio nunca cuenta como autorización. Y el artículo 2.2.2.25.2.5 te obliga a conservar la prueba.

Qué le tienes que informar a la persona

Al pedir la autorización, el artículo 12 de la ley te obliga a decirle, de forma clara:

• Qué vas a hacer con sus datos y para qué.
• Que no está obligada a responder preguntas sobre datos sensibles ni sobre datos de niños, niñas y adolescentes.
• Cuáles son sus derechos: conocer, actualizar y rectificar sus datos, pedir prueba de la autorización, saber qué uso les has dado, quejarse ante la Superintendencia de Industria y Comercio (SIC), revocar la autorización o pedir que los suprimas, y consultarlos gratis (artículo 8).
• El nombre, la dirección y el teléfono de tu empresa.

Ojo con los datos de salud: son datos sensibles (artículo 5). Un consultorio o una clínica necesita autorización explícita para tratarlos (artículo 6) y debe avisar que la persona no está obligada a darlos.

Un ejemplo para pedirla por WhatsApp

El momento más limpio es cuando el cliente te escribe primero: el chatbot de bienvenida pide la autorización antes de seguir. Un texto de partida, para ajustar con tu abogado:

Con dos botones, “Sí, autorizo” y “No”, el bot le pone al contacto la etiqueta que corresponde. La conversación queda guardada y la puedes exportar en PDF si algún día necesitas mostrar la prueba.

Política de tratamiento y registro de bases de datos

Tu empresa necesita una política de tratamiento de datos (artículo 17, literal k, de la ley). El artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 dice qué debe incluir como mínimo:

• Nombre o razón social, domicilio, dirección, correo y teléfono del responsable.
• El tratamiento que se hará con los datos y su finalidad.
• Los derechos del titular.
• La persona o el área que atiende peticiones, consultas y reclamos.
• El procedimiento para ejercer esos derechos.
• La fecha en que entra en vigencia y el periodo de vigencia de la base de datos.

Pon el enlace a la política en la bienvenida del bot o en la descripción de tu perfil de WhatsApp. Además, si tu empresa es una sociedad o una entidad sin ánimo de lucro con activos totales de más de 100.000 UVT, o una entidad pública, debe inscribir sus bases de datos en el Registro Nacional de Bases de Datos que administra la SIC (artículo 2.2.2.26.1.2 del mismo decreto).

Plazos para consultas y reclamos

Si alguien te pregunta por WhatsApp qué datos tienes de él, es una consulta: tienes 10 días hábiles para responder, prorrogables hasta 5 días hábiles más si le avisas el motivo (artículo 14). Si pide corregir o borrar sus datos, es un reclamo: 15 días hábiles, prorrogables hasta 8 (artículo 15). Cómo organizar estos casos con número y fecha límite está en PQRS por WhatsApp.

Horarios y frecuencia: la Ley 2300 de 2023

La Ley 2300 de 2023, conocida como la ley “dejen de fregar”, rige desde el 10 de octubre de 2023. Nació para la cobranza, pero su artículo 5 la extiende a los mensajes publicitarios que una empresa envía por SMS, mensajería por aplicaciones o web (como WhatsApp), correo o llamadas.

El incumplimiento lo sancionan la Superintendencia Financiera y la SIC, según sus competencias (artículo 9). En la práctica, responder lo que el cliente te preguntó encaja en la excepción del artículo 8; una campaña no: va dentro del horario de la ley y con una forma fácil de darse de baja.

Las reglas de Meta para escribir por WhatsApp

Además de la ley, WhatsApp tiene sus reglas. La Política de Mensajería de WhatsApp Business, actualizada el 23 de septiembre de 2026 y consultada el 15 de octubre de 2026, dice que solo puedes escribirle a quien te dio su número y aceptó que lo contactes, que debes respetar todas las solicitudes de no recibir más mensajes y que debes cumplir las leyes aplicables.

La guía de Meta sobre el consentimiento agrega que el permiso debe decir con claridad el nombre de tu empresa y que la persona acepta recibir sus mensajes. Lo puedes pedir en tu sitio web, por SMS, por teléfono o en persona, y Meta recomienda pedirlo por tipo de mensaje (avisos de pedido, ofertas). La persona también puede dejar de recibir tu marketing desde WhatsApp o bloquearte; si eso se repite, baja la calidad de tu número y Meta puede limitar tus envíos. Más sobre esto en cómo evitar que bloqueen tu WhatsApp.

Cómo llevarlo a la práctica en Omniia

1. 1Registra la autorización. Crea la etiqueta “Autorizó WhatsApp” y un campo de fecha “Fecha de autorización” en los contactos. Si importas una base desde Excel, carga solo a quienes autorizaron y ponles la etiqueta al importar.
2. 2Pídela en la bienvenida. Un chatbot con botones pide la autorización y le pone la etiqueta al contacto según lo que responda.
3. 3Arma las campañas con la etiqueta. Incluye solo a quienes tienen “Autorizó WhatsApp” y excluye siempre a “No contactar”. Omniia te muestra cuántos contactos entran antes de enviar.
4. 4Usa la ventana horaria. Cada campaña tiene días, franja y zona horaria, y puede saltar los festivos. Como cada campaña tiene una sola franja, una forma simple de quedar dentro del horario de la Ley 2300 es enviar de lunes a sábado entre 8:00 a. m. y 3:00 p. m.
5. 5Atiende las bajas. Cuando alguien escriba “no me manden más mensajes”, ponle la etiqueta “No contactar”. Con una automatización por eventos puedes crear una tarea para el responsable de datos cada vez que se agrega esa etiqueta.
6. 6Controla el acceso. Usa los roles y la visibilidad por departamento. Supervisores y agentes no pueden exportar contactos a menos que les des ese permiso.
7. 7Deja que Meta te ayude. Si una persona le pidió a WhatsApp no recibir tu marketing, Meta rechaza el envío; al reenviar una campaña, Omniia salta esos contactos.

Para las campañas, mira envíos masivos por WhatsApp; para el bot de bienvenida, el chatbot para WhatsApp.