WhatsApp Business en México: datos personales y publicidad

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) regula cómo las empresas privadas tratan datos de personas, incluido el número de WhatsApp. En 2025 se publicó una ley nueva que reemplazó a la de 2010.

Si tu aviso de privacidad o tus formularios todavía mencionan al INAI, actualízalos: la autoridad que nombra la ley vigente es la Secretaría Anticorrupción y Buen Gobierno.

El consentimiento puede ser expreso o tácito (art. 7). Es tácito cuando pusiste el aviso de privacidad a disposición de la persona y no se opuso, y vale como regla general salvo que una norma exija el expreso. Se puede revocar en cualquier momento.

• Aviso de privacidad (art. 15): identidad y domicilio del responsable, datos que tratas (marcando los sensibles), finalidades y medios para ejercer derechos. Enlázalo donde captas el número.
• Datos financieros o patrimoniales: requieren consentimiento expreso (art. 7).
• Datos sensibles (arts. 2 y 8): los que pueden revelar origen racial o étnico, estado de salud presente o futuro, información genética, creencias, opiniones políticas o preferencia sexual. Requieren consentimiento expreso y por escrito, con firma autógrafa, firma electrónica u otro mecanismo de autenticación.
• Biometría: la lista es enunciativa y no nombra los datos biométricos; si validas identidad con rostro o voz, trátalos como sensibles.
• Decisiones automatizadas (art. 26): la persona puede oponerse a un tratamiento automatizado sin intervención humana que afecte de manera significativa sus intereses.

En WhatsApp, un "sí, quiero recibir promociones" en el chat, con el aviso enlazado y registrado en tu CRM, es más fácil de probar que un consentimiento tácito.

Los derechos ARCO son acceso, rectificación, cancelación y oposición. La persona puede ejercerlos en cualquier momento. La ley cuenta los plazos en días hábiles, y ambos pueden ampliarse una sola vez por un periodo igual si el caso lo justifica (art. 31).

Cómo atender estos pedidos por WhatsApp

1. Reconoce el pedido aunque no use términos legales ("bórrenme", "no me escriban más"). Si un Agente IA atiende el chat, que lo derive a una persona.
2. Valida la identidad sin pedir datos de más: que escriba desde el número registrado ayuda.
3. Registra la fecha de recepción. Plazo: 20 días hábiles para comunicar la respuesta y 15 más para hacerla efectiva.
4. Responde por el mismo canal si la persona lo prefiere y aplica la baja en WhatsApp, CRM y listas de campañas.

La Ley Federal de Protección al Consumidor (LFPC) regula la publicidad que envías a consumidores por cualquier medio. Profeco lleva el Registro Público para Evitar Publicidad (REPEP), donde las personas inscriben su número telefónico.

El REPEP no evita la cobranza, que no es competencia de Profeco; la Condusef supervisa a los despachos de cobranza de entidades financieras (REDECO). En WhatsApp, además, Meta solo admite recordatorios a tus propios clientes: ver plantillas de cobranza.

Son dos permisos que se suman: la ley de México regula tus datos y tu contacto comercial; la Business Messaging Policy de WhatsApp (23/9/2026), el uso de la plataforma, y deja en tus manos que el opt-in cumpla la ley local.

La ley mexicana agrega lo que Meta no pide: aviso de privacidad antes de recolectar el dato, tus datos y los de Profeco en cada publicidad, y la exclusión de quienes están en el REPEP. Meta, por su parte, te obliga a respetar los pedidos de baja aunque lleguen fuera de WhatsApp.

Cómo captar y probar un opt-in que sirva para ambas capas: opt-in de WhatsApp en LATAM. Uno débil termina en reportes, caída de calidad y sanciones.

1. Publica un aviso de privacidad sin menciones al INAI y enlázalo donde captas el número.
2. Pide consentimiento expreso para promociones y guarda la evidencia.
3. Para datos sensibles, obtén consentimiento expreso y por escrito con autenticación.
4. Depura tu base contra el REPEP antes de cada campaña.
5. Incluye en tus plantillas de marketing tus datos de contacto y los de Profeco (art. 17 LFPC).
6. Ofrece una baja simple en cada plantilla y aplícala en todos tus sistemas.
7. Asigna un responsable de derechos ARCO con el plazo de 20 días hábiles.
8. Si eres entidad financiera, consulta también el REUS de la Condusef.