WhatsApp Business en Perú: consentimiento, spam y derechos ARCO

La Ley 29733 de Protección de Datos Personales regula cómo las empresas recopilan y usan datos de personas en Perú. Su nuevo reglamento, aprobado por el Decreto Supremo 016-2024-JUS, reemplazó al de 2013 y rige desde el 31 de marzo de 2025.

La Ley 29733 exige que el consentimiento sea previo, informado, expreso e inequívoco (art. 13.5). Si hay datos sensibles, además debe constar por escrito (art. 13.6). La persona puede revocarlo en cualquier momento, con los mismos requisitos con que lo dio.

• Datos sensibles: el reglamento incluye los datos genéticos o biométricos, neuronales, emocionales, la vida afectiva o familiar, la afiliación sindical y la salud física o mental.
• Publicidad (reglamento, art. 26): lícita con consentimiento obtenido directamente del titular. Admite un único primer contacto para pedirlo; si no acepta, no puedes volver a contactarlo.
• Código del Consumidor (Ley 32323): solo admite la publicidad por mensajes masivos a quien te contactó por iniciativa propia y consintió. No reconoce el primer contacto, así que evita las conversaciones comerciales en frío.
• Mensajería no institucional: las apps o cuentas no institucionales que use tu equipo deben estar aprobadas y formalizadas; atender desde el WhatsApp personal de un vendedor es un riesgo.

El titular puede ejercer los derechos de información, acceso, rectificación, cancelación y oposición; el nuevo reglamento suma la portabilidad. Los plazos se cuentan en días hábiles desde el día siguiente al pedido.

Cómo atender estos pedidos por WhatsApp

1. Reconoce el pedido aunque no use términos legales ("bórrenme", "no me escriban más"). Si un Agente IA atiende el chat, que lo derive a una persona.
2. Valida la identidad sin pedir datos de más: que escriba desde el número registrado ayuda.
3. Registra la fecha de recepción. Plazo: 20 días hábiles para acceso y 10 para rectificar, cancelar u oponerse.
4. Responde por el mismo canal si la persona lo prefiere y aplica la baja en WhatsApp, CRM y listas de campañas.

Perú no trabaja con una lista de exclusión: parte de la prohibición. El Código del Consumidor prohíbe usar call centers, llamadas, SMS o mensajes electrónicos masivos para promover productos, con una sola excepción basada en el consentimiento.

Si un cliente te escribe por WhatsApp desde un anuncio o tu web, pídele ahí el consentimiento para promociones y guárdalo con fecha y texto: esa es la vía que el Código acepta. Para cobrar, Meta solo admite recordatorios a tus propios clientes (plantillas de cobranza).

Son dos permisos que se suman: la ley de Perú regula tus datos y tu contacto comercial; la Business Messaging Policy de WhatsApp (23/9/2026), el uso de la plataforma, y deja en tus manos que el opt-in cumpla la ley local.

La ley peruana va más allá del opt-in de Meta: el consentimiento para publicidad debe nacer de un contacto que inició el consumidor, y la baja debe ser tan sencilla como el alta. Un número de una base comprada no cumple, aunque Meta no lo detecte.

Cómo captar y probar un opt-in que sirva para ambas capas: opt-in de WhatsApp en LATAM. Uno débil termina en reportes, caída de calidad y sanciones.

1. No inicies conversaciones comerciales en frío: espera a que el consumidor te escriba.
2. Pide consentimiento libre, previo, informado, expreso e inequívoco para promociones y guarda la prueba.
3. Para datos sensibles (salud, biometría), obtén el consentimiento por escrito.
4. Incluye en cada plantilla de marketing una baja sencilla y gratuita, y aplícala de inmediato.
5. Inscribe tus bancos de datos en el Registro Nacional de Protección de Datos Personales.
6. Responde acceso en 20 días hábiles y rectificación, cancelación u oposición en 10.
7. En recordatorios de pago, evita las 20:00 a 07:00 h, los fines de semana y los feriados.
8. Revisa si debes designar un Oficial de Datos Personales.