Con millones de usuarios activos en todo el mundo, es normal que las empresas hayan decidido usar WhatsApp para comunicarse tanto de manera interna como con sus clientes. Sin embargo, no debemos olvidar qué dice la normativa de protección de datos respecto al uso de este tipo de aplicaciones para llevar a cabo comunicaciones internas o comerciales. Por este motivo, vamos a dedicar este artículo a explicar cómo cumplir con la ley de protección de datos en WhatsApp para empresas.
Contenido del artículo
¿Es legal usar WhatsApp en una empresa?
El uso de WhatsApp en una empresa para mantener comunicaciones con clientes, proveedores o empleados no está prohibido, siempre y cuando se cumpla con el RGPD. Sin embargo, debemos ser muy cuidadosos con la información personal que compartimos y procesamos a través de la aplicación. Es fundamental informar a los interesados sobre el tratamiento de sus datos y, sobre todo, asegurarse de que WhatsApp no utilice dicha información con fines no autorizados.
De cara al cumplimiento del RGPD al usar WhatsApp en la empresa, debemos distinguir entre el uso de WhatsApp Messenger y WhatsApp Business, porque si bien el primero podemos usarlo para comunicarnos con los empleados, para las comunicaciones con clientes, debemos usar el segundo. En cualquier caso, más adelante profundizaremos más en WhatsApp Business.
¿Cómo cumplir con la protección de datos en WhatsApp?
Cumplir con la protección de datos en WhatsApp requiere que las empresas tengan en cuenta las siguientes consideraciones:
- La licitud del tratamiento se podrá establecer en el consentimiento explícito de los interesados (siempre en el caso de los clientes) o en el interés legítimo de la empresa (en el caso de los empleados).
- El teléfono del administrador del grupo deberá ser propiedad de la empresa, quien deberá haber implementado las medidas técnicas y organizativas necesarias para garantizar la seguridad y confidencialidad de los datos.
- Se informará a los interesados del tratamiento de sus datos y de la finalidad, en este caso, el envío de mensajes a través de la aplicación (por ejemplo, en el caso de un grupo que reúna a los empleados, informar el tipo de comunicaciones que se realizarán a través de WhatsApp).
- Si se usa como canal de comunicación entre los empleados, el grupo deberá crearlo un responsable de la empresa. Además, si los números de teléfono de los empleados son números privados, deberá recabarse el consentimiento de estos para unirlos al grupo y los trabajadores podrán revocar el consentimiento para estar en el grupo en cualquier momento.
- Si se utiliza WhatsApp como vía de comunicación con los empleados, se recomienda que se use solo como medio informativo, es decir, para transmitir la información general a la plantilla y no para realizar comunicaciones individuales.
- No usar WhatsApp para compartir datos personales o información confidencial entre la empresa y sus clientes o sus empleados, puesto que el control de estos dependerá de la política de privacidad en WhatsApp, quedando así fuera de las manos de la empresa.
- Si se usa WhatsApp Business, suscribir con WhatsApp un acuerdo de encargado de tratamiento, tal y como recoge el artículo 28 del RGPD.
Solo si observamos estas condiciones y cumplimos con los requisitos derivados de ellas para garantizar la privacidad de los datos, podremos usar WhatsApp en la empresa cumpliendo la ley de protección de datos (LOPD y RGPD).
Finalmente, cabe señalar que si en la empresa, son los propios trabajadores quienes crean los grupos para comunicarse entre ellos o con el empleador, la empresa no tendrá que aplicar ninguna medida específica de la LOPD y el RGPD sobre WhatsApp, ya que estaríamos hablando de un uso particular de la app por parte de los empleados, que utilizarán WhatsApp Messenger.
WhatsApp Business y RGPD
WhatsApp Business es una versión diseñada específicamente para que las empresas gestionen su comunicación con clientes de forma más profesional. Aunque ofrece funcionalidades adicionales respecto a la versión estándar, como la automatización de respuestas o la creación de catálogos de productos, también es necesario cumplir con la normativa de protección de datos, ya que los datos personales que recoge WhatsApp en ambas versiones son los mismos.
Respecto al uso de WhatsApp Business y el RGPD, debemos tener en cuenta que la empresa sigue siendo responsable del tratamiento y, por tanto, quien debe garantizar que los datos personales comunicados a través de la aplicación cumplan con la normativa, lo que incluye:
- Informar a los usuarios sobre cómo se tratarán sus datos.
- Obtener el consentimiento explícito para enviarles mensajes de marketing.
- Asegurarse de que cualquier tratamiento de datos sea transparente y limitado a los fines para los que se obtuvo el consentimiento.
Además, y cómo ya indicamos, al tratarse de un servicio que requiere la comunicación de datos personales, la empresa debe asegurarse de que WhatsApp Business cumple con su rol de encargado del tratamiento, tal y como se establece en el artículo 28.1 del RGPD:
Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado.
Actualmente, WhatsApp (que pertenece a Meta y tiene sede en Irlanda) cumple con el RGPD, por lo que al firmar el acuerdo de encargo de tratamiento, estaríamos cumpliendo con la normativa en ese aspecto.
Así mismo, es recomendable que incluso para las comunicaciones con los empleados, la empresa use la versión de WhatsApp Business, ya que facilita el cumplimiento de la normativa.
¿Cómo pasar datos personales por WhatsApp y cumplir el RGPD?
Para pasar datos personales por WhatsApp y hacerlo cumpliendo el RGPD y la LOPD, hay una serie de requisitos que cumplir, tanto si es para comunicarnos con los empleados como con los clientes:
- Informa a tus clientes y/o empleados: A la hora de usar WhatsApp de acuerdo al RGPD y la LOPD para comunicar con nuestros clientes debemos tener en cuenta:
- En primer lugar, se debe constatar la licitud del tratamiento (usar los datos personales, en este caso el número de móvil, para contactar con el cliente a través de la app), tal y como se recoge en el artículo 6 del RGPD. En este caso, será lícito usar WhatsApp si el interesado (el cliente) ha dado su consentimiento para ello o si es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales.
- En segundo lugar, se debe cumplir con las indicaciones del artículo 13 del RGPD, informando a los interesados de la identidad del responsable del tratamiento, la finalidad del tratamiento y la legitimación del tratamiento, los destinatarios de los datos (que en este caso son la empresa y WhatsApp), qué derechos amparan a los interesados, en caso de haberlo, los datos de contacto del delegado de protección de datos y un enlace a la política de privacidad de la empresa.
- Esta información se debe ofrecer en el primer mensaje que abra la conversación, en lo que se conoce como la primera capa informativa. WhatsApp Business dispone de una API que permite implementar diferentes funciones, incluida una que permite obtener el consentimiento de los usuarios antes de empezar a interactuar con ellos a través de la app.
- Respecto a la comunicación con empleados a través de WhatsApp, ya hemos visto que cuando es el empleador quien crea el grupo, debe informar previamente a los trabajadores, para que puedan aceptar o no unirse al mismo. Además, se debe incluir la misma primera capa de información en el primer mensaje o mensaje de bienvenida, tal y como describimos para las comunicaciones con clientes.
- Recaba el consentimiento expreso para usar WhatsApp: Como ya hemos adelantado, para que una empresa pueda usar WhatsApp como medio de comunicación con sus clientes o empleados debe recabar el consentimiento expreso de estos para ello (más abajo os dejamos un ejemplo de consentimiento expreso para WhatsApp). A lo que debemos sumar, en el caso de las comunicaciones comerciales a través de WhatsApp, los requisitos recogidos en el artículo 21 de LSSI-CE:
- No se podrá usar WhatsApp para enviar comunicaciones publicitarias o promocionales si el destinatario no ha dado su consentimiento expreso para ello o no lo ha solicitado previamente.
- Se permiten en caso de que haya una relación contractual previa, siempre que se haya obtenido de forma lícita y haga referencia a productos o servicios similares a los ya contratados con la empresa.
- Ofrecer la posibilidad al destinatario de oponerse al tratamiento de sus datos con fines comerciales, de forma sencilla y gratuita, tanto en el momento de solicitar el consentimiento como en cualquiera otra de las comunicaciones enviadas.
- Asegura la confidencialidad de los datos: Al usar WhatsApp como medio de comunicación entre empresa y clientes y/o empleados, se debe garantizar en todo momento la confidencialidad de los datos personales que manejan a través de ella. Esto es importante cuando la app se emplea para comunicaciones comerciales, ya que es esencial asegurarse de que ni clientes ni empleados comuniquen datos personales en las conversaciones y, en caso de hacerlo, borrarlos tan rápido como sea posible. La comunicación con clientes a través de WhatsApp siempre debe ser dentro de un contexto profesional y no emplear para ello los teléfonos personales de los empleados. En cuanto a la comunicación con empleados, se aplican los mismos principios, no compartir información personal o datos personales (más allá de los que emplea la app) en las conversaciones del grupo. Se debe reforzar la idea de que es un canal para comunicaciones relacionadas con el trabajo y no para hablar con los compañeros.
- Implanta medidas de seguridad sobre los datos que se envían y almacenan: Es responsabilidad de la empresa implantar las medidas de seguridad necesarias que garanticen la protección de datos al usar WhatsApp, en concreto, las medidas referentes a la custodia de los teléfonos móviles usados para estas comunicaciones y en los que se almacenan los datos personales de clientes y empleados. Habrá que llevar a cabo un análisis de riesgos sobre el uso de WhatsApp para determinar qué riesgos existen para los datos personales de clientes y empleados y poder establecer las medidas de seguridad necesarias para mitigarlos.
- Atiende y responde a las solicitudes de derechos ARSULIPO: Como en cualquier tratamiento de datos personales, la empresa debe atender cualquier solicitud referente a los derechos de acceso, rectificación, supresión, limitación u oposición que reciba respecto a los datos tratados al usar WhatsApp para comunicarse con clientes y empleados. Para dar curso a estas solicitudes, el responsable del tratamiento deberá ponerse en contacto con WhatsApp, informar sobre el derecho que se desea ejercer, poniendo en copia del correo a la persona que ha hecho la solicitud.
Es importante que las empresas cumplan con estos requisitos para usar WhatsApp de acuerdo al RGPD y la LOPD y evitar denuncias y posibles sanciones(puesto que ya hay varias resoluciones de la AEPD en la que se ha sancionado a empresas por añadir a grupos de WhatsApp tanto a clientes como empleados sin contar con su consentimiento o cualquier otra base jurídica que lo legitimara).
Cómo decíamos más arriba, para cumplir la ley de protección de datos en WhatsApp, así como la LSSI, es necesario recabar el consentimiento de clientes y, los casos que hemos visto, de los empleados, lo que podéis hacer usando (con las correspondientes ediciones), este modelo de consentimiento en grupos de WhatsApp.
Este consentimiento puede recabarse mediante un documento firmado o a través de un formulario web. En ambos casos se deberá facilitar toda la información relativa al responsable del tratamiento, la finalidad y legitimidad del tratamiento, los destinatarios de los datos (WhatsApp Ireland Limited) y la vía para ejercer los derechos ARSULIPO (así mismo, en el formulario web debería facilitarse un enlace a la política de privacidad).
Cabe señalar que WhatsApp Business cuenta con una API que permite obtener el consentimiento de los usuarios antes de interactuar con ellos a través de la app; se puede configurar un mensaje de bienvenida en el que se incluya toda la información que hemos enumerado en el párrafo anterior, así como la posibilidad de que el usuario no acepte estas comunicaciones vía WhatsApp.
En definitiva, siguiendo las recomendaciones de los puntos anteriores, vuestra empresa podrá cumplir con la protección de datos en WhatsApp, tanto si es para comunicarte con tus clientes como si lo usas para comunicarte con tus empleados. Y si se producen cambios en la normativa que afecten a este uso de la app, os mantendremos informados.
