Con millones de usuarios activos en todo el mundo, es normal que las empresas hayan decidido usar WhatsApp para comunicarse tanto de manera interna como con sus clientes. Sin embargo, no debemos olvidar qué dice la normativa de protección de datos respecto al uso de este tipo de aplicaciones para llevar a cabo comunicaciones internas o comerciales. Por este motivo, vamos a dedicar este artículo a explicar cómo cumplir con la ley de protección de datos en WhatsApp para empresas.
En este artículo hablamos de:
¿Qué datos personales recoge WhatsApp?
WhatsApp, ya sea su versión Business (para el uso profesional de empresas, autónomos y otras entidades) o su versión Messenger (para uso doméstico), recoge toda una serie de datos personales de sus usuarios que, al interactuar con otros usuarios de la app (formen o no parte de sus contactos), ya sea de forma individual o a través de grupos, quedan expuestos. Así mismo, esos datos pueden ser compartidos con terceros.
Por todo ello es importante saber cuáles son esos datos, especialmente para las empresas que van a usar esta app para comunicarse con sus empleados y/o clientes y así poder cumplir con la ley de protección de datos en WhatsApp.
Así, los datos personales que recoge WhatsApp (cedidos tanto por el usuario como por terceros) son los siguientes:
- Número de teléfono
- Nombre de perfil
- Foto de perfil (opcional)
- Agenda de contactos (si bien no se identifica a los usuarios que no usan la app)
- Estados (opcional)
- Datos sobre uso y registro al usar la app
- Modelo de dispositivo
- Sistema operativo
- Navegador
- Red
- Operador o proveedor de servicios de internet
- Dirección IP
- Identificador asignado
- Localización si la compartimos con otros usuarios
Así mismo, hay que tener en cuenta que cuando se agrega a un usuario a un grupo de WhatsApp, se puede estar compartiendo su número de teléfono, su nombre de perfil y, en su caso, su foto de perfil.
¿Cómo cumplir LOPD y RGPD en WhatsApp?
La ley de protección de datos (LOPD y RGPD) permite el uso de WhatsApp como medio de comunicación entre la empresa y sus clientes y entre la empresa y sus empleados a través de WhatsApp Business, siempre y cuando la empresa, como responsable del tratamiento (Meta será la encargada) cumpla con los requisitos que establece la ley para poder garantizar la privacidad de los datos de sus clientes y empleados (que veremos más adelante).
En cualquier caso, a la hora de usar WhatsApp de acuerdo a la LOPD y el RGPD, las empresas deben tener en cuenta las siguientes consideraciones:
- La licitud del tratamiento se podrá establecer en el consentimiento explícito de los interesados (siempre en el caso de los clientes) o en el interés legítimo de la empresa (en el caso de los empleados).
- El teléfono del administrador del grupo deberá ser propiedad de la empresa, quien deberá haber implementado las medidas técnicas y organizativas necesarias para garantizar la seguridad y confidencialidad de los datos.
- Se informará a los interesados del tratamiento de sus datos y de la finalidad, en este caso, el envío de mensajes a través de la aplicación (por ejemplo, en el caso de un grupo que reúna a los empleados, informar el tipo de comunicaciones que se realizarán a través de WhatsApp).
- Si se usa como canal de comunicación entre los empleados, el grupo deberá crearlo un responsable de la empresa. Además, si los números de teléfono de los empleados son números privados, deberá recabarse el consentimiento de estos para unirlos al grupo y los trabajadores podrán revocar el consentimiento para estar en el grupo en cualquier momento.
Asimismo, es recomendable que si se utiliza WhatsApp como vía de comunicación con los empleados, se haga como un medio informativo, es decir, para transmitir la información general a la plantilla y no para realizar comunicaciones individuales.
Se recomienda no usar WhatsApp para compartir datos personales o información confidencial entre la empresa y sus clientes o sus empleados, puesto que el control de estos dependerá de la política de privacidad en WhatsApp, quedando así fuera de las manos de la empresa.
Cabe señalar que si en la empresa, son los propios trabajadores quienes crean los grupos para comunicarse entre ellos o con el empleador, la empresa no tendrá que aplicar ninguna medida específica de la LOPD y el RGPD sobre WhatsApp, ya que estaríamos hablando de un uso particular de la app por parte de los empleados, que utilizarán WhatsApp Messenger.
¿Cómo pasar datos personales por WhatsApp?
Si queremos cumplir con la LOPD y el RGPD al usar WhatsApp, hay, cómo decíamos, una serie de requisitos que debemos cumplir a la hora de pasar datos personales por WhatsApp y comunicarnos tanto con nuestros clientes como con nuestros empleados.
Es importante que las empresas cumplan con estos requisitos para WhatsApp y protección de datos si quieren evitar denuncias y posibles sanciones (puesto que ya hay varias resoluciones de la AEPD en la que se ha sancionado a empresas por añadir a grupos de WhatsApp tanto a clientes como empleados sin contar con su consentimiento o cualquier otra base jurídica que lo legitimara).
- Informa a tus clientes y/o empleados: A la hora de usar WhatsApp de acuerdo al RGPD y la LOPD para comunicar con nuestros clientes debemos tener en cuenta:
- En primer lugar, se debe constatar la licitud del tratamiento (usar los datos personales, en este caso el número de móvil, para contactar con el cliente a través de la app), tal y como se recoge en el artículo 6 del RGPD. En este caso, será lícito usar WhatsApp si el interesado (el cliente) ha dado su consentimiento para ello o si es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales.
- En segundo lugar, se debe cumplir con las indicaciones del artículo 13 del RGPD, informando a los interesados de la identidad del responsable del tratamiento, la finalidad del tratamiento y la legitimación del tratamiento, los destinatarios de los datos (que en este caso son la empresa y WhatsApp), qué derechos amparan a los interesados, en caso de haberlo, los datos de contacto del delegado de protección de datos y un enlace a la política de privacidad de la empresa.
- Esta información se debe ofrecer en el primer mensaje que abra la conversación, en lo que se conoce como la primera capa informativa. WhatsApp Business dispone de una API que permite implementar diferentes funciones, incluida una que permite obtener el consentimiento de los usuarios antes de empezar a interactuar con ellos a través de la app.
- Respecto a la comunicación con empleados a través de WhatsApp, ya hemos visto que cuando es el empleador quien crea el grupo, debe informar previamente a los trabajadores, para que puedan aceptar o no unirse al mismo. Además, se debe incluir la misma primera capa de información en el primer mensaje o mensaje de bienvenida, tal y como describimos para las comunicaciones con clientes.
- Recaba el consentimiento expreso para usar WhatsApp: Como ya hemos adelantado, para que una empresa pueda usar WhatsApp como medio de comunicación con sus clientes o empleados debe recabar el consentimiento expreso de estos para ello. A lo que debemos sumar, en el caso de las comunicaciones comerciales a través de WhatsApp, los requisitos recogidos en el artículo 21 de LSSI-CE:
- No se podrá usar WhatsApp para enviar comunicaciones publicitarias o promocionales si el destinatario no ha dado su consentimiento expreso para ello o no lo ha solicitado previamente.
- Se permiten en caso de que haya una relación contractual previa, siempre que se haya obtenido de forma lícita y haga referencia a productos o servicios similares a los ya contratados con la empresa.
- Ofrecer la posibilidad al destinatario de oponerse al tratamiento de sus datos con fines comerciales, de forma sencilla y gratuita, tanto en el momento de solicitar el consentimiento como en cualquiera otra de las comunicaciones enviadas.
- Asegura la confidencialidad de los datos: Al usar WhatsApp como medio de comunicación entre empresa y clientes y/o empleados, se debe garantizar en todo momento la confidencialidad de los datos personales que manejan a través de ella. Esto es importante cuando la app se emplea para comunicaciones comerciales, ya que es esencial asegurarse de que ni clientes ni empleados comuniquen datos personales en las conversaciones y, en caso de hacerlo, borrarlos tan rápido como sea posible. La comunicación con clientes a través de WhatsApp siempre debe ser dentro de un contexto profesional y no emplear para ello los teléfonos personales de los empleados. En cuanto a la comunicación con empleados, se aplican los mismos principios, no compartir información personal o datos personales (más allá de los que emplea la app) en las conversaciones del grupo. Se debe reforzar la idea de que es un canal para comunicaciones relacionadas con el trabajo y no para hablar con los compañeros.
- Implanta medidas de seguridad sobre los datos que se envían y almacenan: Es responsabilidad de la empresa implantar las medidas de seguridad necesarias que garanticen la protección de datos al usar WhatsApp, en concreto, las medidas referentes a la custodia de los teléfonos móviles usados para estas comunicaciones y en los que se almacenan los datos personales de clientes y empleados. Habrá que llevar a cabo un análisis de riesgos sobre el uso de WhatsApp para determinar qué riesgos existen para los datos personales de clientes y empleados y poder establecer las medidas de seguridad necesarias para mitigarlos.
- Atiende y responde a las solicitudes de derechos ARSULIPO: Como en cualquier tratamiento de datos personales, la empresa debe atender cualquier solicitud referente a los derechos de acceso, rectificación, supresión, limitación u oposición que reciba respecto a los datos tratados al usar WhatsApp para comunicarse con clientes y empleados. Para dar curso a estas solicitudes, el responsable del tratamiento deberá ponerse en contacto con WhatsApp, informar sobre el derecho que se desea ejercer, poniendo en copia del correo a la persona que ha hecho la solicitud.
Modelo consentimiento en grupos de WhatsApp
A continuación os facilitamos un modelo de consentimiento para grupos de WhatsApp, que podéis usar para recabar el consentimiento de clientes o para empleados que utilicen su teléfono particular para las comunicaciones con la empresa.
Este consentimiento puede recabarse mediante un documento firmado o a través de un formulario web. En ambos casos se deberá facilitar toda la información relativa al responsable del tratamiento, la finalidad y legitimidad del tratamiento, los destinatarios de los datos (WhatsApp Ireland Limited) y la vía para ejercer los derechos ARSULIPO (así mismo, en el formulario web debería facilitarse un enlace a la política de privacidad).
Cabe señalar que WhatsApp Business cuenta con una API que permite obtener el consentimiento de los usuarios antes de interactuar con ellos a través de la app; se puede configurar un mensaje de bienvenida en el que se incluya toda la información que hemos enumerado en el párrafo anterior, así como la posibilidad de que el usuario no acepte estas comunicaciones vía WhatsApp.
En definitiva, siguiendo las recomendaciones de los puntos anteriores, vuestra empresa podrá cumplir con la protección de datos en WhatsApp, tanto si es para comunicarte con tus clientes como si lo usas para comunicarte con tus empleados. Y si se producen cambios en la normativa que afecten a este uso de la app, os mantendremos informados.