RGPD y marketing por WhatsApp

Dos leyes, no una

Casi todo el que pregunta por el RGPD y WhatsApp empieza preguntando por la ley equivocada. Se aplican dos, cada una se hace una pregunta distinta, y cumplir una no te exime de la otra.

El RGPD pregunta: ¿tienes una base jurídica para tratar los datos de esta persona, y puedes respetar los derechos que tiene sobre ellos? Un número de teléfono es un dato personal, y la conversación también.

La Directiva ePrivacy —transpuesta a la ley nacional de cada Estado miembro— hace una pregunta más concreta sobre el acto de enviar: ¿puedes enviar a esta persona comunicaciones comerciales electrónicas no solicitadas? Su artículo 13 las supedita al consentimiento previo. Un mensaje de marketing por WhatsApp es una comunicación comercial electrónica igual que lo son un SMS o un correo electrónico.

Por eso «nos basamos en el interés legítimo» no zanja la cuestión. Puede que el interés legítimo cubra sin problema la parte del RGPD. La norma de la Directiva ePrivacy se superpone a ella y sigue pidiendo consentimiento.

Hay una excepción reconocida, que suele llamarse soft opt-in: si obtuviste los datos de contacto en el marco de una venta a esa persona, puedes enviarle publicidad de tus propios productos similares, siempre que le ofrecieras una forma gratuita y sencilla de oponerse en el momento de la recogida y en cada mensaje. La mayoría de los Estados miembros la transpusieron, pero las condiciones varían: cuánto tiene que parecerse el producto, lo reciente que tiene que ser la venta y si se extiende a los contactos profesionales. Es más estrecha de lo que la gente querría, y la versión alemana es la más estricta.

Cómo es un consentimiento válido

La definición del RGPD es una lista corta, y casi todos los consentimientos que no se sostienen fallan en uno de estos puntos:

• Libre. No puede ser condición de un servicio que no lo necesita. «Marca la casilla para recibir ofertas por WhatsApp y poder completar tu compra» no es consentimiento.
• Específico. Consentimiento para el marketing por WhatsApp, no para «el marketing». El canal forma parte de lo que la persona acepta, y también la identidad de quien envía.
• Informado. La persona sabe quién eres, qué vas a enviar y cómo dejar de recibirlo.
• Inequívoco, mediante una clara acción afirmativa. Una casilla premarcada no lo es. El silencio no lo es. Seguir navegando no lo es.
• Tan fácil de retirar como de dar. Si darse de alta costó un toque, darse de baja no puede exigir un correo al servicio de soporte.

Meta impone su propio requisito de opt-in de forma independiente, y no es idéntico. A Meta le importa que la persona supiera que recibiría mensajes de tu empresa por WhatsApp; no prescribe cómo lo recogiste. En la práctica, un consentimiento que cumple el RGPD cumple también con Meta, y por eso merece la pena redactarlo una sola vez y bien: la redacción y la ubicación se explican aquí.

Qué tienes que poder demostrar

El RGPD te atribuye la carga de demostrar que se dio el consentimiento. Una lista de números no demuestra nada. Para cada contacto deberías poder aportar:

Una lista de exclusión no es una lista de borrado. Cuando alguien se da de baja, conservas lo mínimo necesario para mantenerlo excluido; borrar el registro por completo es justo lo que hace que la gente vuelva a importarse y reciba mensajes otra vez.

Dónde encaja Meta en tu mapa de datos

Con la Cloud API, los mensajes pasan por una infraestructura que aloja Meta. Eso convierte a Meta en encargado del tratamiento de ese contenido, y tiene consecuencias que tienes que dejar por escrito en lugar de darlas por supuestas:

• Tu registro de actividades de tratamiento tiene que mencionarlo, junto con tu proveedor de plataforma, que por lo general es el encargado del tratamiento, mientras que Meta actúa como subencargado.
• Tu política de privacidad tiene que informar de que escribirte por WhatsApp implica que Meta trata ese intercambio.
• Condiciones de tratamiento de datos. Para el tramo de Meta te amparas en las de Meta, y para el del proveedor, en las suyas. Pide el contrato de encargo del tratamiento del proveedor antes de firmar, no después.
• Las transferencias fuera del EEE forman parte de la relación con Meta y están cubiertas por el mecanismo que prevén las condiciones de Meta. Si tu organización tiene una política sobre transferencias internacionales, aquí es donde se nota.
• Dónde aloja los datos el proveedor es una cuestión distinta de dónde lo hace Meta, y es la que de verdad puedes elegir.

Cómo atender las solicitudes de los interesados

El historial de chat es un dato personal, así que se le aplican los derechos de siempre, y WhatsApp añade un matiz práctico: una conversación es cosa de dos. Cuando exportes o suprimas, decide con criterio qué haces con los mensajes que escribieron tus propios agentes.

• Acceso. Una persona puede pedir la conversación. Poder exportar el historial de un contacto sin exportar el de todos es un requisito, no un extra.
• Supresión. Eliminar el contacto tiene que eliminar la conversación, y tienes que conservar lo suficiente para que siga excluido. Ten en cuenta además que la copia que hay en el teléfono de la persona es suya, no tuya, y no puedes suprimirla.
• Oposición. La oposición a la mercadotecnia directa es absoluta: no hay ponderación de intereses posible. Tiene que surtir efecto antes de la siguiente campaña, no en la próxima actualización de la lista.
• La portabilidad se aplica cuando el tratamiento se basa en el consentimiento, y en una conversación de marketing es así.

Cuánto tiempo conservar las conversaciones

El RGPD no fija ninguna cifra. La obligación es decidir un plazo que puedas justificar y luego aplicarlo de verdad: una bandeja de entrada que nunca ha borrado nada incumple la segunda parte, diga lo que diga la política.

En la práctica, las conversaciones de soporte se suelen conservar mientras pueda surgir una reclamación sobre la operación de fondo, algo que fija el plazo de prescripción de tu país. Las conversaciones de marketing rara vez justifican más de uno o dos años. Los registros de consentimiento sobreviven a ambas, porque son la prueba de que podías enviar.

La lista de comprobación

1. Una redacción del opt-in que nombre WhatsApp y nombre tu empresa, con la casilla desmarcada por defecto.
2. Un registro de consentimiento por contacto: cuándo, dónde, con qué redacción y para qué canales.
3. Un mecanismo de baja dentro del mensaje y un agente que sepa qué hacer cuando alguien escribe «stop».
4. Una única lista de exclusión que consulten todas las campañas, importaciones incluidas.
5. Meta y tu proveedor, mencionados en tu registro de actividades de tratamiento y en tu política de privacidad.
6. Un contrato de encargo del tratamiento firmado con el proveedor.
7. Un plazo de conservación puesto por escrito y que se cumpla gracias a algo más que las buenas intenciones.
8. Una forma de exportar y suprimir la conversación de un contacto.