Guías · Legal y comunicaciones
WhatsApp para su negocio, sin violar la Ley de Habeas Data
La diferencia entre la app gratuita y la API con costo por mensaje, el consentimiento obligatorio antes del primer mensaje comercial, la ventana de 24 horas, y qué debe pasar cuando un cliente pide que lo borren.
Cuando un cliente le escribe por WhatsApp para preguntar por un producto, le está dando su número — pero no le está autorizando a enviarle promociones. En Colombia, la diferencia entre esas dos cosas es la Ley 1581 de 2012, y las multas por saltársela llegan hasta dos mil salarios mínimos. Esta guía explica cómo usar WhatsApp para el negocio dentro del marco legal, cuándo se paga por mensaje y cuándo no, y qué debe pasar cuando un cliente pide que lo borren de su lista.
01Las dos versiones de WhatsApp Business, y cuál necesita usted
Meta ofrece dos productos con el mismo nombre y muy distinta naturaleza:
WhatsApp Business (la app): aplicación gratuita que se descarga en el celular. Funciona con un número dedicado, permite catálogo de productos, respuestas rápidas, etiquetas de conversación, mensaje de bienvenida y de ausencia, horario de atención. Es lo que la mayoría de las pymes de Medellín usa hoy — y para un negocio de escala modesta, es suficiente.
WhatsApp Business Platform (la API): plataforma de servicios pagos, accesible a través de un Business Solution Provider (BSP) autorizado por Meta. Cobra por mensaje entregado según la categoría del mensaje y el país del destinatario, permite integraciones con software (CRM, e-commerce, sistemas de tickets), múltiples agentes atendiendo simultáneamente, envíos masivos con plantillas aprobadas, y automatizaciones.
| Característica | App gratuita | Plataforma (API) |
|---|---|---|
| Costo | Gratuito | Por mensaje + BSP mensual |
| Volumen recomendado | Bajo a medio | Alto o con automatización |
| Múltiples agentes | Limitado (dispositivos) | Sí, con panel |
| Integraciones (CRM, e-commerce) | No | Sí |
| Envíos masivos con plantilla | No | Sí (con aprobación de Meta) |
| Chatbot automatizado | Limitado | Sí |
El criterio práctico: si su negocio recibe menos de dos o tres cientos de conversaciones al día y las atiende una persona (o pocas personas turnándose el celular), la app gratuita funciona. Si necesita integrar WhatsApp con su tienda en línea, enviar recordatorios automáticos, atender simultáneamente desde cinco agentes en un panel, o disparar campañas de miles de mensajes a la vez, necesita la API — y con ella entran los costos, las plantillas aprobadas, y una carga de cumplimiento mayor.
02Las cuatro categorías de mensaje que cobra Meta (y las que no)
Desde el 1 de julio de 2025, Meta cambió su modelo de cobro: ya no cobra por conversación abierta, sino por mensaje entregado.1 El costo depende de dos variables: la categoría del mensaje y el código de país del destinatario. En la API, cada mensaje enviado por la empresa se clasifica en una de cuatro categorías:
- Marketing: promociones, ofertas, invitaciones a eventos, anuncios de productos nuevos. La categoría más cara.
- Utilidad (Utility): confirmaciones de compra, actualizaciones de pedido, recordatorios de cita, alertas de cuenta. Es información transaccional, no promocional.
- Autenticación: códigos de verificación (OTP), enlaces de restablecimiento de contraseña.
- Servicio (Service): respuestas a preguntas iniciadas por el cliente, dentro de la ventana de 24 horas.
Los cambios de política más importantes:
- Desde el 1 de noviembre de 2024, los mensajes que no son de plantilla — respuestas conversacionales dentro de una ventana de servicio abierta — son gratuitos.
- Desde el 1 de julio de 2025, las plantillas de utilidad enviadas dentro de la ventana de servicio también son gratuitas.
El resultado neto: si el cliente inicia la conversación, casi todo lo que la empresa le responde en las siguientes 24 horas no tiene costo por mensaje. Lo que se cobra es todo mensaje saliente iniciado por la empresa fuera de esa ventana, y todo mensaje de marketing, esté donde esté.
03Habeas Data: el consentimiento que no puede saltarse
En Colombia, cualquier tratamiento de datos personales — incluido el número de teléfono, incluido el envío de mensajes comerciales — está regulado por la Ley 1581 de 2012 (Ley de Habeas Data) y su decreto reglamentario, el Decreto 1377 de 2013.2
El artículo 9 de la ley es la pieza central. Antes de tratar un dato personal — antes de almacenarlo, usarlo, o comunicarlo — el responsable debe obtener del titular una autorización que sea:
- Previa: obtenida antes de iniciar el tratamiento, no después.
- Expresa: manifestada de forma clara, no inferida del silencio ni de una conducta ambigua. El Decreto 1377 lo dice sin margen: el silencio no equivale a autorización.
- Informada: el titular debe conocer, en el momento de dar el consentimiento, quién es el responsable, para qué se van a usar sus datos, y cuáles son sus derechos.
Adicionalmente, el artículo 8 obliga a conservar la prueba de esa autorización — “obtenida por cualquier medio que pueda ser objeto de consulta posterior”. En otras palabras: no basta con saber que el cliente autorizó; hay que poder demostrarlo si la Superintendencia de Industria y Comercio lo pide.
El error más frecuente
“El cliente me escribió por WhatsApp, entonces me dio permiso para enviarle promociones.” No. El contacto entrante solo autoriza a responder esa conversación específica. Enviar contenido comercial posterior — un mes después, sin haber pedido consentimiento explícito para esa finalidad — es tratamiento no autorizado, y es sancionable.
04Cómo obtener el opt-in correctamente: tres modelos
El opt-in — el acto expreso por el cual el titular autoriza el tratamiento — debe adaptarse al canal por el que entra el dato. Estos tres modelos cubren la mayoría de los casos de una pyme.
Modelo A. Formulario web (contacto, registro, checkout)
Una casilla de aceptación no premarcada, junto al botón de envío. El texto debe identificar al responsable, la finalidad concreta, y ofrecer un enlace visible al aviso de privacidad.
Texto modelo, casilla no premarcada:
☐ Autorizo a [Nombre de la empresa] a tratar mis datos personales para enviarme información sobre productos, promociones y novedades por WhatsApp, correo electrónico o llamada. Puedo revocar esta autorización en cualquier momento. Consulté y acepto el Aviso de privacidad.
Modelo B. Primer contacto entrante por WhatsApp
Cuando el cliente escribe por primera vez, el primer mensaje de respuesta puede pedir el consentimiento antes de continuar con conversaciones futuras. Es la vía más limpia para negocios que operan la app gratuita.
Mensaje modelo de primer contacto:
Hola, gracias por escribirnos. Antes de continuar: ¿nos autoriza a guardar su número y a enviarle información sobre nuestros productos, promociones y novedades? Responda “Sí” para autorizar. Puede revocar la autorización en cualquier momento escribiendo “BAJA”. Nuestro aviso de privacidad: [enlace].
El “Sí” de respuesta — con fecha, hora y número del titular — se conserva como prueba del consentimiento.
Modelo C. Formulario físico (papelería, registro presencial)
En el punto de venta, en un evento, en una feria: una casilla con firma o iniciales del titular. Se digitaliza y se archiva. Debe incluir el mismo texto: responsable, finalidad, enlace o texto físico del aviso de privacidad.
Qué debe conservarse como prueba del consentimiento
- Fecha y hora del consentimiento.
- Medio por el cual se obtuvo (web, WhatsApp, físico).
- Texto exacto del consentimiento presentado al titular.
- Finalidad autorizada — es específica; “marketing por WhatsApp” es distinta de “alertas de pedido”.
- Identificador del titular (correo, número de teléfono, cédula si aplica).
Herramientas útiles: una hoja de cálculo, un CRM, una base de datos, incluso una captura de pantalla organizada en carpetas. No se necesita un sistema sofisticado; se necesita disciplina.
05La ventana de 24 horas y el marketing dentro y fuera de ella
La ventana de servicio de 24 horas es un mecanismo técnico de la API, pero también un principio útil aún cuando se use la app gratuita.
Funcionamiento: cuando el cliente le envía a la empresa un mensaje, se abre una ventana de 24 horas durante la cual la empresa puede responder libremente, sin costo por mensaje y sin necesidad de plantilla aprobada. Cada respuesta del cliente reinicia la ventana. Si pasan 24 horas sin actividad del cliente, la ventana se cierra: cualquier mensaje saliente iniciado por la empresa requerirá, en la API, una plantilla previamente aprobada por Meta (y tendrá costo).
La ventana no autoriza a hacer marketing sin el opt-in previo, aún cuando esté abierta. Es un mecanismo de Meta, no un permiso legal. La lógica es doble:
- Dentro de la ventana, la empresa puede responder consultas, dar información específica solicitada, resolver el caso. Todo eso es servicio, y no requiere opt-in especial para marketing.
- Enviar un mensaje promocional dentro de la ventana — “aprovechando que estás por acá, mira nuestra oferta” — sin consentimiento previo específico para marketing, sigue siendo tratamiento no autorizado.
Estrategia legítima
- Aprovechar la ventana para dar servicio excelente y ganar la conversación.
- Diseñar plantillas de utilidad — confirmaciones, recordatorios, actualizaciones — que son gratuitas dentro de la ventana desde julio de 2025.
- Reservar plantillas de marketing (con costo, y solo a clientes que hayan dado opt-in específico) para promociones puntuales de alto valor.
Estrategia que se salta la ley
- Categorizar un mensaje de marketing como “utilidad” para evitar el costo. Meta lo detecta y sanciona; y el titular sin opt-in tiene igual derecho a reclamar.
- Comprar bases de datos de teléfonos y enviarles mensajes de plantilla. Ilegal por doble vía: sin opt-in del titular, y contra los términos de Meta.
06Cuánto cuesta realmente enviar mensajes (Colombia, 2026)
El rate card oficial de Meta para Colombia — actualizado por última vez el 1 de octubre de 2025, con COP como divisa de facturación desde el 1 de enero de 2026 — establece tarifas aproximadamente en estos rangos:1
| Categoría | Costo por mensaje (USD) |
|---|---|
| Marketing | ~$0,014 |
| Utilidad (fuera de ventana) | ~$0,0008 |
| Autenticación | ~$0,0008 |
| Servicio (dentro de ventana) | Gratis |
| Utilidad (dentro de ventana, desde 1 jul 2025) | Gratis |
Ejemplos de cálculo: enviar 1.000 mensajes de marketing al mes cuesta aproximadamente 14 dólares, unos $60.000 pesos al tipo de cambio de mediados de 2026. Enviar 1.000 mensajes de utilidad fuera de ventana cuesta apenas 80 centavos de dólar. Enviar 10.000 respuestas de servicio dentro de ventana cuesta cero pesos por mensaje.
Costo del BSP: a lo anterior se suma la suscripción mensual del Business Solution Provider — la empresa que actúa como intermediario técnico entre su negocio y Meta. Los planes de BSP se ubican típicamente entre 30 y 150 dólares al mes según volumen y prestaciones (panel de agentes, integración con su CRM, chatbot, reportes).
Meta actualiza el rate card trimestralmente — el primero de enero, abril, julio y octubre. Las cifras arriba son de referencia; para proyectar volumen real de campañas conviene consultar el rate card vigente al momento de contratar.
Nota 2026: chatbots de IA en la API
Desde enero de 2026 Meta restringió el uso de chatbots de IA de propósito general en la API. Solo permite agentes especializados por caso de uso — atención al cliente, ventas, seguimiento de pedidos —, no asistentes generalistas tipo “conversa con la IA”. Si su proveedor le ofrece un chatbot “con GPT”, verifique que cumpla la restricción antes de firmar.
07Los derechos del titular: qué debe pasar cuando le piden borrarlo
La Ley 1581 le reconoce al titular cuatro derechos frente a cualquier responsable de tratamiento:
- Acceso: saber qué datos suyos tenemos, cómo los obtuvimos, y para qué los estamos usando.
- Rectificación: corregir información inexacta.
- Actualización: poner al día información que cambió.
- Supresión: pedir que sus datos sean borrados de nuestras bases.
El titular puede además revocar la autorización en cualquier momento, sin dar explicaciones.
Plazos legales de respuesta
- Consultas (“¿qué datos tienen míos?”): 10 días hábiles.
- Reclamos (“corrijan esto”, “bórrenme”): 15 días hábiles, prorrogables 8 más si es imposible responder en el primer plazo.
Proceso operativo mínimo
Para que estos derechos no queden en la teoría, la empresa debe tener:
- Un canal claro y visible para recibir solicitudes — típicamente un correo del tipo habeasdata@empresa.com o similar.
- Una persona responsable interna — el oficial de protección de datos, aunque para una pyme puede ser el mismo dueño.
- Un proceso documentado: recepción → verificación de identidad → ejecución → registro → respuesta al titular con constancia.
- Una mecánica de baja fácil: en WhatsApp, aceptar “BAJA”, “PARE” o similar y ejecutar la supresión sin fricciones ni intentos de retención.
Sobre este último punto: cuando un cliente pide la baja, la empresa no debe preguntar por qué ni intentar persuadirlo de que se quede. Cualquier fricción adicional a la solicitud de baja es una nueva violación potencial, y — más allá de la ley — es la manera más rápida de convertir a un cliente indiferente en un cliente hostil.
08RNBD y sanciones: qué se registra y cuánto cuesta no cumplir
El Registro Nacional de Bases de Datos (RNBD)
El artículo 25 de la Ley 1581 creó el Registro Nacional de Bases de Datos, administrado por la Superintendencia de Industria y Comercio.3 En 2018, el Decreto 090 de 2018 limitó la obligación de inscribirse en el RNBD a dos tipos de responsables:4
- Sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT — aproximadamente $5.240 millones en 2026.
- Personas jurídicas de naturaleza pública.
Matiz importante para pymes
La mayoría de las pymes y micropymes de Medellín no están obligadas a inscribirse en el RNBD, porque no llegan al umbral de activos. Pero eso no las exime de cumplir con el resto de la Ley 1581: consentimiento previo, aviso de privacidad, atención de derechos del titular, y todo lo demás. La obligación del registro es distinta de la obligación de cumplir.
Sanciones
El artículo 23 de la Ley 1581 gradúa las sanciones que la SIC puede imponer por infracciones:
- Multas de carácter personal e institucional, hasta por 2.000 salarios mínimos mensuales legales vigentes. Con el SMMLV de 2026, el tope teórico supera los $2.800 millones — aunque las sanciones se gradúan según la gravedad, la reincidencia, el número de titulares afectados y el beneficio económico obtenido.
- Suspensión de las actividades relacionadas con el tratamiento hasta por 6 meses.
- Cierre temporal de las operaciones relacionadas con el tratamiento.
- Cierre definitivo — reservado para violaciones sobre datos sensibles (salud, orientación sexual, opiniones políticas, entre otros).
En la práctica, las sanciones que impone la SIC contra pymes rara vez llegan a los topes teóricos. Pero las multas de decenas o cientos de millones son reales, y el desgaste operativo de una investigación de la SIC — recolectar evidencias, responder requerimientos, hacer descargos — puede tomar meses.
Cierre
WhatsApp es el canal de comunicación más usado en Colombia — más del 90 % de los usuarios de internet lo usan mensualmente — y también, no por casualidad, uno de los más regulados si se usa comercialmente. La buena noticia es que el cumplimiento no es económicamente costoso: el opt-in bien hecho es un mensaje adicional; el aviso de privacidad, una página web de un párrafo; la baja de un usuario, una acción de cinco segundos.
Lo costoso es no hacerlo. No tanto por la multa hipotética que quizá nunca llegue, sino por el desgaste operativo cuando la lista se contamina de contactos sin consentimiento, la reputación se deteriora en el círculo de sus propios clientes, y los buenos empiezan a bloquearlo. WhatsApp — Meta — también penaliza técnicamente a los números que reciben demasiados bloqueos: pierde entregabilidad, sube el costo por mensaje, y en casos extremos suspenden el número. La ley de Habeas Data y el buen uso del canal terminan pidiendo lo mismo por caminos distintos.