¿Un canal de pedidos por WhatsApp infringe la KVKK?

⏱️ Tiempo de lectura: 13 min · 📁 Categoría: KVKK y cumplimiento digital

¿Un canal de pedidos por WhatsApp infringe la KVKK? (Datos personales, consentimiento explícito, registros y práctica de 2026)

«¿Es lícito recibir pedidos por WhatsApp?», «¿Somos responsables ante la KVKK si el cliente nos contacta por WhatsApp?»,
«¿Debemos conservar los mensajes de WhatsApp?» Estas preguntas figuran entre
los temas de riesgo KVKK más frecuentes en empresas que usan canales de pedidos por WhatsApp.
Esta guía analiza si un canal de pedidos por WhatsApp infringe la KVKK escenario por escenario y
teniendo en cuenta la justificación en auditoría.

1️⃣ Respuesta corta y clara 🔑 Respuesta básica: No. Usar un canal de pedidos por WhatsApp no infringe, por sí solo, la KVKK.
🔴 Sin embargo: Si se tratan, conservan o reutilizan datos personales mediante WhatsApp,
la KVKK se aplica plenamente.
Resumen: La cuestión no es simplemente usar WhatsApp, sino qué se hace a través de él. 2️⃣ ¿Qué datos trata un canal de pedidos por WhatsApp?

Recibir pedidos por WhatsApp suele implicar:

• Número de teléfono
• Nombre y apellidos
• Dirección de entrega o facturación
• Contenido del pedido: preferencias de productos o servicios
• Información sobre el pago (indirectamente)
• Historial del mensaje (contenido de la comunicación y información sobre el tiempo)

Todos estos elementos constituyen datos personales.
Un número de teléfono identifica directamente a una persona y constituye, por tanto, un dato personal directo.

3️⃣ ¿Quién es el responsable del tratamiento de datos en WhatsApp? Distribución de funciones de KVKK (práctica):

• Empresa que recibe el pedido → Responsable del tratamiento
• Infraestructura de WhatsApp → Proveedor técnico; aquí descrito como similar a un encargado en la mayoría de los escenarios

❗ Punto esencial: Decir «WhatsApp no es nuestro» no elimina la responsabilidad.
Como responsable del tratamiento, la empresa determina las finalidades y el uso.

4️⃣ ESCENARIO 1 — «El cliente nos contactó por WhatsApp»

Ejemplo: El cliente pulsa el botón WhatsApp de su web y escribe:
«Hola, me gustaría hacer un pedido.»

Este escenario es relativamente más seguro porque la persona facilitó voluntariamente los datos y la tramitación del pedido puede
en la mayoría de los casos encuadrarse en la celebración o ejecución de un contrato.

🟢 Conclusión: Recibir el pedido no infringe, por sí solo, la KVKK.
⚠️ Límite: Los datos pueden utilizarse solo para el pedido. Esto no autoriza automáticamente su uso para marketing. 5️⃣ ESCENARIO 2 — «Recibimos un pedido y después enviamos un mensaje de campaña»

Ejemplo: Un cliente pide por WhatsApp; una semana después, la empresa envía un mensaje de descuento o campaña.

🔴 El artículo presenta este como el escenario más frecuente de sanciones:
El proceso de pedido está cubierto por "contrato"; el mensaje de campaña es "marketing/mensaje comercial".
Consecuencia: Sin consentimiento explícito separado, el riesgo de infracción es muy elevado.

❌ «La persona ya nos dio su número»
❌ «Ya habíamos intercambiado mensajes»
Estos argumentos generalmente no constituyen una base defendible para comunicaciones de marketing.

6️⃣ ESCENARIO 3 — «Guardamos o archivamos mensajes de WhatsApp»

Ejemplos: Transferir conversaciones a un CRM o Excel, o archivarlas indefinidamente.

Aunque conservar sea técnicamente posible, archivar sin gestionar la
finalidad, plazo de conservación y la supresión o destrucción genera para la KVKK
un riesgo elevado de incumplimiento.

📌 Principio crítico: «Podemos necesitarlo más adelante» no es una justificación válida.
Defina la finalidad y el plazo; al vencer el plazo, los datos deben ser eliminados o anonimizados. 7️⃣ ESCENARIO 4 — «Usamos la API de WhatsApp Business»

La API de WhatsApp Business puede ofrecer plantillas de mensajes, flujos automáticos, integraciones CRM y registros más completos.
Esto hace que la operación sea profesional; pero también aumenta la carga de cumplimiento a medida que aumenta el volumen de procesamiento de datos.

🟡 Consecuencia: Una estructura más profesional implica más responsabilidad.
La información de privacidad, el consentimiento separado para marketing, las políticas de conservación y eliminación y los registros cobran más importancia. 8️⃣ ¿Cuándo se necesita el consentimiento explícito? ✅ Casos típicos en los que NO se requiere el consentimiento explícito:

• Recibir y tramitar el pedido
• Compartir información de entrega o envío
• Informar sobre el estado del pedido

🔴 En los casos en que se requiera el consentimiento explícito (riesgo alto):

• Campaña / descuento / mensajes promocionales
• Presentar nuevos productos o servicios
• Marketing para ventas adicionales: venta cruzada o de mayor valor
• Añadiendo el número de WhatsApp a CRM para fines de marketing

Distinción práctica: Las comunicaciones de pedidos y de marketing son distintas.
Ambas pueden usar el mismo canal, pero deben separarse sus bases jurídicas y registros. 9️⃣ Registros y carga de la prueba: expediente central de auditoría

La pregunta habitual en auditoría es: «¿Con qué base envió marketing a este número?»
Se recomienda, por tanto, para este canal una estructura mínima de registros.

Campo del registro	¿Para qué se necesita?	Ejemplo
Horario de inicio del pedido	Prueba del inicio del tratamiento	05.02.2026 14:12
Finalidad del tratamiento	Limitación de la finalidad	Pedido y entrega
Tipo de comunicación	¿Pedido o marketing?	Información sobre el pedido
Consentimiento de marketing	Base del mensaje de la campaña	Sí / No + fecha
La regla del período de retención	Gestión de la destrucción	30 días / 6 meses, etc.
Registro de supresión / destrucción	Prueba de cumplimiento	Número del registro de destrucción / fecha

🔟 Riesgo de transferencia internacional de datos

La infraestructura de WhatsApp puede usar servidores en el extranjero y arquitecturas multinacionales de tratamiento.
El tratamiento por WhatsApp puede, por tanto, generar riesgo de transferencia internacional.

El enfoque previsto de la auditoría:

• Comprender el flujo de datos y documentar los riesgos
• Indicar de forma transparente el uso del canal WhatsApp y sus riesgos en el aviso de privacidad
• Gestionar por separado el consentimiento explícito para marketing cuando sea necesario

1️⃣1️⃣ Documentación necesaria para el canal de pedidos WhatsApp

• ✅ Aviso de privacidad específico del canal
• ✅ Texto de consentimiento explícito y registros separados para marketing
• ✅ Reglas de retención y destrucción de mensajes de WhatsApp y registros de pedidos
• ✅ Registros que distinguen pedidos y marketing, con consentimiento y oposición

1️⃣2️⃣ Errores más comunes de KVKK

• ❌ Enviar campañas tras un pedido sin consentimiento separado
• ❌ Conservar conversaciones de WhatsApp indefinidamente
• ❌ Omitir información de privacidad u ocultar el canal WhatsApp
• ❌ Presumir que el contacto del cliente permite cualquier uso
• ❌ Añadir automáticamente el número a listas de marketing

✅ Modelo seguro de pedidos WhatsApp: resumen operativo

• Si un cliente le contacta, reciba el pedido para fines contractuales y de entrega.
• Use los datos solo para el pedido.
• Para marketing, obtenga consentimiento separado y regístrelo.
• No conserve mensajes indefinidamente ; fije un plazo y elimínelos después.
• Sea transparente: indique el canal WhatsApp y su finalidad en la información de privacidad.

🧠 Conclusión clara del experto

Los canales de pedidos por WhatsApp no están prohibidos.
Pero el uso sin control, especialmente reutilizar datos de pedidos para marketing y conservarlos indefinidamente,
se describe aquí como una práctica que conduce rápidamente a infracciones de la KVKK.

Solicite la configuración de cumplimiento de la KVKK de su canal de pedidos WhatsApp