Por: Ivan Bejarano Olivares
Consultor en Innovación y Transformación Digital

Del mensaje de WhatsApp a la inteligencia comercial: oportunidades, responsabilidades y riesgos legales

📱 WhatsApp se ha convertido en uno de los canales más utilizados para comunicarse con clientes, atender consultas, solicitar cotizaciones, concretar ventas y construir relaciones comerciales. Para muchos negocios, es también el principal punto de contacto con sus potenciales compradores.

Cada conversación puede generar información valiosa: nombre, número telefónico, productos de interés, necesidades, presupuesto aproximado, historial de consultas, preferencias de compra y hasta objeciones que impiden cerrar una venta.

Esta información, cuando se organiza y analiza adecuadamente, puede convertirse en un activo estratégico para cualquier negocio.

Sin embargo, existe una cuestión que muchas empresas, emprendedores y profesionales todavía no comprenden del todo: recopilar información mediante WhatsApp no significa tener autorización ilimitada para utilizarla con cualquier finalidad.

Que una persona escriba para preguntar por un producto no significa necesariamente que haya aceptado recibir publicidad durante meses, que sus datos puedan compartirse con otras empresas o que sus conversaciones puedan incorporarse a herramientas de inteligencia artificial para cualquier propósito.

En el Perú, estas actividades deben analizarse a la luz de la legislación sobre protección de datos personales, protección al consumidor y uso responsable de la inteligencia artificial.

La pregunta, por tanto, no es solamente cómo conseguir más leads o vender más mediante WhatsApp. También es cómo convertir las conversaciones en información comercial útil sin vulnerar la privacidad, la confianza ni los derechos de las personas.

1. ¿Qué información puede obtener una empresa mediante WhatsApp?

Cuando una persona conversa con una empresa, puede proporcionar información de manera directa o generar información a partir de su interacción.

Por ejemplo, una persona interesada en adquirir un servicio de consultoría podría comunicar su nombre, empresa, cargo, presupuesto disponible, necesidades de capacitación y fecha estimada de contratación.

Una tienda podría conocer los productos que consulta un cliente, sus preferencias, la frecuencia de compra y las dificultades que encuentra antes de realizar un pedido.

Esta información puede organizarse en varias categorías:

🔹 Datos de identificación: nombres, número telefónico y otros datos que permitan identificar a una persona.

🔹 Datos comerciales: productos consultados, servicios de interés, cotizaciones solicitadas, compras realizadas y preferencias manifestadas.

🔹 Datos de interacción: fechas de contacto, consultas pendientes, respuestas recibidas y etapas del proceso comercial.

🔹 Datos de comportamiento: patrones de consulta, frecuencia de compra y preferencias inferidas a partir de interacciones anteriores.

🔹 Datos potencialmente sensibles: información relacionada con la salud, biometría, vida sexual, creencias religiosas u otros aspectos protegidos por la normativa.

No toda esta información tiene el mismo nivel de riesgo. Un registro de productos consultados no presenta necesariamente las mismas implicancias que una conversación que contiene diagnósticos médicos, documentos de identidad o información financiera.

Por ello, una empresa debe identificar qué información necesita, para qué la utilizará y qué medidas aplicará para protegerla.

La regla práctica es sencilla: no recopilar información únicamente porque resulta técnicamente posible hacerlo.

2. La Ley N.º 29733: el marco principal para proteger los datos personales

La Ley N.º 29733, Ley de Protección de Datos Personales, establece el marco legal peruano para el tratamiento de información relacionada con personas naturales.

Su alcance no se limita a las grandes corporaciones ni a las empresas tecnológicas. También resulta relevante para negocios pequeños, emprendedores, profesionales independientes y organizaciones que almacenan datos de clientes en teléfonos, hojas de cálculo, plataformas de mensajería o sistemas CRM.

La norma debe interpretarse junto con su Reglamento, aprobado mediante el Decreto Supremo N.º 016-2024-JUS, vigente desde el 31 de marzo de 2025.

Fuentes oficiales:

¿Qué significa esto para una empresa que utiliza WhatsApp?

En términos prácticos, significa que debe evaluar la legitimidad de la recopilación de datos, informar sobre sus finalidades, contar con la base jurídica correspondiente, proteger la información y respetar los derechos de las personas.

La empresa también debe considerar los principios de finalidad, proporcionalidad, calidad y seguridad, entre otros aplicables al tratamiento de datos personales.

Veamos cómo se traducen en situaciones cotidianas.

A. Finalidad: utilizar la información para un propósito definido

Si una persona escribe a una inmobiliaria para consultar el precio de un departamento, la empresa puede utilizar la información necesaria para atender esa consulta.

Pero esa interacción no constituye, por sí sola, una autorización ilimitada para:

  • Incorporar automáticamente a la persona a campañas publicitarias recurrentes.

  • Compartir sus datos con otras inmobiliarias.

  • Enviar sus datos a terceros para que le ofrezcan créditos.

  • Utilizar la conversación para entrenar modelos de inteligencia artificial sin evaluar la legitimidad y las condiciones de ese tratamiento.

Cada finalidad debe analizarse de manera independiente. Cuando se requiera consentimiento, este debe cubrir de forma válida el uso correspondiente.

B. Proporcionalidad: recopilar únicamente lo necesario

Para enviar una cotización de diseño web, normalmente no es necesario solicitar el número de documento de identidad, información familiar o datos financieros detallados del interesado.

Una recopilación excesiva incrementa los riesgos y genera una responsabilidad innecesaria.

La pregunta que debería hacerse cada negocio es: ¿realmente necesito este dato para atender al cliente o cumplir la finalidad que he informado?

C. Transparencia: explicar qué se hará con la información

Una empresa debería informar, mediante un aviso de privacidad accesible y comprensible, quién es responsable del tratamiento, qué datos recopila, para qué los utiliza, si los comparte con terceros y cómo pueden ejercerse los derechos correspondientes.

No es suficiente colocar un mensaje genérico que diga «al escribirnos, acepta nuestras políticas» si no se proporciona información clara ni se obtiene el consentimiento que corresponda.

D. Seguridad: impedir accesos y usos no autorizados

Las conversaciones comerciales pueden contener cotizaciones, documentos, datos de contacto y otra información que no debería quedar expuesta.

Por eso, es importante controlar quién puede acceder al WhatsApp Business, proteger los dispositivos, limitar la exportación de conversaciones y establecer procedimientos para el personal que administra los contactos.

La protección no consiste únicamente en evitar ataques informáticos. También implica prevenir que un trabajador descargue una base de datos de clientes para utilizarla en otro negocio o que un dispositivo perdido exponga conversaciones privadas.

3. ¿Un cliente que escribe por WhatsApp autoriza a recibir publicidad?

Este es uno de los puntos más importantes para cualquier negocio.

Imaginemos que una persona encuentra un anuncio en Facebook y escribe por WhatsApp:

«Hola, quisiera conocer el precio de su curso de inteligencia artificial».

La empresa responde, explica los contenidos y envía la cotización.

¿Puede agregar automáticamente a esa persona a una lista permanente de difusión para enviarle todas sus promociones?

No debería asumir que sí.

La persona inició una conversación para obtener información sobre un curso concreto. Esto no equivale necesariamente a autorizar comunicaciones publicitarias recurrentes sobre todos los productos y servicios de la empresa.

Conviene diferenciar tres situaciones:

  1. Atención de una consulta: responder a la solicitud que el interesado ha formulado, dentro del contexto de esa interacción.

  2. Seguimiento comercial: retomar una cotización o una consulta pendiente, siempre que exista una base legítima para hacerlo y se respeten los límites y derechos aplicables.

  3. Publicidad y prospección comercial: incorporar a una persona a campañas promocionales, listas de difusión o comunicaciones recurrentes. Esta finalidad requiere una evaluación específica de las reglas de protección de datos y de protección al consumidor.

El Reglamento de la Ley N.º 29733 contempla, en su artículo 26, disposiciones específicas para el tratamiento de datos con fines publicitarios y de prospección comercial. El consentimiento debe obtenerse directamente del titular; además, la norma regula un primer contacto limitado para solicitarlo y establece que no corresponde realizar nuevos contactos cuando no se haya obtenido.

Sin embargo, esa disposición no debe interpretarse como un permiso general para enviar publicidad no solicitada. También debe considerarse el artículo 58 del Código de Protección y Defensa del Consumidor y el criterio aplicable al canal, al tipo de comunicación y a las circunstancias del contacto.

En particular, el artículo 58.1, literal e), de la Ley N.º 29571 establece restricciones para las comunicaciones comerciales mediante llamadas, mensajes de texto y mensajes electrónicos masivos cuando no existe el consentimiento previo, informado, expreso e inequívoco requerido por la norma.

La recomendación más segura es obtener una autorización clara para las comunicaciones promocionales, registrar esa autorización y respetar inmediatamente cualquier oposición o solicitud de baja.

Fuentes oficiales:

4. ¿Qué sucede cuando una empresa recopila leads mediante anuncios de Facebook o Instagram?

Una estrategia habitual consiste en publicar anuncios, recibir consultas por WhatsApp y registrar los datos de las personas interesadas en una hoja de cálculo o CRM.

El proceso puede ser comercialmente legítimo y eficiente, pero debe diseñarse correctamente.

Por ejemplo, una empresa que ofrece capacitaciones puede registrar:

  • Nombre del interesado.

  • Número de contacto.

  • Curso solicitado.

  • Fecha de la consulta.

  • Estado de la oportunidad comercial.

  • Próxima acción de seguimiento.

  • Autorización para recibir información promocional, cuando corresponda.

Es recomendable separar el registro de la consulta comercial del registro del consentimiento publicitario.

Una persona puede querer recibir información sobre una capacitación específica sin aceptar que sus datos se incorporen a campañas comerciales indefinidas.

Por eso, al diseñar formularios, anuncios o mensajes iniciales, conviene incluir información clara sobre el tratamiento de datos y una opción específica para aceptar comunicaciones promocionales.

La aceptación no debería estar escondida en un texto confuso ni condicionarse innecesariamente a la compra de un producto cuando la finalidad publicitaria es distinta.

5. De WhatsApp a un CRM: cómo transformar conversaciones en inteligencia comercial

Un CRM —sistema de gestión de relaciones con clientes— permite centralizar información, organizar oportunidades y dar seguimiento a las ventas.

Pero el verdadero valor de un CRM no consiste en almacenar el mayor número posible de datos, sino en utilizar información pertinente para mejorar la gestión comercial.

Una empresa podría organizar su proceso de ventas mediante las siguientes etapas:

Etapa 1. Captación

El interesado llega desde una campaña publicitaria, una página web, una recomendación o una consulta directa.

La empresa registra la fuente del contacto y la información estrictamente necesaria.

Etapa 2. Calificación

Se identifica qué necesita el prospecto, qué servicio le interesa, qué plazo maneja y si la empresa puede atenderlo.

La calificación debe basarse en criterios pertinentes y no en inferencias discriminatorias o en el uso indiscriminado de información personal.

Etapa 3. Seguimiento

Se registra la cotización enviada, las consultas pendientes y la próxima acción comercial.

El seguimiento debe respetar el propósito del contacto y las preferencias manifestadas por la persona.

Etapa 4. Conversión

Cuando se concreta una venta, se registra la información necesaria para gestionar el pedido, prestar el servicio y cumplir las obligaciones comerciales.

Etapa 5. Fidelización

Se puede utilizar información pertinente para mejorar la atención, conocer la satisfacción y comunicar novedades a quienes hayan autorizado las comunicaciones correspondientes.

Etapa 6. Depuración

Los datos que ya no sean necesarios deben revisarse y, cuando corresponda, eliminarse, anonimizarse o bloquearse según las obligaciones legales aplicables.

Esta última etapa suele olvidarse. Muchas empresas acumulan años de conversaciones y bases de datos sin definir quién puede acceder a ellas, cuánto tiempo deben conservarse ni qué hacer cuando una persona solicita que dejen de utilizar sus datos para publicidad.

6. Inteligencia artificial: nuevas posibilidades y nuevos riesgos

La inteligencia artificial puede ampliar considerablemente el valor de la información obtenida mediante WhatsApp.

Por ejemplo, una empresa podría utilizar herramientas de IA para:

  • Clasificar consultas por producto o servicio.

  • Identificar preguntas frecuentes.

  • Resumir conversaciones extensas.

  • Detectar motivos recurrentes por los que se pierden oportunidades de venta.

  • Elaborar respuestas preliminares.

  • Identificar oportunidades de mejora en el servicio al cliente.

  • Generar reportes agregados sobre las necesidades del mercado.

Estas aplicaciones pueden contribuir a mejorar la productividad y la toma de decisiones. Sin embargo, la automatización no elimina las obligaciones de protección de datos.

¿Qué dice la Ley N.º 31814?

La Ley N.º 31814 promueve el uso de la inteligencia artificial en favor del desarrollo económico y social del país.

Su Reglamento fue aprobado mediante el Decreto Supremo N.º 115-2025-PCM. Este marco promueve un uso seguro, ético y responsable de la IA, con atención a principios como la transparencia, la privacidad, la supervisión humana y el respeto de los derechos fundamentales.

Fuentes oficiales:

La Ley N.º 31814 no reemplaza la Ley N.º 29733. Ambas deben considerarse cuando el uso de IA involucra datos personales.

Por ejemplo, si una empresa utiliza inteligencia artificial para analizar las conversaciones de WhatsApp y clasificar a sus clientes, debe evaluar qué datos procesa, con qué finalidad, bajo qué condiciones y qué riesgos puede generar.

Si la herramienta asigna puntuaciones a personas, infiere características personales o recomienda decisiones que afectan sus oportunidades, el análisis debe ser todavía más cuidadoso.

Un ejemplo práctico

Una academia recibe 500 consultas mensuales por WhatsApp.

Mediante una herramienta de IA, desea identificar los cursos más solicitados, las preguntas frecuentes y los motivos por los que los interesados no se matriculan.

Una implementación responsable podría comenzar con datos agregados o anonimizados, minimizando la exposición de conversaciones individuales.

Si resulta necesario procesar conversaciones identificables, la academia debería evaluar la base jurídica, informar adecuadamente cuando corresponda, restringir los accesos, verificar las condiciones del proveedor tecnológico y establecer controles de seguridad y conservación.

Además, no debería introducir indiscriminadamente conversaciones completas, documentos personales o información sensible en herramientas públicas de IA sin comprobar previamente las condiciones de tratamiento y las medidas de protección.

La pregunta no es únicamente si la IA puede analizar las conversaciones, sino si la empresa tiene una justificación válida para hacerlo y puede proteger adecuadamente la información.

7. ¿Es legal compartir los datos de WhatsApp con otras empresas?

Depende de la finalidad, de la información compartida, de la relación entre las partes y de la base jurídica aplicable.

Imaginemos que una agencia de marketing capta interesados para un curso y después entrega sus números telefónicos a otra empresa para que les ofrezca productos financieros.

La persona pudo haber autorizado el contacto con la academia, pero eso no significa necesariamente que haya autorizado la transferencia de sus datos a una entidad distinta para una finalidad diferente.

Antes de compartir información, es necesario determinar si existe una base jurídica válida, si se ha informado adecuadamente a los titulares y si corresponde obtener un consentimiento específico.

También debe distinguirse entre:

  • El acceso a los datos por parte de un proveedor que presta servicios por cuenta de la empresa y bajo las condiciones correspondientes.

  • La comunicación de datos a otra empresa que los utilizará para sus propios fines.

  • La transferencia de información a plataformas tecnológicas ubicadas fuera del Perú.

Estas situaciones no son equivalentes y pueden generar obligaciones distintas.

Si se utiliza un CRM, un proveedor de automatización o una plataforma de IA, conviene revisar los contratos, las condiciones de tratamiento de datos, los controles de acceso, las medidas de seguridad y las reglas aplicables a las transferencias internacionales.

No basta con afirmar que el proveedor es conocido o que la herramienta es popular.

8. ¿Qué derechos tiene una persona sobre sus datos?

La legislación peruana reconoce derechos que permiten a los titulares ejercer control sobre su información personal.

Entre ellos se encuentran los derechos de información, acceso, actualización o rectificación, cancelación y oposición, conforme a los requisitos y condiciones legales aplicables.

En la práctica, una persona puede solicitar información sobre los datos que una organización trata, pedir que se corrijan datos inexactos o ejercer oposición al tratamiento en los supuestos previstos por la normativa.

En materia de publicidad, también debe existir un mecanismo sencillo y gratuito para rechazar, revocar u oponerse al uso de los datos con esa finalidad.

Por ejemplo, si una persona escribe «No deseo recibir más promociones», la empresa debería contar con un procedimiento para registrar la solicitud y evitar que el contacto vuelva a incorporarse a sus campañas.

No es una buena práctica exigir que el usuario explique sus motivos, insistir en convencerlo o mantenerlo en una lista de difusión después de haber solicitado la baja.

La organización debe establecer un mecanismo de atención de derechos y respetar los plazos legales aplicables.

9. ¿Qué riesgos legales y comerciales enfrenta un negocio?

Una gestión deficiente de los datos obtenidos por WhatsApp puede producir consecuencias que van más allá de una multa.

Entre los principales riesgos se encuentran:

🔸 Reclamos por comunicaciones comerciales no autorizadas.

🔸 Denuncias ante las autoridades competentes por un tratamiento indebido de datos personales.

🔸 Exposición de conversaciones privadas, documentos o información sensible.

🔸 Pérdida de confianza y deterioro de la reputación de la empresa.

🔸 Uso indebido de bases de datos por trabajadores, socios o proveedores.

🔸 Decisiones comerciales automatizadas basadas en datos incorrectos o inferencias inadecuadas.

🔸 Incumplimientos contractuales o de seguridad relacionados con plataformas externas.

La Ley N.º 29733 y su Reglamento contemplan consecuencias administrativas por las infracciones previstas. La gravedad de cada caso depende de los hechos, de la obligación incumplida y de los criterios legales aplicables.

No existe una única sanción automática para todo uso inadecuado de WhatsApp. Por eso, las empresas deben evaluar sus prácticas concretas y no limitarse a buscar una cifra de multa.

10. Un modelo práctico para gestionar correctamente los datos obtenidos por WhatsApp

Las empresas pueden comenzar con un protocolo sencillo que establezca cómo se captan, registran, utilizan, comparten y conservan los datos de sus contactos.

Paso 1. Definir las finalidades

Precisar si la información se utilizará para responder consultas, preparar cotizaciones, gestionar contratos, prestar servicios, realizar encuestas o enviar publicidad.

Paso 2. Informar a las personas

Proporcionar un aviso de privacidad claro y accesible, con información sobre el responsable del tratamiento, las finalidades, los destinatarios y los mecanismos para ejercer derechos.

Paso 3. Gestionar el consentimiento cuando corresponda

Registrar la autorización de manera verificable, diferenciando la atención solicitada de las comunicaciones promocionales y de otras finalidades que requieran una autorización propia.

Paso 4. Centralizar la información con controles

Utilizar una herramienta adecuada para administrar contactos y oportunidades, limitar los permisos de acceso y evitar que las bases de datos circulen libremente entre dispositivos personales.

Paso 5. Establecer reglas para la inteligencia artificial

Definir qué información puede procesarse mediante IA, qué herramientas están autorizadas, quién revisa los resultados y qué datos nunca deben introducirse sin una evaluación previa.

Paso 6. Atender solicitudes de los titulares

Implementar un procedimiento para responder a las solicitudes de acceso, rectificación, cancelación, oposición y revocación del consentimiento, conforme a la normativa aplicable.

Paso 7. Revisar la conservación de los datos

Establecer criterios de conservación y eliminación que consideren la finalidad, las obligaciones contractuales, los plazos legales y las necesidades legítimas de la organización.

Paso 8. Capacitar al personal

Quienes atienden WhatsApp deben comprender que las conversaciones contienen información que no puede utilizarse libremente para fines distintos de los autorizados o legalmente permitidos.

Paso 9. Evaluar a los proveedores

Antes de integrar WhatsApp con un CRM, una plataforma de automatización o un sistema de IA, revisar las condiciones contractuales, la seguridad y las responsabilidades de cada parte.

Paso 10. Verificar las obligaciones formales

Determinar si corresponde inscribir bancos de datos personales, formalizar relaciones con encargados del tratamiento, cumplir obligaciones de seguridad o atender otras exigencias previstas en la legislación peruana.

No todos los negocios tendrán exactamente las mismas obligaciones. Estas dependerán de sus actividades, de los datos tratados y de las características de sus operaciones.

11. Un ejemplo de buenas prácticas para una pequeña empresa peruana

Supongamos que una empresa de Ayacucho vende servicios de marketing digital y recibe consultas por WhatsApp.

La empresa podría organizar sus contactos de la siguiente manera:

Información Uso previsto
Nombre y número Identificar y responder al interesado
Servicio consultado Preparar una propuesta pertinente
Fecha de consulta Organizar el seguimiento
Estado de la oportunidad Gestionar el proceso comercial
Autorización promocional Controlar las comunicaciones publicitarias
Solicitud de baja Evitar futuros envíos promocionales

La empresa no necesita recopilar toda la conversación ni almacenar información irrelevante para gestionar una oportunidad comercial.

Si posteriormente desea analizar las consultas mediante IA, podría empezar con un reporte de preguntas frecuentes sin identificar a las personas.

Si desea utilizar las conversaciones originales, debería evaluar previamente la legitimidad del tratamiento, la información proporcionada a los titulares, las condiciones del proveedor y los controles de seguridad.

De esta forma, el negocio puede obtener valor comercial de sus datos sin convertir la captación de clientes en una práctica invasiva.

12. De la protección de datos a la ventaja competitiva

La protección de datos personales no debería verse únicamente como una obligación legal o una tarea administrativa.

Una empresa que gestiona correctamente la información de sus contactos puede mejorar la calidad de sus registros, reducir errores, ordenar sus procesos comerciales y construir relaciones de mayor confianza.

La información bien gestionada permite identificar qué productos generan mayor interés, qué preguntas requieren mejores respuestas, qué procesos comerciales presentan dificultades y qué oportunidades merecen atención prioritaria.

La inteligencia artificial puede contribuir a ese trabajo, pero su utilidad depende de la calidad de los datos, la pertinencia de los análisis y la responsabilidad con la que se emplean.

En cambio, una base de datos desordenada, obtenida sin criterios claros y utilizada para enviar publicidad indiscriminada puede convertirse en un riesgo legal y reputacional.

La ventaja competitiva no está en acumular más información, sino en saber qué datos se necesitan, cómo se utilizan y qué valor generan sin vulnerar los derechos de las personas.

Conclusión: cada conversación implica una oportunidad y una responsabilidad

WhatsApp puede ser mucho más que un canal para enviar mensajes. Bien utilizado, permite organizar oportunidades comerciales, mejorar la atención al cliente y obtener información útil para tomar decisiones.

Pero cada contacto representa también una responsabilidad sobre la información que una persona comparte.

La Ley N.º 29733, su Reglamento, la Ley N.º 29571 y el marco normativo de inteligencia artificial establecido por la Ley N.º 31814 y su Reglamento deben formar parte de la evaluación de estas prácticas, cada uno dentro de su ámbito de aplicación.

Las empresas, los emprendedores y los profesionales que utilizan WhatsApp necesitan avanzar hacia una gestión de datos más ordenada, transparente y segura.

El objetivo no debe ser solamente captar leads y convertirlos en clientes. También debe ser construir relaciones comerciales sostenibles, respetar la privacidad y utilizar la tecnología de manera responsable.

Porque, en una economía cada vez más digital, la confianza también es un activo empresarial.


Fuentes normativas y oficiales para profundizar

  1. Ley N.º 29733, Ley de Protección de Datos Personales. Archivo Digital de la Legislación del Perú: https://leyes.congreso.gob.pe/DetLeyNume_1p.aspx?xNorma=6&xNumero=29733

  2. Decreto Supremo N.º 016-2024-JUS, Reglamento de la Ley de Protección de Datos Personales: https://www.gob.pe/institucion/anpd/normas-legales/6554453-n-016-2024-jus

  3. Ley N.º 29571, Código de Protección y Defensa del Consumidor: https://www.gob.pe/institucion/ositran/normas-legales/8408129-29571

  4. Decreto Supremo N.º 115-2025-PCM, Reglamento de la Ley N.º 31814: https://www.gob.pe/institucion/pcm/normas-legales/7133522-115-2025-

  5. Autoridad Nacional de Protección de Datos Personales: https://www.gob.pe/anpd

  6. Indecopi, orientación sobre llamadas y comunicaciones comerciales no deseadas: https://consumidor.gob.pe/2025/06/20/llamadas-telefonicas-no-deseadas-llamadas-spam/

Nota: Este artículo tiene finalidad informativa y no sustituye una evaluación jurídica de cada caso. Las obligaciones concretas deben determinarse según el tipo de tratamiento, el canal utilizado, la finalidad comercial y las circunstancias particulares de cada organización.