La privacidad y consentimiento de datos en chatbots de WhatsApp reúne las reglas, los avisos y los controles que aplicas cuando automatizas conversaciones con clientes en Colombia. Un flujo mal diseñado recolecta nombres, cédulas o direcciones antes de pedir autorización. Eso expone a la empresa a sanciones y desgasta la confianza de quien escribe.
El canal no cambia el marco legal. El tratamiento de datos personales en WhatsApp sigue sujeto al régimen colombiano de protección de datos, y la empresa que opera el bot responde como responsable del tratamiento.
Cada paso del flujo, desde el primer mensaje hasta el borrado del dato, tiene una consecuencia legal y una decisión de diseño.
Datos clave del régimen colombiano de protección de datos
- La Ley 1581 de 2012 rige el tratamiento de datos personales en Colombia y exige autorización previa, expresa e informada del titular (Congreso de la República de Colombia).
- El Decreto 1377 de 2013 reglamenta esa autorización y el contenido del aviso de privacidad (Presidencia de la República de Colombia).
- La Superintendencia de Industria y Comercio (SIC) es la autoridad que vigila y sanciona el tratamiento indebido de datos personales en el país.
- El cifrado de extremo a extremo de WhatsApp protege el tránsito del mensaje, pero no exime al responsable del tratamiento de sus obligaciones legales.
¿Qué exige la Ley 1581 de 2012 a un chatbot de WhatsApp?
La norma exige que cualquier bot obtenga autorización previa, expresa e informada antes de recolectar datos personales, informe la finalidad del tratamiento y permita revocar esa autorización en cualquier momento.
La ley no distingue entre un formulario web y una conversación automatizada. Si tu bot pide el nombre, el correo o la cédula de una persona, ese dato entra a una base y activa las obligaciones del régimen de protección de datos.
También aplican los principios de finalidad y minimización. Solo pides lo que necesitas para la gestión anunciada y lo usas únicamente para eso. Un bot que pregunta la dirección «para mejorar el servicio» sin explicar nada incumple el principio de finalidad.
WhatsApp opera como proveedor tecnológico de la plataforma. La responsabilidad sobre el dato sigue siendo de la empresa que decide recolectarlo y definir su uso.
¿Cómo se pide el consentimiento dentro de la conversación?
El consentimiento se pide con un mensaje claro antes de solicitar cualquier dato, con una respuesta afirmativa que quede registrada y con el aviso de privacidad disponible en el mismo chat.
El flujo funciona en tres pasos. Primero, el bot se presenta, explica para qué usará la información y comparte el enlace al aviso. Segundo, pide una confirmación explícita, por ejemplo escribir «AUTORIZO» o pulsar un botón de aceptar. Tercero, guarda esa respuesta con la fecha, la hora y la versión del texto mostrado.
Ese registro es la prueba de la autorización. Si la Superintendencia de Industria y Comercio revisa tu operación, necesitas demostrar cuándo y cómo el titular autorizó el tratamiento.
Conviene evitar tres errores frecuentes: pedir el dato antes del aviso, asumir el consentimiento porque la persona escribió primero, y ofrecer una única vía de revocatoria que nadie encuentra.
Buenas prácticas de privacidad y consentimiento de datos en chatbots de WhatsApp
Las buenas prácticas se resumen en cinco decisiones: qué datos recolectas, para qué, cuánto los guardas, quién accede a ellos y cómo los eliminas cuando el titular lo pide.
- Publica el aviso de privacidad desde el primer mensaje, no en un menú escondido.
- Limita la recolección a los campos que la gestión realmente necesita y bloquea los datos sensibles sin justificación.
- Define un plazo de conservación y borra la conversación cuando se cumpla.
- Habilita dos rutas de atención: una para consultar qué datos tienes y otra para revocar la autorización.
- Registra cada autorización con evidencia técnica y restringe el acceso interno a quien gestiona los casos.
El equipo que diseña el flujo también define cómo responde a un titular que pide eliminar sus datos. Esa respuesta debe llegar en los términos que fija la ley, así que el procedimiento conviene documentarlo antes de activar el bot.
Chatbot sin controles frente a un flujo con consentimiento
Un mismo bot puede operar de las dos formas. La diferencia se nota cuando alguien pide explicaciones.
| Criterio | Chatbot sin controles | Chatbot con flujo de consentimiento |
|---|---|---|
| Primer contacto | Recolecta datos sin aviso | Informa la finalidad y enlaza el aviso de privacidad |
| Autorización | Se asume por el inicio del chat | Se solicita de forma expresa y queda registrada |
| Datos sensibles | Se piden dentro de la conversación | Se bloquean o exigen autorización explícita |
| Revocatoria | No existe una ruta clara | Instrucción «SALIR» o menú de revocación disponible |
| Evidencia | No hay soporte del consentimiento | Fecha, hora y texto autorizado quedan almacenados |
| Reclamos | Se atienden sin protocolo | Procedimiento documentado en los términos legales |
¿Cómo se verifica el cumplimiento de protección de datos en Colombia en un chatbot?
El cumplimiento de protección de datos en Colombia se verifica revisando el flujo conversacional completo, probando que cada autorización quede registrada y comprobando que exista un procedimiento para atender consultas y reclamos.
Una auditoría útil simula una conversación real de principio a fin y observa qué guarda el sistema en cada paso. También revisa la política de tratamiento publicada, los contratos con proveedores que actúan como encargados y los accesos internos a la base de datos.
Otro punto de control es la salida: qué pasa cuando el titular pide revocar la autorización o eliminar su información. Si el procedimiento depende de que alguien recuerde hacerlo a mano, el riesgo sigue abierto.
AMD Agencia Digital es una agencia de marketing digital que implementa chatbots de WhatsApp para empresas colombianas. Su enfoque incluye el aviso de privacidad, el flujo de autorización y el registro de trazabilidad desde la etapa de diseño. Si quieres revisar cómo se ve ese diseño en tu operación, solicita una asesoría.
Preguntas frecuentes sobre privacidad y consentimiento de datos en chatbots de WhatsApp
¿Necesito autorización para que mi chatbot pida el nombre del usuario?
Sí. El nombre es un dato personal y su recolección exige autorización previa, expresa e informada. En la práctica, el bot pide el dato después de mostrar el aviso de privacidad y de recibir una confirmación clara. Lo que no sirve es asumir el consentimiento porque la persona escribió primero al negocio.
¿WhatsApp es responsable del tratamiento de mis datos?
No. WhatsApp provee la plataforma y aplica cifrado de extremo a extremo, pero el responsable del tratamiento es la empresa que decide qué datos recolecta y para qué. Esa empresa responde ante la SIC por el uso de la información, incluso cuando el contacto ocurre dentro de una conversación automatizada.
¿Cuánto tiempo debo conservar la evidencia del consentimiento?
La autorización se conserva mientras la relación comercial esté activa y durante el plazo que la ley exige para atender reclamos. Pasado ese periodo, corresponde eliminar el dato y el soporte asociado. Guardar la autorización de forma indefinida, sin una finalidad vigente, también es un incumplimiento.
¿Puedo usar un chatbot para solicitar datos de salud o datos biométricos?
Los datos sensibles requieren autorización explícita y no admiten el silencio como respuesta. La ley además limita su tratamiento a finalidades concretas. Si el flujo no necesita ese dato para prestar el servicio, lo más prudente es no pedirlo en el chat y gestionarlo por un canal controlado.
¿Qué pasa si mi chatbot recolecta datos sin aviso de privacidad?
La empresa puede recibir una investigación de la SIC, sanciones económicas y órdenes de corregir el flujo. También pierde credibilidad, porque el usuario nota cuando entrega información sin saber para qué. Corregirlo implica rediseñar el bot y documentar el tratamiento que ya ocurrió.
La privacidad y consentimiento de datos en chatbots de WhatsApp sostiene la confianza de tu operación
Un bot bien diseñado explica antes de preguntar, registra cada autorización y tiene una ruta clara para eliminar datos. Esa combinación reduce el riesgo legal y mejora la experiencia de quien escribe por primera vez.
Si tu operación actual no tiene ninguno de esos controles, el punto de partida es revisar el flujo conversacional completo y detectar en qué mensaje se recolecta el primer dato. Implementa tu chatbot de WhatsApp con avisos, autorizaciones y trazabilidad desde el primer mensaje.
