Privacidad en el chat: obligaciones legales de tu negocio en LATAM
Aviso de privacidad, derechos ARCO y retención de transcripciones: lo que tu negocio debe cumplir en México, Argentina y Colombia antes de automatizar.
Automatizar la atención por WhatsApp es una decisión de negocio. Pero desde el momento en que tu agente de IA saluda a un prospecto, ya estás recolectando datos personales. Eso activa obligaciones legales concretas, y la ignorancia no es un escudo frente a una multa o una queja ante el regulador.
Este artículo no evalúa a tu proveedor de tecnología —eso ya vive en otro lugar. Aquí se trata de tus obligaciones como negocio que usa el chat para recopilar, procesar y almacenar datos de personas reales.
El mapa legal: tres marcos que conviven en LATAM
Si operas en más de un país de la región, no hay un solo reglamento que seguir. Hay tres marcos principales, y cada uno tiene sus propias exigencias.
México: LFPDPPP
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (2010) es el referente mexicano. Su principio central es el consentimiento informado: no puedes tratar datos personales sin que el titular sepa para qué y dé su conformidad, explícita o implícita según el tipo de dato.
- Aplica a cualquier empresa privada que maneje datos de personas físicas en México.
- Exige un aviso de privacidad claro, disponible y accesible antes o en el momento de la recolección.
- Los datos sensibles (salud, finanzas, biometría) requieren consentimiento expreso y por escrito.
- El regulador es el INAI (Instituto Nacional de Transparencia).
Colombia: Habeas Data y Ley 1581 de 2012
Colombia tiene un derecho constitucional al habeas data, desarrollado en la Ley Estatutaria 1581 y el Decreto 1377. Los puntos clave:
- Necesitas autorización previa, expresa e informada del titular antes de tratar sus datos.
- Debes registrar tus bases de datos ante la Superintendencia de Industria y Comercio (SIC) si aplica a tu caso.
- El titular puede revocar el consentimiento en cualquier momento.
- Aplica también a datos de menores, con restricciones adicionales.
Argentina: Ley 25.326
La Ley de Protección de los Datos Personales de Argentina (2000) fue pionera en la región y tiene influencia del modelo europeo. Sus características:
- Los datos solo pueden usarse para la finalidad informada al momento de la recolección.
- Exige que los archivos de datos estén registrados ante la Agencia de Acceso a la Información Pública (AAIP).
- Tiene un régimen específico para datos sensibles similar al europeo.
- Hay un proyecto de reforma en discusión para alinearla con estándares más modernos, pero al momento de publicación la Ley 25.326 sigue vigente.
Qué tienen en común los tres marcos
Más allá de las diferencias técnicas, los tres coinciden en cuatro pilares:
| Obligación | México (LFPDPPP) | Colombia (Ley 1581) | Argentina (Ley 25.326) |
|---|---|---|---|
| Aviso/política de privacidad | Sí, obligatorio | Sí, obligatorio | Sí, obligatorio |
| Consentimiento previo | Sí | Sí (expreso) | Sí |
| Derechos del titular | ARCO | Acceso, corrección, supresión | ARCO |
| Registro ante autoridad | INAI (en casos) | SIC | AAIP |
El aviso de privacidad dentro de la conversación
Aquí está el punto que más se pasa por alto: el aviso de privacidad debe estar disponible en el canal donde recolectas los datos, no solo en el pie de tu sitio web.
Si tu agente de WhatsApp recibe nombre, correo, teléfono, historial de compras o cualquier dato personal, el usuario debe poder acceder al aviso antes o en el momento en que lo proporciona.
Cómo implementarlo sin interrumpir la experiencia
No tienes que convertir el aviso en un muro de texto dentro del chat. Alternativas prácticas:
- Mensaje de bienvenida con enlace: "Hola, para ayudarte necesitamos algunos datos. Consulta cómo los usamos aquí: [enlace a aviso]."
- Doble opt-in en campañas salientes: antes de enviar una plantilla de marketing, el usuario debe haber dado su consentimiento documentado.
- Checkbox o respuesta afirmativa registrada: en flujos donde el bot recolecta datos estructurados, un "Entendido" o "Acepto" puede ser suficiente si queda registrado con timestamp.
Lo que no funciona: asumir que el hecho de que el usuario te escribió primero equivale a consentimiento para cualquier uso futuro de sus datos. Escribirte para consultar un precio no es autorización para incluirlo en una campaña de remarketing.
Derechos ARCO: qué debes poder responder
ARCO son las iniciales de Acceso, Rectificación, Cancelación y Oposición. En Colombia y Argentina el modelo es equivalente aunque con nomenclatura ligeramente distinta.
Tu negocio debe tener un proceso para responder estas solicitudes dentro del plazo legal (varía por país, pero generalmente entre 10 y 20 días hábiles):
- Acceso: el titular pide saber qué datos tienes de él y para qué los usas.
- Rectificación: quiere corregir datos inexactos o incompletos.
- Cancelación: solicita que elimines sus datos de tus sistemas.
- Oposición: pide que dejes de usar sus datos para una finalidad específica (por ejemplo, marketing).
El problema práctico con los chats automatizados
Si tu agente de IA lleva seis meses atendiendo conversaciones, los datos de tus usuarios están distribuidos en: el historial del chat, el CRM, registros de plantillas enviadas, logs del sistema y posiblemente backups. Cuando alguien ejerce su derecho de cancelación, necesitas poder localizar y eliminar todos esos registros, no solo borrar el contacto del CRM.
Eso requiere un mapa de flujo de datos documentado antes de que llegue la primera solicitud, no después.
Retención de transcripciones y grabaciones
Las transcripciones de conversaciones son datos personales. Las grabaciones de llamadas de voz, también. Esto implica:
-
Definir plazos de retención: ¿cuánto tiempo necesitas conservar una conversación? La respuesta varía según el sector. Una clínica tiene obligaciones distintas a una tienda de ropa. Documenta el criterio.
-
Informar al usuario: el aviso de privacidad debe indicar cuánto tiempo conservas los datos y con qué finalidad.
-
Limitar el acceso interno: no todo tu equipo necesita acceso a todas las transcripciones. El principio de mínimo acceso necesario aplica aquí.
-
Eliminar cuando ya no haya necesidad legal o comercial justificada: guardar datos "por si acaso" no es una finalidad válida bajo ninguno de los tres marcos legales mencionados.
Un criterio práctico para fijar plazos: revisa la legislación de tu sector (salud, finanzas, educación) porque puede haber plazos mínimos de conservación propios. Luego establece un máximo que no exceda la necesidad real.
Datos de menores: zona de máximo cuidado
Los tres marcos tienen restricciones estrictas para datos de personas menores de edad. Si tu negocio atiende sectores como educación, salud infantil o comercio de productos para niños, necesitas:
- Verificar que no estás recolectando datos de menores sin consentimiento del tutor legal.
- Adaptar los flujos de conversación para detectar y escalar estos casos.
- Nunca usar datos de menores para perfilado o marketing directo.
Errores frecuentes que exponen a sanciones
- Usar datos recolectados para ventas y luego incorporarlos a una lista de difusión de WhatsApp sin consentimiento específico para ese uso.
- No tener un canal claro para recibir solicitudes ARCO (un correo o formulario que nadie revisa no cuenta).
- Compartir transcripciones con terceros (agencias, partners) sin cláusulas contractuales de confidencialidad.
- Conservar historiales de chat indefinidamente porque "está en la nube y no ocupa espacio".
- Asumir que operar fuera de México, Argentina o Colombia te exime de sus leyes si tratas datos de residentes en esos países.
Un último punto: documentación como escudo
Las sanciones más severas no siempre caen sobre empresas que cometieron infracciones graves, sino sobre aquellas que no pueden demostrar que tomaron medidas razonables. Tener documentado tu aviso de privacidad, tu proceso ARCO, tus plazos de retención y tus contratos con proveedores es tu primera línea de defensa ante cualquier queja o auditoría.
Esto no requiere un equipo legal de tiempo completo. Requiere orden y consistencia.
Pruébalo en tu negocio
En Lead Lab AI puedes configurar mensajes de bienvenida con enlace al aviso de privacidad, registrar el consentimiento dentro del flujo conversacional y mantener los historiales organizados por contacto para responder solicitudes ARCO sin volverte loco. ValerIA y OlivIA operan sobre la infraestructura verificada de Meta, lo que te da una base sólida para construir encima tus políticas de datos.
Si quieres ver cómo funciona en la práctica, crea tu cuenta en https://www.lead-lab.ai/signup o escríbenos a hola@lead-lab.ai.
¿Listo para que la IA atienda por ti?
ValerIA vende y OlivIA da soporte — por WhatsApp, voz y chat web, conectadas a tus datos. Configúralo en minutos.