WhatsApp Business s’ha consolidat com un dels canals preferits per les empreses per atendre clients, gestionar reserves, enviar confirmacions o donar suport postvenda. La immediatesa i la familiaritat de l’eina expliquen l’adopció, però també comporten una realitat que moltes organitzacions passen per alt: cada missatge, cada número de telèfon i cada conversa és un tractament de dades personals subjecte a la normativa europea.
Repassem les principals obligacions que una empresa ha de tenir presents abans, durant i després d’utilitzar WhatsApp Business en la seva operativa.
1Dues modalitats, necessitats de control diferents
La modalitat escollida condiciona la gestió dels accessos, la conservació de les converses i la intervenció de proveïdors. Cal analitzar la configuració concreta del servei, les integracions i les responsabilitats de cada actor.
Cal distingir dues modalitats que sovint es confonen:- L’aplicació WhatsApp Business, pensada per a petites i mitjanes empreses i que funciona des d’un dispositiu mòbil o d’escriptori.
- La WhatsApp Business Platform (API), orientada a organitzacions que integren el canal amb sistemes de CRM, atenció automatitzada o enviaments massius mitjançant un proveïdor tecnològic.
Cap de les dues opcions és necessàriament més adequada que l’altra des del punt de vista de la protecció de dades. El que és important és identificar quina modalitat utilitza l’empresa i analitzar-ne les característiques i implicacions en el tractament de dades personals, per tal d’establir les mesures necessàries que en garanteixin un ús correcte i conforme a la normativa vigent.
2Base jurídica: no tot es justifica amb el consentiment
Tot tractament necessita una base de legitimació de l’article 6 de la LQPD i, si escau, de l'RGPD. En aquest àmbit, les més habituals són:
- Execució d’un contracte o mesures precontractuals, quan es comunica informació necessària per prestar el servei: confirmació d’una cita, estat d’una comanda, incidències.
- Consentiment, quan aquesta sigui la base jurídica aplicable a la finalitat del tractament.
- Interès legítim, que exigeix una ponderació documentada i no és aplicable de manera automàtica.
A Andorra, l’article 19 de la Llei 20/2014 exigeix, com a regla general, consentiment previ per enviar comunicacions comercials electròniques de recepció directa i personal. Preveu una excepció quan les dades s’han obtingut lícitament en una relació comercial prèvia, s’ha ofert la possibilitat de rebutjar aquests enviaments en recollir-les i es compleixen les condicions relatives als béns o serveis promocionats. No n’hi ha prou amb tenir el número d’un client. A més, cal respectar l’opt-in exigit per WhatsApp per rebre missatges o trucades posteriors de l’empresa. Aquest requisit contractual no substitueix les obligacions legals.
El destinatari ha de disposar d’una via fàcil, senzilla i gratuïta per deixar de rebre publicitat.El consentiment ha de ser lliure, específic, informat i inequívoc, i l’empresa ha de poder acreditar-lo. Afegir un client a una llista de difusió sense haver-ne obtingut l’opt-in és una de les infraccions més freqüents.
A més, els destinataris han de disposar d'un mecanisme senzill per oposar-se a continuar rebent aquestes comunicacions. Que un client hagi escrit anteriorment a l'empresa per WhatsApp no significa que hagi acceptat rebre publicitat.3Transparència: informar abans de tractar
Els articles 16 i 17 de la LQPD regulen la informació que cal facilitar segons si les dades s’obtenen directament de la persona interessada o d’altres fonts. El contingut i el moment de facilitar-la s’han d’adaptar a aquesta circumstància.
En la pràctica, això implica:- Incorporar una política de privacitat específica per al canal de WhatsApp o ampliar-ne la general.
- Oferir una informació per capes en el primer contacte, per exemple amb un missatge de benvinguda que enllaci a la política completa.
- Informar de l’ús de sistemes automatitzats o chatbots quan escaigui.
4Transferències internacionals de dades
L’ús de WhatsApp Business pot comportar transferències internacionals de dades. L’empresa ha d’identificar els destinataris, els països de tractament i els proveïdors que hi intervenen, i comprovar el mecanisme que empara cada transferència segons la LQPD i el seu reglament.
No n’hi ha prou amb una referència genèrica a decisions d’adequació o clàusules contractuals: cal verificar-ne la vigència i l’aplicabilitat al flux concret, i documentar l’anàlisi i les garanties que corresponguin. Quan també sigui aplicable el RGPD, caldrà complir-ne igualment el règim de transferències.5Seguretat i control del canal corporatiu
La seguretat de WhatsApp Business també depèn de com l’empresa organitza el seu ús. Cal saber qui gestiona el compte, des de quins dispositius s’hi accedeix i on es conserven les converses i els documents. Per això, recomanem establir unes pautes internes que incloguin:
- Accessos autoritzats: limitar l’accés a les persones que el necessiten, activar la verificació en dos passos i revisar els dispositius vinculats.
- Dispositius protegits: mantenir l’aplicació i el sistema operatiu actualitzats, utilitzar un bloqueig segur i definir les condicions d’ús dels dispositius personals.
- Informació adequada al canal: concretar quines dades i documents es poden compartir i quan convé utilitzar un altre mitjà.
- Còpies i integracions controlades: revisar la protecció, la ubicació i els accessos a les còpies de seguretat, les exportacions i els sistemes connectats.
- Continuïtat i resposta: retirar els accessos quan una persona deixa de gestionar el canal i establir com actuar davant la pèrdua d’un dispositiu, un accés indegut o un enviament erroni.
El personal ha de conèixer aquestes pautes i les seves obligacions de confidencialitat. Les mesures s’han d’adaptar a les dades tractades i revisar-se periòdicament.
6L’accés a l’agenda de contactes
L’activació de determinades funcionalitats pot suposar que l’aplicació accedeixi als contactes del dispositiu. Quan aquests corresponen a clients, proveïdors o tercers, l’empresa ha de valorar si l’accés és compatible amb els principis de minimització i limitació de la finalitat (article 5 del RGPD) i si es pot sostenir sobre una base jurídica vàlida. L’anomenada «excepció domèstica» no resulta aplicable a l’ús professional.
7Conservació, drets dels interessats i grups
Les converses no poden conservar-se indefinidament. L’empresa ha de definir terminis de conservació per tipologia de dada i procedir a la supressió o anonimització quan deixin de ser necessàries. Alhora, ha d’estar preparada per atendre els drets d’accés, rectificació, supressió, oposició, limitació i portabilitat, cosa difícil si les converses estan disperses en dispositius individuals.
Els grups de WhatsApp mereixen una menció especial: l’addició de tercers sense informació prèvia, la compartició de dades entre participants i la dificultat de controlar la reenviació de continguts en fan una font recurrent de risc.
8Automatització, intel·ligència artificial i decisions individuals
La integració de chatbots i assistents basats en intel·ligència artificial amplia el ventall d’obligacions. Cal distingir l’atenció automatitzada de les decisions individuals automatitzades regulades per la LQPD. Abans d’implantar aquestes eines, s’ha de valorar si el tractament requereix una avaluació d’impacte segons els criteris de risc de la normativa andorrana. L’ús d’un chatbot, per si sol, no resol aquesta valoració.
Quan resultin aplicables, també s’han de considerar el RGPD i les obligacions de transparència del Reglament europeu d’intel·ligència artificial, segons el sistema i el paper de cada actor.9Perspectiva des d’Andorra
Quan també pot resultar aplicable el RGPD?
Per a les empreses establertes al Principat, l’ús de WhatsApp Business ha de conciliar la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals, amb l’aplicabilitat extraterritorial del RGPD (article 3.2), quan s’ofereixen béns o serveis a persones situades a la Unió Europea o es monitoritza el seu comportament.
Aquesta aplicació no deriva simplement de tenir clients de nacionalitat europea. Cal examinar si l’activitat es dirigeix a persones situades a la Unió Europea o implica el seguiment del seu comportament dins la Unió.
Llista de verificació per a l’empresa
Conclusió
WhatsApp Business pot ser una eina útil per a l’empresa, però el seu ús s’ha de planificar amb criteri jurídic, responsabilitats definides i mesures adaptades a la informació que s’hi tracta. El compliment no s’aconsegueix amb una única acció, sinó amb un conjunt de decisions organitzatives, contractuals i tècniques que s’han de poder demostrar davant de qualsevol autoritat de control. La responsabilitat proactiva (accountability) és, en definitiva, el principi que vertebra tot el sistema.