Habeas data y chatbots de WhatsApp: lo que exige la Ley 1581
Una guía práctica, sin tecnicismos, para que tu chatbot de WhatsApp trate los datos de tus clientes de forma responsable en Colombia.
Cuando un cliente le escribe a tu chatbot de WhatsApp, te entrega datos personales: su número, su nombre, a veces su dirección, su documento, información de pago o incluso datos de salud. En Colombia, el habeas data —el derecho de las personas a conocer, actualizar y rectificar la información que se recoja sobre ellas— está protegido por la Constitución y desarrollado por la Ley 1581 de 2012 y sus decretos reglamentarios. Si tu empresa usa un chatbot, esa ley te aplica. Aquí te explicamos, en términos prácticos, qué implica.
Conceptos básicos de la Ley 1581 aplicados a un chatbot
- Titular: la persona a quien se refieren los datos; en este caso, tu cliente.
- Responsable del tratamiento: quien decide sobre los datos y para qué se usan; normalmente tu empresa.
- Encargado del tratamiento: quien trata los datos por cuenta del responsable; por ejemplo, la plataforma que opera tu chatbot.
- Tratamiento: cualquier operación sobre los datos: recogerlos, almacenarlos, usarlos, transmitirlos o eliminarlos.
La ley también establece principios que el tratamiento debe respetar, entre ellos legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad.
1. La autorización del titular
Como regla general, necesitas una autorización previa, expresa e informada del titular para tratar sus datos. En un chatbot de WhatsApp esto se puede resolver con un mensaje al inicio de la primera conversación que:
- Identifique a tu empresa como responsable.
- Explique para qué usarás los datos (atender su solicitud, agendar, facturar, enviar información si la acepta).
- Informe sus derechos y cómo ejercerlos.
- Enlace a tu política de tratamiento de datos.
- Pida una acción clara de aceptación (por ejemplo, un botón "Acepto").
Guarda evidencia de esa autorización: fecha, hora, número y texto que aceptó la persona. Un buen chatbot lo registra automáticamente.
2. Aviso de privacidad y política de tratamiento
Tu empresa debe tener una política de tratamiento de datos personales publicada y un aviso de privacidad que informe su existencia y cómo consultarla. En el chatbot, basta con un enlace claro al documento en tu sitio web y la posibilidad de pedirlo por el mismo chat. Nuestra política de privacidad es un ejemplo de documento publicado.
3. Datos sensibles: salud, biométricos y otros
La ley considera sensibles los datos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, como los relativos a la salud, la vida sexual, el origen racial o étnico, las convicciones religiosas o políticas y los datos biométricos. Para tratarlos se requiere autorización explícita, y debe informarse al titular que no está obligado a autorizar su tratamiento.
En la práctica, si tienes una clínica, una IPS o un laboratorio:
- Pide por chat solo los datos estrictamente necesarios.
- No envíes diagnósticos, resultados ni detalles clínicos en mensajes abiertos; prefiere enlaces a portales con autenticación.
- Verifica la identidad antes de entregar información.
- Limita qué funcionarios pueden ver esas conversaciones.
Lo aplicamos en el chatbot para laboratorios e IPS.
4. Derechos de tus clientes y cómo atenderlos por WhatsApp
Los titulares tienen derecho a conocer, actualizar y rectificar sus datos, solicitar prueba de la autorización, ser informados sobre el uso que se les da, revocar la autorización o pedir la supresión cuando proceda, y presentar quejas ante la Superintendencia de Industria y Comercio (SIC). La ley fija plazos para responder consultas y reclamos. Tu chatbot puede ser un canal para recibir estas solicitudes y enrutarlas al área responsable, con registro de fecha.
5. Datos financieros y de cobranza
Si tu chatbot consulta saldos, créditos o información de pagos, ten en cuenta también la Ley 1266 de 2008 (habeas data financiero). Y si lo usas para cobranza o publicidad, la Ley 2300 de 2023 regula los canales autorizados, los horarios y la frecuencia de contacto. Ver cobranza por WhatsApp y el chatbot para cooperativas.
6. Inteligencia artificial y datos personales
Cuando el chatbot usa inteligencia artificial, aplican los mismos principios: finalidad clara, mínimos datos necesarios, seguridad y transparencia. La SIC ha emitido orientaciones sobre el tratamiento de datos personales en sistemas de inteligencia artificial (por ejemplo, la Circular Externa 002 de 2024), que vale la pena revisar con tu abogado. Algunas buenas prácticas:
- Informa al cliente que está conversando con un asistente automatizado y que puede pedir hablar con una persona.
- No entrenes la IA con datos personales de clientes si no es necesario; usa información del negocio (catálogos, políticas, preguntas frecuentes).
- Define qué decisiones nunca toma la IA sola (por ejemplo, aprobar un crédito o interpretar un resultado médico).
- Revisa periódicamente las conversaciones para detectar errores.
7. Transmisión internacional y proveedores
WhatsApp es un servicio de Meta, y la plataforma del chatbot y los modelos de IA pueden procesar datos en servidores fuera de Colombia. La ley regula la transferencia y transmisión internacional de datos personales. Revisa con tu abogado que tu política lo contemple y que existan los acuerdos adecuados con tus encargados (la plataforma del chatbot y sus proveedores).
8. Registro Nacional de Bases de Datos
Algunas empresas deben inscribir sus bases de datos en el Registro Nacional de Bases de Datos (RNBD) que administra la SIC, según los criterios de la reglamentación vigente (por ejemplo, el tamaño de sus activos o su naturaleza). Si estás obligado, la base de contactos de tu chatbot debe estar incluida.
Lista de verificación para tu chatbot
- Mensaje de autorización al inicio, con enlace a la política.
- Registro de la autorización (fecha, hora, texto aceptado).
- Recolección mínima de datos; nada sensible si no es indispensable.
- Verificación de identidad antes de entregar información personal.
- Roles y permisos en la bandeja de conversaciones.
- Opción de dejar de recibir mensajes y de ejercer derechos por el chat.
- Política actualizada con chatbot, IA y transmisión internacional.
- Revisión legal por un abogado especializado.
En WaBot configuramos estos elementos como parte de la implementación del chatbot de WhatsApp con IA. Consulta los planes.
Preguntas frecuentes
Como regla general, sí: la Ley 1581 de 2012 exige autorización previa, expresa e informada para tratar datos personales, con algunas excepciones legales. Lo práctico es pedirla al inicio de la conversación y guardar la evidencia.
Los datos de salud son sensibles. Solo deben pedirse si son indispensables, con autorización explícita e informando que el titular no está obligado a darlos, y protegiéndolos con medidas de seguridad adicionales.
Normalmente tu empresa es la responsable del tratamiento y la plataforma actúa como encargada. Conviene dejarlo claro en un contrato o acuerdo de tratamiento de datos.
Es una buena práctica de transparencia informar que se trata de un asistente automatizado y ofrecer la opción de hablar con una persona. Valida con tu abogado las exigencias aplicables a tu caso.
No. Es una guía informativa. Consulta a un abogado especializado en protección de datos para tu caso concreto.