LOPDP: qué datos de tus clientes puedes guardar en Ecuador y qué no
Guía práctica de la Ley Orgánica de Protección de Datos Personales para un negocio que vende por WhatsApp: bases legales, consentimiento, derechos y plazos.
La Ley Orgánica de Protección de Datos Personales se publicó en mayo de 2021, y las sanciones se aplican desde mayo de 2023. Las multas ya no son teóricas, y tu WhatsApp lleno de cédulas, direcciones y fotos de comprobantes es una base de datos personales como cualquier otra.
Qué cuenta como dato personal
Todo lo que permita identificar a una persona, solo o combinado con otro dato. No es solo la cédula: el teléfono, la dirección de entrega, la foto de perfil, el correo y hasta las notas que tu vendedor escribe en la ficha.
Aparte están los datos sensibles, con protección reforzada: salud, origen étnico, datos biométricos, orientación sexual, afiliación política o sindical, situación migratoria y datos de niñas, niños y adolescentes. Si tu negocio no los necesita, lo más seguro es no pedirlos nunca.
No todo necesita consentimiento (y esto sorprende a casi todos)
El error más común es creer que necesitas permiso firmado para todo. La ley admite varias bases legales y el consentimiento es solo una. Para un negocio que vende, las que más aparecen son tres.
- Ejecución de un contrato o de medidas precontractuales. Si alguien te pide una cotización, necesitas su nombre y contacto para cotizar: no hace falta un consentimiento aparte.
- Cumplimiento de una obligación legal. La factura con RUC o cédula la exige el SRI, no tú. Ahí no hay nada que pedir.
- Interés legítimo. Cubre lo razonable, como llevar el historial de la relación comercial. No cubre mandar publicidad a quien no la pidió.
El consentimiento sí es obligatorio para el marketing: difusiones, promociones y avisos comerciales a quien no los pidió. Y tiene que ser libre, específico, informado e inequívoco. O sea: ni una casilla ya marcada ni el silencio cuentan.
Cómo se pide consentimiento por WhatsApp sin que sea incómodo
No hace falta un formulario notariado. Hace falta registro de que la persona dijo que sí, a qué y cuándo. En un chat basta una pregunta directa y guardar la respuesta.
- 01Dile para qué vas a usar sus datos, en una línea y en palabras simples. Nada de "acepto los términos" a secas.
- 02Separa la venta de la publicidad: puede querer que le cotices y no querer que le mandes promociones. Son dos permisos distintos.
- 03Guarda la respuesta con su fecha. La carga de la prueba es tuya: si te reclaman, tienes que mostrar el consentimiento.
- 04Deja una salida clara y que funcione: si alguien pide que no le escribas más, deja de recibir mensajes de verdad.
Los derechos que te pueden ejercer
Cualquier cliente puede pedirte ver sus datos, corregirlos o actualizarlos, eliminarlos, oponerse a un tratamiento, pedir portabilidad y no quedar sujeto a decisiones puramente automatizadas. Son irrenunciables: ninguna cláusula los anula.
En la práctica, tienes que poder encontrar todo lo de una persona y borrarlo. Si sus datos están repartidos entre tres celulares, un Excel y las notas de un vendedor que ya se fue, no puedes cumplir aunque quieras.
Si se te filtran datos, hay reloj
Ante una vulneración de seguridad, tienes cinco días para notificar a la autoridad y tres para avisarle al titular si sus derechos corren riesgo. Los plazos cuentan desde que te enteras: define desde ya quién avisa y a quién.
Cuánto cuesta hacerlo mal
La multa no es un monto fijo: es un porcentaje del volumen de negocio del año anterior. Las infracciones leves van del 0,1% al 0,7% y las graves del 0,7% al 1%. Para una empresa mediana es mucho más que la multa de tránsito que la gente se imagina.
Lo mínimo razonable para un negocio que vende por chat
- Pide solo lo que necesitas. Cada dato de más es riesgo sin beneficio.
- Ten un solo lugar donde viven los datos del cliente, no cinco celulares.
- Que cada vendedor entre con su usuario y vea lo suyo. Con cuentas compartidas no sabes quién tocó qué.
- Separa el permiso de venta del permiso de publicidad, y respeta las bajas.
- Publica una política de privacidad que se entienda y que diga lo que de verdad haces.
- Cuando un vendedor se va, que se vaya su acceso, no la información.
Nada de esto es burocracia. Es el mismo orden que evita que pierdas la cartera cuando renuncia alguien del equipo: cumplirlo te protege dos veces.
Manos CRM se pensó desde la LOPDP y no desde un GDPR traducido: usuarios con permisos, historial por cliente en un solo lugar y validación de RUC y cédula con dígito verificador ecuatoriano.