En resumen
Para hacer marketing por WhatsApp en México de forma legal necesitas tres cosas: que la persona te haya dado su número y aceptado recibir mensajes de tu negocio (el opt-in que exige Meta), un aviso de privacidad que diga con claridad que usarás sus datos para mercadotecnia por WhatsApp, y un proceso para respetar de inmediato a quien pide que ya no le escribas. La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el DOF el 20 de marzo de 2025 y vigente desde el día siguiente, define el consentimiento como libre, específico e informado, pasó la vigilancia del INAI a la Secretaría Anticorrupción y Buen Gobierno y fija multas de hasta 320,000 UMA, que con la UMA de 2026 son más de 37 millones de pesos. Las listas compradas no pasan ninguno de los dos filtros.
Sección 01 de 06
Qué cambió con la nueva Ley de Datos Personales de 2025
El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación una Ley Federal de Protección de Datos Personales en Posesión de los Particulares totalmente nueva. Entró en vigor al día siguiente, el 21 de marzo, y abrogó la ley de 2010. Su última reforma es del 14 de noviembre de 2025. Si tu aviso de privacidad o tus formularios se escribieron antes de esa fecha, conviene revisarlos con esta versión en la mano.
El cambio más visible es la autoridad. El INAI desapareció y la ley nueva define como "Secretaría" a la Secretaría Anticorrupción y Buen Gobierno, que es quien verifica, resuelve los procedimientos de protección de derechos e impone las sanciones a los particulares. Los principios de fondo se mantienen: licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad.
La ley aplica a cualquier persona física o moral privada que trate datos personales, y un celular con un nombre ya es un dato personal.
Lista de verificación · 5 puntos
- 01
Publicación en el DOF: 20 de marzo de 2025. Vigencia: desde el 21 de marzo de 2025.
- 02
Autoridad: Secretaría Anticorrupción y Buen Gobierno (antes INAI).
- 03
Consentimiento: manifestación de voluntad libre, específica e informada.
- 04
Datos sensibles (salud, creencias, preferencia sexual, entre otros): consentimiento expreso y por escrito.
- 05
Datos financieros o patrimoniales: consentimiento expreso, salvo excepciones de ley.
Sección 02 de 06
Consentimiento para WhatsApp marketing: lo que pide la ley y lo que pide Meta
La ley distingue entre consentimiento expreso y tácito. Es tácito cuando pusiste a disposición de la persona tu aviso de privacidad y ella no se opuso; es expreso cuando lo manifiesta por escrito, de palabra, por medios electrónicos o con signos inequívocos, como marcar una casilla. Por regla general el tácito es válido, pero cuando hay datos sensibles o financieros la ley exige el expreso. Además, si quieres usar los datos para una finalidad distinta a la que informaste, el artículo 11 te obliga a pedir el consentimiento de nuevo.
Meta pone su propia barrera, y es más concreta. Su política de mensajería dice que sólo puedes contactar a alguien por WhatsApp si te dio su número de teléfono y si recibiste su permiso para escribirle. Al pedir ese permiso tienes que decir con claridad que la persona acepta recibir mensajes y de qué negocio, con su nombre. Y además debes cumplir la ley aplicable, o sea, la LFPDPPP.
Lo más seguro es un consentimiento expreso y separado para mercadotecnia: una casilla sin marcar en tu formulario o un sí por escrito en el chat. No lo escondas en los términos y condiciones.
Lista de verificación · 4 puntos
- 01
Di el nombre de tu negocio y que enviarás mensajes por WhatsApp.
- 02
Casilla sin marcar por defecto y separada del permiso para darle el servicio.
- 03
Explica cómo darse de baja en el mismo momento en que pides el permiso.
- 04
Si cambias el uso de los datos, vuelve a pedir el consentimiento.
Sección 03 de 06
El aviso de privacidad debe mencionar mercadotecnia y WhatsApp
El artículo 15 de la ley dice qué debe traer, como mínimo, el aviso de privacidad: identidad y domicilio del responsable, qué datos tratas (señalando los sensibles), las finalidades, distinguiendo las que requieren consentimiento, las opciones para limitar el uso o la divulgación, los medios para ejercer los derechos ARCO y cómo avisarás de los cambios al propio aviso.
Si recabas datos por medios electrónicos, como un formulario web o el propio chat, el artículo 16 te permite un aviso simplificado con los cuatro primeros elementos y la liga al aviso integral. Ahí fallan muchos negocios: la finalidad dice "atender tu solicitud" y nunca menciona promociones. Si vas a mandar ofertas, escribe la finalidad de mercadotecnia y nombra los canales: WhatsApp, correo y SMS.
El consentimiento, además, se puede revocar en cualquier momento, y la ley obliga a que el aviso explique el mecanismo para hacerlo. Una respuesta tipo "escribe BAJA y no te volvemos a enviar promociones" es un mecanismo claro y fácil de demostrar.
Sección 04 de 06
Bajas, derechos ARCO y la regla de "no me escribas"
Cuando alguien te escribe "ya no me manden mensajes", ese pedido se respeta. Meta lo dice sin rodeos: debes respetar todas las solicitudes para dejar de recibir mensajes, lleguen por WhatsApp o por fuera. Además, cualquier persona puede detener los mensajes de marketing de un negocio, bloquearlo o reportarlo desde la app, y Meta limita el envío a los negocios cuya calidad se mantiene baja por un tiempo.
En la ley, ese pedido encaja en los derechos ARCO: acceso, rectificación, cancelación y oposición. Tienes que designar a una persona o a un departamento que les dé trámite, contestar en un máximo de 20 días hábiles y, si procede, hacerlo efectivo en los 15 días hábiles siguientes; los plazos se pueden ampliar una sola vez. El ejercicio de estos derechos es gratuito, salvo los costos de reproducción o envío.
Ojo con la diferencia: una baja de promociones no siempre es una cancelación total. Si la persona sigue siendo tu cliente, puedes seguir mandándole lo necesario para el servicio, como la confirmación de una cita. Lo que no puedes es seguir usando sus datos para mercadotecnia después de que se opuso.
Lista de verificación · 4 puntos
- 01
Registra la baja en cuanto llega, no al final de la campaña.
- 02
Saca al contacto de toda lista de promociones, en todos los canales.
- 03
Contesta las solicitudes ARCO en un máximo de 20 días hábiles.
- 04
Guarda constancia de cuándo y por qué medio pidió la baja.
Sección 05 de 06
Listas compradas y multas: qué arriesga tu negocio
Comprar una base de datos de números y mandarle promociones por WhatsApp choca con las dos reglas a la vez. Para Meta, esas personas no te dieron su número ni su permiso. Para la ley, recabar datos de forma engañosa, transferirlos fuera de los casos permitidos o tratarlos sin el consentimiento que se exige son infracciones expresas del artículo 58. Si el proveedor te jura que "tienen consentimiento", pide la prueba: cuándo, de qué forma y para qué negocio lo dieron.
Las multas del artículo 59 se calculan en UMA. Con la UMA vigente desde el 1 de febrero de 2026, de $117.31 pesos diarios según el INEGI, los rangos quedan así. Las cifras en pesos son nuestra multiplicación sobre el texto de la ley, y la Secretaría decide el monto según la naturaleza del dato, la intención, la capacidad económica del responsable y la reincidencia. Todo esto, sin perjuicio de la responsabilidad civil o penal que resulte.
Lista de verificación · 4 puntos
- 01
De 100 a 160,000 UMA (de $11,731 a $18,769,600): por ejemplo, omitir elementos del aviso de privacidad o tratar datos contra los principios de la ley.
- 02
De 200 a 320,000 UMA (de $23,462 a $37,539,200): por ejemplo, recabar o transferir sin el consentimiento expreso cuando se exige, recabar datos de forma engañosa o seguir usándolos después de que el titular pidió el cese.
- 03
Si la infracción persiste: multa adicional de 100 a 320,000 UMA.
- 04
Con datos sensibles, los montos pueden aumentar hasta al doble.
Sección 06 de 06
Cómo lo resuelve Leadway
Un CRM no te vuelve cumplido por sí solo, pero sí te deja demostrar lo que hiciste. En Leadway cada formulario crea un contacto con su origen, y los campos personalizados guardan en su expediente la fecha, el medio y el texto del consentimiento. El historial de conversaciones queda junto al contacto.
Las etiquetas y las listas inteligentes vienen desde el plan Standard: marca a quien aceptó promociones y a quien pidió la baja, y arma tus campañas sólo con la lista de quienes sí aceptaron. Las bajas son automáticas: cuando alguien escribe que ya no quiere recibir mensajes («ya no me escriban», «baja», «stop»), Leadway lo marca como baja, lo saca de tus campañas y secuencias de marketing y deja registrado cuándo y por qué canal lo pidió, sin depender de que alguien de tu equipo se acuerde. Los mensajes de servicio que sí necesita, como la confirmación de una cita, siguen saliendo. WhatsApp es nativo, porque Leadway es proveedor oficial de WhatsApp Business, y los mensajes que inician conversación salen con plantillas aprobadas por Meta.
Para las solicitudes ARCO, puedes exportar los contactos y sus conversaciones desde la configuración. Y en lo que toca a Leadway, operamos en cumplimiento con la LFPDPPP: no entrenamos IA con los datos de tus clientes ni los vendemos o compartimos para anuncios.
Aviso importante: esta guía es informativa y no constituye asesoría legal. Resume la ley vigente al 13 de octubre de 2026 y las políticas públicas de Meta a esa fecha. Para revisar tu aviso de privacidad o tu caso concreto, consulta a un abogado especialista en protección de datos personales.
8 preguntas
Preguntas frecuentes
¿Es legal mandar promociones por WhatsApp en México?
Sí, siempre que la persona te haya dado su número, haya aceptado recibir mensajes de tu negocio y tu aviso de privacidad incluya la finalidad de mercadotecnia. También debes respetar de inmediato a quien pide la baja. Sin esas tres condiciones incumples la política de Meta y te expones a las sanciones de la LFPDPPP.
¿De cuánto son las multas por mal uso de datos personales en 2026?
La ley fija multas de 100 a 160,000 UMA y de 200 a 320,000 UMA según la infracción, con una multa adicional si persiste y hasta el doble con datos sensibles. Con la UMA de 2026, de $117.31 pesos, el tope del rango más alto equivale a $37,539,200 pesos.
¿Puedo usar una base de datos comprada para WhatsApp marketing?
No es recomendable. Meta sólo permite escribir a quien te dio su número y su permiso, y la ley castiga recabar datos de forma engañosa o tratarlos sin el consentimiento exigido.
¿Qué hago si un cliente me escribe que ya no le mande mensajes?
Registra la baja de inmediato y sácalo de todas tus listas de promociones. Meta exige respetar esas solicitudes vengan de donde vengan, y la ley reconoce el derecho de oposición.
¿Qué debe decir mi aviso de privacidad para usar WhatsApp en marketing?
Debe incluir tu identidad y domicilio, los datos que tratas, las finalidades (y ahí escribir la mercadotecnia, de preferencia nombrando WhatsApp), cómo limitar el uso, cómo ejercer los derechos ARCO y cómo avisarás de cambios. En formularios y chats puedes usar el aviso simplificado con liga al aviso integral.
¿En cuánto tiempo debo responder una solicitud de derechos ARCO?
En un máximo de 20 días hábiles desde que la recibes, y si procede, debes hacerla efectiva en los 15 días hábiles siguientes. Los dos plazos se pueden ampliar una sola vez por un periodo igual cuando el caso lo justifique. El trámite es gratuito para el titular.
¿Basta con el consentimiento tácito para mandar promociones por WhatsApp?
La ley acepta el consentimiento tácito como regla general, pero Meta pide un permiso claro para recibir mensajes de tu negocio. Por eso lo más seguro es un consentimiento expreso y separado para mercadotecnia, como una casilla sin marcar o una respuesta afirmativa en el chat, y guardar constancia de él.
¿Esta guía sustituye la asesoría de un abogado?
No. Es un resumen informativo de la LFPDPPP vigente y de las políticas de Meta al 13 de octubre de 2026, y no constituye asesoría legal. Para redactar tu aviso de privacidad o evaluar un caso concreto, consulta a un abogado especialista en protección de datos personales.
