WhatsApp Business API Segura en Perú: Protege los Datos de tus Clientes (Ley 29733)

En Perú, WhatsApp no es solo la app para hablar con la familia: es, de facto, el sistema de ventas y atención al cliente de miles de negocios. Buena parte de las pymes la usan como canal principal —a veces el único— para cotizar, cerrar ventas y responder reclamos. El problema es que, sin darse cuenta, esa conversación se convirtió en un registro de datos de clientes, y la ley peruana protege esos datos.

Nombres, números de teléfono, direcciones de entrega, preferencias de compra e incluso números de DNI compartidos “para el envío” son datos personales según la Ley N° 29733, Ley de Protección de Datos Personales. Si tu empresa los recopila y los almacena —aunque sea dentro de un celular con la app de WhatsApp Business—, debe protegerlos con medidas técnicas y organizativas razonables.

Actualizado: octubre de 2026

1. Tu chat de WhatsApp contiene datos personales protegidos por la ley

Desde marzo de 2025 rige el nuevo Reglamento de la Ley (D.S. 016-2024-JUS), que exige notificar a la Autoridad Nacional de Protección de Datos Personales (ANPD) los incidentes de seguridad que afecten datos personales dentro de las 48 horas de detectados, y reportar a la vez al Centro Nacional de Seguridad Digital cuando el incidente es digital. Según el nivel de gravedad, las multas van de 0,5 UIT hasta un máximo de 100 UIT; con la UIT de 2026 (S/ 5 500), el máximo equivale a S/ 550 000. Un análisis legal señala que no notificar un incidente grave se considera infracción grave, con multas de 5 a 50 UIT. Esto es información general y no reemplaza la asesoría de un abogado.

2. Los riesgos reales de gestionar clientes desde un celular compartido

La mayoría de los negocios no usa WhatsApp de forma insegura por descuido, sino porque nunca lo pensó como un sistema que hay que proteger. Los riesgos más comunes son:

• Un solo celular, varios empleados con acceso: si el equipo comparte el dispositivo o la sesión vinculada, cualquiera puede leer, exportar o borrar conversaciones con datos de clientes.
• Falta de verificación en dos pasos: un celular robado o una SIM clonada (SIM swapping) puede darle a un tercero control de la cuenta y de su historial.
• Cero registro de quién hizo qué: sin registros de acceso es difícil saber si una filtración vino de un empleado actual, de uno que ya no trabaja en la empresa o de un tercero.

3. Las pymes peruanas no son una excepción

La idea de que “esto no me va a pasar a mí” se sostiene cada vez menos. Un informe de ESET sobre pymes (no específico de Perú) encontró que el 45 % sufrió al menos un incidente de ciberseguridad en el último año y que el 61 % teme un ataque en los próximos 12 meses. Para Perú, el ESET Security Report Latinoamérica 2026 indica que menos del 25 % de las pymes destina presupuesto a ciberseguridad, según Gestión.

4. WhatsApp Business (la app) frente a WhatsApp Business API: por qué la diferencia importa

La app gratuita de WhatsApp Business permite vincular hasta cuatro dispositivos además del teléfono principal, pero según guías de proveedores no asigna chats por agente ni controla quién responde: todos los dispositivos ven las mismas conversaciones. La API de WhatsApp Business se conecta mediante un proveedor autorizado y permite integrar la conversación con un CRM, asignar chats a agentes con roles y, según el proveedor, llevar registros de actividad. Pregunta qué registros de acceso ofrece el tuyo.

Para un negocio que ya vende un volumen serio por este canal, migrar de la app a la API deja de ser un lujo técnico: ayuda a que la información de tus clientes no dependa de un solo teléfono físico.

Ya cubrimos cuándo conviene dar ese salto y cómo se estructura la migración en esta guía sobre WhatsApp Business API vs. la app.

5. Cómo proteger tu operación esta misma semana

Medidas inmediatas (sin costo o de bajo costo):

• Activa la verificación en dos pasos en WhatsApp Business.
• Define quién puede acceder al dispositivo o a la sesión vinculada y retira el acceso a quien ya no trabaje en la empresa.
• Evita pedir o guardar el número de DNI completo por chat cuando no es indispensable para la operación.

Medidas estructurales (para negocios en crecimiento):

• Migrar a WhatsApp Business API con un proveedor autorizado.
• Integrar la conversación con un CRM que permita registrar consentimiento y aplicar políticas de conservación de datos.
• Documentar los procedimientos de seguridad y un plan simple de respuesta ante incidentes: a quién se avisa y dentro de qué plazo (la norma exige notificar a la ANPD en 48 horas).

Preguntas frecuentes

¿La Ley 29733 aplica aunque mi negocio sea pequeño?

Sí. La ley aplica a cualquiera que recopile, almacene o use datos personales de clientes, incluyendo una bodega, un emprendimiento o un freelance. Algunas obligaciones del reglamento, como designar un oficial de datos personales, dependen del volumen o del tipo de datos.

¿Qué pasa si mi WhatsApp Business es hackeado y no aviso a nadie?

El reglamento exige notificar los incidentes de seguridad que afecten datos personales dentro de las 48 horas. No hacerlo puede sancionarse de forma independiente al hackeo en sí; consulta con un abogado cómo se aplica a tu caso.

¿La API de WhatsApp Business es mucho más cara que la app normal?

El costo varía según el proveedor y el volumen de mensajes, y no se puede estimar sin cotizar. Conviene compararlo con tu volumen real de conversaciones y con el costo de una filtración.

Fuentes y datos de referencia

Fuentes consultadas en octubre de 2026. Las normas y funciones cambian: confirma con un abogado y con tu proveedor.

• Perú Retail: nuevo reglamento de la Ley 29733 (plazo de 48 horas y sanciones)
• La Ley: nuevo marco legal de protección de datos personales
• CMS: nuevo Reglamento de Protección de Datos Personales
• Gestión: ESET Security Report Latinoamérica 2026
• Portafolio: informe de ESET sobre pymes (45 % y 61 %)
• Panamericana: UIT 2026 en S/ 5 500
• Cliengo: límites de la app de WhatsApp Business (dispositivos vinculados)