WhatsApp Business API Segura en Perú: Protege los Datos de tus Clientes (Ley 29733)

En Perú, WhatsApp no es solo la app para hablar con la familia: es, de facto, el sistema de ventas y atención al cliente de miles de negocios. Su penetración supera el 98% entre los usuarios de internet urbanos, y buena parte de las pymes peruanas la usan como su canal principal —a veces el único— para cotizar, cerrar ventas y responder reclamos. El problema es que, sin darse cuenta, esa conversación se convirtió en una base de datos de clientes, y la ley peruana ya la trata como tal.

Nombres, números de teléfono, direcciones de entrega, preferencias de compra e incluso números de DNI compartidos "para el envío" son datos personales según la Ley N° 29733, Ley de Protección de Datos Personales. Si tu empresa los recopila y almacena —aunque sea dentro de un celular con la app de WhatsApp Business—, estás obligado a protegerlos con medidas técnicas y organizativas razonables.

1. Tu chat de WhatsApp ya es, legalmente, un banco de datos personales

Esto implica que, ante una brecha de seguridad que exponga esos datos, tu empresa tiene la obligación de notificar a la Autoridad Nacional de Protección de Datos Personales (ANPD) en un plazo razonable —la práctica recomendada es no superar las 72 horas desde que se detecta el incidente—. No hacerlo, o hacerlo tarde, puede sancionarse con una multa de hasta 100 UIT, que en 2026 equivale a aproximadamente S/ 550,000.

2. Los riesgos reales de gestionar clientes desde un celular compartido

La mayoría de los negocios peruanos no usa WhatsApp Business de forma insegura por descuido, sino porque nunca lo pensaron como un sistema que hay que proteger. Los riesgos más comunes que encontramos en auditorías son:

• Un solo celular, varios empleados con acceso: si el equipo comparte el dispositivo o la sesión web vinculada, cualquiera puede leer, exportar o borrar conversaciones con datos de clientes.
• Falta de autenticación en dos pasos: un celular robado o clonado (SIM swapping) puede darle a un tercero control total sobre la cuenta y su historial de clientes.
• Cero registro de quién hizo qué: sin logs de acceso, es imposible saber si una filtración vino de un empleado actual, uno que ya no trabaja en la empresa, o un tercero externo.

3. Las pymes peruanas ya son un blanco frecuente, no una excepción

La idea de que "esto no me va a pasar a mí" ya no se sostiene con los datos actuales. Un informe reciente de ESET encontró que el 45% de las pymes peruanas sufrió al menos un incidente de ciberseguridad en el último año, y un 61% teme convertirse en víctima de un ataque en los próximos doce meses. Entre enero y mayo de 2026, Perú superó las 350,000 detecciones de ciberataques, con el phishing, el "QRishing" (estafas vía código QR) y los documentos falsificados como las técnicas más usadas por los delincuentes, según cifras de ESET presentadas en Security Days 2026.

4. WhatsApp Business (la app) vs. WhatsApp Business API: por qué la diferencia importa

La app gratuita de WhatsApp Business está pensada para un solo dueño de cuenta en un solo dispositivo. La API de WhatsApp Business, en cambio, se conecta a través de un proveedor autorizado (BSP) y permite algo clave para la seguridad: múltiples usuarios con roles definidos, integración directa con un CRM en vez de depender del historial del celular, y registros de actividad que sí permiten auditar accesos.

Para un negocio que ya factura un volumen serio de ventas por este canal, migrar de la app a la API no es un lujo técnico: es la diferencia entre tener el control de la información de tus clientes o dejarla depender de un solo teléfono físico.

Ya cubrimos a fondo cuándo conviene dar ese salto y cómo se estructura técnicamente esa migración en esta guía sobre WhatsApp Business API vs. la app.

5. Cómo proteger tu operación esta misma semana

Medidas inmediatas (sin costo o de bajo costo):

• Activa la verificación en dos pasos en WhatsApp Business.
• Define quién puede acceder al dispositivo o a la sesión vinculada, y retira el acceso a quien ya no trabaje en la empresa.
• Evita pedir o guardar el número de DNI completo por chat cuando no es indispensable para la operación.

Medidas estructurales (para negocios en crecimiento):

• Migrar a WhatsApp Business API con un proveedor autorizado.
• Integrar la conversación con un CRM que permita registrar consentimiento y aplicar políticas de retención de datos.
• Documentar un procedimiento simple de respuesta ante incidentes, incluyendo a quién se notifica y en qué plazo.

Preguntas frecuentes

¿La Ley 29733 aplica aunque mi negocio sea pequeño?

Sí. La ley no exceptúa a las empresas por tamaño: aplica a cualquiera que recopile, almacene o use datos personales de clientes, incluyendo una bodega, un emprendimiento o un freelance.

¿Qué pasa si mi WhatsApp Business es hackeado y no aviso a nadie?

La falta de notificación de una brecha de seguridad a la Autoridad Nacional de Protección de Datos Personales, o una notificación tardía, puede sancionarse de forma independiente al hecho del hackeo en sí, con multas de hasta 100 UIT.

¿La API de WhatsApp Business es mucho más cara que la app normal?

El costo varía según el proveedor y el volumen de mensajes, pero para un negocio que ya gestiona un flujo constante de clientes, suele compensarse rápidamente frente al riesgo de una filtración de datos o una sanción administrativa.