¿El envío masivo en WhatsApp es delito? Lo que dice la ley brasileña, la LGPD y el CDC
Por José Pedro · Cofundador de CRPRO
El volumen no es delito según la ley brasileña; el contenido sí puede serlo. Mira cómo un baneo de Meta, una multa administrativa de la LGPD y la responsabilidad penal son tres vías separadas, qué base legal necesitas antes de enviar, y por qué el consentimiento que ya tienes probablemente no alcanza.
El envío masivo en WhatsApp no es delito en Brasil: no existe, en el derecho brasileño, un tipo penal que describa la conducta de enviar muchos mensajes comerciales. Lo que sí existe, y es mucho más probable que le llegue a quien envía, es otro conjunto de riesgos — enviar a quien no autorizó es un ilícito administrativo y civil (bajo la LGPD, la ley brasileña de protección de datos, y el Código de Defensa del Consumidor, el CDC) y un incumplimiento de contrato con Meta. La responsabilidad penal solo aparece cuando el contenido del mensaje, y no su volumen, encaja en un tipo penal: estafa, falsa identidad, o uso de una base obtenida por invasión de un sistema.
Confundir estos regímenes es el error más caro del sector: tienen jueces y sanciones distintas, y se puede estar en regla con uno mientras se viola el otro. Este texto explica la norma y no reemplaza a un abogado.
¿Cuál es la diferencia entre un baneo de Meta, una multa de la LGPD y un delito?
| Términos de Meta | LGPD y CDC | Ley penal | |
|---|---|---|---|
| Naturaleza | Contrato privado | Norma administrativa y civil | Norma penal |
| Quién la aplica | La propia Meta | ANPD (autoridad de protección de datos de Brasil), Procon (agencia de defensa del consumidor), el Ministerio Público, el Poder Judicial | Policía, Ministerio Público, Poder Judicial |
| Qué pierdes | El número y el historial | Dinero y la base de datos | La libertad |
| ¿Necesita un proceso? | No | Sí (administrativo o judicial) | Sí |
| A quién aplica | A quien usa WhatsApp | A quien trata datos personales en Brasil | A quien comete el hecho tipificado |
La implicación práctica: un baneo no es una condena, y una condena no viene de un baneo. Son vías paralelas. El mismo envío puede tumbar el número el mismo día sin generar ningún proceso — o pasar ileso ante Meta y convertirse en una denuncia ante la ANPD meses después, cuando un destinatario se queje.
¿Qué hace Meta con quien envía sin opt-in?
Meta no necesita un juez para desconectar tu número. Su política comercial exige opt-in — contactar solo a quien dio el número y dio permiso para recibir mensajes. Rompiste el contrato, pierdes el acceso.
En la app común y en WhatsApp Business para celular, esto pasa sin aviso previo: el número simplemente se detiene. En apps no oficiales como GB WhatsApp, ya empiezas violando los Términos. Si ya te pasó, la revisión está en WhatsApp baneado: qué hacer.
En la API oficial, el riesgo no desaparece: Meta mantiene estados de desactivación y puede sancionar un número oficial también. Lo que cambia es el proceso — nota de calidad por número, aviso antes de la sanción y apelación formal. Esa nota se calcula sobre los últimos 7 días, de forma ponderada (según la documentación de Meta, verificada en agosto de 2026), a partir de bloqueos y denuncias de quienes reciben. Es debido proceso contractual, no inmunidad.
¿Cuándo el envío se convierte en delito?
El volumen no es delito; el contenido puede serlo. Tres tipos penales aparecen con frecuencia en operaciones de envío masivo:
| Tipo penal | Fundamento legal | Cuándo se aplica |
|---|---|---|
| Estafa por medio electrónico | Artículo 171, §2º-A del Código Penal de Brasil, incluido por la Ley 14.155/2021 — reclusión de 4 a 8 años | Cuando el fraude usa contacto telefónico, una red social o un medio similar. Es el encuadre clásico de la estafa por WhatsApp |
| Falsa identidad | Artículo 307 del Código Penal | Cuando el remitente se hace pasar por otra empresa o persona |
| Acceso no autorizado a un sistema informático | Artículo 154-A del Código Penal | Cuando la base fue obtenida invadiendo un sistema o un dispositivo ajeno |
Fíjate en lo que no está en la tabla: la LGPD no tiene sanción penal. Violar la ley de datos no lleva a la cárcel — lleva a multas, al bloqueo de la base y a acciones de reparación civil.
¿Qué exige la LGPD antes del primer envío?
La LGPD (Ley 13.709/2018) es el régimen que multa — y el que la mayoría ignora, mirando solo el riesgo de baneo. Un número de teléfono es dato personal (art. 5, I): todo envío es tratamiento de datos, y el tratamiento sin base legal del art. 7 es irregular por definición. Antes de elegir la herramienta, elige la base:
| Tipo de mensaje | Base legal habitual | Cuidado |
|---|---|---|
| Confirmación de pedido, aviso de entrega, cobro de un contrato activo | Ejecución de contrato (art. 7, V) | No puede convertirse en una oferta disfrazada |
| Campaña para un cliente de la casa | Interés legítimo (art. 7, IX) o consentimiento | El interés legítimo exige una prueba de ponderación documentada (art. 10) |
| Campaña para un lead que llenó un formulario | Consentimiento (art. 7, I) | Hay que poder probar cuándo y para qué finalidad |
| Lista comprada o extraída de otro lado | Ninguna | No hay base legal que la sostenga |
No existe una base genérica para "campaña de marketing": la base cambia según la relación con el destinatario y la finalidad de ese mensaje específico.
¿Por qué el consentimiento que ya tienes probablemente no alcanza?
Tres disposiciones del texto de la ley tumban la mayoría de las operaciones.
La autorización genérica es nula. El art. 8, §4 exige consentimiento para finalidades determinadas. "Acepto recibir comunicaciones" en la letra chica de un formulario de registro no cubre la campaña de un tercero.
La carga de la prueba es tuya. El art. 8, §2 obliga al responsable del tratamiento a probar que el consentimiento fue válido. Sin un registro de la fecha, el origen y el texto exhibido, no hay nada que presentar — un CRM que guarda el origen de cada contacto deja de ser una comodidad y se convierte en evidencia.
Compartir exige un consentimiento nuevo. El art. 7, §5 exige consentimiento específico para comunicar datos a otros responsables del tratamiento. Es la disposición que vuelve indefendible la venta de una lista de correo: quien le dio el número a la Empresa A nunca autorizó a la Empresa B.
¿El interés legítimo sirve de base para el marketing?
Sirve como base propia (art. 7, IX), pero no es un comodín. El art. 10 ata su uso: finalidades concretas, datos estrictamente necesarios y un informe de impacto que la ANPD puede exigir. En la práctica, hay que guardar una prueba de ponderación escrita — con la finalidad y la expectativa legítima del titular — antes de que salga la campaña. Invocar el término después de la denuncia no produce el documento que faltaba.
Y el interés legítimo nunca alcanza a quien nunca tuvo relación con la empresa. Una lista comprada sigue sin base legal, con o sin el argumento.
¿Cómo tiene que funcionar el opt-out?
El art. 8, §5 exige que la revocación del consentimiento sea posible en cualquier momento, mediante un procedimiento gratuito y facilitado. El art. 18, §2 agrega el derecho de oposición cuando el tratamiento realizado sin consentimiento incumple la ley. Traducido a la operación: si entrar a la lista cuesta un clic, salir no puede costar un correo al departamento legal.
La obligación aplica igual en la lista de difusión de la app común: una herramienta simple no significa una obligación menor. Y el registro brasileño de "No Molestar" no resuelve esto por ti — fue diseñado para telemarketing y sectores regulados, no es un opt-out general de WhatsApp.
Lo que agrega el Código de Defensa del Consumidor
Cuando el destinatario es un consumidor, se suma una capa: el art. 6, IV protege contra la publicidad abusiva y las prácticas comerciales desleales, y el art. 39, IV prohíbe aprovecharse de la debilidad del consumidor para imponerle productos.
Una corrección que rara vez aparece: el art. 39, III se cita mal todo el tiempo. Prohíbe "enviar o entregar al consumidor, sin solicitud previa, cualquier producto, o prestar cualquier servicio" — el objeto es un producto o un servicio, no un mensaje publicitario. Para el envío masivo, la disposición más sólida es el art. 43, §2: la apertura de un registro de datos del consumidor no solicitada por él debe comunicarse por escrito. Quien compra una lista de correo abre un registro sin comunicarlo.
Súmese el Marco Civil de Internet de Brasil (Ley 12.965/2014), art. 7, VII: proporcionar datos a terceros exige consentimiento libre, expreso e informado.
¿Qué sanciones puede aplicar la ANPD?
El art. 52 de la LGPD (texto vigente en agosto de 2026) es más amplio que la multa que todo el mundo cita:
| Sanción | Alcance |
|---|---|
| Advertencia con plazo para corregir | Primer escalón |
| Multa simple | Hasta el 2% de la facturación en Brasil, con un tope de R$50 millones por infracción |
| Multa diaria | Se acumula hasta la corrección |
| Publicidad de la infracción | Daño reputacional |
| Bloqueo o eliminación de los datos | Pierdes la base |
| Suspensión de la base de datos o de la actividad | Hasta 6 meses |
| Prohibición de ejercer actividades de tratamiento | El escalón final |
Para quien vive de WhatsApp, "eliminación de los datos" suele doler más que la multa. Súmense a eso las acciones individuales de reparación, cuyo resultado varía entre tribunales.
Estar dentro de los Términos no te protege de la ley
Puedes operar en la API oficial, con una plantilla aprobada, la ventana de 24 horas respetada y una nota de calidad verde — y aun así estar enviando a una lista comprada. Meta no sabe de dónde salió el número; la ANPD y el Procon sí lo saben, cuando alguien se queja.
Lo inverso también vale: un opt-in jurídicamente impecable no impide un bloqueo, porque eso lo decide el sistema de calidad de la plataforma, medido por bloqueos y denuncias de los destinatarios en los últimos 7 días. Son dos obligaciones separadas; cumplir una no exime de la otra.
Checklist mínimo antes de enviar
- Registra el origen de cada número — fecha, canal y el texto exacto de la aceptación. Sin eso no tienes prueba.
- Escribe la base legal de cada campaña antes de enviar.
- Descarta las listas compradas. Sin base legal no hay defensa, y el riesgo de denuncia es el más alto.
- Ofrece una salida en todo mensaje activo y procesa el pedido — un opt-out ignorado es una violación y se convierte en denuncia.
- Publica tu política de privacidad con la finalidad, la retención y un canal para el titular; la página de LGPD de CRPRO sirve de referencia.
- Lleva el caso concreto a un abogado si operas en un sector regulado, haces cobranza o tratas datos sensibles. La parte operativa está en cómo hacer envío masivo sin quemar el número.
Si tu base creció sin registro de origen, el CRM resuelve eso antes de que llegue a lo legal: CRPRO guarda origen, consentimiento y opt-out por contacto, en la API oficial o código QR.
Preguntas frecuentes
¿El envío masivo en WhatsApp puede llevarte preso?
Por sí solo, no. No existe el delito de envío masivo en la ley brasileña. La responsabilidad penal aparece por el contenido — estafa electrónica (art. 171, §2º-A del Código Penal), falsa identidad, o uso de una lista obtenida por invasión. La LGPD no prevé pena de prisión.
¿Comprar una lista de contactos es ilegal?
Usarla sí lo es. El art. 7, §5 de la LGPD exige el consentimiento específico del titular para que sus datos sean compartidos con otro responsable del tratamiento, y el art. 8, §4 anula las autorizaciones genéricas. Una lista comprada no tiene ni una cosa ni la otra, así que no hay base legal que sostenga el envío.
¿Usar la API oficial me deja en cumplimiento con la LGPD?
No. La API oficial resuelve tu relación contractual con Meta: número verificado, plantilla aprobada, nota de calidad visible y apelación formal si hay sanción. No dice nada sobre el origen de tus contactos, que es lo que exige la LGPD. Son cumplimientos independientes.
¿Necesito consentimiento para mandar un mensaje transaccional?
No siempre. Las confirmaciones de pedido, los avisos de entrega y las comunicaciones sobre un contrato activo suelen apoyarse en la ejecución de contrato (art. 7, V), que no requiere consentimiento. El límite es el contenido: si el mensaje incluye una oferta, deja de ser transaccional y necesita otra base.
¿El cliente puede demandarme por un mensaje no solicitado?
Puede presentar una acción de reparación, y el resultado varía entre tribunales: hay fallos que ven una simple molestia y otros que reconocen daño. El camino más común, sin embargo, es una queja ante el Procon o una denuncia ante la ANPD — que golpea a toda la operación, no solo a ese contacto.
¿Quién fiscaliza esto en la práctica?
La ANPD aplica las sanciones del art. 52 de la LGPD, el Procon actúa bajo el CDC, el Ministerio Público puede iniciar una acción civil pública y el titular puede acudir al Poder Judicial por su cuenta. Meta, en paralelo, aplica su propio contrato sin depender de ninguno de los tres.