En Ecuador, WhatsApp y correo electrónico no son zonas libres de regulación. Implican bases legales, transparencia, deber de información y capacidad de probar cómo se obtuvo y para qué se usa cada dato. La SPDP ya ha mostrado, en su normativa y en su guía de riesgos, que el marketing digital está dentro de su radar. Esperar a que el problema aparezca en una denuncia o en una inspección no es estrategia; es dejar que una base comercial mal estructurada termine convirtiéndose en una contingencia legal.
La Guía de Gestión de Riesgos y Evaluación de Impacto publicada por la SPDP desarrolla un caso específico de marketing digital y lo ubica dentro de un escenario de riesgo alto cuando no existe una base legal suficiente. La guía incluso recomienda, para ese supuesto, eliminar el interés legítimo como fundamento y reemplazarlo por una forma específica de consentimiento para fines de marketing. Eso es importante porque demuestra que la autoridad ya no ve este tema como una simple práctica comercial menor, sino como un frente real de exposición regulatoria.
La recomendación corresponde a ese supuesto ilustrativo; no impone consentimiento como única base para toda publicidad. Si se utiliza consentimiento, debe ser libre, específico, informado e inequívoco, y debe poder demostrarse y retirarse. Una confirmación de pedido y una oferta promocional tienen finalidades distintas que deben revisarse por separado.
El problema no es solo enviar mensajes, sino cómo se construyó la base
Muchas bases de datos comerciales en Ecuador nacieron de ferias, formularios improvisados, contactos previos, compras históricas o integraciones con plataformas digitales. El error es asumir que ese origen, por sí solo, habilita cualquier uso posterior. Cuando una empresa no puede probar con claridad para qué obtuvo el dato, con qué base legal lo trata y qué información recibió el titular, la base comercial deja de ser un activo y empieza a convertirse en un pasivo regulatorio.
Ese es precisamente uno de los puntos que más preocupa a empresas que ya venden por canales digitales y que sí pueden contratar una revisión jurídica seria: no quieren enterarse demasiado tarde de que su CRM, sus campañas y su automatización estaban apoyados sobre una base débil.
WhatsApp y correo electrónico pueden implicar algo más que simple comunicación
En la práctica, muchas campañas ya no consisten solo en “enviar mensajes”. Involucran seguimiento de aperturas, monitoreo de clics, analítica, scoring, segmentación y automatización basada en comportamiento. Cuanto más se acerca una operación a ese tipo de tratamiento, más importante se vuelve revisar si existe perfilamiento y si el titular fue informado de ello de forma clara.
La guía de riesgos de la SPDP refuerza esa preocupación precisamente al tratar el uso de datos en marketing digital como un escenario que puede llegar a un nivel de impacto muy alto cuando no está jurídicamente bien sustentado.
Entonces, ¿siempre necesito consentimiento?
No siempre, pero aquí es donde el análisis tiene que hacerse con cuidado. La Resolución N.º SPDP-SPD-2025-0041-R regula la aplicación del interés legítimo como base de legitimación para el tratamiento de datos personales dentro del territorio de la República del Ecuador. La propia norma señala que su objeto es regular y determinar el ámbito de aplicación del interés legítimo, que es de cumplimiento obligatorio para quienes lo apliquen y que esta base opera dentro del sector privado.
Además, la resolución define la evaluación de ponderación como un análisis debidamente motivado y documentado. Eso significa que la empresa no puede limitarse a poner “interés legítimo” como etiqueta en un documento. Tiene que poder explicar y defender por qué procede en ese caso concreto y por qué no prevalecen los derechos y libertades del titular.
Para mercadotecnia directa, el artículo 11 de la Resolución 2025-0041-R exige, además de la ponderación favorable: no afectar derechos y libertades; no utilizar datos sensibles ni de menores; relación contractual previa o expectativa razonable de contacto según su contexto; e información previa clara sobre el uso publicitario. La compra previa no satisface por sí sola todos esos requisitos.
Cada mensaje debe ofrecer una oposición visible, gratuita y eficaz. Atiéndala sin dilación y con efecto inmediato, sin exigir justificación. Pruebe que la baja se propaga al CRM y a todas las listas para que una importación posterior no reactive al contacto.
El error más frecuente: creer que “tener la base” basta
Uno de los errores más repetidos es usar lenguaje genérico como “acepto términos y condiciones” o “acepto recibir información” y creer que con eso se resolvió todo. Cuando una campaña involucra varias finalidades, automatización, perfilamiento o flujos con terceros, el análisis debe ser mucho más fino. No basta con que la empresa diga que el titular “aceptó”; tiene que poder sostener jurídicamente esa aceptación y demostrar que el tratamiento fue transparente y proporcional.
Qué debería revisar una empresa esta semana
Una empresa que usa WhatsApp o correo electrónico en Ecuador debería revisar, como mínimo, estos puntos:
- de dónde salió la base de datos;
- qué base legal sostiene cada finalidad;
- qué información recibió el titular;
- si la herramienta realiza automatización o perfilamiento;
- si existe un mecanismo real y fácil para oposición o baja;
- y si el flujo con CRM, formularios y plataformas está documentado.
| Origen del contacto | Qué comprobar antes de enviar |
|---|---|
| Cliente o contacto de feria | Finalidad informada, contexto, base aplicable y posibilidad de oposición. |
| Base comprada | Origen, legitimación y transparencia acreditables; no activarla si no puede comprobarlos. |
| Menores o datos sensibles | No usar la vía de interés legítimo de mercadotecnia directa descrita; revisar las reglas especiales. |
Un cierre práctico de una campaña con base válida puede indicar: «Le escribe [empresa] sobre [finalidad]. Consulte [aviso de privacidad]. Para dejar de recibir estas comunicaciones, responda BAJA». Compruebe que funciona; el mensaje no subsana una base inválida. Para proveedores, consulte CRM y operaciones internacionales.
En TempoLegal ayudamos a empresas en Ecuador a auditar bases de datos comerciales, campañas de WhatsApp y correo electrónico, revisar consentimientos, interés legítimo, automatización y flujos con CRM para reducir riesgos antes de que llegue una sanción o una crisis reputacional.
Fuentes oficiales
- Ley Orgánica de Protección de Datos Personales
- Norma de interés legítimo, Resolución 2025-0041-R, art. 11
- Guía de gestión de riesgos y evaluación de impacto de la SPDP
Revisión normativa: 12 de octubre de 2026.