17 de agosto de 2026 · 11 min de lectura
RGPD y grupos de WhatsApp de trabajo en España: lo que un gestor debe saber
Usar WhatsApp con tu equipo es legal, pero no es tierra de nadie: datos personales, consentimiento y sentido común. Una guía práctica, sin tecnicismos.
Primero, calma: usar WhatsApp con tu equipo no es ilegal
La AEPD ha admitido la creación de grupos laborales de WhatsApp en el contexto de la relación de trabajo. Millones de pymes españolas coordinan así. El problema no es el canal: es olvidar que dentro del grupo circulan datos personales — teléfonos del equipo, nombres de huéspedes, a veces fotos de documentos.
Aviso importante antes de seguir: esto es divulgación, no asesoría legal. Está escrito con cuidado y con las fuentes a la vista, pero tu caso concreto lo tiene que mirar un profesional.
La pregunta que casi todo el mundo se hace mal
La duda que más aparece es «¿tengo que pedirle permiso a mi equipo?». Y la respuesta corta es que no, y que además pedirlo suele ser peor.
El consentimiento, para el RGPD, tiene que ser libre. En una relación laboral difícilmente lo es: si tu jefe te pide que firmes algo, la libertad para decir que no es teórica. Por eso la propia AEPD desaconseja apoyarse en el consentimiento del trabajador como base legal para tratamientos vinculados al trabajo — porque es una base frágil que se cae justo cuando la necesitas.
Lo que sí tienes que hacer es informar. Que las personas del grupo sepan qué se procesa, para qué y durante cuánto tiempo. No es un trámite menor: es literalmente la obligación, y es más fácil de cumplir que de explicar.
Quién responde de qué: responsable y encargado
Esta distinción parece burocrática y es la que determina quién paga si algo sale mal, así que vale la pena entenderla en dos minutos.
El responsable del tratamiento eres tú. Es tu grupo, es tu equipo y es tu finalidad de negocio: decides que esa información se trate y para qué. Ante la AEPD y ante tus trabajadores, respondes tú.
El encargado es quien procesa por cuenta tuya siguiendo tus instrucciones: la herramienta que añades al grupo. Tiene sus propias obligaciones —seguridad, confidencialidad, no usar los datos para otra cosa— pero no decide las finalidades.
La consecuencia práctica: no puedes delegar en la herramienta el deber de informar a tu equipo. Ninguna herramienta puede hacerlo por ti, porque tus trabajadores no tienen relación con ella; la tienen contigo. Lo que sí puede darte es el texto ya escrito para que solo tengas que mandarlo.
Los tres errores que sí traen problemas
De todo lo que puede salir mal, estos tres son los que aparecen de verdad en operaciones reales:
- Compartir datos de huéspedes que no hacen falta: un pasaporte fotografiado en un grupo de 15 personas es una cesión difícil de justificar. Comparte lo mínimo: unidad y hora, no documentos.
- Mezclar lo personal y lo laboral sin criterio: números personales del equipo expuestos a proveedores externos en el mismo grupo.
- No poder borrar: si un trabajador se va o alguien lo pide, ¿puedes eliminar sus datos de tus sistemas? En WhatsApp puro, no. Con cualquier herramienta encima, exige que el borrado exista y que tenga plazo.
El error que nadie ve venir: el que entró después
Supongamos que lo haces todo bien. Mandas el aviso al grupo en marzo, todo el mundo lo lee, lo archivas con su fecha. Perfecto.
En septiembre entra una limpiadora nueva. La añades al grupo y a nadie se le ocurre volver a mandar el aviso, porque ya se mandó. Esa persona lleva desde entonces escribiendo en un grupo procesado por una herramienta de la que nunca se le informó.
Es el fallo más habitual y el más fácil de evitar: cuando añadas a alguien al grupo, pégale el aviso. Cuesta cinco segundos y es la diferencia entre haber informado a tu equipo y haber informado al equipo que tenías hace seis meses.
Cuánto tiempo puedes guardar los mensajes
El RGPD no da un número: dice que los datos no se conserven más tiempo del necesario para la finalidad. Traducido a una operación de pisos, la pregunta es para qué necesitas un mensaje de hace ocho meses.
Para coordinar el día a día, con semanas sobra. Para reclamar un desperfecto a una plataforma, necesitas cubrir el plazo de reclamación, que son semanas o algún mes. Para justificar una nómina o un incidente laboral, el criterio es otro y más largo.
La respuesta razonable para el contenido de un grupo operativo está en el orden de los meses, no de los años, y —esto es lo importante— tiene que ser automática. Una política de retención que depende de que alguien se acuerde de borrar no es una política. En Houdini los mensajes y las fotos se eliminan solos a los 90 días; las incidencias detectadas, que son el resumen de lo ocurrido y no la conversación, se conservan mientras la cuenta esté activa.
Qué preguntarle a cualquier herramienta que lea tus grupos
Si añades una capa de análisis —Houdini o cualquier otra— estas son las preguntas que separan a una herramienta seria de una que no ha pensado en esto. Sirven igual para evaluarnos a nosotros.
- ¿Solo lee los grupos donde yo la añado, o se vincula a mi cuenta y ve todos mis chats? La diferencia es enorme y casi nadie la explica.
- ¿Dónde se almacenan físicamente los datos, y qué proveedores los tocan? Si no hay una lista pública de subencargados, no la hay.
- ¿Cuánto tiempo se conservan y el borrado es automático o hay que pedirlo?
- ¿Firma un contrato de encargado de tratamiento? Sin él, el reparto de responsabilidad no está escrito en ninguna parte.
- ¿Escribe en el grupo sin mi permiso?
- ¿Me da el texto para informar a mi equipo, o me deja ese problema a mí?
Las respuestas de Houdini, para que las compares
Houdini tiene su propio número y solo participa en los grupos donde alguien lo añade: no está vinculado a tu cuenta y no ve tus chats privados ni los grupos donde no está. Puedes comprobarlo mirando la lista de participantes, y revocarlo eliminándolo del grupo.
La base de datos está en la Unión Europea. La lista completa de proveedores, con su ubicación y la garantía que ampara cada transferencia, está publicada en la política de privacidad — incluidos los que están fuera de la UE, porque ocultarlos no los haría desaparecer.
Los mensajes y las fotos se borran a los 90 días automáticamente. Las fotos se recomprimen al recibirlas y en ese proceso pierden los metadatos EXIF, incluida la geolocalización del móvil de quien las sacó.
Y el modelo de aviso para tu equipo está escrito y listo para copiar, en dos versiones: una corta para mandar al grupo y otra completa para archivar.
Preguntas frecuentes
- ¿Tengo que pedir consentimiento a mi equipo para usar una herramienta que lea el grupo?
- Normalmente no, y suele ser contraproducente: en una relación laboral el consentimiento difícilmente es libre, así que es una base legal frágil. Lo que sí es obligatorio es informarles de que se procesa el contenido del grupo, para qué y durante cuánto tiempo.
- ¿Y si alguien de mi equipo se niega?
- Conviene escucharle y entender qué le preocupa, que muchas veces es pensar que se leen sus mensajes privados. Si el tratamiento se ampara en el interés legítimo de organizar la operación, la negativa individual no lo impide, pero sí debes atender su derecho de oposición y valorarlo caso por caso.
- ¿Puedo usar fotos del grupo para reclamar a Airbnb o Booking?
- Sí, es un uso coherente con la finalidad de documentar el estado de las unidades. Lo que conviene evitar es compartir imágenes donde aparezcan personas identificables si no es necesario para acreditar el daño.
- ¿Qué pasa con los datos de los huéspedes que se mencionan en el grupo?
- Aplica el mismo principio de minimización: para coordinar una limpieza hace falta la unidad y la hora, no el nombre completo ni el documento de identidad. Fotografiar un pasaporte en un grupo de quince personas es difícil de justificar.
- ¿Necesito un contrato de encargado de tratamiento?
- Sí, siempre que un tercero procese datos personales por cuenta tuya. Es lo que reparte por escrito las obligaciones entre tú, como responsable, y la herramienta, como encargada. Sin él, ese reparto no existe en ninguna parte.
Mide tu propia operación
Auditoría gratuita de 14 días: añades el bot a tus grupos y te entregamos el informe con tus números. Sin tarjeta y sin cambiar nada.