Qué debe firmar un ayuntamiento antes de abrir un WhatsApp

25 de septiembre de 2026 · Markel Astrain Arizala · 5 minutos

Abrir un número de WhatsApp para que el vecindario escriba al Ayuntamiento es fácil. Hacerlo bien exige un papel antes: el encargo de tratamiento. Esto es lo que dice la ley, en llano, y quién tiene que hacer qué.

1. Quién es quién con los datos

Cuando alguien escribe al WhatsApp de su Ayuntamiento, deja datos personales: su número, su nombre de perfil, lo que cuenta. El responsable de esos datos es el Ayuntamiento, porque decide para qué se usan. La empresa que pone el asistente y el panel es el encargado: trata los datos por cuenta del Ayuntamiento y siguiendo sus instrucciones, nunca para lo suyo.

Esa distinción no es un detalle: marca quién responde ante la persona afectada y ante la Agencia de Protección de Datos, y obliga a un contrato entre los dos.

2. El encargo de tratamiento: el papel que hay que firmar

El Reglamento General de Protección de Datos lo exige en su artículo 28. El tratamiento por un encargado «se regirá por un contrato u otro acto jurídico» que constará por escrito (también vale el formato electrónico) y que fije el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos, las categorías de personas y las obligaciones de cada parte. El encargado, según ese mismo artículo, se compromete entre otras cosas a:

• tratar los datos únicamente siguiendo instrucciones documentadas del Ayuntamiento;
• garantizar que quien accede a los datos se ha comprometido a la confidencialidad;
• aplicar las medidas de seguridad del artículo 32;
• no recurrir a otro encargado (un proveedor de alojamiento, de mensajería, de inteligencia artificial) sin autorización del Ayuntamiento, y con las mismas obligaciones;
• ayudar al Ayuntamiento a atender los derechos de las personas (acceso, supresión, oposición…);
• al terminar, devolver o borrar todos los datos, a elección del Ayuntamiento;
• poner a disposición del Ayuntamiento la información necesaria para demostrar que cumple.

3. Quién lo redacta y quién lo firma

Todo ayuntamiento tiene delegada o delegado de protección de datos: el Reglamento obliga a designarlo cuando el tratamiento lo lleva a cabo «una autoridad u organismo público» (artículo 37). En los pueblos pequeños suele ser una empresa externa contratada para eso. Lo natural es que el encargo lo redacte o lo revise quien tenga ese papel, sobre el borrador que aporte el proveedor o al revés. Quien lo firma es la alcaldía, como cualquier contrato del Ayuntamiento, con el visto bueno de secretaría.

Un consejo que vale dinero: que el proveedor entregue su borrador con la lista de subencargados y países ya rellena. Si tiene que preguntar quién le aloja los datos, no está listo.

4. Lo que va después de la firma

• El registro de actividades de tratamiento. El Ayuntamiento anota el nuevo tratamiento («atención al vecindario por WhatsApp») en su registro, con su finalidad, sus datos, sus plazos y sus destinatarios (artículo 30).
• Informar al vecindario. Antes de que nadie escriba, hay que decir quién es el responsable, para qué se usan los datos, cuánto tiempo se guardan y cómo ejercer los derechos (artículo 13). En un canal de WhatsApp eso se resuelve con el cartel con el que se difunde el número y una página en la web del Ayuntamiento, a la que remite el cartel. Nuestro asistente no suelta ese texto en cada conversación, pero si alguien le pregunta qué se hace con sus datos, se lo explica. El texto lo aporta el proveedor y lo valida la delegada o el delegado.
• La baja. Quien escribió tiene que poder dejar de recibir mensajes con una palabra y pedir que se borre su ficha. Conviene que la palabra sea la misma en todos los canales: BAJA.
• ¿Evaluación de impacto? El Reglamento la exige cuando el tratamiento entraña un alto riesgo (artículo 35). Un canal de avisos y consultas, sin datos especialmente protegidos ni decisiones automatizadas sobre nadie, no suele ser ese caso, pero la respuesta la da la delegada o el delegado, no el proveedor.

5. Lo que no hace falta y a veces se pide

No hace falta el consentimiento de cada persona para que el Ayuntamiento atienda sus consultas: la base es el cumplimiento de una misión de interés público (artículo 6.1.e), que es lo que hace un ayuntamiento cuando atiende a su gente. Sí hace falta informar, y sí hace falta el encargo. Tampoco hace falta pedir el DNI ni la dirección para contestar a quién recoge los muebles viejos: cuantos menos datos se pidan, menos hay que proteger.

Fuentes

• Reglamento (UE) 2016/679, General de Protección de Datos: artículos 6, 13, 28, 30, 32, 35 y 37. Texto consolidado en EUR-Lex, consultado el 25 de septiembre de 2026: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32016R0679
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, que desarrolla en España el Reglamento: https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673

Esta nota explica la ley en llano y no sustituye a la delegada o el delegado de protección de datos de cada ayuntamiento. Si algo de lo que dice cambia, se corrige aquí y se pone la fecha.