En Ecuador, WhatsApp y email marketing no son zonas libres de regulación. Implican bases legales, transparencia, deber de información y capacidad de probar cómo se obtuvo y para qué se usa cada dato. La SPDP ya ha mostrado, en su normativa y en su guía de riesgos, que el marketing digital está dentro de su radar. Esperar a que el problema aparezca en una denuncia o en una inspección no es estrategia; es dejar que una base comercial mal estructurada termine convirtiéndose en una contingencia legal.  

La Guía de Gestión de Riesgos y Evaluación de Impacto publicada por la SPDP desarrolla un caso específico de marketing digital y lo ubica dentro de un escenario de riesgo alto cuando no existe una base legal suficiente. La guía incluso recomienda, para ese supuesto, eliminar el interés legítimo como fundamento y reemplazarlo por una forma específica de consentimiento para fines de marketing. Eso es importante porque demuestra que la autoridad ya no ve este tema como una simple práctica comercial menor, sino como un frente real de exposición regulatoria.

El problema no es solo enviar mensajes, sino cómo se construyó la base

Muchas bases de datos comerciales en Ecuador nacieron de ferias, formularios improvisados, contactos previos, compras históricas o integraciones con plataformas digitales. El error es asumir que ese origen, por sí solo, habilita cualquier uso posterior. Cuando una empresa no puede probar con claridad para qué obtuvo el dato, con qué base legal lo trata y qué información recibió el titular, la base comercial deja de ser un activo y empieza a convertirse en un pasivo regulatorio.

Ese es precisamente uno de los puntos que más preocupa a empresas que ya venden por canales digitales y que sí pueden contratar una revisión jurídica seria: no quieren enterarse demasiado tarde de que su CRM, sus campañas y su automatización estaban apoyados sobre una base débil.

WhatsApp y email marketing pueden implicar algo más que simple comunicación

En la práctica, muchas campañas ya no consisten solo en “enviar mensajes”. Involucran seguimiento de aperturas, monitoreo de clics, analítica, scoring, segmentación y automatización basada en comportamiento. Cuanto más se acerca una operación a ese tipo de tratamiento, más importante se vuelve revisar si existe perfilamiento y si el titular fue informado de ello de forma clara.

La guía de riesgos de la SPDP refuerza esa preocupación precisamente al tratar el uso de datos en marketing digital como un escenario que puede llegar a un nivel de impacto muy alto cuando no está jurídicamente bien sustentado.

Entonces, ¿siempre necesito consentimiento?

No siempre, pero aquí es donde el análisis tiene que hacerse con cuidado. La Resolución N.º SPDP-SPD-2025-0041-R regula la aplicación del interés legítimo como base de legitimación para el tratamiento de datos personales dentro del territorio de la República del Ecuador. La propia norma señala que su objeto es regular y determinar el ámbito de aplicación del interés legítimo, que es de cumplimiento obligatorio para quienes lo apliquen y que esta base opera dentro del sector privado.

Además, la resolución define la evaluación de ponderación como un análisis debidamente motivado y documentado. Eso significa que la empresa no puede limitarse a poner “interés legítimo” como etiqueta en un documento. Tiene que poder explicar y defender por qué procede en ese caso concreto y por qué no prevalecen los derechos y libertades del titular.

El error más frecuente: creer que “tener la base” basta

Uno de los errores más repetidos es usar lenguaje genérico como “acepto términos y condiciones” o “acepto recibir información” y creer que con eso se resolvió todo. Cuando una campaña involucra varias finalidades, automatización, perfilamiento o flujos con terceros, el análisis debe ser mucho más fino. No basta con que la empresa diga que el titular “aceptó”; tiene que poder sostener jurídicamente esa aceptación y demostrar que el tratamiento fue transparente y proporcional.

Qué debería revisar una empresa esta semana

Una empresa que usa WhatsApp o email marketing en Ecuador debería revisar, como mínimo, estos puntos:

• de dónde salió la base de datos;
• qué base legal sostiene cada finalidad;
• qué información recibió el titular;
• si la herramienta realiza automatización o perfilamiento;
• si existe un mecanismo real y fácil para oposición o baja;
• y si el flujo con CRM, formularios y plataformas está documentado.

La combinación entre la resolución de interés legítimo y la guía de riesgos de la SPDP muestra con claridad que la autoridad ya no espera respuestas superficiales.

En Tempolegal acompañamos como Delegado de Protección de Datos externo a más de 30 organizaciones en Ecuador, y una de las debilidades que más se repite en la práctica está precisamente en bases de datos comerciales, formularios digitales y automatizaciones que crecieron rápido sin una revisión jurídica paralela. Ayudamos a empresas en Ecuador a auditar bases de datos comerciales, campañas de WhatsApp y email marketing, revisar consentimientos, interés legítimo, automatización y flujos con CRM para reducir riesgos antes de que llegue una sanción o una crisis reputacional.