WhatsApp API y la CNDP: la guía indispensable de cumplimiento en Marruecos (Ley 09-08)

Un número de móvil identifica a una persona física. En cuanto su empresa lo registra para escribirle por WhatsApp, realiza un tratamiento de datos personales en el sentido del artículo 1 de la Ley 09-08 (Dahir 1-09-15 de 18 de febrero de 2009). El canal no cambia nada: lo que la ley regula es la base de contactos, las finalidades y los proveedores a los que se la confía.

Una integración de WhatsApp Business API acumula al menos cuatro operaciones que la CNDP examina por separado:

• la recogida del número (formulario, pedido, cita, anuncio Click-to-WhatsApp);
• el envío de mensajes salientes, incluidas las campañas que constituyen prospección directa (artículo 10);
• la recepción y archivo de conversaciones entrantes (bandeja, chatbot, transcripción de voz);
• la transmisión de números y contenidos a encargados: su plataforma de envío y después Meta, cuyo Cloud API aloja los mensajes fuera de Marruecos.

Cada una activa una obligación concreta. Esta guía las recorre una a una, con el artículo y el formulario CNDP aplicable, porque un «conforme CNDP» en una página comercial no le protegerá en una inspección. Complementa nuestra guía CNDP y ANRT para SMS y la comparativa RGPD vs Ley 09-08.

La ley distingue al responsable del tratamiento, que decide finalidades y medios, del encargado, que actúa siguiendo sus instrucciones (artículo 23). En WhatsApp Business API la cadena es siempre la misma, y Meta lo confirma en sus WhatsApp Business Data Processing Terms: la empresa es Controller, WhatsApp es Processor.

Consecuencia práctica: ningún proveedor puede «cumplir por usted». El recibo de declaración se emite a su nombre, la prueba del opt-in le pertenece y el artículo 64 apunta a su razón social. Un buen encargado le da las herramientas y el contrato; no sustituye su declaración.

El artículo 12 somete todo tratamiento a una declaración previa, o a una autorización previa en los casos sensibles. La CNDP emite el recibo en 24 horas (artículo 19) y puede, en 8 días, reclasificar el expediente bajo autorización si el tratamiento presenta riesgos manifiestos (artículo 20). Sin recibo, está en el ámbito del artículo 52.

Los formularios vigentes se publican en la página de procedimientos de notificación de la CNDP (nomenclatura 2025):

Dos decisiones marco conviene leerlas antes de rellenar el F214. La deliberación 32-2015 (gestión de clientes) admite expresamente «acciones de prospección y promoción hacia los clientes respetando el artículo 10» y enumera los datos admisibles (identidad, teléfono, historial de compras, correspondencia). La deliberación D-940-2025 (boletines, 28 de noviembre de 2025) es el modelo más cercano a una lista de difusión de WhatsApp: consentimiento con casilla, baja en cada mensaje, conservación hasta la baja y un recordatorio decisivo: «cualquier uso de los datos del suscriptor para elaborar su perfil personal requiere autorización previa». Un chatbot que puntúa sus leads no queda cubierto por una simple declaración.

El F214 versión 2025 precisa que el recibo «acredita el registro» y «no constituye una validación operativa»: la CNDP puede inspeccionar y retirarlo. Declarar es el punto de partida, no un certificado.

Toda persona a la que se piden datos debe ser informada «de forma expresa, precisa e inequívoca», antes de la recogida. El artículo 5 enumera las menciones y el artículo 19 añade una exigencia que casi nadie aplica en WhatsApp: las características del recibo «deben figurar en todas las operaciones de recogida o transmisión de datos».

Su formulario, página de pedido o primer mensaje debe indicar:

1. la identidad del responsable (su razón social, no la del proveedor);
2. las finalidades: notificaciones de pedido, recordatorios de cita, ofertas comerciales, cada una nombrada;
3. los destinatarios o categorías, incluida la transferencia a Meta en el extranjero (la deliberación D-940-2025 exige mencionar las transferencias «debidamente autorizadas por la CNDP»);
4. el carácter obligatorio o facultativo de la respuesta;
5. los derechos de acceso, rectificación y oposición, con un contacto para ejercerlos;
6. el número de recibo CNDP del tratamiento.

Esta última mención es la prueba más sencilla para un inspector: un formulario sin número de recibo significa que no ha declarado o que no informa. En ambos casos, el artículo 5 no se cumple.

El artículo 10 prohíbe «la prospección directa mediante un sistema automatizado de llamadas, fax o correo electrónico o cualquier medio que emplee una tecnología de la misma naturaleza» sin consentimiento previo. WhatsApp entra en esa última categoría: el texto de 2009 no lo nombra, pero se redactó para cubrir los canales futuros. El consentimiento se define como «toda manifestación de voluntad libre, específica e informada»: una casilla premarcada, un número recogido de una web o una lista comprada no lo son.

El artículo 10 prevé una única excepción, calcada del derecho europeo: la prospección a un cliente existente cuyos datos se recogieron directamente en una venta, para productos análogos, siempre que se ofrezca una oposición sencilla y gratuita en la recogida y en cada mensaje. Sirve para relanzar a un cliente de e-commerce; no cubre a un prospecto que solo pidió presupuesto ni a un contacto importado de un CRM ajeno.

La tabla cruza las cuatro categorías de Meta con la base legal marroquí:

Dos trampas se repiten en las inspecciones. Un mensaje facturado por Meta como utility que cuela una oferta comercial es prospección según el artículo 10, sea cual sea su categoría de facturación. Y una conversación service abierta por el cliente no vale como opt-in de marketing: responder a una pregunta no autoriza a añadir el número a la difusión del mes siguiente.

Un opt-in solo vale lo que usted puede probar, con fecha y vinculado a un número. Tres redacciones cumplen los artículos 10 y 5 en una frase; adáptelas con su razón social y su número de recibo.

Formulario web o caja (casilla sin premarcar):

☐ Acepto recibir las ofertas y novedades de [Empresa] por WhatsApp en el número indicado. Mis datos se tratan para esta finalidad (recibo CNDP n.º …), se transmiten a nuestro proveedor de envío y a Meta (Estados Unidos) para la entrega, y se conservan hasta mi baja. Puedo darme de baja en cualquier momento respondiendo STOP o en privacy@…

Primer mensaje de WhatsApp tras un pedido (utility, sin opt-in de marketing):

Hola Sara, tu pedido n.º 4821 está confirmado. Recibirás el seguimiento de entrega en este número. ¿Quieres recibir también nuestras ofertas? Responde SÍ. Responde STOP para no recibir más mensajes. [Empresa] — recibo CNDP n.º …

Versión en dariya (misma estructura):

Salam Sara, la commande dyalek n° 4821 tconfirmat. Ghadi twsslek l-livraison f had raqm. Bghiti tosslek l-3oroud dyalna ? Jawbi OUI. Jawbi STOP bach ma yosslekch walo. [Empresa] — CNDP n° …

Qué registrar en cada consentimiento, en un registro exportable:

• el número en formato internacional y la fecha-hora exacta;
• la fuente: formulario (URL), respuesta SÍ (identificador del mensaje de WhatsApp), anuncio Click-to-WhatsApp, importación firmada;
• el texto exacto mostrado a la persona en el momento del consentimiento;
• la finalidad consentida: marketing, notificaciones, OTP — una entrada por finalidad;
• la eventual retirada, con fecha y canal.

Una captura de pantalla del CRM no basta: prueba un estado, no un hecho. Por eso EnvoiSMS.ma expone un registro de consentimientos por API (/v1/consents) que fecha cada consentimiento y cada retirada, incluidos los recibidos automáticamente por palabra clave en WhatsApp, y los devuelve por número ante una solicitud de acceso o una inspección.

El artículo 9 da a toda persona el derecho a oponerse «sin coste» al uso de sus datos con fines de prospección. El artículo 10 concreta la exigencia en los canales electrónicos: cada mensaje de prospección debe indicar «datos de contacto válidos a los que el destinatario pueda dirigir útilmente una solicitud» de cese, y está prohibido ocultar la identidad del emisor. Ignorar una oposición se sanciona por el artículo 59.

En WhatsApp, eso se traduce en cuatro reglas:

1. Cada plantilla de marketing lleva una mención de baja legible («Responde STOP») o un botón de respuesta rápida dedicado. Meta lo exige para aprobar ciertas plantillas de marketing.
2. La palabra clave se procesa de inmediato y sin intervención humana: STOP, ARRÊT, إلغاء, BAJA y sus variantes deben bloquear el número para todas las campañas siguientes, en WhatsApp y en SMS.
3. Un número opuesto nunca se reimporta por una sincronización CRM o un fichero de campaña; la lista de exclusión prevalece sobre cualquier lista de envío.
4. La retirada queda registrada con su fecha, porque un STOP sin traza se repite en la siguiente importación.

La oposición no borra el número: lo coloca en una lista de exclusión que debe conservar precisamente para demostrar que la respeta. Nuestra política antispam y el endpoint /v1/optouts describen la mecánica en la plataforma.

La ley no da una cifra universal; exige que el plazo esté declarado y respetado. El artículo 55 castiga la conservación «más allá del plazo previsto por la legislación vigente o del previsto en la declaración». Las dos decisiones marco dan la referencia: la deliberación 32-2015 limita la conservación a «la necesaria para gestionar la relación comercial», con archivo posible para prueba contractual u obligación legal; la deliberación D-940-2025 conserva a los suscriptores «hasta la solicitud de baja».

Una política defendible para WhatsApp Business API:

Escriba estos plazos en su declaración, en su política de privacidad y en la configuración de su herramienta. Nuestro DPA público indica los plazos aplicados en la plataforma, para que nunca declare un plazo que su proveedor no cumple.

El artículo 23 impone «medidas técnicas y organizativas apropiadas» y regula la subcontratación en tres pasos: elegir un encargado «que ofrezca garantías suficientes», vincularlo por un contrato escrito que le obligue a actuar solo por instrucción, y consignar por escrito las exigencias de seguridad «a efectos de prueba». El artículo 58 sanciona la falta de medidas; el artículo 61 alcanza al propio encargado, «incluso por negligencia».

Antes de enviar su primera plantilla, compruebe que su plataforma de WhatsApp ofrece:

• un acuerdo de tratamiento de datos, firmado o aceptable en línea, que nombre roles, plazos y subencargados — el nuestro es público: Acuerdo de tratamiento de datos;
• una lista de subencargados con su ubicación, actualizada con preaviso — la nuestra;
• cifrado en tránsito y en reposo, accesos nominales registrados, un procedimiento de notificación de incidentes;
• mecanismos de exportación y borrado a petición, sin ticket manual;
• un registro de actividad de su cuenta de WhatsApp Business (quién editó una plantilla, conectó un número, desactivó el bot).

Un proveedor que responde «somos conformes CNDP» sin entregarle un contrato no le pone en cumplimiento: la ausencia de escrito es exactamente lo que persigue el artículo 23-4.

Es la obligación más ignorada del mercado y la más pesada. El artículo 43 solo autoriza la transferencia a un Estado «que garantice un nivel de protección suficiente», cuya lista fija la CNDP. Esa lista, establecida por la deliberación 236-2015, tiene 32 países: los Estados de la UE y del EEE, Suiza, el Reino Unido y Canadá. Estados Unidos no figura en ella.

Meta indica en su documentación que el Cloud API almacena los datos por defecto en Estados Unidos, y que el almacenamiento local solo se ofrece en una decena de mercados (Australia, Indonesia, India, Japón, Singapur, Corea del Sur, Alemania para la UE, Suiza, Reino Unido). Marruecos no está entre ellos. Cada mensaje de WhatsApp que envía a un cliente marroquí por la API oficial es, por tanto, una transferencia a un país fuera de la lista, sea cual sea el proveedor intermediario.

La ley ofrece tres salidas, en el artículo 44:

1. El consentimiento expreso de la persona a la transferencia — de ahí la mención «transmitidos a Meta (Estados Unidos)» en los modelos de opt-in. Es la base más sencilla para el marketing, puesto que ya recaba un consentimiento.
2. La necesidad contractual (art. 44-1-d): una confirmación de pedido o un OTP es necesario para ejecutar el contrato con la persona. Cubre los mensajes utility y authentication, no la prospección.
3. La autorización expresa y motivada de la CNDP (art. 44-3) cuando el tratamiento ofrece garantías suficientes «en razón de cláusulas contractuales». Los Data Processing Terms de Meta incorporan un anexo de transferencia internacional; es el documento que hay que adjuntar.

En todo caso, la transferencia se notifica con el formulario F118: el propio F214 recuerda que una transferencia «deberá ser objeto de una solicitud simultánea», y la deliberación D-940-2025 prohíbe toda transferencia «sin autorización previa de la CNDP». El F118 pide el destinatario, el país, la finalidad, la frecuencia, la fecha de la primera transferencia y el número de recibo del tratamiento subyacente; la CNDP resuelve en dos meses, prorrogables una vez.

La transferencia ilícita es la infracción del artículo 60: de tres meses a un año de prisión y multa de 20.000 a 200.000 DH, duplicada para una persona jurídica. Ninguna plataforma, marroquí o extranjera, puede suprimir esa transferencia mientras Meta no ofrezca almacenamiento local en Marruecos; el único cumplimiento honesto es declararla y fundamentarla en el artículo 44.

La CNDP publica la lista oficial de infracciones y sanciones. Aplicadas a un proyecto de WhatsApp Business API, estas son las que más directamente afectan. Importes en dírhams; el artículo 64 duplica las multas para una persona jurídica y añade el cierre del establecimiento y la confiscación; el artículo 65 vuelve a duplicar en caso de reincidencia.

Desde 2025 la CNDP ha anunciado inspecciones sectoriales dirigidas — hostelería, salud, e-commerce, enseñanza superior —, justamente los sectores que adoptaron WhatsApp Business API más rápido. La reforma de la Ley 09-08 en preparación busca alinearse con el RGPD (bases legales, DPO, notificación de brechas, nivel de sanciones); las obligaciones descritas aquí solo se endurecerán.

Meta ha anunciado que Marruecos abandona la tarifa regional «Rest of Africa» por una tarifa propia el 1 de octubre de 2026, con tarifas utility y authentication al alza, una nueva tarifa authentication-international y la facturación de los mensajes de servicio (sin plantilla, dentro de la ventana de 24 h) más allá de una franquicia mensual por número. Las cifras siguientes son las difundidas por los BSP a partir de las tarifas de Meta; la tarifa oficial por divisa prevalece y debe verificarse antes de presupuestar.

Por qué esto va en una guía de cumplimiento: Meta clasifica las plantillas por categoría y la verifica en la aprobación. Un mensaje de marketing disfrazado de utility para ahorrar unos céntimos será reclasificado por Meta y sigue siendo prospección según el artículo 10: acumula riesgo tarifario y riesgo legal. En cambio, una conversación service abierta por el cliente es a la vez la más barata y la más sólida jurídicamente: la solicitud parte de la persona. Diseñar recorridos para que el cliente escriba primero (botón en la web, código QR, anuncio Click-to-WhatsApp con su ventana gratuita de 72 h) es la mejor decisión de cumplimiento y de coste de 2026.

En EnvoiSMS.ma la facturación sigue en dírhams, 0,65 MAD por notificación y 1,15 MAD por mensaje de marketing, sin suscripción y con la categoría de cada plantilla visible en el panel.

Para validar antes de pasar a producción y revisar con cada nuevo caso de uso:

1. Declaración presentada (F214 o F211) a nombre de la empresa, recibo recibido y archivado.
2. F118 presentado para la transferencia a Meta, con la base del artículo 44 identificada (consentimiento expreso, contrato o autorización).
3. Número de recibo visible en cada soporte de recogida (formulario, condiciones, primer mensaje).
4. Información completa: responsable, finalidades, destinatarios incluido Meta, derechos, contacto.
5. Opt-in de marketing específico para WhatsApp, casilla sin premarcar, texto conservado.
6. Registro de consentimientos con fecha, exportable por número, alimentado también por las respuestas SÍ/STOP.
7. STOP operativo en cada plantilla de marketing, multilingüe, procesado automáticamente, propagado al SMS.
8. Separación de finalidades: un número recogido para soporte no entra en campañas sin nuevo consentimiento (art. 54).
9. Plazos de conservación escritos en la declaración y aplicados por la herramienta.
10. DPA firmado con la plataforma, lista de subencargados comprobada.
11. Procedimiento de derechos: respuesta a una solicitud de acceso o borrado en 30 días, con exportación real de los datos.
12. Autorización previa obtenida antes de cualquier scoring, perfilado o tratamiento de datos de salud por el chatbot.

Si falta un solo punto, corríjalo antes del lanzamiento: las sanciones de los artículos 52 a 61 se acumulan, no se sustituyen.

Somos encargado, no responsable: no podemos presentar su declaración, pero podemos hacer verificable cada obligación desde su cuenta.

Para conectar su número a la API oficial, la página WhatsApp Business API en Marruecos explica el onboarding con Meta Embedded Signup; para los costes completos, lea Tarifas de WhatsApp Business API en Marruecos.