En muchas asociaciones, el grupo de WhatsApp se impuso sin que nadie lo decidiera. Lo creó un voluntario, se fue añadiendo a los socios poco a poco y hoy hace de canal oficial. Desde el punto de vista de la protección de datos, merece la pena pararse un momento: la responsabilidad es de la asociación.
- Una asociación que usa un grupo de WhatsApp para sus actividades es responsable del tratamiento de los datos de sus socios en ese contexto, aunque la herramienta sea de Meta.
- El riesgo principal no es el contenido de los mensajes, cifrado de extremo a extremo, sino la exposición de los números de teléfono a todos los miembros y añadir a personas sin su consentimiento.
- Los datos sensibles (salud, religión, ideología, afiliación sindical) y los menores exigen más prudencia.
- Los riesgos se pueden reducir mucho: informar, invitar en lugar de añadir, limitar quién publica, sacar a los antiguos socios o elegir una herramienta que no dependa del número.
La asociación es responsable, también en WhatsApp
El RGPD se aplica en cuanto se trata información sobre personas identificables: nombre, teléfono, foto, asistencia a una reunión. Una asociación que trata datos para sus fines (gestión de socios, comunicación, actividades) es responsable del tratamiento: decide para qué y cómo se usan, también cuando elige WhatsApp.
El RGPD excluye las «actividades exclusivamente personales o domésticas» (artículo 2.2.c): un grupo de amigos no queda sometido igual. Pero un grupo que hace de canal oficial de una asociación, alimentado con su fichero de socios y gestionado por su junta, entra en principio en la actividad de la asociación.
La AEPD lo ha aplicado a un caso real. En una resolución de 2026, dirigió un apercibimiento a un club de baloncesto: uno de los administradores de un grupo de WhatsApp vinculado al club había añadido a una persona ajena sin su consentimiento. El club alegaba que era un grupo privado de los jugadores; la Agencia concluyó que el club era responsable del tratamiento, porque reconocía usar estos grupos como medio auxiliar de comunicación interna, y apreció una infracción del artículo 6.1 del RGPD (falta de base legal).
Los siete puntos delicados de un grupo de WhatsApp de una asociación
1. Los números de teléfono están a la vista de todos
En un grupo de WhatsApp clásico, cada participante ve el número de todos los demás. Para la asociación, equivale a comunicar parte de su fichero de socios a todos los socios. El RGPD establece el principio de minimización de datos (artículo 5.1.c): solo lo necesario, y solo a quien lo necesita. Los datos de los socios no tienen por qué estar al alcance de todos los socios.
WhatsApp despliega poco a poco en 2026 los nombres de usuario, y los grupos de anuncios de las «Comunidades» ya ocultan los números de los miembros (no los de los administradores). Pero el número sigue siendo obligatorio para crear una cuenta y visible en la mayoría de los grupos existentes.
2. Añadir sin permiso
Añadir a un socio con el número de su ficha de inscripción es usar ese dato para algo que quizá no esperaba: darle de alta en una plataforma de terceros y mostrar su número a los demás. Es justo lo que la AEPD reprochó al club de baloncesto. Además, el RGPD obliga a informar a las personas del uso que se hace de sus datos (artículo 13). Lo más prudente es anunciar que existe el grupo y dejar que cada uno se una con un enlace de invitación.
3. La agenda de contactos
Si el usuario lo autoriza, WhatsApp accede con regularidad a los números de su agenda, incluidos los de personas que no usan WhatsApp, según su política de privacidad. Una asociación que pide a sus voluntarios guardar los móviles de los socios «para el grupo» lo alimenta de forma indirecta.
4. Los metadatos en Meta
WhatsApp trata metadatos: quién pertenece a qué grupo, cuándo se conecta, desde qué dispositivo. En Europa, el servicio lo presta WhatsApp Ireland, sometida al RGPD (y multada en 2021 con 225 millones de euros por la autoridad irlandesa por falta de transparencia). Algunos datos pueden transferirse a Estados Unidos en el marco del «Data Privacy Framework», recurrido ante el Tribunal de Justicia de la UE.
5. Los antiguos socios se lo quedan todo
El RGPD pide no conservar los datos más tiempo del necesario. En WhatsApp, un socio que se va conserva en su móvil los números, el historial y las fotos, y la asociación no puede hacer limpieza por él. Sacarlo rápido del grupo limita, al menos, lo que recibirá después.
6. Los datos sensibles
En algunas asociaciones, el simple hecho de estar en el grupo revela un dato de categoría especial en el sentido del artículo 9 del RGPD: asociación de pacientes, comunidad religiosa, sección sindical, partido político, grupo de apoyo. El artículo 9.2.d permite a las entidades sin ánimo de lucro con fines políticos, filosóficos, religiosos o sindicales tratar los datos de sus miembros, pero con las debidas garantías y sin comunicarlos fuera sin su consentimiento. Mostrar la lista de miembros, aunque sea entre ellos, es entonces más delicado, igual que un certificado médico o la alergia de un niño enviados al chat.
7. Los menores y las fotos
Las condiciones de WhatsApp fijan una edad mínima de 13 años en Europa. En España, un menor solo puede consentir por sí mismo el tratamiento de sus datos a partir de los 14 años (artículo 7 de la LOPDGDD); por debajo, hace falta el consentimiento de sus padres o tutores. El Gobierno aprobó en marzo de 2025 un proyecto de ley que propone subir esa edad a 16 años: si lees esto más adelante, comprueba si ya ha cambiado. Para una sección infantil, mejor un grupo de familias. Y para las fotos rige también el derecho a la propia imagen (Ley Orgánica 1/1982): pide permiso a las personas, y a las familias en el caso de los niños, antes de difundirlas.
Si seguís con WhatsApp: ocho buenas prácticas
- Informad: mencionad el grupo de WhatsApp en la cláusula de protección de datos de la ficha de socio (finalidad, herramienta usada, datos que verán los demás miembros).
- Invitad, no añadáis: compartid un enlace de invitación y dejad que cada uno decida si se une. Ofreced otro canal (correo electrónico) a quien no quiera WhatsApp.
- Separad los usos: un grupo de «avisos» en el que solo escriben los administradores (varios, de la junta), distinto de la conversación libre.
- Nada de datos sensibles ni de documentos con datos personales (listados de socios, números de cuenta, certificados) en el chat.
- Haced limpieza: sacad a quien se da de baja y revisad el grupo al empezar cada temporada.
- Escribid unas normas: no reenviar capturas fuera del grupo ni fotos ajenas sin permiso.
- Llevad el registro de actividades de tratamiento (artículo 30 del RGPD): la exención para entidades de menos de 250 personas no se aplica cuando el tratamiento no es ocasional, como ocurre con la gestión de socios. Incluid en él la comunicación con los socios y la herramienta utilizada.
Elegir una herramienta que reduzca el problema de raíz
La mayoría de las dificultades vienen de que WhatsApp se basa en el número de teléfono. Qué mirar en una alternativa:
- Registro posible sin número de teléfono.
- Datos de contacto de los miembros ocultables, y lista de participantes ocultable por el administrador.
- Un canal en el que solo publica la junta, distinto de la conversación.
- Que un miembro que se va pueda eliminar sus contribuciones.
- Alojamiento en Europa, sin publicidad, sin venta de datos.
- Una política de privacidad legible y un contacto identificado.
Qué hace YouTim en estos puntos
- Sin número obligatorio: basta con una dirección de correo electrónico, o con iniciar sesión con Google o Apple.
- Datos de contacto bajo control: en cada YouTim, cada uno puede desactivar «Publicar mis datos de contacto»; los demás participantes ya no ven ni su correo ni su teléfono. Los administradores del YouTim los siguen viendo siempre, porque los necesitan para gestionar a los miembros. El administrador también puede activar «Ocultar la lista de participantes»: cada uno ve entonces solo a los administradores.
- Anuncios reservados a los administradores, con «Leído por x/y», y un chat en el que se puede limitar la escritura a la junta.
- Bajas: quien sale de un YouTim puede eliminar al mismo tiempo sus mensajes, reacciones, votos y fotos.
- Alojamiento y seguridad: app alojada en Ámsterdam, archivos en Scaleway, en París; TLS 1.2 como mínimo en tránsito y contenidos cifrados en reposo (AES-256). Sin publicidad ni venta de datos. Lo edita Simplycards, empresa francesa.
Con una herramienta que no depende del número de teléfono, los riesgos ligados a los números se reducen en gran parte. A la asociación le quedan unos buenos hábitos: informar a los socios, llevar el registro, fijar plazos de conservación y atender las solicitudes de acceso o supresión.
La lista de comprobación de la junta
- Los socios saben qué herramientas usamos y qué ven de ellos los demás.
- Cada uno se une al grupo voluntariamente, y hay otro canal para quien no quiera.
- La información oficial pasa por un canal en el que solo publica la junta.
- No circulan datos sensibles ni documentos personales por el chat.
- Sacamos del grupo a quien se da de baja y lo revisamos cada temporada.
- Con menores de 14 años, pasamos por las familias.
- Solo publicamos fotos con el permiso de las personas que aparecen.
- Nuestro registro de actividades de tratamiento incluye la comunicación con los socios.
¿Vuestra asociación es un AMPA o un grupo de familias? Lee también cómo crear un grupo de padres del colegio sin compartir tu número.
Preguntas frecuentes
¿Una asociación puede usar WhatsApp?
Ninguna norma lo prohíbe. Pero la asociación sigue siendo responsable de los datos de sus socios: debe informarles, limitar lo que se comparte y no exponer datos sensibles.
¿Hace falta el permiso de los socios para añadirlos a un grupo de WhatsApp?
Hace falta una base legal y que estén informados. En 2026, la AEPD apercibió a un club deportivo porque se había añadido a una persona a un grupo de WhatsApp sin su consentimiento. Lo más prudente es compartir un enlace de invitación y dejar que cada uno decida.
¿Un grupo creado por un socio compromete a la asociación?
Un grupo de amigos creado a título privado queda en la esfera personal. Si funciona como canal oficial, lo gestiona la junta o sirve para las actividades de la asociación, en principio forma parte de la actividad de la asociación, como recordó la AEPD en el caso de un club de baloncesto.
¿A partir de qué edad puede un menor dar su consentimiento en España?
A partir de los 14 años, según el artículo 7 de la LOPDGDD; por debajo, hace falta el consentimiento de sus padres o tutores. Un proyecto de ley aprobado por el Gobierno en 2025 propone subirla a 16 años.
¿Cómo ayuda YouTim a la asociación con el RGPD?
Sin número de teléfono obligatorio, datos de contacto y lista de participantes ocultables, alojamiento en Europa, contenidos cifrados en reposo, y quien se va puede eliminar sus aportaciones. A la asociación le quedan los buenos hábitos: informar a los socios, llevar el registro y fijar los plazos de conservación.
Fuentes
- AEPD: resolución de apercibimiento a un club deportivo por un grupo de WhatsApp (PA/00005/2026)
- Reglamento (UE) 2016/679 (RGPD), texto oficial en español
- Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (BOE)
- Ministerio de Justicia: proyecto de ley de protección de menores en entornos digitales (25/03/2025)
- Ley Orgánica 1/1982 del derecho al honor, a la intimidad y a la propia imagen (BOE)
- WhatsApp: condiciones del servicio (Región Europea)
- WhatsApp: política de privacidad (Región Europea)
Este artículo es información general, no asesoramiento jurídico. Para un caso concreto, consulta a la Agencia Española de Protección de Datos (aepd.es) o a un profesional de la protección de datos. Información actualizada a 8 de noviembre de 2026.