Automatización de Instagram conforme al RGPD: checklist para DMs automáticos en 2026

El Comité Europeo de Protección de Datos explica este reparto en sus directrices sobre responsable y encargado del tratamiento: es responsable quien decide los fines y los medios esenciales. Un proveedor que usa los datos de tus seguidores para sus propios fines se convierte en responsable de ese uso (art. 28.10 del RGPD).

Para ti significa lo siguiente:

• Quien quiera saber qué datos suyos guardas, o pida que los borres, se dirige a ti. La herramienta tiene que ayudarte a responder.
• Necesitas un contrato con la herramienta antes de que trate datos. Más detalles abajo.
• Tienes que poder demostrar que cumples las reglas (art. 5.2 del RGPD). Incluye la automatización en tu registro de actividades de tratamiento (art. 30 del RGPD). La excepción para empresas con menos de 250 empleados no se aplica cuando el tratamiento no es ocasional, y una automatización que funciona todos los días no es ocasional. RGPD

• Haz que el DM sea esperado. El considerando 47 del RGPD se fija en las expectativas razonables de los interesados. Un texto como “Comenta PLAN y te lo envío por DM” convierte el mensaje en algo que la persona pidió.
• Reacciona solo a una palabra clave. Si la automatización responde a todos los comentarios, la gente recibe DMs que nunca pidió, y la ponderación de intereses se vuelve mucho más difícil.
• Envía lo que prometiste y nada más. El art. 21 de la LSSI-CE prohíbe enviar publicidad por correo electrónico “u otro medio de comunicación electrónica equivalente” sin que se haya pedido o autorizado expresamente antes. Un DM puede entrar en esa categoría, así que trata la publicidad que añades sin que te la pidan como un correo comercial.
• Documenta la ponderación de intereses. Bastan unas frases: tu interés, lo que espera la gente, qué datos usas y cómo pueden pararlo.
• Toma en serio las oposiciones. Cualquiera puede oponerse a un tratamiento basado en el interés legítimo (art. 21.1 del RGPD). En la mercadotecnia directa, la oposición vale sin ponderación: después, se acabó (art. 21.3 del RGPD).

• Di para qué es la dirección. “Respóndeme con tu correo y te envío la checklist” cubre la checklist. No es un consentimiento para una newsletter.
• Pregunta por la newsletter por separado. Si quieres las dos cosas, pregunta por las dos, y deja que la gente diga que sí solo a una.
• Usa la doble confirmación. Un correo de confirmación con un enlace es la forma más sencilla de demostrar que la dirección es de quien se apuntó. Ninguna ley española la exige expresamente, pero en Alemania es lo habitual.
• Enlaza tu política de privacidad en el mensaje que pide la dirección. Así la persona recibe la información que exige el art. 13 del RGPD al recoger los datos. En España puedes dar primero la información básica (quién eres, para qué y cómo ejercer los derechos) y enlazar el resto, como permite el art. 11 de la LOPDGDD.
• Pide solo lo que necesitas (art. 5.1.c del RGPD). Un correo o un teléfono, no los dos y además la fecha de cumpleaños.
• Piensa en los menores. Si te basas en el consentimiento, en España una persona menor de 14 años necesita el de sus padres o tutores (art. 7 de la LOPDGDD). Para servicios en línea dirigidos a menores, el art. 8 del RGPD fija 16 años salvo que cada país baje la edad, nunca por debajo de 13.
• Cada herramienta a la que pasas leads es otro encargado del tratamiento. Las herramientas de newsletter, los CRM y las hojas de cálculo en la nube necesitan cada una su propio contrato de encargo.

El contrato tiene que regular lo que enumera el art. 28.3 del RGPD:

• El objeto y la duración, la naturaleza y el fin del tratamiento, el tipo de datos y las categorías de interesados.
• Tratamiento solo siguiendo tus instrucciones documentadas, también para las transferencias fuera de la UE.
• Confidencialidad de todas las personas del proveedor que trabajan con los datos.
• Las medidas técnicas y organizativas del art. 32 del RGPD.
• Subencargados solo con tu autorización previa, con aviso de los cambios para que puedas oponerte (art. 28.2 y 28.4 del RGPD).
• Ayuda con las solicitudes de los interesados y con tus obligaciones de los art. 32 a 36 del RGPD.
• Supresión o devolución de los datos cuando termine el servicio.
• Toda la información que necesites para comprobarlo, incluidas las auditorías.

Pide la lista actual de subencargados, con el lugar donde cada uno trata datos. Si falta un contrato de encargo obligatorio, eso ya es por sí solo una infracción del art. 28 del RGPD, y el art. 83.4 del RGPD permite multas por ello.

• Comprueba tú mismo la certificación. Es por empresa y puede caducar. La lista del Data Privacy Framework muestra quién tiene una certificación activa.
• Con cláusulas contractuales tipo (decisión 2021/914), la sentencia Schrems II del TJUE (C-311/18) exige además evaluar si la ley del país de destino anula las cláusulas.
• Revisa cada parte de la configuración. Las respuestas con IA, las voces generadas, el envío de correos, las redes de distribución de contenidos y el seguimiento de errores suelen estar en proveedores de EE. UU., aunque los servidores principales estén en la UE.
• Indica las transferencias y su garantía en tu política de privacidad (art. 13.1.f del RGPD).

Si vives en Latinoamérica: el RGPD también se aplica a empresas de fuera de la UE cuando ofrecen productos o servicios a personas que están en la UE o hacen seguimiento de su comportamiento (art. 3.2 del RGPD). Si tu audiencia es local, rigen además tus propias leyes, como la Ley Federal de Protección de Datos Personales en Posesión de los Particulares en México (nueva desde el 20 de marzo de 2025), la Ley 25.326 en Argentina o la Ley 1581 de 2012 en Colombia. Esta guía explica las reglas europeas y no sustituye una revisión de tu ley local.

Un texto modelo como punto de partida. Sustituye todo lo que está entre corchetes y haz que lo revisen para tu caso:

• Elige plazos y escríbelos. El RGPD no fija una cifra. Usa lo que encaje con el fin, por ejemplo conversaciones sin lead a los pocos meses y contactos de la newsletter hasta que se den de baja.
• La supresión tiene que llegar a cada copia (art. 17 del RGPD): la herramienta de automatización, las exportaciones y cada herramienta a la que pasaste leads.
• Ten a mano los datos (art. 15 del RGPD), con todo lo que guardas sobre una persona.
• Si dejas de usar una herramienta, el contrato de encargo tiene que obligarla a borrar o devolver los datos (art. 28.3.g del RGPD). Quita también la app en los ajustes de Instagram.
• La herramienta tiene sus propias obligaciones. Las Platform Terms y las Developer Policies de Meta limitan cómo pueden usar las apps los datos de Instagram y cuándo tienen que borrarlos.
• Si alguien reclama. En España, la autoridad de control es la Agencia Española de Protección de Datos (AEPD), ante la que cualquier persona puede presentar una reclamación. Cada país de la UE tiene su propia autoridad.

• Cómo etiquetar. Un aviso fácil de leer antes o después del mensaje, como “Mensaje automático”.
• Etiqueta aunque no sea obligatorio. Si parte de tu audiencia está en Alemania o tu cuenta parece de una persona, etiquetar te ahorra dudas, y deja claro a todos que el mensaje llegó al instante porque lo envió una herramienta.
• Meta también lo pide. Según la documentación de mensajes de Meta, los chats automatizados tienen que indicarlo al principio de la conversación cuando la ley lo exige, y Meta menciona expresamente Alemania y California. Enviar mensajes
• Respuestas con IA. Dilo en el primer mensaje, y no dejes nunca que el asistente diga que es una persona. Reglamento de IA
• Voces generadas con IA. Una nota de voz generada con IA que imita la voz de una persona real tiene que identificarse como generada por IA (art. 50.4 del Reglamento de IA).

• Los parámetros UTM no guardan nada en el dispositivo. Pero no pongas nombres de usuario ni otros datos personales en las URL.
• El seguimiento de clics por persona te muestra quién tocó el enlace. Si no lo usas, desactívalo.
• Un regalo descargable alojado en otro proveedor plantea las mismas preguntas sobre el contrato de encargo y las transferencias.

Lo que sigue dependiendo de ti

• Tu política de privacidad, tu base jurídica y tu registro de actividades de tratamiento.
• Activar el etiquetado si tu cuenta parece de una persona o tu audiencia está en Alemania.
• El consentimiento para una newsletter y los contratos de encargo con las herramientas a las que pasas leads.
• Decidir cuánto tiempo guardas los leads, y borrarlos.

Los detalles están en la política de privacidad, en el contrato de encargo del tratamiento y en la página sobre eliminación de datos de Elevion. Cómo funcionan los DMs en sí lo explica la guía para responder comentarios de Instagram por DM.