Instrucciones embebidas en el código de páginas de ayuda indicaban al bot de soporte no recomendar autoridades de protección de datos a usuarios europeos que no podían eliminar sus cuentas.
WhatsApp incluyó instrucciones ocultas en el código fuente de sus páginas de ayuda que dirigían a su chatbot de soporte a no recomendar autoridades de protección de datos ni reguladores a usuarios que reportaban problemas para eliminar sus cuentas. El texto nunca apareció visible en pantalla — estaba embebido en el código HTML de las páginas — y fue removido el 18 de octubre. La contradicción es directa: la política de privacidad de WhatsApp para Europa establece explícitamente que los usuarios pueden presentar quejas ante autoridades de protección de datos.
Cómo funcionaban las instrucciones ocultas en el código de las páginas
Las directivas estaban insertadas en el código HTML de las páginas de ayuda de WhatsApp, invisibles para cualquier usuario que navegara normalmente el sitio. El chatbot de soporte de la plataforma — diseñado para responder consultas automáticamente — leía estas instrucciones como parte del contexto de la página al procesar consultas de usuarios. Cuando alguien reportaba que no podía eliminar su cuenta, el bot seguía la directiva de no sugerir contactar a un regulador de privacidad.
Este tipo de instrucciones embebidas en código son una práctica común en sistemas de chatbots que extraen contexto de páginas web para generar respuestas. La diferencia aquí es que la instrucción contradecía información que WhatsApp publica abiertamente en su política de privacidad para usuarios europeos. La remoción de las instrucciones el 18 de octubre sugiere que la empresa reconoció el conflicto, aunque no hay registro público de una explicación formal sobre por qué estuvieron ahí en primer lugar.
La contradicción con la política de privacidad europea de WhatsApp
La política de privacidad de WhatsApp para Europa — documento vinculante bajo el Reglamento General de Protección de Datos (GDPR) — informa a los usuarios que tienen derecho a presentar quejas ante autoridades de protección de datos si consideran que sus derechos de privacidad fueron vulnerados. Este derecho es parte del marco legal europeo y no es opcional para empresas que operan en la región. Que el chatbot de soporte estuviera programado para omitir esta información en casos donde un usuario no podía ejercer su derecho a eliminar su cuenta — otro derecho fundamental bajo GDPR — plantea una desconexión entre lo que la empresa declara públicamente y cómo operaba su sistema de soporte automatizado.
No está claro cuánto tiempo estuvieron activas estas instrucciones ocultas ni cuántos usuarios europeos recibieron respuestas del chatbot que omitieron la opción de contactar a un regulador. Tampoco hay evidencia pública de que WhatsApp haya notificado a autoridades de protección de datos sobre la existencia de estas directivas antes de removerlas.
Exposición en América Latina por dependencia del mismo sistema de soporte
WhatsApp opera con una infraestructura de soporte global que comparte componentes técnicos entre regiones. Si bien las instrucciones ocultas reportadas estaban dirigidas a usuarios europeos — donde el GDPR establece obligaciones específicas de informar sobre derechos de queja ante reguladores —, la arquitectura del chatbot de soporte es la misma para América Latina. Países como Brasil, México, Argentina y Chile tienen leyes de protección de datos propias (LGPD, LFPDPPP, Ley 25.326, Ley 19.628) que también reconocen el derecho de los usuarios a presentar quejas ante autoridades nacionales de protección de datos.
No hay confirmación de que instrucciones similares hayan estado activas para usuarios latinoamericanos, pero la lógica del sistema de soporte — un chatbot que lee contexto de páginas de ayuda para generar respuestas — es la misma. Si WhatsApp implementó directivas para omitir menciones a reguladores en una región, la pregunta técnica es si esa lógica se replicó en otras jurisdicciones con marcos legales comparables. La remoción de las instrucciones el 18 de octubre no vino acompañada de una auditoría pública sobre si el mismo patrón existió en versiones de las páginas de ayuda para otros mercados.
Nuestro análisis
Este caso revela una brecha entre cumplimiento declarado y cumplimiento operativo. WhatsApp publica políticas de privacidad que informan a usuarios europeos sobre su derecho a contactar reguladores, pero su sistema de soporte automatizado estaba configurado para no mencionar esa opción en contextos donde más importaba — cuando un usuario no podía eliminar su cuenta. La remoción de las instrucciones ocultas sin explicación pública sugiere que la empresa reconoció el problema, pero no hay registro de que haya informado a usuarios afectados ni a autoridades de protección de datos sobre cuánto tiempo estuvo activa esta configuración.
El patrón es conocido: sistemas de soporte automatizados que optimizan para reducir escalaciones a canales externos, incluyendo reguladores. Lo que no es común es encontrar evidencia directa de esa optimización embebida en el código de páginas de ayuda. La pregunta que queda abierta es si esta fue una decisión aislada de un equipo de producto o si refleja una práctica más amplia en cómo las plataformas diseñan sus sistemas de soporte para gestionar quejas de usuarios bajo marcos regulatorios que les imponen obligaciones de transparencia. ¿Cuántas otras instrucciones ocultas están operando en sistemas de soporte de plataformas globales sin que los usuarios — ni los reguladores — lo sepan?