Com a entrada em vigor do Regulamento Geral de Proteção de Dados da UE a 24 de maio de 2016 e sendo diretamente aplicável a 25 de maio de 2018, também se altera o quadro regulamentar, que estabelece que o consentimento deve ser “livre, específico e informado”.
Em 15 de março de 2018, a Agência Espanhola de Proteção de Dados emitiu uma resolução sobre o procedimento sancionatório iniciado contra as empresas WhatsApp e Facebook. A AEPD declarou a existência de duas infrações graves à Lei de Proteção de Dados, uma comunicando dados sem ter obtido o consentimento explícito do usuário e a outra tratando esses dados para outros fins sem consentimento.
O RGPDUE 2016/679 prevê que os Controladores de Dados apliquem as medidas técnicas e organizacionais necessárias para garantir e demonstrar que o tratamento dos dados pessoais está de acordo com a legislação em vigor, sendo punível a não aplicação destas medidas.

Esse fato marca um antes e um depois do uso do WhatsApp no ​​âmbito corporativo. As empresas que utilizam o aplicativo com seus clientes podem ser multadas, desde que a sanção da AEPD estabelece que se trata de uma ferramenta insegura. A situação que o RGPDUE coloca à pessoa colectiva é que a empresa assume a responsabilidade pela gestão dos dados e seu tratamento, atribuindo-lhe a máxima responsabilidade.