WhatsApp Business e GDPR: cosa rischi e come metterti in regola

Se la tua azienda usa WhatsApp Business, il GDPR ti riguarda molto più di quanto immagini, e non nel modo in cui te lo aspetti. La domanda che quasi tutti si pongono è se WhatsApp sia “a norma”. È la domanda sbagliata. Meta ha sistemato la sua parte da anni: contratti, clausole, misure di sicurezza. Il problema sei tu. Nel momento esatto in cui installi l’app e il primo cliente ti scrive, diventi titolare del trattamento di un archivio di dati personali che nessuno nella tua azienda ha mai censito, che nessuno sa per quanto tempo va conservato e che, nove volte su dieci, vive sul telefono personale di un collaboratore. Questo articolo affronta quel perimetro.

Perché la domanda “WhatsApp è conforme al GDPR” è mal posta

Quando un imprenditore mi chiede se può usare WhatsApp con i clienti, la risposta è quasi sempre sì. Il GDPR non vieta strumenti, disciplina trattamenti. Non esiste una lista nera di app. Esistono obblighi che ricadono su chi decide finalità e mezzi del trattamento, e quel soggetto è l’azienda, non il fornitore della piattaforma.

La confusione sul rapporto tra WhatsApp Business e GDPR nasce da un equivoco di ruoli. Nei Termini per il trattamento dei dati di WhatsApp Business, aggiornati ad agosto 2025, la ripartizione è scritta nero su bianco: l’azienda cliente è il titolare, WhatsApp agisce come responsabile e tratta i dati solo secondo le istruzioni ricevute. Tradotto: Meta ti fornisce l’infrastruttura e si impegna a proteggerla, ma tutto ciò che riguarda il perché, il per quanto e il chi può accedere resta un tuo problema.

C’è un passaggio ancora più netto, e arriva direttamente dalla documentazione ufficiale della piattaforma. Nel proprio centro assistenza WhatsApp dichiara esplicitamente che quando usi l’applicazione WhatsApp Business sei il titolare del trattamento di tutti i contatti presenti nella tua rubrica. Non di alcuni. Di tutti. Quella rubrica, che nella percezione comune è “l’agenda del telefono”, agli occhi del GDPR è una banca dati aziendale a tutti gli effetti.

Fermiamoci un attimo su questo punto, perché è il cuore della questione. Quanti numeri hai in rubrica? Quanti sono di clienti, fornitori, ex clienti, persone che ti hanno chiesto un preventivo tre anni fa e mai più ricontattate? Hai un’informativa che li copre? Sai dire su quale base giuridica li stai conservando? Se la risposta è no, il problema non è WhatsApp. Il problema è che stai gestendo un archivio senza saperlo.

I tre perimetri che nessuno presidia

Chi cerca “WhatsApp Business GDPR” di solito vuole sapere una cosa sola: cosa rischio davvero. La risposta è che il rischio non è distribuito uniformemente. Nella nostra pratica con le PMI italiane, gli audit su questo tema si concentrano su tre aree dove la non conformità è quasi sistematica. Non sono tecnicismi da azzeccagarbugli: sono i punti su cui si costruiscono i reclami dei clienti e le ispezioni.

Il primo è il consenso, e nello specifico la differenza tra rispondere e scrivere per primo. Il secondo è la conservazione, cioè per quanto tempo quelle conversazioni possono restare da qualche parte. Il terzo è il dispositivo, cioè su quale hardware fisico vivono i dati dei tuoi clienti e chi ha le chiavi di quel hardware. Li affrontiamo uno per uno.

Consenso: rispondere è una cosa, scrivere per primi è un’altra

Qui si concentra l’errore più diffuso e più costoso. Se un cliente ti scrive spontaneamente per chiedere un preventivo o lo stato di un ordine, non ti serve alcun consenso per rispondergli. Stai eseguendo un contratto o adottando misure precontrattuali su richiesta dell’interessato, e la base giuridica esiste già. Puoi rispondere tranquillamente.

Il discorso cambia radicalmente nel momento in cui sei tu a scrivere per primo con finalità promozionali. Un messaggio che annuncia i saldi, una comunicazione sul nuovo catalogo, un invito all’open day: sono comunicazioni di marketing diretto, e per queste serve un consenso specifico, libero, informato e documentabile. Il GDPR non fa sconti in base al canale: vale esattamente come per le email, con l’aggravante che questo è percepito come più intrusivo perché privato.

Il Garante è tornato sul tema con una decisione che vale la pena leggere. Nel provvedimento del 23 ottobre 2025 l’Autorità ha sanzionato una struttura ricettiva per l’invio di messaggi promozionali privi di valido consenso, chiarendo un punto che molti consulenti improvvisati continuano a ignorare: il legittimo interesse non è una base giuridica utilizzabile per il marketing diretto via messaggistica automatizzata. Serve il consenso, punto. Nello stesso provvedimento sono state contestate anche la conservazione oltre il necessario e la mancata evasione delle richieste di cancellazione reiterate negli anni.

La meccanica è la stessa che vale per le liste di indirizzi email, un tema su cui molte aziende hanno dovuto fare i conti dopo il 2018 scoprendo di non poter più usare database costruiti negli anni. Con WhatsApp il rischio è amplificato, perché la rubrica cresce per accumulo silenzioso: ogni conversazione lascia un numero, e quel numero resta.

Come si raccoglie un consenso valido su questo canale? Con un flusso esplicito, separato da qualsiasi altra accettazione, tracciato con data e ora. Un checkbox dedicato nel form del sito, non preflaggato, che indichi chiaramente WhatsApp come canale di contatto promozionale. Se raccogli il numero di persona, serve un modulo firmato o una registrazione equivalente. Il criterio operativo è semplice: se domani un cliente ti contesta di non aver mai acconsentito, devi poter esibire la prova. Le regole sulla raccolta del consenso attraverso i moduli di contatto si applicano identiche, cambia solo il recapito.

Un’ultima nota su una pratica molto diffusa e molto sbagliata: le liste broadcast costruite prendendo i numeri dalla rubrica. Il fatto che una persona ti abbia scritto per un’assistenza tecnica non ti autorizza a inserirla in una lista promozionale. Sono due finalità distinte, servono due basi giuridiche distinte.

Conservazione delle chat: il buco nero della compliance GDPR

Questo è il perimetro dove trovo più disordine, e paradossalmente è quello di cui nessuno parla. Il principio di limitazione della conservazione previsto dal GDPR impone che i dati personali siano mantenuti per un tempo non superiore al conseguimento delle finalità. Sulla carta è ovvio. Nella pratica, quante aziende hanno definito per iscritto quanto a lungo tenere le conversazioni WhatsApp con i clienti?

Il default della piattaforma lavora contro di te. Le chat restano lì per sempre, si accumulano, migrano nei backup, si duplicano su WhatsApp Web e su ogni nuovo telefono a cui viene ripristinato l’archivio. Dopo tre anni di attività un’azienda commerciale si ritrova con decine di migliaia di messaggi che contengono indirizzi, numeri di telefono, riferimenti a ordini, talvolta documenti d’identità inviati come foto e, nei settori sbagliati, dati sulla salute. Nessun registro dei trattamenti lo menziona. Nessuna policy lo governa.

Cosa fare concretamente. Definisci un tempo di conservazione per finalità e mettilo nero su bianco nel registro dei trattamenti. Le conversazioni legate a un ordine seguono la durata della garanzia e degli obblighi fiscali e civilistici collegati. Le richieste di informazioni che non si sono trasformate in nulla non hanno ragione di sopravvivere oltre pochi mesi. Le conversazioni promozionali seguono la durata del consenso.

Poi serve una procedura di cancellazione periodica, perché una policy che nessuno esegue è carta. Una volta al trimestre qualcuno deve entrare, applicare i criteri e ripulire. Se questo suona oneroso, è perché lo è: ed è uno dei motivi per cui, superata una certa soglia di volumi, ha senso valutare uno strumento che centralizzi le conversazioni invece di lasciarle sui telefoni.

Attenzione anche ai backup, che sono il punto cieco classico. Se hai attivato il backup automatico su Google Drive o iCloud, stai duplicando l’archivio in un secondo luogo che vive di vita propria e che la tua policy di cancellazione probabilmente non copre. Ho visto aziende ripulire diligentemente i telefoni e ritrovarsi con tre anni di conversazioni intatte in un cloud personale di cui nessuno ricordava l’esistenza.

Dati dei clienti sui dispositivi personali: il rischio che costa di più

Veniamo al punto più scomodo. Nella stragrande maggioranza delle PMI italiane, WhatsApp Business gira sul telefono personale del titolare, del commerciale o dell’addetto al banco. Il dispositivo è di proprietà della persona, il numero è intestato alla persona, il backup finisce nell’account personale della persona. E dentro ci sono i dati dei clienti dell’azienda.

Prova a immaginare cosa succede il giorno in cui quel collaboratore se ne va. Si porta via, sul suo dispositivo privato, l’intera storia commerciale dei clienti che seguiva. Come esercita l’azienda il controllo su quei dati? Come dimostra, in caso di reclamo, di aver adottato misure tecniche e organizzative adeguate? La risposta onesta, nel novanta per cento dei casi, è che non può.

Il problema ha anche un rovescio speculare, ed è quello su cui sono già arrivate le sanzioni. Usare il numero personale di un collaboratore per finalità aziendali è un trattamento che richiede una base giuridica autonoma. Come riportato da Federprivacy nell’ottobre 2025, l’autorità spagnola per la protezione dei dati ha comminato una sanzione di 70.000 euro a una società del gruppo LVMH per aver inserito una dipendente in un gruppo WhatsApp di lavoro utilizzando il suo numero privato senza consenso. L’Autorità ha stabilito che il numero di un cellulare personale è un dato personale e che la policy interna sull’uso dei dispositivi non esonera l’azienda dall’obbligo di individuare una base giuridica valida.

La direzione operativa è duplice. Da un lato, separare: numero aziendale dedicato, SIM intestata all’impresa, dispositivo aziendale dove i volumi lo giustificano. Dall’altro, formalizzare: se il BYOD resta l’unica strada praticabile, servono un regolamento scritto sull’uso dei dispositivi personali per finalità aziendali, un’autorizzazione al trattamento per la persona incaricata, istruzioni operative su cosa può e non può essere condiviso via chat, e una procedura di riconsegna o cancellazione alla cessazione del rapporto.

Il rischio non è solo sanzionatorio. Un telefono smarrito o compromesso con dentro l’archivio clienti è una violazione di dati personali che, se comporta un rischio per i diritti degli interessati, va notificata al Garante entro settantadue ore. Vale la pena sapere in anticipo come si gestisce un data breach, perché improvvisare la procedura mentre il cronometro corre non è una bella esperienza.

E qui i numeri raccontano una storia interessante. Secondo i dati del Cisco Cybersecurity Readiness Index ripresi da Federprivacy, il 33% delle PMI italiane ha subito almeno un attacco informatico negli ultimi dodici mesi, mentre il 95% si ritiene adeguatamente protetta. Quel divario di sessantadue punti è esattamente lo spazio in cui vivono i telefoni non censiti con dentro le rubriche dei clienti.

App gratuita, Business App o API: cosa cambia davvero per il GDPR

Esistono tre modi di usare WhatsApp in azienda e producono conseguenze molto diverse. Vale la pena distinguerli, perché la scelta dello strumento determina quanto lavoro manuale dovrai fare per restare conforme.

L’app WhatsApp ordinaria, quella personale, non è pensata per uso professionale e non ti mette a disposizione nessuno strumento di governance. Nessuna separazione tra sfera privata e sfera aziendale, nessun log, nessuna gestione multiutente. Usarla per i clienti significa mescolare due archivi che dovrebbero restare distinti.

WhatsApp Business App è la versione gratuita pensata per le microimprese. Introduce profilo aziendale, cataloghi, risposte rapide ed etichette. Restano però limiti strutturali: l’archivio vive sul dispositivo, la gestione del consenso è interamente manuale, non esiste un vero controllo centralizzato degli accessi. È utilizzabile in conformità al GDPR, ma richiede disciplina e documentazione compensativa.

WhatsApp Business Platform, cioè l’accesso via API attraverso un provider, è l’opzione che offre le garanzie più solide sul piano organizzativo: inbox centralizzata, tracciamento dell’opt-in, gestione dei ruoli, cronologia consultabile, integrazione con il CRM. In cambio richiede un investimento e un provider da nominare responsabile del trattamento con contratto ai sensi dell’articolo 28.

Un aspetto da non trascurare in tutti e tre gli scenari riguarda i flussi di dati verso l’infrastruttura Meta. La documentazione contrattuale disciplina i trasferimenti, ma l’azienda titolare deve comunque dichiararli nella propria informativa e nel registro. Se il tema dei trasferimenti di dati personali verso paesi extra UE ti è nuovo, è il momento di guardarci dentro, perché il canale di messaggistica non è un’eccezione.

Checklist operativa per usare WhatsApp Business in regola con il GDPR

Riassumo in una sequenza di interventi concreti quello che tipicamente emerge da un audit su questo perimetro. L’ordine non è casuale: i primi punti sono quelli che, se mancano, rendono inutili tutti gli altri.

1. Censisci il trattamento. Inserisci “comunicazioni con clienti via WhatsApp” nel registro dei trattamenti, con finalità, categorie di interessati, categorie di dati, base giuridica e tempo di conservazione.
2. Aggiorna l’informativa. La privacy policy deve menzionare esplicitamente la messaggistica come canale, indicare il ruolo di WhatsApp come responsabile e descrivere i trasferimenti verso l’infrastruttura Meta.
3. Separa le finalità. Assistenza e customer care da una parte, promozioni dall’altra. Basi giuridiche diverse, flussi di raccolta diversi, liste diverse.
4. Costruisci un opt-in tracciabile. Checkbox dedicato non preflaggato, data e ora, evidenza conservata. Nessun consenso implicito ricavato dal fatto che la persona ti ha scritto.
5. Definisci i tempi di conservazione per ciascuna finalità e implementa una procedura di cancellazione periodica che qualcuno esegua davvero.
6. Governa i backup. Verifica dove finiscono le copie, chi vi accede, se rientrano nella policy di cancellazione.
7. Regola i dispositivi. Numero aziendale dove possibile. Dove non è possibile, regolamento BYOD scritto, autorizzazione al trattamento nominativa, procedura di cancellazione alla cessazione del rapporto.
8. Forma le persone. Chi risponde ai clienti deve sapere cosa non si chiede e non si invia via chat: documenti d’identità, dati sanitari, coordinate bancarie, credenziali.
9. Predisponi la gestione dei diritti. Una procedura per rispondere entro trenta giorni a richieste di accesso, rettifica, cancellazione e opposizione che arrivino via WhatsApp.
10. Formalizza il rapporto con il provider se usi le API, con nomina a responsabile del trattamento ai sensi dell’articolo 28 del GDPR.

Quando un cliente esercita i suoi diritti sulla chat

Questo scenario merita un paragrafo a sé, perché è quello che manda in crisi le organizzazioni impreparate e perché rappresenta la prova del nove della conformità reale al GDPR. Un cliente ti scrive e chiede la cancellazione di tutti i suoi dati. Cosa fai?

Devi essere in grado di individuare tutte le conversazioni che lo riguardano, valutare quali possono essere cancellate e quali devi trattenere per obblighi di legge, procedere alla cancellazione di quanto non necessario, e rispondere motivando entro un mese. Se le conversazioni sono sparse su quattro telefoni personali, tre dei quali di collaboratori che lavorano in filiali diverse, l’operazione è materialmente impossibile. Ed è proprio questa impossibilità a costituire la violazione: il GDPR richiede che il titolare sia in grado di dimostrare la conformità, non che ci provi in buona fede.

In un caso seguito di recente, un’azienda di servizi con una dozzina di addetti ha impiegato tre settimane per rispondere a una singola richiesta di cancellazione, semplicemente perché nessuno sapeva quante rubriche contenessero quel contatto. La riorganizzazione successiva, con numero unico aziendale e inbox centralizzata, ha portato lo stesso tipo di richiesta a essere evasa in un’ora. La differenza non è tecnologica, è organizzativa: sapere dove sono i dati.

Vale la pena notare che il diritto di opposizione al marketing diretto è assoluto e immediato. Se qualcuno scrive “non mandatemi più promozioni”, quella persona esce dalla lista subito, senza valutazioni discrezionali e senza richieste di conferma. Continuare a inviare dopo un’opposizione è una delle contestazioni più frequenti nei provvedimenti dell’Autorità.

Risorse per approfondire e strumenti di verifica

Il perimetro della messaggistica non vive isolato: si incastra con l’informativa del sito, con i moduli di contatto, con il widget “scrivici su WhatsApp” che quasi tutti i siti aziendali hanno in basso a destra e che quasi nessuno ha censito. Se stai riordinando la compliance complessiva, la guida completa all’adeguamento GDPR del sito web copre gli elementi che devono combaciare con quanto descritto qui, a partire dall’informativa e dalla gestione dei form.

Sul versante opposto, quello dell’opportunità commerciale, resta vero che la messaggistica è uno dei canali con i tassi di apertura più alti in assoluto. Il punto non è rinunciarci, ma usarla sapendo cosa si sta facendo. Se ti interessa il lato strategico, ne ho scritto ragionando su perché WhatsApp meriti un posto nella strategia di marketing di una PMI.

Come consulente privacy certificato e membro di Federprivacy, la raccomandazione che faccio più spesso è di partire dal censimento invece che dagli strumenti. Nessun software rende conforme un’organizzazione che non sa quali dati possiede e dove li tiene. La sequenza corretta è mappare, decidere, documentare e solo dopo eventualmente automatizzare.

Domande frequenti su WhatsApp Business e GDPR

Da dove iniziare, concretamente

Il messaggio da portare a casa su WhatsApp Business e GDPR è che il rischio su questo canale non nasce dalla tecnologia, nasce dall’assenza di governo. WhatsApp Business è uno strumento eccellente per il rapporto con i clienti, e rinunciarci per timore sarebbe una scelta miope. Metterlo dentro un perimetro definito, invece, richiede meno lavoro di quanto si tema: un pomeriggio di censimento, qualche decisione sui tempi di conservazione, un modulo di consenso rifatto come si deve e una regola chiara sui dispositivi coprono la gran parte dell’esposizione.

Il passo successivo è verificare come questo perimetro si incastra con il resto della tua compliance, perché informativa, moduli del sito, CRM e messaggistica devono raccontare la stessa storia. Se scoprissi che non lo fanno, non saresti un’eccezione: è la situazione che trovo nella maggior parte degli audit.

Richiedi una consulenza gratuita: possiamo valutare insieme come la tua azienda usa la messaggistica e quali interventi hanno la priorità. Se preferisci partire da una fotografia completa della tua posizione, il percorso di adeguamento GDPR strutturato per le PMI parte proprio da un audit iniziale.