Hai appena avviato una campagna WhatsApp per un cliente. Inviato promo, offerte, messaggi di follow-up. Tutto ok? Forse no. Se non hai documentato il consenso esplicito di ogni iscritto, sei già in zona rossa GDPR. Lo vediamo ogni settimana nelle agenzie che ci contattano: decine di numeri raccolti al volo da fiere, modulo contatti, biglietti da visita. Poi arrivano le richieste di cancellazione, o peggio, una segnalazione al Garante.

Noi gestiamo decine di brand reali con Zenith OS, e la privacy è uno dei primi blocchi che mettiamo in produzione. Perché sbagliare un consenso non costa solo una multa: costa la fiducia del cliente e la reputazione dell'agenzia.

Perché il GDPR riguarda anche WhatsApp

Il Regolamento Generale sulla Protezione dei Dati (GDPR) non distingue tra email, SMS o WhatsApp. I dati personali (numero di telefono, nome, preferenze) sono dati personali sempre. E WhatsApp Business, anche se usato come canale informale, è un trattamento dati a tutti gli effetti.

L'articolo 6 del GDPR richiede una base giuridica per ogni trattamento. La più comune per marketing è il consenso esplicito. Ma attenzione: il silenzio, la pre-spuntatura o l'invio di un messaggio senza previa autorizzazione non valgono. Il consenso deve essere libero, specifico, informato e inequivocabile.

Errore comune: raccogliere il numero in un modulo “voglio essere ricontattato” e poi usarlo per newsletter promozionali. Non è la stessa cosa. Serve un opt-in separato per marketing via WhatsApp.

I dati che passano da WhatsApp

Ogni messaggio che invii passa dai server di Meta (WhatsApp LLC). Anche se usi la crittografia end-to-end, Meta raccoglie metadati: orari, frequenza, dispositivi. Per il GDPR, sei tu (titolare del trattamento) a dover garantire che il trasferimento dei dati verso gli USA sia conforme (Standard Contractual Clauses, DPF). Non è un dettaglio tecnico: è un obbligo legale.

Noi lo affrontiamo così: prima di attivare WhatsApp per un cliente, verifichiamo che la sua informativa privacy menzioni esplicitamente l'uso di WhatsApp e il trasferimento dati extra-UE. Sembra noioso, ma in 10 minuti risolvi anni di potenziali guai.

Il consenso esplicito: come raccoglierlo e gestirlo

Il consenso non è un file Excel con numeri. È un atto tracciabile. Devi poter dimostrare: chi ha acconsentito, quando, a cosa esattamente, con quale strumento.

Metodi di raccolta validi

  • Opt-in doppio su WhatsApp: dopo aver raccolto il numero via modulo web, invii un messaggio di conferma con link per dare il consenso esplicito. Esempio: “Ciao [Nome], hai richiesto di ricevere offerte via WhatsApp. Clicca qui per confermare: [link]. Se non hai fatto tu questa richiesta, ignora il messaggio.”
  • Checkbox specifica su form: “Accetto di ricevere comunicazioni promozionali via WhatsApp. Leggi l'informativa.” Mai preselezionata.
  • Consenso in chat: dopo un contatto iniziale, chiedi autorizzazione scritta. “Posso inviarti aggiornamenti sui nostri prodotti via WhatsApp? Se sì, rispondi SÌ.” Conserva lo screenshot o il log.

Esempio di prompt per generare un messaggio di consenso conforme:

Sei un consulente GDPR. Scrivi un messaggio WhatsApp da inviare a un utente per chiedere il consenso all'invio di comunicazioni promozionali. Deve essere chiaro, breve, contenere il riferimento all'informativa privacy, e spiegare come revocare il consenso. Usa tono professionale ma caldo.

Cosa deve contenere l'informativa privacy su WhatsApp

Molte agenzie dimenticano di aggiornare l'informativa privacy del cliente quando attivano WhatsApp. Errore grave. L'informativa deve specificare:

  • Chi è il titolare del trattamento (l'azienda cliente, non l'agenzia).
  • Quali dati vengono trattati (numero, nome, cronologia chat).
  • Finalità del trattamento (marketing, assistenza, etc.).
  • Base giuridica (consenso o legittimo interesse, con spiegazione).
  • Trasferimento dati extra-UE (WhatsApp/Meta negli USA).
  • Diritti dell'utente (accesso, rettifica, cancellazione, portabilità).
  • Tempo di conservazione dei dati (es. chat conservate 12 mesi dopo l'ultima interazione).

Inseriscila al primo messaggio automatico o nel link di benvenuto.

Gestione dei dati: archiviazione, cancellazione e diritti

Il consenso non è eterno. L'utente può revocarlo in qualsiasi momento. Devi avere un processo per gestire le richieste di cancellazione. Non basta cancellare il numero dalla rubrica: devi rimuoverlo da ogni lista, anche da eventuali backup.

Noi su Zenith abbiamo integrato un sistema di tracciamento dei consensi per ogni contatto WhatsApp: timestamp, canale di raccolta, storico delle revoche. Quando un utente chiede di essere rimosso, il sistema lo blocca automaticamente da tutte le campagne e archivia la richiesta. In 30 secondi, tutto documentato.

Checklist per la conformità GDPR su WhatsApp:

  • [ ] Informativa privacy aggiornata con riferimento WhatsApp.
  • [ ] Consenso raccolto con doppio opt-in (almeno per marketing).
  • [ ] Tracciamento dei consensi documentato (chi, quando, come).
  • [ ] Processo per gestire richieste di cancellazione entro 30 giorni.
  • [ ] Backup dei log chat (se conservati) accessibili solo a personale autorizzato.
  • [ ] Clausola contrattuale con il cliente (titolare) che definisce i ruoli (responsabile vs titolare).

Strumenti pratici per agenzie e aziende

Non serve reinventare la ruota. Ecco cosa usiamo noi:

  • Template messaggio di benvenuto con informativa: dopo il primo contatto, invia un messaggio automatico che linka l'informativa e chiede conferma. “Prima di proseguire, leggi qui la nostra privacy policy e conferma di accettare: [link]”.
  • Gestione dei consensi in Zenith OS: ogni contatto WhatsApp ha un campo “consenso acquisito” con data e provenienza. Le campagne si bloccano se il consenso è assente.
  • Revoca semplice: basta una risposta “CANCEL” o un comando simile. Il bot lo gestisce e aggiorna il database.

Per approfondire le best practice di marketing su WhatsApp, leggi anche la nostra guida su WhatsApp Business per aziende e agenzie (pillar).

Se vuoi automatizzare tutto il flusso – dal consenso alla pubblicazione –, dai un’occhiata a come funziona il modulo WhatsApp integrato in Zenith OS: provalo gratis un mese.

Cosa fare adesso

1. Controlla i consensi dei tuoi clienti. Se hai numeri raccolti senza opt-in esplicito, invia una campagna di ri-consenso. Spiega cosa stai chiedendo e come possono disiscriversi.

2. Aggiorna le informative privacy. Anche se il cliente non te lo chiede, fallo tu. È un servizio che ti differenzia e protegge entrambi.

3. Documenta tutto. Crea un foglio di tracciamento (o usa uno strumento come Zenith) per ogni consenso ricevuto. La prova è la tua assicurazione.

4. Forma il team. Spiega a chi risponde su WhatsApp che non può inviare promozioni senza verificare il consenso. Un messaggio sbagliato può costare caro.

5. Rivedi il flusso di raccolta lead. Ogni modulo contatti che genera un numero WhatsApp deve avere una checkbox marketing separata e non preselezionata.

Il GDPR non è un nemico: è un'opportunità per fare le cose per bene. Chi lo ignora oggi, domani paga. E noi preferiamo far pagare i nostri clienti con fatturato, non con multe.