WhatsApp e GDPR per le aziende: come scrivere ai clienti

Nota: questa guida è un’informazione generale, non una consulenza legale. Ogni affermazione giuridica rimanda alla norma o alla decisione da cui viene. Per un caso concreto, rivolgiti a un avvocato o al tuo responsabile della protezione dei dati. Gli esempi vengono dalla Spagna: l’autorità spagnola per la protezione dei dati, l’AEPD, pubblica le sue decisioni, e il GDPR che applica è lo stesso in tutta l’UE. Le regole sui messaggi pubblicitari, invece, ogni paese le recepisce con una legge propria.

In 30 secondi

• Rispondere a chi ti scrive non richiede un permesso a parte. Nemmeno ricordargli l’appuntamento o avvisarlo che l’ordine è pronto: sono messaggi di servizio.
• Una promozione su WhatsApp richiede il consenso espresso, a meno che la persona sia già tua cliente e tu le offra qualcosa di simile a ciò che ha comprato. È la regola europea ePrivacy, che la Spagna applica con l’articolo 21 della sua legge LSSI. L’AEPD tratta WhatsApp come l’e-mail o l’SMS.
• Ogni promozione offre un modo semplice e gratuito per disiscriversi, e una disiscrizione si rispetta sempre.
• Anche Meta chiede un permesso preventivo (opt-in) con il nome della tua azienda, e che tu rispetti ogni disiscrizione. Vale anche per l’app gratuita.
• L’AEPD ha già sanzionato questi errori: aggiungere clienti a un gruppo (500 € e 3.000 €), continuare a mandare promozioni dopo una disiscrizione (1.500 €) e inviare dati dei clienti al WhatsApp personale di un dipendente (2.500 €).
• La tua azienda è titolare dei dati. La piattaforma che usi è responsabile del trattamento e firma con te un accordo sul trattamento dei dati.

Posso scrivere ai miei clienti su WhatsApp?

Sì. Per la maggior parte dei messaggi basta il motivo per cui hai il loro numero. Per la legge ci sono due tipi:

• Messaggi di servizio: rispondi a chi ti ha scritto, confermi un appuntamento, aggiorni su un ordine. Il GDPR consente il trattamento necessario per un contratto o per le misure che il cliente chiede prima di concluderlo (articolo 6, paragrafo 1, lettera b).
• Messaggi commerciali: la legge spagnola LSSI chiama comunicazione commerciale tutto ciò che serve a promuovere, direttamente o indirettamente, l’immagine, i beni o i servizi di un’azienda (allegato, lettera f). Questi richiedono un consenso preventivo.

La regola pratica: se il messaggio vende qualcosa, anche in una riga, trattalo come una promozione. Meta fa lo stesso: un modello che mescola un avviso e un’offerta è di marketing.

Per tutti i messaggi, informa la persona quando raccogli il numero: chi sei, a cosa ti serve e su quale base giuridica (articolo 13 del GDPR). Meta chiede inoltre un’informativa privacy pubblicata. E la finestra di 24 ore è una regola di Meta, non della legge: passate 24 ore dall’ultimo messaggio del cliente, l’API ti lascia scrivere solo con un modello approvato, che si paga (quanto costa ciascuno).

Che consenso serve per inviare promozioni su WhatsApp?

Serve che la persona le abbia chieste o autorizzate espressamente prima del primo messaggio. L’unica eccezione è il tuo cliente, per prodotti simili a quelli che ti ha già comprato.

La base europea è la direttiva ePrivacy (2002/58/CE). Il suo articolo 13 consente la vendita diretta tramite «posta elettronica» solo con consenso preventivo, e la direttiva chiama così i «messaggi contenenti testi, voci, suoni o immagini» che restano archiviati finché il destinatario non ne prende conoscenza (articolo 2, lettera h). Ogni paese la applica con una legge propria.

In Spagna è l’articolo 21 della LSSI (legge 34/2002). Vieta la pubblicità per e-mail o con qualsiasi mezzo di comunicazione elettronica equivalente che non sia stata richiesta o espressamente autorizzata prima. L’AEPD cita espressamente gli SMS e i messaggi WhatsApp come mezzo equivalente.

L’eccezione del cliente già acquisito (articolo 21, paragrafo 2) richiede tutte e quattro le condizioni insieme:

1. Un rapporto contrattuale precedente: la persona ti ha comprato o prenotato qualcosa.
2. Hai ottenuto i suoi recapiti in modo lecito.
3. Le offri prodotti o servizi della tua azienda, simili a quelli che ha acquistato.
4. Le hai dato un modo semplice e gratuito per opporsi, al momento della raccolta e in ogni messaggio.

Com’è un consenso valido. Una manifestazione di volontà «libera, specifica, informata e inequivocabile», «mediante dichiarazione o azione positiva inequivocabile» (articolo 4, punto 11, del GDPR). In pratica:

• Niente di tacito. Secondo l’AEPD, l’articolo 21 non ammette un consenso tacito (parere 0164/2018). «Se non rispondi, consideriamo che accetti» non vale.
• Devi poterlo dimostrare (articolo 7, paragrafo 1). Conserva la data, la provenienza e il testo che la persona ha accettato.
• «Il consenso è revocato con la stessa facilità con cui è accordato» (articolo 7, paragrafo 3).

La Lista Robinson spagnola. In Spagna chi fa marketing diretto deve prima consultare le liste di esclusione pubblicitaria, salvo che la persona gli abbia dato il consenso (articolo 23, paragrafo 4, della LOPDGDD, la legge spagnola sulla protezione dei dati).

Ogni paese, la sua legge. Il GDPR è lo stesso in tutta l’UE; la regola sulle promozioni elettroniche cambia:

Cosa chiede Meta per scrivere ai clienti su WhatsApp Business?

Meta chiede un permesso preventivo per qualsiasi messaggio con cui inizi tu la conversazione, non solo per le promozioni. La sua WhatsApp Business Messaging Policy vale per l’app gratuita e per l’API:

• Puoi contattare solo chi ti ha dato il suo numero e il suo permesso a ricevere i tuoi messaggi.
• Il permesso dice chiaramente che la persona accetta di ricevere messaggi, e da quale azienda. Può essere generico, non solo per WhatsApp, purché tu rispetti la legge. Si può raccogliere su un sito web, via SMS, al telefono, di persona o su carta.
• Rispetta ogni richiesta di blocco o di disiscrizione, che arrivi su WhatsApp o per altra via, e togli la persona dalla tua lista di contatti.

Anche i tuoi clienti hanno i loro strumenti. Con un’impostazione di WhatsApp possono smettere di ricevere il tuo marketing: se poi mandi loro un modello di marketing, Meta non lo consegna (errore 131050). Possono bloccarti o segnalarti, e con molti riscontri negativi Meta può limitare i tuoi invii o toglierti l’accesso.

Come gestisco le disiscrizioni su WhatsApp?

Una disiscrizione vale da quando la persona la chiede, per tutto il team, e non serve che usi una parola precisa.

• Basta che lo dica. La LSSI spagnola consente di revocare il consenso con una semplice comunicazione al mittente (articolo 22, paragrafo 1). E secondo il GDPR, dopo l’opposizione, «i dati personali non sono più oggetto di trattamento per tali finalità» (articolo 21, paragrafo 3).
• Offrila in ogni promozione (articolo 21, paragrafo 2, della LSSI). Su WhatsApp, il modo più semplice è un pulsante di risposta rapida nel modello, tipo «Stop promozioni»; Meta lo cita come uso comune.
• Distingui «niente più promozioni» da «non scrivetemi più». Chi rinuncia alle offerte può continuare a ricevere il promemoria dell’appuntamento.
• Rendila visibile a tutto il team. Una disiscrizione annotata sul telefono di una persona non arriva mai alla campagna che prepara un’altra.

Una casella condivisa per il team come BlueMarlin salva nella scheda del cliente se ha dato il consenso, quando e da quale canale. Una disiscrizione lo toglie dalle campagne per tutto il team, che arrivi dal pulsante del modello, da un messaggio che la chiede o dall’avviso di Meta.

Quali errori su WhatsApp ha già sanzionato l’AEPD?

Queste quattro decisioni spagnole colpiscono pratiche comuni in qualsiasi attività:

I gruppi che mostrano i numeri dei tuoi clienti

In un gruppo tutti vedono il numero di tutti: «quando qualcuno ti aggiunge a un gruppo, tutti i membri dello stesso gruppo vedranno il tuo numero di telefono», spiega il centro assistenza di WhatsApp. L’AEPD ha ordinato all’officina misure contro la creazione di gruppi senza consenso che rivelano i dati personali dei partecipanti. Che il reclamante avesse già avuto a che fare con l’officina, per dei cerchioni, non è bastato.

Con una lista broadcast nell’app, ogni cliente riceve il messaggio nella propria chat e la sua risposta arriva solo a te. Arriva però solo a chi ha salvato il tuo numero, e resta pubblicità: richiede lo stesso consenso.

I dati dei clienti sul telefono personale di un dipendente

Sul telefono personale di un dipendente l’azienda non può garantire la riservatezza: persone esterne all’organizzazione possono accedervi, e l’azienda non sa come è protetto. Così ha ragionato l’AEPD, che ha respinto anche l’argomento dell’abitudine: economia, abitudine o rapidità non giustificano una violazione. La soluzione è un numero aziendale usato da tutto il team.

I messaggi a chi si è disiscritto

Il cliente ha chiesto su WhatsApp di non ricevere più nulla, l’azienda gli ha detto di aver cancellato i suoi dati e la pubblicità ha continuato ad arrivare: lui ha fatto notare che era la quarta volta. L’AEPD ha aggiunto che quei messaggi non erano coperti da un rapporto contrattuale precedente, perché la persona aveva solo chiesto un prezzo.

Chi è responsabile dei dati dei miei clienti su WhatsApp?

La tua azienda. Il GDPR chiama titolare del trattamento chi decide finalità e mezzi, e responsabile del trattamento chi tratta i dati per suo conto (articolo 4, punti 7 e 8). La piattaforma che usi per WhatsApp è responsabile del trattamento.

• Serve un accordo sul trattamento dei dati (in inglese DPA). Fissa oggetto, durata, finalità e tipo di dati, e obbliga il responsabile a seguire le tue istruzioni (articolo 28, paragrafo 3).
• Meta ha il suo: i WhatsApp Data Processing Terms, aggiornati il 22 agosto 2025, che si applicano quando WhatsApp tratta i dati dei tuoi clienti come tuo responsabile del trattamento.
• BlueMarlin pubblica il suo su /dpa: BlueMarlin è il responsabile, Meta figura come sub-responsabile per la trasmissione dei messaggi, e l’accordo si accetta alla creazione dell’account.
• Cosa non puoi delegare: base giuridica, informativa ai clienti, consenso e disiscrizioni restano tuoi. Nessuno strumento raccoglie il consenso al posto tuo.

Domande frequenti

Posso aggiungere i miei clienti a un gruppo WhatsApp?

Non senza il loro consenso. In un gruppo tutti vedono il numero di tutti, e l’AEPD spagnola ha multato un’officina per 3.000 € e un catering per 500 € per aver aggiunto clienti a dei gruppi. Per raggiungere molte persone, usa una lista broadcast o una campagna, che arrivano a ciascuno separatamente, e solo a chi ha accettato.

Serve un permesso per inviare promemoria degli appuntamenti su WhatsApp?

Non serve un consenso a parte: il promemoria non promuove nulla e si basa sull’appuntamento che il cliente ha preso. Informa che userai WhatsApp quando raccogli il numero. Se al promemoria aggiungi un’offerta, diventa pubblicità, per la legge e per Meta.

Chi mi ha chiesto un preventivo conta come cliente?

Non necessariamente. Nel procedimento PS/00323/2020 la persona aveva solo chiesto un prezzo, e l’AEPD ha concluso che le promozioni ricevute dopo non erano coperte da un rapporto contrattuale precedente. In Italia, poi, il Garante riferisce l’eccezione per i clienti alla sola posta elettronica.

Devo consultare una lista di esclusione prima di una campagna WhatsApp?

In Spagna no, se la persona ti ha dato il consenso. Altrimenti sì: la LOPDGDD obbliga chi fa marketing diretto a consultare prima le liste di esclusione (articolo 23, paragrafo 4). L’AEPD ricorda che essere iscritti non impedisce di ricevere pubblicità da un’azienda di cui si è clienti. Gli altri paesi regolano questo punto con leggi proprie.

Il mio team può seguire i clienti dal proprio WhatsApp personale?

È rischioso. L’AEPD ha multato per 2.500 € un’azienda che inviava dati dei clienti al WhatsApp personale di un dipendente, perché su quel telefono non poteva garantire la riservatezza. La scelta sicura è un numero aziendale condiviso, così il cliente resta all’azienda quando qualcuno se ne va.

Che multa si rischia per pubblicità su WhatsApp senza permesso?

In Spagna, secondo la LSSI, che su questo punto fa applicare l’AEPD: fino a 30.000 € per un’infrazione lieve, e da 30.001 a 150.000 € se l’invio è massivo o insistente (articoli 38, 39 e 43). Secondo il GDPR, fino a 20 milioni di euro o il 4 % del fatturato mondiale annuo (articolo 83, paragrafo 5). Nei quattro casi di questa guida, le multe sono andate da 500 € a 5.000 €.

Fonti

Tutto quanto sopra è stato verificato il 30 settembre 2026 nelle norme e nelle fonti ufficiali:

• Regolamento generale sulla protezione dei dati (UE) 2016/679, EUR-Lex: definizioni (articolo 4), basi giuridiche (6), consenso (7), informativa (13), opposizione al marketing diretto (21), responsabile del trattamento (28) e sanzioni (83).
• Direttiva 2002/58/CE (ePrivacy), versione consolidata, EUR-Lex: definizione di posta elettronica (articolo 2, lettera h) e comunicazioni indesiderate (13).
• Legge 34/2002 (LSSI), Gazzetta ufficiale spagnola (BOE), in spagnolo: consenso ed eccezione del cliente (articolo 21), revoca (22), infrazioni e multe (38 e 39), competenza dell’AEPD (43) e definizione di comunicazione commerciale (allegato, lettera f).
• Legge organica 3/2018 (LOPDGDD), BOE, in spagnolo: sistemi di esclusione pubblicitaria (articolo 23).
• AEPD: Pubblicità indesiderata, in spagnolo: WhatsApp come mezzo equivalente, niente consenso tacito, liste di esclusione.
• AEPD: parere 0164/2018, in spagnolo: l’articolo 21 della LSSI non ammette consenso tacito.
• Decisioni dell’AEPD PS/00323/2020, PS/00298/2023, PS/00261/2024 e PS/00505/2023, in spagnolo: i quattro casi della tabella.
• WhatsApp Business Messaging Policy: permesso preventivo, disiscrizioni, modelli, finestra di 24 ore, informativa privacy e sanzioni di Meta.
• Get opt-in for WhatsApp: requisiti e modi dell’opt-in.
• Marketing templates: user preferences: l’impostazione per smettere di ricevere marketing e l’errore 131050.
• Template categorization: un modello con avviso e offerta è di marketing.
• Template components: il pulsante di risposta rapida per disiscriversi.
• WhatsApp: Panoramica sulla privacy: in un gruppo, tutti vedono il tuo numero.
• WhatsApp: Come usare le liste broadcast: ogni destinatario lo riceve come messaggio individuale, e solo se ha salvato il tuo numero.
• WhatsApp Data Processing Terms: Meta come responsabile del trattamento.
• Tabella dei paesi: § 7 UWG (Germania); CNIL, la prospection commerciale par courrier électronique (Francia); Codice privacy, articolo 130 e Linee guida del Garante del 4 luglio 2013 (Italia).
• Accordo sul trattamento dei dati di BlueMarlin: i ruoli di BlueMarlin e di Meta.

Cronologia delle modifiche

• 30 settembre 2026: prima versione.