GDPR e messaggi di marketing: cosa deve sapere nel 2026

Perché il GDPR è importante per chi usa WhatsApp e SMS nel proprio business

Il Regolamento Generale sulla Protezione dei Dati (GDPR) si applica a qualsiasi azienda che tratti dati personali di residenti nell'Unione Europea — indipendentemente dalle dimensioni dell'azienda o dal paese in cui ha sede.

Inviare un messaggio WhatsApp o un SMS a un cliente significa trattare dati personali. Il numero di cellulare è un dato personale. Il contenuto del messaggio può contenere ulteriori dati personali. La cronologia delle conversazioni è un insieme di dati personali.

Negli ultimi anni, le autorità garanti della protezione dei dati hanno notevolmente aumentato il numero di procedimenti sanzionatori a carico delle PMI. Le sanzioni possono raggiungere il 4% del fatturato annuo globale o 20 milioni di euro — a seconda di quale sia il valore più alto.

I tre principi cardine per i messaggi di marketing

1. Base giuridica del trattamento

Per inviare messaggi di marketing, la Sua azienda ha bisogno di una base giuridica. Le due più comuni per la comunicazione diretta sono:

Consenso (Art. 6, par. 1, lett. a): Il cliente ha fornito un'autorizzazione esplicita a ricevere comunicazioni di marketing. Questo consenso deve essere libero, specifico, informato e inequivocabile (una casella di controllo selezionata dall'utente, non preselezionata).

Legittimo interesse (Art. 6, par. 1, lett. f): Può essere invocato per comunicazioni con clienti esistenti, riguardanti prodotti o servizi simili a quelli che hanno già acquistato, a condizione che vi sia un'opzione di disiscrizione (opt-out) semplice. Questa base è più ristretta e deve essere valutata caso per caso.

2. Diritto di opposizione (Opt-out)

Chiunque riceva comunicazioni di marketing ha il diritto di opporsi in qualsiasi momento. I Suoi messaggi devono includere un meccanismo di opt-out chiaro e funzionante.

Per WhatsApp: includa "Risponda STOP per non ricevere più messaggi" e rispetti immediatamente tale richiesta.

Per gli SMS: lo stesso. E registri tutte le richieste di opt-out — le autorità possono richiedere questo registro.

3. Limitazione della finalità e minimizzazione dei dati

Non raccolga dati di cui non ha bisogno. Se raccoglie il numero di cellulare per inviare conferme d'ordine, non può utilizzare quel numero per campagne di marketing senza un nuovo consenso per tale specifica finalità.

Cosa registrare e conservare

Le autorità di protezione dei dati possono richiedere prove di conformità. Mantenga un registro di:

• Quando e come è stato ottenuto il consenso (data, fonte, modulo o casella di controllo utilizzata).
• Cosa ha autorizzato esattamente l'utente.
• Le opposizioni (opt-out) ricevute e la data di elaborazione.
• Conservazione dei dati: per quanto tempo conserva i numeri e le conversazioni.

Accordi sul trattamento dei dati (DPA)

Se utilizza una piattaforma di messaggistica come WhatSMS, sta affidando i dati personali dei Suoi clienti a un sub-responsabile del trattamento. Il GDPR richiede che vi sia un accordo sul trattamento dei dati (DPA) tra la Sua azienda e il fornitore.

WhatSMS mette a disposizione un DPA per tutti i clienti, a conferma che i dati vengono elaborati esclusivamente all'interno dell'Unione Europea (server Hetzner in Germania e Austria).

Messaggi transazionali rispetto a messaggi di marketing

Questa distinzione è cruciale. Le regole del GDPR per il marketing sono molto più severe rispetto a quelle per le comunicazioni transazionali.

Messaggi transazionali (non richiedono il consenso al marketing): conferme d'ordine, avvisi di consegna, promemoria di appuntamenti, notifiche dell'account, risposte a richieste avviate dal cliente.

Messaggi di marketing (richiedono una base giuridica specifica): promozioni e sconti, lancio di nuovi prodotti, newsletter tramite WhatsApp o SMS, upsell/cross-sell proattivo.

Se invia un messaggio di conferma d'ordine e include un buono sconto alla fine, il messaggio diventa parzialmente di marketing. Sia prudente su questo confine.

Lista di controllo pratica

Prima di lanciare la Sua prossima campagna, verifichi:

• Ha una base giuridica documentata per ciascun segmento di destinatari?
• I messaggi includono un'opzione di opt-out chiara e funzionante?
• Ha traccia di quando e come è stato ottenuto il consenso?
• Esiste un DPA firmato con il fornitore della piattaforma di messaggistica?
• I dati dei clienti sono conservati solo per il tempo necessario?
• Il team conosce la procedura per rispondere alle richieste di accesso, rettifica o cancellazione dei dati?

La conformità al GDPR non è un progetto da fare una sola volta, ma una pratica continua. Tuttavia, con i giusti processi in atto, lo sforzo di gestione è minimo.