GDPR e messaggi di marketing: cosa devi sapere nel 2026

Perché il GDPR è importante per chi usa WhatsApp e SMS nel proprio business

Il Regolamento Generale sulla Protezione dei Dati (GDPR) si applica a qualsiasi azienda che tratti dati personali di residenti nell'Unione Europea — indipendentemente dalle dimensioni dell'azienda o dal paese in cui ha sede.

Inviare un messaggio WhatsApp o un SMS a un cliente significa trattare dati personali. Il numero di cellulare è un dato personale. Il contenuto del messaggio può contenere ulteriori dati personali. La cronologia delle conversazioni è un insieme di dati personali.

Negli ultimi anni, le autorità garanti della protezione dei dati hanno notevolmente aumentato il numero di procedimenti sanzionatori a carico delle PMI. Le sanzioni possono raggiungere il 4% del fatturato annuo globale o 20 milioni di euro — a seconda di quale sia il valore più alto.

I tre principi cardine per i messaggi di marketing

1. Base giuridica del trattamento

Per inviare messaggi di marketing, la tua azienda ha bisogno di una base giuridica. Le due più comuni per la comunicazione diretta sono:

Consenso (Art. 6, par. 1, lett. a): Il cliente ha fornito un'autorizzazione esplicita a ricevere comunicazioni di marketing. Questo consenso deve essere libero, specifico, informato e inequivocabile (una casella di controllo selezionata dall'utente, non preselezionata).

Legittimo interesse (Art. 6, par. 1, lett. f): Può essere invocato per comunicazioni con clienti esistenti, riguardanti prodotti o servizi simili a quelli che hanno già acquistato, a condizione che vi sia un'opzione di disiscrizione (opt-out) semplice. Questa base è più ristretta e deve essere valutata caso per caso.

2. Diritto di opposizione (Opt-out)

Chiunque riceva comunicazioni di marketing ha il diritto di opporsi in qualsiasi momento. I tuoi messaggi devono includere un meccanismo di opt-out chiaro e funzionante.

Per WhatsApp: includi "Rispondi STOP per non ricevere più messaggi" e rispetta immediatamente tale richiesta.

Per gli SMS: lo stesso. E registra tutte le richieste di opt-out — le autorità possono richiedere questo registro.

3. Limitazione della finalità e minimizzazione dei dati

Non raccogliere dati di cui non hai bisogno. Se raccogli il numero di cellulare per inviare conferme d'ordine, non puoi utilizzare quel numero per campagne di marketing senza un nuovo consenso per tale specifica finalità.

Cosa registrare e conservare

Le autorità di protezione dei dati possono richiedere prove di conformità. Mantieni un registro di:

• Quando e come è stato ottenuto il consenso (data, fonte, modulo o casella di controllo utilizzata).
• Cosa ha autorizzato esattamente l'utente.
• Le opposizioni (opt-out) ricevute e la data di elaborazione.
• Conservazione dei dati: per quanto tempo conservi i numeri e le conversazioni.

Accordi sul trattamento dei dati (DPA)

Se utilizzi una piattaforma di messaggistica come WhatSMS, stai affidando i dati personali dei tuoi clienti a un responsabile del trattamento. Il GDPR richiede che vi sia un accordo sul trattamento dei dati (DPA) tra la tua azienda e il fornitore.

WhatSMS mette a disposizione un DPA per tutti i clienti, a conferma che i dati vengono elaborati esclusivamente all'interno dell'Unione Europea (server Hetzner in Germania e Austria).

Messaggi transazionali rispetto a messaggi di marketing

Questa distinzione è cruciale. Le regole del GDPR per il marketing sono molto più severe rispetto a quelle per le comunicazioni transazionali.

Messaggi transazionali (non richiedono il consenso al marketing): conferme d'ordine, avvisi di consegna, promemoria di appuntamenti, notifiche dell'account, risposte a richieste avviate dal cliente.

Messaggi di marketing (richiedono una base giuridica specifica): promozioni e sconti, lancio di nuovi prodotti, newsletter tramite WhatsApp o SMS, upsell/cross-sell proattivo.

Se invii un messaggio di conferma d'ordine e includi un buono sconto alla fine, il messaggio diventa parzialmente di marketing. Sii prudente su questo confine.

Lista di controllo pratica

Prima di lanciare la tua prossima campagna, verifica:

• Hai una base giuridica documentata per ciascun segmento di destinatari?
• I messaggi includono un'opzione di opt-out chiara e funzionante?
• Hai traccia di quando e come è stato ottenuto il consenso?
• Esiste un DPA firmato con il fornitore della piattaforma di messaggistica?
• I dati dei clienti sono conservati solo per il tempo necessario?
• Il team conosce la procedura per rispondere alle richieste di accesso, rettifica o cancellazione dei dati?

La conformità al GDPR non è un progetto da fare una sola volta, ma una pratica continua. Tuttavia, con i giusti processi in atto, lo sforzo di gestione è minimo.