Articolo a cura di: Redazione - Studio Legale Calvello

WhatsApp è utilizzato quotidianamente dalle imprese per comunicare con clienti, dipendenti e fornitori, trasmettere documenti, organizzare attività e gestire richieste commerciali. La rapidità dello strumento, però, non esonera l’azienda dal rispetto della normativa sulla protezione dei dati personali. L’utilizzo di WhatsApp o WhatsApp Business per finalità professionali comporta responsabilità precise, soprattutto quando le conversazioni contengono informazioni riservate, dati dei clienti o comunicazioni relative al personale.

Il problema si presenta frequentemente quando i dipendenti utilizzano il proprio numero personale per lavoro, quando più collaboratori accedono allo stesso account aziendale oppure quando l’impresa conserva e condivide conversazioni senza aver definito regole interne. In queste situazioni occorre verificare la liceità dei trattamenti, le informazioni fornite agli interessati e le misure di sicurezza adottate. Una valutazione preventiva della conformità GDPR può ridurre il rischio che un sistema di comunicazione apparentemente ordinario diventi fonte di contestazioni, reclami o violazioni dei dati personali.

WhatsApp aziendale e GDPR: quando l’utilizzo può creare problemi di privacy

Il GDPR non vieta in via generale alle aziende di utilizzare WhatsApp. La legittimità del suo impiego dipende dalle finalità perseguite, dalla natura dei dati trattati, dalle funzionalità effettivamente utilizzate e dalle condizioni organizzative e contrattuali del servizio. Il Regolamento (UE) 2016/679 si applica quando attraverso l’applicazione vengono trattati dati personali nell’ambito dell’attività aziendale, indipendentemente dal fatto che si utilizzi WhatsApp Messenger oppure WhatsApp Business.

Un’impresa che comunica con i clienti tramite WhatsApp tratta normalmente numeri telefonici, nominativi, contenuti delle conversazioni e, in alcuni casi, documenti contrattuali, informazioni economiche o dati appartenenti a categorie particolari. Il trattamento deve rispettare i principi di liceità, correttezza, trasparenza, minimizzazione, limitazione della conservazione e sicurezza previsti dall’articolo 5 del GDPR. L’azienda deve quindi poter spiegare perché utilizza quel canale, quali informazioni raccoglie, chi può accedervi e per quanto tempo vengono conservate.

Un errore frequente consiste nel ritenere che il cliente, avendo comunicato spontaneamente attraverso WhatsApp, abbia automaticamente autorizzato qualsiasi successivo utilizzo dei propri dati. Il contatto avviato dal cliente non costituisce un consenso generale al marketing, alla condivisione delle informazioni con terzi o alla conservazione illimitata delle conversazioni. La base giuridica va individuata in relazione alla singola finalità: per esempio, la gestione di una richiesta contrattuale può fondarsi sull’articolo 6, paragrafo 1, lettera b), del GDPR, mentre l’invio di comunicazioni promozionali richiede una valutazione distinta anche alla luce della disciplina sulle comunicazioni elettroniche.

La questione diventa più delicata quando il numero del cliente viene acquisito da un gestionale, da un modulo di contatto o da precedenti rapporti commerciali e successivamente utilizzato per inviare messaggi WhatsApp. La disponibilità del recapito non autorizza di per sé ogni modalità di comunicazione. Occorre distinguere i messaggi necessari all’esecuzione del rapporto dalle iniziative pubblicitarie e verificare che l’informativa privacy descriva correttamente le finalità e le modalità del trattamento.

Un ulteriore rischio riguarda la sincronizzazione delle rubriche, l’utilizzo di dispositivi personali e l’accesso alle conversazioni da parte di collaboratori non autorizzati. Quando un dipendente salva sul proprio smartphone numeri e informazioni dei clienti, l’azienda può perdere il controllo sulla successiva conservazione e circolazione dei dati. Anche l’utilizzo di WhatsApp Web su computer condivisi o la gestione di un account da parte di più operatori richiedono verifiche sulle autorizzazioni e sulla possibilità di ricostruire gli accessi.

Per queste ragioni, la valutazione dell’uso di WhatsApp deve essere inserita nell’organizzazione della conformità GDPR aziendale, considerando le concrete modalità di utilizzo anziché limitarsi alla presenza di un’informativa o all’installazione dell’applicazione.

WhatsApp con dipendenti e clienti: quali obblighi deve rispettare l’azienda

Quando WhatsApp viene utilizzato per comunicazioni professionali, l’impresa deve distinguere i trattamenti relativi ai clienti da quelli che coinvolgono i lavoratori. Le finalità, le basi giuridiche e i limiti di accesso non sono necessariamente gli stessi. Il datore di lavoro deve organizzare l’utilizzo dello strumento senza confondere la disponibilità tecnica delle conversazioni con il diritto di controllarne indiscriminatamente il contenuto.

Per i dipendenti, una delle situazioni più problematiche è la richiesta di utilizzare WhatsApp sul telefono personale. L’azienda non può considerare automaticamente obbligatorio l’impiego di un dispositivo privato o del numero personale per esigenze lavorative. La legittimità di eventuali disposizioni dipende anche dalle condizioni del rapporto di lavoro e dagli strumenti messi a disposizione. Occorre valutare soluzioni organizzative che distinguano le comunicazioni professionali da quelle private, evitando accessi ingiustificati a rubriche, notifiche e conversazioni personali.

Se l’impresa utilizza WhatsApp per assegnare attività, verificare risposte, monitorare tempi di intervento o controllare il comportamento dei lavoratori, possono assumere rilievo anche l’articolo 4 della Legge 300/1970 e la disciplina dei controlli a distanza. Non ogni utilizzo dell’applicazione integra automaticamente un controllo soggetto alle procedure previste dallo Statuto dei lavoratori. Occorre verificare quali informazioni vengano effettivamente raccolte, per quali finalità, se lo strumento sia utilizzato dal lavoratore per rendere la prestazione e quali garanzie siano applicabili. Le informazioni acquisite devono comunque essere trattate nel rispetto della normativa privacy e delle condizioni previste dalla disciplina lavoristica.

Una specifica attenzione riguarda i gruppi WhatsApp utilizzati per comunicazioni interne. L’inserimento di un lavoratore può rendere visibile il suo numero personale agli altri partecipanti, con conseguenze da valutare soprattutto quando il gruppo comprende numerosi dipendenti o soggetti esterni. La disciplina di questo particolare utilizzo è approfondita nell’articolo dedicato al gruppo WhatsApp dei dipendenti e alle regole privacy.

Nei rapporti con i clienti, invece, l’impresa deve verificare che le comunicazioni siano coerenti con le finalità dichiarate e che l’accesso alle chat sia riservato ai soggetti autorizzati. L’invio di preventivi, documenti contrattuali o informazioni relative a una pratica può essere compatibile con il GDPR, purché siano rispettati i requisiti applicabili. Per documenti particolarmente riservati o contenenti dati sanitari, finanziari o altre informazioni delicate, può essere necessario adottare canali alternativi o misure supplementari di protezione.

La gestione dei fornitori tecnologici richiede una verifica distinta. L’azienda deve individuare i soggetti coinvolti nel trattamento, i rispettivi ruoli, le condizioni contrattuali e gli eventuali trasferimenti internazionali. Non è corretto presumere che ogni servizio collegato a WhatsApp operi automaticamente come responsabile del trattamento ai sensi dell’articolo 28 GDPR: la qualificazione dipende dalle attività concretamente svolte e dagli accordi applicabili. La verifica assume particolare rilievo quando WhatsApp Business viene integrato con CRM, piattaforme di assistenza clienti o servizi gestiti da operatori esterni.

Questi aspetti devono trovare riscontro in istruzioni interne, informative e misure tecniche proporzionate al rischio. Una policy aziendale per email, internet, PC e smartphone può disciplinare anche l’utilizzo delle applicazioni di messaggistica, definendo quali dispositivi utilizzare, chi può accedere alle conversazioni e come gestire le informazioni alla cessazione del rapporto di lavoro. La sola predisposizione di una policy, però, non sostituisce la verifica delle modalità effettive con cui clienti e dipendenti utilizzano WhatsApp.

Quali rischi corre l’azienda e come organizzare correttamente l’utilizzo di WhatsApp

La responsabilità dell’azienda non dipende dalla semplice presenza di WhatsApp sui dispositivi utilizzati per lavoro, ma dalle modalità con cui vengono trattati i dati personali e dalle misure adottate per proteggerli. Un utilizzo non regolamentato può esporre l’impresa a violazioni del GDPR, reclami di clienti e dipendenti, contestazioni del Garante Privacy e richieste di risarcimento. Le conseguenze devono essere valutate considerando la natura della violazione, i dati coinvolti, le misure organizzative esistenti e l’eventuale danno subito dagli interessati.

Una delle criticità più frequenti riguarda la conservazione delle conversazioni. Le chat possono contenere informazioni commerciali, documenti contrattuali, recapiti personali e comunicazioni riservate che rimangono disponibili per anni, anche quando il rapporto con il cliente è terminato. Il GDPR non stabilisce un termine unico di conservazione per tutti i messaggi WhatsApp: l’impresa deve individuare tempi proporzionati alle finalità del trattamento, tenendo conto degli eventuali obblighi di legge e delle esigenze di tutela dei propri diritti. La conservazione indiscriminata delle conversazioni, senza una finalità giustificabile, può risultare incompatibile con il principio di limitazione della conservazione.

Il problema si manifesta anche quando un dipendente lascia l’azienda. Se il lavoratore ha utilizzato il proprio smartphone per comunicare con i clienti, le conversazioni e i relativi contatti possono rimanere memorizzati sul dispositivo personale. L’impresa deve aver previsto modalità di gestione degli accessi e delle informazioni professionali che rispettino anche la riservatezza del lavoratore. Non può presumere di avere un diritto generalizzato a esaminare o cancellare il contenuto del telefono privato. Quando vengono utilizzati account aziendali, occorre invece organizzare la revoca delle credenziali, il passaggio delle comunicazioni ancora necessarie e la conservazione dei dati secondo criteri previamente definiti.

Particolare attenzione richiede la sicurezza degli account. Lo smarrimento di uno smartphone, l’accesso abusivo a WhatsApp Business o l’invio accidentale di documenti a destinatari non autorizzati possono determinare una violazione dei dati personali. In questi casi l’azienda deve verificare tempestivamente quali informazioni siano state compromesse, quanti interessati siano coinvolti e quali conseguenze possano derivarne. Se la violazione presenta un rischio per i diritti e le libertà delle persone fisiche, il titolare deve effettuare la notifica al Garante, ove possibile entro 72 ore da quando ne è venuto a conoscenza, secondo l’articolo 33 del GDPR. Quando ricorrono i presupposti dell’articolo 34, può essere necessaria anche la comunicazione agli interessati. La violazione deve comunque essere documentata secondo quanto previsto dal Regolamento.

Per affrontare correttamente un incidente occorre seguire una procedura coerente con quella descritta nel nostro approfondimento sul data breach in azienda e sugli interventi nelle prime 72 ore. Non ogni messaggio inviato per errore costituisce automaticamente una violazione da notificare, ma ogni incidente che coinvolge dati personali richiede una valutazione delle circostanze e del rischio effettivo.

La gestione di WhatsApp Business presenta ulteriori profili di responsabilità quando viene utilizzato per attività commerciali. L’invio di messaggi promozionali a clienti che hanno comunicato il proprio numero per ricevere un preventivo o acquistare un prodotto non è automaticamente lecito. Per le comunicazioni pubblicitarie tramite messaggistica occorre considerare anche l’articolo 130 del Codice Privacy, che disciplina l’utilizzo dei recapiti elettronici per finalità promozionali. Il consenso eventualmente necessario per il marketing deve essere distinto dalla base giuridica utilizzata per gestire il rapporto commerciale. Le eccezioni previste dalla normativa non possono essere estese indistintamente a qualsiasi messaggio promozionale inviato tramite WhatsApp.

Sotto il profilo organizzativo, l’impresa dovrebbe definire una procedura che stabilisca quali dipendenti possono utilizzare WhatsApp per lavoro, quali categorie di informazioni possono essere trasmesse, come devono essere protetti gli account e quando occorre ricorrere a strumenti alternativi. È necessario disciplinare anche l’accesso alle conversazioni, la gestione dei dispositivi personali, la cessazione dei rapporti di lavoro e l’eventuale utilizzo di software collegati a WhatsApp Business. Le istruzioni devono essere effettivamente comunicate al personale e accompagnate da misure tecniche adeguate.

Quando WhatsApp viene integrato con piattaforme CRM, sistemi di risposta automatica o servizi di assistenza gestiti da fornitori esterni, occorre verificare anche i ruoli privacy e gli eventuali accordi richiesti dall’articolo 28 GDPR. La presenza di servizi cloud o di trasferimenti internazionali può rendere necessarie ulteriori verifiche contrattuali e tecniche. La valutazione deve riguardare l’intero flusso delle informazioni, non soltanto l’applicazione utilizzata dal dipendente.

Un controllo professionale può quindi partire dall’analisi degli strumenti effettivamente utilizzati, delle informative e delle autorizzazioni, per individuare eventuali carenze e definire gli interventi proporzionati. Nell’ambito di un audit privacy aziendale, l’utilizzo di WhatsApp può essere esaminato insieme alle altre modalità di comunicazione e trattamento dei dati, verificando se le procedure dichiarate corrispondano alla pratica quotidiana.

Esempio pratico: WhatsApp Business utilizzato dai dipendenti senza regole interne

Consideriamo il caso di una società commerciale nella quale gli addetti alle vendite utilizzano WhatsApp Business per comunicare con i clienti, inviare preventivi e gestire richieste successive all’acquisto. Alcuni collaboratori accedono all’account aziendale, mentre altri utilizzano il proprio numero personale. Le conversazioni contengono recapiti, condizioni economiche e documenti commerciali, ma l’impresa non ha stabilito regole uniformi per la conservazione delle chat e la gestione degli accessi.

Quando uno dei dipendenti interrompe il rapporto di lavoro, la direzione si accorge che una parte delle comunicazioni con i clienti è rimasta sul suo smartphone personale. Nasce così il problema di recuperare le informazioni necessarie alla continuità commerciale senza accedere illegittimamente ai dati privati del lavoratore.

In una situazione di questo tipo, l’intervento legale deve partire dalla ricostruzione delle modalità di trattamento e dalla distinzione tra informazioni aziendali e dati personali presenti sul dispositivo. Occorre verificare gli accordi esistenti, le istruzioni impartite, le basi giuridiche applicabili e le possibilità di acquisire legittimamente le informazioni necessarie. La successiva riorganizzazione può prevedere account e dispositivi gestiti dall’impresa, autorizzazioni individuali, procedure di revoca degli accessi e regole di conservazione delle conversazioni.

L’aspetto più delicato è conciliare la necessità dell’azienda di mantenere i rapporti con i clienti con i diritti del dipendente e degli altri interessati. Una procedura predisposta prima dell’insorgere del problema permette di affrontare il passaggio di consegne secondo criteri conosciuti e verificabili, riducendo il ricorso a interventi improvvisati sulle conversazioni e sui dispositivi personali.

Domande frequenti sull’utilizzo di WhatsApp in azienda e sulla privacy

Un’azienda può utilizzare WhatsApp Business senza chiedere il consenso ai clienti?

Sì, quando il trattamento si fonda su una base giuridica diversa dal consenso, come la necessità di eseguire un contratto o adottare misure precontrattuali richieste dal cliente. L’impresa deve comunque fornire le informazioni previste dal GDPR e rispettare i principi di sicurezza e minimizzazione. Per l’invio di messaggi pubblicitari occorre una valutazione separata: il fatto che il cliente abbia già acquistato un prodotto o comunicato il proprio numero telefonico non autorizza automaticamente l’invio di promozioni tramite WhatsApp.

Il datore di lavoro può leggere le conversazioni WhatsApp utilizzate dai dipendenti per lavoro?

Non esiste un diritto generalizzato del datore di lavoro ad accedere indiscriminatamente alle conversazioni. La possibilità di consultare messaggi professionali dipende dalla natura dell’account, dalle finalità dell’accesso, dalle informazioni preventivamente fornite ai lavoratori e dal rispetto della normativa privacy e lavoristica. La presenza di comunicazioni private richiede particolare cautela. L’accesso deve essere giustificato, proporzionato e limitato alle informazioni effettivamente necessarie.

È obbligatorio predisporre un’informativa privacy specifica per WhatsApp Business?

Il GDPR non impone necessariamente un documento autonomo denominato informativa WhatsApp. Richiede però che gli interessati ricevano informazioni complete e comprensibili sui trattamenti effettuati. L’impresa può integrare le comunicazioni tramite WhatsApp nelle informative già utilizzate, purché siano correttamente descritte le finalità, le basi giuridiche, i destinatari, i tempi di conservazione e gli altri elementi previsti dagli articoli 13 e 14 del GDPR, secondo quanto applicabile.

Cosa succede se un dipendente invia per errore dati personali di un cliente tramite WhatsApp?

L’azienda deve verificare tempestivamente la natura delle informazioni trasmesse, il destinatario, le possibilità di limitarne l’ulteriore diffusione e il rischio per gli interessati. Se l’incidente costituisce una violazione dei dati personali, devono essere applicate le procedure previste dagli articoli 33 e 34 del GDPR. La notifica al Garante è necessaria quando ricorrono i relativi presupposti; non è automatica per qualsiasi invio errato. Occorre comunque documentare la valutazione della violazione secondo gli obblighi applicabili.

Un’impresa che utilizza WhatsApp Business deve necessariamente nominare un DPO?

No. Il semplice utilizzo di WhatsApp Business non determina l’obbligo di nominare un Responsabile della protezione dei dati. La necessità della nomina dipende dai presupposti previsti dall’articolo 37 del GDPR, considerando la natura delle attività principali dell’organizzazione e le caratteristiche dei trattamenti effettuati. Anche quando il DPO non è obbligatorio, l’azienda rimane responsabile della conformità dei trattamenti e può richiedere una valutazione professionale per verificare le modalità di utilizzo della messaggistica.

WhatsApp aziendale e GDPR: richiedi una valutazione legale per la tua impresa

Se la tua azienda utilizza WhatsApp o WhatsApp Business per comunicare con clienti e dipendenti, possiamo verificare la conformità delle modalità di utilizzo, individuare eventuali criticità e assisterti nella predisposizione delle misure organizzative e documentali necessarie. La valutazione può riguardare l’impiego di numeri personali, l’accesso alle conversazioni, la gestione dei dati dei clienti, le comunicazioni commerciali e le responsabilità in caso di violazioni della privacy.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assiste imprese e società nella gestione degli obblighi GDPR, nella prevenzione dei rischi e nelle controversie relative al trattamento dei dati personali. Ogni intervento viene valutato in relazione all’organizzazione aziendale e alle concrete modalità di utilizzo degli strumenti di comunicazione.

Se desideri verificare l’utilizzo di WhatsApp nella tua impresa o affrontare una contestazione privacy, richiedi una valutazione legale attraverso il modulo dedicato alla privacy e al GDPR aziendale. Esamineremo la richiesta per individuare le questioni che richiedono un approfondimento professionale.