Click-to-WhatsApp Ads e GDPR: conformità in Italia 2026

SendSeven Team, Editorial Team

9 punti di conformità GDPR per i Click-to-WhatsApp Ads nel mercato italiano: corresponsabilità del trattamento dati, DPA con Meta e SendSeven, informativa privacy, opt-in e ruolo del Garante.

La conformità GDPR non è un ostacolo ai CTWA — è un vantaggio competitivo. Le aziende italiane che documentano correttamente il trattamento dati hanno meno frizioni legali e più fiducia dei clienti. Vediamo i 9 punti chiave.

La catena di dati di un CTWA: chi tratta cosa

Quando un utente clicca su un CTWA, si avvia una catena di trattamento dati che attraversa più sistemi:

Ogni passaggio implica un trasferimento di dati personali (numero di telefono, contenuto del messaggio, metadati) soggetto al GDPR. Comprendere questa catena è il primo passo per la conformità.

Corresponsabilità del trattamento: tu e Meta

Per la pubblicazione degli annunci, la Corte di Giustizia UE (cause C-210/16 e C-40/17) e le linee guida EDPB hanno stabilito che inserzionisti e Meta sono corresponsabili del trattamento ai sensi dell'art. 26 GDPR. Questo significa che sei parzialmente responsabile del modo in cui Meta tratta i dati degli utenti che interagiscono con i tuoi annunci.

Implicazioni pratiche:

• Devi informare gli utenti nella tua informativa sulla privacy del ruolo di Meta come corresponsabile.
• Devi accettare le Meta Data Processing Terms (vedi sotto).
• Non puoi richiedere a Meta trattamenti che violano il GDPR.

DPA con SendSeven (art. 28 GDPR)

SendSeven agisce come responsabile del trattamento (Data Processor) per i messaggi WhatsApp che transitano attraverso la piattaforma. Ai sensi dell'art. 28 GDPR, è obbligatorio un Data Processing Agreement (DPA) scritto tra te (titolare) e SendSeven (responsabile).

Il DPA con SendSeven include:

• Oggetto e durata del trattamento
• Natura e finalità del trattamento
• Tipo di dati personali e categorie di interessati
• Obblighi e diritti del titolare
• Garanzie sub-responsabili (hosting UE, misure tecniche e organizzative)

Il hosting di SendSeven è nell'Unione Europea — nessun trasferimento di dati verso paesi terzi senza garanzie adeguate. Il DPA è disponibile nel pannello di amministrazione di SendSeven o richiedendolo a [email protected].

DPA con Meta (Meta Data Processing Terms)

Meta fornisce i suoi termini di trattamento dati tramite i Meta Data Processing Terms, che vengono accettati automaticamente quando usi gli strumenti pubblicitari di Meta. Puoi verificare e rivedere i termini in Meta Business Manager → Impostazioni aziendali → Sicurezza del brand → Trattamento dei dati.

Verifica che i Meta Data Processing Terms siano aggiornati nella versione più recente — Meta li aggiorna periodicamente e richiede una nuova accettazione.

Informativa sulla privacy: cosa aggiungere

La tua informativa sulla privacy deve essere aggiornata con tre sezioni specifiche per i CTWA:

1. WhatsApp come canale di comunicazione: Descrivi esplicitamente che utilizzi WhatsApp per comunicazioni commerciali e di assistenza, con riferimento alla politica sulla privacy di WhatsApp/Meta.
2. Meta come corresponsabile: Indica Meta Platforms Ireland Limited come corresponsabile del trattamento per la pubblicazione di annunci, con link alle loro norme sulla privacy.
3. Finalità del trattamento delle conversazioni WhatsApp: Specifica per quanto tempo conservi le conversazioni e per quali finalità (es. «Le conversazioni WhatsApp sono conservate per 24 mesi a fini di assistenza clienti e miglioramento del servizio»).

Disclaimer pre-clic nell'annuncio

Nei CTWA, l'utente viene reindirizzato su WhatsApp senza prima vedere un'informativa. Per rispettare il principio di trasparenza (art. 13 GDPR), inserisci un disclaimer nel testo dell'annuncio:

«Cliccando su «Invia messaggio», verrai reindirizzato su WhatsApp. Si applicano la nostra informativa sulla privacy e le condizioni di Meta.»

Il disclaimer deve essere visibile nel testo dell'annuncio — non è sufficiente inserirlo solo nell'informativa del sito web.

Opt-in e consenso durante la conversazione

La finestra Free Entry Point di 72 ore consente di inviare messaggi liberi — ma solo all'interno di quella finestra. Per i messaggi di marketing dopo le 72 ore (template di marketing Meta), hai bisogno di un opt-in esplicito documentato dall'utente.

Best practice: durante la conversazione iniziale, chiedi esplicitamente il consenso per comunicazioni future. Esempio di messaggio bot:

«Grazie per averci contattato! Possiamo inviarti aggiornamenti su offerte e novità via WhatsApp? Rispondi SI per ricevere comunicazioni (max 2/settimana) o NO per non riceverne. Puoi disiscriverti in qualsiasi momento.»

Documenta questo opt-in nel CRM con timestamp e numero di telefono. In caso di ispezione del Garante, dovrai dimostrare il consenso per ogni utente a cui hai inviato template di marketing.

Il ruolo del Garante in Italia

Il Garante per la Protezione dei Dati Personali è l'autorità di vigilanza italiana per il GDPR. Negli ultimi anni, il Garante ha emesso provvedimenti e sanzioni in materia di marketing diretto tramite canali digitali, incluso WhatsApp.

Sanzioni rilevanti:

• Marzo 2024: 5 milioni di euro a una grande azienda telco per marketing tramite WhatsApp senza consenso valido.
• Il Garante considera il marketing via WhatsApp senza opt-in esplicito una violazione del GDPR e del Codice del Consumo.

Massimale sanzione GDPR: 4% del fatturato annuo mondiale o 20 milioni di euro (il maggiore dei due). Per le PMI, anche sanzioni minori (5.000-50.000 €) hanno un impatto significativo.

Checklist: 9 punti prima del primo CTWA

1. DPA firmato con SendSeven (art. 28 GDPR)
2. Meta Data Processing Terms accettati in Meta Business Manager
3. Informativa sulla privacy aggiornata con sezione WhatsApp/Meta
4. Disclaimer pre-clic inserito nel testo dell'annuncio
5. Processo di opt-in per template di marketing documentato
6. Registro delle attività di trattamento (art. 30 GDPR) aggiornato con CTWA
7. Procedura per richieste di diritti degli interessati (cancellazione, accesso, portabilità)
8. Verifica che il numero WhatsApp non sia registrato come numero personale (violazione TOS Meta)
9. Data Retention Policy definita per le conversazioni WhatsApp

FAQ

Ho bisogno di un DPO (Data Protection Officer) per i CTWA?

Non obbligatoriamente. Il DPO è obbligatorio per le organizzazioni che effettuano trattamenti su larga scala o trattano categorie particolari di dati. Per una PMI che usa i CTWA per il marketing, non è obbligatorio — ma è consigliabile designarne uno o consultare un consulente privacy per la documentazione GDPR.

Posso inviare template di marketing a tutti gli utenti che mi hanno contattato via CTWA?

Solo se hai raccolto il loro opt-in esplicito durante la conversazione. Il fatto che abbiano cliccato sull'annuncio e avviato una conversazione non è sufficiente come consenso al marketing. Devi richiedere esplicitamente il permesso e documentarlo.

Cosa succede se un utente chiede la cancellazione dei dati?

Hai l'obbligo di cancellare tutti i dati personali dell'utente entro 30 giorni dalla richiesta (art. 17 GDPR). Questo include: storico delle conversazioni WhatsApp, dati CRM, opt-in registrati. SendSeven supporta le procedure di cancellazione dei dati tramite le impostazioni del contatto.

I CTWA sono legali in Italia?

Sì, sono perfettamente legali in Italia — a condizione di rispettare il GDPR e le Politiche commerciali di Meta per WhatsApp Business. Le violazioni più comuni (e sanzionabili) sono: marketing senza opt-in, mancanza di DPA con i responsabili del trattamento, informativa sulla privacy non aggiornata.

Articoli correlati:

• Guida completa ai CTWA per l'Italia 2026
• Creare CTWA in 7 passi
• Costo reale dei CTWA in Italia: CPM, CPL e ROI