WhatsApp e Telegram hanno tassi di apertura che l'email si sogna: un messaggio su WhatsApp viene letto, in media, entro pochi minuti. È normale che aziende, studi professionali e negozi vogliano usarli per parlare con i clienti — promozioni, novità, promemoria, conferme. Il problema è che il numero di telefono di una persona è un dato personale, e inviare messaggi commerciali a un'utenza senza le giuste basi giuridiche può costare caro.
In questo articolo: cosa dice davvero la legge (GDPR, Codice Privacy, regole sulle comunicazioni elettroniche), la differenza tra messaggi di servizio e messaggi promozionali, l'eccezione del soft spam (e perché su WhatsApp è quasi inutilizzabile), le sanzioni reali, e una checklist operativa per mettersi a norma.
Disclaimer: questo è un contenuto informativo, non una consulenza legale. Per casi specifici — soprattutto se gestisci grandi volumi o dati particolari — consulta un avvocato o il tuo DPO. Full disclosure: Insieme.AI è un assistente AI personale, non una piattaforma di invio massivo; più sotto spiego perché la distinzione conta dal punto di vista privacy.
In breve: serve il consenso?
Nella stragrande maggioranza dei casi, sì. Per inviare comunicazioni promozionali (offerte, sconti, newsletter commerciali) via WhatsApp o Telegram serve il consenso preventivo, esplicito e documentato del destinatario. Avere il numero in rubrica — perché è un cliente, perché te l'ha lasciato per un preventivo — non equivale ad avere il permesso di mandargli pubblicità.
Discorso diverso per i messaggi di servizio (conferma di un ordine, promemoria di un appuntamento, avviso di spedizione): qui la base giuridica può essere il contratto in essere, e il consenso marketing non serve. La linea di confine è esattamente questa, e capirla bene è metà del lavoro.
Le tre norme che contano
Quando invii un messaggio commerciale a una persona fisica in Italia, si applicano tre livelli normativi che lavorano insieme:
1. Il GDPR (Regolamento UE 2016/679)
Il GDPR regola il trattamento dei dati personali. Il numero di telefono è un dato personale; usarlo per finalità di marketing è un trattamento che ha bisogno di una base giuridica (art. 6) e di un'informativa chiara (artt. 13-14). Per il marketing diretto la base giuridica tipica è il consenso (art. 6.1.a): libero, specifico, informato, inequivocabile, revocabile e — punto spesso dimenticato — dimostrabile (devi poter provare di averlo ottenuto).
2. Il Codice Privacy italiano e le comunicazioni indesiderate
L'art. 130 del Codice Privacy (D.lgs. 196/2003, aggiornato dal D.lgs. 101/2018) disciplina le comunicazioni indesiderate. Per l'invio di materiale pubblicitario tramite sistemi automatizzati di chiamata senza intervento di un operatore — categoria in cui rientrano email, SMS e, secondo l'interpretazione prevalente, anche i messaggi via app come WhatsApp e Telegram inviati a fini promozionali — la regola è il consenso preventivo (opt-in).
3. Le regole ePrivacy
La disciplina sulle comunicazioni elettroniche (Direttiva ePrivacy, recepita nel Codice) rafforza il principio dell'opt-in per le comunicazioni commerciali non sollecitate. È il motivo per cui non puoi "presumere" il consenso: deve essere un'azione attiva e consapevole dell'utente.
I due consensi che la gente confonde
Questo è l'errore più frequente. Esistono due cose diverse, e ottenerne una non significa avere l'altra:
- Il consenso al trattamento dei dati per finalità di marketing. Riguarda il perché tratti il dato (mandarti offerte).
- Il canale di contatto. Riguarda il come ti raggiungo (email, SMS, telefono, WhatsApp, Telegram).
Un cliente che ti lascia il numero per ricevere un preventivo ha condiviso il dato per una finalità precisa (rispondere alla sua richiesta). Quel numero non può essere riusato per mandargli promozioni, perché manca sia il consenso marketing sia il consenso al canale promozionale.
La best practice è un'informativa chiara con caselle di consenso separate e granulari: una per il marketing, e — idealmente — la specificazione dei canali ("acconsento a ricevere comunicazioni commerciali via WhatsApp"). Un consenso "a pacchetto", obbligatorio o pre-spuntato, non è valido.
Il soft spam (e perché su WhatsApp quasi non funziona)
L'art. 130, comma 4 prevede un'eccezione detta "soft spam": se hai ottenuto le coordinate di contatto nel contesto della vendita di un prodotto o servizio, puoi inviare comunicazioni promozionali su prodotti o servizi analoghi, senza consenso preventivo, a patto che:
- l'interessato sia stato informato e non si sia opposto al momento della raccolta;
- in ogni messaggio sia offerta la possibilità di opporsi facilmente (opt-out gratuito e immediato).
Il punto critico: questa eccezione è nata e consolidata soprattutto per l'email. Estenderla a WhatsApp è rischioso, perché WhatsApp è percepito come un canale personale e intrusivo, e il Garante ha mostrato un orientamento prudente. In più, le condizioni d'uso di WhatsApp Business vietano esplicitamente l'invio di messaggi non richiesti e richiedono comunque l'opt-in per i messaggi di marketing. Tradotto: anche dove la legge potesse aprire uno spiraglio, la piattaforma te lo chiude. Per WhatsApp e Telegram, considera il consenso esplicito come la strada di default.
Messaggi di servizio vs messaggi promozionali
Non tutti i messaggi sono uguali, e la base giuridica cambia di conseguenza:
| Tipo di messaggio | Esempio | Base giuridica tipica | Serve consenso marketing? |
|---|---|---|---|
| Transazionale / di servizio | "Il tuo ordine #123 è stato spedito" | Esecuzione del contratto (art. 6.1.b) | No |
| Promemoria operativo | "Ti ricordiamo l'appuntamento di domani alle 15" | Contratto / legittimo interesse | No (se non promozionale) |
| Promozionale / marketing | "Solo oggi -20% su tutto!" | Consenso (art. 6.1.a) | Sì |
| Misto | Promemoria appuntamento + "scopri i nostri nuovi servizi" | Trattato come marketing | Sì |
Attenzione all'ultima riga: infilare una frase promozionale dentro un messaggio di servizio trasforma tutto il messaggio in marketing. Tieni i due flussi separati.
WhatsApp Business API: opt-in e template approvati
Se usi la WhatsApp Business Platform (le API, non l'app gratuita), il funzionamento tecnico riflette le regole privacy:
- Per scrivere per primo a un utente servono template di messaggio pre-approvati da Meta.
- I template di marketing richiedono che l'utente abbia dato un opt-in documentato.
- C'è una finestra di assistenza di 24 ore: dopo che è l'utente a scriverti, puoi rispondere liberamente per 24 ore; fuori da quella finestra puoi solo inviare template approvati.
Questo design non è un caso: Meta scarica (giustamente) sull'azienda l'onere di avere una base lecita per il primo contatto. Telegram, sul lato bot, è più permissivo tecnicamente, ma le regole privacy italiane restano identiche: per i broadcast promozionali serve comunque il consenso.
Le sanzioni: quanto rischi davvero
Le violazioni in materia di marketing non autorizzato sono tra le più sanzionate dal Garante. Il quadro:
- Le sanzioni GDPR possono arrivare fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, a seconda di quale importo sia più alto.
- Nella pratica italiana, il Garante ha comminato sanzioni significative ad aziende per marketing senza consenso, contatti su liste non verificate e mancato rispetto delle opposizioni.
- Oltre alla multa, c'è il danno reputazionale: un cliente che riceve spam su WhatsApp non si limita a fare opt-out, spesso segnala e racconta. E il numero che invia spam viene bloccato dagli utenti, peggiorando la qualità del canale per tutti.
Il calcolo è semplice: il risparmio di un invio "a freddo" non vale quasi mai il rischio.
Come mettersi a norma in 6 passi
Una procedura concreta per inviare messaggi WhatsApp/Telegram ai clienti senza rischi:
- Mappa le finalità. Distingui nero su bianco i messaggi di servizio (contratto) da quelli promozionali (consenso). Sono due flussi, due basi giuridiche, due gestioni diverse.
- Raccogli un consenso valido e granulare. Modulo o checkbox non pre-spuntati, con voci separate per marketing e — meglio — per il canale WhatsApp/Telegram. Niente consensi "a pacchetto" obbligatori.
- Scrivi un'informativa chiara. Indica chi sei (titolare), perché tratti il dato, per quanto tempo lo conservi, che diritti ha l'utente e come revocare. Linkala al punto di raccolta.
- Documenta e conserva la prova del consenso. Data, ora, testo accettato, fonte. Per il principio di accountability, l'onere della prova è tuo: se non puoi dimostrarlo, è come non averlo.
- Metti un opt-out in ogni messaggio. Una via semplice e gratuita per dire "basta" (es. "Rispondi STOP per non ricevere più offerte"), e onorala subito.
- Tieni separati servizio e promozione. Mai trasformare un promemoria in pubblicità. Se il messaggio contiene un'offerta, è marketing e segue le regole del marketing.
Segui questi sei punti e copri la stragrande maggioranza degli obblighi per un'attività medio-piccola.
Dove si colloca un assistente AI come Insieme.AI
Qui serve onestà, perché è facile fare confusione. Insieme.AI non è una piattaforma di invio massivo di messaggi né uno strumento di WhatsApp marketing. È un assistente AI personale che usi tu, dal tuo WhatsApp o Telegram, per gestire email, agenda, promemoria, documenti e note.
La differenza è sostanziale anche dal punto di vista privacy:
- L'invio resta sempre una tua decisione consapevole. Quando l'AI prepara la bozza di una risposta a un cliente, non la spedisce da sola: la rivedi e la mandi tu. Niente automazioni che scrivono "a freddo" a liste di contatti.
- Nessun marketing automatizzato verso terzi. L'assistente lavora sul tuo mondo digitale (la tua casella, il tuo calendario), non bombarda i tuoi contatti.
- Privacy by design. Server in Europa, nessun addestramento sui dati degli utenti, GDPR e AI Act by design. Il dettaglio è nella pagina security e in Your Data.
In altre parole: usare un assistente AI per rispondere meglio e più in fretta a chi ti scrive è un conto; mandare promozioni non richieste è un altro, e quello richiede le basi giuridiche descritte sopra, qualunque strumento tu usi. Se vuoi approfondire l'approccio privacy-first, vedi AI in italiano senza OpenAI: privacy e GDPR first.
FAQ
Posso scrivere su WhatsApp a un cliente che ha già comprato da me?
Per messaggi di servizio legati a quell'acquisto (conferme, assistenza, promemoria), sì: la base giuridica è il contratto. Per messaggi promozionali, serve comunque il consenso al marketing, e su WhatsApp è bene che sia esplicito. Il fatto che sia già cliente non basta da solo a giustificare l'invio di offerte.
Il consenso a un canale vale per tutti gli altri?
No. Un consenso ben fatto è specifico. Se l'utente ha acconsentito a ricevere email, non puoi dedurne il permesso di scrivergli su WhatsApp. La best practice è raccogliere il consenso indicando i canali, oppure raccoglierlo per canale.
Telegram è più "libero" di WhatsApp dal punto di vista legale?
Tecnicamente i bot Telegram hanno meno vincoli di piattaforma rispetto alle API di WhatsApp, ma la legge italiana è la stessa. Per inviare comunicazioni promozionali tramite un canale o un bot Telegram serve il consenso preventivo esattamente come su WhatsApp.
Cosa rischio concretamente se invio senza consenso?
Una segnalazione al Garante può portare a un'istruttoria e a una sanzione amministrativa (fino a 20 milioni di euro o 4% del fatturato per i casi più gravi), oltre al blocco del trattamento e al danno reputazionale. Per una PMI, anche una sanzione "minore" può essere molto pesante.
Comprare una lista di numeri e scriverci è legale?
No. I numeri raccolti da liste acquistate non hanno un consenso valido a tuo favore per finalità di marketing. È una delle pratiche più sanzionate. Il consenso non è "trasferibile" da un'azienda all'altra.
Un assistente AI può gestire i consensi al posto mio?
Un assistente AI personale (come Insieme.AI) ti aiuta a rispondere e organizzare, ma la gestione del registro dei consensi e dell'informativa è una responsabilità del titolare del trattamento. Per l'invio massivo conforme servono piattaforme dedicate con gestione opt-in/opt-out, non un assistente personale.
Per approfondire
- AI in italiano senza OpenAI: privacy e GDPR first — come valutare un servizio AI dal punto di vista della privacy
- Pagina Security di Insieme.AI — dove vivono i dati, cifratura, sub-processor
- Your Data — cosa salviamo, per quanto, come cancellare
- AI su WhatsApp: la guida in 2 minuti — come funziona un assistente personale sul canale
