Tempo di lettura
| In breve. Introdurre WhatsApp – o un qualsiasi strumento di messaggistica – tra dipendenti e collaboratori non è una scelta «tecnica» che si può lasciare maturare da sé nella prassi quotidiana. È una decisione di trattamento dati che il Titolare deve istruire, documentare e governare prima che lo strumento entri in uso. Questo articolo propone una due diligence in dieci passi, pensata sia per l’impresa sia per lo studio professionale, per scegliere, adottare e presidiare lo strumento in conformità al GDPR, al Codice Privacy e allo Statuto dei Lavoratori. |
Indice
Perché serve una due diligence (e non un divieto)
La due diligence in dieci passi
- Passo 1 – Mappare lo shadow IT esistente
- Passo 2 – Definire finalità e individuare la base giuridica
- Passo 3 – Scegliere lo strumento: i criteri di selezione
- Passo 4 – Regolarizzare il rapporto con i fornitori (art. 28 e trasferimenti)
- Passo 5 – Svolgere la DPIA quando il rischio è elevato
- Passo 6 – Presidiare il fronte lavoristico (Statuto dei Lavoratori)
- Passo 7 – Redigere la policy sugli strumenti di comunicazione
- Passo 8 – Aggiornare informativa e Registro dei trattamenti
- Passo 9 – Formare le persone e predisporre la gestione del data breach
- Passo 10 – Monitorare, auditare, aggiornare
Checklist operativa di sintesi
In conclusione
Perché serve una due diligence (e non un divieto)
La tentazione, di fronte ai rischi della messaggistica consumer, sarebbe quella di vietarla. Ma il divieto secco è quasi sempre inefficace: gli strumenti informali nascono proprio dove gli strumenti ufficiali sono percepiti come lenti o scomodi, e tornano puntualmente sotto altra forma. Il compito del Titolare non è reprimere uno strumento, ma decidere consapevolmente se, come e con quali presidi quello strumento può trattare dati personali nell’organizzazione.
Il punto di partenza giuridico è il principio di accountability (art. 5, par. 2, GDPR): il Titolare deve non solo rispettare i principi di liceità, minimizzazione, integrità e riservatezza, ma essere in grado di dimostrarlo. Tale responsabilità non si sospende quando è il dipendente ad agire spontaneamente: un gruppo creato «per comodità» resta un trattamento effettuato nell’ambito dell’organizzazione e sotto la sua responsabilità. A ciò si aggiunge il principio di privacy by design e by default (art. 25 GDPR), che impone di progettare le tutele a monte, non di rincorrerle a valle.
Una premessa di metodo per gli studi professionali. Avvocati, commercialisti, notai, medici, consulenti del lavoro, assistenti sociali trattano abitualmente dati di clienti e assistiti coperti anche dal segreto professionale e, sovente, dati «particolari» ex art. 9 GDPR o relativi a reati ex art. 10. Per loro la due diligence non è facoltativa: la sovrapposizione tra obbligo deontologico di riservatezza e disciplina della protezione dei dati alza in modo significativo l’asticella dei presidi richiesti.
La due diligence in dieci passi
I dieci passi che seguono vanno percorsi in sequenza: ciascuno presuppone il precedente. Non sono un adempimento una tantum, ma un ciclo che si ripete a ogni cambiamento rilevante dello strumento, dei fornitori o dell’organizzazione.
Passo 1 – Mappare lo shadow IT esistente
Prima di introdurre qualcosa di nuovo è necessario sapere cosa già circola. Molte organizzazioni ignorano quali app i propri addetti utilizzino davvero. Occorre quindi fotografare lo stato di fatto:
- Censimento degli strumenti in uso (autorizzati e non): interviste ai responsabili di reparto, survey ai dipendenti, eventuale analisi del traffico di rete con le dovute garanzie.
- Mappatura dei flussi informali: quali tipi di dato transitano davvero – anagrafiche clienti, documenti di identità, dati sanitari, condizioni commerciali, fascicoli.
- Classificazione del rischio per tipologia di dato e per piattaforma usata, dando priorità ai dati particolari (art. 9) e a quelli relativi a reati (art. 10).
Output del passo: un quadro veritiero dei trattamenti già in corso, compresi quelli mai autorizzati ma comunque esistenti.
Passo 2 – Definire finalità e individuare la base giuridica
Nessuno strumento va adottato «in generale»: va adottato per fare cosa. Solo dopo aver definito le finalità (coordinamento interno, relazione con clienti, assistenza, marketing) si può individuare la base giuridica idonea ai sensi dell’art. 6 GDPR.
- Esecuzione del contratto di lavoro (art. 6, par. 1, lett. b) per le comunicazioni organizzative essenziali.
- Obbligo legale (lett. c) dove una norma imponga la comunicazione.
- Legittimo interesse (lett. f): ammesso solo dopo aver superato il bilanciamento tra interesse del Titolare e diritti dell’interessato, ricordando che prevalgono i secondi quando il trattamento avviene in circostanze che l’interessato non poteva ragionevolmente attendersi.
- Consenso: necessario, ad esempio, per usare il numero personale del dipendente o per finalità di marketing verso i clienti (art. 130 Codice Privacy). Va ricordato che, nel rapporto di lavoro, il consenso è raramente una base solida per lo squilibrio tra le parti.
Attenzione ai dati particolari. Per dati sanitari, sindacali o relativi a reati serve una delle basi tassative dell’art. 9, par. 2, e misure rafforzate: di regola questi dati non devono transitare su messaggistica consumer.
Passo 3 – Scegliere lo strumento: i criteri di selezione
La scelta dello strumento è il cuore tecnico-giuridico della due diligence. Lo strumento non si valuta per popolarità o comodità, ma rispetto a criteri verificabili. La tabella seguente sintetizza le domande da porsi e il perché.
| Criterio | Cosa verificare |
| DPA ex art. 28 | Il fornitore consente la sottoscrizione di un accordo sul trattamento personalizzabile e conforme (oggetto, durata, natura, finalità, tipi di dati, categorie di interessati, obblighi e diritti del Titolare)? |
| Localizzazione dei dati | I dati sono conservati su server UE o in Paesi con decisione di adeguatezza? Quali meccanismi presidiano gli eventuali trasferimenti extra-SEE (SCC, DPF)? |
| Auditabilità | Il fornitore consente ispezioni o fornisce reportistica di conformità (es. ISO/IEC 27001, SOC 2)? |
| Controllo del Titolare | È possibile gestire gli account, revocare gli accessi, estrarre i dati per rispondere alle richieste degli interessati (artt. 15-20)? |
| Retention | È possibile configurare la conservazione dei messaggi in linea con le policy aziendali e cancellarli in modo centralizzato? |
| Cifratura | Il contenuto è cifrato in transito e a riposo? La cifratura è governata dal Titolare o solo dal gestore? |
Il limite strutturale della versione consumer. WhatsApp consumer (come Telegram chat normali o Signal in contesto aziendale) instaura un rapporto contrattuale diretto tra dipendente e gestore, bypassando l’azienda: non c’è DPA configurato sulle esigenze del Titolare, non c’è audit, l’accesso alla rubrica carica contatti di terzi senza base giuridica, e i diritti di cancellazione/rettifica/portabilità diventano ingestibili. La cifratura end-to-end protegge il contenuto in transito ma non i metadati né i messaggi già ricevuti sul dispositivo. Le soluzioni enterprise (es. Microsoft Teams su tenant aziendale, Slack Enterprise, Google Chat su Workspace, Threema Work, Wire for Business o piattaforme on-premise) offrono, in misura variabile, le garanzie sopra elencate; WhatsApp Business API colloca il fornitore come responsabile del trattamento ma con termini non negoziabili e sub-responsabile principale Meta.
Passo 4 – Regolarizzare il rapporto con i fornitori (art. 28 e trasferimenti)
Scelto lo strumento, ogni fornitore va inquadrato giuridicamente:
- Designazione come responsabile del trattamento (art. 28 GDPR) tramite DPA che ne definisca oggetto, durata, natura, finalità, tipi di dati e categorie di interessati. I DPA standard dei grandi provider enterprise coprono di norma questi requisiti; per provider minori serve negoziazione.
- Verifica dei sub-responsabili: vanno identificati i sub-processor (per WhatsApp, in primis Meta) e va accertato che il fornitore abbia stipulato con essi accordi equivalenti, con diritto del Titolare di opporsi a nuove aggiunte.
- Trasferimenti extra-SEE: se i dati escono dal SEE va verificato e documentato il meccanismo (decisione di adeguatezza, SCC, DPF), tenendo conto che strumenti come il Data Privacy Framework possono essere oggetto di futuri vagli giurisdizionali. La sola dipendenza da un unico meccanismo è un rischio sistemico da valutare.
Passo 5 – Svolgere la DPIA quando il rischio è elevato
La valutazione d’impatto (art. 35 GDPR) è obbligatoria per i trattamenti ad alto rischio e va condotta prima dell’avvio. In ambito messaggistica è tipicamente richiesta quando si introduce un sistema che comporta conservazione e analisi sistematica delle comunicazioni dei dipendenti, quando si usa la Business API su larga scala (specie con dati particolari), quando si monitorano i log per finalità di sicurezza, o quando si adotta il BYOD con MDM su dispositivi personali. La DPIA va condotta con il coinvolgimento del DPO ove nominato e aggiornata a ogni mutamento rilevante. La sua omissione è autonomamente sanzionabile.
Passo 6 – Presidiare il fronte lavoristico (Statuto dei Lavoratori)
È il profilo più spesso trascurato. La messaggistica aziendale intercetta direttamente l’art. 4 della L. 300/1970, come modificato dal Jobs Act:
- Strumenti di controllo a distanza (comma 1): log di accesso, metadati e cronologia conservata possono configurare un controllo indiretto dell’attività, soggetto ad accordo sindacale o autorizzazione dell’Ispettorato.
- Strumenti di lavoro (comma 2): non richiedono accordo, ma restano soggetti alle garanzie del GDPR.
- Utilizzabilità (comma 3): le informazioni sono usabili a tutti i fini del rapporto solo se il lavoratore è stato adeguatamente informato e nel rispetto della normativa privacy.
Retention dei metadati. In materia di metadati delle comunicazioni il Garante, con il Documento di indirizzo di cui al provvedimento n. 364 del 6 giugno 2024, ha individuato un termine di conservazione meramente orientativo – di norma non superiore a 21 giorni – per i log generati automaticamente dai sistemi di posta, chiarendo però che tale soglia non costituisce un obbligo rigido e può essere superata, anche senza attivare le garanzie dell’art. 4, comma 1, Stat. Lav., ove il Titolare comprovi adeguatamente esigenze tecniche e organizzative. Lo stesso ragionamento va applicato, per analogia, ai metadati della messaggistica: occorre fissare una policy di conservazione contenuta e motivata, non un numero «copiato» acriticamente.
Limiti di utilizzo dei contenuti privati. I messaggi privati e i post social del dipendente non possono essere usati in sede disciplinare quando riguardano opinioni o fatti non rilevanti per la valutazione dell’attitudine professionale (art. 113 Codice Privacy; art. 8 Stat. Lav.), e ciò vale anche se il dato è stato segnalato spontaneamente da un terzo: rileva l’uso successivo, non la modalità di acquisizione. Su questa linea si è attestato il Garante in un recente e significativo provvedimento sanzionatorio del 2025, che ha qualificato come illecito il trattamento di contenuti tratti da chat private e profili social di una lavoratrice utilizzati per motivare contestazioni disciplinari, ribadendo che «non tutto ciò che è accessibile è lecitamente trattabile». Da ultimo, va garantito il diritto alla disconnessione (art. 19 D.Lgs. 81/2017 e contrattazione collettiva).
Passo 7 – Redigere la policy sugli strumenti di comunicazione
La policy è il documento centrale di governance: va redatta, approvata dalla direzione, comunicata a tutti e aggiornata periodicamente. La sua adozione è condizione necessaria per poter eventualmente utilizzare le informazioni a fini disciplinari. Deve contenere almeno:
- Strumenti autorizzati e vietati, per categoria (messaggistica, email, videoconferenza, condivisione file).
- Tipologie di dati ammesse su ciascuno strumento (es. su Business API solo comunicazioni con clienti che hanno consentito; sul tenant aziendale anche dati riservati).
- Gestione del BYOD: separazione dei profili, MDM, cancellazione remota dei dati aziendali.
- Diritto alla disconnessione e regole sui gruppi (no inserimento forzato senza consenso documentato).
- Sanzioni disciplinari per l’uso di strumenti non autorizzati e procedure di segnalazione degli incidenti.
La policy va adottata in coerenza con l’art. 4 Stat. Lav., previa – ove necessario – informativa o accordo con le rappresentanze sindacali, e allegata al regolamento aziendale.
Passo 8 – Aggiornare informativa e Registro dei trattamenti
La trasparenza chiude il cerchio della liceità. L’informativa ai dipendenti (art. 13 GDPR) deve contenere una sezione dedicata alle comunicazioni digitali che indichi: gli strumenti usati; i dati raccolti, inclusi i metadati, e le relative finalità; i tempi di conservazione; gli eventuali trasferimenti extra-SEE e le garanzie; i destinatari (fornitori cloud, responsabili); i diritti esercitabili e le modalità. Parallelamente va aggiornato il Registro dei trattamenti (art. 30), includendo anche i trattamenti già esistenti emersi nel Passo 1, con indicazione delle criticità e delle azioni correttive. Se si adotta la Business API, il fornitore va citato come responsabile con i relativi DPA e meccanismi di trasferimento.
Passo 9 – Formare le persone e predisporre la gestione del data breach
Gli incidenti più frequenti non nascono dal dolo, ma dalla buona fede mal indirizzata: il file inviato al gruppo sbagliato, il telefono smarrito, l’account compromesso via SIM swapping, l’inoltro non autorizzato. Due presidi sono imprescindibili:
- Formazione specifica e documentata per tutti gli addetti, con moduli dedicati a IT, HR e responsabili di reparto, e conservazione degli attestati.
- Processo di gestione del breach che includa esplicitamente gli incidenti su app di messaggistica, con procedura prestabilita, testata (tabletop exercise) e documentata, idonea a garantire la notifica al Garante entro 72 ore (art. 33) e, ove vi sia rischio elevato, la comunicazione agli interessati (art. 34).
Passo 10 – Monitorare, auditare, aggiornare
La conformità non è uno stato ma un processo. Vanno previsti audit periodici sul rispetto della policy, un monitoraggio continuo dello shadow IT, l’aggiornamento di DPA e informative al mutare delle condizioni dei fornitori e il presidio costante dei provvedimenti del Garante e delle linee guida dell’EDPB. Lo strumento «conforme» oggi può non esserlo domani: è il presidio organizzativo, non la singola scelta tecnica, a fare la differenza.
Checklist operativa di sintesi
Da spuntare prima di autorizzare formalmente l’introduzione dello strumento.
A – Mappatura e governance
☐ Censimento degli strumenti di messaggistica in uso (autorizzati e non).
☐ Mappatura dei flussi informativi e classificazione del rischio per dato e piattaforma.
☐ Valutazione delle soluzioni enterprise alternative allo shadow IT.
B – Base giuridica e scelta dello strumento
☐ Definizione delle finalità e individuazione della base giuridica (art. 6, e art. 9 per i dati particolari).
☐ Selezione dello strumento sui criteri: DPA, localizzazione, audit, controllo, retention, cifratura.
C – Fornitori e trasferimenti
☐ Designazione dei fornitori come responsabili (DPA ex art. 28).
☐ Identificazione dei sub-responsabili e verifica degli accordi equivalenti.
☐ Verifica e documentazione dei meccanismi di trasferimento extra-SEE.
D – DPIA e profilo lavoristico
☐ DPIA per i trattamenti ad alto rischio, con coinvolgimento del DPO.
☐ Verifica art. 4 Stat. Lav.: accordo sindacale o autorizzazione INL ove necessari.
☐ Policy di retention dei metadati e disciplina del BYOD (profili, MDM, wipe remoto).
☐ Inclusione del diritto alla disconnessione.
E – Documentazione e trasparenza
☐ Policy sugli strumenti di comunicazione approvata e comunicata.
☐ Informativa dipendenti (art. 13) con sezione dedicata alla messaggistica.
☐ Aggiornamento del Registro dei trattamenti (art. 30).
F – Formazione e incidenti
☐ Programma di formazione documentato per tutti gli addetti e i referenti.
☐ Procedura di gestione del data breach estesa alle app di messaggistica e testata.
G – Monitoraggio
☐ Audit periodico e monitoraggio continuo dello shadow IT.
☐ Aggiornamento di DPA e informative al mutare delle condizioni dei fornitori.
☐ Presidio dei provvedimenti del Garante e delle linee guida EDPB.
Riferimenti normativi essenziali
Quadro di riferimento richiamato nel testo, utile come traccia di approfondimento.
- Regolamento (UE) 2016/679 (GDPR) – in particolare artt. 5, 6, 9, 13, 17, 25, 28, 30, 33-35, 44 ss., 88.
- D.Lgs. 196/2003 (Codice Privacy) – in particolare artt. 113 e 130.
- L. 300/1970 (Statuto dei Lavoratori) – artt. 4 e 8, come modificati dal D.Lgs. 151/2015.
- D.Lgs. 81/2017, art. 19 (diritto alla disconnessione nel lavoro agile).
- Garante per la protezione dei dati personali – Documento di indirizzo, provv. n. 364 del 6 giugno 2024 (metadati della posta elettronica); provvedimenti del 2025 in materia di utilizzabilità a fini disciplinari di dati da social e messaggistica e di controlli a distanza.
- Orientamenti del Comitato europeo per la protezione dei dati (EDPB) in materia di legittimo interesse e di trattamenti nel contesto lavorativo.
In conclusione
WhatsApp e le app di messaggistica consumer non sono di per sé incompatibili con il GDPR; lo diventa, quasi sempre, il loro uso senza governance, senza policy, senza DPA e senza formazione. La due diligence qui proposta non serve a costruire un muro, ma a trasformare una prassi spontanea in una scelta consapevole e dimostrabile. Per l’impresa significa proteggere il proprio patrimonio informativo; per lo studio professionale significa onorare, insieme, l’obbligo di riservatezza e quello di protezione dei dati. In entrambi i casi, governare la messaggistica vuol dire governare l’organizzazione stessa.
Avvertenza. Il presente contributo ha finalità esclusivamente informativa e divulgativa, riflette l’opinione personale dell’autore alla data di pubblicazione e non costituisce parere legale né consulenza professionale. I riferimenti normativi e ai provvedimenti delle autorità sono richiamati a soli fini espositivi; il quadro è in continua evoluzione e le scelte di compliance vanno calibrate sul singolo contesto organizzativo, settoriale e di rischio, con il supporto del DPO o di un consulente qualificato. L’autore non assume responsabilità per decisioni assunte sulla base del presente testo.
