GDPR e marketing su WhatsApp

Due leggi, non una

Chi si chiede cosa c'entri il GDPR con WhatsApp di solito parte dalla legge sbagliata. Le leggi che si applicano sono due, pongono domande diverse, e rispettare l'una non ti esonera dall'altra.

Il GDPR chiede: hai una base giuridica per trattare i dati di questa persona, e sei in grado di rispettare i diritti che ha su quei dati? Un numero di telefono è un dato personale, e lo è anche la conversazione.

La direttiva ePrivacy — recepita come legge nazionale in ogni Stato membro — pone una domanda più ristretta sull'atto dell'invio: puoi inviare a questa persona comunicazioni di marketing diretto elettronico non sollecitate? Il suo articolo 13 le subordina al consenso preventivo. WhatsApp è marketing diretto elettronico esattamente come gli SMS e le email.

Per questo «ci basiamo sul legittimo interesse» non chiude la questione. Il legittimo interesse può benissimo coprire il versante GDPR. La norma ePrivacy si aggiunge sopra e chiede comunque il consenso.

Esiste un'eccezione riconosciuta, di solito chiamata soft opt-in (in Italia nota anche come «soft spam»): se hai ottenuto i recapiti di una persona nel contesto di una vendita a lei, puoi proporle prodotti tuoi analoghi, a condizione di averle offerto la possibilità di opporsi, gratuitamente e in modo agevole, al momento della raccolta e in ogni messaggio. La maggior parte degli Stati membri l'ha recepita, ma le condizioni variano: quanto deve essere simile il prodotto, quanto deve essere recente la vendita, e se l'eccezione si estende ai contatti aziendali. È più ristretta di quanto si speri, e la versione tedesca è la più severa.

Com'è fatto un consenso valido

La definizione del GDPR è un breve elenco, e quasi ogni consenso che non regge cade su uno di questi punti:

• Libero. Non una condizione per un servizio che non ne ha bisogno. «Spunta la casella per ricevere offerte su WhatsApp e completare l'acquisto» non è un consenso.
• Specifico. Consenso al marketing su WhatsApp, non al «marketing». Il canale fa parte di ciò a cui la persona acconsente, e così l'identità di chi invia.
• Informato. La persona sa chi sei, cosa le invierai e come smettere di riceverlo.
• Inequivocabile, espresso con un'azione positiva chiara. Una casella già spuntata non lo è. Il silenzio non lo è. Continuare a navigare non lo è.
• Revocabile con la stessa facilità con cui è stato dato. Se per iscriversi è bastato un tocco, per smettere non si può pretendere un'email all'assistenza.

Meta impone, in modo indipendente, un proprio requisito di opt-in, e non è identico. A Meta importa che la persona sapesse che avrebbe ricevuto messaggi dalla tua azienda su WhatsApp; non prescrive come tu l'abbia raccolto. In pratica un consenso che soddisfa il GDPR soddisfa anche Meta, ed è per questo che vale la pena scriverlo una volta, come si deve — formulazione e collocazione sono trattate qui.

Cosa devi poter dimostrare

Il GDPR mette a tuo carico l'onere di dimostrare che l'interessato ha prestato il consenso. Un elenco di numeri non prova nulla. Per ogni contatto dovresti poter produrre:

Una lista di esclusione non è una lista di cancellazione. Quando qualcuno si disiscrive conservi il minimo necessario per continuare a escluderlo; cancellare del tutto il record è il modo in cui le persone vengono reimportate e ricontattate.

Dove si colloca Meta nella tua mappa dei dati

Con la Cloud API i messaggi passano per un'infrastruttura ospitata da Meta. Questo fa di Meta un responsabile del trattamento per quei contenuti, e ha conseguenze che devi mettere per iscritto invece di darle per scontate:

• Il tuo registro delle attività di trattamento deve indicarlo, insieme al fornitore della tua piattaforma, che in genere è responsabile del trattamento, mentre Meta è sub-responsabile.
• La tua informativa sulla privacy deve dire alle persone che scriverti su WhatsApp significa che Meta tratta lo scambio.
• Termini sul trattamento dei dati. Per il tratto che passa da Meta ti affidi ai termini di Meta, per quello del fornitore ai termini del fornitore. Chiedi il DPA del fornitore prima di firmare, non dopo.
• I trasferimenti fuori dal SEE fanno parte del rapporto con Meta e sono coperti dal meccanismo previsto nei termini di Meta. Se la tua organizzazione ha una policy sui trasferimenti, è qui che entra in gioco.
• Dove il fornitore ospita i dati è una questione distinta da dove li ospita Meta, ed è quella su cui puoi davvero scegliere.

Gestire le richieste degli interessati

La cronologia delle chat è un dato personale, quindi le si applicano i diritti ordinari, e WhatsApp aggiunge una complicazione pratica: una conversazione riguarda due persone. Quando esporti o cancelli, decidi consapevolmente cosa fare dei messaggi scritti dai tuoi agenti.

• Accesso. Una persona può chiedere la conversazione. Poter esportare la cronologia di un singolo contatto senza esportare quella di tutti è un requisito, non un optional.
• Cancellazione. Eliminare il contatto deve eliminare la conversazione, e devi conservare quanto basta per mantenere l'esclusione. Tieni presente anche che la copia sul telefono della persona è sua, non tua, e non puoi cancellarla.
• Opposizione. L'opposizione al marketing diretto è assoluta: non c'è alcun bilanciamento di interessi. Deve avere effetto prima della campagna successiva, non al prossimo aggiornamento della lista.
• La portabilità si applica quando il trattamento si basa sul consenso, come avviene per una conversazione di marketing.

Per quanto tempo conservare le conversazioni

Il GDPR non indica un numero. L'obbligo è stabilire un periodo che sai giustificare e poi applicarlo davvero: un'inbox che non ha mai cancellato nulla manca la seconda metà dell'obbligo, qualunque cosa dica la policy.

In pratica: le conversazioni di assistenza si conservano di solito finché può sorgere una controversia sulla transazione sottostante, e questo lo stabilisce il termine di prescrizione del tuo paese. Le conversazioni di marketing raramente giustificano più di un anno o due. Le registrazioni del consenso sopravvivono a entrambe, perché sono la prova che avevi il diritto di inviare.

La checklist

1. Una formulazione dell'opt-in che nomina WhatsApp e la tua azienda, con la casella non spuntata di default.
2. Una registrazione del consenso per ogni contatto: quando, dove, con quale formulazione, per quali canali.
3. Un meccanismo di stop dentro il messaggio e un agente che sa cosa fare quando qualcuno scrive «stop».
4. Un'unica lista di esclusione che ogni campagna controlla, importazioni comprese.
5. Meta e il tuo fornitore indicati nel registro delle attività di trattamento e nell'informativa sulla privacy.
6. Un DPA firmato con il fornitore.
7. Un periodo di conservazione messo per iscritto e fatto rispettare da qualcosa di più delle buone intenzioni.
8. Un modo per esportare e cancellare la conversazione di un singolo contatto.