Nelle piccole e medie imprese italiane la chat di WhatsApp è diventata lo strumento principale per confermare appuntamenti, inviare preventivi, organizzare i turni e scambiare documenti.
Prima di utilizzarla, però, bisognerebbe sapere che sussistono delle questioni legate alla protezione dei dati personali, considerando che il Regolamento (UE) 2016/679 si applica ai dati trattati tramite messaggistica esattamente come a quelli di un gestionale.
L'uso aziendale di WhatsApp, infatti, coinvolge numeri di telefono, conversazioni e allegati, e ogni scelta organizzativa ricade sotto la responsabilità dell'impresa quale titolare del trattamento.
Uso di WhatsApp in azienda e principi del GDPR
Quando un'impresa utilizza un'app di messaggistica per comunicare con clienti o collaboratori, i dati personali sono trattati per finalità professionali.
L'azienda deve rispettare i principi dell'art. 5, quali la minimizzazione dei dati, la limitazione della conservazione e la garanzia di riservatezza, garantendo la trasparenza tramite apposita informativa.
Molte attività pubblicano il numero WhatsApp sul sito senza aggiornare la documentazione privacy, lasciando scoperto un canale che raccoglie una quantità rilevante di informazioni.
Occorre considerare anche il ruolo di WhatsApp Ireland (gruppo Meta) e il trasferimento di dati verso gli Stati Uniti, oggi coperto dalla decisione di adeguatezza dell'EU-U.S. Data Privacy Framework.
Nel 2021 l'Autorità irlandese ha sanzionato WhatsApp per 225 milioni di euro per violazioni degli obblighi di trasparenza, a conferma di quanto le autorità di controllo vigilino su queste piattaforme.
Per le aziende che hanno già attivato gruppi e chat senza procedure definite, il supporto di professionisti specializzati aiuta a riorganizzare i flussi di comunicazione in piena conformità normativa. Se desideri mettere in sicurezza i canali di messaggistica della tua attività, richiedi qui una consulenza GDPR che ti aiuti a comprendere come essere allineato alla normativa.
Gruppi WhatsApp con clienti e dipendenti: numeri e dati condivisi
Nei gruppi creati per gestire cantieri, corsi o personale, ogni partecipante vede il numero degli altri.
In questi casi, inserire una persona senza previa informazione costituisce una comunicazione di dati personali a terzi priva di idonea base giuridica, rischio che l'impresa può evitare mediante l’impiego di liste broadcast o con la creazione di canali WhatsApp.
Il pericolo potrebbe aumentare con la circolazione di eventuali documenti personali o privati all’interno della chat aziendale. In questi casi, bisogna considerare che il file potrebbe essere salvato nella galleria dei dispositivi di tutti i partecipanti facendo perdere all’impresa il controllo sui dati che circolano all’interno della conversazione.
A ciò si aggiunge la sincronizzazione della rubrica, con cui l'app individua i contatti che utilizzano il servizio coinvolgendo anche i numeri di soggetti che in realtà non hanno fornito alcun consenso.
Smartphone dei dipendenti e sicurezza dei dati aziendali
L'uso del telefono personale (BYOD) da parte dei collaboratori per comunicazioni di lavoro espone le informazioni aziendali a dispositivi non gestiti dal titolare, spesso privi di protezione adeguata o condivisi.
L'art. 32 del GDPR richiede di adottare misure tecniche adeguate, prestando attenzione anche ai backup delle chat, la cui crittografia end-to-end su cloud è opzionale.
Lo smarrimento o il furto di uno smartphone contenente conversazioni di lavoro potrebbe costituire un data breach da notificare al Garante entro 72 ore ai sensi dell'art. 33 GDPR, oltre che da comunicare agli interessati secondo l'art. 34 se il rischio è elevato.
Per contenere tali rischi, il datore di lavoro deve fornire istruzioni scritte al personale autorizzato, come previsto dall’art. 29 GDPR e art. 2-quaterdecies Codice Privacy.
L'impresa, inoltre, non può accedere alle conversazioni private né utilizzare le app per controllare l'attività lavorativa oltre i limiti dell'art. 4 dello Statuto dei lavoratori, mentre la consegna di uno smartphone aziendale con scheda dedicata permette di separare la sfera professionale da quella privata.
Policy aziendale sull'uso della messaggistica
Attraverso una policy interna l'impresa può disciplinare l'uso dei servizi di messaggistica, definendo gli strumenti ammessi, i dispositivi utilizzabili, le informazioni vietate in chat e i tempi di conservazione.
Tra le misure raccomandate rientrano l'impiego dei messaggi effimeri, il divieto di inoltro di dati sanitari o identificativi, la disattivazione del salvataggio automatico dei media e l'uso esclusivo di utenze aziendali.
L'applicazione gratuita WhatsApp Business nasce per piccole realtà e offre funzioni limitate, mentre le API di WhatsApp consentono la gestione centralizzata tramite CRM e prevedono garanzie contrattuali specifiche per il trattamento dei dati.
WhatsApp è uno straordinario strumento di produttività e vicinanza al cliente, ma l'immediatezza della chat non deve far dimenticare i doveri di conformità e protezione delle informazioni aziendali.
Trattare la messaggistica istantanea alla stregua di qualsiasi altro canale formale, dotandosi di policy chiare, formazione adeguata e architetture tecniche corrette, è l'unico modo per sfruttare i vantaggi competitivi al riparo da sanzioni, perdite di dati e danni reputazionali.
Informazioni fornite in modo indipendente da un nostro partner nell’ambito di un accordo commerciale tra le parti. Contenuti riservati a un pubblico maggiorenne.