Il consenso per mandare messaggi WhatsApp ai clienti vale quanto riesci a dimostrarlo. Il GDPR mette l'onere della prova su di te: non basta sostenere che il cliente era d'accordo, devi poter mostrare quando ha detto sì, a cosa, con quali parole esatte e come avrebbe potuto dire no. La maggior parte degli opt-in raccolti in Italia non cade perché qualcuno si è opposto, ma perché nessuno ha conservato la prova — e un consenso che non sai documentare, in pratica, è un consenso che non hai.
Questa guida spiega quali due insiemi di regole si applicano insieme, com'è fatta una checkbox valida, perché il double opt-in serve soprattutto come prova, cosa deve contenere il registro dei consensi e perché in Italia il legittimo interesse non è una scorciatoia praticabile. È informazione generale, non una consulenza legale: fai validare il tuo flusso da chi segue la tua privacy.
Due insiemi di regole, contemporaneamente
La policy di Meta impone di ottenere l'opt-in prima di inviare messaggi che parte l'azienda, di dire chiaramente che i messaggi arriveranno su WhatsApp e di indicare che tipo di messaggi saranno. Il consenso si può raccogliere su qualsiasi canale — form sul sito, checkout, QR in negozio, telefonata — purché l'utente aderisca attivamente. Meta non ti impone un formato di archiviazione: ti ritiene responsabile di averlo ottenuto.
La normativa privacy è più severa e viaggia su un binario suo. Il GDPR all'art. 4, n. 11 definisce il consenso come libero, specifico, informato e inequivocabile, manifestato con una dichiarazione o un'azione positiva inequivocabile. L'art. 7, par. 1 impone al titolare di essere in grado di dimostrarlo; il par. 2 chiede che la richiesta sia distinguibile dalle altre e in linguaggio semplice; il par. 3 che revocarlo sia facile quanto darlo.
Superare una delle due non significa superare l'altra. Meta il tuo registro dei consensi probabilmente non lo guarderà mai; il Garante, davanti a un singolo reclamo, chiede esattamente quello.
In Italia c'è anche l'art. 130
Per le comunicazioni promozionali su reti di comunicazione elettronica vale l'art. 130 del Codice Privacy (d.lgs. 196/2003), che richiede il consenso preventivo del destinatario. È la norma su cui si regge quasi tutta l'attività sanzionatoria in materia di marketing diretto, e il Garante l'ha applicata in modo costante a email, SMS e messaggistica.
Il comma 4 prevede una sola apertura, il cosiddetto soft spam: chi ha ottenuto i recapiti nel contesto della vendita di un prodotto o servizio può usarli per promuovere prodotti analoghi propri, purché l'interessato sia informato e possa opporsi facilmente sia alla raccolta sia a ogni invio successivo. È una deroga scritta intorno alla posta elettronica, e non è mai stata riconosciuta come un lasciapassare per un canale intrusivo come WhatsApp: costruirci sopra una campagna significa affidare la propria difesa a un'interpretazione estensiva, davanti a un'autorità che finora ha letto la norma in senso stretto.
Il punto è documentato. Con provvedimento del 23 ottobre 2025 il Garante ha respinto la tesi di una società che giustificava email promozionali sul legittimo interesse, ha ribadito che senza consenso preventivo quelle comunicazioni non si possono inviare, ha confermato che la deroga del comma 4 vale solo verso clienti già acquisiti e per prodotti analoghi, e ha aggiunto che gli elenchi pubblici non sono una fonte legittima da cui costruire liste di contatto. L'azienda ha evitato la sanzione pecuniaria solo perché la condotta era risalente, riguardava due email e proveniva da una microimpresa: l'illiceità è stata comunque accertata.
Com'è fatta una checkbox che regge
Nomina il canale. "Iscriviti agli aggiornamenti" non autorizza WhatsApp. La richiesta deve dire che i messaggi arrivano su WhatsApp, perché il consenso è specifico rispetto al trattamento che autorizza.
È separata dagli altri canali. Un'unica casella che copre email, SMS e WhatsApp accorpa tre finalità distinte in un gesto solo. Vanno separate, e l'utente deve poterne scegliere una senza le altre.
È separata dal contratto. Il consenso al marketing non può essere condizione per acquistare, registrarsi o scaricare qualcosa. Infilato nelle condizioni generali, non è libero.
È un'azione positiva. Caselle pre-spuntate, silenzio-assenso e "proseguendo accetti" non sono azioni positive inequivocabili. Non lo è nemmeno una casella la cui etichetta rimanda soltanto all'informativa, costringendo a leggerla per scoprire cosa si è accettato.
È granulare quando i messaggi sono diversi. Aggiornamenti sull'ordine e campagne promozionali non sono la stessa finalità. Il consenso per categoria costa una casella in più ed è la differenza tra perdere un canale e perderli tutti.
Double opt-in: serve come prova, non come cortesia
Il double opt-in è la conferma dell'adesione tramite un secondo passaggio indipendente, di solito un messaggio a cui l'utente deve rispondere per attivare l'iscrizione. Il GDPR non lo impone. Serve perché fabbrica una prova che altrimenti non avresti: che il numero appartiene davvero a chi ha dato il consenso, e che la conferma è partita da quel dispositivo, con data e ora.
Lo scenario che evita è banale: qualcuno sbaglia una cifra nel form, oppure inserisce il numero di un altro. Senza conferma ti ritrovi un consenso intestato a una persona che non l'ha mai dato, e un reclamo a cui il tuo registro non sa rispondere.
Quando l'opt-in nasce dentro WhatsApp — è il cliente che scrive per primo e chiede di essere aggiornato — la conferma è implicita e un secondo giro serve solo ad aggiungere attrito.
Cosa deve contenere il registro
Immagina di dover produrre una sola riga che dimostri il consenso di una singola persona. Quella riga deve contenere il numero di telefono, la data e l'ora, il punto di raccolta (quale form, quale pagina, quale punto vendita), il testo esatto mostrato in quel momento, la versione dell'informativa allora in vigore e l'esito dell'eventuale conferma.
Il testo è la parte che tutti dimenticano ed è quella che decide la contestazione: un consenso raccolto con una formula che poi hai cambiato è difendibile solo se sai recuperare la formula com'era. Metti una versione sulle stringhe di consenso e salva l'identificativo di versione dentro ogni record, invece di un link alla pagina viva di oggi.
Nello stesso registro va la revoca: opt-out, data e ora, canale da cui è arrivata. Uno STOP via WhatsApp va onorato con la stessa immediatezza di un modulo online, perché l'art. 7, par. 3 misura la facilità dal lato dell'utente, non dal tuo.
Quando raccogliere il consenso WhatsApp è la mossa sbagliata
Se l'uso previsto è solo transazionale — conferme d'ordine, avvisi di spedizione, promemoria a chi ha prenotato — un consenso marketing ampio è raccolta eccessiva. Chiedi quello che i messaggi sono davvero, e non accumulare consensi per campagne che non esistono: un consenso inutilizzato invecchia comunque, va documentato comunque e va cancellato su richiesta comunque.
È sbagliata anche quando il consenso è comprato invece che ottenuto. Liste acquistate, numeri raccolti da elenchi e consensi "presi da un partner per tuo conto" di cui non puoi ispezionare la prova sono la via più diretta a un fascicolo: se non riesci a vedere il testo che la persona ha accettato, non hai un consenso, hai un numero di telefono.
E se i volumi non giustificano davvero un sistema di gestione dei consensi, non improvvisarne uno in un foglio di calcolo: usa i messaggi utility verso chi ha già comprato, e aggiungi il consenso marketing quando ci sarà una campagna a giustificarlo.
Un flusso che regge a un controllo
Metti una casella dedicata e non pre-spuntata, scritta in prima persona, che nomini WhatsApp. Salva numero, data e ora, origine e identificativo di versione del testo esatto. Manda un messaggio di conferma che dica cosa riceverà la persona e come fermarlo. Registra la risposta. Offri lo STOP in ogni campagna, elaboralo automaticamente e riportalo nello stesso record. Rivedi il testo una volta l'anno alzando la versione, senza modificarlo sul posto.
Costruirlo così non costa quasi nulla. Costa moltissimo rifarlo dopo, perché i dati che non hai registrato non si ricostruiscono: è esattamente il motivo per cui il punto di raccolta va disegnato prima della prima campagna e non dopo il primo reclamo. Su cosa si può fare una volta che la parte consensi è solida c'è la guida al marketing con la WhatsApp Business API.
TikJoy lavora sull'API ufficiale di WhatsApp Business, che è il livello su cui valgono tutte le regole qui sopra: l'opt-in, il registro e la revoca restano del brand, non della piattaforma. Guarda come funziona il WhatsApp AI Concierge.