GDPR e gruppo WhatsApp di un'associazione: cosa sapere

In molte associazioni il gruppo WhatsApp si è imposto senza che nessuno lo decidesse. Un volontario l'ha creato, i soci sono stati aggiunti man mano, e oggi fa da canale ufficiale. Dal punto di vista del GDPR, la situazione merita una riflessione: la responsabilità è dell'associazione.

L'associazione è titolare del trattamento, anche su WhatsApp

Il GDPR si applica appena si trattano informazioni su persone identificabili: nome, numero di telefono, foto, presenza a una riunione. Titolare del trattamento è chi decide finalità e mezzi del trattamento. Un'associazione che tratta dati per i propri scopi (gestione dei soci, comunicazioni, organizzazione delle attività) decide perché e come vengono usati, anche quando sceglie WhatsApp per comunicare.

Il GDPR esclude i trattamenti effettuati da una persona fisica per attività «a carattere esclusivamente personale o domestico» (articolo 2): una chat tra amici non è soggetta alle stesse regole. Ma un gruppo che fa da canale ufficiale di un'associazione, alimentato con il libro soci e gestito dal direttivo, rientra in linea di principio nell'attività dell'associazione, non nella sfera privata dei suoi membri. Il Garante, in un provvedimento del 16 gennaio 2025 su un gruppo WhatsApp gestito da un'azienda, ha ricordato proprio che l'esenzione vale solo per le attività esclusivamente personali o domestiche.

I sette punti delicati di un gruppo WhatsApp associativo

1. I numeri di telefono sono visibili a tutti i membri

In un gruppo WhatsApp classico ogni partecipante vede il numero di tutti gli altri. Per l'associazione significa comunicare una parte del libro soci all'insieme dei soci. Il GDPR prevede invece un principio di minimizzazione (articolo 5): condividere solo ciò che è necessario, con chi ne ha bisogno.

Nel provvedimento del 2025 citato sopra, il Garante ha contestato a un'azienda anche la comunicazione del numero di ciascun membro a tutti gli altri partecipanti del gruppo (47 persone), e le ha inflitto una sanzione di 10.000 euro. Un'associazione non è un'azienda che fa promozione, e il caso era diverso; ma il ragionamento sulla visibilità dei numeri merita attenzione anche in ambito associativo.

Nel 2026 WhatsApp sta introducendo gradualmente i nomi utente, che permetteranno di mostrare meno il proprio numero, e i gruppi annunci delle «Community» nascondono già in parte i numeri dei membri (non quelli degli amministratori). Ma il numero resta obbligatorio per creare un account e resta visibile nella maggior parte dei gruppi esistenti. Controlla nell'app che cosa vedono davvero i tuoi soci.

2. L'inserimento senza preavviso

Aggiungere direttamente un socio a partire dal numero scritto sulla domanda di adesione significa usare quel dato per uno scopo che forse non aveva previsto: iscriverlo a una piattaforma terza e mostrare il suo numero agli altri. Il GDPR impone di informare le persone sull'uso dei loro dati (articolo 13). Nello stesso provvedimento, il Garante ha precisato che il fatto di non uscire dal gruppo non può essere interpretato come un consenso. Meglio annunciare l'esistenza del gruppo e lasciare che ognuno entri con un link d'invito.

3. La rubrica

Se l'utente lo autorizza, WhatsApp riceve regolarmente i numeri della sua rubrica, compresi quelli di persone che non usano WhatsApp; la sua informativa sulla privacy lo descrive. Riguarda ogni singolo utente. Ma un'associazione che chiede ai volontari di salvare in rubrica i numeri dei soci «per il gruppo» contribuisce indirettamente ad alimentarla.

4. I metadati presso Meta

Il contenuto dei messaggi è crittografato end-to-end. WhatsApp tratta però dei metadati: chi fa parte di quale gruppo, quando ci si connette, da quale dispositivo. Per gli utenti europei il servizio è fornito da WhatsApp Ireland, soggetta al GDPR (e già sanzionata nel 2021 dall'autorità irlandese per mancanza di trasparenza, con una multa di 225 milioni di euro). Alcuni dati possono essere trasferiti negli Stati Uniti, oggi nel quadro del «Data Privacy Framework», la cui validità è contestata davanti alla Corte di giustizia dell'Unione europea.

5. Gli ex soci si tengono tutto

Il GDPR chiede di non conservare i dati più a lungo del necessario. In un gruppo WhatsApp, un socio che lascia l'associazione conserva sul telefono i numeri, la cronologia, le foto e i documenti scambiati, finché non elimina la chat. L'associazione non può fare pulizia al suo posto. Togliere subito chi se ne va limita almeno ciò che riceverà in seguito.

6. Le categorie particolari di dati

Per alcune associazioni la semplice appartenenza al gruppo rivela un dato particolare ai sensi dell'articolo 9 del GDPR: associazione di pazienti, comunità religiosa, sezione sindacale, circolo di partito, gruppo di auto-aiuto. Esporre l'elenco dei membri, anche solo tra loro, è allora più delicato. Lo stesso vale per le informazioni che a volte girano nella chat: il certificato medico di idoneità sportiva fotografato, l'allergia di un bambino, la situazione personale di un volontario. Non a caso il Garante cita espressamente le associazioni sportive per i dati sanitari che trattano.

7. I minori e le foto

I termini di servizio di WhatsApp fissano un'età minima di 13 anni in Europa. In Italia, per i servizi della società dell'informazione, un minore può prestare da solo il consenso al trattamento dei suoi dati dai 14 anni (articolo 2-quinquies del Codice privacy); sotto quell'età serve chi esercita la responsabilità genitoriale. Per una sezione giovanile, meglio un gruppo dei genitori. Quanto alle foto delle attività, il Garante lo ricorda a proposito della scuola: la diffusione di immagini di minori richiede, di regola, il consenso informato dei genitori. Chiedi l'accordo delle persone, e dei genitori per i bambini, prima di diffondere le foto oltre la cerchia interessata.

Se tieni WhatsApp: otto buone pratiche

1. Informa: cita il gruppo WhatsApp nell'informativa privacy dell'associazione o nella domanda di adesione (finalità, strumento usato, dati visibili agli altri soci).
2. Invita, non aggiungere: condividi un link d'invito e lascia che ognuno scelga se entrare. Proponi un altro canale (l'e-mail) a chi non vuole WhatsApp.
3. Separa gli usi: un gruppo «avvisi» in cui scrivono solo gli amministratori, distinto dalla chat libera.
4. Più amministratori del direttivo, perché il gruppo non dipenda da un solo telefono.
5. Niente dati particolari né documenti con dati personali (elenchi dei soci, IBAN, certificati medici) nella chat.
6. Fai pulizia: togli i membri che lasciano l'associazione e fai il punto a ogni rinnovo del tesseramento.
7. Scrivi qualche regola: niente screenshot inoltrati fuori dal gruppo, niente foto di altre persone senza il loro accordo.
8. Tieni il registro dei trattamenti: secondo il Garante è obbligatorio anche per le associazioni che trattano categorie particolari di dati, e resta comunque raccomandato a tutti i titolari. Annotaci le comunicazioni con i soci e lo strumento usato.

Scegliere uno strumento che riduce il problema alla fonte

La maggior parte delle difficoltà nasce dal fatto che WhatsApp si basa sul numero di telefono. Uno strumento di gruppo che non ne ha bisogno risolve buona parte della questione. I criteri da guardare:

• Registrazione possibile senza numero di telefono.
• Contatti dei membri nascondibili, e lista dei partecipanti nascondibile dall'amministratore.
• Un canale in cui pubblica solo il direttivo, separato dalla chat.
• Possibilità per chi se ne va di eliminare i propri contributi.
• Hosting in Europa, niente pubblicità, nessuna rivendita dei dati.
• Un'informativa sulla privacy leggibile e un contatto identificato.

Cosa fa YouTim su questi punti

• Nessun numero richiesto: basta un indirizzo e-mail, oppure l'accesso con Google o Apple.
• Contatti sotto controllo: in ogni YouTim ognuno può disattivare «Pubblica i miei contatti»; gli altri partecipanti non vedono più né la sua e-mail né il suo telefono. Gli amministratori del YouTim li vedono sempre, perché servono a gestire i membri. L'amministratore può anche attivare «Nascondi la lista dei partecipanti»: ognuno vede allora solo gli amministratori.
• Annunci riservati agli amministratori, con «Letto da x/y»; una chat in cui la scrittura può essere limitata al direttivo.
• Arrivi e partenze: un nuovo partecipante vede solo i messaggi pubblicati dopo il suo arrivo, a meno che un amministratore non gli dia accesso alla cronologia; chi abbandona un YouTim può eliminare allo stesso tempo i suoi messaggi, reazioni, voti e foto.
• Hosting e sicurezza: app ospitata ad Amsterdam, file archiviati da Scaleway a Parigi; dati protetti in transito (TLS 1.2 o superiore) e contenuti crittografati a riposo (AES-256). Niente pubblicità, niente profili pubblici, nessuna rivendita dei dati. YouTim è pubblicato da Simplycards, società francese.

La checklist del direttivo

• Sappiamo quali strumenti usiamo per comunicare con i soci, e chi li amministra.
• I soci sono informati di questi strumenti e di cosa gli altri membri vedono di loro.
• Ognuno entra nel gruppo per scelta, e chi non vuole ha un altro canale.
• Le comunicazioni ufficiali passano da un canale in cui pubblica solo il direttivo.
• Nella chat non girano dati particolari né documenti personali.
• Chi se ne va viene tolto, e facciamo il punto ogni anno.
• Almeno due membri del direttivo sono amministratori.
• Per i minori passiamo dai genitori.
• Le foto si pubblicano solo con l'accordo delle persone interessate.
• Il nostro registro dei trattamenti cita le comunicazioni con i soci.

Domande frequenti

Fonti

• Garante privacy: FAQ sul registro delle attività di trattamento
• Garante privacy: provvedimento del 16 gennaio 2025 (gruppo WhatsApp, doc. web 10112726)
• Garante privacy: pagina tematica «Minori»
• Garante privacy: vademecum «La scuola a prova di privacy» (2025)
• Regolamento (UE) 2016/679 (GDPR), testo ufficiale in italiano
• WhatsApp: termini di servizio (Regione europea)
• WhatsApp: informativa sulla privacy (Regione europea)

Questo articolo è un'informazione generale, non una consulenza legale. Per un caso specifico consulta il sito del Garante per la protezione dei dati personali (garanteprivacy.it) o un professionista della protezione dei dati. Informazioni aggiornate all'8 novembre 2026.