Garante Privacy: stretta sulle comunicazioni WhatsApp e Telegram nella PA. Divieto per i contatti operativi con i cittadini dal 1 luglio 2026

Il contesto: l'abuso diffuso di WhatsApp nelle PA italiane

Negli ultimi 5 anni l'uso di WhatsApp da parte delle PA italiane e' esploso, soprattutto a livello comunale. Numerosi enti hanno creato 'gruppi cittadini', 'canali notizie WhatsApp' o usano direttamente la chat per: comunicare scadenze tributi, richiedere documenti per istruttorie, inviare convocazioni, gestire prenotazioni servizi sociali, comunicare con genitori per servizi scolastici. Il Garante ha avviato un'istruttoria a campione su 300 Comuni nel 2025 rilevando che il 67% usa WhatsApp per comunicazioni istituzionali, e nel 41% dei casi viene chiesto di inviare documenti personali tramite chat.

Le ragioni del divieto: 5 problemi GDPR strutturali

• Base giuridica mancante: WhatsApp non e' un canale istituzionale, l'art. 6 GDPR per le PA richiede un trattamento basato su norma di legge o interesse pubblico, e nessuna norma autorizza messaggistica commerciale
• Trasferimento extra-UE: Meta Platforms Ireland Ltd. trasferisce i dati anche negli USA (Meta Platforms Inc.) e nel server globale - Schrems II e Adequacy Decision UE-USA 2023 hanno requisiti specifici che WhatsApp End-to-End non garantisce per i metadati
• Profilazione: Meta usa i metadati WhatsApp (chi messaggia chi, quando, frequenza) per profilazione pubblicitaria - per le PA questo e' incompatibile con l'art. 5(1)(b) GDPR sulla limitazione finalita'
• Conservazione: WhatsApp conserva i messaggi sui server Meta per durata indefinita; le PA hanno obblighi di conservazione documentale precisi (Codice dell'Amministrazione Digitale)
• Audit trail: nessuna possibilita' di audit log certificato delle comunicazioni - obbligatorio per accountability art. 5(2) GDPR delle PA

Cosa devono fare le PA entro il 1 luglio 2026

• Censimento: mappare TUTTI gli usi di messaggistica commerciale all'interno dell'ente (uffici, scuole, polizia locale, servizi sociali)
• Comunicazione ai cittadini: informativa ex art. 12-13 GDPR sul cambio di canale, con indicazione del nuovo canale ufficiale per ogni servizio
• Procedura di accoglimento: predisporre processo per cittadini che ancora scrivono via WhatsApp dopo il 1 luglio (rispondere indicando canale corretto, conservare audit del cambio)
• Cancellazione dati: rimuovere i numeri di telefono dei cittadini dai contatti, archiviare le conversazioni con valore documentale (verbalizzandole in protocollo), cancellare il resto
• Formazione interna: corso obbligatorio per tutti i dipendenti su 'comunicazioni istituzionali post-WhatsApp ban' entro il 30 settembre 2026
• Aggiornamento Registro art. 30: rimuovere i trattamenti che usavano WhatsApp, aggiungere quelli nuovi (PEC del cittadino, sistema notifiche app istituzionale)

Eccezioni previste

Il provvedimento prevede 3 eccezioni: (1) Protezione civile in emergenza (terremoti, alluvioni) - WhatsApp ammesso per comunicazioni urgenti con popolazione, ma con tracciamento ex post; (2) Polizia locale per coordinamento operativo INTERNO (chat fra agenti), non per comunicazioni con cittadini; (3) Comunicazioni one-way su canali broadcast pubblici (es. 'Comune di Sassari Notizie') purche' non si raccolgano risposte degli iscritti.

Il ruolo del DPO

Per i DPO delle PA questa decisione e' un'opportunita' e un rischio. Opportunita': finalmente una giustificazione chiara per chiedere risorse all'ente per implementare canali istituzionali alternativi (app, portali). Rischio: il termine e' stretto e molte PA arriveranno impreparate al 1 luglio. Il DPO esterno deve calendarizzare entro maggio una riunione formale con il Sindaco/Segretario, produrre il censimento, e fissare una roadmap operativa.

Risorse aggiuntive