Privacy e GDPR per idraulici e installatori: dati dei clienti, foto, WhatsApp e conservazione

Aggiornato il 14 ottobre 2026

Il GDPR vale anche per l'idraulico e il manutentore: appena raccogli nome, indirizzo, telefono o foto dei clienti tratti dati personali e la tua impresa ne è titolare. In pratica devi dare un'informativa, usare i dati solo per gli scopi dichiarati e su una base giuridica valida, conservarli per il tempo necessario e proteggerli. Per eseguire il lavoro e fatturare non serve il consenso; per mandare promozioni via SMS, e-mail o WhatsApp di solito sì. Su WhatsApp Business, inoltre, le regole della piattaforma chiedono l'opt-in del cliente.

Il GDPR vale anche per una piccola impresa di installazione?

Sì. Il Regolamento (UE) 2016/679 non esclude le imprese per dimensione. Sono esclusi solo i trattamenti a carattere esclusivamente personale o domestico (considerando 18): i dati dei clienti trattati per lavoro non lo sono. Le regole italiane si completano con il Codice privacy (D.Lgs. 196/2003).

Il Garante ricorda che sono dati personali tutte le informazioni che identificano o rendono identificabile una persona. Per un installatore sono dati personali anche il numero di telefono in rubrica, la chat con il cliente, l'indirizzo dell'impianto e le foto in cui si vedono persone, documenti o targhe.

Su quale base giuridica usi i dati dei clienti?

Ogni trattamento deve avere una base giuridica. Il Garante, nella pagina sui principi fondamentali, elenca tra le altre consenso, contratto, obbligo di legge e legittimo interesse. Per un installatore lo schema tipico è questo:

Le Linee guida del Garante sul marketing (2013) precisano che SMS, MMS, e-mail e fax promozionali richiedono il consenso preventivo. L'eccezione dell'art. 130, c. 4, detta "soft spam", vale solo per la posta elettronica. Riguarda l'indirizzo che il cliente ti ha dato nel contesto di una vendita, per prodotti o servizi analoghi, se lo hai informato e non si è opposto.

Cosa scrivere nell'informativa e quando consegnarla?

Quando raccogli i dati direttamente dal cliente, l'informativa va data prima della raccolta. Il Garante indica che di regola è scritta, preferibilmente elettronica, ma può essere anche orale. Per poterla dimostrare conviene la forma scritta. Deve contenere almeno:

• chi è il titolare (la tua ditta) e come contattarlo;
• per quali finalità usi i dati e su quale base giuridica;
• a chi li comunichi, per esempio commercialista, catasto regionale, fornitori di software e cloud;
• per quanto tempo li conservi, o con quali criteri lo stabilisci;
• i diritti del cliente (accesso, rettifica, cancellazione, opposizione) e il diritto di reclamo al Garante.

In pratica: un testo breve allegato al preventivo o al contratto, un link nel primo messaggio e una copia in ufficio. Se un fornitore tratta i dati per tuo conto, come il gestionale in cloud, serve un contratto o un atto che ne regoli il trattamento (GDPR, art. 28).

WhatsApp con i clienti: cosa devi sapere?

WhatsApp è comodo per foto del guasto, conferme e posizione, ma il numero del cliente e la chat restano dati della tua impresa.

• Chi è il titolare: i termini di WhatsApp per l'app Business (in vigore dal 23 settembre 2026) dicono che l'impresa è titolare del trattamento e che WhatsApp tratta i dati dei clienti come responsabile. L'impresa deve fornire le informative necessarie e ottenere diritti, consensi e autorizzazioni, per esempio l'opt-in.
• Opt-in: la WhatsApp Business Messaging Policy consente di contattare una persona solo se ti ha dato il numero e ha accettato di ricevere messaggi. Le richieste di stop o i blocchi vanno rispettati, anche se arrivano fuori da WhatsApp.
• Rubrica: i termini per l'area europea permettono di caricare i numeri della rubrica solo se consentito dalla legge applicabile. Usa un numero e un telefono di lavoro, separati da quelli personali.
• Promozioni: per il Garante i messaggi promozionali via WhatsApp e altre app di messaggistica seguono le regole sul consenso dell'art. 130 (Linee guida 2013, par. 6.1). Avere il numero in rubrica non equivale al consenso.
• Gruppi: non aggiungere clienti a gruppi o liste dove gli altri vedono il loro numero.

Come gestire le foto di impianti e cantieri?

Le foto sono utili per rapportino, garanzia e contestazioni. Inquadra l'impianto, la targhetta e il lavoro; evita volti, documenti, foto di famiglia e oggetti estranei. Scattale dall'app di lavoro, non dalla galleria personale, e non pubblicarle sui social se il cliente o la casa sono riconoscibili, senza il suo consenso. Per il rapportino con foto vedi la guida al rapportino di intervento.

Se un cliente ti manda via chat la foto di un documento d'identità o di una bolletta, salva solo ciò che ti serve, per esempio il codice del punto di fornitura, e cancella il resto dalla chat e dal telefono.

Per quanto tempo conservare i dati dei clienti?

Il GDPR chiede di conservare i dati non più del necessario. Per un installatore i criteri utili sono:

Scrivi questi criteri nell'informativa e verifica i termini civilistici e fiscali con il tuo commercialista.

Cosa fare se un cliente chiede i suoi dati o la cancellazione?

Il cliente può chiederti di accedere ai suoi dati, di correggerli, di cancellarli o di non usarli più per certe finalità. Il GDPR prevede che il titolare risponda senza ritardo e al più tardi entro un mese (considerando 59). Un metodo semplice:

• Accesso: indica quali dati hai (anagrafica, impianti, rapportini, foto, chat) e mandane copia.
• Rettifica: correggi indirizzo, telefono o dati dell'impianto in tutti gli archivi, compresa la rubrica del telefono di lavoro.
• Cancellazione: cancella ciò che non ti serve più. Fatture e documenti che devi conservare per legge restano, ma solo per quello scopo: spiegalo al cliente nella risposta.
• Stop ai messaggi: se il cliente si oppone alle comunicazioni promozionali, toglilo subito dagli elenchi. L'art. 130, c. 4, prevede che possa opporsi in ogni momento, in modo agevole e gratuito.

Tieni traccia della richiesta e della risposta. Se l'archivio è diviso tra carta, telefono, e-mail e gestionale, ogni richiesta diventa una caccia al tesoro: un archivio unico per cliente e impianto rende tutto più rapido.

Registro dei trattamenti, sicurezza e data breach: cosa ti riguarda?

• Registro dei trattamenti: sotto i 250 dipendenti è obbligatorio, tra l'altro, se il trattamento non è occasionale. Il Garante, nella pagina sul registro delle attività di trattamento, cita tra gli esempi le botteghe artigiane con almeno un dipendente. In ogni caso lo raccomanda a tutti. Una proposta UE del 2025 vuole modificare questa soglia: controlla se è stata approvata.
• Sicurezza: blocco del telefono, accessi personali per ogni tecnico, backup, password robuste, cancellazione da remoto dei dispositivi.
• Data breach: furto o smarrimento di un dispositivo con dati personali è una violazione. Va notificata al Garante senza ingiustificato ritardo, se possibile entro 72 ore, salvo che sia improbabile un rischio per le persone. Se il rischio è elevato, avvisa anche i clienti. Tutte le violazioni vanno annotate in un registro interno, come spiega la pagina del Garante sul data breach.

Informazioni generali, non consulenza. Testo redatto con l'aiuto dell'intelligenza artificiale sulla base delle fonti ufficiali citate e verificato da Repara. Aggiornato il 14 ottobre 2026. Le regole regionali possono cambiare: verifica sempre con la tua Regione o il tuo catasto.