Conformité RGPD pour le marketing WhatsApp

Le marketing via WhatsApp dans l'UE est complètement légal — et complètement réglementé. Le RGPD n'interdit pas le chat professionnel ; il exige juste que vous traitiez un numéro de téléphone de la même façon que vous traiteriez une adresse e-mail ou l'adresse postale d'un client. Obtenez le consentement, soyez transparent, ne stockez pas à outrance, et laissez les gens partir.

Ceci est le guide pratique, pas un conseil juridique. Si vous gérez de gros volumes ou des catégories sensibles (santé, finance), parlez à un avocat. Pour tous les autres, suivez la checklist ci-dessous et vous êtes à 95 % du chemin.

Ce que le RGPD exige vraiment

Quatre principes comptent le plus pour le marketing WhatsApp :

1. Base légale — vous avez besoin d'une raison légale pour traiter chaque numéro de téléphone.
2. Transparence — la personne doit savoir qui vous êtes, pourquoi vous avez son numéro, et ce que vous en ferez.
3. Limitation des finalités et minimisation des données — collectez seulement ce dont vous avez besoin, utilisez-le seulement pour la finalité déclarée.
4. Droits de la personne concernée — accès, suppression, portabilité, opposition, retrait du consentement.

Le chiffrement de bout en bout de WhatsApp ne vous exempte pas. Vous êtes le responsable de traitement pour la liste de contacts et l'historique de chat que vous conservez.

Les deux bases légales que vous utiliserez vraiment

• Consentement (Art. 6(1)(a)) — pour les diffusions marketing, la prospection à froid, l'ajout de quelqu'un à une liste segmentée.
• Intérêt légitime (Art. 6(1)(f)) — pour répondre à un client qui vous a contacté en premier, ou envoyer une mise à jour de statut de commande à quelqu'un qui a acheté chez vous.

Le click-to-chat entrant est le cas le plus facile. Quand un client touche votre lien wa.me et vous écrit, vous avez un intérêt légitime clair pour répondre. Vous n'avez pas besoin d'un opt-in séparé pour ce fil de réponse spécifique — mais vous en avez besoin avant de diffuser du marketing futur.

Les trois pièges de consentement dans lesquels la plupart des entreprises tombent

1. « Il m'a écrit, donc je peux le diffuser. » Non. Répondre est bien ; l'ajouter à une liste de diffusion de masse est une nouvelle finalité qui nécessite son propre consentement.
2. Cases opt-in pré-cochées. Le RGPD exige une action non équivoque, affirmative. Une case pré-cochée est nulle.
3. Consentement groupé. « Inscrivez-vous à la newsletter » ne peut pas inclure « et nous vous écrirons aussi sur WhatsApp ». Les canaux marketing doivent être optionnels et séparément opt-in-ables.

Comment collecter un consentement valide

La formulation que vous utilisez sur votre formulaire web, reçu ou chatbot doit être :

• Spécifique — nommer le canal : « Envoyez-moi des mises à jour WhatsApp. »
• Informée — lier votre politique de confidentialité juste là.
• Granulaire — cases séparées pour différents types de messages (offres vs mises à jour de commande).
• Librement donnée — aucun service ne devrait y être conditionné.
• Documentée — vous devez pouvoir prouver qui a consenti, quand, et à quelle formulation.

Une case à cocher minimale conforme :

J'accepte de recevoir des messages promotionnels occasionnels de [Société] sur WhatsApp. Je peux me désinscrire à tout moment en répondant STOP. Voir notre politique de confidentialité.

Conservation : combien de temps garder un numéro

Le RGPD ne fixe pas de période fixe. La règle est : aussi longtemps que nécessaire pour la finalité pour laquelle vous l'avez collecté.

Défauts sensés :

| Finalité | Conservation typique | |---|---| | Consentement marketing actif | Jusqu'au retrait ou 24 mois d'inactivité | | Historique commande/support | 6 ans (nombreuses juridictions fiscales) | | Relance panier abandonné | 30–90 jours | | Demande unique, pas d'achat | 6–12 mois |

Réglez un rappel calendaire pour purger les contacts inactifs. « Nous gardons tout pour toujours » n'est pas une réponse défendable à une autorité de contrôle.

L'information de confidentialité que vous devez montrer

Avant ou au moment de la collecte, dites à la personne :

• Qui vous êtes (nom légal et contact).
• Pourquoi vous collectez le numéro.
• Quelle base légale vous invoquez.
• Combien de temps vous le garderez.
• Avec qui vous le partagez (WhatsApp/Meta est un sous-traitant — mentionnez-les).
• Ses droits (accès, suppression, opposition, retrait, plainte auprès du contrôleur).
• Si les données quittent l'UE (WhatsApp route via l'infrastructure Meta — oui, c'est le cas ; reposez-vous sur les CCT de Meta).

Vous pouvez lier à une seule page de politique de confidentialité depuis chaque point de contact (site web, chatbot, QR code imprimé).

Gérer les demandes de droits standards

• Accès — quelqu'un écrit « envoyez-moi mes données ». Exportez votre fiche CRM + historique de chat et envoyez par e-mail dans les 30 jours.
• Suppression — quelqu'un répond « supprimez-moi ». Retirez des contacts, marquez les listes de diffusion, et confirmez.
• Opposition au marketing — un opt-out est inconditionnel et immédiat. Répondez STOP → plus de marketing. Jamais.
• Portabilité des données — exportez dans un format commun (CSV, JSON).

Pré-écrivez des templates pour chacun pour pouvoir répondre en minutes, pas en jours.

Problèmes spécifiques à WhatsApp

• Uploads de listes de contacts. Si vous synchronisez vos contacts téléphone à l'application WhatsApp Business, vous traitez ces données. Ne synchronisez que ce pour quoi vous avez consentement.
• Listes de diffusion vs Groupes. Une liste de diffusion garde les destinataires privés ; un groupe expose le numéro de chacun à tous. Les groupes pour le marketing sont presque toujours non conformes.
• Accusés de lecture et indicateurs de frappe. Ce sont des données personnelles selon les normes de la CJUE. Votre information de confidentialité devrait mentionner que vous pouvez les voir.
• Sauvegardes. Les sauvegardes de chat WhatsApp (Google Drive/iCloud) sont en dehors du chiffrement E2E. Si vous sauvegardez des chats professionnels, divulguez-le.

La checklist de conformité en 60 secondes

• Case à cocher de consentement séparée et non groupée pour le marketing WhatsApp.
• Politique de confidentialité liée depuis chaque point de collecte.
• Journal documenté de qui a consenti, quand, à quelle formulation.
• Gestion du mot-clé STOP dans votre chatbot / SOP.
• Calendrier de conservation avec purge trimestrielle.
• Template de demande de personne concernée prêt à envoyer.
• Registre des activités de traitement (Art. 30) liste WhatsApp/Meta comme sous-traitant.
• AIPD (Analyse d'impact relative à la protection des données) si vous profilez les utilisateurs ou envoyez à grande échelle.

Avez-vous besoin d'une AIPD ?

Une AIPD est obligatoire si votre traitement est « à haut risque ». Pour la plupart des petites entreprises utilisant WhatsApp pour du click-to-chat, la réponse est non. Vous en avez besoin si vous :

• Faites du profilage systématique qui pilote des décisions automatisées.
• Traitez des données de catégorie spéciale (santé, biométrique, opinions politiques).
• Surveillez une zone publique à grande échelle.
• Diffusez à des dizaines de milliers d'utilisateurs régulièrement.

En cas de doute, faites une AIPD légère quand même — c'est une évaluation de risque d'une page, et l'avoir en dossier est votre meilleure défense.

Setup pratique pour une petite entreprise UE

1. Ajoutez une case opt-in WhatsApp à chaque formulaire sur votre site.
2. Gardez une Google Sheet ou un champ CRM : contact, horodatage, source, version de formulation du consentement.
3. Publiez une information de confidentialité qui mentionne spécifiquement WhatsApp/Meta.
4. Enregistrez une réponse automatique « STOP » qui confirme l'opt-out et déclenche votre workflow de suppression.
5. Chaque trimestre, supprimez les contacts inactifs et loggez la purge.

Faites cela, et le RGPD n'est pas la raison pour laquelle vous ne pouvez pas grandir sur WhatsApp.

Prêt à commencer conformément ? Générez un lien wa.me qui pré-remplit un premier message favorable au consentement avec notre générateur de liens WhatsApp gratuit — par exemple : « Bonjour, je souhaite recevoir des mises à jour sur WhatsApp. Je confirme avoir lu votre politique de confidentialité. »