ConformiteFacile

Blog

WhatsApp Business et RGPD : ce qu'implique l'utilisation de Meta pour la relation client

Publie le 13/11/2026 · Temps de lecture : 10 min

Gros plan sur une main tenant un smartphone affichant l'ecran de l'application WhatsApp
Photo : Anton sur Pexels

Repondre a un client sur WhatsApp plutot que par e-mail est devenu un reflexe pour beaucoup de commercants, artisans et prestataires de services en France : c'est rapide, le client lit le message immediatement, et l'application est deja installee sur tous les telephones. Le probleme est que chaque message, chaque numero de telephone et chaque photo de profil echange dans ce cadre transite par l'infrastructure de Meta Platforms Ireland Limited, l'entite qui agit comme responsable de traitement pour les utilisateurs europeens de WhatsApp. Utiliser cet outil pour la relation client reste donc un traitement de donnees personnelles a part entiere, soumis au RGPD comme n'importe quel autre canal.

En 2021, l'autorite de controle irlandaise (Data Protection Commission), chef de file europeen pour WhatsApp, a infliges une amende de 225 millions d'euros a WhatsApp Ireland Limited pour des manquements a l'obligation de transparence sur le traitement des donnees des utilisateurs. Cette sanction visait l'editeur lui-meme, mais elle rappelle que l'usage de cet outil n'est pas un simple detail technique : c'est un traitement encadre, avec des responsabilites qui se partagent entre Meta et les entreprises qui l'utilisent pour leur relation client.

Sommaire

1. Application gratuite ou plateforme professionnelle : deux traitements differents

Deux usages bien distincts coexistent sous le meme nom. L'application WhatsApp Business, gratuite, s'installe sur un smartphone comme l'application grand public, avec en plus un profil d'entreprise, des reponses automatiques et un catalogue de produits. Les conversations restent dans l'application, sur l'appareil utilise, generalement celui d'un salarie.

La WhatsApp Business Platform (souvent appelee « API WhatsApp ») est un service distinct, pense pour un volume de messages plus important : elle se connecte a un CRM, un centre de contact ou un outil de marketing via un fournisseur technique intermediaire, appele Business Solution Provider (Twilio, 360dialog, Infobip sont des exemples connus sur le marche). Dans ce second cas, les messages de vos clients transitent par davantage d'intermediaires techniques, chacun devant etre identifie comme sous-traitant au sens de l'article 28 du RGPD et figurer dans votre registre des traitements, avec un contrat encadrant cette sous-traitance.

2. Qui est responsable de traitement quand vous utilisez WhatsApp ?

Pour les donnees que WhatsApp collecte pour son propre compte (fonctionnement du service, securite, lutte contre les abus, amelioration des produits Meta), c'est Meta Platforms Ireland Limited qui est responsable de traitement envers les utilisateurs europeens. Mais pour les donnees que vous, l'entreprise, traitez a travers cet outil, dans le cadre de votre propre relation commerciale, vous restez responsable de traitement. C'est votre entreprise qui decide de contacter tel client, de conserver telle conversation, d'y associer un historique d'achats : c'est donc votre entreprise qui doit pouvoir justifier une base legale, une information adaptee et une duree de conservation definie.

Cette distinction est importante en pratique : vous ne pouvez pas vous contenter de renvoyer vers la politique de confidentialite de WhatsApp pour justifier votre propre usage commercial de l'outil. Votre politique de confidentialite doit elle-meme mentionner que vous utilisez WhatsApp pour echanger avec vos clients, a quelle fin, et pendant combien de temps vous conservez ces echanges.

Fleuriste en tablier consultant son telephone mobile dans sa boutique
Photo : Amina Filkins sur Pexels

3. Le chiffrement de bout en bout : ce qu'il protege vraiment

WhatsApp met en avant le chiffrement de bout en bout de ses conversations : en theorie, ni WhatsApp ni un tiers ne peut lire le contenu d'un message pendant son transport entre l'expediteur et le destinataire. C'est une protection reelle, mais partielle. Elle ne couvre pas les metadonnees associees a chaque echange (numero de telephone, nom affiche, photo de profil, heure et frequence des messages, appartenance a un groupe), que WhatsApp peut traiter pour son propre compte.

Surtout, une fois qu'un message est recu et lu par votre entreprise, il n'est plus protege par ce chiffrement au sens ou vous l'entendez cote conformite : il se trouve dans l'application, sur l'appareil de votre salarie, et c'est a vous de securiser cet acces (verrouillage de l'appareil, sauvegardes, procedure de depart d'un salarie) comme pour n'importe quelle autre donnee client que vous detenez.

4. Quelle base legale pour contacter un client sur WhatsApp ?

Le canal de communication ne change pas le raisonnement juridique applicable a la prospection. Repondre a un client qui vous a lui-meme ecrit en premier sur WhatsApp, dans le cadre d'une commande en cours, releve generalement de l'execution du contrat ou de l'interet legitime : c'est le client qui a choisi ce canal.

La situation est differente si c'est votre entreprise qui prend l'initiative d'ecrire la premiere, a un numero recupere via un formulaire, un salon professionnel ou une base achetee. Dans ce cas, les regles de la prospection directe s'appliquent, sur le meme modele que pour l'e-mailing ou le SMS : un consentement prealable est en principe necessaire, sauf exception stricte pour un client existant recontacte au sujet de produits ou services similaires. Le fait que WhatsApp soit percu comme un canal plus personnel ne l'exempte pas de ces regles, bien au contraire : la CNIL considere generalement qu'un canal percu comme intrusif appelle une vigilance au moins equivalente a celle de l'e-mail ou du SMS.

5. Transferts vers les Etats-Unis et Data Privacy Framework

WhatsApp appartient au groupe Meta, dont le siege est aux Etats-Unis. Les donnees que vous echangez avec vos clients via cet outil sont donc susceptibles d'etre traitees en dehors de l'Union europeenne, ce qui declenche les regles du RGPD sur les transferts internationaux de donnees. Depuis l'adoption du Data Privacy Framework par la Commission europeenne en juillet 2023, un transfert vers une entreprise americaine certifiee dans ce cadre beneficie d'une presomption de protection adequate, ce qui a simplifie la situation par rapport aux clauses contractuelles types seules.

Cela ne dispense cependant pas de verifier, au moment ou vous adoptez l'outil, que le mecanisme de transfert invoque par Meta pour les donnees de ses utilisateurs europeens est bien a jour et documente dans sa politique de confidentialite : ce cadre evolue regulierement et a deja ete remis en cause par la justice europeenne a plusieurs reprises par le passe. Pour en savoir plus sur les obligations generales qui s'appliquent des que vos donnees quittent l'UE, consultez notre article sur les transferts de donnees hors UE.

6. Duree de conservation des conversations

Le RGPD impose de ne pas conserver les donnees plus longtemps que necessaire au regard de la finalite poursuivie (article 5.1.e). Pour une conversation client sur WhatsApp, cela signifie definir une duree coherente avec votre pratique habituelle sur les autres canaux : une conversation liee a une commande peut etre conservee le temps de la relation commerciale et des eventuelles garanties, mais un echange ponctuel sans suite ne justifie pas une conservation indefinie sur le telephone professionnel.

En pratique, la difficulte vient surtout de l'absence d'outil de purge automatique dans l'application gratuite : contrairement a un CRM, rien ne supprime automatiquement les anciennes conversations. Cela implique une procedure manuelle reguliere, ou le passage a la plateforme professionnelle si le volume d'echanges le justifie, pour pouvoir piloter cette duree de conservation de maniere fiable.

7. Age minimum et usage par des mineurs

WhatsApp impose, dans ses conditions d'utilisation applicables en Europe, un age minimum de 16 ans pour creer un compte, un seuil aligne sur l'age de consentement numerique par defaut prevu par l'article 8 du RGPD (la France l'a fixe a 15 ans par la loi du 20 juin 2018, mais WhatsApp applique son propre seuil contractuel de 16 ans au niveau europeen). Si votre activite est susceptible d'echanger avec des mineurs via ce canal (ecole de sport, activite periscolaire, etablissement recevant des familles), gardez ce seuil a l'esprit et privilegiez un canal passant par le compte d'un parent ou d'un responsable legal plutot que par celui d'un enfant.

8. Checklist avant d'adopter WhatsApp pour la relation client

Ces reflexes rejoignent ceux deja necessaires pour tout widget de messagerie installe sur un site web : notre article sur le chat en direct sur un site detaille les memes principes appliques a des outils comme Crisp ou Intercom.

Documentez vos sous-traitants en quelques minutes

ConformiteFacile genere votre registre des traitements et la liste de vos sous-traitants, WhatsApp et les autres, pour rester pret en cas de controle.

Decouvrir les tarifs

Questions frequentes

WhatsApp Business (l'application gratuite) et WhatsApp Business Platform (l'API), c'est la meme chose cote RGPD ?

Non. L'application gratuite reste installee sur le telephone d'un salarie et les conversations restent dans cette application, meme si l'usage est professionnel. La plateforme API est integree a vos propres outils (CRM, centre de contact) via un fournisseur technique (Business Solution Provider) : les messages transitent alors par davantage d'intermediaires, ce qui multiplie le nombre de sous-traitants a identifier dans votre registre des traitements.

Le chiffrement de bout en bout de WhatsApp dispense-t-il de toute formalite RGPD ?

Non. Le chiffrement protege le contenu des messages pendant leur transport, mais pas les metadonnees (numero de telephone, photo de profil, date et heure des echanges, informations de groupe) ni les messages une fois recus et lus par votre entreprise. Ces donnees restent des donnees personnelles traitees par votre structure, avec toutes les obligations RGPD habituelles : information, base legale, duree de conservation.

Peut-on contacter un prospect sur WhatsApp sans son accord prealable ?

Non, sauf exception tres limitee. Envoyer un premier message commercial a un numero recupere sans consentement s'analyse comme de la prospection directe et suit les memes regles que l'e-mailing ou le SMS : il faut en principe un consentement prealable, ou relever d'une exception stricte (client existant contacte pour des produits similaires). Le fait que WhatsApp soit percu comme un canal plus informel ne change rien a la qualification juridique.

Faut-il un accord explicite du salarie pour utiliser son WhatsApp personnel a des fins professionnelles ?

Dans l'absolu c'est deconseille : melanger les contacts clients de l'entreprise avec le compte personnel d'un salarie pose un probleme de maitrise des donnees (l'employeur ne peut ni auditer ni recuperer ces conversations si le salarie part) et de securite (perte ou vol du telephone personnel). Si cette pratique existe malgre tout, une charte interne doit a minima encadrer la conservation, l'export des conversations professionnelles et leur suppression du telephone personnel en cas de depart.

A lire aussi

Lettres en bois disposees sur un presentoir formant le mot feedback
Collecte de donnees & RGPD

Sondages et enquetes de satisfaction client : ce que le RGPD impose (Typeform, Google Forms, NPS)

Lire
Main humaine tendue vers une main robotique, symbolisant la rencontre entre decision humaine et decision automatisee
Profilage & decisions automatisees

Decision automatisee et profilage (article 22 du RGPD) : ce qu'une TPE ou PME doit savoir

Lire
Ordinateur portable affichant un ecran de paiement en ligne minimaliste, illustrant l'achat d'un service numerique
E-mailing & prospection

Achat ou location de fichiers de prospection : ce que le RGPD exige avant d'utiliser une base de contacts achetee

Lire