Droit à l'oubli WhatsApp : comment supprimer les données d'un contact à sa demande

Le droit à l'effacement (communément appelé "droit à l'oubli") est un droit fondamental prévu par l'article 17 du RGPD. Quand un contact WhatsApp vous demande de supprimer ses données, vous avez l'obligation légale d'y répondre dans les délais impartis. Voici comment mettre en place un processus efficace et conforme.

Ce que couvre le droit à l'effacement en contexte WhatsApp

L'article 17 du RGPD donne aux personnes le droit d'obtenir l'effacement de leurs données dans plusieurs situations :

• Les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées
• La personne retire son consentement et il n'existe pas d'autre base légale au traitement
• La personne s'oppose au traitement et il n'existe pas de motif légitime prépondérant
• Les données ont fait l'objet d'un traitement illicite

En pratique WhatsApp, la situation la plus courante est le retrait de consentement : un contact vous demande de supprimer toutes ses données et de ne plus le contacter.

Les données à supprimer ou anonymiser dans ce contexte :

• Numéro de téléphone WhatsApp
• Prénom et nom si collectés
• Historique des conversations
• Tags et segments associés au profil
• Données de comportement (clics, ouvertures, achats trackés)
• Toute donnée dans vos systèmes intégrés (CRM, email, etc.)

Délais légaux et procédure de réponse

Le RGPD impose de répondre à une demande d'effacement "dans les meilleurs délais et en tout état de cause dans un délai d'un mois" à compter de la réception de la demande (article 12.3).

Ce délai peut être étendu de deux mois supplémentaires si la demande est complexe ou si vous avez de nombreuses demandes simultanées — mais vous devez informer la personne de cette extension dans le délai d'un mois initial.

Votre procédure interne devrait être :

Jour 0 — Réception de la demande : accusez réception immédiatement (un message WhatsApp automatique ou un email). Notez la date de réception.

Jours 1-3 — Vérification d'identité : confirmez que la demande provient bien du titulaire du numéro WhatsApp. En pratique, si la demande arrive du numéro WhatsApp lui-même, c'est une confirmation suffisante.

Jours 3-20 — Effacement technique : supprimez ou anonymisez les données dans tous vos systèmes (plateforme WhatsApp, CRM, outils analytics, outils email si applicable).

Jour 20-30 — Confirmation : envoyez une confirmation d'effacement à la personne avec la liste des données supprimées.

Ce qui doit être effacé vs ce qui peut être conservé

L'effacement n'est pas toujours total. Certaines données doivent ou peuvent être conservées :

À effacer ou anonymiser : le numéro de téléphone, le prénom, le nom, le contenu des conversations marketing, les données de comportement associées à la personne identifiable.

À conserver pour la conformité : une trace anonymisée de la demande d'effacement et de la date de traitement (pour prouver que vous avez respecté le droit en cas d'audit ultérieur). Le numéro de téléphone peut être conservé sous forme hachée dans une liste d'exclusion (voir ci-dessous).

À vérifier avant suppression : les données liées à des obligations légales (factures, contrats, obligations fiscales) peuvent être conservées même après une demande d'effacement, pour la durée légalement requise. Mais elles doivent être isolées et non utilisées à des fins marketing.

La liste d'exclusion est un concept important : après suppression des données, conservez une trace anonymisée (numéro haché) dans une liste d'exclusion pour éviter que la personne soit ré-inscrite accidentellement lors d'une prochaine campagne. Cette conservation est justifiée par l'intérêt légitime à respecter l'opposition de la personne.

Configurer un système de gestion des demandes d'effacement

Pour une gestion efficace et auditée des demandes :

Canal de demande : configurez un mot-clé WhatsApp ("SUPPRIMER MES DONNÉES" ou "DROIT À L'OUBLI") qui déclenche automatiquement une notification à votre équipe de conformité et un accusé de réception au demandeur.

Ticket de suivi : créez un ticket dans votre système de gestion (CRM, Notion, tableur dédié) avec : numéro haché, date de demande, systèmes à traiter, statut de l'effacement, date de confirmation.

Vérification croisée : votre procédure doit inclure une checklist de tous les systèmes où les données du contact peuvent exister. Manquer un système est une violation du RGPD même si le reste est correctement effacé.

Audit trail : conservez la documentation des effacements (date, systèmes traités, confirmation) pendant au moins 3 ans.

Pour les aspects connexes de conformité, consultez notre guide sur le consentement marketing WhatsApp.

FAQ

Un contact peut-il demander l'effacement de ses données WhatsApp par simple message ? Oui, une demande verbale (ou écrite par message) est valide. Vous pouvez demander des précisions pour identifier la personne et traiter correctement sa demande, mais vous ne pouvez pas exiger un formulaire formel comme condition préalable.

Que faire si la suppression dans un système tiers (CRM, email) prend du temps ? Informez la personne que l'effacement est en cours et sera complété dans le délai légal d'un mois. Assurez-vous que les systèmes tiers concernés soient traités dans ce délai. Si vous avez des doutes sur les délais d'un prestataire, contactez leur support en priorité.

Faut-il supprimer l'historique des achats d'un contact qui demande l'effacement ? Pas nécessairement. Les données de transactions peuvent être conservées pour des raisons légales (obligations comptables et fiscales). Anonymisez le numéro WhatsApp tout en conservant les données transactionnelles sous une forme non identifiable.

Comment gérer les demandes d'effacement de contacts hors UE ? Les législations africaines (Sénégal, Maroc, Algérie) prévoient des droits similaires au droit à l'effacement du RGPD. Appliquez le même processus quelle que soit la localisation du contact pour une gestion cohérente et sécurisée.

---

Gérez les demandes de droit à l'oubli de vos contacts WhatsApp de façon automatisée. Rejoignez Whakup et accédez aux outils de gestion des droits RGPD intégrés dans votre plateforme.