RGPD et WhatsApp : mentions légales obligatoires pour les entreprises francophones

Utiliser WhatsApp pour contacter des clients et prospects implique de traiter des données personnelles — au minimum des numéros de téléphone. Ce traitement est encadré par le RGPD (pour les entreprises qui opèrent en Europe ou qui ciblent des résidents européens) et par les législations locales africaines. Voici ce que vous devez savoir et mettre en place.

Les bases légales du traitement des données WhatsApp

Le RGPD exige que tout traitement de données personnelles repose sur une base légale parmi celles définies à l'article 6 du règlement. Pour le WhatsApp Marketing, deux bases légales sont pertinentes :

Le consentement (article 6.1.a) : l'utilisateur a donné son accord explicite pour recevoir vos messages WhatsApp. C'est la base légale la plus courante pour le marketing direct et elle impose le respect de conditions strictes : le consentement doit être libre, spécifique, éclairé et univoque.

L'intérêt légitime (article 6.1.f) : vous avez un intérêt légitime à contacter un prospect ou client existant, à condition que cet intérêt ne soit pas supplanté par les droits et libertés de l'intéressé. Cette base légale s'applique plus facilement pour les clients existants dans le cadre d'une relation commerciale en cours.

Pour la plupart des campagnes de WhatsApp Marketing (liste de prospects, liste opt-in), le consentement est la base légale appropriée. Elle est plus contraignante mais offre une protection juridique plus solide.

Les mentions légales obligatoires lors de la collecte

Avant même l'envoi du premier message WhatsApp, vous devez informer les personnes de vos pratiques de traitement des données. Cette information doit être présente à chaque point de collecte :

Identité du responsable de traitement : nom de votre entreprise, adresse, coordonnées de contact.

Finalité du traitement : "Vos données sont collectées pour vous envoyer des communications marketing par WhatsApp."

Base légale : "Ce traitement est basé sur votre consentement" (ou l'intérêt légitime selon les cas).

Durée de conservation : précisez combien de temps vous conservez les données (ex : "3 ans après le dernier contact actif").

Droits des personnes : droit d'accès, de rectification, d'effacement (droit à l'oubli), de portabilité, d'opposition, de retrait du consentement. Incluez un moyen concret d'exercer ces droits (répondre "STOP" sur WhatsApp, email dédié).

Coordonnées du DPO (si applicable) : les entreprises de plus de 250 salariés ou dont le traitement est intensif doivent nommer un Délégué à la Protection des Données.

Ces mentions doivent figurer sur votre site web (page politique de confidentialité) et être référencées lors de chaque collecte d'opt-in. Notre guide sur la politique de confidentialité WhatsApp Business détaille la rédaction de cette page.

Ce qui est interdit : les pratiques à proscrire absolument

Le spam WhatsApp : envoyer des messages non sollicités à des personnes qui n'ont pas consenti est une violation du RGPD et peut entraîner des sanctions jusqu'à 4 % du chiffre d'affaires mondial ou 20 millions d'euros.

L'achat de listes WhatsApp : acheter une liste de numéros WhatsApp et envoyer des messages marketing est illégal sous le RGPD. Les personnes n'ont pas consenti à recevoir vos communications spécifiquement.

La collecte sans information préalable : collecter des numéros WhatsApp sans informer les personnes de votre usage est une violation du principe de transparence.

Le non-respect des désinscriptions : si quelqu'un répond "STOP" ou demande à ne plus recevoir vos messages, vous avez l'obligation légale de cesser les envois immédiatement et de supprimer ou archiver leurs données.

RGPD et entreprises africaines : ce qui s'applique à vous

Si votre entreprise est basée en Afrique mais cible des résidents de l'Union Européenne (clients français, belges, suisses, etc.), le RGPD s'applique à vos traitements les concernant. C'est le principe d'extraterritorialité du RGPD.

Si vous ciblez exclusivement des résidents africains, vous êtes soumis aux législations locales (loi 18-07 en Algérie, loi 2008-12 au Sénégal, CNDP au Maroc, etc.) dont les principes sont proches du RGPD. Pour aller plus loin, consultez nos guides spécifiques sur la loi 18-07 Algérie et la protection des données au Maroc.

FAQ

Le RGPD s'applique-t-il si je n'ai pas de bureaux en Europe ? Oui, si vous traitez des données de résidents européens dans le cadre d'une offre de biens ou services (même gratuits) ou pour surveiller leur comportement, le RGPD s'applique. Cette application extraterritoriale est claire dans l'article 3 du RGPD.

Dois-je enregistrer mon traitement WhatsApp dans un registre ? Oui, l'article 30 du RGPD impose un registre des activités de traitement à toute entreprise de plus de 250 salariés, ou traitant des données de façon non occasionnelle. Votre activité WhatsApp Marketing doit y figurer.

Quelle est la sanction pour envoi de messages WhatsApp sans consentement ? En France, la CNIL peut infliger des amendes jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial (le plus élevé des deux). Des sanctions plus légères (avertissements, mises en demeure) sont également possibles.

Comment prouver que j'ai obtenu le consentement pour mes contacts WhatsApp ? Conservez les logs horodatés de chaque opt-in (date, heure, canal, message de confirmation). Votre plateforme WhatsApp Business API doit stocker ces données. En cas de litige, vous devrez être capable de démontrer que la personne a bien consenti.

---

Mettez en conformité votre WhatsApp Marketing dès aujourd'hui. Rejoignez Whakup — notre plateforme intègre les mécanismes de consentement et de gestion des désinscriptions conformes au RGPD.