API WhatsApp et l'opt-in RGPD : guide pour les logiciels RH

L'opt-in WhatsApp RGPD dans un logiciel RH répond à une double exigence : celle de Meta, qui impose que l'entreprise ait obtenu le consentement du destinataire avant tout envoi marketing, et celle du RGPD, qui impose une base légale documentée pour tout traitement de données personnelles via un canal de communication. Pour un SIRH ou une plateforme de recrutement, ces deux cadres se cumulent — et nécessitent une implémentation précise dès la conception.

Ce que Meta exige pour l'opt-in

Les règles WhatsApp Business Policy de Meta imposent de recueillir un consentement explicite, canal-spécifique et documenté avant d'envoyer des messages marketing ou des notifications à un destinataire.

Les exigences concrètes :

• L'opt-in doit mentionner explicitement WhatsApp comme canal (pas une mention générique "communications commerciales").
• Le nom de l'entreprise expéditrice doit être clairement identifié.
• Le destinataire doit avoir une action positive pour donner son accord (case à cocher, bouton, signature électronique) — une case pré-cochée est invalide.
• L'opt-in doit être enregistré et horodaté pour pouvoir être produit en cas de contestation.

Meta distingue deux types de messages selon les exigences d'opt-in :

Type de message	Opt-in Meta requis ?	Exemple RH
Marketing	Oui, obligatoire	Offre d'emploi, campagne marque employeur
Utility	Recommandé mais non bloquant	Notification de statut de candidature
Authentication	Non	Code OTP pour accès portail
Service (réponse à un message entrant)	Non (fenêtre gratuite)	Réponse à une question du candidat

En pratique, même pour les messages utility, collecter l'opt-in est une protection essentielle contre les signalements et le risque de dégradation du quality rating.

La base légale RGPD selon les flux RH

Le RGPD ne mentionne pas WhatsApp spécifiquement, mais s'applique dès lors que vous traitez des données personnelles (numéro de téléphone) pour envoyer des communications. Selon les flux RH, la base légale varie :

Consentement (article 6.1.a) : pour tout envoi marketing ou prospection vers des candidats ou des tiers qui n'ont pas de relation contractuelle avec l'entreprise. C'est la base la plus exigeante — le consentement doit être libre, spécifique, éclairé et univoque.

Exécution du contrat (article 6.1.b) : pour les notifications directement liées à la relation de travail — envoi de bulletin de paie, notification de planning, confirmation d'entretien pour un candidat en cours de recrutement. Cette base ne nécessite pas de consentement séparé, mais le lien avec le contrat doit être réel.

Intérêt légitime (article 6.1.f) : rarement applicable pour des communications WhatsApp en masse. À utiliser avec précaution et après une analyse d'impact (LIA) documentée.

Recommandation pratique : dans un logiciel RH, collecter le consentement explicite pour tous les flux WhatsApp est la stratégie la plus sûre, même quand d'autres bases légales pourraient s'appliquer. Cela satisfait à la fois les exigences Meta et les exigences RGPD.

Où et comment collecter l'opt-in dans votre logiciel RH

L'opt-in doit être collecté avant le premier envoi, dans un contexte où le candidat ou le collaborateur comprend clairement ce qu'il accepte. Voici les points de collecte adaptés à un logiciel RH :

Pour les candidats :

• Formulaire de candidature en ligne : case à cocher dédiée "Recevoir des notifications sur ma candidature par WhatsApp au [numéro]".
• Page de création de compte dans le portail candidat.
• QR code ou lien "Activer mes notifications WhatsApp" dans un email de bienvenue.

Pour les collaborateurs :

• Formulaire d'onboarding numérique : section "Préférences de communication".
• Avenant au contrat ou document d'accueil signé électroniquement.
• Portail RH self-service : le collaborateur active lui-même les notifications WhatsApp depuis son profil.

Ce que votre logiciel RH doit stocker :

{
  "contact_id": "12345",
  "phone": "+33612345678",
  "whatsapp_optin": true,
  "optin_date": "2026-01-15T10:23:00Z",
  "optin_channel": "portail_candidat_formulaire_inscription",
  "optin_wording": "J'accepte de recevoir des notifications sur ma candidature via WhatsApp de la part de [Entreprise].",
  "optin_version": "v2.1"
}

Le versioning du wording est important : si vous modifiez la formulation de votre consentement, vous devez savoir quels contacts ont accepté quelle version.

Gestion des opt-out et droit à l'effacement

L'opt-out est aussi important que l'opt-in. Vos clients RH doivent pouvoir honorer une demande de désabonnement en temps réel.

Mécanismes d'opt-out à implémenter :

• Bouton "Stop" dans les templates WhatsApp (recommandé par Meta pour les templates marketing).
• Webhook entrant qui détecte les mots-clés "STOP", "ARRÊTER", "NON" et met à jour le profil de consentement en base.
• Option dans le portail candidat / collaborateur pour retirer le consentement à tout moment.

Droit à l'effacement (article 17 RGPD) : si un candidat demande la suppression de ses données, le numéro de téléphone et l'historique WhatsApp doivent être effacés dans votre système. L'infrastructure Whakup est hébergée en Europe, ce qui facilite la conformité RGPD sur ce point.

Pour un cadrage complet sur l'infrastructure technique et la conformité européenne, consultez notre guide complet de l'API WhatsApp Business et notre article sur le choix d'un Meta Tech Provider WhatsApp.

Découvrez comment accéder à l'API WhatsApp via Whakup, hébergé en EU et conforme RGPD par construction.

FAQ

Un logiciel RH doit-il avoir son propre DPA (Data Processing Agreement) avec Whakup ?

Oui. Whakup agit en tant que sous-traitant au sens du RGPD. Un DPA (accord de traitement des données) doit être signé entre votre société et Whakup. Whakup met ce document à disposition dans le cadre du partenariat.

Peut-on utiliser une base d'opt-in email existante pour envoyer des messages WhatsApp ?

Non. Un opt-in email ne vaut pas pour WhatsApp. Les deux canaux requièrent un consentement canal-spécifique. Il faut recollecterun consentement explicite mentionnant WhatsApp.

La fenêtre de service WhatsApp (user-initiated) est-elle soumise aux mêmes exigences d'opt-in ?

Non. Quand c'est l'utilisateur qui initie la conversation (en écrivant en premier), Meta considère que le consentement est implicite pour répondre dans la fenêtre de 24 heures. Mais du point de vue RGPD, votre politique de traitement des données doit mentionner ce traitement.

Que risque-t-on si on envoie des messages WhatsApp sans opt-in conforme ?

Côté Meta : dégradation du quality rating voire suspension du numéro si les destinataires signalent les messages. Côté RGPD : risque d'amende de la CNIL, surtout si le manquement est signalé par un candidat. Dans le secteur RH, les données de candidats sont particulièrement sensibles — la CNIL y prête attention.

---

L'opt-in WhatsApp RGPD n'est pas une contrainte administrative : c'est la garantie que vos clients RH envoient des messages attendus, à des personnes qui veulent les recevoir. Résultat : moins de signalements, un quality rating sain, et une relation candidat / collaborateur plus saine. Déployez WhatsApp dans votre logiciel RH avec l'infrastructure Whakup, hébergée en EU et conforme RGPD.