WhatsApp et RGPD en entreprise : écrire à vos clients

Note : ce guide est une information générale, pas un conseil juridique. Chaque affirmation juridique renvoie au texte ou à la décision dont elle provient. Pour un cas précis, consultez un avocat ou votre délégué à la protection des données. Les exemples viennent d’Espagne : l’autorité espagnole de protection des données, l’AEPD, publie ses décisions, et le RGPD qu’elle applique est le même dans toute l’UE. Les règles sur les messages publicitaires, elles, sont transposées par chaque pays dans sa propre loi.

En 30 secondes

• Répondre à qui vous écrit ne demande pas d’autorisation à part. Lui rappeler son rendez-vous ou le prévenir que sa commande est prête non plus : ce sont des messages de service.
• Une promotion sur WhatsApp exige un consentement exprès, sauf si la personne est déjà cliente et que vous lui proposez quelque chose de semblable à ce qu’elle a acheté. C’est la règle européenne ePrivacy, que l’Espagne applique par l’article 21 de sa loi LSSI. L’AEPD traite WhatsApp comme l’e-mail ou le SMS.
• Chaque promotion offre un moyen simple et gratuit de se désinscrire, et une désinscription est toujours respectée.
• Meta exige aussi une autorisation préalable (opt-in) au nom de votre entreprise, et que vous respectiez chaque désinscription. Cela vaut aussi pour l’application gratuite.
• L’AEPD a déjà sanctionné ces erreurs : ajouter des clients à un groupe (500 € et 3 000 €), continuer d’envoyer des promotions après une désinscription (1 500 €) et envoyer des données de clients sur le WhatsApp personnel d’un salarié (2 500 €).
• Votre entreprise est responsable des données. La plateforme que vous utilisez est sous-traitant et signe avec vous un contrat de sous-traitance.

Puis-je écrire à mes clients sur WhatsApp ?

Oui. Pour la plupart des messages, la raison pour laquelle vous avez leur numéro suffit. Pour la loi, il y a deux types :

• Les messages de service : vous répondez à qui vous a écrit, confirmez un rendez-vous, donnez des nouvelles d’une commande. Le RGPD autorise le traitement nécessaire à un contrat, ou aux mesures que le client demande avant de le conclure (article 6, paragraphe 1, point b).
• Les messages commerciaux : la loi espagnole LSSI appelle communication commerciale tout ce qui vise à promouvoir, directement ou indirectement, l’image, les biens ou les services d’une entreprise (annexe, lettre f). Ceux-là exigent un consentement préalable.

La règle pratique : si le message vend quelque chose, même en une ligne, traitez-le comme une promotion. Meta fait de même : un modèle qui mêle une information et une offre relève du marketing.

Pour tous les messages, informez la personne quand vous recueillez son numéro : qui vous êtes, à quoi il servira et sur quelle base légale (article 13 du RGPD). Meta exige en plus une politique de confidentialité publiée. Et la fenêtre de 24 heures est une règle de Meta, pas de la loi : passé ce délai après le dernier message du client, l’API ne permet d’écrire qu’avec un modèle approuvé, qui est payant (ce que coûte chacun).

Quel consentement faut-il pour envoyer des promotions sur WhatsApp ?

Il faut que la personne les ait demandées ou expressément acceptées avant le premier message. La seule exception est votre propre client, pour des produits semblables à ceux qu’il vous a déjà achetés.

La base européenne est la directive ePrivacy (2002/58/CE). Son article 13 n’autorise la prospection directe par « courrier électronique » qu’avec un consentement préalable, et la directive appelle ainsi « tout message sous forme de texte, de voix, de son ou d’image » stocké jusqu’à ce que le destinataire le récupère (article 2, point h). Chaque pays l’applique par sa propre loi.

En Espagne, c’est l’article 21 de la LSSI (loi 34/2002). Il interdit la publicité par e-mail ou par tout moyen de communication électronique équivalent qui n’a pas été demandée ou expressément autorisée au préalable. L’AEPD cite nommément les SMS et les messages WhatsApp comme moyen équivalent.

L’exception du client existant (article 21, paragraphe 2) exige les quatre conditions à la fois :

1. Une relation contractuelle préalable : la personne vous a acheté ou commandé quelque chose.
2. Vous avez obtenu ses coordonnées de façon licite.
3. Vous lui proposez des produits ou services de votre propre entreprise, semblables à ceux qu’elle a achetés.
4. Vous lui avez offert un moyen simple et gratuit de s’y opposer, lors de la collecte et dans chaque message.

À quoi ressemble un consentement valable. Une manifestation de volonté « libre, spécifique, éclairée et univoque », « par une déclaration ou par un acte positif clair » (article 4, point 11, du RGPD). En pratique :

• Rien de tacite. Selon l’AEPD, l’article 21 n’admet pas de consentement tacite (avis 0164/2018). « Sans réponse de votre part, nous considérons que vous acceptez » ne vaut pas.
• Vous devez pouvoir le prouver (article 7, paragraphe 1). Conservez la date, l’origine et le texte que la personne a accepté.
• « Il est aussi simple de retirer que de donner son consentement » (article 7, paragraphe 3).

La liste Robinson espagnole. En Espagne, qui fait de la prospection directe doit d’abord consulter les listes d’opposition publicitaire, sauf si la personne lui a donné son consentement (article 23, paragraphe 4, de la LOPDGDD, la loi espagnole de protection des données).

À chaque pays sa loi. Le RGPD est le même dans toute l’UE ; la règle sur la prospection électronique change :

Qu’exige Meta pour écrire à ses clients sur WhatsApp Business ?

Meta exige une autorisation préalable pour tout message que vous envoyez en premier, pas seulement pour les promotions. Sa WhatsApp Business Messaging Policy couvre l’application gratuite et l’API :

• Vous ne pouvez contacter que les personnes qui vous ont donné leur numéro et leur autorisation de recevoir vos messages.
• L’autorisation indique clairement que la personne accepte de recevoir des messages, et de quelle entreprise. Elle peut être générale, pas propre à WhatsApp, tant que vous respectez la loi. Elle peut être recueillie sur un site web, par SMS, par téléphone, en personne ou sur papier.
• Respectez toute demande de blocage ou de désinscription, qu’elle arrive par WhatsApp ou autrement, et retirez la personne de votre liste de contacts.

Vos clients ont aussi leurs outils. Un réglage de WhatsApp leur permet d’arrêter votre marketing : si vous leur envoyez ensuite un modèle marketing, Meta ne le livre pas (erreur 131050). Ils peuvent vous bloquer ou vous signaler, et avec beaucoup de retours négatifs, Meta peut limiter vos envois ou vous retirer l’accès.

Comment gérer les désinscriptions sur WhatsApp ?

Une désinscription vaut dès que la personne la demande, pour toute l’équipe, et elle n’a pas besoin d’employer un mot précis.

• Il suffit qu’elle le dise. La LSSI espagnole permet de retirer son consentement par une simple notification à l’expéditeur (article 22, paragraphe 1). Et selon le RGPD, après une opposition, « les données à caractère personnel ne sont plus traitées à ces fins » (article 21, paragraphe 3).
• Proposez-la dans chaque promotion (article 21, paragraphe 2, de la LSSI). Sur WhatsApp, le plus simple est un bouton de réponse rapide dans le modèle, du type « Stop promotions » ; Meta le cite comme usage courant.
• Distinguez « plus de promotions » de « ne m’écrivez plus ». Qui renonce aux offres peut continuer à recevoir le rappel de son rendez-vous.
• Rendez-la visible pour toute l’équipe. Une désinscription notée sur le téléphone d’une personne n’atteint jamais la campagne qu’en prépare une autre.

Une boîte de réception d’équipe comme BlueMarlin garde sur la fiche du client s’il a donné son consentement, quand et par quel canal. Une désinscription le retire des campagnes pour toute l’équipe, qu’elle vienne du bouton du modèle, d’un message qui la demande ou de l’avis de Meta.

Quelles erreurs sur WhatsApp l’AEPD a-t-elle déjà sanctionnées ?

Ces quatre décisions espagnoles visent des pratiques courantes dans n’importe quelle entreprise :

Les groupes qui montrent le numéro de vos clients

Dans un groupe, chacun voit le numéro de tous : « lorsqu’une personne vous ajoute à un groupe, tous ses membres peuvent voir votre numéro de téléphone », explique l’aide de WhatsApp. L’AEPD a ordonné au garage de prendre des mesures contre la création de groupes sans consentement qui révèlent les données personnelles des participants. Que le plaignant ait déjà eu affaire au garage, pour des jantes, n’a pas suffi.

Avec une liste de diffusion dans l’application, chaque client reçoit le message dans sa propre discussion et sa réponse n’arrive qu’à vous. Elle n’atteint toutefois que ceux qui ont enregistré votre numéro, et reste de la publicité : elle demande le même consentement.

Les données de clients sur le téléphone personnel d’un salarié

Sur le téléphone personnel d’un salarié, l’entreprise ne peut pas garantir la confidentialité : des personnes extérieures à l’organisation peuvent y accéder, et l’entreprise ne sait pas comment il est sécurisé. C’est le raisonnement de l’AEPD, qui a aussi écarté l’argument de l’habitude : l’économie, l’habitude ou la rapidité ne justifient pas une infraction. La solution est un numéro d’entreprise utilisé par toute l’équipe.

Les messages à qui s’est désinscrit

Le client a demandé sur WhatsApp à ne plus rien recevoir, l’entreprise lui a dit avoir supprimé ses données, et la publicité a continué : il a fait remarquer que c’était la quatrième fois. L’AEPD a ajouté que ces messages n’étaient pas couverts par une relation contractuelle préalable, puisque la personne avait seulement demandé un prix.

Qui est responsable des données de mes clients sur WhatsApp ?

Votre entreprise. Le RGPD appelle responsable du traitement celui qui décide des finalités et des moyens, et sous-traitant celui qui traite les données pour son compte (article 4, points 7 et 8). La plateforme que vous utilisez pour WhatsApp est sous-traitant.

• Il faut un contrat de sous-traitance (DPA en anglais). Il fixe l’objet, la durée, la finalité et le type de données, et oblige le sous-traitant à suivre vos instructions (article 28, paragraphe 3).
• Meta a le sien : les WhatsApp Data Processing Terms, mises à jour le 22 août 2025, qui s’appliquent lorsque WhatsApp traite les données de vos clients en tant que sous-traitant.
• BlueMarlin publie le sien sur /dpa : BlueMarlin est le sous-traitant, Meta y figure comme sous-traitant ultérieur pour la transmission des messages, et le contrat est accepté à la création du compte.
• Ce que vous ne pouvez pas déléguer : la base légale, l’information de vos clients, le consentement et les désinscriptions restent à votre charge. Aucun outil ne recueille le consentement à votre place.

Questions fréquentes

Puis-je ajouter mes clients à un groupe WhatsApp ?

Pas sans leur consentement. Dans un groupe, chacun voit le numéro de tous, et l’AEPD espagnole a sanctionné un garage de 3 000 € et un traiteur de 500 € pour avoir ajouté des clients à des groupes. Pour toucher beaucoup de monde, utilisez une liste de diffusion ou une campagne, qui atteignent chaque personne séparément, et seulement celles qui ont accepté.

Faut-il une autorisation pour envoyer des rappels de rendez-vous sur WhatsApp ?

Pas de consentement à part : le rappel ne promeut rien et repose sur le rendez-vous que le client a pris. Indiquez que vous utiliserez WhatsApp quand vous recueillez son numéro. Si vous ajoutez une offre au rappel, il devient de la publicité, pour la loi comme pour Meta.

Quelqu’un qui m’a demandé un devis compte-t-il comme client ?

Pas forcément. Dans le dossier PS/00323/2020, la personne avait seulement demandé un prix, et l’AEPD a conclu que les promotions reçues ensuite n’étaient pas couvertes par une relation contractuelle préalable. En France, la CNIL précise que l’exception ne joue pas si aucune vente ou prestation n’a eu lieu.

Faut-il consulter une liste d’opposition avant une campagne WhatsApp ?

En Espagne, pas si la personne vous a donné son consentement. Sinon, oui : la LOPDGDD oblige quiconque fait de la prospection directe à consulter d’abord les listes d’opposition (article 23, paragraphe 4). L’AEPD rappelle qu’être inscrit n’empêche pas de recevoir la publicité d’une entreprise dont on est client. Les autres pays règlent ce point dans leur propre loi.

Mon équipe peut-elle servir les clients depuis son WhatsApp personnel ?

C’est risqué. L’AEPD a sanctionné de 2 500 € une entreprise qui envoyait des données de clients sur le WhatsApp personnel d’un salarié, car sur ce téléphone elle ne pouvait pas garantir la confidentialité. Le plus sûr est un numéro d’entreprise partagé, pour que le client reste à l’entreprise quand quelqu’un part.

Quelle amende pour de la publicité sur WhatsApp sans autorisation ?

En Espagne, selon la LSSI, que l’AEPD fait appliquer sur ce point : jusqu’à 30 000 € pour une infraction légère, et de 30 001 à 150 000 € si l’envoi est massif ou insistant (articles 38, 39 et 43). Selon le RGPD, jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (article 83, paragraphe 5). Dans les quatre cas de ce guide, les amendes allaient de 500 € à 5 000 €.

Sources

Tout ce qui précède a été vérifié le 30 septembre 2026 dans les textes et les sources officielles :

• Règlement général sur la protection des données (UE) 2016/679, EUR-Lex : définitions (article 4), bases légales (6), consentement (7), information (13), opposition à la prospection (21), sous-traitance (28) et amendes (83).
• Directive 2002/58/CE (ePrivacy), version consolidée, EUR-Lex : définition du courrier électronique (article 2, point h) et communications non sollicitées (13).
• Loi 34/2002 (LSSI), Journal officiel espagnol (BOE), en espagnol : consentement et exception du client existant (article 21), retrait (22), infractions et amendes (38 et 39), compétence de l’AEPD (43) et définition de la communication commerciale (annexe, lettre f).
• Loi organique 3/2018 (LOPDGDD), BOE, en espagnol : listes d’opposition publicitaire (article 23).
• AEPD : Publicité non désirée, en espagnol : WhatsApp comme moyen équivalent, pas de consentement tacite, listes d’opposition.
• AEPD : avis 0164/2018, en espagnol : l’article 21 de la LSSI n’admet pas de consentement tacite.
• Décisions de l’AEPD PS/00323/2020, PS/00298/2023, PS/00261/2024 et PS/00505/2023, en espagnol : les quatre cas du tableau.
• WhatsApp Business Messaging Policy : autorisation préalable, désinscriptions, modèles, fenêtre de 24 heures, politique de confidentialité et sanctions de Meta.
• Get opt-in for WhatsApp : conditions et moyens de l’opt-in.
• Marketing templates: user preferences : le réglage pour arrêter le marketing et l’erreur 131050.
• Template categorization : un modèle qui mêle information et offre relève du marketing.
• Template components : le bouton de réponse rapide pour se désinscrire.
• WhatsApp : La confidentialité en un coup d’œil : dans un groupe, tous voient votre numéro.
• WhatsApp : Comment utiliser les listes de diffusion : chaque destinataire le reçoit comme un message individuel, et seulement s’il a enregistré votre numéro.
• WhatsApp Data Processing Terms : Meta comme sous-traitant.
• Tableau des pays : § 7 UWG (Allemagne) ; CNIL, la prospection commerciale par courrier électronique, SMS-MMS et automate d’appel (France) ; Codice privacy, article 130 et lignes directrices du Garante du 4 juillet 2013 (Italie).
• Contrat de sous-traitance de BlueMarlin : les rôles de BlueMarlin et de Meta.

Historique des modifications

• 30 septembre 2026 : première version.