API WhatsApp et l'opt-in RGPD : guide pour les plateformes emailing

L'opt-in WhatsApp RGPD est le consentement explicite qu'un contact doit donner avant de recevoir des messages marketing ou transactionnels d'une entreprise via l'API WhatsApp Business. Ce consentement répond à deux exigences distinctes et cumulatives : les règles Meta (politiques commerciales WhatsApp) et le Règlement Général sur la Protection des Données. Pour une plateforme emailing, gérer cet opt-in correctement conditionne à la fois la conformité légale et la délivrabilité.

Les exigences Meta sur l'opt-in WhatsApp

Meta impose que chaque contact ait explicitement consenti à recevoir des messages WhatsApp de l'entreprise avant tout envoi de message template (Business-Initiated). Ce n'est pas une obligation RGPD : c'est une règle contractuelle Meta qui s'applique indépendamment de la géographie.

Les exigences concrètes de Meta :

• Le consentement doit être explicite et actif. Une case précochée, un consentement implicite ou un opt-in email réutilisé pour WhatsApp n'est pas conforme.
• L'opt-in doit mentionner WhatsApp spécifiquement. "Recevoir des messages de [Marque] via WhatsApp" — pas juste "recevoir des communications commerciales".
• Le canal WhatsApp doit être identifié. Le contact doit savoir qu'il consent à être contacté sur WhatsApp, et non sur un autre canal.
• Le numéro de téléphone collecté doit correspondre au compte WhatsApp du contact. Ce qui implique une vérification (OTP) lors de la collecte si vous n'êtes pas certain que le numéro est actif sur WhatsApp.

Meta peut auditer les pratiques d'opt-in d'un expéditeur, notamment lorsque le quality rating chute. En cas de non-conformité avérée, le compte WABA peut être suspendu.

Les exigences RGPD spécifiques à WhatsApp

En droit européen, l'envoi de messages WhatsApp à des fins marketing relève de la prospection électronique (article L34-5 du Code des postes en France, transposant la directive ePrivacy). Les règles sont similaires à l'emailing :

• Base légale : consentement libre, spécifique, éclairé et univoque (article 6.1.a RGPD). Le consentement doit être recueilli séparément pour chaque finalité (marketing, transactionnel, etc.).
• Preuve du consentement : l'entreprise doit pouvoir prouver qu'elle dispose du consentement. Cela implique de stocker la date, l'heure, la source et la formulation du consentement pour chaque contact.
• Droit de retrait : le contact peut retirer son consentement à tout moment, facilement, sans avoir à se justifier. La désinscription doit produire effet immédiatement.
• Durée de conservation : un consentement inactif depuis plus de 3 ans doit être considéré comme expiré (recommandation CNIL). Prévoir une campagne de re-opt-in ou la suppression des contacts.

Différence clé avec l'email : pour les messages transactionnels (confirmation de commande, alerte expédition), la base légale peut être l'intérêt légitime ou l'exécution du contrat (article 6.1.b), ce qui ne nécessite pas de consentement préalable. Mais cette base ne s'applique pas aux messages marketing.

Mécanismes de collecte d'opt-in recommandés

Pour les plateformes emailing qui intègrent WhatsApp, les points de collecte les plus efficaces sont :

• Formulaire de création de compte ou d'achat : ajouter un champ numéro de téléphone avec une case à cocher "Recevoir des messages WhatsApp de [Marque] pour…" dédiée et non précochée.
• Pop-up post-achat : proposer WhatsApp comme canal de suivi de commande, avec consentement spécifique. Taux de conversion élevé car le contexte est transactionnel.
• SMS ou email d'invitation : envoyer un lien vers une page d'opt-in WhatsApp (lien wa.me ou page de landing) depuis un canal déjà consenti.
• QR code en point de vente : pour les enseignes physiques, un QR code renvoie vers un flux WhatsApp qui confirme le consentement via un message de retour.

Mécanisme	Taux d'opt-in	Conformité	Complexité
Formulaire web dédié	Moyen	Haute	Faible
Pop-up post-achat	Élevé	Haute	Faible
SMS/email d'invitation	Faible-Moyen	Haute	Moyenne
QR code POS	Variable	Haute	Faible
Import liste email	Nul	Non conforme	—

Gérer les désinscriptions et la documentation dans votre plateforme

Votre plateforme doit fournir aux clients les outils pour gérer l'opt-in de bout en bout :

• Stockage structuré du consentement : champs optin_source, optin_date, optin_wording, optin_status (actif/révoqué) par contact et par canal.
• Traitement automatique des STOP : si un contact répond "STOP", "Arrêter" ou tout mot-clé de désinscription, désactiver immédiatement le contact dans la liste WhatsApp et bloquer tout envoi ultérieur.
• Export RGPD : permettre l'export de toutes les données d'opt-in d'un contact pour répondre aux demandes d'accès.
• Suppression sur demande : le droit à l'effacement (article 17 RGPD) doit pouvoir être exécuté, y compris la suppression des logs de consentement (avec conservation de la preuve pendant la prescription légale).

Pour aller plus loin sur les templates WhatsApp et les catégories de messages, consultez notre article sur les catégories de templates WhatsApp.

FAQ

Peut-on utiliser une liste email opt-in pour envoyer des messages WhatsApp ?

Non. Un consentement email ne vaut pas consentement WhatsApp, ni pour Meta ni pour le RGPD. Le canal doit être spécifiquement mentionné dans le consentement. Utiliser une liste email pour des envois WhatsApp constitue une violation des deux référentiels et expose à un quality rating dégradé (signalements spam) et à un risque légal.

Faut-il re-collecter le consentement pour passer d'une utilisation transactionnelle à marketing ?

Oui. Si vous avez collecté un numéro dans le cadre d'une commande (base légale : exécution du contrat) et que vous souhaitez envoyer des messages promotionnels, vous devez obtenir un consentement explicite supplémentaire pour la finalité marketing.

Quel est le délai légal pour traiter une demande de désinscription WhatsApp ?

La CNIL recommande un traitement "sans délai excessif". En pratique, la norme acceptée est un traitement immédiat ou au maximum dans les 24 heures. Pour l'API WhatsApp, le traitement doit être automatisé et quasi-instantané dès réception du webhook de message entrant contenant le STOP.

La preuve du consentement doit-elle être conservée combien de temps ?

Aussi longtemps que la relation commerciale est active, plus la durée de prescription applicable (3 ans en général pour les litiges commerciaux). Après expiration, les données de preuve doivent être anonymisées ou supprimées.

---

L'opt-in WhatsApp RGPD est un prérequis légal et commercial que votre plateforme emailing doit outiller de façon native. Whakup fournit les webhooks, l'API REST et l'hébergement en Union Européenne pour vous aider à construire une gestion du consentement conforme. Découvrez notre offre sur la page API WhatsApp Business et comparez les fournisseurs sur notre article meilleur BSP WhatsApp France.