L'opt-in RGPD WhatsApp dans la santé : ce qu'il faut savoir

L'opt-in WhatsApp dans le secteur de la santé est soumis à un double régime légal : les règles générales du RGPD d'une part, et les dispositions spécifiques aux données de santé d'autre part. Envoyer une notification de rendez-vous médical ou un rappel de traitement via WhatsApp sans consentement explicite et documenté constitue une violation grave, passible de sanctions CNIL et de blocage par Meta. Pour tout éditeur de logiciel de santé, télémedecine ou patient management, la conformité de l'opt-in n'est pas une option.

La santé face au RGPD : un régime de données sensibles

Les données de santé relèvent de l'article 9 du RGPD : elles sont par défaut interdites de traitement, sauf exceptions. Le consentement explicite en est l'une des bases légales, mais il doit être encore plus précis que pour un traitement standard :

• Mention claire que des données relatives à la santé seront traitées.
• Finalité nommée : rappel de rendez-vous, suivi de traitement, résultats d'analyses.
• Canal explicite : "via WhatsApp".
• Possibilité de retrait du consentement sans conséquence sur la prise en charge.

En France, les plateformes de santé numériques sont souvent soumises aux référentiels de la CNIL et, pour certaines, à l'agrément HDS (Hébergeur de Données de Santé). Le canal WhatsApp lui-même (Meta) n'est pas certifié HDS. Cela ne l'exclut pas de tout usage, mais impose de ne transiter par ce canal que les informations dont le niveau de sensibilité a été évalué et accepté dans la politique de traitement.

Quels messages WhatsApp sont envisageables dans la santé ?

Type de message	Sensibilité	Précaution requise
Rappel de rendez-vous (date/heure, pas de spécialité)	Faible	Opt-in canal + finalité
Confirmation d'annulation	Faible	Opt-in canal
Résultat d'analyse ou diagnostic	Très élevée	À éviter via WhatsApp
Rappel de traitement (sans mention du médicament)	Moyenne	Opt-in détaillé
Enquête de satisfaction post-consultation	Moyenne	Opt-in + droit d'opposition

Le principe de minimisation du RGPD s'applique : ne faire transiter via WhatsApp que ce qui est strictement nécessaire. Un rappel "Votre rendez-vous du 15 juillet à 14h30" sans mention du praticien ni de la spécialité est moins risqué qu'un message "Rappel : consultation cardiologie Dr Martin".

L'API WhatsApp Business intégrée via Whakup permet de configurer des templates distincts par niveau de sensibilité, avec des champs variables limités à ce qui est nécessaire.

Collecte et documentation du consentement

Le consentement dans la santé doit être granulaire. Un patient peut accepter les rappels de rendez-vous WhatsApp sans accepter les communications marketing ou les enquêtes de satisfaction. Chaque finalité doit avoir sa propre case à cocher, avec un libellé clair.

Modalités de collecte conformes :

• Prise en charge initiale : formulaire papier ou numérique lors de l'inscription au cabinet ou à la plateforme.
• Espace patient en ligne : section dédiée aux préférences de communication.
• Application mobile : notification in-app avec explication du canal.

La preuve du consentement doit inclure : texte exact présenté, date, heure, version du formulaire. Pour les éditeurs de logiciels de gestion médicale, le guide de l'API WhatsApp Business détaille comment stocker et synchroniser ces informations via les attributs de contact de l'API.

Désinscription et droits des patients

Dans la santé, le droit à l'effacement et le droit d'opposition sont particulièrement sensibles. Un patient qui se désinscrit des messages WhatsApp doit :

• Être retiré immédiatement de toutes les listes de diffusion WhatsApp.
• Conserver l'accès à ses données de santé via d'autres canaux (espace patient, courrier).
• Ne pas subir de dégradation de sa prise en charge.

La désinscription ne peut pas être conditionnée à une démarche complexe. Un mot-clé STOP en réponse au message suffit. Le système doit traiter cet opt-out en temps réel ou dans un délai maximal de quelques heures.

Les tarifs des messages WhatsApp de type "utility" (rappels, confirmations) s'établissent autour de 0,0336 €/message pour les numéros français via Whakup, ce qui rend le canal compétitif face au SMS pour les volumes importants. Comprendre les catégories de templates WhatsApp permet de classer correctement chaque message et d'éviter une surfacturation en catégorie marketing.

Pour les éditeurs qui comparent les fournisseurs d'accès à l'API, la comparaison des BSP WhatsApp en France donne des critères concrets : hébergement des données, conformité RGPD, support francophone.

FAQ

Un établissement de santé peut-il utiliser WhatsApp sans certification HDS ?

Oui, pour des communications non-sensibles (rappels de rendez-vous sans mention de la spécialité). Pour toute donnée de santé stricto sensu, une analyse de risque et une politique de traitement documentée sont nécessaires.

L'opt-in donné pour les SMS couvre-t-il WhatsApp ?

Non. L'opt-in doit être spécifique au canal. Un patient ayant accepté les SMS doit donner un consentement séparé pour WhatsApp.

Comment gérer le refus d'un patient d'utiliser WhatsApp ?

Le patient doit pouvoir recevoir les mêmes informations via un autre canal (SMS, email, courrier) sans impact sur sa prise en charge. Le refus de WhatsApp ne peut pas être un motif de traitement différencié.

Faut-il une DPA avec Whakup pour un usage santé ?

Oui. Tout sous-traitant qui traite des données pour votre compte doit être encadré par un accord de traitement de données (DPA). Whakup, hébergé en Europe, propose un DPA conforme au RGPD.

---

Pour déployer WhatsApp dans une application de santé numérique avec une infrastructure conforme RGPD et hébergée en Europe, découvrez l'API WhatsApp de Whakup.