RGPD et marketing WhatsApp

Deux textes, pas un seul

La plupart des gens qui s’interrogent sur le RGPD et WhatsApp commencent par le mauvais texte. Deux s’appliquent, ils posent des questions différentes, et satisfaire à l’un ne vous dispense pas de l’autre.

Le RGPD demande : disposez-vous, tout simplement, d’une base légale pour traiter les données de cette personne, et êtes-vous en mesure de respecter les droits qu’elle a sur ces données ? Un numéro de téléphone est une donnée à caractère personnel, et la conversation aussi.

La directive ePrivacy — transposée en droit national dans chaque État membre — pose une question plus étroite, qui porte sur l’acte d’envoi : pouvez-vous adresser à cette personne de la prospection directe non sollicitée par voie électronique ? Son article 13 la subordonne au consentement préalable. WhatsApp relève de la prospection directe par voie électronique au même titre que le SMS et l’e-mail.

C’est pourquoi « nous nous fondons sur l’intérêt légitime » ne règle pas la question. L’intérêt légitime peut très bien couvrir le volet RGPD. La règle ePrivacy vient s’y superposer et exige toujours le consentement.

Il existe une exception reconnue, généralement appelée soft opt-in : lorsque vous avez obtenu les coordonnées de la personne dans le cadre d’une vente, vous pouvez lui proposer vos propres produits analogues, à condition de lui avoir offert la possibilité de s’y opposer, sans frais et de manière simple, lors de la collecte et dans chaque message. La plupart des États membres l’ont transposée, mais les conditions diffèrent — à quel point le produit doit être analogue, de quand doit dater la vente, et si l’exception s’étend aux contacts professionnels. Elle est plus étroite qu’on ne l’espère, et la version allemande est la plus stricte.

À quoi ressemble un consentement valable

La définition du RGPD tient en une courte liste, et presque tous les consentements qui ne tiennent pas échouent sur l’un de ces points :

• Libre. Pas une condition d’un service qui n’en a pas besoin. « Cochez cette case pour recevoir nos offres sur WhatsApp afin de finaliser votre achat » n’est pas un consentement.
• Spécifique. Un consentement au marketing sur WhatsApp, pas au « marketing ». Le canal fait partie de ce que la personne accepte, tout comme l’identité de l’expéditeur.
• Éclairé. La personne sait qui vous êtes, ce que vous allez envoyer et comment arrêter.
• Univoque, par un acte positif clair. Une case pré-cochée n’en est pas un. Le silence n’en est pas un. Poursuivre sa navigation n’en est pas un.
• Aussi simple à retirer qu’à donner. Si l’inscription a pris un seul geste, l’arrêt ne peut pas exiger un e-mail au support.

Meta impose sa propre exigence d’opt-in, indépendamment, et elle n’est pas identique. Ce qui compte pour Meta, c’est que la personne ait su qu’elle recevrait des messages de votre entreprise sur WhatsApp ; Meta n’impose pas la façon dont vous l’avez recueilli. En pratique, un consentement conforme au RGPD satisfait aussi Meta, c’est pourquoi il vaut la peine de le rédiger une fois, correctement — la formulation et l’emplacement sont traités ici.

Ce que vous devez pouvoir prouver

Le RGPD vous impose d’être en mesure de démontrer que le consentement a été donné. Une liste de numéros ne prouve rien du tout. Pour chaque contact, vous devez pouvoir produire :

Une liste d’exclusion n’est pas une liste de suppression. Quand quelqu’un se désinscrit, vous conservez le minimum nécessaire pour continuer à l’exclure ; effacer entièrement l’enregistrement, c’est ainsi que des personnes sont réimportées et contactées à nouveau.

La place de Meta dans votre cartographie des données

Avec la Cloud API, les messages transitent par une infrastructure hébergée par Meta. Cela fait de Meta un sous-traitant pour ce contenu, avec des conséquences qu’il faut consigner par écrit plutôt que présumer :

• Votre registre des activités de traitement doit le mentionner, ainsi que votre prestataire de plateforme, qui est généralement sous-traitant, Meta étant alors sous-traitant ultérieur.
• Votre politique de confidentialité doit informer les personnes que vous écrire sur WhatsApp implique que Meta traite l’échange.
• Conditions de traitement des données. Vous vous appuyez sur celles de Meta pour le volet Meta, et sur celles de votre prestataire pour le sien. Demandez l’accord de traitement des données du prestataire avant de signer, pas après.
• Les transferts hors de l’EEE font partie de la relation avec Meta et sont couverts par le mécanisme prévu dans les conditions de Meta. Si votre organisation a une politique en matière de transferts, c’est ici qu’elle trouve à s’appliquer.
• L’endroit où le prestataire héberge les données est une question distincte de celle de l’endroit où Meta les héberge, et c’est celle sur laquelle vous avez réellement le choix.

Traiter les demandes des personnes concernées

L’historique des conversations est une donnée à caractère personnel : les droits habituels s’y appliquent, et WhatsApp y ajoute une subtilité pratique — une conversation concerne deux personnes. Quand vous exportez ou effacez, décidez en connaissance de cause du sort des messages rédigés par vos propres agents.

• Droit d’accès. Une personne peut demander la conversation. Pouvoir exporter l’historique d’un seul contact sans exporter celui de tout le monde est une exigence, pas un luxe.
• Droit à l’effacement. Supprimer le contact doit supprimer la conversation, et vous devez conserver de quoi maintenir son exclusion. Notez aussi que la copie sur le téléphone de la personne lui appartient, pas à vous, et que vous ne pouvez pas l’effacer.
• Droit d’opposition. L’opposition à la prospection est absolue — il n’y a pas de mise en balance des intérêts. Elle doit prendre effet avant la campagne suivante, pas à la prochaine mise à jour de la liste.
• Le droit à la portabilité s’applique lorsque le traitement reposait sur le consentement, ce qui est le cas pour une conversation marketing.

Combien de temps conserver les conversations

Le RGPD ne fixe aucun chiffre. L’obligation est de déterminer une durée que vous pouvez justifier, puis de l’appliquer réellement — une boîte de réception qui n’a jamais rien supprimé échoue sur ce second point, quoi que dise la politique.

En pratique : les conversations de support sont généralement conservées tant qu’un litige sur la transaction sous-jacente peut survenir, ce que fixe le délai de prescription de votre pays. Les conversations marketing justifient rarement plus d’un an ou deux. Les preuves de consentement survivent aux deux, parce qu’elles démontrent que vous aviez le droit d’envoyer quoi que ce soit.

La check-list

1. Une formulation d’opt-in qui nomme WhatsApp et votre entreprise, décochée par défaut.
2. Une preuve de consentement par contact : quand, où, quelle formulation, quels canaux.
3. Un mécanisme d’arrêt dans le message, et un agent qui sait quoi faire quand quelqu’un écrit « stop ».
4. Une seule liste d’exclusion, vérifiée par chaque campagne, imports compris.
5. Meta et votre prestataire mentionnés dans votre registre des activités de traitement et votre politique de confidentialité.
6. Un accord de traitement des données signé avec le prestataire.
7. Une durée de conservation écrite noir sur blanc, et appliquée par autre chose que de bonnes intentions.
8. Un moyen d’exporter et d’effacer la conversation d’un seul contact.