Nouvelles conditions WhatsApp données utilisateurs : ce que l'entreprise doit vérifier

Sommaire

Nouvelles conditions WhatsApp : ce qui a changé pour les entreprises

Quelles données des utilisateurs WhatsApp et Meta exploitent-ils ?

Fin des chatbots IA généralistes sur WhatsApp Business

L'entreprise reste responsable de traitement au sens du RGPD

WhatsApp avec les salariés : messagerie personnelle et preuve

Information, consentement et transferts hors Union européenne

Les vérifications à mener avant de poursuivre l'usage

FAQ

Pour aller plus loin

Nouvelles conditions WhatsApp : ce qui a changé pour les entreprises

Les nouvelles conditions WhatsApp modifient à la fois les usages autorisés de la plateforme et la manière dont sont traitées les données utilisateurs des personnes qui échangent avec une entreprise. Pour une DSI, chaque mise à jour des conditions d'utilisation ou de la politique de confidentialité impose de relire le cadre de l'outil, car l'entreprise reste tenue de ses propres obligations.

Dans l'entreprise, WhatsApp est utilisé sous plusieurs formes : l'application grand public, l'application WhatsApp Business destinée aux petites structures, et la solution WhatsApp Business (API), intégrée aux outils de relation client par l'intermédiaire d'un prestataire technique. Les conditions applicables, et donc les risques, diffèrent selon la forme retenue.

Le changement le plus récent concerne l'intelligence artificielle. Depuis le 15 janvier 2026, Meta n'autorise plus les chatbots d'IA généralistes de fournisseurs tiers sur la solution WhatsApp Business (API). En revanche, un assistant IA dédié au service client d'une entreprise reste permis.

Quelles données des utilisateurs WhatsApp et Meta exploitent-ils ?

WhatsApp et Meta traitent deux familles de données : le contenu des échanges et les données qui entourent ces échanges, appelées métadonnées. Les métadonnées désignent les informations techniques associées à un message, comme le numéro de téléphone, la date, l'heure ou l'identité des interlocuteurs, sans en révéler le contenu.

Le périmètre exact de ces traitements est fixé par la politique de confidentialité en vigueur, qui évolue avec chaque mise à jour. L'entreprise ne peut donc pas s'appuyer sur une analyse réalisée lors du déploiement initial : elle doit la confronter à la version actuelle du texte.

Pour une DSI, la question utile porte sur les données que l'entreprise transmet elle-même en utilisant WhatsApp. La réponse dépend de l'intégration retenue :

• Application installée sur un téléphone : selon les autorisations accordées, l'application peut accéder au carnet d'adresses, donc à des numéros de contacts professionnels.
• Solution WhatsApp Business (API) : les messages transitent par l'infrastructure de Meta et, le cas échéant, par celle d'un prestataire technique, ce qui multiplie les intervenants à identifier.
• Assistant IA connecté : les questions des clients sont traitées par un modèle dont il faut connaître l'hébergeur et les conditions de réutilisation des données.

Cartographier les flux de données transmis à Meta suppose de croiser les conditions de WhatsApp avec les obligations de l'entreprise au titre du RGPD.
Consulter un avocat en protection des données

Fin des chatbots IA généralistes sur WhatsApp Business

Depuis le 15 janvier 2026, une entreprise ne peut plus proposer à ses clients, via la solution WhatsApp Business (API), un chatbot d'IA généraliste fourni par un tiers. Seuls les assistants IA consacrés au service client de l'entreprise restent autorisés.

La distinction repose sur la finalité de l'outil. Un assistant de service client répond à des questions liées à l'activité de l'entreprise : suivi de commande, prise de rendez-vous, informations sur un contrat. Un chatbot généraliste, à l'inverse, répond à toute question, sans lien avec la relation commerciale.

Pour la DSI, ce changement a des conséquences pratiques. D'une part, un projet qui intégrait un assistant conversationnel généraliste dans WhatsApp doit être revu ou réorienté vers un autre canal. D'autre part, un assistant maintenu doit être paramétré pour rester dans le périmètre du service client, faute de quoi son usage n'est plus conforme aux conditions de la plateforme.

Ce changement a aussi une portée RGPD. Le principe de minimisation impose de ne collecter que les données nécessaires à la finalité poursuivie. Un assistant cantonné au service client limite donc, par construction, le volume de données personnelles traitées.

L'entreprise reste responsable de traitement au sens du RGPD

L'entreprise qui utilise WhatsApp pour échanger avec ses clients ou ses salariés est responsable de traitement : c'est elle qui décide pourquoi et comment ces données sont utilisées. Le RGPD lui attribue cette qualité dès lors qu'elle détermine les finalités et les moyens du traitement, quel que soit l'outil choisi.

Le choix d'une messagerie éditée par un tiers ne transfère donc pas la responsabilité. Meta peut intervenir comme sous-traitant, c'est-à-dire comme prestataire qui traite les données pour le compte de l'entreprise, ou comme responsable de traitement pour ses propres finalités. Cette qualification dépend des conditions applicables à chaque service et doit être vérifiée dans la documentation contractuelle.

Ainsi, une entreprise de services qui traite les réclamations clients par WhatsApp doit documenter ce canal comme n'importe quel autre outil de relation client. Toutefois, elle n'a pas la main sur les conditions de Meta : elle les accepte en bloc et doit en évaluer seule les conséquences.

La qualification de responsable de traitement engage l'entreprise sur chaque canal de communication qu'elle choisit, y compris une messagerie éditée par un tiers.
Échanger avec un avocat en protection des données

WhatsApp avec les salariés : messagerie personnelle et preuve

L'usage de WhatsApp avec les salariés pose une difficulté propre : l'outil est souvent installé sur le téléphone personnel, ce qui mêle vie privée et activité professionnelle. Lorsqu'un manager crée un groupe d'équipe, l'entreprise traite les numéros personnels des salariés sans toujours l'avoir prévu ni documenté.

Plusieurs questions se posent alors. D'une part, imposer une messagerie installée sur un téléphone personnel soulève des questions de respect de la vie privée et de base légale du traitement. D'autre part, l'entreprise ne peut pas accéder librement aux échanges contenus dans un téléphone personnel, même lorsqu'ils portent sur le travail.

La question de la preuve est concrète. Un message WhatsApp peut être produit en justice, par exemple devant le conseil de prud'hommes, mais les juges examinent la manière dont il a été obtenu. Un échange produit par son destinataire n'a pas la même portée qu'un échange obtenu en accédant au téléphone d'un tiers.

De plus, la conservation des échanges échappe en partie à l'entreprise : un salarié qui quitte l'entreprise conserve l'historique de ses conversations, ce qui pose une question de confidentialité des informations échangées. Plusieurs outils permettent d'encadrer cet usage :

• une charte informatique qui précise les outils autorisés et leurs conditions d'usage ;
• des terminaux professionnels pour les échanges réguliers ;
• une règle d'archivage des informations utiles en dehors de la messagerie.

Information, consentement et transferts hors Union européenne

Toute personne qui échange avec l'entreprise par WhatsApp doit être informée de ce traitement, de sa finalité et des destinataires de ses données. Cette information figure en principe dans la politique de confidentialité de l'entreprise, qui doit mentionner WhatsApp et Meta lorsqu'ils interviennent.

Le consentement n'est pas la seule base légale possible. Un échange lié au suivi d'une commande peut reposer sur l'exécution du contrat. En revanche, l'envoi de messages de prospection commerciale à un particulier par messagerie suppose en principe son accord préalable.

Les transferts hors Union européenne constituent le troisième point de vigilance. Meta est un groupe américain, et les données traitées via WhatsApp peuvent être transférées hors de l'Union. Le RGPD n'autorise ces transferts que s'ils sont encadrés, par exemple par une décision d'adéquation de la Commission européenne ou par des clauses contractuelles types, c'est-à-dire des modèles de contrat adoptés par la Commission.

L'entreprise doit donc identifier l'instrument de transfert invoqué dans les conditions applicables et le mentionner dans l'information délivrée aux personnes.

L'information des personnes et l'encadrement des transferts hors Union européenne se vérifient à chaque mise à jour des conditions de la plateforme.
Être accompagné par un avocat en protection des données

Les vérifications à mener avant de poursuivre l'usage

Avant de poursuivre l'usage de WhatsApp après une mise à jour des conditions, l'entreprise doit vérifier 6 points, de l'inventaire des usages à la conservation des échanges. Ce contrôle associe la DSI, le délégué à la protection des données (DPO) et les services utilisateurs.

1. Inventaire des usages : recenser les services qui utilisent WhatsApp, la forme de l'outil et les catégories de personnes concernées.
2. Relecture des conditions : comparer la version en vigueur des conditions et de la politique de confidentialité avec celle analysée lors du déploiement.
3. Qualification des acteurs : déterminer le rôle de Meta et du prestataire technique.
4. Conformité des assistants IA : vérifier que tout assistant connecté reste limité au service client.
5. Mise à jour documentaire : registre des traitements, politique de confidentialité, charte informatique.
6. Transferts et conservation : identifier l'instrument de transfert et fixer une durée de conservation des échanges.

Lorsque l'un de ces points ne peut pas être satisfait, l'entreprise arbitre entre l'adaptation de son usage et le recours à un autre canal, dont elle maîtrise davantage les conditions. Ce choix repose sur une analyse de risque documentée, que le DPO peut formaliser.

FAQ

Les nouvelles conditions WhatsApp s'appliquent-elles aux entreprises ?

Oui, elles s'appliquent à toute entreprise qui utilise l'application ou la solution WhatsApp Business. L'entreprise accepte ces conditions sans pouvoir les négocier. Elle doit donc en mesurer les effets sur ses propres traitements de données.

Une entreprise peut-elle encore utiliser un chatbot sur WhatsApp ?

Oui, à condition qu'il s'agisse d'un assistant IA dédié à son service client. Depuis le 15 janvier 2026, les chatbots d'IA généralistes de fournisseurs tiers ne sont plus autorisés sur la solution WhatsApp Business (API).

Qui est responsable des données échangées sur WhatsApp ?

L'entreprise qui choisit WhatsApp pour échanger avec ses clients ou ses salariés est responsable de traitement au sens du RGPD. Meta peut intervenir comme sous-traitant ou pour ses propres finalités, selon le service utilisé.

Un message WhatsApp peut-il servir de preuve contre un salarié ?

Un message WhatsApp peut être produit en justice, mais sa valeur dépend des conditions dans lesquelles il a été obtenu. L'accès au téléphone personnel d'un salarié sans son accord pose une difficulté, car la preuve doit avoir été obtenue de manière loyale.

Faut-il informer les clients de l'usage de WhatsApp ?

Oui, la politique de confidentialité de l'entreprise doit mentionner ce canal, sa finalité et les destinataires des données, dont Meta. Cette information doit être actualisée après chaque mise à jour des conditions de la plateforme.

Pour aller plus loin

Transferts de données hors UE : le cadre général prévu par le RGPD - CNIL

Référentiel relatif aux traitements de données pour la gestion des activités commerciales - CNIL

Guide pratique : analyse d'impact des transferts de données - CNIL

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin, qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire, de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.