Un service de commande WhatsApp enfreint-il la KVKK ?
« Est-il licite de recevoir des commandes par WhatsApp ? », « Sommes-nous responsables au regard de la KVKK si le client nous contacte par WhatsApp ? », « Faut-il conserver les messages WhatsApp…
⏱️ Temps de lecture : 13 min · 📁 Catégorie : KVKK et conformité numérique
Un canal de commande WhatsApp enfreint-il la KVKK ? (Données personnelles, consentement explicite, journalisation et pratique 2026)
« Est-il licite de recevoir des commandes par WhatsApp ? », « Sommes-nous responsables au regard de la KVKK si le client nous contacte par WhatsApp ? »,
« Faut-il conserver les messages WhatsApp ? » Ces questions figurent parmi
les sujets de risque KVKK les plus fréquents pour les entreprises utilisant des canaux de commande WhatsApp.
Ce guide examine si un canal de commande WhatsApp enfreint la KVKK scénario par scénario et
sous l’angle de la justification lors d’un contrôle.
🔴 Cependant : Si des données personnelles sont traitées, conservées ou réutilisées via WhatsApp,
la KVKK s’applique pleinement.
Résumé: La question n’est pas simplement d’utiliser WhatsApp, mais ce que vous faites par ce canal. 2️⃣ Quelles données traite un canal de commande WhatsApp ?
La réception de commandes par WhatsApp implique généralement :
- Numéro de téléphone
- Prénom et nom
- Adresse de livraison ou de facturation
- Contenu de la commande : préférences de produits ou services
- Informations sur le paiement (indirectement)
- Historique des messages (contenu de la communication et information sur le temps)
Tous ces éléments constituent des données personnelles.
Un numéro de téléphone identifie directement une personne et constitue donc une donnée personnelle directe.
- Entreprise recevant la commande → Responsable du traitement
- Infrastructure WhatsApp → Prestataire technique ; décrit ici comme proche d’un sous-traitant dans la plupart des scénarios
❗ Point essentiel : Dire « WhatsApp ne nous appartient pas » ne supprime pas la responsabilité.
En tant que responsable du traitement, l’entreprise détermine les finalités et l’utilisation.
Exemple : Le client clique sur le bouton WhatsApp du site et écrit :
« Bonjour, je souhaite passer commande. »
Ce scénario est relativement plus sûr, car la personne a transmis volontairement ses données et le traitement de la commande peut
dans la plupart des cas relever de la conclusion ou de l’exécution d’un contrat.
⚠️ Limite : Les données peuvent être utilisées uniquement pour la commande. Cela n’autorise pas automatiquement leur usage marketing. 5️⃣ SCÉNARIO 2 — « Nous avons reçu une commande, puis envoyé un message promotionnel »
Exemple : Un client commande sur WhatsApp ; une semaine plus tard, l’entreprise lui envoie une offre ou un message promotionnel.
🔴 L’article présente ce scénario comme le plus fréquent à entraîner des sanctions :Le processus de commande est couvert par « contrat » ; le message de campagne est « marketing / message commercial ».
Conséquence : Sans consentement explicite distinct, le risque d’infraction est très élevé.
❌ « La personne nous a déjà donné son numéro »
❌ « Nous avions déjà échangé des messages »
Ces arguments ne constituent généralement pas une base défendable pour les communications marketing.
Exemples : Transférer les conversations vers un CRM ou Excel, ou les archiver sans limite.
Bien que la conservation soit techniquement possible, l’archivage sans gestion de la
finalité, durée de conservation et de la suppression ou destruction crée au regard de la KVKK
un risque élevé de non-conformité.
Définir la finalité et la durée ; à l’échéance, les données doivent être supprimées ou anonymisées. 7️⃣ SCÉNARIO 4 — « Nous utilisons l’API WhatsApp Business »
L’API WhatsApp Business peut fournir des modèles de messages, des flux automatisés, des intégrations CRM et une journalisation plus complète.
Cela rend l'opération professionnelle, mais augmente également la charge de conformité en augmentant le volume de traitement des données.
L’information des personnes, le consentement marketing distinct, les politiques de conservation et de destruction et la journalisation deviennent plus importants. 8️⃣ Quand le consentement explicite est-il nécessaire? ✅ Cas typiques où le consentement explicite n'est PAS requis :
- Recevoir et traiter la commande
- Partager les informations de livraison ou d’expédition
- Informer sur l’état de la commande
- Campagne / réduction / messages promotionnels
- Présenter de nouveaux produits ou services
- Marketing pour des ventes supplémentaires : vente croisée ou montée en gamme
- Ajout d'un numéro WhatsApp au CRM à des fins de marketing
Les deux peuvent utiliser le même canal, mais leurs bases juridiques et leurs registres doivent être distingués. 9️⃣ Journalisation et charge de la preuve : dossier essentiel du contrôle
La question habituelle du contrôle est : « Sur quelle base avez-vous envoyé du marketing à ce numéro ? »
Il est donc recommandé de prévoir pour ce canal un dispositif minimal de journalisation.
| Champ du journal | Pourquoi est-il nécessaire ? | Exemple |
|---|---|---|
| Heure de début de la commande | Preuve du début du traitement | 05.02.2026 14:12 |
| Finalité du traitement | Limitation des finalités | Commande et livraison |
| Type de communication | Commande ou marketing ? | Information sur la commande |
| Consentement marketing | Base du message de la campagne | Oui / Non + date |
| La règle de la durée de conservation | Gestion de la destruction | 30 jours / 6 mois, etc. |
| Trace de suppression / destruction | Preuve de conformité | Numéro du journal de destruction / date |
L’infrastructure WhatsApp peut utiliser des serveurs à l’étranger et des architectures multinationales de traitement.
Le traitement via WhatsApp peut donc créer un risque de transfert à l’étranger.
- Comprendre le flux des données et documenter les risques
- Indiquer clairement l’usage du canal WhatsApp et ses risques dans la notice d’information
- Gérer séparément le consentement explicite au marketing lorsqu’il est requis
- ✅ Notice d’information propre au canal
- ✅ Texte de consentement explicite et registres distincts pour le marketing
- ✅ Règles de conservation et de destruction pour les messages WhatsApp et les enregistrements de commandes
- ✅ Journalisation distinguant commandes et marketing, avec traces du consentement et des oppositions
- ❌ Envoyer des campagnes après une commande sans consentement distinct
- ❌ Conserver les conversations WhatsApp sans limite
- ❌ Omettre l’information ou dissimuler le canal WhatsApp
- ❌ Supposer qu’un contact client autorise tout usage
- ❌ Ajouter automatiquement le numéro aux listes marketing
- Si un client vous contacte, recevoir la commande aux fins du contrat et de la livraison.
- Utiliser les données uniquement pour la commande.
- Pour le marketing, recueillir un consentement distinct et le consigner.
- Ne pas conserver les messages sans limite ; fixer une durée puis les détruire.
- Être transparent : indiquer le canal WhatsApp et sa finalité dans l’information des personnes.
Les canaux de commande WhatsApp ne sont pas interdits.
Mais un usage sans contrôle, notamment la réutilisation des données de commande pour le marketing et leur conservation illimitée,
est présenté ici comme une pratique menant rapidement à des violations de la KVKK.
Demander la mise en conformité KVKK de votre canal de commande WhatsApp
Sources et documents associés
Ces documents servent de références pour les méthodes et règles abordées dans cet article.