Importer une liste de contacts WhatsApp sans vérifier son origine expose l'entreprise à une sanction pouvant atteindre 20 millions d'euros ou 4% du chiffre d'affaires mondial (art. 83§5 RGPD). Pourtant, l'étape de collecte est souvent traitée à la va-vite, entre achat de fichiers et scraping de profils publics. Cet article se concentre uniquement sur le moment de l'import : comment constituer une base WhatsApp légale, quelles sources retenir pour un import conforme RGPD, et comment documenter sa liste de prospects WhatsApp RGPD dès la collecte. Il ne couvre pas l'ensemble du traitement RGPD, mais l'étape précise où la plupart des entreprises prennent un risque sans le savoir.
Key Takeaways
- Intérêt légitime suffit en B2B si le contact peut s'opposer facilement (RGPD art. 6.1.f).
- Aucune doctrine CNIL ne nomme WhatsApp : le régime email/SMS s'applique par analogie.
- Meta exige un opt-in explicite avant contact, sous la responsabilité de l'annonceur.
- Un prospect non-client se conserve 3 ans max sans contact de sa part (CNIL).
Consentement WhatsApp : que faut-il vérifier au moment de la collecte ?
En B2C, tout contact WhatsApp exige un consentement préalable libre, spécifique, informé et univoque, avec une case jamais pré-cochée (CNIL, page prospection commerciale, màj 10/06/2026). En B2B, l'intérêt légitime suffit si l'offre correspond à la fonction du contact et qu'il peut s'y opposer facilement. Les adresses génériques comme info@societe.fr restent hors de cette tolérance.
Cas B2C : le consentement explicite, sans exception
Pour un particulier, la CNIL est stricte : le consentement doit être recueilli avant tout envoi, via une action positive claire, comme cocher une case non pré-cochée. Un simple formulaire de contact générique ne suffit pas si son objet ne mentionne pas explicitement la prospection WhatsApp. La personne doit aussi pouvoir se désinscrire à tout moment, sans justification, et cette possibilité doit rester visible dans chaque message.
Cas B2B : l'intérêt légitime, sous conditions
En contexte professionnel, l'article 6.1.f du RGPD autorise le démarchage sans consentement préalable si trois conditions sont réunies : l'offre concerne la fonction du destinataire, le contact dispose d'un moyen simple de s'opposer, et l'adresse ou le numéro n'est pas une ligne générique de l'entreprise. Un numéro personnel attribué nommément à un décideur reste éligible, un standard partagé ne l'est pas.
Meta impose sa propre règle, indépendante du RGPD : « vous ne pouvez contacter une personne sur WhatsApp que si elle vous a communiqué son numéro de mobile et si vous avez reçu son autorisation explicite de recevoir vos messages ou appels » (WhatsApp Business Policy). La politique précise ensuite que l'entreprise reste seule responsable de la méthode de recueil du consentement et de sa conformité aux lois applicables à ses communications, WhatsApp ne se substitue pas au RGPD.
La CNIL n'a publié aucune doctrine nommément dédiée à WhatsApp. Le régime des communications électroniques, pensé pour l'email et le SMS, est appliqué par analogie par les praticiens du droit. Ce n'est pas une position CNIL officielle spécifique à la messagerie, ce qui laisse une zone d'interprétation que peu d'entreprises anticipent avant d'importer leur liste.
Quelles sources de leads sont conformes RGPD, et lesquelles sont à risque ?
Les sources conformes reposent sur une action positive du contact, comme un formulaire opt-in ou un échange WhatsApp initié par le prospect, ou sur l'intérêt légitime B2B. Les sources à risque combinent scraping de profils publics, achat de fichiers et extraction automatisée sans traçabilité du consentement.
La CNIL a sanctionné cette dernière pratique en 2025 : Solocal Marketing Services a écopé de 900 000 € (15/05/2025) pour des formulaires trompeurs et l'achat de données à des courtiers, avec une astreinte de 10 000 € par jour après neuf mois. Caloga a été condamnée à 80 000 € la même date pour un bouton d'acceptation mis en avant face à un lien d'opposition à peine visible. Ces décisions ciblent l'email et le SMS, aucune ne vise nommément WhatsApp, mais les pratiques de collecte qu'elles sanctionnent exposent au même risque une liste WhatsApp achetée ou scrapée.
Sources conformes
- Formulaire de contact avec case de consentement dédiée à la prospection WhatsApp, non pré-cochée
- Prospect ayant initié le contact via un bouton click-to-WhatsApp ou un numéro affiché publiquement avec accord
- Base clients ou prospects existants recontactés dans le cadre de leur fonction, intérêt légitime B2B
- Échange de coordonnées lors d'un salon professionnel ou d'un rendez-vous, avec mention explicite du canal WhatsApp
Sources à risque
- Fichiers achetés à des courtiers de données sans traçabilité du consentement d'origine
- Scraping de numéros sur des profils publics (réseaux sociaux, annuaires)
- Extraction automatisée de numéros WhatsApp via des outils tiers non autorisés par Meta
- Listes importées d'un précédent outil sans vérifier la date du dernier contact réel
Quelle checklist suivre avant d'importer sa liste WhatsApp ?
Avant d'importer un contact, sept points doivent être vérifiés : origine traçable, ancienneté inférieure à trois ans depuis le dernier contact du prospect (CNIL, référentiel gestion des activités commerciales, p.7), fonction professionnelle alignée sur l'offre, absence d'adresse générique, et mention claire d'opposition. Cette checklist RGPD avant import réduit le risque dès la constitution de la liste.
| Point à vérifier | Pourquoi |
|---|---|
| Origine du contact tracée (opt-in ou intérêt légitime documenté) | Base légale exigible en cas de contrôle CNIL |
| Date du dernier contact émanant du prospect inférieure à 3 ans | Durée de conservation recommandée (CNIL, référentiel, p.7) |
| Fonction professionnelle en lien avec l'offre (B2B) | Condition de l'intérêt légitime (art. 6.1.f RGPD) |
| Numéro nominatif, pas de ligne générique | Les adresses génériques sont hors du champ de tolérance B2B |
| Opt-in WhatsApp explicite pour recevoir des messages | Exigence de la politique WhatsApp Business (Meta) |
| Mécanisme d'opposition visible et simple | Condition obligatoire de l'intérêt légitime |
| Preuve de consentement horodatée et archivée | Charge de la preuve en cas de demande CNIL |
Face à une amende potentielle de 20 millions d'euros ou 4% du chiffre d'affaires mondial (art. 83§5 RGPD), le coût d'un outil qui trace le consentement dès l'import reste largement inférieur à celui d'une liste non conforme. Des outils comme WhatsUp Prospect intègrent cette traçabilité, aux côtés d'autres solutions de prospection WhatsApp du marché : comparer les tarifs permet d'évaluer ce que coûte réellement la conformité face au risque.
Documenter sa conformité dès l'import
Documenter, c'est conserver la preuve de l'origine, la date et le texte exact du consentement pour chaque contact importé, avant même le premier message. En cas de demande d'un prospect (accès, effacement), l'entreprise dispose d'un mois pour répondre, extensible à trois mois si la demande est complexe (art. 12§3 RGPD), avec notification obligatoire dans le délai initial.
Cette documentation doit inclure trois éléments par contact : la source précise (formulaire, salon, base client), la date d'ajout à la liste, et la mention du canal de désinscription proposé. Un tableau ou un CRM suffit. L'essentiel est que l'information reste accessible et horodatée, pas reconstituée a posteriori en cas de contrôle.
Faut-il pour autant tout consigner manuellement ? Non, mais l'information doit exister quelque part et rester retrouvable en quelques minutes. La politique WhatsApp Business rappelle d'ailleurs que l'entreprise reste seule responsable de la méthode de recueil du consentement et de sa conformité aux lois applicables (WhatsApp Business Policy). Documenter l'import protège donc autant vis-à-vis de Meta, qui peut suspendre un compte, que vis-à-vis de la CNIL.
Le bilan CNIL 2025 recense dix décisions de sanction liées à la prospection commerciale ou politique (cnil.fr, bilan sanctions 2025, publié 09/02/2026). Aucune ne cible nommément WhatsApp, mais l'absence de documentation reste le point commun de la plupart des dossiers. Un import bien tracé réduit ce risque dès la constitution de la liste.
FAQ : constituer une liste de prospection WhatsApp conforme RGPD
Peut-on importer une liste de contacts achetée pour la prospection WhatsApp ?
C'est risqué sans traçabilité du consentement d'origine. La CNIL a sanctionné Solocal Marketing Services à hauteur de 900 000 € en 2025 pour l'achat de données à des courtiers combiné à un consentement non conforme (CNIL, 15/05/2025). Vérifier la source précise du fichier avant tout import reste indispensable.
Le consentement donné pour un email suffit-il à contacter un prospect sur WhatsApp ?
Non, la politique WhatsApp Business exige un opt-in spécifique confirmant que la personne souhaite recevoir des messages ou appels sur ce canal précis (WhatsApp Business Policy). Un consentement email généraliste ne couvre pas automatiquement WhatsApp, même si les deux canaux appartiennent à la même entreprise.
Combien de temps peut-on conserver un prospect WhatsApp non converti dans sa liste ?
Trois ans à compter du dernier contact émanant du prospect lui-même, selon le référentiel CNIL sur la gestion des activités commerciales (cnil.fr, p.7). Une simple ouverture de message ne compte pas comme un contact valable. Passé ce délai, le contact doit être supprimé ou faire l'objet d'une nouvelle collecte.
Que risque une entreprise en cas de liste WhatsApp non conforme au RGPD ?
Jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial, le montant le plus élevé s'appliquant (art. 83§5 RGPD). Le bilan CNIL 2025 recense dix décisions de sanction liées à la prospection commerciale, dont deux dépassant 80 000 € pour des pratiques de collecte comparables (cnil.fr, 09/02/2026).
La CNIL a-t-elle publié une doctrine spécifique pour WhatsApp ?
Non, aucune doctrine nommément dédiée à WhatsApp n'a été publiée à ce jour. Les praticiens appliquent par analogie le régime des communications électroniques prévu pour l'email et le SMS, une interprétation prudente plutôt qu'une position officielle de la CNIL sur cette messagerie précise.
Cet article a été rédigé par Jules Belamy, fondateur de WhatsUp Prospect, spécialiste de la prospection B2B et de l'automatisation commerciale. Il a accompagné la génération de plus de 45 millions d'euros de revenus pour ses clients via des stratégies de prospection digitale. Retrouvez-le sur LinkedIn.
Commentaires