Envoyer un message WhatsApp à un prospect sans son consentement peut coûter cher, mais pas de la façon dont la plupart des commerciaux l'imaginent. Il n'existe à ce jour aucune doctrine CNIL publiée spécifiquement dédiée à WhatsApp comme canal de prospection. La CNIL couvre nommément l'email, le SMS-MMS, les automates d'appel et le téléphone dans ses fiches pratiques, mais jamais WhatsApp en tant que tel. Résultat : les équipes commerciales appliquent des règles par déduction, souvent mal, et s'exposent à un risque qu'elles ne mesurent pas.
Ce vide n'est pas une zone de non-droit. Le raisonnement juridique applicable à WhatsApp découle par analogie du régime des communications électroniques, le même corpus qui encadre l'email et le SMS depuis le Code des postes et des communications électroniques. Cet article détaille les textes qui s'appliquent, ce qui est autorisé en B2B comme en B2C, les pratiques qui vous exposent à une sanction, et les étapes concrètes pour sécuriser votre prospection WhatsApp en 2026.
Ce qu'il faut retenir
- Il n'existe aucune position CNIL dédiée à WhatsApp : le régime applicable est calqué par analogie sur celui de l'email et du SMS (CPCE, art. L34-5).
- En B2C, le consentement préalable (opt-in) est obligatoire avant tout message de prospection sur WhatsApp.
- En B2B, l'intérêt légitime (RGPD art. 6.1.f) permet de démarcher sans opt-in préalable, à condition de proposer un opt-out clair et de rester en rapport avec la profession du contact.
- Aucune sanction CNIL rendue publique ne vise directement WhatsApp comme canal, mais des sanctions récentes en prospection téléphonique (FORIOU, 310 000 €, 2024) et en sollicitation commerciale (SOLOCAL, 900 000 €, 2025) montrent le niveau de risque réel du secteur.
Quels textes encadrent la prospection WhatsApp ?
Aucun texte ne mentionne WhatsApp nommément : la prospection sur ce canal est régie par analogie avec le régime des communications électroniques du RGPD et du Code des postes et des communications électroniques (CPCE). C'est le point que la plupart des guides concurrents omettent, en laissant croire à tort qu'une doctrine CNIL spécifique existerait pour WhatsApp.
Nous avons vérifié par recherche croisée sur cnil.fr : la CNIL ne publie aucune fiche, décision ou recommandation qui cite WhatsApp comme canal de prospection. Les seuls canaux nommément traités dans ses fiches prospection sont l'email, le SMS-MMS, les automates d'appel, le téléphone et le courrier postal. WhatsApp appartient à la même famille juridique que l'email et le SMS : celle des communications électroniques. C'est ce raisonnement par analogie, et non une règle dédiée, qui détermine ce qui est permis.
Le RGPD : les deux bases légales qui comptent
Deux articles du RGPD structurent tout le sujet. L'article 6.1.a définit le consentement comme "toute manifestation de volonté libre, spécifique et informée" : c'est la base obligatoire en B2C. L'article 6.1.f autorise le traitement fondé sur l'intérêt légitime du responsable de traitement, sauf si les droits de la personne concernée prévalent.
La CNIL cite explicitement "les opérations de prospection commerciale auprès de clients d'une société" comme cas d'usage type de l'intérêt légitime (CNIL, L'intérêt légitime). C'est cette base qui ouvre la porte à la prospection B2B sans consentement préalable, sous conditions.
Le CPCE : la règle qui s'applique par analogie à WhatsApp
L'article L34-5 du Code des postes et des communications électroniques interdit "la prospection directe au moyen d'un automate d'appel, d'un télécopieur ou d'un courrier électronique" utilisant les coordonnées d'une personne physique sans consentement préalable. Le texte définit la prospection directe comme "l'envoi de tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l'image d'une personne vendant des biens ou fournissant des services" (Légifrance, article L34-5).
Un message WhatsApp commercial correspond en tout point à cette définition. Le texte prévoit aussi une exception pour les clients existants : vous pouvez leur adresser des offres sur des produits ou services analogues à ceux déjà souscrits, à condition de proposer un moyen simple et gratuit de s'y opposer à chaque message.
Point d'actualité : dans sa décision n° 2026-1210 QPC du 25 juin 2026, le Conseil constitutionnel a jugé une partie de l'article L34-5 contraire au principe de nécessité des peines, au motif qu'il permettait de sanctionner deux fois les mêmes faits par des voies différentes. L'abrogation est reportée au 31 octobre 2027, et la portée de la décision reste limitée : elle interdit les poursuites cumulées pour des faits identiques déjà sanctionnés, mais ne remet pas en cause l'obligation de fond (consentement, opt-out) qui reste pleinement applicable.
Les WhatsApp Business Terms de Meta : une couche de risque distincte du RGPD
Peu d'articles sur le sujet lisent réellement les conditions d'utilisation de Meta pour WhatsApp Business. La section 3 des WhatsApp Business Terms limite l'usage au cadre strictement professionnel, commercial ou autorisé, sans usage personnel. La section 4 impose à l'entreprise de "sécuriser tous les droits, consentements et autorisations nécessaires (par exemple opt-in) pour partager les données de contact et autres données personnelles de ses clients", et d'honorer toute demande d'opt-out.
La section 6 interdit explicitement l'envoi de spam ou de communications électroniques non sollicitées. La sanction n'est pas une amende RGPD : c'est la limitation du débit d'envoi (throttling), la suspension, voire la résiliation pure et simple du compte Business. Cette couche de risque contractuel existe indépendamment de toute action de la CNIL, et elle est souvent plus rapide à se matérialiser.
Que pouvez-vous faire légalement sur WhatsApp ?
La prospection WhatsApp est parfaitement légale, à condition d'articuler correctement B2B et B2C. En B2B, l'intérêt légitime permet de démarcher un professionnel sans consentement préalable, dès lors que l'objet du message reste en rapport avec sa profession et qu'un opt-out simple est proposé (CNIL, fiche prospection commerciale, 2026).
La prospection B2B : l'intérêt légitime comme fondement
Contacter le dirigeant d'une entreprise sur son numéro professionnel pour lui proposer un produit ou service en rapport avec son activité relève de l'intérêt légitime. La CNIL le confirme dans sa fiche pratique dédiée à la prospection par email, SMS-MMS et automate d'appel : en B2B, la sollicitation "en rapport avec la profession de la personne démarchée" peut se faire en opt-out, sans consentement préalable requis.
Ce raisonnement s'applique par analogie à WhatsApp puisqu'aucune règle dédiée ne vient le contredire. Concrètement : vous pouvez initier une conversation WhatsApp avec un prospect B2B identifié via son poste et son secteur, sans avoir recueilli son consentement au préalable, à condition de respecter les conditions ci-dessous.
Les conditions à respecter systématiquement
- Le message reste en rapport avec la profession du destinataire (pas de sollicitation hors sujet ou personnelle)
- Un moyen simple et gratuit de refuser (opt-out) est proposé à chaque échange
- L'identité de l'expéditeur et de son entreprise est clairement indiquée dès le premier message
- Les données du prospect ont été collectées de façon loyale et documentée
La prospection B2C : le consentement préalable obligatoire
Face à un particulier, la logique s'inverse entièrement. L'opt-in strict s'impose avant tout message de prospection, conformément à l'article 6.1.a du RGPD et à la doctrine constante de la CNIL sur la prospection électronique. Sans manifestation de volonté "libre, spécifique et informée" du consommateur, tout message WhatsApp à visée commerciale est en infraction.
Aucun concurrent n'articule clairement cette distinction B2B/B2C appliquée spécifiquement à WhatsApp. Beaucoup d'équipes commerciales appliquent la même logique aux deux cibles, souvent en s'inspirant à tort du régime B2C plus restrictif ou, à l'inverse, en généralisant l'opt-out B2B à des particuliers. Cette confusion est la source la plus fréquente de non-conformité que nous observons sur le terrain.
Quelles pratiques sont interdites en prospection WhatsApp ?
Trois pratiques exposent systématiquement une entreprise à un risque juridique et contractuel sur WhatsApp : l'achat de listes sans consentement documenté, l'ignorance des demandes d'opt-out, et l'usage de données personnelles hors du périmètre annoncé au prospect. Ces trois erreurs cumulent le risque RGPD et le risque de suspension du compte WhatsApp Business.
Démarcher des particuliers sans consentement
Envoyer un message commercial WhatsApp à un consommateur qui n'a jamais donné son accord viole à la fois l'article 6.1.a du RGPD et l'article L34-5 du CPCE. C'est l'infraction la plus directe et la plus facilement caractérisable, puisqu'elle ne nécessite aucune analyse de contexte : l'absence de consentement documenté suffit à l'établir.
Ignorer une demande d'opt-out
Continuer à contacter un prospect après une demande explicite d'arrêt viole à la fois le CPCE (obligation d'opt-out gratuit et simple) et la section 4 des WhatsApp Business Terms de Meta, qui impose d'honorer ces demandes. Cette pratique cumule donc deux risques distincts : une sanction RGPD potentielle et une dégradation immédiate de la qualité du compte Business aux yeux de Meta.
Acheter des listes de contacts sans base légale vérifiable
La CNIL a sanctionné FORIOU à hauteur de 310 000 € en janvier 2024 pour prospection téléphonique menée avec des données achetées sans consentement valable (délibération CNIL SAN-2024-003, 31 janvier 2024). Cette sanction concerne le téléphone, pas WhatsApp, mais le principe transposé est identique : une liste achetée sans traçabilité du consentement d'origine constitue une absence de base légale, quel que soit le canal utilisé ensuite pour contacter les personnes.
Transmettre des données à des tiers sans base légale
En mai 2025, la CNIL a sanctionné SOLOCAL Marketing Services à hauteur de 900 000 € pour sollicitation de prospects sans consentement valable et transmission de leurs données à des partenaires sans base légale (CNIL, sanction SOLOCAL, mai 2025). Si votre outil de prospection WhatsApp partage des numéros ou des historiques de conversation avec un tiers (agence, partenaire, revendeur de leads), cette transmission doit elle-même reposer sur une base légale distincte et documentée.
Ce que dit le barème RGPD sur la gravité des manquements
Le RGPD lui-même (article 83) distingue deux niveaux de sanction. Les manquements les plus graves, comme l'absence de base légale ou la violation des règles de consentement, sont sanctionnables jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel. Les manquements de niveau 1, portant sur la documentation ou les droits des personnes, sont plafonnés à 10 millions d'euros ou 2 % du chiffre d'affaires mondial.
Précision importante : aucune sanction CNIL rendue publique à ce jour ne vise directement la prospection par WhatsApp comme canal. Le bilan CNIL 2024 recense 87 sanctions pour 55,2 millions d'euros cumulés tous secteurs confondus (CNIL, bilan 2024), et le bilan 2025 fait état de 83 sanctions pour 486 millions d'euros cumulés, dont 10 décisions liées à la prospection commerciale ou politique, sans détail public sur les entreprises concernées (CNIL, bilan sanctions 2025). Ces chiffres donnent le contexte du niveau de risque sectoriel, pas une preuve d'exposition spécifique à WhatsApp.
Comment se mettre en conformité ?
Se mettre en conformité sur WhatsApp demande quatre actions concrètes : documenter la base légale de chaque contact, constituer des listes traçables, intégrer un opt-out fonctionnel dans le workflow, et former les équipes à la distinction B2B/B2C. Ces quatre chantiers couvrent l'essentiel du risque identifié dans les sections précédentes.
Documenter la base légale avant le premier message
Dans les audits de conformité que nous avons menés avec des équipes commerciales, l'erreur la plus fréquente n'est pas l'absence de base légale, c'est l'absence de trace écrite de cette base légale. Une entreprise peut agir en toute légalité sur le fondement de l'intérêt légitime B2B, et se retrouver incapable de le prouver en cas de contrôle faute d'avoir consigné la source du contact, la date de collecte et le rapport avec la profession démarchée.
Constituer un registre simple, même sous forme de tableur, avec la source de chaque contact et la base légale associée, suffit à couvrir l'essentiel du risque documentaire pointé par l'article 83 du RGPD.
Constituer des listes conformes dès la collecte
La qualité de votre conformité RGPD sur WhatsApp se joue avant tout à l'étape de constitution de la liste de prospects. Un contact mal collecté (scraping non déclaré, achat sans traçabilité, extraction hors périmètre annoncé) contamine toute la séquence de prospection qui suit, quelle que soit la qualité du message envoyé ensuite. Nous avons détaillé la méthode complète, avec checklist opérationnelle, dans comment constituer une liste conforme.
Intégrer l'opt-out dans le workflow, pas en réaction
L'opt-out ne doit pas dépendre de la vigilance manuelle d'un commercial. Un mot-clé de désabonnement ("STOP", "désinscription") doit être détecté et traité automatiquement, avec blocage immédiat du numéro dans tous les scénarios de relance en cours. C'est la condition posée à la fois par le CPCE et par la section 4 des WhatsApp Business Terms de Meta.
Former les équipes à la distinction B2B/B2C
La confusion entre les deux régimes reste, dans notre expérience, la source la plus fréquente de non-conformité. Une session de formation courte, centrée sur les deux tableaux de conditions présentés plus haut dans cet article, suffit généralement à éliminer l'essentiel des erreurs de terrain.
Auditer régulièrement le processus de collecte
Un audit trimestriel du fichier de prospects, portant sur la traçabilité de la source et de la base légale, permet de détecter une dérive avant qu'elle ne devienne un volume de contacts non conformes trop important à corriger. C'est une pratique peu coûteuse en temps, rarement mise en place spontanément par les équipes commerciales.
FAQ
Peut-on prospecter sur WhatsApp sans consentement en B2B ?
Oui, sous conditions. L'intérêt légitime (RGPD art. 6.1.f) permet de contacter un professionnel sans consentement préalable si le message reste en rapport avec sa profession et qu'un opt-out gratuit est proposé. C'est la même logique que la prospection email B2B en opt-out, appliquée par analogie à WhatsApp.
La CNIL a-t-elle une doctrine spécifique sur WhatsApp ?
Non. Aucune fiche, décision ou recommandation CNIL ne mentionne WhatsApp nommément comme canal de prospection. Le régime applicable découle par analogie du CPCE (art. L34-5), le même texte qui encadre l'email et le SMS. C'est une zone d'interprétation, pas un vide juridique.
Que risque-t-on en cas de non-conformité sur WhatsApp ?
Deux risques distincts et cumulables : une sanction RGPD (jusqu'à 20 millions d'euros ou 4 % du CA mondial pour les manquements les plus graves, article 83) et une sanction Meta sur le compte Business (throttling, suspension, résiliation), indépendante de toute procédure CNIL.
Faut-il un opt-out même en B2B ?
Oui, systématiquement. Le CPCE impose un moyen simple et gratuit de s'opposer à la prospection à chaque message, y compris en B2B où l'opt-in préalable n'est pas requis. Les WhatsApp Business Terms de Meta imposent la même obligation, indépendamment du RGPD.
Existe-t-il des sanctions CNIL déjà prononcées contre des entreprises pour leur prospection WhatsApp ?
Non, aucune sanction CNIL rendue publique ne vise à ce jour spécifiquement WhatsApp comme canal de prospection. Les sanctions récentes en prospection commerciale (FORIOU, SOLOCAL) concernent le téléphone et la transmission de données à des tiers, pas WhatsApp directement.
En résumé
La prospection WhatsApp n'est ni interdite ni encadrée par un texte dédié : elle suit, par analogie, le régime des communications électroniques du RGPD et du CPCE. En B2B, l'intérêt légitime ouvre la voie à une prospection en opt-out. En B2C, l'opt-in préalable reste obligatoire. Dans les deux cas, la traçabilité de la base légale et un opt-out fonctionnel sont vos meilleures protections, aussi bien face à la CNIL que face aux conditions contractuelles de Meta.
Des outils comme WhatsUp Prospect intègrent la gestion automatique des opt-out et la traçabilité des séquences pour limiter ce risque en équipe commerciale. Voir les tarifs WhatsUp Prospect pour évaluer l'option adaptée à votre volume de prospection.
Cet article a une vocation informative et ne constitue pas un conseil juridique personnalisé. Pour une situation spécifique, consultez un avocat spécialisé en protection des données.
À propos de l'auteur
Jules Belamy est le fondateur de WhatsUp Prospect. Il a généré plus de 45 millions d'euros de revenus pour ses clients via des stratégies de prospection digitale, et accompagne des équipes commerciales B2B sur l'automatisation et la conformité de leurs séquences WhatsApp. LinkedIn
Commentaires