Déclarer un traitement WhatsApp à la réglementation applicable : tutoriel pratique

Toute entreprise marocaine qui traite des donnees personnelles doit respecter la loi 09-08 et se conformer aux exigences de la conformité réglementaire (Commission Nationale de controle de la Protection des Donnees a caractere Personnel). Utiliser WhatsApp Business pour envoyer des OTP, des notifications ou des messages marketing entre pleinement dans ce cadre. Ce tutoriel detaille, etape par etape, comment declarer un traitement WhatsApp a la réglementation applicable.

Pourquoi declarer un traitement WhatsApp

Envoyer un message a un client implique de traiter au minimum son numero de telephone, souvent son nom, parfois d'autres donnees (historique de commande, statut, langue). La loi 09-08 impose une declaration prealable a la réglementation applicable pour la majorite de ces traitements, y compris quand ils passent par une plateforme etrangere comme Meta.

Consequences en cas de non-declaration

• Sanctions administratives et financieres prevues par la loi 09-08.
• Reputation degradee, en particulier en cas de plainte client.
• Risque juridique amplifie en cas de fuite de donnees.

Etape 1 : identifier le type de traitement

La conformité réglementaire distingue plusieurs categories : declaration normale, declaration prealable, autorisation prealable. Pour un usage WhatsApp classique (envoi d'OTP, notifications transactionnelles, marketing avec opt-in), la declaration normale est generalement suffisante. Si vous traitez des donnees sensibles (sante, biometrie, opinions politiques), il faudra une autorisation prealable.

Etape 2 : preparer les informations obligatoires

Avant de remplir le formulaire, rassemblez :

• Identite du responsable de traitement : raison sociale, RC, adresse, representant legal.
• Finalites du traitement : par exemple envoi de codes OTP pour authentification client.
• Categories de donnees traitees : numero de telephone, nom, prenom, langue, statut client.
• Destinataires : Meta (en tant que sous-traitant), votre BSP, vos equipes internes.
• Duree de conservation : par exemple 12 mois apres la derniere interaction.
• Mesures de securite : chiffrement des acces, gestion des habilitations, journalisation.
• Transferts hors Maroc : oui, Meta hebergeant des donnees hors du Maroc, cette mention est indispensable.

Etape 3 : deposer la declaration via le portail conformité réglementaire

La conformité réglementaire met a disposition un teleservice qui permet de creer un compte responsable de traitement, remplir un formulaire par traitement declare et joindre les pieces justificatives (statuts, mandats). Le depot est generalement gratuit pour une declaration normale.

Bonnes pratiques de redaction

• Utilisez un vocabulaire precis, evitez les formulations vagues.
• Decrivez le flux end-to-end : collecte, stockage, envoi WhatsApp, purge.
• Mentionnez explicitement l'usage d'un BSP et sa qualite de sous-traitant.

Etape 4 : gerer les droits des personnes

La declaration a la réglementation applicable ne suffit pas : votre entreprise doit permettre a tout client d'exercer ses droits d'acces, de rectification, d'opposition et de suppression. Concretement :

• Publier une politique de confidentialite claire sur votre site.
• Prevoir un canal de contact simple (email dedie, formulaire).
• Repondre dans les delais legaux prevus par la loi 09-08.

Etape 5 : anticiper les evolutions

La conformité réglementaire renforce regulierement ses controles et publie des recommandations sectorielles (banques, sante, telecoms). Un traitement declare doit etre mis a jour a chaque changement significatif : nouveau type de message, nouveau BSP, nouvelle finalite. Ne pas mettre a jour equivaut a une declaration invalide.

Cas particulier des OTP transactionnels

L'envoi d'OTP repose sur un interet legitime evident (securite du compte client). L'opt-in explicite n'est pas requis, mais la transparence si : l'utilisateur doit savoir que vous allez lui envoyer un code, comprendre pourquoi et disposer d'un canal alternatif (SMS Failback par exemple) s'il rencontre un probleme.

Cas particulier du marketing WhatsApp

Pour tout message promotionnel, l'opt-in explicite est indispensable. Il doit etre libre, specifique, informe et sans ambiguite. Un opt-in obtenu via une case pre-cochee n'a aucune valeur juridique.

Conclusion

Declarer un traitement WhatsApp a la réglementation applicable n'est pas une formalite optionnelle : c'est une brique fondamentale de la conformite d'un projet de communication client au Maroc. Un dossier bien prepare se remplit en quelques heures et securise durablement votre activite face aux risques legaux, reputationnels et operationnels.