conformité réglementaire et WhatsApp Business : ce que dit la loi 09-08

Toute entreprise marocaine qui utilise WhatsApp Business API traite des données personnelles : numéros de téléphone, contenus de messages, identifiants clients. La loi 09-08 et l'autorité qui la fait respecter, la conformité réglementaire (Commission Nationale de contrôle de la Protection des Données à caractère Personnel), encadrent strictement ces usages. Ce guide détaille les obligations concrètes.

Ce que couvre la loi 09-08

Promulguée en 2009 et complétée depuis, la loi 09-08 protège les personnes physiques à l'égard du traitement de leurs données personnelles. Elle s'inspire largement de la directive européenne de 1995 et présente de fortes similitudes avec le RGPD, sans lui être identique. Elle impose :

• Une déclaration préalable à la réglementation applicable pour la plupart des traitements.
• Une base légale claire (consentement, contrat, obligation légale, intérêt légitime encadré).
• Une information transparente des personnes concernées.
• Des droits opposables : accès, rectification, opposition, effacement.
• Un encadrement du transfert international vers des pays non reconnus adéquats.

WhatsApp Business et données personnelles

L'usage de WhatsApp Business API implique typiquement le traitement de :

• Numéros de téléphone clients (donnée identifiante directe).
• Contenus de messages et pièces jointes.
• Métadonnées : dates d'envoi, statuts de lecture, localisation approximative selon les cas.
• Identifiants CRM associés (email, nom, ID client).

Tous ces éléments sont des données personnelles au sens de la loi 09-08 et déclenchent des obligations.

La déclaration conformité réglementaire : mode d'emploi

Quand déclarer ?

Toute mise en place d'un canal WhatsApp Business API structuré (marketing, transactionnel, support) doit faire l'objet d'une déclaration normale, sauf si un régime d'autorisation préalable s'applique (données sensibles : santé, biométrie, infractions).

Ce que contient la déclaration

• Identité du responsable de traitement.
• Finalités précises (OTP, marketing, support, notifications transactionnelles).
• Catégories de données et de personnes concernées.
• Destinataires (BSP, sous-traitants, Meta comme opérateur du service).
• Durée de conservation par catégorie.
• Mesures de sécurité en place.
• Transferts internationaux et garanties associées.

Le consentement WhatsApp : la règle absolue pour le marketing

Meta impose déjà un opt-in explicite avant tout message marketing. La conformité réglementaire renforce cette exigence : le consentement doit être libre, spécifique, éclairé et univoque, avec une trace horodatée récupérable en cas de contrôle. Concrètement :

• Case à cocher non pré-cochée au moment de la collecte.
• Formulation claire mentionnant WhatsApp comme canal.
• Possibilité simple de retirer son consentement (mot-clé STOP, lien de désinscription).
• Journal d'opt-in conservé au moins pendant la durée de la relation client.

Transfert transfrontière : le point sensible

Meta héberge les données WhatsApp Business API principalement en Europe (Irlande, Allemagne) et aux États-Unis. Ces transferts vers l'Union européenne sont généralement acceptés au titre de la reconnaissance d'un niveau adéquat de protection, mais tout transfert vers les États-Unis nécessite des garanties spécifiques dans le contrat avec le BSP : clauses contractuelles types, analyse d'impact, information des personnes concernées.

Obligations pratiques côté entreprise

1. Nommer un responsable de la conformité (parfois un responsable de la protection des données externe).
2. Tenir un registre des traitements incluant le canal WhatsApp.
3. Publier une politique de confidentialité mentionnant WhatsApp Business et les données traitées.
4. Vérifier que le contrat BSP comporte des clauses de sous-traitance conformes.
5. Prévoir une procédure d'exercice des droits (accès, effacement) actionnable en moins de 30 jours.
6. Documenter les mesures de sécurité : chiffrement, contrôle d'accès, logs.

Sanctions en cas de non-conformité

Les sanctions prévues par la loi 09-08 combinent amendes administratives et sanctions pénales pour les cas les plus graves. Au-delà du montant, le risque réputationnel d'un contrôle conformité réglementaire publiquement communiqué est majeur, particulièrement pour les secteurs régulés : banque, assurance, santé.

Conclusion

Utiliser WhatsApp Business API au Maroc est parfaitement compatible avec la loi 09-08, à condition d'intégrer la conformité dès la conception : déclaration conformité réglementaire, opt-in tracé, contrat BSP verrouillé et politique de confidentialité mise à jour. Ces exigences ne sont pas des freins mais des accélérateurs de confiance client, particulièrement dans les secteurs financiers et santé.