Marketing SMS et WhatsApp conforme au RGPD pour les services financiers : ce qui est autorisé et ce qui ne l'est pas

Les établissements de services financiers occupent une position particulière sous le RGPD. Les données qu’ils traitent — historiques de transactions, informations de crédit, portefeuilles d’investissement, données d’assurance liées à la santé — sont qualifiées de sensibles ou hautement personnelles par les régulateurs européens. L’ICO, la CNIL, la BaFin et les autorités nationales de contrôle équivalentes appliquent un contrôle plus rigoureux aux communications marketing des services financiers que dans la plupart des autres secteurs.

Cela ne signifie pas que le marketing par SMS et WhatsApp est interdit. Cela signifie que le cadre de conformité doit être correctement construit dès le départ — le consentement doit être spécifique, les dossiers doivent être maintenus, et la distinction entre communications de service et marketing doit être respectée de manière cohérente.

La distinction critique : service vs. marketing

Le concept de conformité le plus important pour la messagerie des services financiers est la distinction entre communications de service et communications marketing. Celles-ci ont des bases légales différentes, des exigences de consentement différentes et des obligations différentes.

Les communications de service sont des messages dont le client a besoin pour gérer sa relation avec vous :

• Confirmations de transaction
• Alertes fraude et notifications de sécurité
• Mises à jour du statut de paiement
• Rappels de renouvellement de contrat (factuels, non promotionnels)
• Avis de disponibilité de relevé
• Divulgations réglementaires

Les communications de service peuvent généralement être envoyées sous la base légale des intérêts légitimes (Article 6(1)(f) RGPD) ou de l’exécution du contrat (Article 6(1)(b)), à condition qu’elles soient genuinement nécessaires à la relation de service et que le client puisse raisonnablement les anticiper. Le consentement marketing explicite n’est pas requis pour les communications de service pures.

Les communications marketing sont des messages conçus pour promouvoir des produits ou des services :

• Offres de vente croisée (« Vous pourriez également être intéressé par notre assurance contenu »)
• Campagnes promotionnelles (« Ce mois seulement — prime réduite pour la nouvelle assurance auto »)
• Lancements de produits (« Découvrez notre nouveau PEA »)
• Invitations à l’upsell (« Passez à Premium pour une couverture supplémentaire »)

Les communications marketing nécessitent un consentement opt-in explicite et granulaire (Article 6(1)(a) RGPD). Le consentement doit nommer le canal spécifique (SMS, WhatsApp), le type de messages et les catégories de produits couvertes.

Standards de consentement pour les services financiers

Les exigences RGPD de base s’appliquent à tous les secteurs : librement donné, spécifique, éclairé, non ambigu. Dans les services financiers, deux standards supplémentaires relèvent le niveau d’exigence.

Granularité : le consentement groupé (« J’accepte de recevoir des communications marketing de [Nom de la banque] ») est insuffisant. Le consentement doit spécifier le canal (SMS, WhatsApp, e-mail), le type de message (offres de produits, campagnes promotionnelles, commentaires de marché), et le cas échéant la catégorie de produit (produits d’assurance, produits d’investissement, prêts).

Séparation des conditions de service : le consentement au marketing ne peut pas être noyé dans les conditions générales d’un compte courant, d’une police d’assurance ou d’un contrat d’investissement. Il doit être présenté séparément, avec la possibilité de refuser le marketing sans affecter la relation de service.

Documentation : le dossier de consentement doit capturer : le libellé exact de la demande de consentement, la date et l’heure du consentement, le canal via lequel le consentement a été donné, et la version du formulaire de consentement. Ce dossier doit être récupérable si un client ou un régulateur conteste la base d’une communication.

Obligations spécifiques à WhatsApp

L’API WhatsApp Business ajoute une couche d’exigences de plateforme par-dessus le RGPD :

Pré-approbation des modèles : tous les messages sortants vers les clients doivent utiliser des modèles de messages pré-approuvés (pour le premier message dans une conversation ou pour les messages envoyés en dehors d’une fenêtre de conversation active de 24 heures). Les modèles sont examinés par Meta et ne doivent pas être de nature promotionnelle sauf si le client a initié la conversation.

Fenêtre de 24 heures : une fois qu’un client envoie un message au WhatsApp professionnel, une fenêtre de 24 heures s’ouvre pendant laquelle l’entreprise peut envoyer des messages en format libre. En dehors de cette fenêtre, seuls les modèles approuvés peuvent être utilisés. Pour les services financiers, cela signifie que les campagnes marketing planifiées doivent utiliser des modèles, tandis que les réponses de service peuvent être plus conversationnelles.

Mécanismes de désinscription : si un client envoie « STOP » ou une expression équivalente, l’entreprise ne doit plus envoyer de messages marketing via ce canal. La désinscription doit être reflétée immédiatement et durablement dans le CRM.

Archivage pour les demandes réglementaires

Les établissements de services financiers doivent être capables de démontrer leur conformité sur demande d’une autorité de contrôle. Cela implique de maintenir :

• Des dossiers de consentement complets par client et par canal
• Des journaux de messages complets (envoyés, reçus, statut de livraison, horodatages)
• Des dossiers de désinscription avec horodatages
• Des preuves de traitement des réclamations liées aux messages non sollicités

Un CRM qui journalise automatiquement toutes les interactions WhatsApp et SMS, maintient les dossiers de consentement par client, et génère des rapports de conformité à la demande n’est pas un luxe — c’est l’infrastructure pratique requise pour opérer ce canal à grande échelle sans exposition réglementaire.

Pour le cadre complet de mise en œuvre WhatsApp pour la banque, voir WhatsApp pour les clients bancaires : conformité, taux d’ouverture et résultats concrets. Pour la manière de structurer la collecte de consentement à l’intégration et au renouvellement, voir Automatisation de la vente croisée en assurance : du renouvellement de contrat à l’upsell en un seul workflow.