WhatsApp API CNDP : Le Guide Indispensable sur la Conformité au Maroc (Loi 09-08)

Un numéro de téléphone mobile identifie une personne physique. Dès que votre entreprise l'enregistre pour lui écrire sur WhatsApp, vous mettez en œuvre un traitement de données à caractère personnel au sens de l'article premier de la loi n° 09-08 (Dahir n° 1-09-15 du 18 février 2009, B.O. n° 5714). Le canal ne change rien : ce que la loi encadre, c'est la base de contacts, les finalités pour lesquelles vous l'utilisez et les prestataires à qui vous la confiez.

Concrètement, une intégration WhatsApp Business API cumule au moins quatre opérations que la CNDP considère séparément :

• la collecte du numéro (formulaire, commande, prise de rendez-vous, publicité Click-to-WhatsApp) ;
• l'envoi de messages sortants, dont les campagnes marketing qui relèvent de la prospection directe (article 10) ;
• la réception et l'archivage des conversations entrantes (boîte de réception, chatbot, transcription vocale) ;
• la transmission des numéros et du contenu à des sous-traitants : votre plateforme d'envoi, puis Meta, dont le Cloud API héberge les messages hors du Maroc.

Chacune appelle une obligation précise. Ce guide les prend une par une, avec le numéro d'article et le formulaire CNDP correspondant, parce qu'un « conforme CNDP » écrit sur une page de vente ne vous protégera pas lors d'un contrôle. Il complète notre guide CNDP et ANRT pour le SMS et notre comparatif RGPD vs loi 09-08.

La loi distingue le responsable du traitement, qui décide des finalités et des moyens, et le sous-traitant, qui agit sur ses instructions (article 23). Sur WhatsApp Business API, la chaîne est toujours la même, et Meta le confirme dans ses WhatsApp Business Data Processing Terms : l'entreprise est Controller, WhatsApp est Processor.

Conséquence pratique : aucun prestataire ne peut « être conforme à votre place ». Le récépissé de déclaration est délivré à votre nom, la preuve d'opt-in vous appartient, et c'est votre raison sociale que l'article 64 vise en cas d'infraction. Un bon sous-traitant vous fournit les outils et le contrat ; il ne remplace pas votre déclaration.

L'article 12 soumet tout traitement à une déclaration préalable, ou à une autorisation préalable dans les cas sensibles. La CNDP délivre le récépissé de déclaration sous 24 heures (article 19) et peut, dans les 8 jours, requalifier le dossier en régime d'autorisation si le traitement présente des risques manifestes (article 20). Sans récépissé, vous êtes dans le champ de l'article 52.

Les formulaires en vigueur sont publiés sur la page Procédures de notification de la CNDP (nomenclature 2025) :

Deux décisions-cadres méritent d'être lues avant de remplir le F214. La délibération 32-2015 (gestion des clients) admet explicitement « la réalisation d'actions de prospection et de promotion envers les clients dans le respect de l'article 10 » et fixe la liste des données admises (identité, téléphone, historique d'achat, correspondances). La délibération D-940-2025 (newsletters, 28 novembre 2025) est le modèle le plus proche d'une liste de diffusion WhatsApp : consentement par case à cocher, désabonnement dans chaque message, conservation jusqu'au désabonnement, et un rappel qui tranche : « toute utilisation des données de l'abonné afin d'établir son profil personnel nécessite une autorisation préalable ». Un chatbot qui score vos leads n'est donc pas couvert par une simple déclaration.

Le formulaire F214 version 2025 précise que le récépissé « atteste de l'enregistrement » et « ne constitue pas une validation opérationnelle » : la CNDP peut contrôler sur pièces ou sur place et retirer le récépissé. Déclarer est le point de départ, pas un certificat.

Toute personne sollicitée pour ses données doit être informée « de manière expresse, précise et non équivoque », avant la collecte. L'article 5 liste les mentions, et l'article 19 y ajoute une exigence que presque personne n'applique sur WhatsApp : les caractéristiques du récépissé « doivent figurer dans toutes les opérations de collecte ou de transmission des données ».

Votre formulaire, votre page de commande ou votre premier message doit donc indiquer :

1. l'identité du responsable du traitement (votre raison sociale, pas celle du prestataire) ;
2. les finalités : notifications de commande, rappels de rendez-vous, offres commerciales, chacune nommée ;
3. les destinataires ou catégories de destinataires, y compris le transfert vers Meta à l'étranger (la délibération D-940-2025 exige de mentionner les transferts « dûment autorisés par la CNDP ») ;
4. le caractère obligatoire ou facultatif de la réponse ;
5. l'existence des droits d'accès, de rectification et d'opposition, avec un contact pour les exercer ;
6. le numéro du récépissé CNDP du traitement.

Cette dernière mention est le test le plus simple qu'un contrôleur puisse faire : si votre formulaire ne porte aucun numéro de récépissé, soit vous n'avez pas déclaré, soit vous n'informez pas. Dans les deux cas l'article 5 n'est pas respecté.

L'article 10 interdit « la prospection directe au moyen d'un automate d'appel, d'un télécopieur ou d'un courrier électronique ou d'un moyen employant une technologie de même nature » sans consentement préalable. WhatsApp entre dans cette dernière catégorie : le texte de 2009 ne le nomme pas, mais il a été rédigé pour couvrir les canaux à venir. Le consentement y est défini comme « toute manifestation de volonté libre, spécifique et informée » — une case pré-cochée, un numéro récupéré sur un site ou une liste achetée n'en sont pas.

L'article 10 prévoit une seule exception, calquée sur le droit européen : la prospection vers un client existant dont les coordonnées ont été recueillies directement lors d'une vente, pour des produits analogues, à condition d'offrir une opposition simple et gratuite à la collecte et dans chaque message. Cette exception est utile pour la relance d'un client e-commerce ; elle ne couvre ni un prospect qui a seulement demandé un devis, ni un contact importé d'un CRM tiers.

Le tableau ci-dessous croise les quatre catégories de messages Meta avec la base légale marocaine correspondante :

Deux pièges reviennent dans les contrôles. Un message classé utility par Meta mais qui glisse une offre commerciale est de la prospection au sens de l'article 10, quelle que soit sa catégorie de facturation. Et une conversation service ouverte par le client ne vaut pas opt-in marketing : répondre à une question n'autorise pas à ajouter le numéro à la liste de diffusion du mois suivant.

Un opt-in n'a de valeur que si vous pouvez le prouver, daté et rattaché à un numéro. Voici trois formulations qui satisfont l'article 10 et l'article 5 en une phrase, à adapter avec votre raison sociale et votre numéro de récépissé.

Formulaire web ou caisse (case non pré-cochée) :

☐ J'accepte de recevoir les offres et actualités de [Raison sociale] par WhatsApp au numéro indiqué. Mes données sont traitées pour cette finalité (récépissé CNDP n° …), transmises à notre prestataire d'envoi et à Meta (États-Unis) pour l'acheminement, et conservées jusqu'à ma désinscription. Je peux me désinscrire à tout moment en répondant STOP ou via privacy@…

Premier message WhatsApp après une commande (utility, sans opt-in marketing) :

Bonjour Sara, votre commande n° 4821 est confirmée. Vous recevrez le suivi de livraison sur ce numéro. Souhaitez-vous aussi recevoir nos offres ? Répondez OUI. Répondez STOP pour ne plus recevoir de messages. [Raison sociale] — récépissé CNDP n° …

Version darija (même structure) :

Salam Sara, la commande dyalek n° 4821 tconfirmat. Ghadi twsslek l-livraison f had raqm. Bghiti tosslek l-3oroud dyalna ? Jawbi OUI. Jawbi STOP bach ma yosslekch walo. [Raison sociale] — CNDP n° …

Ce qu'il faut enregistrer à chaque consentement, dans un registre que vous pouvez exporter :

• le numéro au format international et la date-heure précise ;
• la source : formulaire (URL), réponse OUI (identifiant du message WhatsApp), publicité Click-to-WhatsApp, import signé ;
• le texte exact présenté à la personne au moment du consentement ;
• la finalité consentie : marketing, notifications, OTP — une case par finalité ;
• le retrait éventuel, avec sa date et son canal.

Une capture d'écran de votre CRM ne suffit pas : elle prouve un état, pas un événement. C'est pourquoi EnvoiSMS.ma expose un registre des consentements par API (/v1/consents) qui horodate chaque accord et chaque retrait, y compris ceux reçus automatiquement par mot-clé sur WhatsApp, et le restitue par numéro lors d'une demande d'accès ou d'un contrôle.

L'article 9 donne à toute personne le droit de s'opposer « sans frais » à l'utilisation de ses données à des fins de prospection. L'article 10 précise l'exigence pour les canaux électroniques : chaque message de prospection doit indiquer « des coordonnées valables auxquelles le destinataire puisse utilement transmettre une demande » d'arrêt, et il est interdit de dissimuler l'identité de l'émetteur. Ignorer une opposition est sanctionné par l'article 59.

Sur WhatsApp, cela se traduit par quatre règles :

1. Chaque template marketing porte une mention de désinscription lisible (« Répondez STOP ») ou un bouton de réponse rapide dédié. Meta l'impose d'ailleurs pour la validation de certains templates marketing.
2. Le mot-clé est traité immédiatement et sans intervention humaine : STOP, ARRÊT, إلغاء, BAJA et leurs variantes doivent bloquer le numéro pour toutes les campagnes suivantes, sur WhatsApp comme sur SMS.
3. Un numéro opposé n'est jamais réimporté par une synchronisation CRM ou un fichier de campagne ; la liste d'exclusion prime sur toute liste d'envoi.
4. Le retrait est consigné avec sa date, parce qu'un STOP non tracé se rejoue au prochain import.

L'opposition n'efface pas le numéro : elle le place sur une liste d'exclusion que vous devez précisément conserver pour prouver que vous la respectez. Notre politique anti-spam et l'endpoint /v1/optouts décrivent la mécanique côté plateforme.

La loi ne donne pas de chiffre universel ; elle exige que la durée soit déclarée et respectée. L'article 55 punit la conservation « au-delà de la durée prévue par la législation en vigueur ou celle prévue dans la déclaration ». Les deux modèles-cadres donnent le repère : la délibération 32-2015 limite la conservation à « celle nécessaire à la gestion de la relation commerciale », avec archivage possible pour la preuve d'un contrat ou une obligation légale ; la délibération D-940-2025 conserve les abonnés « jusqu'à la demande de désabonnement ».

Une politique défendable pour WhatsApp Business API :

Écrivez ces durées dans votre déclaration, dans votre politique de confidentialité et dans les paramètres de votre outil. Notre DPA public indique les durées appliquées côté plateforme, ce qui vous évite de déclarer une durée que votre prestataire ne tient pas.

L'article 23 impose des « mesures techniques et organisationnelles appropriées », puis règle la sous-traitance en trois temps : choisir un sous-traitant « qui apporte des garanties suffisantes », le lier par un contrat écrit qui l'oblige à n'agir que sur instruction, et consigner par écrit les exigences de sécurité « aux fins de la conservation des preuves ». L'article 58 sanctionne l'absence de mesures ; l'article 61 vise le sous-traitant lui-même, « même par négligence ».

Avant d'envoyer votre premier template, vérifiez donc que votre plateforme WhatsApp fournit :

• un accord de traitement des données signé ou acceptable en ligne, qui nomme les rôles, les durées et les sous-traitants ultérieurs — le nôtre est public : Accord de traitement des données ;
• une liste des sous-traitants ultérieurs avec leur localisation, tenue à jour avec préavis — la nôtre ;
• le chiffrement en transit et au repos, des accès nominatifs journalisés, une procédure de notification d'incident ;
• des mécanismes d'export et d'effacement des données à la demande, sans passer par un ticket manuel ;
• un journal des actions sur votre compte WhatsApp Business (qui a modifié un template, connecté un numéro, désactivé le bot).

Un prestataire qui répond « nous sommes conformes CNDP » sans vous remettre de contrat ne vous met pas en conformité : c'est précisément l'absence d'écrit que l'article 23-4 vise.

C'est l'obligation la plus ignorée du marché, et la plus lourde. L'article 43 n'autorise le transfert de données personnelles que vers un État « assurant un niveau de protection suffisant », dont la CNDP fixe la liste. Cette liste, arrêtée par la délibération 236-2015, compte 32 pays : les États de l'Union européenne et de l'EEE, la Suisse, le Royaume-Uni et le Canada. Les États-Unis n'y figurent pas.

Or Meta indique dans sa documentation que le Cloud API stocke par défaut les données aux États-Unis, et que l'option de stockage local n'est proposée que pour une dizaine de marchés (Australie, Indonésie, Inde, Japon, Singapour, Corée du Sud, Allemagne pour l'UE, Suisse, Royaume-Uni). Le Maroc n'en fait pas partie. Chaque message WhatsApp que vous envoyez à un client marocain via l'API officielle est donc un transfert vers un pays hors liste, quel que soit le prestataire intermédiaire.

La loi offre trois issues, à l'article 44 :

1. Le consentement exprès de la personne au transfert — d'où la mention « transmises à Meta (États-Unis) » dans les modèles d'opt-in ci-dessus. C'est la base la plus simple pour le marketing, puisque vous recueillez déjà un consentement.
2. La nécessité contractuelle (art. 44-1-d) : une confirmation de commande ou un code OTP est nécessaire à l'exécution du contrat conclu avec la personne. Cette base couvre les messages utility et authentication, pas la prospection.
3. L'autorisation expresse et motivée de la CNDP (art. 44-3) lorsque le traitement présente des garanties suffisantes « en raison des clauses contractuelles ». Les Data Processing Terms de Meta incorporent un addendum de transfert international ; c'est la pièce à joindre.

Dans tous les cas, le transfert se notifie avec le formulaire F118 — le formulaire F214 lui-même rappelle qu'un transfert « devra faire l'objet d'une demande simultanée », et la délibération D-940-2025 interdit tout transfert « sans autorisation préalable de la CNDP ». Le F118 demande le nom du destinataire, le pays, la finalité, la fréquence, la date du premier transfert et le numéro de récépissé du traitement sous-jacent ; la CNDP se prononce sous deux mois, renouvelables une fois.

Le transfert illicite est l'infraction de l'article 60 : trois mois à un an d'emprisonnement et 20 000 à 200 000 DH d'amende, doublés pour une personne morale. Aucune plateforme, marocaine ou étrangère, ne peut supprimer ce transfert tant que Meta n'ouvre pas de stockage local au Maroc ; la seule conformité honnête consiste à le déclarer et à l'asseoir sur une base de l'article 44.

La CNDP publie la liste officielle des infractions et sanctions. Rapportées à un projet WhatsApp Business API, voici celles qui s'appliquent le plus directement. Les montants sont en dirhams ; l'article 64 double les amendes pour une personne morale et ajoute la fermeture d'établissement et la confiscation ; l'article 65 double à nouveau en cas de récidive.

Depuis 2025, la CNDP a annoncé des contrôles sectoriels ciblés — hôtellerie, santé, e-commerce, enseignement supérieur — c'est-à-dire exactement les secteurs qui ont adopté WhatsApp Business API le plus vite. La réforme de la loi 09-08 en préparation vise un alignement sur le RGPD (bases légales, DPO, notification des violations, niveau des sanctions) ; les obligations décrites ici ne feront que se renforcer.

Meta a annoncé que le Maroc quitte le tarif régional « Rest of Africa » pour une grille autonome au 1er octobre 2026, avec des tarifs utility et authentication relevés et un nouveau tarif authentication-international, ainsi qu'une facturation des messages de service (hors template, dans la fenêtre de 24 h) au-delà d'une franchise mensuelle par numéro. Les chiffres ci-dessous sont ceux relayés par les BSP à partir des grilles Meta ; la grille officielle par devise fait foi et doit être vérifiée avant tout budget.

Pourquoi ce sujet a sa place dans un guide de conformité : Meta classe les templates par catégorie, et cette catégorie est vérifiée à la validation. Un message marketing déguisé en utility pour économiser quelques centimes sera reclassé par Meta, et il reste de la prospection au sens de l'article 10 — vous cumulez le risque tarifaire et le risque légal. À l'inverse, une conversation service ouverte par le client est à la fois la moins chère et la plus solide juridiquement : la demande émane de la personne. Concevoir vos parcours pour que le client écrive en premier (bouton sur le site, QR code, publicité Click-to-WhatsApp avec sa fenêtre gratuite de 72 h) est la meilleure décision de conformité et de coût de 2026.

Sur EnvoiSMS.ma, la facturation reste en dirhams, 0,65 MAD par notification et 1,15 MAD par message marketing, sans abonnement, avec la catégorie de chaque template visible dans le tableau de bord.

À valider avant la mise en production, puis à revoir à chaque nouveau cas d'usage :

1. Déclaration déposée (F214 ou F211) au nom de l'entreprise, récépissé reçu et archivé.
2. F118 déposé pour le transfert vers Meta, avec base de l'article 44 identifiée (consentement exprès, contrat, ou autorisation).
3. Numéro de récépissé affiché sur chaque support de collecte (formulaire, CGV, premier message).
4. Mentions d'information complètes : responsable, finalités, destinataires dont Meta, droits, contact.
5. Opt-in marketing spécifique à WhatsApp, case non pré-cochée, texte conservé.
6. Registre des consentements horodaté, exportable par numéro, alimenté aussi par les réponses OUI/STOP.
7. STOP fonctionnel sur chaque template marketing, multilingue, traité automatiquement, propagé au SMS.
8. Séparation des finalités : un numéro collecté pour le support n'entre pas dans les campagnes sans nouveau consentement (art. 54).
9. Durées de conservation écrites dans la déclaration et appliquées par l'outil.
10. DPA signé avec la plateforme, liste des sous-traitants ultérieurs vérifiée.
11. Procédure de droits : réponse à une demande d'accès ou d'effacement sous 30 jours, avec export réel des données.
12. Autorisation préalable obtenue avant tout scoring, profilage ou traitement de données de santé par le chatbot.

Si un seul point manque, corrigez-le avant le lancement : les sanctions des articles 52 à 61 se cumulent, elles ne se remplacent pas.

Nous sommes sous-traitant, pas responsable de traitement : nous ne pouvons pas déposer votre déclaration, mais nous pouvons rendre chaque obligation vérifiable depuis votre compte.

Pour connecter votre numéro à l'API officielle, la page WhatsApp Business API au Maroc décrit l'onboarding via Meta Embedded Signup ; pour les coûts complets, lisez Tarifs WhatsApp Business API au Maroc.