WhatsApp Business pour clinique esthétique : ce que dit la loi (RGPD 2026)
Oui, vous pouvez envoyer un message WhatsApp à un client après un soin, à condition de distinguer deux choses : un message de suivi de la prestation (consignes de cicatrisation, rappel de contrôle) est autorisé sans consentement supplémentaire ; une demande d'avis ou un message promotionnel est de la prospection commerciale et exige un consentement explicite. Dans tous les cas, WhatsApp impose en plus un opt-in actif propre à son canal. Voici le détail.
La règle dépend de la finalité du message
C'est le point que la plupart des praticiens manquent : tous les messages WhatsApp ne relèvent pas du même régime. C'est la finalité qui décide.
| Type de message | Régime | Consentement requis |
|---|---|---|
| Suivi post-soin (consignes, rappel de contrôle, check-in) | Exécution du contrat (art. 6.1.b RGPD) | Non (côté RGPD) |
| Demande d'avis Google | Prospection commerciale (art. L34-5 CPCE) | Oui, explicite et préalable |
| Marketing (promo, anniversaire, relance) | Prospection commerciale | Oui, explicite et préalable |
Quand un client paie un soin, il achète aussi le suivi qui en garantit le résultat : envoyer les consignes de cicatrisation fait partie de la prestation. Mais ce socle ne couvre que ce qui est objectivement nécessaire au soin.
⚠️ Le piège fréquent. Un même fil WhatsApp peut basculer d'un régime à l'autre : une promo, une newsletter ou une demande d'avis glissées dans la conversation de suivi deviennent de la prospection, et là le consentement spécifique du client doit avoir été recueilli en amont.
La double conformité : RGPD ET règles WhatsApp
Être conforme au RGPD ne suffit pas. Deux corps de règles s'empilent.
- Le RGPD vous désigne comme responsable de traitement : vous décidez d'envoyer un message à votre client et avec quel outil. C'est vous qui portez le risque juridique.
- La WhatsApp Business Policy conditionne l'accès à la plateforme au respect de ses règles d'opt-in. Un compte non conforme peut être suspendu, indépendamment de toute décision de la CNIL.
Depuis novembre 2024, la politique WhatsApp exige un opt-in qui soit :
- Actif : une action positive du client (case non pré-cochée, clic, signature). Une case pré-remplie est invalide.
- Spécifique : il nomme WhatsApp comme canal et votre entreprise comme expéditeur. Un consentement générique « communications électroniques » ne suffit pas.
- Documenté : vous devez pouvoir produire la preuve de l'opt-in (date, mention, identification du client).
À retenir aussi : hors de la fenêtre de 24 h ouverte par un message du client, vos messages proactifs (consignes, rappels) doivent passer par des modèles pré-approuvés par WhatsApp. Une plateforme comme CuraFlow gère cette approbation à votre place.
Données de santé : où s'arrête WhatsApp
Une donnée n'est pas « de santé » simplement parce que le client est venu pour un soin. La qualification dépend du contenu et du contexte.
Esthéticienne, microblading, tatouage : les données collectées (nom, téléphone, type de prestation) ne sont pas des données de santé au sens de l'article 9 du RGPD dans la quasi-totalité des cas. Exception : si la prestation révèle un état de santé (reconstruction post-cancer, microblading après chimiothérapie, tatouage médical sur cicatrice). La donnée devient alors sensible et exige une base légale renforcée.
Médecin esthétique, dermatologue, chirurgien plasticien : le secret médical s'applique. Les données patients identifiantes (diagnostic, résultat, prescription) passent par une messagerie sécurisée de santé type MSSanté, pas par WhatsApp, qui n'est pas hébergé sur un Hébergeur de Données de Santé certifié. WhatsApp reste utilisable pour un rappel de rendez-vous ou une consigne générale non identifiante (« Pensez à éviter le soleil 48 h après votre soin »).
Information à donner au moment de la collecte
Quand un client donne son numéro, l'article 13 du RGPD impose une information préalable. Elle doit couvrir : qui traite les données, pour quelles finalités, sur quelle base légale, qui sont les destinataires, combien de temps les données sont conservées, les droits du client, et le droit de réclamation auprès de la CNIL.
💡 Bon à savoir. Pas besoin d'une page de CGU dense : une mention de quelques lignes sur la fiche de contact, avec un lien vers votre politique de confidentialité complète, suffit à remplir l'obligation.
Combien ça peut coûter
L'article 83 du RGPD prévoit jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les manquements les moins graves, et 20 millions ou 4 % pour les atteintes aux principes fondamentaux (consentement, droits des personnes).
En France, la CNIL a récemment sanctionné des entreprises de 240 000 à 900 000 euros pour de la prospection SMS et email sans consentement valable. Aucune amende publique ne vise encore le secteur esthétique sur WhatsApp, mais le passage au consentement obligatoire prévu au 11 août 2026 va mécaniquement multiplier les signalements. S'ajoute le risque plateforme : la suspension de votre compte WhatsApp en cas de plaintes répétées, soit la perte immédiate de votre canal client.
Votre checklist de conformité
- ☐ Mention d'information (article 13) affichée au moment où le client donne son numéro.
- ☐ Le client coche activement (case non pré-remplie) son accord pour WhatsApp.
- ☐ La preuve du consentement est conservée (date, mention, client).
- ☐ Les messages de suivi restent strictement liés à la prestation.
- ☐ Les demandes d'avis et messages marketing ne partent qu'aux clients ayant donné un consentement spécifique préalable.
- ☐ Les messages proactifs passent par des modèles pré-approuvés.
- ☐ Une politique de confidentialité publique et à jour est accessible.
- ☐ Si vous êtes médecin : aucune donnée de santé identifiante ne transite par WhatsApp.
Comment CuraFlow gère cette conformité
CuraFlow est construit en partant de la conformité, pas en l'ajoutant après coup : les messages de suivi reposent sur la base « exécution du contrat », passent par des modèles pré-approuvés, et le formulaire d'ajout client intègre la mention d'information de l'article 13 avec un modèle de politique de confidentialité. Aucun champ « diagnostic » ou « antécédent » n'existe par design. Résultat : vous utilisez WhatsApp comme canal client sans porter seul le risque juridique.
Tester CuraFlow gratuitement pendant 30 jours →
Questions fréquentes
Peut-on envoyer un WhatsApp à un client après un soin sans consentement écrit ?
Oui pour le suivi de la prestation (base légale : exécution du contrat, article 6.1.b RGPD). Une demande d'avis ou un message promotionnel relève de la prospection et exige un consentement explicite. WhatsApp impose en plus un opt-in actif spécifique à son canal.
Peut-on transmettre des données médicales par WhatsApp à un patient ?
Pour un médecin, non : passez par une messagerie sécurisée de santé. Pour une esthéticienne ou un praticien non-médical, les données usuelles (nom, téléphone, type de soin) ne sont pas des données de santé, sauf si la prestation révèle une pathologie.
Combien risque-t-on en cas de manquement RGPD ?
Jusqu'à 10 M€ ou 2 % du CA mondial, et 20 M€ ou 4 % pour les manquements graves. Des sanctions récentes en France vont de 240 000 à 900 000 euros pour de la prospection sans consentement valable.
Faut-il un consentement séparé pour WhatsApp plutôt que SMS ?
Oui. Un consentement recueilli pour le SMS ou l'email ne vaut pas pour WhatsApp : le client doit avoir accepté ce canal précis, de la part de votre entreprise nommée. Une case pré-cochée n'est pas valide.
Références. RGPD (art. 6, 9, 13, 83) · CNIL · CPCE (art. L34-5) · WhatsApp Business Policy · Code de la santé publique (art. L1110-4).
Disclaimer : ce contenu ne constitue pas un conseil juridique individualisé. Il s'appuie sur les textes en vigueur en mai 2026. Pour une situation spécifique, consultez un délégué à la protection des données ou un avocat en droit du numérique. CuraFlow est un outil d'envoi de messages automatisés post-soin ; les messages sont définis par le praticien lui-même.