Puis-je utiliser WhatsApp pour partager des plannings de travail avec mon personnel ?

Les plannings sans données personnelles de tiers (clients) posent moins de problèmes. Mais dès que vous partagez des noms, adresses, numéros de téléphone ou d'autres données personnelles de clients via WhatsApp, vous utilisez un canal qui n'est pas adapté à ces données et que vous ne contrôlez pas.

WhatsApp Business est-il un meilleur choix ?

Pas pour les données personnelles. WhatsApp Business partage lui aussi des métadonnées avec Meta et ne dispose pas de fonctions de gestion professionnelle comme l'effacement à distance des données ou le contrôle d'accès. Il n'est pas conçu comme outil de traitement de données personnelles et n'est donc pas adapté à cet usage.

Quelles alternatives à WhatsApp ?

Utilisez une plateforme de communication professionnelle avec des fonctions de gestion, comme Microsoft Teams, Slack ou un logiciel de planification pour le personnel de terrain. Choisissez un outil qui vous permet de révoquer l'accès, d'effacer les données et de conclure un contrat de sous-traitance. Si vous voulez garder une application de messagerie, Signal est l'option axée sur la vie privée, mais elle offre peu de gestion centralisée.

Puis-je continuer à utiliser WhatsApp si nous activons les messages éphémères ?

Cela réduit le risque, mais ne le supprime pas. Les messages éphémères limitent la durée pendant laquelle les données restent sur les téléphones, mais les destinataires peuvent toujours faire une capture d'écran ou transférer un message avant qu'il disparaisse. Utilisez-les comme mesure temporaire pendant que vous passez à un outil adapté, et ne partagez jamais d'informations sensibles comme des codes d'accès ou des données de santé via WhatsApp.

Et si un employé partage des données clients via WhatsApp de sa propre initiative ?

En tant qu'employeur, vous êtes responsable des traitements effectués par vos employés. Formez votre personnel, fixez des règles claires et fournissez une alternative adaptée. « Je ne savais pas » n'est pas une défense valable.

WhatsApp et partage de données personnelles - Pourquoi c'est interdit

WhatsApp n'est pas adapté au partage de données clients, d'adresses ou de codes d'accès avec les employés. Cet article explique pourquoi, avec un cas réel de Finlande et des alternatives pratiques.

WhatsApp est pratique, mais pas adapté aux données personnelles

C’est un scénario familier : vous dirigez une entreprise de nettoyage, de soins à domicile ou d’installation. Les employés doivent savoir chez quel client ils se rendent aujourd’hui. Alors vous envoyez rapidement le nom, l’adresse, le numéro de téléphone et peut-être un code d’accès via le groupe WhatsApp. Facile, rapide, tout le monde l’a.

Mais au regard du RGPD, c’est un problème sérieux. Vous partagez les données personnelles de clients via une plateforme sur laquelle votre organisation n’a aucun contrôle.

Un cas réel : l’entreprise de nettoyage finlandaise

Ce n’est pas un risque théorique. L’autorité de contrôle finlandaise s’est déjà prononcée sur exactement cette situation.

gavel Cas réel Finlande · Médiateur de la protection des données · décision du 29 octobre 2021

Une entreprise de nettoyage envoyait ses missions au personnel via WhatsApp, sur les téléphones personnels des employés. Les messages contenaient des noms de clients, des adresses, des numéros de téléphone, des codes de porte et des numéros de boîtes à clés. Les clients n’avaient pas été informés de l’utilisation de WhatsApp.

Le Médiateur finlandais de la protection des données a constaté que l’entreprise avait violé :

Intégrité et confidentialité (article 5(1)(f)) - les données personnelles étaient partagées via un canal sans mesures de sécurité adéquates
Protection des données dès la conception (article 25) - l’entreprise n’avait pas mis en place de système respectueux de la vie privée pour partager les missions
Mesures de sécurité (article 32) - aucune mesure technique et organisationnelle appropriée n’avait été prise pour protéger les données

Un point clé de la décision : lorsque WhatsApp fonctionne sur le téléphone personnel d’un employé, le contrat est conclu entre cet employé et WhatsApp, pas avec l’entreprise. L’entreprise n’avait donc aucun moyen de contrôler ce qu’il advenait des données de ses clients. L’autorité a également relevé que les données avaient probablement été transférées hors de l’UE.

Résultat : un rappel à l’ordre et une injonction de mettre le traitement en conformité avec le RGPD.

Lire l'annonce de l'autorité (en finnois) open_in_new

Sur le terrain : des codes d’alarme dans le groupe de travail

Nous le constatons aussi chez des clients de GDPRWise.

format_paint Sur le terrain Client de GDPRWise · entreprise de peinture et décoration · anonymisé

Une petite entreprise de peinture et décoration envoyait chaque jour leurs chantiers à ses peintres via WhatsApp. Les messages contenaient les noms et adresses des clients, et parfois le code d’alarme du système de sécurité du client, pour que l’équipe puisse entrer en son absence.

Quiconque voit un tel message a tout ce qu’il faut pour entrer dans une maison : l’adresse, et le code pour désactiver l’alarme. Le message reste sur les téléphones personnels des peintres, même quand quelqu’un quitte le groupe ou l’entreprise, et il peut être transféré d’un simple geste.

Avec GDPRWise, l’entreprise a vu clairement quelles données clients elle partage avec ses équipes, par quel canal et pourquoi. Elle organise désormais ce partage de manière plus sûre.

Pourquoi WhatsApp est inadapté aux données professionnelles

Les problèmes liés à l’usage professionnel de WhatsApp pour des données personnelles sont fondamentaux :

Aucun contrôle sur les données. Dès que vous envoyez un message dans un groupe, chaque participant peut le transférer, l’enregistrer ou en faire une capture d’écran. Vous ne pouvez pas effacer à distance les messages sur le téléphone de quelqu’un d’autre.

Téléphones perdus ou volés. Si un employé perd son téléphone, toutes les données clients du groupe WhatsApp sont exposées. Vous ne pouvez pas révoquer l’accès à distance.

WhatsApp est conçu pour un usage personnel, pas comme outil de traitement. Hors de l’UE, les conditions de WhatsApp interdisent explicitement tout usage non personnel du service, sauf autorisation de WhatsApp. Les conditions pour les utilisateurs de l’UE sont moins explicites, mais le problème de fond est le même : sur le téléphone personnel d’un employé, le contrat lie cet employé à WhatsApp. Votre organisation ne peut pas conclure de contrat de sous-traitance pour cet usage et n’a aucune prise sur le traitement des données.

Les métadonnées vont à Meta. Le contenu des messages est chiffré de bout en bout, mais WhatsApp partage les métadonnées (qui communique avec qui, quand, à quelle fréquence) avec sa maison mère Meta. Ces métadonnées ne sont pas protégées par le chiffrement.

Aucune piste d’audit. Vous ne pouvez pas démontrer quelles données ont été partagées avec qui et quand, ni si elles ont été supprimées. Lors d’un contrôle, vous ne pouvez pas prouver que vous maîtrisez la situation.

Quelles sont les alternatives ?

Pas besoin de revenir au papier et au stylo. Il existe de nombreuses alternatives adaptées :

Plateformes de communication professionnelle comme Microsoft Teams ou Slack, qui vous permettent de gérer les utilisateurs, de révoquer l’accès et de conclure des contrats de sous-traitance
Logiciels de planification conçus pour le personnel de terrain, avec accès basé sur les rôles et suppression automatique
Portails sécurisés où les employés consultent leurs missions sans que les données soient stockées sur leur téléphone personnel
Signal si votre équipe veut garder une application de messagerie. Signal a été conçu dès le départ comme une alternative axée sur la vie privée aux messageries grand public. Il est géré par la fondation à but non lucratif Signal Foundation, son code est open source, tout est chiffré de bout en bout par défaut et l’application collecte le moins de métadonnées possible, sans partage de données avec des annonceurs ou des entreprises technologiques. La contrepartie : Signal reste une application grand public. Vous ne pouvez pas gérer les comptes de manière centralisée, effacer des données à distance ni conclure de contrat de sous-traitance ; combinez-le donc avec des règles claires pour le personnel.

Le critère clé : en tant qu’organisation, pouvez-vous gérer l’accès, effacer les données et démontrer que vous gardez le contrôle ?

Que faire maintenant ?

Arrêtez de partager des données personnelles via WhatsApp. Cela vaut pour les noms, adresses, numéros de téléphone et codes de sécurité de clients, ainsi que toute autre donnée permettant d’identifier une personne.
Choisissez une alternative adaptée et documentez pourquoi vous avez choisi cette plateforme.
Vous ne pouvez pas (encore) quitter WhatsApp ? Limitez les dégâts. Activez les messages éphémères par défaut : dans vos groupes de travail, et demandez à chaque employé de définir une durée par défaut pour les messages dans les paramètres de confidentialité de WhatsApp. Et interdisez au personnel de partager des informations sensibles via WhatsApp, comme des codes d’accès, des numéros de boîtes à clés, des données de santé ou des numéros d’identification.
Établissez une politique interne sur les outils de communication que les employés peuvent utiliser pour quelles données.
Formez votre personnel. Expliquez pourquoi WhatsApp n’est pas adapté et comment utiliser l’alternative.
Documentez-le dans votre registre des traitements. Quels outils utilisez-vous pour partager des données personnelles ? Avec qui ? Sur quelle base juridique ?

school

Formation gratuite : Sensibilisation à la sécurité

Manipuler les données en toute sécurité, y compris dans les applications de messagerie comme WhatsApp, est traité dans le module « Manipuler les données en toute sécurité » de notre formation gratuite Sensibilisation à la sécurité. Sans compte, avec quiz d’entraînement gratuit.

Voir le module arrow_forward

auto_awesome Savez-vous quels outils vous utilisez pour partager des données ?

GDPRWise vous aide à cartographier les outils de communication et les systèmes que vous utilisez pour les données personnelles. Avec des recommandations d'alternatives sécurisées.

Lancez votre scan gratuit