WhatsApp efface ses consignes cachées sur le RGPD

Une analyse ciblée Début octobre, une entreprise spécialisée dans la gestion de la présence numérique a examiné 545 pages de l’aide en ligne de WhatsApp. Cette société travaille notamment sur la suppression massive de contenus publiés sur les réseaux sociaux. Son analyse a identifié 80 pages contenant des instructions textuelles dans le code source. Ces éléments étaient masqués par CSS et invisibles pour les internautes. Ils formaient environ une centaine de blocs. Les consignes s’adressaient au chatbot de support de WhatsApp. L’entreprise a documenté cette découverte dans son analyse. Le sujet concerne donc l’écart entre le contenu affiché aux utilisateurs et celui accessible aux systèmes automatisés.

WhatsApp explique leur présence WhatsApp a affirmé que ces instructions n’auraient pas dû se trouver dans le code source des pages concernées. Selon l’entreprise, elles étaient destinées à son chatbot de support. Leur objectif déclaré était d’améliorer son utilité, tout en évitant qu’il fournisse des conseils juridiques. Certaines consignes demandaient au chatbot de ne pas recommander de contacter des autorités de protection des données, des régulateurs ou des autorités de surveillance. D’autres lui demandaient de ne pas suggérer une suppression manuelle de comptes au nom des utilisateurs. Ces règles apparaissaient notamment sur la page consacrée à la suppression d’un compte WhatsApp.

WhatsApp encadre son chatbot de support

Des règles peu visibles La page « Comment supprimer votre compte » affichait aux internautes des délais distincts selon la situation. Les comptes désactivés sont supprimés après 30 jours. Les comptes inactifs sont supprimés après 120 jours, ou après 365 jours aux États-Unis. Dans le code source, d’autres instructions encadraient les réponses du chatbot. Elles lui demandaient notamment de ne pas orienter les utilisateurs vers des autorités de protection des données. Cette consigne peut être rapprochée de la politique de confidentialité de WhatsApp pour l’Union européenne. Celle-ci indique qu’un utilisateur peut déposer plainte auprès de la Commission irlandaise de protection des données ou d’une autre autorité compétente.

Les droits restent en tension La politique européenne de WhatsApp indique aussi que l’utilisateur conserve le droit de demander l’accès à ses informations, leur rectification et leur suppression. Une consigne demandant au chatbot de ne pas suggérer une suppression manuelle peut donc sembler difficile à concilier avec cette formulation. Une autre page, consacrée au signalement et au blocage, contenait des règles activées lorsqu’un utilisateur évoquait une action en justice, des avocats, des procureurs ou des tribunaux. Le chatbot devait alors éviter plusieurs sujets juridiques. Il ne devait pas citer le RGPD ou interpréter des règles sur la protection des données, même si l’utilisateur les mentionnait.

Les consignes disparaissent du code source

Un retrait le 18 octobre Le 9 octobre, les instructions figuraient encore dans le code source des pages concernées. Le 18 octobre, elles n’y apparaissaient plus. La découverte a été relayée par Silicon.fr, qui décrit les consignes et leur emplacement. Une enquête de Wired a également été référencée autour de ces instructions cachées. La période exacte de leur présence n’est pas établie. Elles se trouvaient toutefois dans le code au plus tôt depuis le 12 juillet 2026. Leur retrait réduit l’exposition directe de ces règles dans les pages publiques de l’aide WhatsApp.