--- title: "RGPD et DM automatisés : ce que tu dois savoir avant de faire répondre ton Instagram" description: "Automatiser tes DM Instagram te rend responsable des données des personnes qui t'écrivent. Voici ce que dit le RGPD, et les cinq réflexes qui couvrent l'essentiel." date: "2026-10-02" dateModified: "2026-10-02" authorName: "Antoine Kétèle" type: "foundational" image: "/blog/rgpd-et-reponses-automatiques-en-dm.jpg" category: "Guide pratique" tags: ["Cadre légal du setting", "setting Instagram"] published: true canonical: "https://www.setterfy.fr/blog/rgpd-et-reponses-automatiques-en-dm" related: ["la-fiche-de-qualification-avant-un-appel", "automatiser-ses-dm-sans-risquer-son-compte"] faq: - q: "Le RGPD s'applique-t-il à une simple conversation Instagram ?" a: "Oui, dès qu'elle contient des données qui identifient quelqu'un : un nom, un compte, parfois un numéro ou un email échangés en cours de discussion. Le canal ne change rien, seule la nature des données compte." - q: "Qualifier un prospect en DM, est-ce le profilage interdit par le RGPD ?" a: "Non. Le profilage n'est pas interdit en soi : l'article 22 encadre les décisions entièrement automatisées qui ont un effet juridique ou une incidence significative, sans intervention humaine. Qualifier une conversation ou proposer un rendez-vous n'a pas cet effet, et c'est toujours toi qui décides ensuite." - q: "Une personne peut-elle refuser d'être relancée en DM ?" a: "Oui, et ce droit est absolu pour la prospection commerciale : elle n'a aucune justification à donner. Dès qu'elle s'y oppose, la relance doit s'arrêter, point final." - q: "Qui est responsable si j'utilise un outil comme un setter IA ?" a: "Toi. Tu restes responsable du traitement des données de tes prospects, même si un prestataire gère la conversation à ta place. Le prestataire est sous-traitant, et doit pouvoir te le confirmer par contrat." - q: "Dois-je afficher une politique de confidentialité sur mon compte Instagram ?" a: "Ce n'est pas propre à Instagram : dès que tu collectes des données dans un cadre professionnel, le RGPD (article 13) te demande d'informer la personne au moment de la collecte, et pas seulement si elle le demande : qui tu es, ce que tu fais de ses données, combien de temps tu les gardes. Un lien vers une page courte, dans ta bio ou dans ton premier message, est un moyen simple de le faire." - q: "Cet article remplace-t-il un avis juridique ?" a: "Non. Il explique les grands principes pour un indépendant qui automatise ses DM, pas ta situation précise. Pour un cas particulier, un professionnel du droit reste la bonne adresse." sources: - label: "CNIL, Chatbots : les conseils de la CNIL pour respecter les droits des personnes (consulté le 2 octobre 2026)" url: "https://www.cnil.fr/fr/chatbots-les-conseils-de-la-cnil-pour-respecter-les-droits-des-personnes" - label: "CNIL, Profilage et décision entièrement automatisée (consulté le 2 octobre 2026)" url: "https://www.cnil.fr/fr/profilage-et-decision-entierement-automatisee" - label: "Règlement (UE) 2016/679 (RGPD), articles 6, 13, 21, 22 et 28" url: "https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679" --- Tu réponds à des dizaines de DM par semaine, et tu n'as jamais pensé une seconde au RGPD en le faisant. C'est normal : une conversation Instagram ne ressemble pas à un formulaire. Elle en est pourtant une, au sens de la loi, dès qu'elle contient le nom ou le compte de quelqu'un. ## En bref - Dès qu'une conversation identifie une personne, le RGPD s'applique, qu'elle passe par un formulaire ou par un DM Instagram. - Automatiser tes réponses ne change rien à ta responsabilité : c'est toi, pas l'outil, qui réponds légalement de ces données. - Trois points suffisent à couvrir l'essentiel : la base légale de ta conversation, ce que tu gardes et pour combien de temps, et le droit absolu de la personne à s'opposer à toute prospection. - Qualifier un prospect ou lui proposer un rendez-vous n'est pas la décision automatisée que le RGPD encadre strictement : c'est toi qui décides à la fin. ## Le RGPD s'applique-t-il à une conversation Instagram ? Oui, sans exception liée au canal. Le RGPD protège les données qui identifient une personne, pas un support en particulier. Un nom de compte, une photo de profil, un prénom donné en conversation, parfois un numéro ou un email échangés pour fixer un rendez-vous : tout ça entre dans le champ, exactement comme s'il s'agissait d'un formulaire sur un site. Ce qui change avec Instagram, c'est l'impression de légèreté. Un formulaire a l'air sérieux, une conversation a l'air d'un échange entre deux personnes. La loi ne fait pas cette différence. Dès que tu exerces une activité professionnelle, même seul, tu es responsable du traitement de ce que les gens t'écrivent, au même titre qu'une entreprise plus grande. ## Qualifier un prospect en DM, est-ce un profilage interdit ? C'est la question qui revient le plus souvent, et la réponse rassure généralement : non. Le RGPD encadre strictement, à son article 22, les décisions entièrement automatisées qui ont un effet juridique sur quelqu'un ou l'affectent de façon significative, sans aucune intervention humaine. Un refus de crédit calculé par un algorithme en est l'exemple classique. Poser trois questions de qualification à un prospect, ou lui envoyer un lien de réservation, n'a pas ce genre d'effet. Et surtout, une personne reste toujours dans la boucle : c'est toi qui liras la fiche, qui décideras d'appeler ou non, qui mèneras le rendez-vous. L'automatisation prépare une conversation, elle ne prend aucune décision à ta place. Ce fonctionnement est détaillé dans [la fiche de qualification avant un appel](/blog/la-fiche-de-qualification-avant-un-appel) : la fiche sert à préparer ton appel, pas à trier les gens sans toi. ## Sur quelle base légale peux-tu traiter ces messages ? C'est le point que la plupart des indépendants sautent, parce qu'il semble abstrait. Il ne l'est pas : avant de collecter ou de garder une information sur un prospect, tu dois pouvoir dire pourquoi tu as le droit de le faire. Dans le cas d'une conversation en DM, la situation est en général plus simple qu'elle n'en a l'air : la personne t'écrit de sa propre initiative pour obtenir une information ou un service. Le RGPD prévoit ce cas à son article 6 : les « mesures précontractuelles prises à la demande » de la personne. Répondre à sa demande, la qualifier et lui proposer un rendez-vous s'inscrit dans cette démarche qu'elle a elle-même engagée. Ce n'est que lorsque tu vas au-delà, par exemple en la recontactant plus tard sans qu'elle ait demandé quoi que ce soit, que la question de la base légale se pose à nouveau, et que le droit d'opposition devient central. ## Que dit le droit d'opposition pour la prospection ? C'est le point le plus simple à retenir, parce qu'il ne souffre aucune exception : dès qu'un traitement sert une finalité de prospection commerciale, la personne peut s'y opposer à tout moment, sans avoir à justifier sa demande. Ce droit est absolu, contrairement à d'autres situations où une opposition peut être discutée. Concrètement, pour toi : si un prospect te dit qu'il ne veut plus être relancé, ou qu'il souhaite que tu supprimes ses informations, tu n'as rien à évaluer. Tu arrêtes, et tu supprimes ce qui doit l'être. ## Qui est responsable si tu passes par un outil comme un setter IA ? Toi. Faire gérer tes conversations par un prestataire ne te décharge pas de ta responsabilité. Dans le langage du RGPD, tu restes responsable du traitement, et l'outil que tu utilises est ton sous-traitant : il agit pour ton compte, sur tes instructions, pas pour les siennes. Deux vérifications suffisent avant de brancher un outil sur ton compte : 1. **Le prestataire peut-il te signer un contrat de sous-traitance ?** C'est le document qui formalise cette répartition des rôles, prévu par le RGPD pour tout sous-traitant. 2. **Que fait-il de tes données une fois la conversation terminée ?** Un outil sérieux doit pouvoir te dire où elles sont hébergées et combien de temps elles sont gardées. Chez Setterfy, la connexion à ton compte passe par l'API officielle de messagerie de Meta, celle que Meta prévoit pour ce type d'usage : à aucun moment l'outil ne demande ou ne stocke ton mot de passe Instagram. Ça ne couvre pas à soi seul toutes tes obligations, mais ça retire déjà le risque le plus lourd, celui de confier tes identifiants à un outil qui pilote ton compte sans passer par la voie prévue. ## Comment rester en règle sans y passer tes soirées ? Cinq réflexes couvrent l'essentiel, sans transformer ta messagerie en service juridique. 1. **Ne collecte que ce qui sert à qualifier.** Le besoin, le budget, le moment : ce qui t'aide à savoir si la personne est pour toi. Pas plus, et surtout pas « au cas où ». 2. **Fixe une durée de conservation, même approximative.** La CNIL le résume ainsi : une donnée se garde le temps nécessaire à l'objectif pour lequel tu l'as collectée. Une fiche de prospect qui n'a jamais donné de rendez-vous n'a pas vocation à rester indéfiniment quelque part. 3. **Traite une demande de suppression ou d'opposition sans délai.** Ce n'est pas négociable, et encore moins pour une demande liée à la prospection, où le droit est absolu. 4. **Garde une trace de ce que tu utilises.** Le nom de ton outil, ce qu'il fait, depuis quand : de quoi répondre en deux minutes si quelqu'un te demande ce que tu fais de ses messages. 5. **Vérifie ton prestataire une fois, pas à chaque conversation.** Le contrat de sous-traitance et l'hébergement se vérifient à l'installation de l'outil, pas pour chaque prospect. Ce travail, une fois fait, ne se refait pas à chaque DM. C'est un cadre que tu poses une fois, puis que ton activité suit. ## Ce qu'un setter IA change, et ce qu'il ne change pas Un setter IA automatise la conversation, pas ta responsabilité. Il peut rendre certains réflexes plus faciles à tenir : une question de qualification toujours posée de la même façon, une fiche générée au même moment pour chaque prospect qui réserve, une relance qui s'arrête d'elle-même passé le délai que la plateforme autorise. Mais il ne décide pas à ta place de ce que tu gardes, ni pour combien de temps, et il ne répond pas pour toi à une demande de suppression. C'est ce que fait [Setterfy](https://app.setterfy.fr/signup) : le setter IA répond à tes DMs Instagram, qualifie tes prospects et t'envoie le lien de réservation au bon moment, en passant par l'API officielle de Meta. Tu peux l'essayer 14 jours, et je m'occupe personnellement de la mise en route. ## Les limites de cet article Rien ici ne remplace un avis juridique sur ta situation précise. Un indépendant qui traite des données sensibles, qui vend en dehors de l'Union européenne, ou qui gère plusieurs comptes pour des clients, a des questions qui dépassent ce guide. Les principes ci-dessus couvrent le cas courant : un indépendant, un compte, des DM qui servent à qualifier et à prendre des rendez-vous. Et comme tout texte de loi, celui-ci peut évoluer, tout comme la lecture qu'en fait la CNIL. Ce qui ne change pas, c'est le réflexe de base : savoir ce que tu gardes, pourquoi, et pour combien de temps. ## Sources - CNIL, [Chatbots : les conseils de la CNIL pour respecter les droits des personnes](https://www.cnil.fr/fr/chatbots-les-conseils-de-la-cnil-pour-respecter-les-droits-des-personnes), publié le 19 février 2021, consulté le 2 octobre 2026 : durée de conservation des données d'une conversation, décisions prises à partir d'un échange avec un outil automatisé, données sensibles. - CNIL, [Profilage et décision entièrement automatisée](https://www.cnil.fr/fr/profilage-et-decision-entierement-automatisee), publié le 29 mai 2018, consulté le 2 octobre 2026 : le périmètre de l'article 22, limité aux décisions sans intervention humaine ayant un effet juridique ou significatif. - Règlement (UE) 2016/679 (RGPD), [texte consolidé](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679) : article 6 pour la base légale, article 13 pour l'information des personnes, article 21 pour le droit d'opposition à la prospection, article 22 pour la décision individuelle automatisée, article 28 pour le contrat de sous-traitance.