WhatsApp op het werk: waarom 'end-to-end versleuteld' niet 'veilig' betekent

Een zorgmedewerker rondt haar dag af. Een collega appt haar via WhatsApp Web met de vraag om de gegevens van een cliënt die ze morgen allebei zien. Ze heeft het dossier open, dus ze typt het zo in de chat: de naam van de cliënt, de geboortedatum, het rekeningnummer waar de teruggave naartoe gaat, een mobiel nummer. Ze drukt op enter, en ziet pas dan dat de chat bovenaan haar scherm niet haar collega Mark is. Het is een oudergroep met dezelfde voornaam, die er net boven staat vastgepind.

Aan de andere kant van de stad stuurt een accountmanager een bericht van een klant door naar een leveranciersgroep, zodat iedereen "de context heeft". Drie berichten omhoog in die doorgestuurde keten staat het volledige adres van de klant, de bestelgeschiedenis en een klacht over een eerdere late levering. Elf mensen hebben het nu. Niemand had het nodig.

Dit zijn geen uitzonderlijke fouten. Op WhatsApp zijn het de gewone, omdat de app snel, persoonlijk en gebouwd is voor precies dit soort snelle, ongedekte berichten.

#Is WhatsApp veilig voor bedrijfsgegevens?

WhatsApp is standaard end-to-end versleuteld, en dat is oprecht sterk: de inhoud van een bericht is beschermd terwijl het onderweg is, en zelfs WhatsApp kan het niet lezen. Juist dat ene feit zorgt ervoor dat de app privé voelt, en dat zoveel mensen er op het werk zonder nadenken naar grijpen.

Maar versleuteling beantwoordt maar één vraag: kan iemand dit bericht onderweg onderscheppen? Het zegt niets over de vragen die de incidenten veroorzaken. Ging het naar de juiste chat? Op wiens telefoon staat het nu? Hoort deze gereguleerde cliëntdata wel in een consumenten-app zonder enig beheer? De grootste privacyrisico's in WhatsApp zitten niet in de cryptografie. Ze zitten in het tekstvak, en in de keuze om een persoonlijk berichtenkanaal voor werk te gebruiken.

#Hoe WhatsApp met gegevens omgaat

WhatsApp is niet één product. De versie die je medewerkers op hun eigen telefoon gebruiken gedraagt zich heel anders dan de zakelijke API, en dat verschil is het hele verhaal voor privacy.

Consumenten-WhatsApp, de groene app op een privételefoon, is wat "WhatsApp op het werk" meestal werkelijk betekent. Geen beheerconsole, geen dataverliespreventie, geen bewaarbeleid dat een werkgever kan instellen, en geen logging. Lekt er gereguleerde data door, dan kan de organisatie het niet voorkomen, niet detecteren en niet aantonen wat er is gebeurd.

De WhatsApp Business-app richt zich op zzp'ers en kleine winkels. Het voegt catalogi en snelle antwoorden toe, maar voor gegevensbeheer gedraagt het zich als de consumenten-app: nog steeds op een privételefoon, nog steeds zonder centraal beheer.

Het WhatsApp Business Platform (de API) is de enige laag die voor organisatiegebruik is gebouwd. Het kan worden gekoppeld aan archiverings- en compliancetooling. Vrijwel niemand die een collega appt over een cliënt gebruikt dit, ze gebruiken de groene app.

Eén ding is constant in alle drie: de inhoud van een bericht is versleuteld, maar metadata is niet hetzelfde als inhoud. Met wie je appt, wanneer, hoe vaak, en je profielgegevens zijn zichtbaar voor Meta en vallen onder zijn voorwaarden. Bij gevoelige relaties, een kliniek die een patiënt appt, een advocaat die een cliënt appt, kan zelfs het bestaan van het gesprek al veelzeggend zijn.

#Negen privacyrisico's die versleuteling niet oplost

#1. De verkeerde chat

De chatlijst van WhatsApp herschikt voortdurend en zet recente of favoriete gesprekken bovenaan. Een naam die je half herkent, een groep met dezelfde voornaam, een contact dat je vanochtend appte, één tik op de verkeerde rij en een bericht voor een collega belandt ergens heel anders. Er is geen ontvangerveld om te controleren, alleen een miniatuur en een naam.

#2. Doorgestuurde berichten dragen verborgen context mee

Doorsturen is één tik, en het neemt het hele bericht mee, inclusief geciteerde eerdere berichten, bijlagen en context die de nieuwe ontvanger nooit had mogen zien. Mensen sturen door om "de achtergrond te delen" zonder terug te scrollen om te zien wat die achtergrond bevat.

#3. Een groepsgesprek bereikt iedereen tegelijk

Iemand aan een groep toevoegen, of naar de verkeerde groep sturen, en het bericht staat in één keer bij alle leden, met ieders telefoonnummer zichtbaar voor elkaar. Voor cliënten, patiënten of leden van een beschermde categorie is een groepschat een CC-in-plaats-van-BCC-fout zonder enige manier om hem terug te halen.

#4. Werkdata op persoonlijke, onbeheerde telefoons

WhatsApp staat op het eigen apparaat van de medewerker. Doorgaans is er geen Mobile Device Management, geen scheiding tussen werk en privé, en geen remote wipe die de werkgever beheert. Raakt de telefoon kwijt, wordt hij verkocht, gerepareerd of doorgegeven, dan gaan de werkgesprekken mee.

#5. Cloudback-ups buiten het beheer van de organisatie

Chatback-ups naar iCloud of Google Drive waren van oudsher niet end-to-end versleuteld, tenzij de gebruiker die optie inschakelde, die WhatsApp eind 2021 introduceerde. Staat die uit, dan staat een kopie van werkgesprekken in een persoonlijk cloudaccount, onder andere voorwaarden dan de organisatie beheert.

#6. Screenshots en berichtvoorbeelden

WhatsApp-inhoud verschijnt in meldingen op het vergrendelscherm, op gedeelde of gespiegelde schermen, en in screenshots die zelf weer worden doorgestuurd. Een voorbeeld dat "BSN 384920173, teruggave akkoord" toont is leesbaar voor iedereen die even op de telefoon kijkt, en een screenshot van een chat reist nog vrijer dan de chat zelf.

#7. Geen dataverliespreventie of bewaarbeheer

E-mailsystemen kunnen DLP-regels, bewaartermijnen en legal hold afdwingen. Consumenten-WhatsApp dwingt niets daarvan af. Een organisatie kan niet voorkomen dat een BSN in een chat wordt getypt, kan niet instellen hoe lang berichten worden bewaard, en kan een gesprek niet vasthouden voor een onderzoek.

#8. Verdwijnende berichten geven een vals gevoel van veiligheid

Verdwijnende berichten en "één keer bekijken" voelen als een privacymaatregel, maar ze verwijderen de kopie van afzender en ontvanger, niet een screenshot, niet een back-up die vóór het verdwijnen is gemaakt, en niet iemands geheugen. Ze werken ook tegen de plicht van een organisatie om besluiten vast te leggen.

#9. Privé en zakelijk in één app

Dezelfde app bevat familiefoto's en cliëntdossiers. Juist die vermenging zorgt voor fouten: de automatische gewoonte van losse, directe, ongedekte berichten wordt rechtstreeks meegenomen naar gesprekken die zorgvuldig en weloverwogen zouden moeten zijn.

Elk van deze situaties heeft al geleid tot echte incidenten bij organisaties die aannamen dat "het is versleuteld" hetzelfde was als "het is veilig".

#Wat een werkchat in WhatsApp kan kosten

Wanneer een bericht in de verkeerde chat belandt, of gereguleerde data stroomt door een kanaal dat de organisatie niet kan beheren, zijn de gevolgen niet hypothetisch.

Onder de AVG is het sturen van persoonsgegevens naar iemand die ze niet hoort te krijgen een datalek. Een cliëntnaam gecombineerd met een geboortedatum, een BSN, financiële rekeninggegevens of gezondheidsgegevens kan de drempel halen waarbij, als er risico is voor de betrokkene, de toezichthouder binnen 72 uur na ontdekking moet worden gemeld. In Nederland is dat de Autoriteit Persoonsgegevens.

Er is een tweede probleem dat e-mail minder scherp kent: falen in verantwoording. Omdat consumenten-WhatsApp geen archief bijhoudt waar een werkgever bij kan, kan een organisatie mogelijk niet aantonen wat is verstuurd, aan wie of wanneer. In gereguleerde sectoren is dat op zichzelf al een probleem. Financiële toezichthouders behandelen het gebruik van niet-gemonitorde berichten-apps voor zakelijke communicatie als een ernstige schending van de bewaarplicht, los van de vraag of één bericht is gelekt.

Boetes onder de AVG kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is, en de aansprakelijkheid ligt bij de organisatie. Buiten de regelgeving levert een gevoelig bericht naar de verkeerde ontvanger, een patiënt, een cliënt, een sollicitant, directe reputatie- en relatieschade op die moeilijk te beperken is.

#Waar het met WhatsApp op het werk al misging

#Mei 2019: Pegasus-spyware via een WhatsApp-oproep

Aanvallers misbruikten een kwetsbaarheid in de belfunctie van WhatsApp (CVE-2019-3568) om de Pegasus-spyware van NSO Group op gerichte telefoons te installeren, in sommige gevallen zonder dat het slachtoffer de oproep zelfs maar beantwoordde. WhatsApp klaagde NSO Group later aan, en onderzoekers van Citizen Lab hielpen doelwitten te identificeren, waaronder journalisten en mensenrechtenverdedigers. De zaak liet zien dat een berichten-app zelf een aanvalsoppervlak is, los van de versleuteling van berichten. Bron: rechtszaak WhatsApp/Meta en Citizen Lab, 2019.

#September 2021: AVG-boete van 225 miljoen euro

De Ierse toezichthouder (Data Protection Commission) legde WhatsApp een boete van 225 miljoen euro op wegens schending van de transparantieverplichtingen van de AVG, met name over hoe het het delen van gegevens met andere Meta-bedrijven uitlegde. Het besluit onderstreepte dat "het is versleuteld" de gegevensbeschermingsverplichtingen van een app niet wegneemt: transparantie, grondslag en gegevensdeling blijven allemaal van toepassing. Bron: Ierse Data Protection Commission, september 2021.

#September 2022: 1,8 miljard dollar aan boetes voor zakelijk appen buiten de kanalen

Amerikaanse toezichthouders (de SEC en CFTC) beboetten een groep grote financiële bedrijven voor in totaal meer dan 1,8 miljard dollar, omdat medewerkers zakelijke communicatie hadden gevoerd via persoonlijke berichten-apps, waaronder WhatsApp, die de bedrijven niet konden vastleggen of toezien. De boetes waren niet voor de inhoud van één bericht, maar voor het verlies aan vastlegging en toezicht dat het kanaal veroorzaakte. Bron: Amerikaanse Securities and Exchange Commission, september 2022.

#Mei 2022: sms-affaire rond de Nederlandse minister-president

Het werd publiek bekend dat minister-president Mark Rutte jarenlang dagelijks berichten van zijn telefoon had verwijderd, waardoor berichten over overheidszaken niet konden worden achterhaald onder de Wet open overheid. De kwestie werd een Nederlands schoolvoorbeeld van hoe een persoonlijk berichtenkanaal, gebruikt voor besluiten die op de bewaarlijst horen, het vermogen van een organisatie ondermijnt om verantwoording af te leggen over wat is gecommuniceerd. Bron: berichtgeving NOS en Reuters, mei 2022.

De rode draad is geen fout in de versleuteling van WhatsApp. Het is de kloof tussen wat versleuteling beschermt en wat een organisatie werkelijk moet kunnen beheersen.

#Wat je in WhatsApp kunt instellen, en wat niet

Consumenten-WhatsApp biedt minder beheer dan e-mail, maar een aantal instellingen is de moeite waard om af te dwingen voor iedereen die met persoonsgegevens werkt:

1. Schakel end-to-end versleutelde back-ups in Ga naar: Instellingen > Chats > Chatback-up > End-to-end versleutelde back-up. Dit dicht het gat waar een onversleutelde kopie van gesprekken in een persoonlijk iCloud- of Google-account staat.

2. Controleer privacy voor profiel, laatst gezien en groepen Ga naar: Instellingen > Account > Privacy. Beperk wie je profielfoto, "laatst gezien" en status kan zien, en zet "Groepen" zo dat onbekenden je niet aan een groep kunnen toevoegen waarin je nummer voor iedereen zichtbaar is.

3. Beheer linkvoorbeelden en automatisch opslaan van media Ga naar: Instellingen > Chats en zet het automatisch opslaan van inkomende media in de galerij uit. Dit voorkomt dat cliëntfoto's of screenshots zich ophopen waar andere apps en back-ups bij kunnen.

4. Gebruik verdwijnende berichten met open ogen Ga naar: een chat > naam contact > Verdwijnende berichten. Nuttig om te beperken hoe lang inhoud blijft staan, maar beschouw het nooit als een garantie op verwijdering, en gebruik het niet waar gegevens wettelijk moeten worden bewaard.

5. Vergrendel de app en beheer gekoppelde apparaten Ga naar: Instellingen > Privacy > Vergrendeling om Face ID of een toegangscode te vereisen, en Instellingen > Gekoppelde apparaten om oude WhatsApp Web-sessies te verwijderen die je niet meer gebruikt.

Stappen gecontroleerd in juni 2026 met WhatsApp voor iOS (versie 24.x) en WhatsApp Web.

#Wat geen instelling in WhatsApp oplost

Elke instelling hierboven verandert hoe WhatsApp met een bericht omgaat nadat je hebt besloten het te verzenden. Geen ervan raakt de beslissing zelf.

Geen instelling controleert of de chat die je aantikte de juiste is. Geen back-upversleuteling voorkomt dat een BSN überhaupt in een bericht wordt getypt. Geen verdwijntimer voorkomt het screenshot dat vóór het verdwijnen is gemaakt. En geen privacyschakelaar beantwoordt de onderliggende vraag of gereguleerde data wel in een consumenten-berichten-app thuishoort.

De meest voorkomende WhatsApp-privacyfouten zijn geen configuratiefouten. Het zijn beslissingen die in twee seconden worden genomen, op een privételefoon, tijdens een gewoon gesprek, door iemand die op dat moment niet aan gegevensbescherming denkt. Daar reiken instellingen niet tot.

#Voordat je het bericht verstuurt

BeeSensible is een browserextensie, en daarom is WhatsApp Web relevant: web.whatsapp.com is waar het bericht in de browser wordt getypt, en daar kan BeeSensible het concept zien voordat het wordt verzonden. Tijdens het typen controleert het het berichtveld op persoonsgegevens. De tekst gaat naar de EU-detectiedienst van BeeSensible, waar de analyse in het werkgeheugen draait en de tekst na detectie wordt weggegooid. Er wordt niets van opgeslagen.

Wanneer gevoelige inhoud in het bericht verschijnt, een cliëntnaam met een geboortedatum, een BSN, een IBAN, een telefoonnummer, markeert BeeSensible het in de tekst en toont een paneel met wat er is gevonden en hoe ernstig het is. Je kunt de waarde verwijderen, vervangen door een placeholder of maskeren voordat je op verzenden klikt. Elke beslissing blijft bij jou.