De vraag "is WhatsApp veilig?" vermengt twee vragen. De ene gaat over transport: kan iemand ertussenin meelezen? De andere gaat over governance: wie houdt de inhoud rechtmatig zodra die aankomt, en wat gebeurt daar mee. De eerste heeft een redelijk duidelijk antwoord uit WhatsApps eigen documentatie. De tweede hangt volledig af van hoe een bedrijf zichzelf heeft ingericht.
Wat encryptie in privéchats dekt
Persoonlijke WhatsApp-berichten en -gesprekken zijn end-to-end versleuteld tussen de betrokken apparaten. WhatsApps security whitepaper beschrijft dit als communicatie die versleuteld blijft van een apparaat van de afzender tot een apparaat van de ontvanger, zonder dat een derde partij — inclusief WhatsApp — bij de inhoud kan.
Inhoudsversleuteling is niet het hele privacymodel
Versleuteling maakt een dienst niet metadatavrij. WhatsApps privacybeleid noemt wat de dienst verwerkt: mobiel nummer en profielnaam, contactuploadgegevens, gebruiks- en loginformatie, apparaat- en verbindingsinformatie, uit IP-adres afgeleide locatie en authenticatiegegevens. Profielfoto's, "over"-tekst en groeps- en communitynamen worden niet hetzelfde behandeld als persoonlijke berichtinhoud.
Back-ups verdienen aparte vermelding omdat ze een tweede kopie van de geschiedenis buiten de chat creëren. WhatsApp biedt end-to-end versleutelde back-ups, maar de bescherming hangt af van of de functie is ingeschakeld en beveiligd met een passkey, wachtwoord of encryptiesleutel.
Het eindpunt is de zwakke plek
Transportversleuteling beschermt een bericht tussen apparaten, maar niets aan de apparaten zelf. Een ontgrendelde telefoon, een gedeelde computer met open websessie, een gekoppeld apparaat dat nooit is verwijderd, of een gecompromitteerd toestel omzeilen dit — niet door de cryptografie te breken, maar door te lezen waar rechtmatig ontsleuteld wordt. Social engineering die encryptie nooit raakt hoort even goed bij het realistische risicomodel.
Zakelijke chats volgen een ander datapad
Wanneer een klant een bedrijf berichten stuurt, ontvangt het bedrijf de inhoud. WhatsApps privacybeleid stelt expliciet dat wat je met een bedrijf deelt zichtbaar kan zijn voor mensen binnen dat bedrijf, en dat bedrijven externe providers — mogelijk inclusief Meta — kunnen inzetten om die communicatie te beheren. Afhankelijk van de opzet kan die inhoud terechtkomen op een contactcenterdesktop, in een CRM, in een analyticspijplijn of bij de opslag van een dienstverlener. Dat is geen falen van encryptie, maar het verwachte gedrag van een gesprek met een organisatie in plaats van een persoon.
Encryptie vervangt geen governance
Transportbescherming zegt niets over consent, toegangscontrole, exports, retentie, verwijdering of wat medewerkers mogen vragen. Drie gebieden veroorzaken de meeste vermijdbare problemen: gevoelige inhoud die in de chat wordt gevraagd en dan in transcripten blijft hangen; authenticatie-inhoud die in kortlevende, eenmalige berichten hoort te blijven; en links en media, waar merkgebonden domeinen en consistente senderidentiteit klanten helpen echte berichten van imitatie te onderscheiden.
Flowstates kan messagingkanalen en -routes beheren en de beheerde bezorglaag leveren; geen enkele provider, ook wij niet, maakt een zakelijk messagingprogramma juridisch compliant. Vereisten verschillen per jurisdictie en veranderen, en moeten met je eigen adviseurs tegen actuele bronnen worden bevestigd.
Checklist voor zakelijke review
- Dataflowkaart: elk pad dat klantinhoud aflegt van de chat naar agenttools, CRM, opslag, analytics en exports.
- Verwerkers en providers: wie in de keten zit, wat zij bewaren, onder welke voorwaarden.
- Rollen en rechten: wie mag lezen, exporteren, redigeren en verwijderen, op basis van noodzaak.
- Toegangslogging op gespreksgeschiedenis en exports, met een daadwerkelijke review.
- Retentie: hoe lang transcripten, media en casenotities in elk systeem blijven staan.
- Export en opslag: waar transcripten terechtkomen, of ze versleuteld zijn opgeslagen, wie ze kan opvragen.
- Consent en meldingen: wat de klant wanneer is verteld en waar dat wordt bewaard.
- Opt-outafhandeling die over alle kanalen en tools doorwerkt.
- Regels voor gevoelige inhoud: wat agents nooit mogen vragen of herhalen.
- Account- en nummerbeveiliging: tweestapsverificatie, review van gekoppelde apparaten, controle over het nummer.
- Incidentrespons: wie wordt gewaarschuwd, wat wordt bewaard, hoe klanten worden geïnformeerd.
- Exit en portabiliteit: hoe je data en geschiedenis terugkrijgt bij een providerwissel.