We sturen een foto van een identiteitskaart naar onze accountant, een bankafschrift naar onze partner, een tijdelijk wachtwoord naar een collega. Dit alles gaat vaak via WhatsApp, vaak zonder erover na te denken. De end-to-end encryptie, die bij elke opening van een gesprek wordt weergegeven, geeft de indruk dat deze uitwisselingen veilig zijn. De werkelijkheid is genuanceerder, en sommige blinde vlekken verdienen het om belicht te worden.
Cloudback-up: de schakel die de end-to-end encryptie niet dekt
De end-to-end encryptie beschermt de berichten tijdens hun verzending. Concreet kunnen WhatsApp en Meta de inhoud van een gesprek onderweg niet lezen. Het probleem doet zich voor na verzending.
Wanneer we de automatische back-up op Google Drive of iCloud inschakelen, verlaat de gespreksgeschiedenis het bereik van de verzendencryptie. Standaard profiteren deze kopieën niet van hetzelfde beschermingsniveau. Ze worden opgeslagen op de servers van Google of Apple, onderworpen aan hun eigen toegangsvoorwaarden, ook in geval van een gerechtelijk bevel.
WhatsApp biedt al enkele maanden een optie voor end-to-end versleutelde back-up, beveiligd met een wachtwoord of een sleutel van 64 cijfers. Je kunt het activeren in de instellingen van de app, onder het tabblad Chats en vervolgens Back-up. Degenen die de beveiliging op WhatsApp met Bewise analyseren, leggen dit mechanisme en de concrete implicaties goed uit.
De val: als je dit wachtwoord verliest, wordt de back-up onherstelbaar. WhatsApp kan het niet voor je resetten. Het operationele advies is dus dubbel: schakel de encryptie van de back-up in en sla het geheim op in een betrouwbare wachtwoordmanager die toegankelijk is in geval van een telefoonwissel.
WhatsApp-metadata: wat Meta verzamelt, zelfs met encryptie
We richten ons vaak op de inhoud van de berichten. De inhoud is versleuteld, dat klopt. Wat niet versleuteld is, zijn de metadata: wie met wie praat, op welk tijdstip, vanaf welk apparaat, met welke frequentie, in welke groep.
Deze informatie is voldoende om een gedetailleerd gedragsprofiel op te stellen. Een werkgever die uitsluitend tussen 12.00 en 14.00 uur met een wervingsbureau communiceert, een patiënt die regelmatig contact opneemt met een specialist: de metadata vertellen een verhaal dat de encryptie niet verbergt.
Meta gebruikt deze metadata om zijn advertentie-ecosysteem te voeden. Het privacybeleid van WhatsApp geeft aan dat bepaalde gegevens worden gedeeld met andere entiteiten binnen de groep (Facebook, Instagram). De AVG beperkt deze praktijk in Europa, maar elimineert deze niet volledig.
Wat de metadata onthullen zonder een enkel bericht te lezen
- Het netwerk van contacten: de lijst van nummers waarmee je communiceert, de frequentie en duur van de interacties, de groepen waartoe je behoort
- De verbindingsgewoonten: actieve uren, tijd besteed aan de app, type apparaat en versie van het besturingssysteem
- De indirecte locatie: het IP-adres op het moment van verbinding maakt het mogelijk om het geografische gebied te schatten, zelfs zonder locatie delen in te schakelen
AVG-boete en transparantie: wat de Europese regelgeving heeft veranderd
In 2021 heeft de Ierse Data Protection Commission een boete van 225 miljoen euro aan WhatsApp opgelegd. De beschuldiging betrof het niet naleven van de transparantieverplichtingen zoals voorgeschreven door de AVG, niet de inhoud van de berichten zelf.
WhatsApp informeerde gebruikers niet voldoende over hoe hun gegevens werden verwerkt en gedeeld met Meta. Het probleem was het gebrek aan duidelijkheid, geen technische tekortkoming.
Het Hof van Justitie van de Europese Unie bevestigde vervolgens, in februari 2026, dat de bindende beslissingen van het Europees Comité voor gegevensbescherming rechtstreeks konden worden aangevochten bij de Europese rechtbanken. Het beroep van WhatsApp op de inhoud was op dat moment nog in behandeling. Dit geschil toont aan dat de regelgevende strijd niet alleen gaat over wat WhatsApp met je gegevens doet, maar ook over wat de app je hierover vertelt.
WhatsApp-privacy-instellingen: de instellingen die je nu moet controleren
In plaats van algemene adviezen op te sommen, richten we ons op de instellingen die een reëel effect hebben en die de meeste gebruikers standaard laten staan.
Twee-staps verificatie
Toegankelijk in Instellingen, vervolgens Account. Je stelt een zes-cijferige PIN in die periodiek wordt gevraagd en bij elke registratie van het nummer op een nieuw apparaat. Dit is de meest effectieve bescherming tegen accountovername, een veelvoorkomende phishingtechniek waarbij een derde partij probeert je nummer op zijn eigen telefoon te registreren.
Zichtbaarheid van profiel en status
Standaard zijn de profielfoto, de status en het tijdstip van de laatste verbinding zichtbaar voor alle contacten. Je kunt elk van deze elementen beperken tot “Mijn contacten” of “Niemand” in de privacy-instellingen. Dit is geen gadget: het tijdstip van de laatste verbinding, in combinatie met andere informatie, vergemakkelijkt sociale engineering.
Vervaltijd van berichten
Je kunt de automatische verdwijning van berichten na 24 uur, 7 dagen of 90 dagen inschakelen, per gesprek of standaard voor alle nieuwe gesprekken. Voor uitwisselingen met gevoelige documenten (identiteitsbewijzen, bankgegevens) beperkt de vervaltijd het blootstellingsvenster in geval van ongeautoriseerde toegang tot de telefoon.
- Schakel de end-to-end versleutelde back-up in en sla het wachtwoord op in een speciale manager
- Stel de twee-staps verificatie in met een zes-cijferige PIN
- Beperk de zichtbaarheid van de profielfoto, status en het tijdstip van de laatste verbinding
- Gebruik vervaltijd voor het verzenden van gevoelige documenten
WhatsApp biedt een hoger niveau van bescherming van de inhoud van berichten dan veel populaire berichtenservices. De concrete beperking ligt aan de kant van de metadata, de standaard niet-versleutelde cloudback-ups en het gebrek aan transparantie over het delen van gegevens met Meta. De echte beveiliging hangt net zozeer af van de instellingen die je activeert als van de encryptie zelf.
