WhatsApp claimt dat alle gesprekken end-to-end versleuteld zijn. Deze bescherming geldt voor tekstberichten, spraakoproepen en het delen van media. Ze is gebaseerd op het Signal-protocol, een opensourceprotocol dat regelmatig door beveiligingsonderzoekers wordt gecontroleerd. De versleuteling dekt echter niet alle informatielagen die met het gebruik van de app samenhangen. Daardoor blijven er verschillende grijze zones bestaan die niet worden opgelost door de standaardinstellingen.
WhatsApp-back-ups in de cloud: de zwakke schakel die niet door versleuteling wordt beschermd
End-to-endversleuteling geldt voor berichten die tussen twee apparaten worden verzonden. Zodra een back-up naar iCloud of Google Drive wordt geüpload, valt die buiten dit bereik.
Standaard zijn cloudback-ups niet end-to-end versleuteld. De aanbieder van de opslagdienst kan ze lezen en ze zijn mogelijk toegankelijk na een gerechtelijk bevel of als het cloudaccount wordt gehackt.
WhatsApp biedt een aparte optie om deze back-ups te versleutelen. Op 30 oktober 2025 kondigde Meta aan toegangssleutels (vingerafdruk, gezichtsherkenning of schermvergrendeling) toe te voegen om dit proces te beveiligen. De functie wordt geleidelijk uitgerold. Je moet de versleuteling zelf inschakelen: ga naar Instellingen, vervolgens Chats en daarna Back-up, en schakel end-to-endversleuteling van de back-up in.
Een aspect van gegevensprivacy op WhatsApp dat vaak over het hoofd wordt gezien, is dat er meer bij komt kijken dan alleen het uitwisselen van berichten: een back-up is een volledige kopie van je chatgeschiedenis, inclusief foto’s en documenten. Als je die niet versleutelt, laat je een kopie van al je gesprekken onbeveiligd achter op een server van een derde partij.
WhatsApp-metadata: wat de versleuteling niet verbergt
De inhoud van berichten blijft onleesbaar voor Meta. Metadata worden daarentegen wel verzameld en verwerkt. Telefoonnummers van contactpersonen, tijdstippen van gesprekken, gebruiksfrequentie, profielgegevens en IP-adressen tijdens gesprekken schetsen samen een gedetailleerd beeld van het gebruik.
Het Europese initiatief Klicksafe wijst erop dat WhatsApp deze metadata verwerkt op basis van de gebruiksvoorwaarden. Versleuteling beschermt de inhoud, niet de context van de communicatie. Weten wie met wie praat, op welk tijdstip en vanuit welk ongeveer geografisch gebied, levert al een bruikbare kaart van iemands sociale contacten op.
Je IP-adres beschermen tijdens gesprekken
Bij een spraak- of videogesprek worden de IP-adressen van de deelnemers standaard met elkaar uitgewisseld. Die informatie geeft een indicatie van hun locatie. WhatsApp kan gesprekken via zijn servers routeren om het IP-adres te verbergen: ga naar Instellingen, vervolgens Privacy en daarna Geavanceerd, en schakel ‘IP-adres beschermen tijdens gesprekken’ in.
Deze omleiding heeft een klein effect op de geluidskwaliteit. Voor gewone gesprekken is dat een aanvaardbaar compromis, maar houd er rekening mee dat deze optie standaard is uitgeschakeld.
Geavanceerde privacy voor chats en de praktische beperkingen
De functie Geavanceerde privacy voor chats, die WhatsApp op 23 april 2025 aankondigde, is bedoeld om een specifiek risico tegen te gaan: het ongewenst verspreiden van de inhoud van een gesprek. De functie voorkomt dat een chat wordt geëxporteerd en dat media automatisch door deelnemers worden gedownload.
Deze optie is bedoeld voor gevoelige groepen, zoals steungroepen en besloten professionele kringen. Het gaat niet om versleuteling, maar om controle over het gebruik van berichten nadat ze zijn ontvangen.
De belangrijkste technische beperking is dat niets een deelnemer ervan weerhoudt een foto van het scherm te maken of een bericht handmatig over te schrijven. De functie bemoeilijkt automatische verspreiding, maar voorkomt geen opzettelijke verspreiding. Elke gebruiker of groepsbeheerder moet de functie zelf inschakelen.
Meta AI en toegang tot WhatsApp-gesprekken
De integratie van Meta AI in WhatsApp roept een directe vraag op: leest de assistent privégesprekken mee? Volgens de hulppagina’s en voorwaarden van Meta heeft de assistent alleen toegang tot berichten die een gebruiker rechtstreeks naar hem stuurt of waarin hij expliciet wordt genoemd.
Meta AI gebruiken is dus een bewuste handeling, los van gewone berichtenuitwisseling. Gesprekken tussen gebruikers worden niet zonder expliciete actie naar Meta AI doorgestuurd.
Bij groepsgesprekken ligt dat iets anders: als een deelnemer Meta AI in een groep noemt, krijgt de assistent toegang tot het betreffende bericht. De andere groepsleden moeten zich daarvan bewust zijn, ook al blijft end-to-endversleuteling van toepassing op de gesprekken tussen mensen in diezelfde groep.
Instellingen om te controleren en je gegevens beter te beschermen
Naast de hierboven besproken punten zijn er verschillende instellingen die je regelmatig moet controleren:
- Tweestapsverificatie voegt bij elke nieuwe aanmelding een pincode van zes cijfers toe. Je vindt deze optie onder Instellingen, vervolgens Account en daarna Tweestapsverificatie. Zonder deze beveiliging kan een aanvaller die de verificatie-sms onderschept de controle over je account overnemen.
- Je kunt de zichtbaarheid van je profielfoto, status en tijdstip van je laatste activiteit beperken tot alleen je contacten. Standaard zijn deze gegevens zichtbaar voor alle WhatsApp-gebruikers, waardoor onbekenden je profiel gemakkelijker kunnen samenstellen.
- Met de instellingen voor het toevoegen aan groepen bepaal je wie je aan een groep mag toevoegen. Ga naar Instellingen, vervolgens Privacy en daarna Groepen. Kies ‘Mijn contacten’ of ‘Mijn contacten behalve…’ om ongewenste toevoegingen te voorkomen.
- Door een e-mailadres aan je account toe te voegen, beschik je over een extra manier om je account te herstellen als je de toegang verliest. Deze staat los van je telefoonnummer.
Europese regelgeving en het delen van gegevens met Meta
De Digital Markets Act (DMA) verplicht Meta tot interoperabiliteit en meer transparantie over de verwerking van gegevens. In de Europese Economische Ruimte hanteert WhatsApp een specifiek privacybeleid dat het delen van gegevens met andere Meta-bedrijven regelt.
Het delen van metadata tussen WhatsApp en Facebook of Instagram voor advertentiedoeleinden is in Europa aan beperkingen onderworpen sinds de invoering van de AVG en later de DMA. Europese gebruikers genieten een sterker regelgevend kader dan gebruikers in andere regio’s. Toch blijft de grens tussen gegevens die nodig zijn om de dienst te laten werken en gegevens die voor commerciële doeleinden worden gebruikt, onderwerp van geschillen tussen Meta en toezichthouders.
De privacyinstellingen van WhatsApp vervangen geen waakzaamheid ten aanzien van het bredere ecosysteem. Een beveiligd WhatsApp-account dat back-ups maakt naar een niet-versleutelde cloud, in combinatie met een Meta-account waarbij het delen van gegevens niet is beperkt, biedt slechts gedeeltelijke bescherming. De instellingen van de verschillende diensten op elkaar afstemmen blijft doorslaggevend.
