WhatsApp is handig, maar niet veilig voor persoonsgegevens
Het is een herkenbaar scenario: je hebt een schoonmaakbedrijf, thuiszorgorganisatie of installatiebedrijf. Medewerkers moeten weten bij welke klant ze vandaag langs gaan. Dus stuur je even snel de naam, het adres, het telefoonnummer en misschien een toegangscode via de WhatsApp-groep. Makkelijk, snel, iedereen heeft het.
Maar onder de GDPR (in het Nederlands ook AVG genoemd) is dit een serieus probleem. Je deelt persoonsgegevens van klanten via een platform waarover je als organisatie geen enkele controle hebt.
Finse schoonmaakbedrijf: beboet voor WhatsApp-gebruik
Dit is geen theoretisch risico. De Finse toezichthouder (tietosuojavaltuutetun toimisto) behandelde een zaak tegen een schoonmaakbedrijf dat WhatsApp gebruikte om werkopdrachten te delen met personeel. Via WhatsApp-groepen werden klantnamen, adressen, telefoonnummers en zelfs beveiligingscodes van woningen gedeeld.
De Finse DPA oordeelde dat het bedrijf drie GDPR-verplichtingen had geschonden:
- Integriteit en vertrouwelijkheid (Artikel 5(1)(f)) - persoonsgegevens werden gedeeld via een kanaal zonder adequate beveiligingsmaatregelen
- Privacy by design (Artikel 25) - het bedrijf had geen privacyvriendelijk systeem ingericht voor het delen van werkopdrachten
- Beveiligingsmaatregelen (Artikel 32) - er waren geen passende technische en organisatorische maatregelen genomen om de gegevens te beschermen
Het bedrijf kreeg een berisping en de opdracht om een geschikt systeem te implementeren. Bij herhaling dreigt een boete.
Waarom WhatsApp ongeschikt is voor bedrijfsgegevens
De problemen met WhatsApp voor zakelijk gebruik van persoonsgegevens zijn fundamenteel:
Geen controle over gegevens. Zodra je een bericht stuurt in een groep, kan elke deelnemer het doorsturen, opslaan of screenshot maken. Je kunt berichten niet op afstand wissen van andermans telefoon.
Verloren of gestolen telefoons. Als een medewerker zijn telefoon verliest, liggen alle klantgegevens uit de WhatsApp-groep op straat. Je kunt de toegang niet op afstand intrekken.
WhatsApp-voorwaarden verbieden zakelijk gebruik. De gebruiksvoorwaarden van WhatsApp staan het versturen van gegevens van derden voor zakelijke doeleinden niet toe zonder aanvullende regelingen. Je kunt geen verwerkersovereenkomst sluiten met WhatsApp voor dit gebruik.
Metadata gaat naar Meta. WhatsApp deelt metadata (wie communiceert met wie, wanneer, hoe vaak) met moederbedrijf Meta. Voor berichten binnen de EU geldt end-to-end encryptie, maar de metadata is niet beschermd.
Geen audittrail. Je kunt niet aantonen welke gegevens wanneer met wie zijn gedeeld, en of ze zijn verwijderd. Bij een controle door de toezichthouder kun je niet laten zien dat je “in control” bent.
Wat zijn de alternatieven?
Je hoeft niet terug naar pen en papier. Er zijn voldoende alternatieven die wel geschikt zijn:
- Zakelijke communicatieplatformen zoals Microsoft Teams of Slack, waarmee je gebruikers kunt beheren, toegang kunt intrekken en verwerkersovereenkomsten kunt sluiten
- Signal als je een eenvoudige, versleutelde messenger wilt zonder datadeling met techbedrijven (maar ook Signal biedt beperkte beheermogelijkheden)
- Planningssoftware die speciaal is ontworpen voor buitendienstmedewerkers, met rolgebaseerde toegang en automatische verwijdering
- Beveiligde portalen waar medewerkers hun opdrachten kunnen inzien zonder dat de gegevens op hun persoonlijke telefoon worden opgeslagen
Het belangrijkste criterium: kun je als organisatie de toegang beheren, gegevens wissen en aantonen dat je de controle hebt?
Wat moet je nu doen?
- Stop met het delen van persoonsgegevens via WhatsApp. Dit geldt voor klantnamen, adressen, telefoonnummers, beveiligingscodes en alle andere gegevens die naar een persoon herleidbaar zijn.
- Kies een geschikt alternatief en documenteer waarom je voor dit platform hebt gekozen.
- Stel een intern beleid op over welke communicatiemiddelen medewerkers mogen gebruiken voor welke gegevens.
- Train je personeel. Leg uit waarom WhatsApp niet geschikt is en hoe ze het alternatief moeten gebruiken.
- Documenteer dit in je verwerkingsregister. Welke tools gebruik je om persoonsgegevens te delen? Met wie? Op welke grondslag?
GDPRWise helpt je om in kaart te brengen welke communicatiemiddelen en systemen je gebruikt voor persoonsgegevens. Inclusief aanbevelingen voor veilige alternatieven.