CBP: WhatsApp schendt nog steeds privacyregels

WhatsApp loopt nog steeds het risico om door het College bescherming persoonsgegevens (CBP) en diens Canadese partner op de vingers te worden getikt. Beide organisaties constateren verschillende overtredingen van de privacywetten.

WhatsApp heeft enkele daarvan inmiddels beëindigd en stappen ondernomen om de app uit privacyoogpunt beter te beveiligen. Een aantal overtredingen duurt op dit moment nog voort, zo laten de organisaties weten.

Het is de eerste keer dat twee nationale privacytoezichthouders van beide zijden van de oceaan gezamenlijk onderzoek doen naar de naleving van privacywetgeving door een in de Verenigde Staten gevestigd bedrijf met wereldwijd honderden miljoenen klanten.

Het onderzoek wijst uit dat gebruikers van WhatsApp – behalve iPhone-bezitters met besturingssysteem iOS 6 – verplicht zijn toegang te geven tot hun volledige elektronische adresboek. Hierin staan ook telefoonnummers van contacten die de app niet gebruiken. Dit is in strijd met Canadees en Nederlands privacyrecht. Zowel gebruikers als niet-gebruikers van de app moeten zeggenschap hebben over hun eigen persoonsgegevens. Dat betekent in ieder geval dat gebruikers van de app vrijelijk moeten kunnen beslissen welke contactgegevens zij willen delen met WhatsApp.

Bij aanvang van het onderzoek constateerden de privacytoezichthouders dat WhatsApp de berichten via de app op onversleutelde wijze verstuurde. Hierdoor konden anderen de inhoud daarvan in leesbare vorm onderscheppen. Naar aanleiding van het onderzoek heeft WhatsApp het berichtenverkeer inmiddels versleuteld.

Ook is gebleken dat WhatsApp ook op zodanige wijze wachtwoorden genereerde dat het bedrijf gebruikers bloot stelde aan het risico dat anderen hun wachtwoord konden namaken, en daarmee namens hen berichten konden versturen en lezen. WhatsApp heeft naar aanleiding van deze constatering een nieuwe methode gekozen om wachtwoorden aan te maken. Gebruikers moeten actief een nieuwe update installeren om een nieuw wachtwoord te krijgen.

Het CBP zal nu bekijken in hoeverre de geconstateerde overtredingen voortduren en beslissen of het handhavende maatregelen zal nemen.