CBP dreigt met dwangsom WhatsApp wegens privacyschending

Het College Bescherming Persoonsgegevens (CPB) is van plan actie te ondernemen tegen privacyschendingen door WhatsApp. De berichtendienst handelt in strijd met de wet, door mobiele telefoonnummers te verzamelen van miljoenen mensen die helemaal geen gebruik maken van WhatsApp. Het CBP bracht afgelopen jaar een rapport uit over privacyschendingen van WhatsApp, maar wacht nog steeds op een reactie van de advocaat van WhatsApp. WhatsApp neemt van elke gebruiker het volledige adresboek over, zo blijkt uit de voorwaarden. De dienst slaat daardoor ook telefoonnummers op van contactpersonen die zelf helemaal geen gebruik maken van WhatsApp. Dat is volgens CBP onwettig.

“Zo kom je aan gegevens van mensen die daar nooit toestemming voor hebben gegeven”, aldus CBP-voorzitter Jacob Kohnstamm. Het onderzoeksrapport dat vorig jaar uitkwam, werd opgesteld in samenwerking met de Canadese privacytoezichthouder Office of the Privacy Commissioner. In het rapport wordt bezwaar gemaakt over drie zaken: het ongevraagde gebruik van adresboekgegevens, het feit dat berichten makkelijk te onderscheppen waren en de matige beveiliging van de dienst.

Door gebruikers te verplichten adresboekgegevens te delen, zou WhatsApp in strijd zijn met het Nederlands en Europese privacyrecht. Ook in Canada schendt WhatsApp volgens het onderzoek de wet. Na het Nederlands-Canadese onderzoek besloten het CBP en het Canadese OPC de zaak verder individueel af te handelen, omdat in Nederland en Canada verschillende wetgeving geldt.

Als gebruiker kun je er trouwens zelf iets aan doen: sinds iOS 6 is het mogelijk om aan te geven dat je geen adresboekgegegevens wilt delen. Maar je moet daarmee vertrouwen van het privacybewustzijn van vrienden, om te voorkomen dat ze hun adresboek zomaar bij allerlei online diensten ‘dumpen’. WhatsApp zegt de telefoonnummers van niet-gebruikers nodig te hebben, om ze later makkelijker te kunnen herkennen, als ze zich alsnog aanmelden bij WhatsApp. “Maar daarvoor is helemaal niet nodig om die nummers te verzamelen”, zegt Kohnstamm.

Door de overname van WhatsApp kan moederbedrijf Facebook de privégegevens van gebruikers van beide diensten nog beter in kaart te brengen. Facebook heeft straks 450 miljoen telefoonnummers van WhatsApp-gebruikers, plus nog eens honderen miljoenen telefoonnummers van mensen die WhatsApp nog niet gebruiken, maar die wel in de privé-adresboeken van whatsappers staan.

WhatsApp over contacten

In het privacybeleid van WhatsApp is te lezen hoe de app met telefoonnummers omgaat.

WhatsApp heeft periodiek toegang tot je contactenlijst op je mobiele telefoon om de telefoonnummers van andere WhatsApp-gebruikers te vinden. Andere telefoonnummers van niet-gebruikers worden opgeslagen als one-way irrevirsibly hashed values.

Het laatste betekent dat de telefoonnummers die WhatsApp uit contactenlijsten haalt en die niet voorkomen binnen de database van WhatsApp, niet uit te lezen zijn door de dienst. Het opslaan van telefoonnummers, lijkt dus alleen gebruikers van de app aan te gaan.

WhatsApp: een Amerikaanse dienst

Het standpunt van WhatsApp is dat de dienst bedoeld is voor gebruikers in de Verenigde Staten. Dat staat ook zo in de gebruiksvoorwaarden. Gebruik je WhatsApp in Europa, dan moet je er rekening mee houden dat je persoonlijke gegevens naar de VS worden gestuurd en dat er daardoor geen bescherming meer geldt van de Europese privacywetten. Het CBP is het daar niet mee eens, omdat WhatsApp een Nederlandstalige website heeft, die duidelijk niet voor Amerikanen is bedoeld. In interviews benadrukt WhatsApp CEO Jan Koum dat zijn bedrijf ethische principes nastreeft en dat gegevens ook na de overname door Facebook veilig zijn. Facebook CEO Mark Zuckerberg benadrukte gisteravond tijdens een keynotepresentatie nog eens dat WhatsApp voorzichtig blijft met gegevens. De nadruk ligt daarbij vooral op het feit of de data goed versleuteld zijn en of ze makkelijk in handen van instanties zoals de NSA kunnen komen. Of het bedrijf de data intern gebruikt om allerlei verbanden te leggen, blijft daarbij vaak onderbelicht.

En andere berichtendiensten dan?

Hoe het CBP denkt over andere berichtendiensten, is nog niet bekend. Onlangs namen we op iPhoneclub de verdienmodellen van diverse berichtendiensten onder de loep. Daarbij kwamen ook de ‘kleine lettertjes’ en de manier waarop berichtendiensten met je privacy omgaan, aan bod:

Zo verdienen chat-apps geld aan je: over privacy, advertenties en abonnementen