WhatsApp verstopte verborgen instructies in hulppagina's die zijn AI-chatbot opdroegen geen privacytoezichthouders aan te bevelen bij accountverwijderingsproblemen.
WhatsApp heeft in de code van zijn hulppagina's verborgen instructies geplaatst voor zijn AI-ondersteuningschatbot, waarin deze werd opgedragen gebruikers niet door te verwijzen naar een privacytoezichthouder of gegevensbeschermingsautoriteit wanneer zij hun account niet konden verwijderen. Dit terwijl de privacyverklaring van WhatsApp voor Europa gebruikers juist expliciet het recht geeft om een klacht in te dienen bij een toezichthoudende autoriteit.
De verborgen tekst, die nooit zichtbaar was voor gebruikers, werd op 18 oktober verwijderd. Het is onduidelijk of de chatbot deze instructies daadwerkelijk heeft opgevolgd, aangezien het bedrijf Redact, dat de tekst ontdekte, alleen de instructies zelf heeft gelezen en niet de antwoorden van de chatbot. WhatsApp verklaarde aan WIRED dat de instructies bedoeld waren voor de AI-chatbot die gebruikers bereiken via WhatsApp Support en dat de tekst door een inmiddels verholpen bug in de pagina's was terechtgekomen.
Daarnaast bevatte een tweede verborgen tekstblok op een pagina over rapporteren en blokkeren een instructie aan de chatbot om bij het noemen van juridische termen zoals advocaat, rechtszaak of rechtbank geen privacywetgeving zoals de GDPR te citeren. In plaats daarvan moest de chatbot gebruikers met juridische vragen doorverwijzen naar een gekwalificeerde jurist en geen verwijzingen maken naar WhatsApp’s aansprakelijkheid of privacyvoorwaarden.
Een WhatsApp-account kan alleen via de app op het hoofdtelefoonnummer van de gebruiker worden verwijderd. Gebruikers die hun telefoon of nummer kwijt zijn, kunnen dit niet zelf doen. De zichtbare hulppagina vermeldt dat een gedeactiveerd account na 30 dagen wordt verwijderd en een inactief account na 120 dagen, of 365 dagen in de VS. Onder deze zichtbare tekst stond in de code een instructie die de chatbot opdroeg om geen contact met een gegevensbeschermingsautoriteit aan te bevelen, niet te suggereren dat WhatsApp accounts handmatig kan verwijderen, en niet aan te raden een ander telefoonnummer te gebruiken.
De privacyverklaring van WhatsApp voor Europa, die sinds 2 juli 2026 van kracht is, stelt daarentegen dat gebruikers het recht hebben om klachten in te dienen bij de Ierse gegevensbeschermingscommissie of een andere bevoegde toezichthouder. Ook hebben gebruikers volgens de GDPR altijd het recht op inzage, rectificatie en verwijdering van hun gegevens, rechten die in artikel 77 en artikel 17 van de GDPR zijn vastgelegd.
Redact, dat software ontwikkelt voor het massaal verwijderen van gebruikersdata, ontdekte de eerste verborgen instructies op 8 oktober en publiceerde de bevindingen op 19 oktober. Na onderzoek van alle 545 pagina’s die via het WhatsApp-helpcentrum toegankelijk zijn, telde Redact 102 verborgen tekstblokken verspreid over 80 pagina’s. De meeste betroffen routinematige aanwijzingen, zoals het corrigeren van verwarrende termen of het verwijzen naar de juiste pagina. Een aantal instructies, waaronder die over accountdeactivering en rapporteren, gaven de chatbot echter strikte richtlijnen die de communicatie richting gebruikers beperkten.
