Ja, WhatsApp-automatisering kan binnen de AVG, mits je drie dingen regelt: aantoonbare opt-in voordat je iemand een bericht stuurt, dataminimalisatie (alleen verwerken en bewaren wat nodig is) en een verwerkersovereenkomst met je platform. Deel geen bijzondere persoonsgegevens via WhatsApp — geen medische gegevens, geen BSN — en informeer klanten in je privacyverklaring dat je WhatsApp als kanaal gebruikt.
Opt-in: wat geldt en wat niet
Opt-in betekent dat de klant duidelijk heeft ingestemd met contact via WhatsApp, en weet waarover. Zet het expliciet en apart neer, en leg vast wanneer en waar het is gegeven.
- Geldig: een aangevinkt vakje bij het afrekenen met vermelding van het onderwerp
- Geldig: de klant stuurt jou zelf een bericht (voor service, niet voor marketing)
- Geldig: een QR-code of klik-naar-WhatsApp-link waarbij duidelijk is waarvoor je hem gebruikt
- Niet geldig: een telefoonnummer uit een oud bestand zonder toestemming
- Niet geldig: opt-in voor e-mail hergebruiken voor WhatsApp-marketing
Marketing vraagt aparte toestemming
Toestemming voor service-informatie dekt geen aanbiedingen. Wil je marketing sturen, vraag daar dan een apart vinkje voor en zorg dat afmelden in één handeling kan. Een afmeldknop in je flow die de opt-out ook echt vastlegt, is de nette uitvoering.
Dataminimalisatie en bewaartermijnen
- Vraag alleen gegevens die je voor deze flow nodig hebt
- Sla antwoorden op in je eigen systeem, niet eindeloos in het gesprek
- Stel een bewaartermijn vast en houd je eraan
- Zet geen bijzondere persoonsgegevens in WhatsApp-berichten
Verwerkersovereenkomst
Als platform verwerken wij persoonsgegevens namens jou. Daarvoor is een verwerkersovereenkomst nodig; die stellen wij beschikbaar, zie onze verwerkersovereenkomst. Meta is voor het WhatsApp-kanaal zelf een eigen verwerker, met eigen voorwaarden waar je akkoord op geeft bij de onboarding.
Let op: dit is geen juridisch advies
Wij zijn een softwareleverancier, geen juristen. Verwerk je gevoelige gegevens of werk je in een gereguleerde sector, laat je opzet dan toetsen door een privacyjurist of je functionaris gegevensbescherming.
Veelgestelde vragen
Mag ik een klant een WhatsApp-bericht sturen zonder opt-in?
Nee. Voor berichten die jij initieert is opt-in vereist. Reageren op een bericht dat de klant zelf stuurde mag wel — dat is service binnen het 24-uurs venster.
Staan de gegevens in de EU?
Dat hangt af van de betrokken partijen. Vraag ons om de actuele verwerkingsdetails en subverwerkers; voor Meta gelden de voorwaarden van WhatsApp Business zelf.
Mag ik medische of gevoelige gegevens via WhatsApp uitwisselen?
Doe dat niet. Houd het bij logistiek — afspraken, herinneringen — en gebruik voor inhoudelijke of medische informatie een beveiligd kanaal dat daarvoor bedoeld is.
Hoe leg ik opt-in aantoonbaar vast?
Bewaar bij het contact wanneer, waar en waarvoor toestemming is gegeven, bijvoorbeeld als veld in je CRM dat je flow meestuurt.