Al twee decennia is je telefoonnummer je online identiteit. Het logt je in bij apps, ontvangt je eenmalige wachtwoorden en reist stilletjes door elk zakelijk chatgesprek dat je start. Op WhatsApp is het altijd het ding aan het andere uiteinde van het gesprek geweest — het nummer dat een merk ziet op het moment dat je "hallo" zegt.
Dat staat op het punt te veranderen. En de stille technische beslissing daarachter, een nieuwe identifier genaamd de Business-Scoped User ID, zou wel eens een van de meest betekenisvolle verschuivingen in privacy kunnen zijn die de berichtwereld in jaren heeft gezien.
Wat is een Business-Scoped User ID?
Een Business-Scoped User ID — afgekort BSUID — is een unieke code die een WhatsApp-gebruiker identificeert voor een specifiek bedrijf, zonder het telefoonnummer van die gebruiker te onthullen. Volgens de ontwikkelaarsdocumentatie van Meta "identificeert een BSUID uniek een WhatsApp-gebruiker en is deze gekoppeld aan een specifiek bedrijf."
Het formaat is bewust eenvoudig: een ISO 3166 alpha-2 landcode, een punt en tot 128 alfanumerieke tekens. In de praktijk ziet het eruit als US.13491208655302741918 — een reeks zonder betekenis voor een mens, en zonder mogelijkheid om het te bellen.
Dit is het belangrijkste deel, en het is gemakkelijk te missen. Dezelfde persoon krijgt een verschillende BSUID voor elk bedrijf waarmee hij spreekt. Jouw BSUID bij je luchtvaartmaatschappij is niet jouw BSUID bij je bank, en ze kunnen niet met elkaar worden vergeleken. Zoals Spotler uitlegt, is dit opzettelijk: "Bedrijf A kan een BSUID niet gebruiken om de activiteiten of interacties van een gebruiker met Bedrijf B te volgen."
Die enkele ontwerpkeuze is wat een BSUID onderscheidt van simpelweg "het nummer verbergen." Een telefoonnummer is een universele sleutel — zodra een bedrijf het heeft, kan het worden gekoppeld, verkocht, samengevoegd in een dossier van een databroker en gekoppeld aan alles wat je verder doet. Een business-scoped identifier is een sleutel die slechts één deur opent.
Waarom nu? De gebruikersnaamfunctie
BSUIDs zijn niet uit het niets ontstaan. Ze vormen de infrastructuur voor een functie die WhatsApp-gebruikers al lange tijd willen: gebruikersnamen.
Vanaf 2026 zal WhatsApp optionele gebruikersnamen uitrollen — handles zoals @jouwnaam waarmee je bedrijven kunt berichten en bellen zonder je telefoonnummer überhaupt te geven. De documentatie van Microsoft over de wijziging beschrijft de gebruikersnaam als de publieke identiteit en de BSUID als de private backend-referentie waarmee het bedrijf het gesprek kan voortzetten.
De regels zijn eenvoudig. Volgens berichtgeving van India TV News moeten gebruikersnamen 3 tot 35 tekens lang zijn, ten minste één letter bevatten en alleen letters, cijfers, punten en underscores gebruiken. Je telefoonnummer blijft aan je account gekoppeld voor inloggen, authenticatie en herstel — het wordt simpelweg niet meer zichtbaar voor de bedrijven die je via je gebruikersnaam contacteert.
Twee details maken dit echt gebruikersgericht. Ten eerste is het volledig optioneel: als je de manier waarop WhatsApp nu werkt prettiger vindt, verander je niets. Ten tweede is het gratis — er zijn geen kosten verbonden aan het aanmaken, wijzigen of verwijderen van een gebruikersnaam.
WhatsApp voegt ook een optionele beveiliging toe genaamd een "username key," een korte pincode die iemand naast je handle nodig heeft voordat ze je hoofdinbox kunnen bereiken. Het is een klein detail dat een echt gat dicht: een publieke gebruikersnaam zou anders door iedereen geraden of bericht kunnen worden.
Hoe de veiligheid verandert voor gewone mensen
Om te begrijpen waarom dit een grote zaak is, moet je onthouden hoeveel schade een gelekt telefoonnummer kan aanrichten.
Je nummer is de spil van SIM-swapping fraude, waarbij een oplichter een provider ervan overtuigt je nummer naar hun SIM te verplaatsen en vervolgens je beveiligingscodes onderschept. Het is de bron voor metadata-harvesting, waarbij brokers een profiel samenstellen rond de enige identifier die je nooit gemakkelijk kunt veranderen. En het is het ding dat op spamlijsten belandt na een enkele transactie met een onvoorzichtige handelaar.
Door mensen via een gebruikersnaam en een business-scoped code met bedrijven te laten communiceren, verwijdert WhatsApp het nummer volledig uit die uitwisseling. De berichtgeving van het Mobile Ecosystem Forum omschrijft de zet als een directe reactie op langdurige kwetsbaarheden — het soort structurele oplossingen dat mensen beschermt die nooit een beveiligingsgids zullen lezen.
Denk aan wie er het meeste baat bij heeft. Een slachtoffer van huiselijk geweld dat bij een apotheek moet bestellen zonder een bereikbaar nummer te lekken. Een journalist die contact opneemt met de organisatie van een bron. Een tiener die concerttickets koopt bij een merk waarmee hij nog nooit eerder zaken heeft gedaan. Voor hen allemaal is "bericht dit bedrijf zonder je nummer te geven" geen gemak — het is een veiligheidsfunctie.
Er is ook een stiller voordeel. Wanneer je nummer niet in de webhook-payload zit, staat het niet in de database van een bedrijf te wachten om gehackt te worden. Je kunt niet lekken wat je nooit hebt verzameld. Dat principe — dataminimalisatie — is al jaren het heilige graal van privacywetgeving. BSUIDs verankeren dit in het protocol zelf.
Waarom dit wereldwijd anders landt
WhatsApp is niet één markt; het zijn er tientallen, en de BSUID zal in elke markt iets anders betekenen.
In Europa leest de wijziging bijna als een cadeau voor compliance. Het dataminimalisatieprincipe van de AVG vereist dat bedrijven alleen de persoonlijke gegevens verzamelen die ze daadwerkelijk nodig hebben. Een telefoonnummer dat "voor het geval dat" wordt verzameld, heeft altijd in een grijs gebied gezeten. Een business-scoped identifier die een bedrijf in staat stelt een klant te bedienen zonder ooit een telefoonnummer op te slaan, is in feite de bedoeling van de regelgeving, uitgedrukt als een technische standaard. Bedrijven die onder Europese regels opereren, kunnen merken dat gebruikersnamen hun compliance-oppervlak stilletjes verkleinen.
In markten zoals India, Brazilië en Indonesië — waar WhatsApp niet alleen een app is, maar het primaire kanaal voor handel, overheidsdiensten en dagelijkse zaken — liggen de belangen anders. Dit zijn plaatsen waar een gelekt nummer een onophoudelijke stroom aan spamtelefoontjes, intimidatie via lening-apps en fraude kan betekenen. Voor honderden miljoenen eerste internetgebruikers is de mogelijkheid om transacties te verrichten zonder een permanent, belbaar identifier bloot te leggen een betekenisvolle upgrade in de dagelijkse veiligheid, geen niche privacyvoorkeur.
De gemene deler is dat WhatsApp de private keuze de makkelijke keuze maakt. Historisch gezien betekende het beschermen van je nummer frictie — een tweede SIM-kaart, een wegwerpsim, een weigering om deel te nemen. Gebruikersnamen en BSUIDs verplaatsen die bescherming naar de standaard workflow, waar de mensen die het het hardst nodig hebben, de kans hebben om het daadwerkelijk te gebruiken.
Credit waar het verschuldigd is: dit is iets dat moeilijk goed te doen is
Het is de moeite waard om even stil te staan bij wat Meta hier daadwerkelijk heeft gebouwd, want privacyfuncties zijn gemakkelijk aan te kondigen maar moeilijk te ontwerpen.
De naïeve versie van "verberg mijn nummer" breekt alles. Bedrijven hebben nog steeds een stabiele manier nodig om een terugkerende klant te herkennen, een supportticket te routeren of de verzendupdate te sturen waar je om hebt gevraagd. Als de identifier bij elke sessie zou veranderen, zou handel op WhatsApp simpelweg stoppen met werken. Als de identifier overal dezelfde zou zijn, zou je net een nieuwe universele tracking-sleutel hebben uitgevonden — privacy-theater met extra stappen.
De business-scoped aanpak lost dit op. De ID is stabiel genoeg voor een bedrijf om een echte relatie met je te onderhouden, en nauw genoeg afgebakend zodat de relatie niet tussen bedrijven kan worden gekoppeld. Dat is een zorgvuldig, principieel stuk ontwerp, en Meta verdient credit voor het leveren ervan als de standaardarchitectuur in plaats van een verborgen instelling.
Meta heeft de overgang ook doordacht aangepakt. Zoals het changelog van Twilio opmerkt, verliezen bedrijven die al een telefoonnummer van een klant hebben uit eerdere gesprekken dit niet — ze kunnen zoals voorheen berichten blijven sturen naar bekende contacten. De bestaande relaties van niemand gaan op dag één kapot. Het nieuwe model is over het oude model heen gebouwd, niet er bovenop gedropt.
Wat bedrijven moeten aanpassen
Voor de bedrijven die klanten berichten op WhatsApp, zijn BSUIDs minder een bedreiging dan een waarschuwing. Een paar praktische zaken veranderen.
De belangrijkste: er kan niet langer van uitgegaan worden dat telefoonnummers beschikbaar zijn. Wanneer een gebruiker een gebruikersnaam aanneemt, verschijnt hun nummer mogelijk simpelweg niet in de webhook die jouw systemen ontvangen. In plaats daarvan, zoals de Vonage kennisbank beschrijft, krijg je een BSUID in de to en from velden. Elk systeem dat het telefoonnummer als primaire klant-sleutel gebruikt — CRM's, ticketing-tools, analytics — moet leren om de BSUID ook als een geldige identifier te behandelen.
Er is één opmerkelijke uitzondering. Volgens de documentatie van Meta vereisen one-tap, zero-tap en copy-code authenticatie-sjablonen — de OTP-berichten die je krijgt bij het inloggen — nog steeds een telefoonnummer en kunnen ze niet naar een BSUID worden verzonden. Dat is logisch: die flows bestaan juist om een nummer te verifiëren. Standaard marketing-, utility- en servicegesprekken werken echter wel met alleen een BSUID.
Er is ook een afbakeningsregel die het waard is om te weten. BSUIDs zijn gekoppeld aan een business portfolio, dus alleen telefoonnummers binnen hetzelfde portfolio kunnen een gegeven BSUID berichten. Voor de meeste bedrijven is dit onzichtbaar; voor grote organisaties die meerdere merken onder aparte portfolio's draaien, is het een detail om rekening mee te houden.
De eerlijke conclusie voor bedrijven is dat dit goede datahygiëne beloont en shortcuts straft. Bedrijven die stilletjes vertrouwden op het verzamelen en doorverkopen van nummers, zullen merken dat de bron opdroogt. Bedrijven die een gesprek verdienen en dit goed verzorgen, zullen nauwelijks verschil merken.
De tijdlijn
Dit is geen verandering voor 'ooit' — het is een verandering met een vaste datum. Op basis van richtlijnen samengesteld door aanbieders waaronder Twilio en de eigen documentatie van Meta, verloopt de uitrol ongeveer als volgt:
- Begin april 2026: BSUIDs beginnen te verschijnen in webhook-payloads, en gebruikersnamen gaan in beperkte bèta.
- Mei 2026: API-ondersteuning komt beschikbaar voor het berichten van gebruikers met alleen hun BSUID. Je zult mensen kunnen bereiken via BSUID, telefoonnummer, of beide.
- Juni 2026: De bredere wereldwijde uitrol van WhatsApp-gebruikersnamen begint.
Voor een functie die stilletjes de manier waarop meer dan een miljard mensen zichzelf aan bedrijven identificeren, hertekent, is dat een opmerkelijk korte termijn. De systemen die dit soepel afhandelen, zijn de systemen die nu worden voorbereid.
Het grotere plaatje
Als je even afstand neemt, is de BSUID onderdeel van een verhaal dat veel groter is dan het instellingenmenu van één app.
Al dertig jaar is de standaard op het internet om mensen te identificeren via iets permanent en herbruikbaars — een e-mailadres, een telefoonnummer, een nationaal ID. Dat model is efficiënt en catastrofaal lekgevoelig. Elk hergebruik is een kans om gevolgd, samengevoegd en blootgesteld te worden. Het opkomende alternatief, zichtbaar in alles van de private relay-e-mails van "Sign in with Apple" tot Apples Hide My Email, is 'scoped identity': geef elke relatie zijn eigen wegwerpsleutel, en de lekken stapelen zich niet langer op.
Dat WhatsApp een business-scoped identifier in het centrum plaatst van hoe een derde van de planeet met bedrijven communiceert, is de grootste poging tot de implementatie van dat idee tot nu toe. Als het werkt — als gebruikersnamen populair worden en bedrijven zonder frictie zich aanpassen — dan normaliseert het de verwachting dat je met een bedrijf zou moeten kunnen omgaan zonder een permanent deel van jezelf op te geven.
Het telefoonnummer zal niet van de ene op de andere dag verdwijnen. Maar voor het eerst is het niet langer de toegangsprijs voor een gesprek. Dat is een kleine wijziging in de webhook-payload van een ontwikkelaar, en een grote verandering in de wereld.
