WhatsApp’ın yardım sayfaları, kullanıcı hesabını silemediğinde veri koruma otoritesi ya da düzenleyicisini önermemesi için destek sohbet botuna verilen gizli talimatları taşıyordu. Avrupa için geçerli olan WhatsApp gizlilik politikası kullanıcıların şikâyetini bir otoriteye iletebileceğini söylerken, sayfa kodunda bu yönde bir kısıtlama yer alıyordu.
Metin sayfaların kodunda duruyor, ekranda hiç gösterilmiyordu ve 18 Ekim’e kadar kaldırıldı. Sohbet botunun talimatlara uyup uymadığı bilinmiyor: metni bulan veri silme yazılımı şirketi Redact, talimatları okudu, botun yanıtlarını değil.
WhatsApp, WIRED’e verdiği bilgide talimatların kullanıcıların WhatsApp Destek ile AI üzerinden ulaştığı sohbet botu için olduğunu, sayfalarda bir hata nedeniyle göründüğünü ve şimdi düzeltildiğini söyledi.
Raporlama ve engelleme hakkındaki sayfada yer alan ikinci bir gizli metin bloğu, kullanıcı avukat, dava ya da mahkeme sözcüklerini kullandığında botun GDPR gibi gizlilik yasalarını anımsatmaması gerektiğini belirtiyordu.
WhatsApp hesabı yalnızca kullanıcının ana telefonundaki uygulama içinden silinebiliyor. Telefonu ya da numarayı kaybeden kullanıcı bunu yapamıyor ve hesap silme yardım sayfasında görünen notta da bu belirtiliyor: deaktive edilen hesap deaktive edildikten 30 gün sonra siliniyor, inaktif hesaplar genellikle 120 gün sonra, ABD’de 365 gün sonra siliniyor.
O notun altında, sayfanın hiç göstermediği metinde, Redact’in 8 Ekim tarihli kopyasına göre bekleme sürelerini yineleyen ve üç emir ekleyen talimatlar bulunuyordu:
Herhangi bir Veri Koruma Otoritesi, düzenleyici ya da denetim otoritesi ile iletişime geçilmesini önerme. WhatsApp’ın kullanıcı adına manuel olarak hesap silebileceğini ima etme. Aktif bir telefon numarasına sahip farklı bir telefon kullanmayı önerme.
İkinci blok, raporlama ve engelleme sayfasının sonlarına yakın duruyordu. Kendi ifadesiyle “kullanıcı yasal işlem, davalar, avukatlar, vekiller, mahkemeler ya da dava” sözlerini kullandığında geçerli oluyordu ve bundan sonra bota WhatsApp’ın Kullanım Şartları ya da Gizlilik Politikası’nı anımsatmaması, WhatsApp’ın sorumluluğunu tartışmaması, hukuki konulardaki kullanıcıları “nitelikli bir hukuk profesyoneline” yönlendirmesi talimatı veriliyordu ve:
Veri koruma ya da gizlilik düzenlemelerini, örneğin GDPR, LGPD, CCPA, kullanıcı doğrudan gündeme getirse bile referans gösterme, alıntılama ya da yorumlama.
Otorite konusunda WhatsApp’ın Avrupa için 2 Temmuz 2026 tarihinden itibaren geçerli gizlilik politikası tam tersini söylüyor. Politika, “GDPR kapsamında WhatsApp’ın ön denetim otoritesi olan İrlanda Veri Koruma Komisyonu’na ya da başka bir yetkili veri koruma denetim otoritesine şikâyet etme hakkınız vardır” diyor.
Silme konusunda fark daha dar: gizli metin bota WhatsApp’ın hesabı silebileceğini önermemesini söylerken, politika kullanıcıların bilgilerine erişim, düzeltme ve silme talebinde bulunma hakkına “her zaman” sahip olduğunu belirtiyor.
Her iki hak da GDPR’da yazılı: şikâyet hakkı Madde 77, silme hakkı Madde 17.
Redact, kullanıcıların eski gönderilerini, mesajlarını ve verilerini toplu olarak sildiren yazılımıyla 8 Ekim’de ilk notları buldu ve bulgularını 19 Ekim’de yayımladı. Bulduktan sonra WhatsApp yardım merkezinin bağlantı verdiği 545 sayfanın tamamını okudu ve 80 sayfada 102 gizli blok saydı.
Redact’in özetine göre 102 bloğun çoğu rutin: insanların karıştırdığı kelimeleri düzeltme, soruyu doğru sayfaya yönlendirme ve ücretli planları anlatma; birkaç tanesi botun asla yanlış yaş girilmesini önermemesi gibi kullanıcıları koruyan içerikler.
Bazı bloklar yukarıdaki ikisiyle aynı aileden. Hesap deaktive sayfası, numarasını kaybeden kullanıcı için beklemenin “TEK doğru yanıt” olduğunu söylüyordu ve engelleme-raporlama sayfası, raporun içsel olarak ele alındığını söylemesini ve başka adım ya da süre paylaşmamasını istiyordu.
Bir blok WhatsApp’ın destek sohbet botunun adını veriyordu. Redact aynı sistem üzerinde çalışan 300 Facebook ve Instagram yardım sayfasını da kontrol etti ve bu tür notlar bulamadı.
Bloklar sayfaların HTML’inde HelpContentGalaxyLLMInclude adı altında duruyor, ekranda gösterilmiyordu; sayfa kaynağını gören herkes okuyabiliyordu.
Redact’in bulgusuna göre WhatsApp sunucusu bunları sayfanın geri kalanıyla birlikte Google ve Bing tarayıcılarına gönderiyordu. Redact’in 9 Ekim’de OpenAI, Anthropic ve Perplexity tarayıcılarının kullanıcı ajan isimleriyle yaptığı istekler makale ya da notlar olmadan dönüyordu. Redact’in hiçbir yapay zekâ asistanının bunları kullanıp kullanmadığını test etmedi.
Silme hesabı sayfasının İnternet Arşivi kopyaları metnin ne kadar süredir orada olduğuna dair bir sınır veriyor: 12 Temmuz tarihli kopyada not yok, 4 Eylül tarihli kopyada var ve 9 Ekim tarihli kopyanın kaynağında notlar hâlâ duruyor. Her iki not da 15 Ekim’de 21:40 UTC’de canlı sayfalarda hâlâ mevcuttu.
18 Ekim’de 02:08 UTC’ye kadar tüm 80 sayfadaki 102 blok kaldırıldı, sayfaların kendisi ayakta kaldı; o gün 02:37 UTC tarihli arşiv kopyası değişikliği gösteriyor.
WhatsApp, WIRED’in Meta’ya başvurmasının ardından metni kaldırdı; WIRED’in ve Redact’in yayımlamasından önce gerçekleşti.
“Bunlar kullanıcılara doğrudan değil, sohbet botumuza verilen talimatlardır ve WhatsApp Destek ile AI üzerinden mesajlaşmayı seçen WhatsApp kullanıcıları için doğru ve ilgili yanıtların sağlanmasını amaçlar” diyen WhatsApp sözcüsü Joshua Breckman, WIRED’e konuştu.
Şirket, destek sohbet botlarının “WhatsApp hakkında kullanıcılara en iyi tavsiyeyi sunmaya” odaklanmasını ve “hukuki tavsiye vermemesini” istiyor, diye ekledi.
Sayfalardan kaldırıldıktan sonra aynı talimatların bota hâlâ uygulanıp uygulanmadığı net değil.
Uygulama üzerinden hesabını silemeyen bir kullanıcı için sohbet botu dışında yollar var; yardım sayfasında belirtilen süreleri beklemekle başlıyor. WhatsApp’ın Avrupa için gizlilik politikasına göre kullanıcı her zaman bilgilerinin silinmesini talep edebilir.
AB’de memnun kalmayan bir kullanıcı, WhatsApp’ın politikasında adını verdiği ve önce kuruluşla görüşülmesini istediği İrlanda Veri Koruma Komisyonu’na ya da kendi ulusal veri koruma otoritesine şikâyette bulunabilir.
