Indias WhatsApp SIM-bindingsregel: wat verandert er in januari 2027

Indias Afdeling Telecommunicatie (DoT) heeft richtlijnen uitgevaardigd die berichtenapps en bel-apps (die Indiase mobiele nummers gebruiken voor gebruikersidentificatie) verplichten om elk account voortdurend aan de fysieke SIM-kaart gekoppeld te houden die ervoor bij inschrijving is gebruikt, aldus de staatsomroep News on Air en het nieuwsmedium TechCrunch. TechCrunch en het medium BusinessToday dateren de richtlijnen op 28 november 2025. De vereiste, bekend als SIM-binding, gaat voor gebruikers in op 1 januari 2027.

Wat SIM-binding werkelijk vereist

Volgens de DoT-order moet een app-account gekoppeld blijven aan de specifieke SIM-kaart die actief was in het apparaat toen het account werd geregistreerd of laatst geverifieerd. News on Air meldde dat de richtlijnen werden uitgevaardigd onder Indias Telecom Cyber Security Rules, die zelf op 22 oktober 2025 werden gewijzigd onder Sectie 56(2)(v) van de Telecommunications Act, 2023, volgens de digitalerechtenorganisatie Internet Freedom Foundation (IFF).

Het probleem waar de DoT zich op richt, zoals samengevat door News on Air, is dat accounts op instant-messaging en bel-apps 'blijven werken zelfs nadat de gekoppelde SIM is verwijderd, gedeactiveerd of naar het buitenland is verplaatst,' wat het ministerie zegt fraudeurs in staat stelt om frauduleuze accounts van buiten India uit te voeren.

Welke apps en gebruikers zijn getroffen

De DoT-order noemt acht apps: WhatsApp, Telegram, Signal, Snapchat, Arattai, ShareChat, Josh en JioChat, volgens News on Air, de technologiesite Digit en BusinessToday. WhatsApp is veruit de grootste van deze apps in India, met meer dan 500 miljoen gebruikers en 94% van de maandelijkse gebruikers die de app dagelijks openen in november, veel hoger dan de 59% die TechCrunch rapporteerde voor de Verenigde Staten.

BusinessToday meldt dat WhatsApp SIM-binding op Android heeft begonnen te testen, en dat Apple gerelateerde iOS-ondersteuning in september 2026 heeft toegevoegd, volgens de gadget-site Beebom. Beebom meldde ook dat Signal op het moment van rapportage niet openbaar had gereageerd op de regering notice, terwijl berichtgeving van Digit en BusinessToday Signal formeel behandelt als onder de DoT-lijst vallend.

Tijdlijn: van een 90-daagse termijn naar een deadline in 2027

TechCrunch en News on Air meldden beiden dat de originele richtlijnen, uitgegeven in eind november 2025, de gedekte platforms 90 dagen gaven om naleving uit te voeren en 120 dagen om nalevingsrapporten in te dienen bij de DoT. Latere berichtgeving van Digit, BusinessToday en Beebom beschrijft een herziene tijdlijn waarin platforms tot 31 december 2026 hebben om implementatie af te ronden, met de regel operationeel wordend voor eindgebruikers vanaf 1 januari 2027.

De originele order vereiste ook dat web- en desktopversies van de apps elke zes uur een logout forceerden en gebruikers de sessie opnieuw koppelden met een QR-code, volgens TechCrunch. Digit meldde dat deze algehele zes-uurwaarschuwing sindsdien is verzwakt ten voordele van 'risicogebaseerde logouts,' waarbij apps een sessie voornamelijk kunnen uitloggen wanneer fraude wordt vermoed in plaats van op een vast schema.

Wie zouden toegang kunnen verliezen, en wanneer

Digit en BusinessToday beschrijven beiden verschillende groepen die risico lopen de toegang kwijt te raken zodra de regel wordt afgedwongen: mensen die de SIM verwijderen of deactiveren die aan hun account is gekoppeld, gebruikers die voornamelijk op Wi-Fi vertrouwen zonder die SIM fysiek in het apparaat, eigenaren van tablets of secundaire telefoons gekoppeld aan een hoofdaccount, en internationale reizigers die een lokale SIM in het buitenland inwisselen. Digit adviseert reizigers om van tevoren te controleren of hun accountopstelling nog werkt met een vervangings-SIM.

Waarom de regering zegt dat dit nodig is

News on Air en TechCrunch citeren beiden dezelfde regeringscijfers: cyberfraudeverliezen in India overschreden Rs 22,800 crore (ongeveer $2,5 miljard, volgens TechCrunches conversie) in 2024 alleen. News on Air citeerde het ministerie dat SIM-binding beschreef als nodig 'om een concrete beveiligingslacune te dichten die cybercriminelen exploiteren.'

Bezorgdheden uit de industrie en over privacy

TechCrunch meldde dat het Broadband India Forum, een industriegroep, waarschuwde dat de regel 'ernstige vragen over technische haalbaarheid' oproept en 'aanzienlijk ongemak en verstoringen van diensten' kan veroorzaken, vooral voor kleine handelaren die WhatsApp Business op meerdere apparaten tegelijk gebruiken.

Afzonderlijk waarschuwde de Internet Freedom Foundation voor bezorgdheden over een gerelateerd deel van dezelfde regelset: een Mobile Number Validation-platform dat de regering toestaat om telecom-identifiers op ongespecificeerde 'publieksbelang'-gronden op te schorten onder Regel 5(6), die IFF zegt niet onder de specifieke gronden valt die in Artikel 19(2) van Indias grondwet worden vermeld voor het beperken van spraak. IFF merkte ook op dat getroffen gebruikers hun mobiele diensten meer dan 30 dagen kunnen verliezen terwijl een geschil wordt opgelost.

Wat dit voor gewone gebruikers betekent

Voor de meeste mensen die dezelfde telefoonnummer en dezelfde fysieke SIM blijven gebruiken, zou de praktische verandering na 1 januari 2027 beperkt moeten zijn tot af en toe herverificatiestappen, gebaseerd op de scenario's beschreven door Digit en BusinessToday. De regel treft voornamelijk mensen die hun geregistreerde SIM fysiek verwijderen, laten vervallen, op secundaire apparaten vertrouwen zonder die SIM geplaatst, of naar een buitenlandse SIM schakelen terwijl ze reizen.