AVG-veilig PDF samenvoegen — wat het betekent en waarom het belangrijk is

Bij een PDF met persoonsgegevens — zoals een loonstrook, KvK-uittreksel, patiëntdossier of hypotheekofferte — zegt het label "AVG-veilig" op zichzelf te weinig. Controleer de concrete verwerking en afspraken.

Controleer vóór een upload wie het bestand verwerkt, waar het tijdelijk wordt opgeslagen, wanneer het verdwijnt en welke beveiligingsafspraken gelden. Onze actuele verwerkers en bewaartermijnen staan in de privacyverklaring.

Wat de AVG eigenlijk eist

De Algemene Verordening Gegevensbescherming (Verordening EU 2016/679) is sinds 25 mei 2018 van kracht. Voor PDF-tools die persoonsgegevens verwerken zijn vier artikelen direct relevant:

• Artikel 5 — beginselen van rechtmatigheid, transparantie, doelbinding, dataminimalisatie en opslagbeperking. Bewaar documenten niet langer dan aantoonbaar nodig is voor het gekozen doel.
• Artikel 28 — verwerkersovereenkomst. Als een toolleverancier namens jou persoonsgegevens verwerkt, leg je de rollen, instructies, beveiliging en subverwerkers contractueel vast. Een DPA is niet zelf de rechtsgrond voor de verwerking.
• Artikel 32 — passende technische en organisatorische maatregelen op basis van het risico, zoals toegangscontrole, versleuteling waar passend en periodieke toetsing.
• Hoofdstuk V — doorgifte aan derde landen. Voor een gecertificeerde Amerikaanse ontvanger kan het EU-US Data Privacy Framework een grondslag bieden. In andere gevallen zijn bijvoorbeeld standaardcontractbepalingen, een doorgiftetoets en zo nodig aanvullende waarborgen nodig.

Wat je bij een PDF-tool moet controleren

Wat je per tool actueel moet controleren

Privacy- en productvoorwaarden wijzigen regelmatig. Controleer daarom bij Smallpdf, iLovePDF en Adobe altijd de huidige primaire bronnen in plaats van een oude vergelijking als contractbewijs te gebruiken.

• Smallpdf publiceert voor de merge TLS-versleuteling en automatische verwijdering binnen één uur.
• iLovePDF publiceert eigen limieten, bewaartermijnen en privacyvoorwaarden; controleer die voor jouw accounttype.
• Adobe Acrobat Online is onderdeel van een bredere account- en cloudomgeving; controleer de voorwaarden van de gebruikte dienst en regio.

Voor bijzondere persoonsgegevens, zoals gezondheidsgegevens, volstaat een algemene productclaim niet. Laat de concrete verwerking passen binnen je rechtsgrond, beveiligingsbeleid en contracten.

Hoe pdfsamenvoegen.nl gegevens verwerkt

De huidige verwerking gebruikt deze concrete keuzes:

• Infrastructuur: de applicatie draait bij Netcup in Duitsland; Cloudflare verzorgt netwerkbeveiliging en tijdelijke objectopslag via R2.
• Retentie: originelen en gratis resultaten worden binnen 1 uur verwijderd; Pro-resultaten kunnen maximaal 30 dagen vanaf aanmaak beschikbaar blijven zolang Pro of Lifetime actief is.
• Afgeschermde opslag: objecten zijn niet publiek en downloads gebruiken tijdelijke links.
• Geen analytics op documentinhoud: de originele bestandsnaam staat tijdelijk bij de uploadregistratie en verdwijnt wanneer de upload binnen 1 uur wordt verwijderd.
• Geen gepubliceerde DPA: vereist artikel 28 AVG die voor jouw verwerking, gebruik de dienst dan pas nadat een overeenkomst is gesloten.

Voorbeeld: een hypotheekadviseur

Concrete situatie: je bent zelfstandig hypotheekadviseur en verzamelt voor één dossier ongeveer 8-12 documenten per klant — loonstroken, jaaropgaven, ID-kopie, koopovereenkomst, taxatierapport. Die wil je voor de geldverstrekker in één PDF aanleveren.

Die documenten bevatten samen BSN-nummers, salarisinformatie en ID-kopieën. Bij een datalek moet de verwerkingsverantwoordelijke eerst het risico beoordelen. Is er waarschijnlijk een risico voor betrokkenen, dan geldt in beginsel een melding aan de toezichthouder binnen 72 uur (artikel 33 AVG).

De redelijke aanpak:

1. De volledige verwerkersketen, bewaartermijn, beveiliging, doorgiften en eventuele DPA controleren.
2. DPA ondertekenen voordat je het in je proces opneemt.
3. Klant informeren in je privacyverklaring dat je een specifieke verwerker gebruikt.
4. Geen documenten langer bewaren dan nodig op de tool-server.

Veelgestelde vragen

Heeft pdfsamenvoegen.nl een verwerkersovereenkomst?

Nee, er is momenteel geen gepubliceerde verwerkersovereenkomst. Vereist artikel 28 AVG die, gebruik de dienst dan pas nadat een overeenkomst is gesloten.

Wat gebeurt er met mijn documenten na samenvoegen?

Originelen en gratis resultaten worden binnen 1 uur verwijderd. Een Pro-resultaat kan maximaal 30 dagen vanaf aanmaak beschikbaar blijven zolang Pro of Lifetime actief is.

Worden de bestanden bekeken door medewerkers?

De verwerking is geautomatiseerd. Bestandsinhoud wordt niet voor analytics, advertenties of producttraining gebruikt.

Mag ik medische dossiers samenvoegen via pdfsamenvoegen.nl?

Gezondheidsgegevens vallen onder extra strenge regels. Beoordeel vóór gebruik je rechtsgrond, beveiligingseisen, verwerkersovereenkomst en eigen beleid; vraag bij twijfel juridisch of privacyadvies.

Is een Nederlandse tool altijd AVG-veiliger dan een Amerikaanse?

Niet automatisch. Controleer moederorganisatie, serverregio, subverwerkers en doorgiftewaarborg. Voor een gecertificeerde Amerikaanse ontvanger kan het EU-US Data Privacy Framework een adequaatheidsroute bieden; anders kunnen Standard Contractual Clauses met aanvullende waarborgen nodig zijn. Een DPA regelt de verwerkersafspraken, maar is niet op zichzelf de doorgiftegrond.