AVG en social media in 2026: de privacyregels die je moet kennen

Social media voelt informeel. Je post een foto, beantwoordt een DM, draait een advertentie. Maar achter die losse interacties zit een juridische werkelijkheid die veel ondernemers in Nederland en België onderschatten: de Algemene Verordening Gegevensbescherming, beter bekend als de AVG (of GDPR in het Engels). En die geldt niet alleen voor grote techbedrijven — hij geldt ook voor jou, de bakker met een Instagram-account, de coach met een Facebook-advertentie, de webshop die een TikTok-pixel heeft geïnstalleerd.

In deze gids leggen we uit welke privacyregels er in 2026 gelden als je social media zakelijk inzet, waar de valkuilen zitten, en hoe je het praktisch regelt zonder dat het je hele werkweek opeet. Geen juridisch jargon, maar concrete stappen.

1. Wat de AVG betekent voor jouw social media

De AVG is een Europese verordening die sinds 25 mei 2018 van kracht is. De kern is simpel: als je persoonsgegevens verwerkt — dat wil zeggen: verzamelt, opslaat, gebruikt of deelt — moet je daar een geldige reden voor hebben, en de betrokkene moet weten wat je doet.

"Persoonsgegevens" is een breed begrip. Het omvat niet alleen namen en e-mailadressen, maar ook IP-adressen, cookies, apparaat-ID's en zelfs een combinatie van gegevens waarmee iemand indirect identificeerbaar is. En precies dat gebeurt er voortdurend op social media.

Als ondernemer ben je in de AVG-terminologie de verwerkingsverantwoordelijke voor de gegevens die je zelf verzamelt of gebruikt. Denk aan: e-mailadressen die je via een Instagram-link verzamelt, klantenlijsten die je uploadt voor advertentiedoelgroepen, gegevens die je via een trackingpixel op je website verzamelt, of persoonsgegevens die iemand je via een DM stuurt.

Het platform zelf — Meta, TikTok, Google, LinkedIn — is een aparte verwerkingsverantwoordelijke voor zijn eigen dataverwerking. Maar bij advertenties op Facebook en Instagram ben je volgens de Europese rechter gezamenlijk verantwoordelijk met Meta. Dat klinkt abstract, maar het betekent concreet: als er iets misgaat met de data die via jouw advertenties wordt verzameld, kun jij daar ook op worden aangesproken.

2. De zes verwerkingsgronden: wanneer mag je data gebruiken?

De AVG kent zes wettelijke gronden om persoonsgegevens te verwerken. Voor social media zijn er in de praktijk drie relevant:

Toestemming (consent)

De betrokkene geeft actief en ondubbelzinnig toestemming. Dit is de grondslag die je nodig hebt voor nieuwsbriefinschrijvingen, het plaatsen van tracking-cookies op je website, en het uploaden van klantenlijsten voor advertentiedoelgroepen. Belangrijk: toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Een vooraf aangevinkt vakje telt niet. "Door onze site te gebruiken ga je akkoord" telt niet. Je hebt een echte opt-in nodig.

Gerechtvaardigd belang

Je mag gegevens verwerken als je daar een gerechtvaardigd belang bij hebt én het belang van de betrokkene niet zwaarder weegt. In de praktijk gebruik je deze grondslag voor het analyseren van je eigen social media statistieken (de geaggregeerde data die het platform je geeft), het beantwoorden van klantvragen via DM (je hebt een zakelijk belang om je klanten te helpen), en het bijhouden van welke content goed presteert.

Uitvoering van een overeenkomst

Als iemand een bestelling plaatst en je communiceert via social media over de levering, dan is die communicatie noodzakelijk voor de uitvoering van de overeenkomst. Maar let op: dit geldt alleen voor de specifieke transactie. Je mag die klant niet automatisch toevoegen aan je marketinglijst.

3. Trackingpixels en cookies: het grootste struikelblok

Het meest voorkomende AVG-probleem bij social media is de trackingpixel. De Meta-pixel, de TikTok-pixel, de LinkedIn Insight Tag — ze doen allemaal hetzelfde: ze plaatsen een cookie of gebruiken een andere trackingmethode om het gedrag van je websitebezoekers te volgen en die data terug te sturen naar het advertentieplatform.

Dat is op zich niet verboden, maar het mag alleen als de bezoeker daar actief toestemming voor geeft via een cookiebanner. En dan bedoelen we een echte cookiebanner — niet het grijze balkje onderaan je site dat zegt "Wij gebruiken cookies" met alleen een OK-knop. De ePrivacy-richtlijn en de AVG samen vereisen dat je:

• De bezoeker informeert over welke cookies je plaatst en waarvoor.
• Een echte keuze biedt — "Accepteren" en "Weigeren" moeten even makkelijk zijn.
• Tracking-cookies pas plaatst nadat de bezoeker akkoord gaat.
• De toestemming bewaart als bewijs.

In de praktijk betekent dit dat je een Consent Management Platform (CMP) nodig hebt. Populaire opties voor kleine bedrijven zijn Cookiebot, Complianz (WordPress-plugin), en CookieYes. De kosten liggen tussen de €0 en €15 per maand, afhankelijk van je websiteverkeer.

Zonder geldige cookiebanner ben je technisch in overtreding zodra je een pixel op je website hebt staan. De Autoriteit Persoonsgegevens in Nederland en de GBA in België handhaven hier actief op. In 2023 legde de AP al boetes op aan bedrijven die Google Analytics gebruikten zonder correcte toestemming — en de Meta-pixel valt onder dezelfde regels.

4. Klantenlijsten uploaden: de Custom Audiences-valkuil

Een van de krachtigste advertentiefuncties op Meta, LinkedIn en TikTok is het uploaden van een klantenlijst (Custom Audiences of vergelijkbare functies). Je uploadt een lijst met e-mailadressen of telefoonnummers, het platform matcht die met bestaande accounts, en je kunt die mensen gericht advertenties tonen.

Het probleem: je deelt persoonsgegevens met een derde partij (het platform). Dat mag alleen als je daar een geldige grondslag voor hebt. In de meeste gevallen is dat toestemming. En die toestemming moet specifiek zijn — "Ik geef toestemming dat mijn e-mailadres wordt gedeeld met Meta voor advertentiedoeleinden" is iets anders dan "Ik schrijf me in voor de nieuwsbrief".

De veilige aanpak in 2026:

• Gebruik Custom Audiences alleen met contacten die je expliciet toestemming hebben gegeven voor marketing én voor het delen met derden.
• Vermeld in je privacyverklaring dat je persoonsgegevens kunt delen met advertentieplatforms voor gerichte advertenties.
• Bied altijd een uitschrijfmogelijkheid die ook de verwijdering uit je advertentielijsten omvat.
• Overweeg als alternatief Lookalike Audiences op basis van websitebezoekers (mits je pixel correct met consent werkt) — dan upload je geen persoonsgegevens maar laat je het platform zelf de matching doen.

Een veel voorkomende fout bij Nederlandse en Belgische ondernemers: ze exporteren hun volledige klantenbestand uit hun CRM of boekhoudpakket en uploaden dat naar Meta. Dat is bijna altijd een overtreding, want de klanten hebben toestemming gegeven voor facturatie, niet voor advertentietargeting.

5. Foto's en video's: wanneer heb je toestemming nodig?

Je maakt een foto van een drukke zaterdagmiddag in je winkel en post die op Instagram. Of je filmt een evenement dat je organiseert en zet dat op TikTok. Mag dat zomaar?

Het antwoord is genuanceerd. In Nederland geldt het portretrecht (geregeld in de Auteurswet). De hoofdregel: als iemand herkenbaar in beeld is en een redelijk belang heeft om zich tegen publicatie te verzetten (denk aan privacy, reputatie), dan mag je de foto niet zonder toestemming publiceren. Bij een overzichtsfoto van een druk evenement waar niemand specifiek uitgelicht wordt, is het risico laag. Bij een close-up van een klant die in je stoel zit, heb je toestemming nodig.

In België geldt het recht op afbeelding, dat strenger is dan in Nederland. De Belgische rechtspraak gaat er in principe van uit dat je vooraf toestemming nodig hebt om iemands beeltenis te gebruiken, tenzij het gaat om beelden van publieke gebeurtenissen waar de persoon niet centraal staat.

Praktische tips:

• Vraag klanten actief om toestemming als je ze herkenbaar in beeld brengt — een kort berichtje of formulier volstaat.
• Bewaar die toestemming (screenshot van het akkoord, ondertekend formulier).
• Bij evenementen: vermeld vooraf (op het ticket, bij de ingang, op de website) dat er gefilmd en gefotografeerd wordt voor social media.
• Gebruik bij twijfel beelden waarbij gezichten niet herkenbaar zijn — over de schouder, handen, details.
• Let extra op bij kinderen: toestemming van de ouder of voogd is altijd vereist, in zowel NL als BE.

6. DM's, chatbots en klantenservice via social media

Steeds meer ondernemers gebruiken Instagram DM's, Facebook Messenger of WhatsApp Business als klantenservicekanaal. Dat is prima, maar er zitten AVG-aspecten aan die je moet kennen.

Wanneer een klant je een DM stuurt met een vraag over een bestelling en daarbij een ordernummer, naam en adres deelt, verwerk je persoonsgegevens. De grondslag is hier meestal gerechtvaardigd belang (je beantwoordt een klantvraag) of uitvoering van de overeenkomst. Dat is in orde. Maar wat niet in orde is: die gegevens kopiëren naar een spreadsheet voor marketingdoeleinden, of de klant zonder toestemming toevoegen aan een mailinglijst.

Bij chatbots en geautomatiseerde antwoorden komt er een laag bij. Als je een chatbot inzet die gegevens verzamelt (bijvoorbeeld een e-mailadres om later contact op te nemen), moet je:

• De gebruiker informeren dat een bot antwoordt (transparantie).
• Aangeven welke gegevens je verzamelt en waarvoor.
• Een link naar je privacyverklaring aanbieden.
• De gegevens niet langer bewaren dan nodig.

De gids over social media klantenservice gaat dieper in op het opzetten van een professioneel klantenservicekanaal — maar houd de AVG-basis altijd in het achterhoofd.

7. Winacties en wedstrijden: de privacykant

Winacties zijn populair op social media, maar ze zijn een privacymagneet. Bij een winactie verzamel je bijna altijd persoonsgegevens: namen, e-mailadressen, soms adressen voor verzending. De AVG-regels zijn helder:

• Vermeld in de actievoorwaarden welke gegevens je verzamelt, waarvoor, en hoe lang je ze bewaart.
• Link naar je privacyverklaring.
• Gebruik de gegevens alleen voor het doel van de winactie — niet om iedereen die meedoet automatisch op je nieuwsbrief te zetten.
• Verwijder de gegevens na afloop van de actie, tenzij de deelnemer apart toestemming heeft gegeven voor verder contact.

In België gelden daarnaast specifieke kansspelregels — de gids over winacties in België behandelt de volledige juridische context. Maar ook in Nederland geldt: een winactie zonder duidelijke privacyvoorwaarden is een AVG-overtreding, ongeacht hoe klein je bedrijf is.

8. NL vs. BE: de toezichthouders en hun aanpak

De AVG is een Europese verordening en geldt in alle EU-landen gelijk. Maar de handhaving verschilt. In Nederland is de Autoriteit Persoonsgegevens (AP) de toezichthouder. De AP heeft in de afgelopen jaren steeds actiever gehandhaafd, ook bij kleinere bedrijven. In 2024 publiceerde de AP richtlijnen specifiek over tracking op websites, en in 2025 volgden meerdere handhavingsacties tegen bedrijven die cookies plaatsten zonder geldige toestemming.

In België is de Gegevensbeschermingsautoriteit (GBA) verantwoordelijk. De GBA staat bekend om een relatief toegankelijke klachtenprocedure: elke burger kan gratis een klacht indienen, en de GBA behandelt die actief. De geschillenkamer van de GBA heeft in de afgelopen jaren tientallen boetes opgelegd, variërend van enkele duizenden tot honderdduizenden euro's — ook aan KMO's.

Een praktisch verschil: de GBA publiceert zijn beslissingen uitgebreid online, wat betekent dat Belgische ondernemers relatief makkelijk kunnen opzoeken welke overtredingen tot boetes leiden. De AP publiceert selectiever, maar de trend is dezelfde: tracking zonder consent en ontbrekende privacyverklaringen zijn de meest voorkomende overtredingen.

De boetebedragen bij de AVG kunnen oplopen tot €20 miljoen of 4 % van de wereldwijde jaaromzet — maar in de praktijk krijgen kleine bedrijven veel lagere boetes. Denk aan bedragen van €1.000 tot €50.000. Dat klinkt misschien beheersbaar, maar voor een zzp'er of klein team is €5.000 boete een flinke klap. En los van de boete: een klacht bij de AP of GBA kost je tijd, stress en soms reputatieschade.

9. Je privacyverklaring up-to-date houden

Je privacyverklaring (ook wel privacybeleid of privacystatement) is het document waarin je uitlegt welke persoonsgegevens je verwerkt, waarvoor, op welke grondslag, en wat de rechten van de betrokkene zijn. De AVG verplicht je om dit document te hebben en makkelijk vindbaar te maken.

Voor social media moet je privacyverklaring minimaal het volgende dekken:

• Trackingpixels: welke pixels je gebruikt (Meta, TikTok, LinkedIn, etc.), wat ze doen, en dat ze alleen actief zijn na toestemming via de cookiebanner.
• Advertentiedoelgroepen: of je klantenlijsten uploadt naar advertentieplatforms, en op welke grondslag.
• Social media-interacties: dat je persoonsgegevens kunt verwerken die mensen via DM's, reacties of formulieren met je delen.
• Foto's en video's: dat je beeldmateriaal kunt publiceren op social media en hoe je met toestemming omgaat.
• Bewaartermijnen: hoe lang je gegevens bewaart.
• Rechten: hoe iemand inzage, correctie of verwijdering van zijn gegevens kan aanvragen.

Je hoeft geen advocaat in te huren voor een privacyverklaring. Tools als Iubenda, Privacy Studio (Nederlands) en gdpr.eu bieden templates die je kunt aanpassen. De kosten liggen tussen €0 en €30 per maand. Belangrijker dan het budget is dat je de verklaring actueel houdt: als je een nieuwe pixel installeert of een nieuw platform gaat gebruiken, werk je de verklaring bij.

10. Praktisch stappenplan: AVG-proof in een middag

Je hoeft geen weken uit te trekken om je social media AVG-proof te maken. Met dit stappenplan kun je de basis in één middag regelen:

Stap 1: Inventariseer je pixels en tracking

Open je website en controleer welke trackingpixels je hebt geïnstalleerd. Meta-pixel? TikTok-pixel? LinkedIn Insight Tag? Google Analytics? Noteer ze allemaal.

Stap 2: Controleer je cookiebanner

Heb je een cookiebanner? Biedt die een echte keuze (accepteren én weigeren)? Worden tracking-cookies pas geplaatst na akkoord? Test dit door je site te openen in een incognitovenster en op "Weigeren" te klikken — controleer dan via je browserinstellingen of er toch cookies zijn geplaatst.

Stap 3: Update je privacyverklaring

Voeg je social media-tracking, advertentiedoelgroepen en beeldgebruik toe aan je privacyverklaring. Gebruik een template als je er nog geen hebt.

Stap 4: Audit je klantenlijsten

Heb je ooit een klantenlijst geüpload naar Meta, LinkedIn of TikTok? Controleer of die contacten toestemming hebben gegeven voor advertentiedoeleinden. Zo niet: verwijder de lijst en begin opnieuw met een schone, op consent gebaseerde lijst.

Stap 5: Stel een fototoestemmingsproces in

Maak een kort formulier of standaardberichtje dat je klanten kunt sturen als je ze op social media wilt plaatsen. Bewaar de toestemming digitaal.

Stap 6: Check je winactievoorwaarden

Als je winacties organiseert: heb je actievoorwaarden met een privacyparagraaf? Zo niet, stel ze op vóór je volgende actie.

Conclusie: privacy is geen rem, het is vertrouwen

De AVG voelt misschien als een juridische last bovenop alles wat je als ondernemer al moet doen. Maar draai het eens om: in een tijd waarin consumenten — zeker in Nederland en België — steeds kritischer zijn op hoe bedrijven met hun data omgaan, is goede privacy een vertrouwenssignaal. Een heldere cookiebanner, een transparante privacyverklaring en het respecteren van toestemming laten zien dat je je klanten serieus neemt.

Je hoeft geen privacy-expert te worden. Je hoeft alleen de basis op orde te hebben: een werkende cookiebanner, een actuele privacyverklaring die je social media-activiteiten dekt, toestemming voor herkenbare foto's, en geen klantenlijsten uploaden zonder grondslag. Dat is in een middag te regelen. En het bespaart je de stress, de boetes en het reputatierisico dat komt kijken als je het niet doet.

Wil je meer leren over hoe je een complete social media strategie opzet die ook juridisch stevig staat? Of wil je weten hoe je begint met social media adverteren op een manier die werkt binnen de regels? Lees dan verder in onze kennisbank.