Deze gids is bedoeld voor algemene voorlichting. Voor juridisch bindend advies raadpleeg je een privacy-jurist.
Wie Instagram DM's automatiseert, verwerkt persoonsgegevens, en dan geldt de AVG. Dat is geen reden om te stoppen. Automatisering is toegestaan, zolang je vier dingen op orde hebt: een geldige grondslag, transparantie naar de gebruiker, passende beveiliging en heldere afspraken met de leverancier van je tool. In dit artikel loop je ze langs, met een checklist waarmee je snel controleert waar je staat.
Wat zegt de AVG over DM-automatisering?
Zodra je DM's leest, opslaat of analyseert, verwerk je persoonsgegevens. Dat geldt ook voor een bedrijfsaccount met een paar honderd volgers. De AVG vraagt daarvoor een geldige grondslag, transparantie naar de gebruiker, een goede beveiliging en heldere afspraken met je leveranciers. De wet verbiedt dus niet dat je berichten automatisch opvangt of beantwoordt. Ze bepaalt vooral hoe je dat doet en wat je erover vastlegt.
Welke data verwerk je eigenlijk?
Bij Instagram-automatisering gaat het meestal om vier soorten gegevens. Dat zijn de Instagram-handle en eventueel de naam van de gebruiker, de inhoud van DM's en comments, contactgegevens zoals een e-mailadres of telefoonnummer wanneer een lead die zelf deelt, en metadata zoals tijdstip, reactiesnelheid en lead score. De inhoud van een DM kan gevoelig zijn, bijvoorbeeld wanneer iemand iets vertelt over zijn gezondheid of financiële situatie. Dat zijn bijzondere persoonsgegevens, waarvoor strengere regels gelden. Vraag in je automatische berichten daarom niet actief naar gevoelige informatie die je niet nodig hebt.
Welke grondslag heb je nodig?
Voor inkomende DM's geldt meestal de grondslag uitvoering van een (pre-)contract, wanneer iemand informatie vraagt over een aankoop of afspraak, of gerechtvaardigd belang, wanneer je een gewone vraag beantwoordt. Bij een comment-trigger typt de gebruiker zelf een woord om een bericht te ontvangen, en dat is een eigen actie. Wees in je post duidelijk over wat mensen krijgen wanneer ze reageren, zodat de DM aansluit bij hun verwachting. Let op bij uitgaande berichten: iemand ongevraagd en zonder eerdere relatie benaderen via DM raakt al snel aan regels over ongevraagde commerciële berichten.
Transparantie naar de gebruiker
De AVG verplicht je om mensen te informeren over wat je met hun gegevens doet. In de praktijk doe je dat met een privacyverklaring die vermeldt welke gegevens je via Instagram verwerkt, met welk doel, op welke grondslag, hoe lang je ze bewaart en welke tools je gebruikt. Verwijs ernaar in je profiel of in je eerste automatische bericht. Wees daarnaast eerlijk dat een bericht automatisch is verstuurd. Een korte zin als "Dit is een automatisch bericht, een collega kijkt zo mee" volstaat en voorkomt verrassingen.
Verwerkersovereenkomst met je tool
De tool die je gebruikt is een verwerker, en jij bent de verwerkingsverantwoordelijke. Dat betekent drie dingen. Je hebt een verwerkersovereenkomst nodig, die serieuze EU-tools standaard aanbieden. De tool moet je kunnen helpen bij inzage- en verwijderverzoeken. En je moet weten welke onderaannemers (sub-verwerkers) de tool inzet en waar die zitten. Vraag naar de sub-processorlijst, want die laat zien waar je data daadwerkelijk terechtkomt.
Data binnen de EU
Staat de data van je tool binnen de EU, dan hoef je geen extra risicoanalyse te doen voor doorgifte naar derde landen. Gaat de data naar de VS, dan heb je een geldige doorgiftegrond nodig, zoals Standard Contractual Clauses, plus een eigen beoordeling van het risico sinds het Schrems II-arrest. FutureStep AI draait volledig op EU-infrastructuur en levert een verwerkersovereenkomst standaard mee. Daardoor vervalt die stap voor jou. Wil je weten hoe dat zit bij een bekende internationale tool, lees dan het Nederlandse ManyChat-alternatief.
Inzage, correctie en verwijdering
Mensen mogen vragen welke gegevens je van hen hebt, ze laten corrigeren en laten verwijderen. Je moet binnen een maand reageren. Zorg dat je tool dit ondersteunt, en dat je weet wie in je team zo'n verzoek afhandelt. In een CRM waarin elk gesprek een eigen contactprofiel heeft, zoals het Instagram CRM, vind je de gegevens van één persoon snel terug, wat het afhandelen van een verzoek eenvoudiger maakt.
Bewaartermijn en datalekken
Bewaar gesprekken niet langer dan nodig. Bepaal vooraf hoe lang je DM's en leadgegevens bewaart, bijvoorbeeld tot een bepaalde periode na het laatste contact, en laat dat zoveel mogelijk automatisch gebeuren. Daarnaast moet je team weten wat te doen bij een datalek. Een datalek met risico voor betrokkenen meld je binnen 72 uur bij de Autoriteit Persoonsgegevens, dus een korte, bekende procedure is geen overbodige luxe.
AI en lead scoring onder de AVG
Gebruik je AI om gesprekken te scoren of antwoorden voor te stellen, dan blijven dezelfde regels gelden: leg het doel vast, informeer mensen en beperk de data tot wat nodig is. Artikel 22 van de AVG gaat over besluiten die uitsluitend geautomatiseerd worden genomen en grote gevolgen hebben voor iemand. Een score die alleen bepaalt in welke volgorde jij je gesprekken oppakt, valt daar doorgaans niet onder, omdat jij zelf beslist over het vervolg. Hoe dat werkt lees je op de pagina over AI lead scoring en de AI DM assistant.
AVG-checklist in 8 punten
- Je privacyverklaring noemt DM-automatisering en welke data je verwerkt.
- De grondslag per verwerking is gedocumenteerd, bijvoorbeeld in je verwerkingsregister.
- Je hebt een verwerkersovereenkomst getekend met je tool-leverancier.
- De data staat binnen de EU, of er is een geldige doorgiftegrond.
- Je kent de sub-processorlijst van je tool.
- De bewaartermijn is vastgesteld en geautomatiseerd.
- Het recht op inzage en verwijdering werkt aantoonbaar.
- Je team kent de procedure bij een datalek.
Veelgemaakte fouten
De meest voorkomende fout is een tool kiezen die data buiten de EU opslaat zonder doorgiftegrond. Ook wordt de privacyverklaring vaak niet bijgewerkt nadat de automatisering is gestart. Een derde fout is het ontbreken van een bewaartermijn, waardoor DM's van drie jaar geleden nog in het systeem staan. En tot slot is er de verwerkersovereenkomst die "we regelen later" heet. Zonder die overeenkomst voldoe je niet aan de AVG, hoe zorgvuldig de tool ook is.
Wil je weten hoe FutureStep AI dit inricht? Lees onze privacyverklaring. Hoe je het eerste contact met een lead inricht, staat op de pagina over automatisch antwoord op Instagram DM en bij comment-to-DM, en de pakketten en prijzen vind je op één plek.