Is Smallpdf veilig in 2026? Een gedetailleerde privacyreview

Kort antwoord: Smallpdf is een betrouwbaar Zwitsers bedrijf dat zegt ISO/IEC 27001-gecertificeerd te zijn en aan de AVG (GDPR) te voldoen, bestandsoverdrachten met TLS versleutelt en bestanden automatisch verwijdert. Voor alledaagse PDF's die niet vertrouwelijk zijn, is het redelijk veilig. Voor vertrouwelijke documenten zoals contracten, medische dossiers, financiële overzichten of alles wat onder het beroepsgeheim valt, wordt het model zelf het risico: elk bestand dat u verwerkt, wordt naar een externe server geüpload, staat daar tijdens de verwerking en wordt pas daarna verwijderd. Een tool in de browser die uw bestand nooit uploadt, neemt die blootstelling helemaal weg.

Dit artikel laat precies zien hoe Smallpdf in 2026 met uw gegevens omgaat, wat het beleid werkelijk zegt, voor welke soorten documenten het cloudmodel slecht past, en welke andere architectuur de uploadstap overbodig maakt.

Wat Smallpdf werkelijk met uw bestand doet

Als u een PDF in Smallpdf zet, legt het bestand een vaste weg af:

Uw browser uploadt het bestand via TLS naar de servers van Smallpdf. De privacyverklaring noemt servers van Hetzner in de Europese Unie als de plek waar geüploade bestanden worden verwerkt.
De tools van Smallpdf verwerken het bestand op die servers.
Het verwerkte bestand gaat terug naar uw browser, zodat u het kunt downloaden.
Na een bewaartermijn wordt het origineel automatisch van de servers verwijderd.

Hoe lang die bewaartermijn is, hangt af van de tool en van uw account. Volgens het helpcentrum van Smallpdf worden bestanden bij de meeste tools een uur na de verwerking van de servers verwijderd. De privacyverklaring is preciezer: met een account worden bestanden binnen een uur verwijderd, tenzij u ze in de bestandsopslag bewaart, en bewaarde bestanden die u verwijdert, verdwijnen doorgaans binnen 14 dagen. Zonder account zegt de privacyverklaring alleen dat Smallpdf bestanden binnen een redelijke termijn na de laatste keer dat ze zijn geopend wil verwijderen, en dat die termijn opnieuw begint als u een bestand weer opent. De verwerkersovereenkomst noemt daarentegen een uur of twee weken, afhankelijk van of er een account wordt gebruikt. De eigen pagina's van Smallpdf geven dus geen eenduidig antwoord. Bestanden die u in de opslag van een gratis of betaald account bewaart, blijven daar staan tot u ze verwijdert.

Dat is niet ongebruikelijk. Bijna elke grote online PDF-dienst, of het nu iLovePDF, PDF24, Sejda of Adobe Acrobat Online is, werkt op dezelfde manier. Een server kan een bestand alleen verwerken als het bestand op die server staat. De vraag is niet of Smallpdf daar verantwoord mee omgaat (dat doet het), maar of het cloudmodel zelf past bij het document dat u verwerkt.

Hoe Smallpdf beveiliging en compliance regelt

Wat Smallpdf in 2026 over beveiliging en compliance publiceert, is naar SaaS-maatstaven sterk. Dit zijn de eigen uitspraken van Smallpdf:

Zwitsers bedrijf: Smallpdf AG, ingeschreven in Zürich, valt onder de Zwitserse federale wet op gegevensbescherming
Serverinfrastructuur in de EU voor geüploade bestanden, waardoor de verwerking binnen het bereik van de AVG blijft
ISO/IEC 27001-gecertificeerd, met jaarlijkse audits, volgens Smallpdf. De site noemt geen certificerende instelling en geen datum van het certificaat
Voldoet aan de AVG, de CCPA en de nFADP, volgens eigen zeggen, met een gepubliceerde verwerkersovereenkomst
TLS-versleuteling voor bestanden tijdens de overdracht
Versleuteling in opslag: de site van Smallpdf noemt die niet. De verwerkersovereenkomst zegt alleen dat gegevens tijdens de overdracht worden versleuteld
Automatische verwijdering na een uur, zoals de toolpagina's vermelden

Toen we in september 2026 keken, vonden we op de eigen site van Smallpdf geen melding van een datalek. Het bedrijf publiceert wat het opslaat en hoe lang. De volledige lijst van subverwerkers is alleen op aanvraag beschikbaar. Legt u Smallpdf als leverancier langs een inkoopchecklist, dan vinkt het de vakjes af waar de meeste zakelijke kopers op letten.

Waar het cloudmodel zelf het risico wordt

Hoe goed Smallpdf ook beveiligd is, het verandert niets aan het structurele feit dat de inhoud van uw document uw apparaat verlaat. Voor bepaalde soorten documenten is precies dat het risico, hoe goed de ontvangende server ook is beveiligd.

Juridische documenten

Contracten, geheimhoudingsovereenkomsten (NDA's), concepten voor fusies en overnames, stukken voor de bewijsgaring in een procedure. Veel opdrachtbevestigingen van advocatenkantoren en geheimhoudingsafspraken van bedrijven verbieden uitdrukkelijk dat cliëntdocumenten zonder voorafgaande schriftelijke toestemming of een ondertekende verwerkersovereenkomst naar externe verwerkers gaan. Wie het conceptcontract van een cliënt even in een openbare webtool sleept, kan al een contract schenden voordat er van een technisch risico sprake is.

Medische gegevens

Patiëntdossiers, labuitslagen, verzekeringsformulieren. In de VS eist HIPAA een Business Associate Agreement (BAA) met elke leverancier die Protected Health Information verwerkt. De pagina van de zwartmaaktool van Smallpdf noemt HIPAA bij de regels waaraan zwartmaken u kan helpen voldoen, maar Smallpdf beweert zelf niet aan HIPAA te voldoen, en toen we in september 2026 keken, vonden we op de site geen BAA. In de EU gelden voor gezondheidsgegevens als bijzondere categorie onder artikel 9 van de AVG strengere verwerkingseisen, waar een informele upload naar een gratis SaaS-tool niet aan voldoet.

Financiële en fiscale documenten

Belastingaangiften, bankafschriften, salarisbestanden, beleggingsoverzichten. Los van de compliance bevatten deze documenten rekeningnummers, fiscale nummers en identiteitsgegevens die direct bruikbaar zijn voor fraude als ze worden onderschept, ook bij sterke versleuteling tijdens de overdracht.

Broncode, interne rapporten, documenten met intellectueel eigendom

Specificaties van producten die nog niet uit zijn, stukken over fusies en overnames, uitgeprinte broncode, memo's van de raad van bestuur. Het risico is hier minder een kwestie van regelgeving en meer van concurrentie: zolang vertrouwelijk bedrijfsmateriaal op de server van een derde partij staat, is die kopie één datalek, één dagvaarding of één verkeerde configuratie verwijderd van openbaarmaking.

Voor deze soorten documenten is de vraag niet "Is Smallpdf veilig?" maar "Hoort dit document überhaupt op de server van een derde partij?" Voor de meeste professionals die met gevoelig materiaal werken, is het antwoord nee, ook als die derde partij een goede naam heeft.

De beperkingen van de gratis versie

Los van de privacyvraag heeft het gratis abonnement van Smallpdf in 2026 limieten waar u snel tegenaan loopt:

Daglimiet: volgens het helpcentrum kunnen gratis gebruikers tot 2 conversies per dag uitvoeren, en de prijzenpagina noemt een dagelijkse downloadlimiet bij de meeste tools
Voor sommige functies is een account nodig, zoals het delen van een bestand. Verschillende tools, waaronder Ondertekenen en Ontgrendelen, zeggen dat ze geen account nodig hebben
Watermerken op sommige gratis downloads: het downloadvenster van Smallpdf zelf biedt gratis een bestand met watermerk aan en met Pro een bestand zonder
Handtekeningverzoeken lopen via Sign.com, waar een gratis account beperkt is tot 2 documenten per maand
Offline werken betekent de desktopapp: de webtools hebben een verbinding nodig, omdat de verwerking op de servers van Smallpdf gebeurt. De offline desktopapp kunt u gratis downloaden met een paar tools (eenvoudig comprimeren, de lezer, Splitsen), en de volledige set hoort bij Pro

Voor wie het af en toe gebruikt, kan het gratis abonnement volstaan. Wie regelmatig met PDF's werkt, wordt door de daglimiet meestal richting het Pro-abonnement gestuurd, dat per maand of per jaar wordt gefactureerd.

Hoe PDF-tools in de browser het model veranderen

Er is een wezenlijk andere architectuur die sinds 2023 flink volwassener is geworden: PDF-verwerking die met WebAssembly volledig in uw browser draait. Geen upload, geen verwerking op een server, geen bewaartermijn om over in te zitten, omdat het document uw apparaat om te beginnen nooit verlaat.

Dat is de architectuur van HonestPDF. Als u een PDF samenvoegt, zwartmaakt, ondertekent, comprimeert of converteert, gebeurt alle verwerking in uw browser, met dezelfde rekenkracht die de pagina weergeeft die u nu leest. Er is helemaal geen uploadadres voor de bestanden van de tools. U kunt dat zelf controleren: open de tool, verbreek de internetverbinding en de tool blijft werken. Doe hetzelfde met een PDF-dienst in de cloud en het stopt meteen.

De nadelen benoemen we eerlijk. Tools in de browser hebben voor zeer grote bestanden genoeg geheugen op uw apparaat nodig (een gescande PDF van 500 pagina's is op een telefoon zwaarder dan op een werkstation). Voor zeer gespecialiseerd werk, zoals OCR op grote schaal op scans van slechte kwaliteit, is speciale desktopsoftware puur op nauwkeurigheid nog altijd in het voordeel. Maar voor het dagelijkse privacygevoelige werk (zwartmaken, samenvoegen, ondertekenen, comprimeren, converteren, eenvoudige OCR) neemt het browsermodel de hele categorie risico weg die het cloudmodel met zich meebrengt.

Naast elkaar: wanneer welke aanpak zinvol is

Smallpdf is een redelijke keuze als:

U documenten verwerkt die niet vertrouwelijk zijn (openbare PDF's, marketingmateriaal, algemene rapporten)
U een functie nodig hebt die alleen volwassen SaaS-platforms bieden (handtekeningverzoeken aan meerdere ondertekenaars, met een tijdlijn van de activiteit en een voltooiingscertificaat)
U werkt binnen een organisatie met een ondertekende verwerkersovereenkomst die Smallpdf dekt
U waarde hecht aan een cloudweergave die op elk apparaat hetzelfde is

Een tool in de browser zoals HonestPDF is de veiligere keuze als:

Het document vertrouwelijk is, onder het beroepsgeheim valt of aan regelgeving is gebonden
U gegevens van cliënten verwerkt en geen verwerkersovereenkomst met de clouddienst hebt getekend
U de daglimieten en watermerken van gratis versies wilt vermijden
U offline moet werken of in een netwerk met beperkte toegang
U er gewoon de voorkeur aan geeft dat de documenten die u verwerkt uw apparaat nooit verlaten

Geen van beide aanpakken is altijd de juiste. Het antwoord hangt af van het document en de situatie.

Een praktische werkwijze

Voor de meeste professionals ziet de overzichtelijkste werkwijze in 2026 er zo uit: gebruik standaard een tool in de browser voor elk document met cliëntgegevens, financiële gegevens, gezondheidsgegevens of iets wat onder een geheimhoudingsovereenkomst valt. Bewaar PDF-diensten in de cloud voor documenten die echt openbaar zijn, waarbij het gemak zwaarder weegt dan het nadeel. Zo hoeft u niet telkens moeizaam per document af te wegen of het "gevoelig genoeg is om je zorgen over te maken", en krijgt u in plaats daarvan een gewoonte die standaard veilig is.

Wilt u de browseraanpak uitproberen zonder uw gewoonten om te gooien, neem dan de volgende vertrouwelijke PDF die u zou hebben geüpload en verwerk die lokaal. Het resultaat is hetzelfde. De blootstelling niet.

Veelgestelde vragen

Is Smallpdf ooit gehackt?

Toen we in september 2026 keken, vonden we op de eigen site van Smallpdf geen melding van een datalek, en we kennen geen openbaar gemeld datalek met bestanden van gebruikers. Smallpdf zegt ISO/IEC 27001-gecertificeerd te zijn en jaarlijks te worden geaudit. Het structurele bezwaar tegen Smallpdf zit niet in eerdere datalekken, maar in de architectuur zelf: elk bestand staat tijdens de verwerking op de servers van Smallpdf, en dat is een soort blootstelling die tools in de browser helemaal wegnemen.

Voldoet Smallpdf aan de AVG (GDPR)?

Volgens Smallpdf wel. Het publiceert een verwerkersovereenkomst, verwerkt geüploade bestanden op servers in de Europese Unie en valt onder zowel de Zwitserse federale wet op gegevensbescherming als de AVG. Organisaties die onder de AVG vallen, moeten bij gebruik van Smallpdf doorgaans nog steeds hun eigen privacyverklaring aanpassen en Smallpdf daarin vermelden als externe verwerker. Een tool in de browser die geen bestanden uploadt, maakt die vermelding helemaal overbodig.

Is Smallpdf veilig voor juridische of medische documenten?

Smallpdf beschrijft een degelijke basisbeveiliging, maar bij juridische en medische documenten is de vraag eerder contractueel en wettelijk dan technisch. Veel opdrachtbevestigingen van advocatenkantoren en Business Associate Agreements onder HIPAA beperken het doorsturen van documenten van cliënten of patiënten naar SaaS-tools van derden zonder voorafgaande schriftelijke afspraak. Voor deze soorten documenten is een PDF-tool in de browser die het bestand nooit verstuurt de eenvoudigste manier om aan de regels te voldoen.

Hoe lang bewaart Smallpdf mijn bestanden?

Volgens het helpcentrum van Smallpdf een uur na de verwerking, bij de meeste tools. De privacyverklaring geeft meer details: met een account worden bestanden binnen een uur verwijderd, tenzij u ze in de bestandsopslag bewaart, en een bewaard bestand dat u verwijdert, verdwijnt doorgaans binnen 14 dagen. Zonder account belooft de privacyverklaring alleen een redelijke termijn na de laatste keer dat het bestand is geopend, terwijl de verwerkersovereenkomst een uur of twee weken noemt, afhankelijk van of er een account wordt gebruikt; die twee spreken elkaar tegen. Bestanden in de opslag van een account, gratis of betaald, blijven staan tot u ze verwijdert. Bij een tool in de browser speelt de vraag naar een bewaartermijn niet, omdat er nooit een bestand op een server wordt opgeslagen.

Kan ik Smallpdf offline gebruiken?

Niet in de browser. De webtools van Smallpdf hebben een internetverbinding nodig, omdat de verwerking op de servers van Smallpdf gebeurt. Voor offline gebruik hebt u de Smallpdf Desktop App nodig, die u gratis kunt downloaden met een paar basistools; voor de volledige set tools is het betaalde Pro-abonnement nodig. Moet u met PDF's werken in omgevingen met beperkte of geen internettoegang, dan hebt u ofwel desktopsoftware nodig, ofwel een tool in de browser die één keer laadt en daarna lokaal draait.

Klaar om over te stappen?

Hebt u tot hier gelezen en besloten dat uw bestanden liever op uw eigen apparaat blijven, dan is de volgende vraag meestal hoe de tools zich naast elkaar verhouden. We hebben een uitgebreide vergelijking per functie gemaakt, over prijzen, gebruikslimieten, watermerken en waar elke tool het beter doet: HonestPDF vs Smallpdf.

Conclusie

Smallpdf is een goed geleide PDF-dienst in de cloud die serieus met beveiliging omgaat en zijn compliance documenteert. Voor documenten die niet gevoelig zijn, is het prima. Voor gevoelige documenten ligt het probleem niet specifiek bij Smallpdf, maar bij het cloudmodel zelf. Tools in de browser die bestanden lokaal verwerken, schrappen de uploadstap waar het risico om te beginnen uit voortkomt.

Werkt u regelmatig met vertrouwelijke PDF's, dan is de praktische keuze om standaard een tool te gebruiken die uw bestanden nooit te zien krijgt, en clouddiensten te bewaren voor documenten waarvan het u echt niet uitmaakt wie ze nog meer kan zien.

Probeer de privacyvriendelijke PDF-tools van HonestPDF: elke tool draait volledig in uw browser, zonder uploads, zonder account en zonder daglimiet.

Gerelateerde privacybeoordelingen

Verkent u verschillende PDF-programma's en hun privacybeleid, dan zijn onze andere beveiligingsanalyses misschien ook nuttig: