Ik heb een adressenbestand van een leverancier gekregen. Moet ik al die mensen informeren?

Ja, in beginsel wel. Lid 1 en lid 2 gelden juist voor gegevens die u niet van de persoon zelf heeft, en lid 3 zegt dat u dat binnen een redelijke termijn en uiterlijk binnen een maand doet, of al bij het eerste contact als u de gegevens gebruikt om die mensen te benaderen. U noemt daarbij ook de bron van de gegevens (lid 2 onder f). Alleen de uitzonderingen van lid 5 kunnen u hiervan ontslaan, bijvoorbeeld als de mensen de informatie al hebben.

Wanneer mag ik zeggen dat informeren onevenredig veel inspanning kost?

Lid 5 onder b noemt die uitzondering, met als voorbeelden archivering in het algemeen belang, wetenschappelijk of historisch onderzoek en statistiek, en gevallen waarin informeren het doel van de verwerking onmogelijk maakt of ernstig in gevaar brengt. Overweging 62 noemt als factoren het aantal betrokkenen, de ouderdom van de gegevens en de waarborgen die u treft. Doet u een beroep op deze uitzondering, dan moet u wel passende maatregelen nemen om de betrokkenen te beschermen, waaronder het openbaar maken van de informatie.

Wat is het verschil met artikel 13?

Artikel 13 geldt als u de gegevens bij de persoon zelf verzamelt; artikel 14 geldt als ze van elders komen. De inhoud lijkt sterk op elkaar, maar artikel 14 vraagt extra om de categorieën gegevens (lid 1 onder d) en de bron (lid 2 onder f), omdat de persoon anders niet weet wat u over hem heeft. Ook het moment verschilt: niet bij het verzamelen, maar binnen een maand of bij het eerste contact (lid 3), en lid 5 kent meer uitzonderingen.

Artikel 14: Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregenAI-relevant

Praxikon houdt artikel 14 (Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen) uit de AVG, naast de EU AI Act bij, met per uitspraak de vindplaats erbij.

Hoofdstuk IIIVan kracht sinds 25-05-2018

Artikel 14 regelt de informatieplicht wanneer u persoonsgegevens niet van de persoon zelf krijgt, maar bijvoorbeeld van een andere organisatie, uit openbare bronnen of via een gekochte lijst. Ook dan moet die persoon horen wie u bent, waarvoor en op welke rechtsgrond u de gegevens gebruikt, om welke categorieën gegevens het gaat en aan wie ze worden verstrekt (lid 1), plus de bewaartermijn, de rechten, de bron van de gegevens en het bestaan van geautomatiseerde besluitvorming (lid 2). Omdat er geen contactmoment is bij het verzamelen, geeft lid 3 een eigen tijdlijn: binnen een redelijke termijn en uiterlijk binnen een maand, of eerder als u de persoon benadert of de gegevens doorgeeft. Lid 5 kent uitzonderingen, bijvoorbeeld als de persoon de informatie al heeft, als informeren onmogelijk is of onevenredig veel inspanning kost, of als een wettelijk beroepsgeheim geldt. Het artikel bestaat omdat mensen ook moeten weten wat er met hun gegevens gebeurt als zij die niet zelf hebben afgegeven (overweging 60 en 61), terwijl overweging 62 erkent dat informeren niet in alle gevallen redelijk is.

Kernbegrip: Indirecte verkrijging: gegevens die u niet van de persoon zelf krijgt maar van een andere organisatie of uit openbare bronnen; ook dan moet u die persoon informeren

Raakt direct:verwerkingsverantwoordelijkebetrokkenefunctionaris voor gegevensbescherming

Duiding door Praxikon op basis van de tekst en de overwegingen; de officiële tekst hieronder gaat voor.

Raakvlak met de AI Act

Informatieplicht bij indirecte verkrijging overlapt met transparantie-eisen (Art. 13 en 50 AI Act), met name bij AI-training op openbare data.

AI Act Art. 13 →AI Act Art. 50 →

Officiële tekst

Wanneer persoonsgegevens niet van de betrokkene zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie: a) de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke; b) in voorkomend geval, de contactgegevens van de functionaris voor gegevensbescherming; c) de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, en de rechtsgrond voor de verwerking; d) de betrokken categorieën van persoonsgegevens; e) in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens; f) in voorkomend geval, dat de verwerkingsverantwoordelijke het voornemen heeft de persoonsgegevens door te geven aan een ontvanger in een derde land of aan een internationale organisatie; of er al dan niet een adequaatheidsbesluit van de Commissie bestaat; of, in het geval van de in artikel 46, artikel 47 of artikel 49, lid 1, tweede alinea, bedoelde doorgiften, welke de passende of geschikte waarborgen zijn, hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd.

Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie om ten overstaan van de betrokkene een behoorlijke en transparante verwerking te waarborgen: a) de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen; b) de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, indien de verwerking op artikel 6, lid 1, punt f), is gebaseerd; c) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing van persoonsgegevens of om beperking van de hem betreffende verwerking, alsmede het recht tegen verwerking van bezwaar te maken en het recht op gegevensoverdraagbaarheid; d) wanneer verwerking op artikel 6, lid 1, punt a) of artikel 9, lid 2, punt a), is gebaseerd, dat de betrokkene het recht heeft de toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan; e) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit; f) de bron waar de persoonsgegevens vandaan komen, en in voorkomend geval, of zij afkomstig zijn van openbare bronnen; g) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.

De verwerkingsverantwoordelijke verstrekt de in de leden 1 en 2 bedoelde informatie: a) binnen een redelijke termijn, maar uiterlijk binnen één maand na de verkrijging van de persoonsgegevens, afhankelijk van de concrete omstandigheden waarin de persoonsgegevens worden verwerkt; b) indien de persoonsgegevens zullen worden gebruikt voor communicatie met de betrokkene, uiterlijk op het moment van het eerste contact met de betrokkene; of c) indien verstrekking van de gegevens aan een andere ontvanger wordt overwogen, uiterlijk op het tijdstip waarop de persoonsgegevens voor het eerst worden verstrekt.

Wanneer de verwerkingsverantwoordelijke voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene vóór die verdere verwerking informatie over dat andere doel en alle relevante verdere informatie als bedoeld in lid 2.

De leden 1 tot en met 4 zijn niet van toepassing wanneer en voor zover: a) de betrokkene reeds over de informatie beschikt; b) het verstrekken van die informatie onmogelijk blijkt of onevenredig veel inspanning zou vergen, in het bijzonder bij verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden, behoudens de in artikel 89, lid 1, bedoelde voorwaarden en waarborgen, of voor zover de in lid 1 van dit artikel bedoelde verplichting de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen. In dergelijke gevallen neemt de verwerkingsverantwoordelijke passende maatregelen om de rechten, de vrijheden en de gerechtvaardigde belangen van de betrokkene te beschermen, waaronder het openbaar maken van de informatie; c) het verkrijgen of verstrekken van de gegevens uitdrukkelijk is voorgeschreven bij Unie- of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is en dat recht voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen; of d) de persoonsgegevens vertrouwelijk moeten blijven uit hoofde van een beroepsgeheim in het kader van Unierecht of lidstatelijke recht, waaronder een statutaire geheimhoudingsplicht.

Bron: EUR-Lex, Verordening (EU) 2016/679. Officiële tekst, ongewijzigd overgenomen.

Wat betekent dit voor u?

Verwerkingsverantwoordelijke

Krijgt u gegevens via een ander, uit een openbare bron of van een leverancier, dan informeert u de persoon zelf binnen een maand, of eerder als u die persoon benadert of de gegevens aan een andere ontvanger verstrekt (lid 3). U noemt daarbij ook de categorieën gegevens en de bron, en of die openbaar was (lid 1 onder d en lid 2 onder f). Beroept u zich op de uitzondering dat informeren onmogelijk is of onevenredig veel inspanning kost, bijvoorbeeld bij verwerking voor archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistiek, dan legt u vast waarom en neemt u passende maatregelen om de betrokkenen te beschermen, zoals het openbaar maken van de informatie (lid 5 onder b).

Functionaris gegevensbescherming

Uw contactgegevens staan in de informatie die de betrokkene ontvangt (lid 1 onder b), ook als die persoon de gegevens niet zelf heeft afgegeven.

Betrokkene

Ook als een organisatie uw gegevens niet van u zelf heeft, hoort u wie ze verwerkt, waarvoor, welke gegevens het zijn en waar ze vandaan komen (lid 1 en lid 2). Dat gebeurt uiterlijk binnen een maand, of eerder bij het eerste contact of bij doorgifte aan een ander (lid 3). In een beperkt aantal gevallen hoeft dat niet, bijvoorbeeld als u de informatie al heeft of als een wettelijk beroepsgeheim geldt (lid 5).

Compliance checklist

Voor elke verwerking waarbij de gegevens niet van de betrokkene zelf komen, is vastgelegd uit welke bron ze komen en of dat een openbare bron is (lid 2 onder f).De betrokkene krijgt de identiteit en contactgegevens van de verwerkingsverantwoordelijke en, indien van toepassing, van de functionaris voor gegevensbescherming, de doeleinden, de rechtsgrond en de categorieën gegevens (lid 1).De informatie bevat de bewaartermijn of de criteria daarvoor, het gerechtvaardigd belang bij een beroep op artikel 6 lid 1 onder f, de rechten van de betrokkene, het recht om toestemming in te trekken en het klachtrecht (lid 2 onder a tot en met e).Bij geautomatiseerde besluitvorming, met inbegrip van profilering als bedoeld in artikel 22, wordt nuttige informatie gegeven over de onderliggende logica, het belang en de verwachte gevolgen (lid 2 onder g).De informatie wordt binnen een redelijke termijn en uiterlijk binnen een maand na verkrijging gegeven, of eerder bij het eerste contact met de betrokkene of bij de eerste verstrekking aan een andere ontvanger (lid 3).Voordat de gegevens voor een ander doel worden verwerkt, wordt de betrokkene daarover geïnformeerd (lid 4).Elk beroep op een uitzondering uit lid 5 is met onderbouwing vastgelegd, en bij onmogelijkheid of onevenredige inspanning zijn passende maatregelen genomen, zoals het openbaar maken van de informatie (lid 5 onder b).

Gerelateerde overwegingen

(60)

Overeenkomstig de beginselen van behoorlijke en transparante verwerking moet de betrokkene op de hoogte worden gesteld van het feit dat er verwerking plaatsvindt en van de doeleinden daarvan. De verwe...

(61)

De informatie over de verwerking van persoonsgegevens betreffende de betrokkene dient hem te worden meegedeeld bij het verzamelen bij de betrokkene van de gegevens of, indien de gegevens uit een ander...

(62)

Niettemin is het niet noodzakelijk de verplichting tot informatieverstrekking op te leggen wanneer de betrokkene al over de informatie beschikt, wanneer de registratie of mededeling van de persoonsgeg...

Kruisverwijzingen

Art. 6: Rechtmatigheid van de verwerking Art. 9: Verwerking van bijzondere categorieën van persoonsgegevens Art. 22: Geautomatiseerde individuele besluitvorming, waaronder profilering Art. 46: Doorgiften op basis van passende waarborgen Art. 47: Bindende bedrijfsvoorschriften Art. 49: Afwijkingen voor specifieke situaties Art. 89: Waarborgen en afwijkingen in verband met verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden

Aanvullend op het overzicht onderaan deze pagina: uitspraken, richtsnoeren en boetes die dit artikel uitleggen of toepassen, nieuwste eerst. Elk item is nagelopen tegen de officiële bron.

Rechtspraak (2)

28 november 2024 · C-169/23 · HvJ EU
Másdi
De uitzondering op de informatieplicht in artikel 14 lid 5 sub c geldt voor alle gegevens die niet bij de betrokkene zijn verzameld, ook gegevens die de verwerkingsverantwoordelijke zelf heeft gegenereerd. De toezichthouder mag toetsen of de wet passende waarborgen biedt.
1 oktober 2015 · C-201/14 · HvJ EURichtlijn 95/46
Bara
Een overheidsinstantie mag gegevens niet aan een andere instantie doorgeven voor verdere verwerking zonder dat de betrokkenen daarover vooraf zijn geïnformeerd.

Richtsnoeren (1)

13 oktober 2026 · Statement 1/2026 · EDPB
Verklaring 1/2026 over slimme brillen
Voorlopige overwegingen: smalle uitzondering voor puur persoonlijk gebruik, producent en aanbieder van een gekoppelde dienst (ook AI) kunnen verwerkingsverantwoordelijke zijn, en omstanders moeten op het moment zelf merken dat er wordt opgenomen.

Boetes (4)

22 oktober 2024 · Data Protection Commission (Ierland)€ 310.000.000
LinkedIn: gedragsanalyse en gerichte advertenties
LinkedIn gebruikte gegevens van leden voor gedragsanalyse en gerichte advertenties zonder geldige grondslag: de toestemming was niet geldig en gerechtvaardigd belang en de overeenkomst gingen niet op. Leden kregen bovendien onvoldoende informatie over de gebruikte grondslagen.
Besluit van 22 oktober 2024, bekendgemaakt op 24 oktober 2024. LinkedIn is in beroep gegaan bij de Ierse High Court.
16 mei 2024 · Autoriteit Persoonsgegevens€ 30.500.000
Clearview AI: illegale database met gezichtsafdrukken
Clearview schraapte miljarden foto's van internet en zette gezichten om in biometrische codes, zonder grondslag en in strijd met het verbod op verwerking van biometrische gegevens. Het informeerde mensen niet, reageerde niet op inzageverzoeken en had geen vertegenwoordiger in de EU.
Besluit van 16 mei 2024, bekendgemaakt op 3 september 2024. Clearview heeft geen bezwaar gemaakt, dus de boete staat vast. Voor het ontbreken van een EU-vertegenwoordiger (artikel 27) legde de AP geen aparte boete op.
20 augustus 2021 · Data Protection Commission (Ierland)€ 225.000.000
WhatsApp: tekortschietende transparantie
WhatsApp informeerde gebruikers en niet-gebruikers onvoldoende over de verwerking van hun gegevens, onder meer over het delen van gegevens met andere Facebook-bedrijven. Na een bindend EDPB-besluit moest de DPC de voorgestelde boete verhogen.
De DPC vermeldt 20 augustus 2021 als besluitdatum; bekendgemaakt op 2 september 2021. WhatsApp heeft het besluit aangevochten bij de Ierse rechter en bij het Gerecht van de EU.
15 juli 2021 · CNPD (Luxemburg)€ 746.000.000
Amazon: gerichte advertenties zonder geldige grondslag
Amazon verwerkte persoonsgegevens voor op interesses gebaseerde advertenties op grond van gerechtvaardigd belang, wat geen geldige grondslag bleek. Daarnaast schoot Amazon tekort in informatie aan gebruikers en in het honoreren van rechten zoals inzage, rectificatie en verwijdering.
De bestuursrechter in eerste aanleg bevestigde de boete op 18 maart 2025. In hoger beroep vernietigde de Cour administrative op 12 maart 2026 het besluit en stuurde de zaak terug naar de CNPD, omdat de CNPD niet had onderzocht of Amazon opzettelijk of nalatig handelde en niet had afgewogen welke maatregel het meest passend was. De kern van de vastgestelde inbreuken bleef overeind; de grieven over artikel 21 vielen volgens het hof buiten het onderzoek.

Gecontroleerd op 5 november 2026

Veelgestelde vragen

← Art. 13: Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld Art. 15: Recht van inzage van de betrokkene →

Samenhang

Thema’s waarin dit terugkomt

Transparantie: informeren van mensen

Waar dit de andere wet raakt

De tegenhanger in de andere wet

Rechtspraak

EDPS tegen SRB: gepseudonimiseerde gegevens zijn niet voor iedereen altijd persoonsgegevens, maar de informatieplicht geldt vanaf het verzamelen
2025-09-04 · definitief, Hof van Justitie van de EU (Eerste kamer), Europese Toezichthouder voor gegevensbescherming (EDPS) tegen Gemeenschappelijke Afwikkelingsraad (SRB)
SCHUFA: kredietscore die derden zwaar laten meewegen is een geautomatiseerd besluit
2023-12-07 · definitief, Hof van Justitie van de EU (Eerste kamer), OQ tegen Land Hessen, met SCHUFA Holding AG als interveniënt
Voorzieningenrechter: AP moet boetebedrag onleesbaar maken bij verstrekking van handhavingsbesluit aan klagers
2024-05-31 · status niet vastgesteld, Rechtbank Den Haag, voorzieningenrechter (kort geding, team handel)

Richtsnoeren

Richtsnoeren inzake transparantie overeenkomstig Verordening 2016/679
2018-05-25 · definitief, Article 29 Working Party, bekrachtigd door de European Data Protection Board (EDPB)
Richtsnoeren 03/2026 over webscraping in het kader van generatieve AI
2026-07-07 · in consultatie, European Data Protection Board (EDPB)
Richtsnoeren 1/2024 over verwerking van persoonsgegevens op grond van artikel 6 lid 1 onder f AVG (gerechtvaardigd belang)
2024-10-08 · in consultatie, European Data Protection Board (EDPB)
EDPB-verklaring 1/2026 over slimme brillen
2026-10-13 · definitief, European Data Protection Board (EDPB)
Richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering
2018-05-25 · definitief, Article 29 Working Party, bekrachtigd door de European Data Protection Board (EDPB)
Richtsnoeren 1/2026 over verwerking van persoonsgegevens voor wetenschappelijk onderzoek
2026-04-15 · in consultatie, European Data Protection Board (EDPB)

Handhaving en boetes

AP legt Uber boete op van 824,99 miljoen euro voor geautomatiseerd blokkeren van chauffeurs
2026-08-21 · in beroep, Autoriteit Persoonsgegevens
Experian Nederland krijgt boete van 2,7 miljoen euro voor kredietscores zonder grondslag en zonder informatie
2025-10-16 · definitief, Autoriteit Persoonsgegevens
AP-onderzoek: algoritmes en AI bij incassobureaus
2026-10-29 · definitief, Autoriteit Persoonsgegevens
Clearview AI: boete van 30,5 miljoen euro en dwangsommen voor illegale gezichtendatabase
2024-05-16 · definitief, Autoriteit Persoonsgegevens

Analyses

AI-agents en de AVG: wat u moet regelen
2026-11-05