Begrijpen van AVG Artikel 14: Belangrijkste nalevingsvereisten
GDPR Artikel 14 richt zich op de beginselen van transparantie in gevallen waarin gegevens indirect worden verzameld – bijvoorbeeld van een derde partij. In dergelijke omstandigheden moeten verwerkingsverantwoordelijken informatie verstrekken aan de betrokkenen op het moment van verzameling of onmiddellijk daarna.
Bij de technische toepassing houdt artikel 14 zich in grote lijnen aan de maatregelen van artikel 13, maar met één groot verschil: een verplichting om bekend te maken waar de gegevens vandaan komen en of deze afkomstig zijn van een 'openbaar beschikbare bron'.
Een ander verschil doet zich voor met betrekking tot het moment waarop de verantwoordelijke de betrokkene informeert dat de gegevens zijn verzameld. Artikel 13 gaat over de directe verzameling – waarvoor onmiddellijke communicatie met de betrokkene noodzakelijk is – terwijl artikel 14 (indirecte verzameling) een korte periode toestaat voordat de proefpersonen worden geïnformeerd.
AVG Artikel 14 Wettelijke tekst
EU AVG-versie
Informatie die moet worden verstrekt als er geen persoonsgegevens van de betrokkene zijn verkregen
- Wanneer er geen persoonsgegevens van de betrokkene zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie:
- De identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, indien van toepassing, van de vertegenwoordiger van de verwerkingsverantwoordelijke;
- De contactgegevens van de functionaris voor gegevensbescherming, indien van toepassing;
- De doeleinden van de verwerking waarvoor de persoonsgegevens bestemd zijn, alsmede de wettelijke grondslag voor de verwerking;
- De betrokken categorieën persoonsgegevens;
- De eventuele ontvangers of categorieën van ontvangers van de persoonsgegevens;
- Indien van toepassing, dat de verwerkingsverantwoordelijke voornemens is persoonsgegevens door te geven aan een ontvanger in een derde land of een internationale organisatie en het al dan niet bestaan van een adequaatheidsbesluit van de Commissie, of in het geval van doorgiften als bedoeld in artikel 46 of 47, of de artikel 49, lid 1, tweede alinea, verwijzing naar de passende of passende waarborgen en de middelen om er een kopie van te verkrijgen of waar deze beschikbaar zijn gesteld.
- Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie die nodig is om een eerlijke en transparante verwerking ten aanzien van de betrokkene te garanderen:
- de periode gedurende welke de persoonsgegevens worden bewaard, of indien dat niet mogelijk is, de criteria die worden gebruikt om die periode te bepalen;
- Wanneer de verwerking is gebaseerd op artikel 6, lid 1, onder f), de legitieme belangen die worden nagestreefd door de verwerkingsverantwoordelijke of door een derde partij;
- Het bestaan van het recht om van de verwerkingsverantwoordelijke toegang tot en rectificatie of verwijdering van persoonsgegevens of beperking van de verwerking met betrekking tot de betrokkene te vragen en om bezwaar te maken tegen de verwerking, evenals het recht op gegevensportabiliteit;
- Wanneer de verwerking gebaseerd is op artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), moet het bestaan van het recht om de toestemming op elk moment in te trekken, zonder afbreuk te doen aan de rechtmatigheid van de verwerking op basis van toestemming vóór de verwerking ervan opname;
- Het recht om een klacht in te dienen bij een toezichthoudende autoriteit;
- Uit welke bron de persoonsgegevens afkomstig zijn en, indien van toepassing, of deze afkomstig zijn uit publiekelijk toegankelijke bronnen;
- Het bestaan van geautomatiseerde besluitvorming, inclusief profilering, bedoeld in artikel 22, leden 1 en 4, en, althans in die gevallen, zinvolle informatie over de betrokken logica, evenals de betekenis en de beoogde gevolgen van een dergelijke verwerking voor de betrokkene.
- De verwerkingsverantwoordelijke verstrekt de in de leden 1 en 2 bedoelde informatie:
- Binnen een redelijke termijn na het verkrijgen van de persoonsgegevens, maar uiterlijk binnen één maand, gelet op de specifieke omstandigheden waarin de persoonsgegevens worden verwerkt;
- Als de persoonsgegevens moeten worden gebruikt voor communicatie met de betrokkene, uiterlijk op het moment van de eerste communicatie aan die betrokkene; of
- Indien een openbaarmaking aan een andere ontvanger wordt overwogen, uiterlijk bij de eerste openbaarmaking van de persoonsgegevens.
- Wanneer de verantwoordelijke voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verkregen, verstrekt de verantwoordelijke de betrokkene voorafgaand aan die verdere verwerking informatie over dat andere doel en alle relevante nadere informatie als bedoeld naar lid 2.
- De leden 1 tot en met 4 zijn niet van toepassing indien en voor zover:
- De betrokkene beschikt al over de informatie;
- Het verstrekken van dergelijke informatie onmogelijk blijkt of onevenredige inspanningen zou vergen, met name bij verwerking voor archiveringsdoeleinden in het algemeen belang, voor wetenschappelijke of historische onderzoeksdoeleinden of voor statistische doeleinden, met inachtneming van de voorwaarden en waarborgen bedoeld in artikel 89, lid 1, of voor zover de in lid 1 van dit artikel genoemde verplichting de verwezenlijking van de doelstellingen van die verwerking onmogelijk dreigt te maken of ernstig in de weg kan staan. In dergelijke gevallen neemt de verwerkingsverantwoordelijke passende maatregelen om de rechten, vrijheden en legitieme belangen van de betrokkene te beschermen, inclusief het openbaar maken van de informatie;
- Het verkrijgen of openbaar maken is uitdrukkelijk vastgelegd in het recht van de Unie of de lidstaten waaraan de verantwoordelijke onderworpen is en dat voorziet in passende maatregelen om de legitieme belangen van de betrokkene te beschermen; of
- Wanneer de persoonsgegevens vertrouwelijk moeten blijven, onderworpen aan een beroepsgeheim geregeld door het recht van de Unie of de lidstaten, met inbegrip van een wettelijke geheimhoudingsplicht.
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
Britse AVG-versie
Informatie die moet worden verstrekt als er geen persoonsgegevens van de betrokkene zijn verkregen
- Wanneer er geen persoonsgegevens van de betrokkene zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie:
- De identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, indien van toepassing, van de vertegenwoordiger van de verwerkingsverantwoordelijke;
- De contactgegevens van de functionaris voor gegevensbescherming, indien van toepassing;
- De doeleinden van de verwerking waarvoor de persoonsgegevens bestemd zijn, alsmede de wettelijke grondslag voor de verwerking;
- De betrokken categorieën persoonsgegevens;
- De eventuele ontvangers of categorieën van ontvangers van de persoonsgegevens;
- Indien van toepassing, dat de verwerkingsverantwoordelijke voornemens is persoonsgegevens over te dragen aan een ontvanger in een derde land of internationale organisatie en het bestaan of ontbreken van relevante adequaatheidsvoorschriften op grond van artikel 17A van de Wet van 2018, of in het geval van overdrachten bedoeld in artikel 46 of 47, of artikel 49, lid 1, tweede alinea, met verwijzing naar de passende of passende waarborgen en de middelen om er een kopie van te verkrijgen of waar deze beschikbaar zijn gesteld.
- Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie die nodig is om een eerlijke en transparante verwerking ten aanzien van de betrokkene te garanderen:
- De periode gedurende welke de persoonsgegevens worden bewaard, of indien dat niet mogelijk is, de criteria die worden gebruikt om die periode te bepalen;
- Wanneer de verwerking is gebaseerd op artikel 6, lid 1, onder f), de legitieme belangen die worden nagestreefd door de verwerkingsverantwoordelijke of door een derde partij;
- Het bestaan van het recht om van de verwerkingsverantwoordelijke toegang tot en rectificatie of verwijdering van persoonsgegevens of beperking van de verwerking met betrekking tot de betrokkene te vragen en om bezwaar te maken tegen de verwerking, evenals het recht op gegevensportabiliteit;
- Wanneer de verwerking gebaseerd is op artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), moet het bestaan van het recht om de toestemming op elk moment in te trekken, zonder afbreuk te doen aan de rechtmatigheid van de verwerking op basis van toestemming vóór de verwerking ervan opname;
- Het recht om een klacht in te dienen bij de Commissaris;
- Uit welke bron de persoonsgegevens afkomstig zijn en, indien van toepassing, of deze afkomstig zijn uit publiekelijk toegankelijke bronnen;
- Het bestaan van geautomatiseerde besluitvorming, inclusief profilering, bedoeld in artikel 22, leden 1 en 4, en, althans in die gevallen, zinvolle informatie over de betrokken logica, evenals de betekenis en de beoogde gevolgen van een dergelijke verwerking voor de betrokkene.
- De verwerkingsverantwoordelijke verstrekt de in de leden 1 en 2 bedoelde informatie:
- Binnen een redelijke termijn na het verkrijgen van de persoonsgegevens, maar uiterlijk binnen één maand, gelet op de specifieke omstandigheden waarin de persoonsgegevens worden verwerkt;
- Als de persoonsgegevens moeten worden gebruikt voor communicatie met de betrokkene, uiterlijk op het moment van de eerste communicatie aan die betrokkene; of
- Indien een openbaarmaking aan een andere ontvanger wordt overwogen, uiterlijk bij de eerste openbaarmaking van de persoonsgegevens.
- Wanneer de verantwoordelijke voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verkregen, verstrekt de verantwoordelijke de betrokkene voorafgaand aan die verdere verwerking informatie over dat andere doel en alle relevante nadere informatie als bedoeld naar lid 2.
- De leden 1 tot en met 4 zijn niet van toepassing indien en voor zover:
- De betrokkene beschikt al over de informatie;
- Het verstrekken van dergelijke informatie onmogelijk blijkt of onevenredige inspanningen zou vergen, met name bij verwerking voor archiveringsdoeleinden in het algemeen belang, voor wetenschappelijke of historische onderzoeksdoeleinden of voor statistische doeleinden, met inachtneming van de voorwaarden en waarborgen bedoeld in artikel 89, lid 1, of voor zover de in lid 1 van dit artikel genoemde verplichting de verwezenlijking van de doelstellingen van die verwerking onmogelijk dreigt te maken of ernstig in de weg kan staan. In dergelijke gevallen neemt de verwerkingsverantwoordelijke passende maatregelen om de rechten, vrijheden en legitieme belangen van de betrokkene te beschermen, inclusief het openbaar maken van de informatie;
- Het verkrijgen of openbaar maken is uitdrukkelijk vastgelegd in de nationale wetgeving, die voorziet in passende maatregelen om de legitieme belangen van de betrokkene te beschermen; of
- Wanneer de persoonsgegevens vertrouwelijk moeten blijven, onderworpen aan een beroepsgeheim dat wordt geregeld door de nationale wetgeving, met inbegrip van een wettelijke geheimhoudingsplicht.
ISO 27001 eenvoudig gemaakt
Een voorsprong van 81% vanaf dag één
Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.
Technisch commentaar
Organisaties moeten de volgende informatie beschikbaar stellen na het verzamelen van de gegevens van de proefpersoon:
- De identiteit van hun functionaris voor gegevensbescherming.
- Contactgegevens van hun functionaris voor gegevensbescherming.
- Het doel en de wettelijke basis voor het verzamelen van de gegevens.
- De categorieën persoonsgegevens die indirect zijn verkregen.
- Eventuele legitieme belangen.
- De identiteit van de ontvangers.
- Internationale overdracht van gegevens, inclusief landgegevens en waarborgen.
Verplichtingen om informatie te verstrekken wanneer persoonlijke gegevens worden verkregen
Naast de bovenstaande informatie moet de organisatie ook het volgende verstrekken:
- Details van de bewaartermijn van gegevens;
- De specifieke kenmerken van de rechten van de betrokkene, onder de wetgeving inzake gegevensbescherming;
- Informatie over hoe u uw toestemming kunt intrekken;
- Hoe u een klacht indient;
- Eventuele contractuele of wettelijke vereisten;
- Details van geautomatiseerde besluitvormingsprocessen.
Tijdslimieten waarop informatie over de verwerking moet worden verstrekt
- Scenario 1 – Persoonlijke gegevens verzameld met geen bedoeling om contact op te nemen met de betrokkene of om de gegevens aan een derde partij bekend te maken
- Tijdslimiet voor contact – Eén maand
- Scenario 2 – Persoonlijke gegevens verzameld met een bedoeling om contact op te nemen met de betrokkene
- Tijdslimiet voor contact – Twee maanden
- Persoonlijke gegevens verzameld met een bedoeling om deze aan een derde partij bekend te maken
- Tijdslimiet voor contact – Twee maanden
EU AVG artikel 14 en ISO 27701 clausule 7.3.2
In dit gedeelte wordt verwezen naar de artikelen 14 (1)(a), 14 (1)(b), 14 (1)(c), 14 (1)(d), 14 (1)(e), 14 (1)( f), 14 (2)(b), 14 (2)(e), 14 (2)(f), 14 (3)(a), 14 (3)(b), 14 (3)(c) , 14 (4), 14 (5)(a), 14 (5)(b), 14 (5)(c), 14 (5)(d)
Zie ISO 27701-clausule 7.3.2-richtlijnen in artikel 13.
EU AVG artikel 14, lid 2, onder d) en ISO 27701 clausule 7.3.4
Zie ISO 27701-clausule 7.3.4-richtlijnen in artikel 13.
EU AVG artikel 14, lid 2, onder c) en ISO 27701 clausule 7.3.5
Zie ISO 27701-clausule 7.3.5-richtlijnen in artikel 13.
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
EU AVG artikel 14, lid 2, onder c) en ISO 27701 clausule 7.3.6
Zie ISO 27701-clausule 7.3.6-richtlijnen in artikel 13.
EU AVG artikel 14, lid 2, onder g) en ISO 27701 clausule 7.3.10
Zie ISO 27701-clausule 7.3.10-richtlijnen in artikel 13.
EU AVG artikel 14, lid 2, onder a) en ISO 27701 clausule 7.4.7
Zie ISO 27701-clausule 7.4.7-richtlijnen in artikel 13.
Ondersteunende controles uit ISO 27701
| AVG-artikel | ISO 27701-clausule | ISO 27701 Ondersteunende clausules |
|---|---|---|
| EU AVG Artikelen 14, lid 1, onder a) tot en met 5, onder d) | ISO 27701 7.3.2 | Geen |
| EU AVG Artikel 14 (2)(d) | ISO 27701 7.3.4 | Geen |
| EU AVG Artikel 14, lid 2, onder c) | ISO 27701 7.3.5 | Geen |
| EU AVG Artikel 14, lid 2, onder c) | ISO 27701 7.3.6 | ISO 27701 7.3.7 |
| EU AVG Artikel 14, lid 2, onder g) | ISO 27701 7.3.10 | Geen |
| EU AVG Artikel 14, lid 2, onder a) | ISO 27701 7.4.7 | Geen |
Hoe ISMS.online helpt
Wij bieden een vooraf gebouwde omgeving waarin u uw aanpak voor het beschermen van uw Europese en Britse klantgegevens kunt beschrijven en demonstreren, die naadloos in uw beheersysteem past.
Daarom hebben we een ingebouwde risicobank en een reeks andere praktische hulpmiddelen gecreëerd die u kunnen helpen bij elk onderdeel van het risicobeoordelings- en beheerproces. Aan welke privacynormen of regelgeving u ook werkt, u moet laten zien hoe goed u omgaat met verzoeken om rechten van betrokkenen (Data Subject Rights Requests, DRR). Onze beveiligde DRR-ruimte bewaart alles op één plek en ondersteunt het met geautomatiseerde rapportage en inzicht.
Meer informatie via het boeken van een demo van 30 minuten.
