Artikel 13 AVG: wat moet je precies vermelden bij het verzamelen van persoonsgegevens?

Artikel 13 van de AVG verplicht organisaties om mensen actief te informeren op het moment dat zij persoonsgegevens bij hen verzamelen. Denk aan een contactformulier, een inschrijfformulier of een sollicitatie: zodra iemand zelf gegevens aan jou verstrekt, moet je meteen duidelijk maken wie je bent, waarom je die gegevens verzamelt en wat er verder mee gebeurt. Dat is de kern van artikel 13 AVG.

Wat regelt artikel 13 AVG precies?

Artikel 13 van de Algemene Verordening Gegevensbescherming (AVG) gaat specifiek over de situatie waarbij persoonsgegevens rechtstreeks bij de betrokkene worden verzameld. Dat onderscheidt het van artikel 14 AVG, dat geldt als je gegevens via een andere bron verkrijgt. Bij artikel 13 gaat het om gegevens die mensen zelf aan jou geven, bijvoorbeeld door een formulier in te vullen, een account aan te maken of een contract te ondertekenen.

De verplichting om te informeren geldt op het moment van verzamelen. Niet achteraf, niet ergens verborgen in de kleine lettertjes, maar vooraf of uiterlijk op het moment dat de gegevens worden ingevuld of verstrekt. In de praktijk betekent dit dat je een privacyverklaring of informatiebericht beschikbaar stelt dat mensen kunnen lezen voordat ze hun gegevens achterlaten.

Welke informatie ben je verplicht te verstrekken?

Artikel 13 AVG bevat twee lagen: een verplicht basispakket en aanvullende informatie die in specifieke situaties ook verstrekt moet worden.

Het basispakket (artikel 13 lid 1) omvat:

De identiteit en contactgegevens van de verwerkingsverantwoordelijke (dat ben jij of jouw organisatie).
De contactgegevens van de functionaris voor gegevensbescherming (FG), als die er is.
Het doel van de verwerking: waarom verzamel je de gegevens?
De rechtsgrond voor de verwerking, bijvoorbeeld toestemming, een overeenkomst of een wettelijke verplichting.
Als de grondslag een gerechtvaardigd belang is: welk belang dat dan is.
Of de gegevens worden doorgegeven aan ontvangers buiten de EU, en zo ja, op welke basis.

Aanvullend (artikel 13 lid 2) moet je ook vermelden:

Hoe lang je de gegevens bewaart, of de criteria die daarvoor worden gebruikt.
De rechten van de betrokkene: recht op inzage, correctie, verwijdering, beperking, bezwaar en dataportabiliteit.
Als de verwerking op toestemming is gebaseerd: het recht om die toestemming in te trekken.
Het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.
Of het verstrekken van de gegevens verplicht is (bijvoorbeeld wettelijk of contractueel) en wat er gebeurt als iemand dat weigert.
Of er sprake is van geautomatiseerde besluitvorming of profilering, en zo ja: hoe dat werkt en wat de gevolgen zijn.

Wanneer geldt de informatieplicht van artikel 13 AVG?

De informatieplicht geldt altijd als je persoonsgegevens rechtstreeks bij iemand verzamelt. Het maakt niet uit of het gaat om een groot bedrijf of een kleine ondernemer, een webshop of een sportvereniging. Zodra je naam, e-mailadres, telefoonnummer of andere persoonsgegevens verzamelt van mensen die die gegevens zelf aanleveren, is artikel 13 AVG van toepassing.

Er is één uitzondering: als de betrokkene al beschikt over de betreffende informatie, hoef je die niet opnieuw te verstrekken. Dat staat in artikel 13 lid 4 AVG. In de praktijk is dit een smalle uitzondering; ga er niet vanuit dat mensen de informatie al kennen, tenzij je dat heel duidelijk kunt aantonen.

Hoe geef je uitvoering aan artikel 13 AVG in de praktijk?

De meest gebruikte manier is een privacyverklaring op je website, gekoppeld aan elk formulier of aanmeldpunt waar gegevens worden verzameld. Zet een duidelijk zichtbare link naar de privacyverklaring bij het formulier zelf. Verstop de link niet onderaan de pagina of in een lange tekst. De Autoriteit Persoonsgegevens benadrukt dat de informatie begrijpelijk, toegankelijk en in duidelijke taal moet worden verstrekt.

Voor offline situaties, bijvoorbeeld papieren formulieren of mondelinge gesprekken waarbij je gegevens noteert, geldt dezelfde verplichting. Geef dan een informatieblad mee of verwijs naar een schriftelijke privacyverklaring. Bij telefonisch contact kun je mensen mondeling informeren en wijzen op een schriftelijke versie.

Een gelaagde privacyverklaring werkt in veel gevallen het beste: een korte, begrijpelijke samenvatting bovenaan, met de mogelijkheid om door te klikken naar de uitgebreidere technische details. Zo voldoe je aan de AVG-eis van begrijpelijkheid zonder mensen te overladen met juridische teksten.

Wat zijn de gevolgen als je artikel 13 AVG niet naleeft?

De Autoriteit Persoonsgegevens (AP) is in Nederland de toezichthouder op de AVG en kan handhavend optreden als de informatieplicht niet wordt nageleefd. Dat kan variëren van een waarschuwing tot een boete. De AVG staat boetes toe van maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet voor schendingen van de informatieverplichtingen, afhankelijk van welk bedrag hoger is. De AP weegt bij een eventuele boete onder meer af hoe ernstig de overtreding is, of er sprake is van opzet en hoeveel mensen er getroffen zijn.

Buiten handhaving speelt ook vertrouwen een rol. Mensen die niet weten wat er met hun gegevens gebeurt, zijn minder geneigd om een formulier in te vullen of een dienst af te nemen. Een duidelijke, eerlijke privacyverklaring op basis van artikel 13 AVG is daarmee ook gewoon een verstandige keuze voor je eigen organisatie.

Controleer regelmatig of je privacyverklaring nog klopt met de gegevens die je daadwerkelijk verwerkt. Veranderen je doeleinden, je ontvangers of je bewaartermijnen? Dan moet je de informatie bijwerken. Artikel 13 AVG is geen eenmalige klus, maar een doorlopende verplichting.