Volg even deze gedachtegang: je neemt het openbaar vervoer en alles verloopt zoals het hoort. Een ticketcontroleur komt je coupé binnen om de vervoersbewijzen van de passagiers te controleren. Eén van de passagiers werkt niet mee en stelt zich agressief op tegenover de controleur. De controleur, die een bodycam draagt, neemt de hele interactie op, van het binnenkomen in de coupé tot het verlaten na het incident.
En dan nu de GDPR-vraag: is deze opname rechtstreeks of onrechtstreeks verzameld van de betrokkenen? En welk transparantieregime geldt er dan, artikel 13 of 14 GDPR?
Deze vraag wordt behandeld door het Hof van Justitie in de zaak Storstockholms Lokaltrafik C-422/24.
Belangrijkste inzichten
- Elke vorm van opname, zichtbaar of niet, is een gegevensverzameling rechtstreeks van de betrokkene en valt dus onder de informatieplicht van artikel 13.
- Het verschil tussen artikel 13 en 14 vertrekt vanuit het standpunt van de verwerkingsverantwoordelijke, niet van de betrokkene.
- Betrokkenen moeten vóór de opname geïnformeerd worden over het (mogelijke) feit dat ze worden opgenomen.
- De belangrijkste informatie kan worden weergegeven op een waarschuwingsbord.
Een situatieschets
De zaak vindt haar oorsprong in Zweden bij de lokale openbaarvervoersmaatschappij. Het geschil ontstaat door het gebruik van bodycams bij controleurs op het openbaar vervoer. Deze camera’s nemen continu beeld en geluid op, maar werken met een doorlopende buffer: opnames worden automatisch overschreven tenzij de controleur actief ingrijpt, bijvoorbeeld bij een conflict, bedreiging of het uitschrijven van een boete. In dat geval wordt de opname van een korte periode voor en na het incident bewaard.
In deze blog gaan we dieper in op deze zaak van 18 december 2025 en de mogelijke impact voor jouw organisatie.
Rechtstreekse gegevensverzameling onder artikel 13
Artikel 13 GDPR is van toepassing wanneer persoonsgegevens rechtstreeks van de betrokkene worden verkregen.
De onderliggende logica is eenvoudig: als een verwerkingsverantwoordelijke persoonsgegevens van jou verzamelt, moet je op het moment van verzameling geïnformeerd worden. Artikel 13 vereist daarom dat de informatie wordt verstrekt op het moment waarop de persoonsgegevens worden verkregen.
Typische voorbeelden zijn:
- het invullen van een formulier (online of op papier),
- zich registreren voor een dienst,
- gegevens invoeren in een app of portaal.
Artikel 13 is strikter in timing. Er wordt onmiddellijke transparantie verwacht, ook al gebeurt dat in de praktijk vaak via gelaagde informatie (bijvoorbeeld borden gecombineerd met een gedetailleerde privacyverklaring).
Onrechtstreekse gegevensverzameling onder artikel 14
Artikel 14 GDPR is van toepassing wanneer persoonsgegevens niet rechtstreeks van de betrokkene zijn verkregen.
Deze bepaling is bedoeld voor situaties waarin de verwerkingsverantwoordelijke persoonsgegevens ontvangt van een derde partij of een andere bron, zoals:
- datamakelaars,
- openbare registers,
- zakenpartners,
- entiteiten binnen een groep,
- indirect gegenereerde gegevens die niet actief zijn verstrekt door de persoon in kwestie.
Omdat onmiddellijke kennisgeving in deze scenario’s vaak onpraktisch is, laat artikel 14 toe dat de informatie binnen een redelijke termijn wordt verstrekt, meestal binnen één maand, of ten laatste bij het eerste contact met de betrokkene of de eerste openbaarmaking van de gegevens.
Artikel 14 bevat ook expliciete uitzonderingen, onder andere in situaties waarin het verstrekken van informatie onmogelijk blijkt of een onevenredige inspanning vereist, mits gepaste waarborgen.
Kernvraag
De centrale vraag die aan het Hof werd voorgelegd is hoe persoonsgegevens die via bodycams zijn vastgelegd, moeten worden geclassificeerd voor de doeleinden van GDPR-transparantie:
- Zijn deze gegevens “verkregen van de betrokkene”, omdat de persoon fysiek aanwezig is en rechtstreeks wordt gefilmd?
- Of zijn ze “niet verkregen van de betrokkene”, omdat de gegevens zijn gegenereerd via een technisch toestel, zonder actieve betrokkenheid of interactie van de betrokkene?
De uitkomst bepaalt welk transparantieregime van toepassing is:
- ofwel moet transparantie worden geboden op het moment van de opname (artikel 13),
- ofwel kunnen soepelere termijnen en mogelijke uitzonderingen gelden (artikel 14).
Beslissing
Het Hof vertrekt vanuit het basisonderscheid in de structuur van de GDPR. Artikel 13 is van toepassing wanneer persoonsgegevens worden verzameld van de betrokkene, terwijl artikel 14 enkel geldt wanneer gegevens niet van de betrokkene worden verkregen. Dit onderscheid is doorslaggevend en exclusief: artikel 14 is negatief gedefinieerd met verwijzing naar artikel 13.
Het Hof verwerpt expliciet het idee dat artikel 13 enige vorm van actieve of vrijwillige verstrekking van gegevens door de betrokkene vereist. Wat telt is niet het gedrag van de betrokkene, maar de handeling van de verwerkingsverantwoordelijke. Gegevens worden nog steeds “verzameld van de betrokkene” wanneer de verwerkingsverantwoordelijke ze rechtstreeks verkrijgt door observatie, bijvoorbeeld via camera’s.
In het geval van bodycams die gedragen worden door controleurs, worden de beelden en geluidsopnames rechtstreeks gegenereerd door de personen die worden gefilmd. De gegevens worden niet verkregen via een tussenpersoon, een andere databank of een derde partij. Er is dus geen sprake van een “andere bron” in de zin van artikel 14(2)(f) GDPR.
Het Hof plaatst artikel 14 in zijn juiste context. Deze bepaling is bedoeld voor situaties waarin er geen direct contact is tussen de verwerkingsverantwoordelijke en de betrokkene, en waarin het dus niet realistisch is om informatie te verstrekken op het moment van gegevensverzameling. Dat verklaart waarom artikel 14 uitgestelde informatieverlening toestaat. Die logica geldt echter niet wanneer gegevens rechtstreeks worden verzameld bij de betrokkene, zoals bij videoregistratie tijdens vervoerscontroles.
Het Hof legt sterk de nadruk op het transparantiedoel van de GDPR. Artikel 14 toepassen op bodycam-opnames zou verwerkingsverantwoordelijken in staat stellen om het verstrekken van informatie uit te stellen, terwijl de betrokkene de directe bron van de gegevens is. Dat zou het risico op ongeziene of “verborgen” surveillance creëren, iets wat haaks staat op het doel van de GDPR om een hoog niveau van bescherming van grondrechten te garanderen.
Conclusie
Met dit arrest maakt het Hof een duidelijk onderscheid tussen het rechtstreeks en onrechtstreeks verkrijgen van gegevens. Het relevante perspectief is dat van de verwerkingsverantwoordelijke, niet van de betrokkene. Het handelen van de verwerkingsverantwoordelijke bepaalt of gegevens rechtstreeks van de betrokkene worden verzameld, dan wel via een derde partij en dus onrechtstreeks.
De redenering van het Hof is bewust verankerd in het principe van transparantie. Verwerkingsverantwoordelijken toelaten om in dergelijke contexten op artikel 14 te steunen, zou leiden tot uitgestelde of afgezwakte informatie op precies het moment dat mensen worden opgenomen, en dus de deur openen voor surveillance die in de praktijk onopgemerkt blijft. Dat resultaat, zo maakt het Hof duidelijk, is onverenigbaar met het fundamentele doel van de GDPR: een hoog beschermingsniveau van grondrechten garanderen.
Voor bedrijven is de boodschap zowel eenvoudig als soms ongemakkelijk: transparantie kan niet worden uitgesteld, uitbesteed aan privacyverklaringen of verborgen in de kleine lettertjes. Als je systemen mensen rechtstreeks observeren, begint jouw informatieplicht op het moment van observatie, niet later, niet op aanvraag, en niet enkel in theorie.
Belangrijkste takeaways
Elke vorm van opname, zowel verborgen als zichtbaar, is persoonsgegevens die rechtstreeks van de betrokkene worden verzameld en valt daarom onder de informatieplicht van artikel 13.
Het verschil tussen artikel 13 en 14 komt voort uit het perspectief van de verwerkingsverantwoordelijke, niet uit dat van de betrokkene.
Het informeren van betrokkenen over het (mogelijk) worden opgenomen moet plaatsvinden vóórdat de opname start.
De belangrijkste informatie kan worden opgenomen op een waarschuwingsbord.
