Article 13
Transparantie en informatieverstrekking aan gebruiksverantwoordelijken
Notified Body Information Obligations
This specific topic is needed to comprehensively cover the distinct information obligations that notified bodies must fulfill under the AI Act, including their duties to disclose assessment findings, report non-compliance, notify authorities of incidents, and provide transparent information to stakeholders.
notified body information obligations information duties disclosure requirements reporting obligations information provision transparency requirements communication obligations authority notification
Overview
Legal Framework
The specific obligations of notified bodies under the AI Act are governed by Articles 43 and 44 AI Act. These articles establish the core information duties for bodies designated to conduct conformity assessments of high-risk AI systems. Article 43 mandates that notified bodies inform their notifying authority and other relevant national bodies of any certificates issued or withdrawn. Crucially, they must also immediately notify those authorities of any reason to believe an AI system presents a risk, providing details on non-compliance and any corrective actions taken or required. Article 44 complements this by requiring notified bodies to provide, upon request, all relevant documentation to other notified bodies, market surveillance authorities, and the AI Office, ensuring transparency and cooperation in the oversight network.
Practical Application
The provisions create a system of proactive and reactive information sharing. The obligation to notify authorities of risks is interpreted as a continuous duty of vigilance that extends beyond the initial conformity assessment. While the provided T&C commentary on GDPR does not directly interpret these AI Act articles, the underlying regulatory principle is consistent: designated oversight bodies must act as key nodes in the enforcement chain, sharing critical information to enable swift regulatory action. The requirement to provide documentation to other authorities upon request (as also referenced in AI Act Recital 157 regarding national bodies protecting fundamental rights) is essential for coordinated supervision, especially for AI systems deployed across multiple Member States. In practice, a notified body must establish robust internal procedures to document all assessment findings, decisions, and communications, and have clear protocols for escalating potential non-compliance internally before making external notifications.
Key Considerations
- Establish Clear Escalation Protocols: Implement internal governance that defines thresholds and procedures for identifying a "reason to believe" a system presents a risk, ensuring timely and legally compliant reporting to authorities under Article 43.
- Maintain Audit-Ready Documentation: All assessment records, correspondence, and decision logs must be meticulously maintained and organized to fulfill immediate requests for documentation from other notified bodies or authorities as required by Article 44 and Recital 157.
- Coordinate with National Authorities: Proactively engage with your notifying authority to align on the specific format, channel, and content expectations for mandatory notifications to ensure they are actionable for market surveillance.
Laws (34)
View all 34Case Law (13)
Woo. Keuze familienaam als bedrijfsnaam komt voor rekening personen. Dat is geen reden om te lakken bij Woo-verzoek.
Rechtbank
Wet Open overheid, bedrijfs- en fabricagegegevens, persoonlijke levenssfeer, veiligheid, horen in bezwaar, 6:22 Awb
Integritetsskyddsmyndigheten v AB Storstockholms Lokaltrafik
CJEU
Deze zaak draait in essentie om de vraag wanneer persoonsgegevens worden verzameld bij de betrokkene en wanneer niet. Dit onderscheid is namelijk relevant voor de toepassing van de transparantievereisten (art. 13 of 14 AVG). In de zaak draaide het om het gebruik van bodycams in het openbaar vervo...
Uitzondering openbare orde bij inzageverzoek incidentenrapport n.a.v. parachutsprong ongeluk
Rechtbank
Heeft verzoeker recht op inzage in incidentenrapport op grond van de artikel 15 AVG naar aanleiding van ongeval bij parachutespringen?
Rechtbank Amsterdam
Rechtbank Amsterdam
Collectieve actie Bureau Clara Wichman. Borstimplantaten. Vervolg op rechtbank Amsterdam 14 februari 2024, ECLI:NL:RBAMS:2024:745 en rechtbank Amsterdam 1 mei 2024, ECLI:NL:RBAMS:2024:2479. Productaansprakelijkheid. Richtlijn 85/374/EEG inzake productaansprakelijkheid. Richtlijn 93/42/EEG betreffende medische hulpmiddelen. Artikel 6:185 e.v. BW, artikel 6:162 BW, artikel 6:193b BW en 6:193d BW. Artikel 843a Rv (oud). Hoge Raad 30 juni 1989, NJ 1990/652 (Halcion). Eindvonnis. Geen gebrekkig product in de zin van artikel 6:186 BW. Producent niet aansprakelijk. De rechtbank wijst de vorderingen in de hoofdzaak en het incident af. Zie voor een samenvatting van het vonnis, het vonnis onder 1. ‘De zaak in het kort’.
College van Beroep voor het bedrijfsleven
College van Beroep voor het bedrijfsleven
Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft). DNB heeft een boete opgelegd aan een trustkantoor wegens het niet melden van een ongebruikelijke transactie. Het College verklaart het hoger beroep dat het trustkantoor tegen de boete heeft ingesteld ongegrond. Het College is van oordeel dat het trustkantoor op het moment van de transactie niet over voldoende informatie beschikte om aan te nemen dat het om een gebruikelijke transactie ging die zij niet hoefde te melden. Het hoger beroep van DNB tegen de door de rechtbank toegepaste matiging wegens overschrijding van de redelijke termijn slaagt. Het College vernietigt de uitspraak van de rechtbank voor zover de rechtbank de boete verder heeft gematigd dan € 72.500,-. Het hoger beroep van het trustkantoor tegen de publicatiebesluiten slaagt ook. Het College oordeelt dat DNB opnieuw moet beslissen op de bezwaren die het trustkantoor en de moedermaatschappij tegen de publicatiebesluiten hadden gemaakt.
Weggelakte persoonsgegevens is gerechtvaardigd in dit geval gelet op persoonlijke levenssfeer medewerkers en veiligheid van hen en de onderwijsinstelling
Raad van State
[appellant] heeft beroep ingesteld tegen het besluit van het college van 2 april 2025, op het door hem gemaakte bezwaar tegen het besluit van het college van 29 november 2024. Het college heeft de vertrouwelijke versies van een aantal gedingstukken overgelegd en met verwijzing naar artikel 8:29 van de Awb medegedeeld dat uitsluitend de Afdeling kennis zal mogen nemen van deze stukken. [appellant] vindt beperking van de kennisneming van de stukken niet gerechtvaardigd, omdat daarmee zijn recht op een gelijke proceskans wordt beperkt terwijl daar volgens hem geen gewichtige redenen voor zijn.
Discussie over vraag of inzageverzoek is gedaan. In dit geval niet.
Rechtbank
Besluitbegrip. Is er een AVG-verzoek gedaan?
NCTV onderzoek naar Blauwe Tijger. Berichten van Blauwe Tijger zijn niet ook persoonsgegevens van de bestuurder, ook al is Blauwe Tijger verknocht met de persoon van de bestuurder.
Gerechtshof
Vermelding van een stichting (uitgeverij/journalistiek platform) in rapport DTN53 (Dreigingsbeeld Terrorisme Nederland) van de NCTV is niet onrechtmatig; artikelen 6, 8 en 10 EVRM.
Goed functionerend agressieprotocol met meldingsmogelijkheid brengt met zich mee dat inzage daarin geweigerd mag worden.
Rechtbank
Deze uitspraak gaat over het verzoek om inzage in twee incidentmeldingen op grond van het agressieprotocol van de gemeente Hardenberg. Eiser verzoekt om inzage op grond van 15 AVG. Het college heeft dit verzoek afgewezen ter waarborging van de rechten en vrijheden van anderen (15(4) AVG). De rech...
EVR registratie had niet mogen plaatsvinden. IVR registraite wel en duur wordt niet verkort
Rechtbank
Vordering tot verwijdering persoonsgegevens uit externe frauderegistratiesystemen toewijsbaar. Verzekeringsfraude niet voldoende komen vast te staan. Wel voldoende grond voor opname persoonsgegevens in interne frauderegistratiesystemen. Vordering tot schadevergoeding wegens onrechtmatig handelen niet toewijsbaar.
WPG. Zoekslag in het bestreden besluiten onvoldoende inzichtelijk; daarnaast niet volledig op het verzoek om...
Rechtbank
WPG. Zoekslag in het bestreden besluiten onvoldoende inzichtelijk; daarnaast niet volledig op het verzoek om kennisneming beslist. Gebreken hangende het beroep hersteld. Weigeringsgronden goed gemotiveerd met een behoorlijke belangenafweging. Algemene zorgen om de kwaliteit van het informatiebeheer zijn onvoldoende om toelichting op de zoekslag niet geloofwaardig te oordelen. Gegrond, instandhouding rechtsgevolgen.
Artikel :
Raad van State
Bij besluit van 6 september 2019 heeft het college van burgemeester en wethouders van Amsterdam aan [appellante] informatie verstrekt naar aanleiding van een door haar ingediend verzoek tot inzage in haar persoonsgegevens op grond van de artikelen 12 en 15, eerste lid, van de Algemene Verordening Gegevensbescherming (EU) 2016/679. [appellante] heeft het college op 25 juli 2019 verzocht om haar persoonsgegevens in te zien. Zij heeft verzocht om een kopie van de door het college verwerkte persoonsgegevens en in elk geval om een kopie van e-mails, (telefoon)verslagen en Messenger-berichten die betrekking hebben op haar. In een e-mail van 2 augustus 2019 heeft het college [appellante] gevraagd om haar verzoek schriftelijk nader te specificeren. Op deze vraag heeft [appellante] niet gereageerd. Het college heeft vervolgens een algemeen overzicht verstrekt. Dit overzicht bevat de verwerkte persoonsgegevens van [appellante] en aanvullend drie gedeeltelijke geanonimiseerde afschriften van documenten die in vrijwel ieder dossier van tot het Programma Ongedocumenteerden Amsterdam toegelaten ongedocumenteerden voorkomen.
WAMCA
Rechtbank
Collectieve actie (WAMCA). Twee stichtingen voeren elk een collectieve actie tegen Google over de wijze waarop Google persoonsgegevens van gebruikers verzamelt en verwerkt. De rechtbank oordeelt in dit tussenvonnis dat beide stichtingen ontvankelijk zijn in de zin van de WAMCA.
Guidance (21)
View all 21Richtsnoeren 01/2020 inzake de verwerking van persoonsgegevens in het kader van verbonden voertuigen en mobiliteitsgerelateerde toepassingen
guidelines connected vehicles
Guidelines 05/2020 on consent under Regulation 2016/679
Guidelines on consent
Guidelines 01/2022 on data subject rights - Right of access
Guidelines on data subject rights - Right of access
The right of access of data subjects is enshrined in Art. 8 of the EU Charter of Fundamental Rights. It has been a part of the European data protection legal framework since its beginning and is now further developed by more specified and precise rules in Art. 15 GDPR.
Guidelines 03/2022 on Deceptive design patterns in social media platform interfaces: how to recognise and avoid them
Guidelines on deceptive design patterns in social media platform interfaces: how to recognise and avoid them
These Guidelines offer practical recommendations to social media providers as controllers of social media, designers and users of social media platforms on how to assess and avoid so-called 'deceptive design patterns' in social media interfaces that infringe on GDPR requirements. To this end, the EDPB recommends that controllers make use of interdisciplinary teams, consisting, among others, of designers, data protection officers and decision-makers. It is important to note ...
Guidelines 2/2018 on derogations of Article 49 under Regulation 2016/679
Guidelines on derogations of Article 49
Guidelines 9/2022 on personal data breach notification under GDPR
Guidelines on personal data breach notification under GDPR
Guidelines 02/2022 on the application of Article 60 GDPR
Guidelines on the application of Article 60 GDPR
With the introduction of the GDPR, the concept of the one-stop shop was established as one of the main innovations. In cross-border processing cases, the supervisory authority in the Member State of the controller's or processor's main establishment is the authority leading the enforcement of the GDPR for the respective cross-border processing activities, in cooperation with all the authorities which may face the effects of the processing activities at stake: be it through the establishments ...
Guidelines 8/2020 on the targeting of social media users
Guidelines on the targeting of social media users
ARTICLE 29 DATA PROTECTION WORKING PARTY
Guidelines on transparency
Guidelines 02/2021 on virtual voice assistants
Guidelines on virtual voice assistants
A virtual voice assistant (VVA) is a service that understands voice commands and executes them or mediates with other IT systems if needed. VVAs are currently available on most smartphones and tablets, traditional computers, and, in the latest years, even standalone devices like smart speakers. VVAs act as interface between users and their computing devices and online services such as search engines or online shops. Due to their role, VVAs have access to a huge amount of personal...
VERSIEGESCHIEDENIS
binding corporate rules voor verwerkingsverantwoordelijken
Richtsnoeren 2/2018 inzake afwijkingen op grond van artikel 49 van Verordening 2016/679
guidelines afwijkingen van artikel 49
Versiegeschiedenis
guidelines doorgifte van persoonsgegevens tussen overheidsinstanties en -organen binnen en buiten de EER
Richtsnoeren 3/2022 betreffende het herkennen en vermijden van misleidende ontwerppatronen in de interfaces van socialemediaplatforms
guidelines misleidende ontwerppatronen
Deze richtsnoeren bieden praktische aanbevelingen aan aanbieders van sociale media als verwerkingsverantwoordelijken van sociale media, ontwerpers en gebruikers van socialemediaplatforms, over het beoordelen en vermijden van zogenaamde 'misleidende ontwerp patronen' in de interfaces van sociale media die inbreuk maken op de vereisten van de AVG. Daartoe beveelt de EDPB aan dat verwerkingsverantwoordelijken gebruikmaken van interdisciplinaire teams, bestaande uit onder meer ontwerpers, func...
Richtsnoeren 02/2021 inzake virtuele spraakassistenten
guidelines over virtuele spraakassistenten
Een virtuele spraakassistent ( virtual voice assistant , of VVA) betreft een dienst die spraakgestuurde opdrachten begrijpt en uitvoert, of indien nodig als tussenschakel optreedt naar andere IT-systemen. Tegenwoordig is een VVA als optie beschikbaar op de meeste smartphones, tablets en reguliere computers en sinds enkele jaren zelfs op losse apparaten zoals smartspeakers. Een VVA functioneert als schakel tussen de gebruiker en zijn apparaat of een online dienst zoals een zoekmachine...
Richtsnoeren 01/2022 over de rechten van betrokkenen Recht van inzage
guidelines recht op inzage
Het recht van inzage van betrokkenen is vastgelegd in artikel 8 van het Handvest van de grondrechten van de Europese Unie. Het maakt al sinds het begin deel uit van het Europese wettelijke kader voor gegevensbescherming en wordt nu verder ontwikkeld met specifiekere, preciezere regels in artikel 15 AVG.
Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679
guidelines toestemming
GROEP GEGEVENSBESCHERMING ARTIKEL 29
guidelines transparantie
Richtsnoeren 9/2020 inzake relevant en gemotiveerd bezwaar overeenkomstig Verordening 2016/679
Richtsnoeren 02/2022 voor de toepassing van artikel 60 AVG
guidelines voor de toepassing van artikel 60 AVG
Een van de belangrijkste innovaties bij de invoering van de AVG was de introductie van het concept 'één-loketmechanisme'. In gevallen van grensoverschrijdende verwerking is de toezichthoudende autoriteit in de lidstaat van de hoofdvestiging van de verwerkingsverantwoordelijke of verwerker de autoriteit die leidinggeeft aan de handhaving van de AVG met betrekking tot de grensoverschrijdende verwerkingsactiviteiten in kwestie. Daarbij wordt samengewerkt met alle autoriteiten die de gevolge...
Enforcement (2)
MALTA DPA: Insufficient fulfilment of data subjects rights
€20,000 fine - Data Protection Commissioner of Malta
The controller failed to comply with a data subject's right to information. In addition, the data protection policy did not meet the transparency requirements.
MALTA DPA: Insufficient fulfilment of data subjects rights
€4,000 fine - Data Protection Commissioner of Malta
The controller had sent unsolicited commercial messages. In addition, the privacy policy did not comply with transparency requirements and the controller failed to comply with requests for information from data subjects.
News (3)
AI Omnibus: Reject the proposals to undermine transparency in the AI Act
The European Commission’s dangerous and misguided Digital Omnibus proposal includes a dangerous rollback of transparency requirements in the AI Act. 60 civil society organisations, independent public authorities and individuals, including EDRi, urge EU lawmakers to reject a change that would risk weakening enforcement, legal certainty, and the protection of fundamental rights, while offering negligible benefits for companies. The post AI Omnibus: Reject the proposals to undermine transparency in
Coordinated enforcement framework: The European Data Protection Board will select a topic for enforcement action in 2026.
Brussels, October 14th - During its plenary meeting in October, the European Data Protection Board (EDPB) selected the topic for its fifth coordinated enforcement action. This action will focus on compliance with the obligations regarding transparency and information provision under the General Data Protection Regulation (GDPR). The GDPR ensures that individuals are informed when their data is being processed (as stipulated in Articles 12, 13, and 14). This right to information is a crucial element of transparency and ensures that individuals have more...
Overview of EU Strategy for Data: Digital Services Act
> The Digital Services Act was published in the Official Journal of the European Union Oct. 27. The DSA, which harmonizes conditions for the provision of intermediary services and increases transparency requirements for online intermediaries, will enter into force Nov. 16. In the latest installment of a multipart series, the IAPP Research and Insights team provides privacy professionals with an overview of the DSA, including the law's objectives, key requirements and enforcement.