En udpeget retlig repræsentant bør handle på vegne af dataformidlingstjenesteudbyderen, og de kompetente myndigheder for dataformidlingstjenester bør kunne henvende sig til den retlige repræsentant i tillæg til eller i stedet for en dataformidlingstjenesteudbyder, herunder i tilfælde af en overtrædelse, med henblik på at indlede en håndhævelsesprocedure mod en dataformidlingstjenesteudbyder, der ikke overholder bestemmelserne, og som ikke er etableret i Unionen. Den retlige repræsentant bør udpeges ved et skriftligt mandat fra dataformidlingstjeneste udbyderen til at handle på dennes vegne for så vidt angår dennes forpligtelser i medfør af denne forordning. (43) For at hjælpe registrerede og dataindehavere med let at identificere — og derved øge deres tillid til — dataformidlingstjenesteudbydere, der er anerkendt i Unionen, bør der, i tillæg til betegnelsen »dataformidlingstjenesteudbydere, der er anerkendt i Unionen«, fastlægges et fælles logo, som er genkendeligt i hele Unionen. (44) De kompetente myndigheder for dataformidlingstjenester, der udpeges til at overvåge, at dataformidlingstjeneste udbydere opfylder kravene i denne forordning, bør vælges på grundlag af deres kapacitet og ekspertise inden for horisontal eller sektorspecifik datadeling. De bør være uafhængige af enhver dataformidlingstjenesteudbyder og varetage deres opgaver på en gennemsigtig og upartisk måde. Medlemsstaterne bør underrette Kommissionen om identiteten af disse kompetente myndigheder for dataformidlingstjenester. De kompetente myndigheder for dataformidlingstjenesters beføjelser og kompetencer bør ikke berøre databeskyttelsesmyndighedernes beføjelser. Navnlig med hensyn til eventuelle spørgsmål, der kræver en vurdering af, om forordning (EU) 2016/679 overholdes, bør den kompetente myndighed for dataformidlingstjenester, hvis det er relevant, indhente en udtalelse eller afgørelse fra den kompetente tilsynsmyndighed, der er etableret i henhold til nævnte forordning. (45) Der er et stort potentiale med henblik på almennyttige formål i anvendelsen af data, som registrerede frivilligt stiller til rådighed på grundlag af deres informerede samtykke eller, når det drejer sig om andre data end personoplysninger, som dataindehavere stiller til rådighed. Sådanne formål omfatter bl.a. sundhedspleje, bekæmpelse af klimaændringer, forbedring af mobiliteten, lettelse af udviklingen, udarbejdelsen og formidlingen af officielle statistikker, forbedring af udbuddet af offentlige tjenesteydelser eller offentlig beslutningstagning. Støtte til videnskabelig forskning bør også betragtes som et almennyttigt formål. Denne forordning bør have til formål at bidrage til, at der skabes samlinger af data, der stilles til rådighed på grundlag af dataaltruisme, som har en tilstrækkelig størrelse til at muliggøre dataanalyse og maskinlæring, herunder på tværs af grænserne i Unionen. For at nå dette mål bør medlemsstaterne etablere organisatoriske eller tekniske ordninger, eller begge, som befordrer dataaltruisme. Sådanne ordninger kan omfatte adgang til letanvendelige værktøjer for registrerede eller registrerede til at give samtykke eller tilladelse til altruistisk brug af deres data, tilrettelæggelse af oplysningskampagner eller en struktureret udveksling mellem kompetente myndigheder af, hvordan offentlige politikker, f.eks. forbedring af trafikken, folkesundheden, bekæmpelse af klimaændringer, drager fordel af dataaltruisme. Til støtte herfor bør medlemsstaterne også kunne fastlægge nationale politikker for dataaltruisme. Registrerede bør kun kunne modtage kompensation i forbindelse med de omkostninger, de pådrager sig ved at stille deres oplysninger til rådighed med henblik på almennyttige formål.

(40)For at behandling kan betragtes som lovlig, bør personoplysninger behandles på grundlag af den registreredes samtykke eller et andet legitimt grundlag, der er fastlagt ved lov enten i denne forordning eller i anden EU-ret eller i medlemsstaternes nationale ret, som omhandlet i denne forordning, herunder når det er nødvendigt for overholdelse af de retlige forpligtelser, som påhviler den dataansvarlige, eller behovet for opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til foranstaltninger, der træffes på dennes anmodning forud for indgåelse af en sådan kontrakt. (41)Når denne forordning henviser til et retsgrundlag eller en lovgivningsmæssig foranstaltning, kræver det ikke nødvendigvis en lov, der er vedtaget af et parlament, med forbehold for krav i henhold til den forfatningsmæssige orden i den pågældende medlemsstat. Et sådant retsgrundlag eller en sådan lovgivningsmæssig foranstaltning bør imidlertid være klar(t) og præcis(t), og anvendelse heraf bør være forudsigelig for personer, der er omfattet af dets/dens anvendelsesområde, jf. retspraksis fra Den Europæiske Unions Domstol (»Domstolen«) og Den Europæiske Menneskerettighedsdomstol. (42)Hvis behandling er baseret på den registreredes samtykke, bør den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandlingen. Navnlig i forbindelse med skriftlige erklæringer om andre forhold bør garantier sikre, at den registrerede er bekendt med, at og i hvilket omfang der er givet samtykke. I overensstemmelse med Rådets direktiv 93/13/EØF (10) bør der stilles en samtykkeerklæring udformet af den dataansvarlige til rådighed i en letforståelig og lettilgængelig form og i et klart og enkelt sprog, og den bør ikke indeholde urimelige vilkår. For at sikre, at samtykket er informeret, bør den registrerede som minimum være bekendt med den dataansvarliges identitet og formålene med den behandling, som personoplysningerne skal bruges til. Samtykke bør ikke anses for at være givet frivilligt, hvis den registrerede ikke har et reelt eller frit valg eller ikke kan afvise eller tilbagetrække sit samtykke, uden at det er til skade for den pågældende. (43)Med henblik på at sikre, at der frivilligt er givet samtykke, bør samtykke ikke udgøre et gyldigt retsgrundlag for behandling af personoplysninger i et specifikt tilfælde, hvis der er en klar skævhed mellem den registrerede og den dataansvarlige, navnlig hvis den dataansvarlige er en offentlig myndighed, og det derfor er usandsynligt, at samtykket er givet frivilligt under hensyntagen til alle de omstændigheder, der kendetegner den specifikke situation. Samtykke formodes ikke at være givet frivilligt, hvis det ikke er muligt at give særskilt samtykke til forskellige behandlingsaktiviteter vedrørende personoplysninger, selv om det er hensigtsmæssigt i det enkelte tilfælde, eller hvis opfyldelsen af en kontrakt, herunder ydelsen af en tjeneste, gøres afhængig af samtykke, selv om et sådant samtykke ikke er nødvendigt for dennes opfyldelse.

1. Principperne om dataminimering og databeskyttelse gennem design og databeskyttelse gennem standardindstillinger er afgørende, når behandlingen indebærer betydelige risici for fysiske personers grundlæggende rettigheder. Under hensyntagen til det aktuelle tekniske niveau bør alle parter i en datadeling, herunder datadeling inden for denne forordnings anvendelsesområde, gennemføre tekniske og organisatoriske foranstaltninger for at beskytte disse rettigheder. Sådanne foranstaltninger omfatter ikke kun pseudonymisering og kryptering, men også anvendelse af stadig mere tilgængelig teknologi, der gør det muligt at overføre algoritmer til data og opnå værdifuld indsigt uden overførsel mellem parterne eller unødvendig kopiering af de rå eller strukturerede data.
2. Medmindre andet er fastsat i denne forordning, berører den ikke national aftaleret, herunder regler om indgåelse, gyldighed eller virkning af aftaler eller konsekvenserne af en aftales opsigelse. Denne forordning supplerer, og berører ikke, EU-ret, der har til formål at fremme forbrugernes interesser og sikre et højt forbrugerbeskyttelsesniveau og at beskytte forbrugernes sundhed, sikkerhed og økonomiske interesser, navnlig Rådets direktiv 93/13/EØF ( 9 ) og Europa-Parlamentets og Rådets direktiv 2005/29/EF ( 10 ) og 2011/83/EU ( 11 ).
3. Denne forordning berører ikke EU-retsakter og nationale retsakter, der indeholder bestemmelser om deling af, adgang til og anvendelse af data med henblik på forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner eller til told- og skatteformål, uanset det retsgrundlag i traktaten om Den Europæiske Unions funktionsmåde (TEUF), som sådanne EU-retsakter er vedtaget på grundlag af, samt internationalt samarbejde på dette område, navnlig på grundlag af Europarådets konvention om IT-kriminalitet (ETS nr. 185), udfærdiget i Budapest den 23. november 2001. Sådanne retsakter omfatter Europa-Parlamentets og Rådets forordning (EU) 2021/784 ( 12 ), (EU) 2022/2065 ( 13 ) og (EU) 2023/1543 ( 14 ) og Europa-Parlamentets og Rådets direktiv (EU) 2023/1544 ( 15 ). Nærværende forordning finder ikke anvendelse på indsamling eller deling af, adgang til eller behandling af data i henhold til Europa-Parlamentets og Rådets forordning (EU) 2015/847 ( 16 ) og Europa-Parlamentets og Rådets direktiv (EU) 2015/849 ( 17 ). Nærværende forordning finder ikke anvendelse på områder, der falder uden for EU-retten, og berører under alle omstændigheder ikke medlemsstaternes beføjelser vedrørende offentlig sikkerhed, forsvar eller national sikkerhed, told- og skatteforvaltning eller borgernes sundhed og sikkerhed, uanset hvilken typeenhed medlemsstaterne har bemyndiget til at udføre opgaver i forbindelse med disse kompetencer.
4. EU-ret, hvorved der er fastsat krav vedrørende den fysiske udformning af og datakrav til produkter, der skal bringes i omsætning på EU-markedet, bør ikke berøres, medmindre det udtrykkeligt er fastsat i denne forordning.

§ 71. Den, der driver eller er beskæftiget med virksomhed som nævnt i § 50, stk. 1, nr. 2-5, eller § 53, kan ved dom for strafbart forhold frakendes retten hertil, såfremt det udviste forhold begrunder en nærliggende fare for misbrug. I øvrigt finder straffelovens § 79, stk. 3 og 4, anvendelse.

§ 17. Data, der er omfattet af kapitel 4, slettes, når formålet med behandlingen er opfyldt. Stk. 2. Uanset at formålet med behandlingen ikke er opfyldt, jf. stk. 1, må 1) data, der knytter sig til en sikkerhedshændelse, højst opbevares i 5 år, 2) data, der ikke knytter sig til en sikkerhedshændelse, men som stammer fra myndigheder, som i særlig grad beskæftiger sig med udenrigs-, sikkerheds- og forsvarspolitiske forhold, samt virksomheder og organisationer, hvis aktiviteter har særlig betydning for disse forhold, højst opbevares i 3 år og 3) øvrige data, der ikke knytter sig til en sikkerhedshændelse, højst opbevares i 13 måneder. Stk. 3. Fristerne i stk. 2 regnes fra tidspunktet for Center for Cybersikkerheds registrering af de pågældende data. Stk. 4. Center for Cybersikkerhed kan opbevare backup af data i op til 4 måneder efter udløb af fristerne i stk. 1 og 2. Ved indlæsning af data fra backup skal Center for Cybersikkerhed sikre, at data, der tidligere er slettet efter stk. 1 eller 2, straks slettes igen. Stk. 5. Er data i medfør af § 16 videregivet til andre end den myndighed eller virksomhed, som data hidrører fra, finder stk. 1 og 2 ikke anvendelse på disse data. Stk. 6. I data, som Center for Cybersikkerhed får adgang til som led i forebyggende sikkerhedstekniske undersøgelser efter § 6 a, skal personoplysninger, der er indeholdt i disse data, endvidere slettes eller anonymiseres, når den sikkerhedstekniske undersøgelse er afsluttet. Konstaterer Center for Cybersikkerhed, at der i de pågældende data er indeholdt følsomme personoplysninger, skal disse slettes uden unødigt ophold. Stk. 7. Sletning efter fristerne i stk. 2, nr. 2 og 3, kan i helt særlige tilfælde kortvarigt suspenderes, hvis væsentlige hensyn til varetagelsen af Center for Cybersikkerheds opgaver gør det nødvendigt. Tilsynet med Efterretningstjenesterne skal straks underrettes om suspension efter 1. pkt. og om baggrunden for suspensionen.

§ 7. På steder, hvor der foretages behandling af oplysninger om fysiske og juridiske personer, skal der træffes forholdsregler med henblik på at forhindre uvedkommendes adgang til oplysningerne.

Generelle principper