(46) Det forventes, at registreringen af anerkendte dataaltruistiske organisationer og brugen af betegnelsen »dataaltruistiske organisationer, der er anerkendt i Unionen« fører til, at der etableres datalagre. Registrering i en medlemsstat vil være gyldig i hele Unionen og forventes at lette anvendelsen af data på tværs af grænserne i Unionen og fremvæksten af datasamlinger, der dækker flere medlemsstater. Dataindehavere kan give tilladelse til behandling af andre data end personoplysninger, som de er i besiddelse af, til en række formål, der ikke ligger fast på det tidspunkt, hvor tilladelsen gives. Anerkendte dataaltruistiske organisationers overholdelse af et sæt krav som fastsat i denne forordning bør skabe tillid til, at de data, der stilles til rådighed til altruistiske formål, tjener et almennyttigt formål. Tilliden bør navnlig være en følge af, at de anerkendte dataaltruistiske organisationer er etableret i eller har en retlig repræsentant i Unionen, samt af kravet om, at de er nonprofitorganisationer, af krav om gennemsigtighed og af specifikke foranstaltninger til beskyttelse af registreredes og virksomheders rettigheder og interesser. Desuden bør der indføres yderligere beskyttelsesforanstaltninger såsom mulighed for at behandle relevante data i et sikkert databehandlingsmiljø, der drives af de anerkendte dataaltruistiske organisationer, tilsynsmekanismer såsom etiske råd eller råd, herunder repræsentanter for civilsamfundet, der skal sikre, at dataansvarlige opretholder høje standarder for videnskabelig etik og beskyttelse af grundlæggende rettigheder, effektive og tydeligt meddelte tekniske midler til at trække et samtykke tilbage eller ændre det på et hvilket som helst tidspunkt på grundlag af databehandleres oplysningsforpligtelser i henhold til forordning (EU) 2016/679 samt midler, der sætter de registrerede i stand til at holde sig ajour om anvendelsen af de data, de har stillet til rådighed. Registrering som en anerkendt dataaltruistisk organisation bør ikke være en forudsætning for at kunne udøve dataaltruistisk virksomhed. Kommissionen bør ved hjælp af delegerede retsakter udarbejde et regelsæt, der skal udarbejdes i tæt samarbejde med dataaltruistiske organisationer og relevante interessenter. Overholdelse af dette regelsæt bør være et krav for registrering som anerkendt dataaltruistisk organisation. (47) For at hjælpe registrerede og dataindehavere med let at identificere — og derved øge deres tillid til — anerkendte dataaltruistiske organisationer bør der fastlægges et fælles logo, der er genkendeligt i hele Unionen. Det fælles logo bør ledsages af en QR-kode med et link til det offentlige EU-register over anerkendte dataaltruistiske organisationer. (48) Denne forordning bør ikke berøre oprettelse, organisation og drift af enheder, der engagerer sig i dataaltruisme i henhold til national ret og bygger på krav i national ret til lovligt virke som nonprofitorganisation i en medlemsstat. (49) Denne forordning bør ikke berøre oprettelsen af, organiseringen af og funktionsmåden for andre enheder end offentlige myndigheder, som deltager i delingen af data og indhold på grundlag af åbne licenser og derved bidrager til oprettelsen af fælles ressourcer, der er tilgængelige for alle. Dette bør omfatte åbne platforme for kollaborativ vidensdeling, fri adgang til videnskabelige og akademiske databaser, platforme for udvikling af open source software og fri adgang til platforme for dataaggregering.

1. Principperne om dataminimering og databeskyttelse gennem design og databeskyttelse gennem standardindstillinger er afgørende, når behandlingen indebærer betydelige risici for fysiske personers grundlæggende rettigheder. Under hensyntagen til det aktuelle tekniske niveau bør alle parter i en datadeling, herunder datadeling inden for denne forordnings anvendelsesområde, gennemføre tekniske og organisatoriske foranstaltninger for at beskytte disse rettigheder. Sådanne foranstaltninger omfatter ikke kun pseudonymisering og kryptering, men også anvendelse af stadig mere tilgængelig teknologi, der gør det muligt at overføre algoritmer til data og opnå værdifuld indsigt uden overførsel mellem parterne eller unødvendig kopiering af de rå eller strukturerede data.
2. Medmindre andet er fastsat i denne forordning, berører den ikke national aftaleret, herunder regler om indgåelse, gyldighed eller virkning af aftaler eller konsekvenserne af en aftales opsigelse. Denne forordning supplerer, og berører ikke, EU-ret, der har til formål at fremme forbrugernes interesser og sikre et højt forbrugerbeskyttelsesniveau og at beskytte forbrugernes sundhed, sikkerhed og økonomiske interesser, navnlig Rådets direktiv 93/13/EØF ( 9 ) og Europa-Parlamentets og Rådets direktiv 2005/29/EF ( 10 ) og 2011/83/EU ( 11 ).
3. Denne forordning berører ikke EU-retsakter og nationale retsakter, der indeholder bestemmelser om deling af, adgang til og anvendelse af data med henblik på forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner eller til told- og skatteformål, uanset det retsgrundlag i traktaten om Den Europæiske Unions funktionsmåde (TEUF), som sådanne EU-retsakter er vedtaget på grundlag af, samt internationalt samarbejde på dette område, navnlig på grundlag af Europarådets konvention om IT-kriminalitet (ETS nr. 185), udfærdiget i Budapest den 23. november 2001. Sådanne retsakter omfatter Europa-Parlamentets og Rådets forordning (EU) 2021/784 ( 12 ), (EU) 2022/2065 ( 13 ) og (EU) 2023/1543 ( 14 ) og Europa-Parlamentets og Rådets direktiv (EU) 2023/1544 ( 15 ). Nærværende forordning finder ikke anvendelse på indsamling eller deling af, adgang til eller behandling af data i henhold til Europa-Parlamentets og Rådets forordning (EU) 2015/847 ( 16 ) og Europa-Parlamentets og Rådets direktiv (EU) 2015/849 ( 17 ). Nærværende forordning finder ikke anvendelse på områder, der falder uden for EU-retten, og berører under alle omstændigheder ikke medlemsstaternes beføjelser vedrørende offentlig sikkerhed, forsvar eller national sikkerhed, told- og skatteforvaltning eller borgernes sundhed og sikkerhed, uanset hvilken typeenhed medlemsstaterne har bemyndiget til at udføre opgaver i forbindelse med disse kompetencer.
4. EU-ret, hvorved der er fastsat krav vedrørende den fysiske udformning af og datakrav til produkter, der skal bringes i omsætning på EU-markedet, bør ikke berøres, medmindre det udtrykkeligt er fastsat i denne forordning.

§ 71. Den, der driver eller er beskæftiget med virksomhed som nævnt i § 50, stk. 1, nr. 2-5, eller § 53, kan ved dom for strafbart forhold frakendes retten hertil, såfremt det udviste forhold begrunder en nærliggende fare for misbrug. I øvrigt finder straffelovens § 79, stk. 3 og 4, anvendelse.

1. Når Kommissionen foretager evaluering og revision, jf. stk. 1 og 2, tager den hensyn til holdninger og resultater fra Europa-Parlamentet, fra Rådet og fra andre relevante organer eller kilder.
2. Kommissionen forelægger om nødvendigt relevante forslag til ændring af denne forordning, navnlig under hensyntagen til udviklingen inden for informationsteknologi og i lyset af fremskridtene i informationssamfundet. Artikel 98 Gennemgang af andre EU-retsakter om databeskyttelse Hvis det er relevant, fremsætter Kommissionen lovgivningsforslag til ændring af andre EU-retsakter om beskyttelse af personoplysninger for at sikre ensartet og konsekvent beskyttelse af fysiske personer i forbindelse med behandling. Dette gælder især bestemmelser om beskyttelse af fysiske personer i forbindelse med EU-institutioners, -organers, -kontorers og -agenturers behandling og om fri udveksling af sådanne oplysninger. Artikel 99 Ikrafttræden og anvendelse
3. Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.
4. Den anvendes fra den 25. maj 2018. Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat. Udfærdiget i Bruxelles, den 27. april 2016. På Europa-Parlamentets vegne M. SCHULZ Formand På Rådets vegne J. A. HENNIS-PLASSCHAERT Formand

(1) EUT C 229 af 31.7.2012, s. 90. (2) EUT C 391 af 18.12.2012, s. 127. (3) Europa-Parlamentets holdning af 12.3.2014 (endnu ikke offentliggjort i EUT) og Rådets førstebehandlingsholdning af 8.4.2016 (endnu ikke offentliggjort i EUT). Europa-Parlamentets holdning af 14.4.2016. (4) Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT L 281 af 23.11.1995, s. 31). (5) Kommissionens henstilling af 6. maj 2003 om definitionen af mikrovirksomheder, små og mellemstore virksomheder (C(2003) 1422) (EUT L 124 af 20.5.2003, s. 36). (6) Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger (EFT L 8 af 12.1.2001, s. 1). (7) Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (se side 89 i denne EUT). (8) Europa-Parlamentets og Rådets direktiv 2000/31/EF af 8. juni 2000 om visse retlige aspekter af informationssamfundstjenester, navnlig elektronisk handel, i det indre marked (»Direktivet om elektronisk handel«) (EFT L 178 af 17.7.2000, s. 1).

§ 17. Data, der er omfattet af kapitel 4, slettes, når formålet med behandlingen er opfyldt. Stk. 2. Uanset at formålet med behandlingen ikke er opfyldt, jf. stk. 1, må 1) data, der knytter sig til en sikkerhedshændelse, højst opbevares i 5 år, 2) data, der ikke knytter sig til en sikkerhedshændelse, men som stammer fra myndigheder, som i særlig grad beskæftiger sig med udenrigs-, sikkerheds- og forsvarspolitiske forhold, samt virksomheder og organisationer, hvis aktiviteter har særlig betydning for disse forhold, højst opbevares i 3 år og 3) øvrige data, der ikke knytter sig til en sikkerhedshændelse, højst opbevares i 13 måneder. Stk. 3. Fristerne i stk. 2 regnes fra tidspunktet for Center for Cybersikkerheds registrering af de pågældende data. Stk. 4. Center for Cybersikkerhed kan opbevare backup af data i op til 4 måneder efter udløb af fristerne i stk. 1 og 2. Ved indlæsning af data fra backup skal Center for Cybersikkerhed sikre, at data, der tidligere er slettet efter stk. 1 eller 2, straks slettes igen. Stk. 5. Er data i medfør af § 16 videregivet til andre end den myndighed eller virksomhed, som data hidrører fra, finder stk. 1 og 2 ikke anvendelse på disse data. Stk. 6. I data, som Center for Cybersikkerhed får adgang til som led i forebyggende sikkerhedstekniske undersøgelser efter § 6 a, skal personoplysninger, der er indeholdt i disse data, endvidere slettes eller anonymiseres, når den sikkerhedstekniske undersøgelse er afsluttet. Konstaterer Center for Cybersikkerhed, at der i de pågældende data er indeholdt følsomme personoplysninger, skal disse slettes uden unødigt ophold. Stk. 7. Sletning efter fristerne i stk. 2, nr. 2 og 3, kan i helt særlige tilfælde kortvarigt suspenderes, hvis væsentlige hensyn til varetagelsen af Center for Cybersikkerheds opgaver gør det nødvendigt. Tilsynet med Efterretningstjenesterne skal straks underrettes om suspension efter 1. pkt. og om baggrunden for suspensionen.

§ 7. På steder, hvor der foretages behandling af oplysninger om fysiske og juridiske personer, skal der træffes forholdsregler med henblik på at forhindre uvedkommendes adgang til oplysningerne.

Generelle principper