Tavshedspligt for databeskyttelsesrådgivere

Disse gennemførelsesretsakter vedtages efter rådgivningsproceduren, jf. artikel 33, stk. 2. Artikel 18 Generelle krav til registrering For at kunne blive registreret i et offentligt nationalt register over anerkendte dataaltruistiske organisationer skal en enhed: a) udføre dataaltruistiske aktiviteter b) være en juridisk person, der er oprettet i henhold til national ret med henblik på at opfylde almennyttige formål, som fastlagt i national ret, hvis det er relevant c) drives uden sigte på fortjeneste og være juridisk uafhængig af enheder, der drives med fortjeneste for øje d) udføre dataaltruistiske aktiviteter gennem en struktur, der er funktionelt adskilt fra dens andre aktiviteter e) overholde det regelsæt, der er omhandlet i artikel 22, stk. 1, senest 18 måneder efter datoen for ikrafttrædelsen af de delegerede retsakter, der er omhandlet i nævnte stykke. Artikel 19 Registrering af anerkendte dataaltruistiske organisationer

1. En enhed, der opfylder kravene i artikel 18, kan indgive en ansøgning om registrering i det offentlige nationale register over anerkendte dataaltruistiske organisationer i den medlemsstat, hvor den er etableret.
2. En enhed, der opfylder kravene i artikel 18 og er etableret i mere end én medlemsstat, kan indgive en ansøgning om registrering i det offentlige nationale register over anerkendte dataaltruistiske organisationer i den medlemsstat, hvor den har sit hovedsæde.
3. En enhed, der opfylder kravene i artikel 18, men som ikke er etableret i Unionen, udpeger en retlig repræsentant i en af de medlemsstater, hvor dataaltruismetjenesterne udbydes. Med henblik på at sikre overholdelse af denne forordning bemyndiges den retlige repræsentant af enheden til i tillæg til eller i stedet for denne at modtage henvendelser fra kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, eller registrerede og dataindehavere om ethvert forhold vedrørende denne enhed. Den retlige repræsentant samarbejder med og dokumenterer udførligt på anmodning over for de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, hvilke tiltag der er taget, og hvilke foranstaltninger enheden har indført for at sikre, at denne forordning overholdes. Enheden anses for at høre under den medlemsstats jurisdiktion, hvor den retlige repræsentant befinder sig. En sådan enhed kan indlevere en ansøgning om registrering i det offentlige nationale register over anerkendte dataaltruistiske organisationer i den pågældende medlemsstat. Enhedens udpegelse af en retlig repræsentant berører ikke eventuelle retlige skridt, som måtte blive taget over for enheden.
4. Ansøgninger om registrering, jf. stk. 1, 2 og 3, skal indeholde følgende oplysninger: a) enhedens navn b) enhedens retlige status, retlige form og, hvis enheden er opført i et offentligt nationalt register, registreringsnummer c) enhedens vedtægter, hvis det er relevant d) enhedens indtægtskilder e) adressen på enhedens hovedsæde i Unionen, hvis et sådant findes, og, hvis det er relevant, på eventuelle filialer i en anden medlemsstat eller på den retlige repræsentant

1. Denne forordning finder ikke anvendelse på og foregriber heller ikke frivillige ordninger for udveksling af data mellem private og offentlige enheder, navnlig frivillige ordninger for deling af data. Denne forordning berører ikke EU-retsakter eller nationale retsakter om deling af, adgang til og anvendelse af data med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, eller til told- og skatteformål, navnlig forordning (EU) 2021/784, (EU) 2022/2065 og (EU) 2023/1543 og direktiv (EU) 2023/1544, eller internationalt samarbejde på dette område. Nærværende forordning finder ikke anvendelse på indsamling eller deling af, adgang til eller anvendelse af data i henhold til forordning (EU) 2015/847 og direktiv (EU) 2015/849. Nærværende forordning finder ikke anvendelse på områder, der falder uden for EU-rettens anvendelsesområde, og berører under ingen omstændigheder medlemsstaternes kompetencer vedrørende offentlig sikkerhed, forsvar eller national sikkerhed, uanset hvilken type enhed medlemsstaterne har bemyndiget til at udføre opgaver i forbindelse med disse kompetencer, eller deres beføjelse til at beskytte andre væsentlige statslige funktioner, herunder sikring af statens territoriale integritet og opretholdelse af lov og orden. Nærværende forordning berører ikke medlemsstaternes kompetencer vedrørende told- og skatteforvaltning eller borgernes sundhed og sikkerhed.
2. Denne forordning supplerer selvreguleringstilgangen i forordning (EU) 2018/1807 ved at tilføje alment gældende forpligtelser vedrørende cloudskift.
3. Denne forordning berører ikke EU-retsakter og nationale retsakter om beskyttelse af intellektuelle ejendomsrettigheder, navnlig direktiv 2001/29/EF, 2004/48/EF og (EU) 2019/790.
4. Denne forordning supplerer og berører ikke EU-ret, der har til formål at fremme forbrugernes interesser og sikre et højt forbrugerbeskyttelsesniveau og at beskytte deres sundhed, sikkerhed og økonomiske interesser, navnlig direktiv 93/13/EØF, 2005/29/EF og 2011/83/EU.
5. Denne forordning er ikke til hinder for, at der kan indgås frivillige lovlige datadelingsaftaler, herunder aftaler, der er indgået på et gensidigt grundlag, og som opfylder kravene i denne forordning. Artikel 2 Definitioner I denne forordning forstås ved:

1. »data«: enhver digital repræsentation af handlinger, kendsgerninger eller oplysninger og enhver samling af sådanne handlinger, kendsgerninger eller oplysninger, herunder i form af lyd- eller videooptagelser eller audiovisuelle optagelser
2. »metadata«: en struktureret beskrivelse af indholdet eller anvendelsen af de data, hvormed søgningen i eller anvendelsen af disse data lettes
3. »personoplysninger«: personoplysninger som defineret i artikel 4, nr. 1), i forordning (EU) 2016/679
4. »andre data end personoplysninger«: data, der ikke er personoplysninger
5. »forbundet produkt«: en genstand, som opnår, genererer eller indsamler data vedrørende sin anvendelse eller sine omgivelser, og som er i stand til at kommunikere produktdata via en elektronisk kommunikationstjeneste, en fysisk forbindelse eller adgang på en enhed, og hvis primære funktion ikke er lagring, behandling eller overførsel af data på vegne af andre parter end brugeren

BEK nr 1117 af 01/07/2020 I medfør af § 1, stk. 5, i lov nr. 438 af 8. maj 2018 om Erhvervsstyrelsens behandling af data fastsættes:

§ 4. I lov om Politiets Efterretningstjeneste (PET), jf. lovbekendtgørelse nr. 231 af 7. marts 2017, foretages følgende ændringer:

1. Overalt i loven ændres »§ 7, stk. 2, og § 8, stk. 2,« til: »§ 7, stk. 1, og § 8, stk. 1,«.
2. Efter § 6 indsættes i kapitel 5: »§ 6 a. Oplysninger skal behandles i overensstemmelse med god databehandlingsskik. Stk. 2. Behandling af oplysninger skal ske til udtrykkeligt angivne og saglige formål, og senere behandling må ikke være uforenelig med disse formål. Senere behandling af oplysninger, der alene sker i historisk, statistisk eller videnskabeligt øjemed, anses ikke for uforenelig med de formål, hvortil oplysningerne er indsamlet. Stk. 3. Oplysninger, som behandles, skal være relevante og tilstrækkelige og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne senere behandles. Stk. 4. Behandling af oplysninger skal tilrettelægges således, at der foretages fornøden ajourføring af oplysningerne. Der skal endvidere foretages den fornødne kontrol for at sikre, at der ikke behandles urigtige eller vildledende oplysninger. Oplysninger, der viser sig urigtige eller vildledende, skal snarest muligt slettes eller berigtiges. Stk. 5. Oplysninger, som behandles, må ikke opbevares på en måde, der giver mulighed for at identificere den registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil oplysningerne behandles. Stk. 6. Politiets Efterretningstjeneste kan behandle oplysninger om personnummer med henblik på en entydig identifikation eller som journalnummer. Stk. 7. Oplysninger, der er omfattet af denne lov, kan overføres til opbevaring i arkiv efter reglerne i arkivlovgivningen.«
3. § 7, stk. 1, ophæves. Stk. 2 og 3 bliver herefter stk. 1 og 2.
4. § 8, stk. 1, ophæves. Stk. 2 og 3 bliver herefter stk. 1 og 2.
5. I § 9 a, stk. 1, 1. pkt., ændres »§ 7, stk. 3, eller § 8, stk. 3,« til: »§ 7, stk. 2, eller § 8, stk. 2,«.
6. I § 9 a, stk. 2, ændres »§§ 7-9« til: »§§ 6 a-9«.
7. I § 10, stk. 2, 1. pkt., ændres »§ 7« til: »§§ 6 a og 7«.
8. I § 10, stk. 2, 2. pkt., ændres »lov om behandling af personoplysninger anvendelse, hvis den i 1. pkt. nævnte videregivelse vedrører personoplysninger som nævnt i § 7, stk. 1, og § 8, stk. 1, i lov om behandling af personoplysninger« til: »databeskyttelsesloven anvendelse, hvis den videregivelse, der er nævnt i 1. pkt., vedrører oplysninger om rent private forhold«.
9. I § 10, stk. 3, ændres »§ 8« til: »§ 6 a, stk. 1-5 og 7, og § 8«.
10. I § 14, stk. 1, 4. pkt., ændres »og fra lov om behandling af personoplysninger, jf. § 2, stk. 11, i lov om behandling af personoplysninger« til: », fra databeskyttelsesloven og Europa-Parlamentets og Rådets forordning nr. 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger, jf. § 3, stk. 2, i databeskyttelsesloven, og fra lov om retshåndhævende myndigheders behandling af personoplysninger, jf. § 1, stk. 2, i lov om retshåndhævende myndigheders behandling af personoplysninger«.

§ 1. Juridiske personer er forpligtet til efter anmodning fra Styrelsen for Patientsikkerhed eller politiet at afgive relevante oplysninger, herunder oplysninger om navn og adresse på betalingskortindehaver, tid og sted for betalingstransaktioner samt oplysninger, der kan tjene til at stedfæste en slutbruger i forbindelse med dennes anvendelse af elektroniske kommunikationsnet eller -tjenester. Der kan i den forbindelse behandles personoplysninger omfattet af artikel 6 og 9 i Europa-Parlamentets og Rådets forordning nr. 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger. Styrelsen for Patientsikkerhed og politiet kan kun anmode om oplysninger omfattet af 1. pkt., når det er nødvendigt med henblik på at hindre udbredelse og smitte af Coronavirussygdom 2019 (COVID-19).

§ 17 finder ikke anvendelse på data, der er deponeret på fiktive angrebsmål efter § 6 b eller modtaget via infrastruktur omfattet af § 6 c, såfremt Center for Cybersikkerhed ikke udtager disse data til nærmere vurdering. Disse data slettes hurtigst muligt. Udtager Center for Cybersikkerhed data til nærmere vurdering, skal sletning ske efter reglerne i § 17.« 8. I § 20 indsættes efter »kapitel 4,«: »4 a,«. 9. Efter kapitel 9 indsættes: »Kapitel 9 a Straffebestemmelser m.v. § 24 a. Med bøde straffes, medmindre strengere straf er forskyldt efter den øvrige lovgivning, den, der undlader at efterkomme et pålæg efter § 7 b, stk. 2. Stk. 2. I regler, der udfærdiges i medfør af § 3, stk. 5, 2. pkt., kan der fastsættes straf i form af bøde for overtrædelse af bestemmelserne i reglerne. Stk. 3. Der kan pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens 5. kapitel.«