1. Denne forordning finder ikke anvendelse på og foregriber heller ikke frivillige ordninger for udveksling af data mellem private og offentlige enheder, navnlig frivillige ordninger for deling af data. Denne forordning berører ikke EU-retsakter eller nationale retsakter om deling af, adgang til og anvendelse af data med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, eller til told- og skatteformål, navnlig forordning (EU) 2021/784, (EU) 2022/2065 og (EU) 2023/1543 og direktiv (EU) 2023/1544, eller internationalt samarbejde på dette område. Nærværende forordning finder ikke anvendelse på indsamling eller deling af, adgang til eller anvendelse af data i henhold til forordning (EU) 2015/847 og direktiv (EU) 2015/849. Nærværende forordning finder ikke anvendelse på områder, der falder uden for EU-rettens anvendelsesområde, og berører under ingen omstændigheder medlemsstaternes kompetencer vedrørende offentlig sikkerhed, forsvar eller national sikkerhed, uanset hvilken type enhed medlemsstaterne har bemyndiget til at udføre opgaver i forbindelse med disse kompetencer, eller deres beføjelse til at beskytte andre væsentlige statslige funktioner, herunder sikring af statens territoriale integritet og opretholdelse af lov og orden. Nærværende forordning berører ikke medlemsstaternes kompetencer vedrørende told- og skatteforvaltning eller borgernes sundhed og sikkerhed.
2. Denne forordning supplerer selvreguleringstilgangen i forordning (EU) 2018/1807 ved at tilføje alment gældende forpligtelser vedrørende cloudskift.
3. Denne forordning berører ikke EU-retsakter og nationale retsakter om beskyttelse af intellektuelle ejendomsrettigheder, navnlig direktiv 2001/29/EF, 2004/48/EF og (EU) 2019/790.
4. Denne forordning supplerer og berører ikke EU-ret, der har til formål at fremme forbrugernes interesser og sikre et højt forbrugerbeskyttelsesniveau og at beskytte deres sundhed, sikkerhed og økonomiske interesser, navnlig direktiv 93/13/EØF, 2005/29/EF og 2011/83/EU.
5. Denne forordning er ikke til hinder for, at der kan indgås frivillige lovlige datadelingsaftaler, herunder aftaler, der er indgået på et gensidigt grundlag, og som opfylder kravene i denne forordning. Artikel 2 Definitioner I denne forordning forstås ved:

1. »data«: enhver digital repræsentation af handlinger, kendsgerninger eller oplysninger og enhver samling af sådanne handlinger, kendsgerninger eller oplysninger, herunder i form af lyd- eller videooptagelser eller audiovisuelle optagelser
2. »metadata«: en struktureret beskrivelse af indholdet eller anvendelsen af de data, hvormed søgningen i eller anvendelsen af disse data lettes
3. »personoplysninger«: personoplysninger som defineret i artikel 4, nr. 1), i forordning (EU) 2016/679
4. »andre data end personoplysninger«: data, der ikke er personoplysninger
5. »forbundet produkt«: en genstand, som opnår, genererer eller indsamler data vedrørende sin anvendelse eller sine omgivelser, og som er i stand til at kommunikere produktdata via en elektronisk kommunikationstjeneste, en fysisk forbindelse eller adgang på en enhed, og hvis primære funktion ikke er lagring, behandling eller overførsel af data på vegne af andre parter end brugeren

BEK nr 1117 af 01/07/2020 I medfør af § 1, stk. 5, i lov nr. 438 af 8. maj 2018 om Erhvervsstyrelsens behandling af data fastsættes:

a) oplysninger om den anerkendte dataaltruistiske organisations aktiviteter b) en beskrivelse af, hvordan de almennyttige formål, som dataene er indsamlet til, er blevet fremmet i løbet af det pågældende regnskabsår c) en liste over alle fysiske og juridiske personer, der har fået tilladelse til at behandle de data, som enheden er i besiddelse af, herunder en kortfattet beskrivelse af de almennyttige formål, der forfølges med denne databehandling, og en beskrivelse af de tekniske midler, der er anvendt, bl.a. en beskrivelse af de teknikker, der anvendes til beskyttelse af privatlivets fred og databeskyttelse d) en sammenfatning af resultaterne af den databehandling, som den anerkendte dataaltruistiske organisation har givet tilladelse til, hvis det er relevant e) oplysninger om den anerkendte dataaltruistiske organisations indtægtskilder, navnlig alle indtægter, der genereres af adgangen til data, og om udgifter. Artikel 21 Særlige krav til beskyttelse af registreredes og dataindehaveres rettigheder og interesser for så vidt angår deres data

1. Anerkendte dataaltruistiske organisationer, oplyser de registrerede eller dataindehaverne på en klar og letforståelig måde forud for enhver behandling af deres data om: a) de almennyttige formål og, hvis det er relevant, det specifikke, eksplicitte og legitime formål, hvortil personoplysninger skal behandles, og til hvilke den tillader, at en databruger behandler deres data, b) beliggenheden og de almennyttige formål, hvortil den tillader eventuel behandling foretaget i et tredjeland, hvis behandlingen foretages af den anerkendte dataaltruistiske organisation.
2. Den anerkendte dataaltruistiske organisation anvender ikke dataene til andre formål end de almennyttige formål, til hvilke den registrerede eller dataindehaveren tillader behandlingen. Den anerkendte dataaltruistiske organisation anvender ikke vildledende markedsføringspraksis til at opfordre til at levere data.
3. Den anerkendte dataaltruistiske organisation skal sørge for værktøjer til indhentning af samtykke fra registrerede eller tilladelser til at behandle data, der stilles til rådighed af dataindehavere. Den anerkendte dataaltruistiske organisation skal også sørge for værktøjer, der gør det let at trække et sådant samtykke eller en sådan tilladelse tilbage.
4. Den anerkendte dataaltruistiske organisation træffer foranstaltninger til at sikre et passende sikkerhedsniveau for lagring og behandling af andre data end personoplysninger, som den har indsamlet baseret på dataaltruisme.
5. Den anerkendte dataaltruistiske organisation oplyser uden ophold dataindehaverne i tilfælde af enhver uautoriseret videregivelse, adgang eller brug af de andre data end personoplysninger, som denne har delt.
6. Hvis den anerkendte dataaltruistiske organisation fremmer tredjeparters databehandling herunder ved at sørge for værktøjer til indhentning af samtykke fra registrerede eller af tilladelser til at behandle data, der stilles til rådighed af dataindehavere, angiver enheden, hvis det er relevant, tredjelandsjurisdiktionen, hvor dataanvendelsen efter planen skal finde sted.

(44)Behandling bør anses for lovlig, når den er nødvendig i forbindelse med en kontrakt eller en påtænkt indgåelse af en kontrakt. (45)Hvis behandling foretages i overensstemmelse med en retlig forpligtelse, som påhviler den dataansvarlige, eller hvis behandling er nødvendig for at udføre en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, bør behandlingen have retsgrundlag i EU-retten eller medlemsstaternes nationale ret. Denne forordning indebærer ikke, at der kræves en specifik lov til hver enkelt behandling. Det kan være tilstrækkeligt med en lov som grundlag for adskillige databehandlingsaktiviteter, som baseres på en retlig forpligtelse, som påhviler den dataansvarlige, eller hvis behandling er nødvendig for at udføre en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse. Det bør også henhøre under EU-retten eller medlemsstaternes nationale ret at fastlægge formålet med behandlingen. Endvidere kan dette retsgrundlag præcisere denne forordnings generelle betingelser for lovlig behandling af personoplysninger og nærmere præcisere, hvem den dataansvarlige er, hvilken type personoplysninger der skal behandles, de berørte registrerede, hvilke enheder personoplysningerne kan videregives til, formålsbegrænsninger, opbevaringsperiode og andre foranstaltninger til at sikre lovlig og rimelig behandling. Det bør ligeledes henhøre under EU-retten eller medlemsstaternes nationale ret at afgøre, om den dataansvarlige, der udfører en opgave i samfundets interesse eller i forbindelse med offentlig myndighedsudøvelse, skal være en offentlig myndighed eller en anden fysisk eller juridisk person, der er omfattet af offentlig ret, eller, hvis dette er i samfundets interesse, herunder sundhedsformål, såsom folkesundhed og social sikring samt forvaltning af sundhedsydelser, af privatret som f.eks. en erhvervssammenslutning. (46)Behandling af personoplysninger, der er nødvendig for at beskytte et hensyn af fundamental betydning for den registreredes eller en anden fysisk persons liv, bør ligeledes anses for lovlig. Behandling af personoplysninger på grundlag af en anden fysisk persons vitale interesser bør i princippet kun finde sted, hvis behandlingen tydeligvis ikke kan baseres på et andet retsgrundlag. Nogle typer behandling kan tjene både vigtige samfundsmæssige interesser og den registreredes vitale interesser, f.eks. når behandling er nødvendig af humanitære årsager, herunder med henblik på at overvåge epidemier og deres spredning eller i humanitære nødsituationer, navnlig i tilfælde af naturkatastrofer og menneskeskabte katastrofer. (47)En dataansvarligs legitime interesser, herunder en dataansvarlig, som personoplysninger kan videregives til, eller en tredjemands legitime interesser kan udgøre et retsgrundlag for behandling, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder går forud herfor under hensyntagen til registreredes rimelige forventninger på grundlag af deres forhold til den dataansvarlige. For eksempel kan der foreligge sådanne legitime interesser, når der er et relevant og passende forhold mellem den registrerede og den dataansvarlige, f.eks. hvis den registrerede er kunde hos eller gør tjeneste under den dataansvarlige. I alle tilfælde kræver tilstedeværelsen af en legitim interesse en nøje vurdering, herunder af, om en registreret på tidspunktet for og i forbindelse med indsamling af personoplysninger med rimelighed kan forvente, at behandling med dette formål kan finde sted. Den registreredes interesser og grundlæggende rettigheder kan navnlig gå forud for den dataansvarliges interesser, hvis personoplysninger behandles under omstændigheder, hvor registrerede ikke med rimelighed forventer viderebehandling. Eftersom det er op til lovgiver ved lov at fastsætte retsgrundlaget for offentlige myndigheders behandling af personoplysninger, bør dette retsgrundlag ikke gælde for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver. Behandling af personoplysninger, der er strengt nødvendig for at forebygge svig, udgør også en legitim interesse for den berørte dataansvarlige. Behandling af personoplysninger til direkte markedsføring kan anses for at være foretaget i en legitim interesse.

§ 4. I lov om Politiets Efterretningstjeneste (PET), jf. lovbekendtgørelse nr. 231 af 7. marts 2017, foretages følgende ændringer:

1. Overalt i loven ændres »§ 7, stk. 2, og § 8, stk. 2,« til: »§ 7, stk. 1, og § 8, stk. 1,«.
2. Efter § 6 indsættes i kapitel 5: »§ 6 a. Oplysninger skal behandles i overensstemmelse med god databehandlingsskik. Stk. 2. Behandling af oplysninger skal ske til udtrykkeligt angivne og saglige formål, og senere behandling må ikke være uforenelig med disse formål. Senere behandling af oplysninger, der alene sker i historisk, statistisk eller videnskabeligt øjemed, anses ikke for uforenelig med de formål, hvortil oplysningerne er indsamlet. Stk. 3. Oplysninger, som behandles, skal være relevante og tilstrækkelige og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne senere behandles. Stk. 4. Behandling af oplysninger skal tilrettelægges således, at der foretages fornøden ajourføring af oplysningerne. Der skal endvidere foretages den fornødne kontrol for at sikre, at der ikke behandles urigtige eller vildledende oplysninger. Oplysninger, der viser sig urigtige eller vildledende, skal snarest muligt slettes eller berigtiges. Stk. 5. Oplysninger, som behandles, må ikke opbevares på en måde, der giver mulighed for at identificere den registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil oplysningerne behandles. Stk. 6. Politiets Efterretningstjeneste kan behandle oplysninger om personnummer med henblik på en entydig identifikation eller som journalnummer. Stk. 7. Oplysninger, der er omfattet af denne lov, kan overføres til opbevaring i arkiv efter reglerne i arkivlovgivningen.«
3. § 7, stk. 1, ophæves. Stk. 2 og 3 bliver herefter stk. 1 og 2.
4. § 8, stk. 1, ophæves. Stk. 2 og 3 bliver herefter stk. 1 og 2.
5. I § 9 a, stk. 1, 1. pkt., ændres »§ 7, stk. 3, eller § 8, stk. 3,« til: »§ 7, stk. 2, eller § 8, stk. 2,«.
6. I § 9 a, stk. 2, ændres »§§ 7-9« til: »§§ 6 a-9«.
7. I § 10, stk. 2, 1. pkt., ændres »§ 7« til: »§§ 6 a og 7«.
8. I § 10, stk. 2, 2. pkt., ændres »lov om behandling af personoplysninger anvendelse, hvis den i 1. pkt. nævnte videregivelse vedrører personoplysninger som nævnt i § 7, stk. 1, og § 8, stk. 1, i lov om behandling af personoplysninger« til: »databeskyttelsesloven anvendelse, hvis den videregivelse, der er nævnt i 1. pkt., vedrører oplysninger om rent private forhold«.
9. I § 10, stk. 3, ændres »§ 8« til: »§ 6 a, stk. 1-5 og 7, og § 8«.
10. I § 14, stk. 1, 4. pkt., ændres »og fra lov om behandling af personoplysninger, jf. § 2, stk. 11, i lov om behandling af personoplysninger« til: », fra databeskyttelsesloven og Europa-Parlamentets og Rådets forordning nr. 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger, jf. § 3, stk. 2, i databeskyttelsesloven, og fra lov om retshåndhævende myndigheders behandling af personoplysninger, jf. § 1, stk. 2, i lov om retshåndhævende myndigheders behandling af personoplysninger«.

§ 17 finder ikke anvendelse på data, der er deponeret på fiktive angrebsmål efter § 6 b eller modtaget via infrastruktur omfattet af § 6 c, såfremt Center for Cybersikkerhed ikke udtager disse data til nærmere vurdering. Disse data slettes hurtigst muligt. Udtager Center for Cybersikkerhed data til nærmere vurdering, skal sletning ske efter reglerne i § 17.« 8. I § 20 indsættes efter »kapitel 4,«: »4 a,«. 9. Efter kapitel 9 indsættes: »Kapitel 9 a Straffebestemmelser m.v. § 24 a. Med bøde straffes, medmindre strengere straf er forskyldt efter den øvrige lovgivning, den, der undlader at efterkomme et pålæg efter § 7 b, stk. 2. Stk. 2. I regler, der udfærdiges i medfør af § 3, stk. 5, 2. pkt., kan der fastsættes straf i form af bøde for overtrædelse af bestemmelserne i reglerne. Stk. 3. Der kan pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens 5. kapitel.«