§ 37. Domstolsstyrelsen fører i overensstemmelse med databeskyttelsesforordningens kapitel VI og VII tilsyn med behandling af oplysninger, der foretages for domstolene, når disse ikke handler i deres egenskab af domstol. Stk. 2. For anden behandling af oplysninger træffes afgørelse af vedkommende ret. Afgørelsen kan kæres til højere ret. For særlige domstole, hvis afgørelser ikke kan indbringes for højere ret, kan den afgørelse, der er nævnt i 1. pkt., kæres til den landsret, i hvis kreds retten er beliggende. Kærefristen er 4 uger, fra den dag afgørelsen er meddelt den pågældende.

Dataformidlingstjenesteudbydere bør dog kun kunne stille deres egne værktøjer eller tredjepartsværktøjer til rådighed for dataindehavere, registrerede eller databrugere med henblik på at lette udvekslingen af data, f.eks. værktøjer til konvertering eller kuratering af data, efter udtrykkelig anmodning eller godkendelse fra den registrerede eller dataindehaveren. Tredjepartsværktøjer, der tilbydes i denne forbindelse, bør ikke anvende data til andre formål end dem, der vedrører dataformidlingstjenester. Dataformidlingstjenesteudbydere, der formidler udveksling af data mellem enkeltpersoner, der handler som registrerede, og juridiske personer, der handler som dataindehavere, bør desuden have en tillidsforpligtelse over for enkeltpersonerne, så det sikres, at de handler i de registreredes bedste interesse. Spørgsmål om ansvar for alle materielle og immaterielle skader og ulemper som følge af dataformidlingstjenesteudbyderens adfærd kan behandles i den relevante kontrakt på grundlag af de nationale erstatningsansvarsordninger. (34) Dataformidlingstjenesteudbydere bør træffe rimelige foranstaltninger til at sikre interoperabilitet inden for en sektor og mellem forskellige sektorer for at sikre et velfungerende indre marked. Rimelige foranstaltninger kan omfatte at følge de eksisterende, almindeligt anvendte standarder i den sektor, hvor dataformidlingstjenesteudbyderne opererer. Det Europæiske Datainnovationsråd bør efter behov fremme udarbejdelsen af yderligere standarder. Dataformidlingstjenesteudbydere bør rettidigt gennemføre de foranstaltninger med henblik på interoperabilitet mellem dataformidlingstjenesterne, som Det Europæiske Datainnovationsråd har vedtaget. (35) Denne forordning bør ikke berøre forpligtelsen for dataformidlingstjenesteudbydere til at overholde forordning (EU) 2016/679 og tilsynsmyndighedernes ansvar for at sikre overholdelse af nævnte forordning. Hvor dataformidlingstje nesteudbydere behandler personoplysninger, bør nærværende forordning ikke påvirke beskyttelsen af personoplysninger. Hvis dataformidlingstjenesteudbydere er dataansvarlige eller databehandlere som defineret i forordning (EU) 2016/679, er de bundet af reglerne i nævnte forordning. (36) Dataformidlingstjenesteudbydere forventes at have indført procedurer og foranstaltninger til at pålægge sanktioner for svigagtig praksis eller misbrug i forbindelse med parter, der søger adgang gennem deres dataformidlingstjenester, herunder gennem foranstaltninger såsom udelukkelse af databrugere, der overtræder tjenestebetingelserne eller overtræder eksisterende ret. (37) Dataformidlingstjenesteudbydere bør også træffe foranstaltninger til at sikre overholdelse af konkurrenceretten og have fastlagt procedurer med henblik herpå. Dette gælder især i situationer, hvor datadeling sætter virksomhederne i stand til at få kendskab til deres nuværende eller potentielle konkurrenters markedsstrategier. Konkurrencemæssigt følsomme oplysninger omfatter typisk oplysninger om kunder, fremtidige priser, produktionsomkostninger, mængder, omsætning, salg eller kapacitet.

§ 79. Et samtykke, som er givet i overensstemmelse med de hidtil gældende regler, gælder for behandlinger, der foretages efter lovens ikrafttræden, såfremt samtykket opfylder kravene i denne lovs § 3, nr. 8, sammenholdt med § 6, nr. 1, § 7, stk. 2, nr. 1, § 8, stk. 2-5, § 11, stk. 2, nr. 2, eller stk. 3, eller § 27, stk. 3, nr. 1.

§ 17. Data, der er omfattet af kapitel 4, slettes, når formålet med behandlingen er opfyldt. Stk. 2. Uanset at formålet med behandlingen ikke er opfyldt, jf. stk. 1, må

1. data, der knytter sig til en sikkerhedshændelse, højst opbevares i 5 år,
2. data, der ikke knytter sig til en sikkerhedshændelse, men som stammer fra myndigheder, som i særlig grad beskæftiger sig med udenrigs-, sikkerheds- og forsvarspolitiske forhold, samt virksomheder og organisationer, hvis aktiviteter har særlig betydning for disse forhold, højst opbevares i 3 år og
3. øvrige data, der ikke knytter sig til en sikkerhedshændelse, højst opbevares i 13 måneder. Stk. 3. Fristerne i stk. 2 regnes fra tidspunktet for Center for Cybersikkerheds registrering af de pågældende data. Stk. 4. Center for Cybersikkerhed kan opbevare backup af data i op til 4 måneder efter udløb af fristerne i stk. 1 og 2. Ved indlæsning af data fra backup skal Center for Cybersikkerhed sikre, at data, der tidligere er slettet efter stk. 1 eller 2, straks slettes igen. Stk. 5. Er data i medfør af § 16 videregivet til andre end den myndighed eller virksomhed, som data hidrører fra, finder stk. 1 og 2 ikke anvendelse på disse data. Stk. 6. I data, som Center for Cybersikkerhed får adgang til som led i forebyggende sikkerhedstekniske undersøgelser efter § 6 a, skal personoplysninger, der er indeholdt i disse data, endvidere slettes eller anonymiseres, når den sikkerhedstekniske undersøgelse er afsluttet. Konstaterer Center for Cybersikkerhed, at der i de pågældende data er indeholdt følsomme personoplysninger, skal disse slettes uden unødigt ophold. Stk. 7. Sletning efter fristerne i stk. 2, nr. 2 og 3, kan i helt særlige tilfælde kortvarigt suspenderes, hvis væsentlige hensyn til varetagelsen af Center for Cybersikkerheds opgaver gør det nødvendigt. Tilsynet med Efterretningstjenesterne skal straks underrettes om suspension efter 1. pkt. og om baggrunden for suspensionen.

§ 16. Bekendtgørelsen træder i kraft den 22. september 2017.

§ 17. Det skal sikres, at de autoriserede personer fortsat opfylder betingelserne i § 11, stk. 2 og 3, og § 16. Stk. 2. Kontrol heraf skal foretages mindst en gang hvert halve år.

§ 2. Loven træder i kraft den 1. januar 2017.

§ 11. Loven træder i kraft den 10. maj 2018.

Kapitel III – Informationsudveksling Artikel 10 Generelle bestemmelser

1. Udveksling af oplysninger mellem de kontraherende parter skal alene ske efter og i overensstemmelse med bestemmelserne i denne aftale. 2. Europols videregivelse af personoplysninger og klassificerede oplysninger skal i hvert enkelt tilfælde være nødvendig med henblik på at afværge eller bekæmpe kriminalitet som nævnt i artikel 3. 3. De kontraherende parter skal alene videregive oplysninger til hinanden, som er indsamlet, opbevaret og videregivet i overensstemmelse med den relevante databeskyttelseslovgivning og regler om følsomme ikke-klassificerede og klassificerede oplysninger, som nævnt i stk. 4 og i denne aftales artikel 16, og som ikke er blevet indhentet i strid med Den Europæiske Unions charter om grundlæggende rettigheder. 4. Efter denne aftale: a. Skal Danmark fortsat være bundet af Europarådets konvention nr. 108 . 9 Europarådets konvention af 28. januar 1981 om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger. b. Skal Europol indtil 1. maj 2017 være bundet af bestemmelserne om forbindelse med tredjestater i rådsafgørelsen om Europol og de implementerende afgørelser, herunder særligt rådsafgørelse 2009/934/RIA. c. Skal Europol og Danmark efter 1. maj 2017 være bundet af følgende bestemmelser i Europol-forordningen vedrørende databeskyttelsesgarantier, herunder i forhold til Den Europæiske Tilsynsførende for Databeskyttelse i relation til Europols behandling af personlysninger: (i) Artikel 28 til 48, undtagen artikel 45, og (ii) Artikel 2 om definitioner, for så vidt bestemmelserne heri er relevante for anvendelsen af artikler i Europol-forordningen, som er refereret i dette litra og i artikel 18 og 19 i denne aftale. Referencer til medlemsstater i de bestemmelser i Europol-forordningen, der er henvist til i litra c og i artikel 16, 18 og 19 i denne aftale, skal forstås som referencer til Danmark. Med henblik på at opfylde forpligtelsen til at berigtige, slette eller begrænse adgangen til oplysninger som nævnt i artikel 37, stk. 5, i Europol-forordningen, skal Danmark anmode Europol herom ved at anvende fremgangsmåden i stk. 6 i denne artikel. d. Indtil 1. maj 2017 skal Danmark fortsat være bundet af Rådets rammeafgørelse 2008/977/RIA af 27. november 2008 og den nationale lovgivning, som gennemfører rammeafgørelsen. Efter 1. maj 2017 skal Danmark være bundet af reglerne i direktiv (EU) 2016/680 af 27. april 2016 som gennemført i national lovgivning.
2. Europol skal uden ophold give Danmark meddelelse om oplysninger, som er relevante for Danmark. a. Hvis sådanne oplysninger er underlagt begrænsninger efter artikel 11, stk. 3, som vil forhindre videregivelse, skal Europol konsultere med den, der har videregivet oplysningerne til Europol og har begrænset adgangen, og anmode om tilladelse til at videregive oplysningerne. I det tilfælde vil oplysninger ikke blive videregivet uden eksplicit tilladelse fra den, der har videregivet oplysningerne til Europol.

(5) Kommissionens henstilling 2003/361/EF af 6. maj 2003 om definitionen af mikrovirksomheder, små og mellemstore virksomheder (EUT L 124 af 20.5.2003, s. 36). (6) Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 4.5.2016, s. 1). (7) Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT L 295 af 21.11.2018, s. 39). (8) Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation) (EFT L 201 af 31.7.2002, s. 37). (9) Rådets direktiv 93/13/EØF af 5. april 1993 om urimelige kontraktvilkår i forbrugeraftaler (EFT L 95 af 21.4.1993, s. 29). (10) Europa-Parlamentets og Rådets direktiv 2005/29/EF af 11. maj 2005 om virksomheders urimelige handelspraksis over for forbrugerne på det indre mar-ked og om ændring af Rådets direktiv 84/450/EØF og Europa-Parlamentets og Rådets direktiv 97/7/EF, 98/27/EF og 2002/65/EF og Europa-Parlamentets og Rådets forordning (EF) nr. 2006/2004 (»direktivet om urimelig handelspraksis«) (EUT L 149 af 11.6.2005, s. 22). (11) Europa-Parlamentets og Rådets direktiv 2011/83/EU af 25. oktober 2011 om forbrugerrettigheder, om ændring af Rådets direktiv 93/13/EØF og Europa-Parlamentets og Rådets direktiv 1999/44/EF samt om ophævelse af Rådets direktiv 85/577/EØF og Europa-Parlamentets og Rådets direktiv 97/7/EF (EUT L 304 af 22.11.2011, s. 64). (12) Europa-Parlamentets og Rådets forordning (EU) 2021/784 af 29. april 2021 om håndtering af udbredelsen af terrorrelateret indhold online (EUT L 172 af 17.5.2021, s. 79). (13) Europa-Parlamentets og Rådets forordning (EU) 2022/2065 af 19. oktober 2022 om et indre marked for digitale tjenester og om ændring af direktiv 2000/31/EF (forordning om digitale tjenester) (EUT L 277 af 27.10.2022, s. 1). (14) Europa-Parlamentets og Rådets forordning (EU) 2023/1543 af 12. juli 2023 om europæiske editionskendelser og europæiske sikringskendelser om elektronisk bevismateriale i straffesager og om fuldbyrdelse af frihedsstraffe idømt som led i en straffesag (EUT L 191 af 28.7.2023, s. 118). (15) Europa-Parlamentets og Rådets direktiv (EU) 2023/1544 af 12. juli 2023 om harmoniserede regler for udpegning af bestemte forretningssteder og udpegning af retlige repræsentanter med henblik på indsamling af elektronisk bevismateriale i straffesager (EUT L 191 af 28.7.2023, s. 181). (16) Europa-Parlamentets og Rådets forordning (EU) 2015/847 af 20. maj 2015 om oplysninger, der skal medsendes ved pengeoverførsler, og om ophævelse af forordning (EF) nr. 1781/2006 (EUT L 141 af 5.6.2015, s. 1).

§ 17. Det skal mindst én gang hvert halve år kontrolleres, at de autoriserede personer fortsat opfylder betingelserne i § 11, stk. 2 og 3, og § 16.

Kontrol med afviste adgangsforsøg

§ 7. Loven træder i kraft den 1. april 2019.