e) opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de pågældende personoplysninger behandles; personoplysninger kan opbevares i længere tidsrum, hvis personoplysningerne alene behandles til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 89, stk. 1, under forudsætning af, at der implementeres passende tekniske og organisatoriske foranstaltninger, som denne forordning kræver for at sikre den registreredes rettigheder og frihedsrettigheder (»opbevaringsbegrænsning«) f) behandles på en måde, der sikrer tilstrækkelig sikkerhed for de pågældende personoplysninger, herunder beskyttelse mod uautoriseret eller ulovlig behandling og mod hændeligt tab, tilintetgørelse eller beskadigelse, under anvendelse af passende tekniske eller organisatoriske foranstaltninger (»integritet og fortrolighed«). 2. Den dataansvarlige er ansvarlig for og skal kunne påvise, at stk. 1 overholdes (»ansvarlighed«). Artikel 6 Lovlig behandling

1. Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende: a) Den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål. b) Behandling er nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelse af en kontrakt. c) Behandling er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige. d) Behandling er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser. e) Behandling er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. f) Behandling er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor, navnlig hvis den registrerede er et barn. Første afsnit, litra f), gælder ikke for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver.
2. Medlemsstaterne kan opretholde eller indføre mere specifikke bestemmelser for at tilpasse anvendelsen af denne forordnings bestemmelser om behandling med henblik på overholdelse af stk. 1, litra c) og e), ved at fastsætte mere præcist specifikke krav til behandling og andre foranstaltninger for at sikre lovlig og rimelig behandling, herunder for andre specifikke databehandlingssituationer som omhandlet i kapitel IX.
3. Grundlaget for behandling i henhold til stk. 1, litra c) og e), skal fremgå af: a) EU-retten, eller b) medlemsstaternes nationale ret, som den dataansvarlige er underlagt.

§ 7. Digitaliseringsstyrelsen kan udtale kritik af fysiske og juridiske personer omfattet af dataforordningen for overtrædelser af dataforordningen eller denne lov.

§ 60. Datatilsynet træffer over for vedkommende myndighed afgørelse i sager vedrørende § 7, stk. 7, § 9, stk. 3, § 10, stk. 3, § 13, stk. 1, § 27, stk. 4, §§ 28-31, § 32, stk. 1, 2 og 4, §§ 33-37, § 39 samt § 58, stk. 2. Stk. 2. I andre tilfælde afgiver tilsynet udtalelser over for den dataansvarlige myndighed.

§ 15. Loven træder i kraft den 1. juli 2016.

(10) Den grundlæggende ret til beskyttelse af personoplysninger er navnlig sikret ved Europa-Parlamentets og Rådets forordning (EU) 2016/679 ( 11 ) og (EU) 2018/1725 ( 12 ) samt Europa-Parlamentets og Rådets direktiv (EU) 2016/680 ( 13 ). Europa-Parlamentets og Rådets direktiv 2002/58/EF ( 14 ) beskytter desuden privatlivets fred og kommunikationshemmeligheden, herunder med fastsættelse af betingelser for lagring af personoplysninger og andre oplysninger end personoplysninger i terminaludstyr og for adgang til terminaludstyr. Disse EU-retsakter danner grundlaget for bæredygtig og ansvarlig databehandling, herunder når datasæt omfatter en blanding af personoplysninger og andre data end personoplysninger. Nærværende forordning har ikke til formål at påvirke anvendelsen af gældende EU-ret om behandling af personoplysninger, herunder de opgaver og beføjelser, der påhviler de uafhængige tilsynsmyndigheder med kompetence til at overvåge, at disse instrumenter overholdes. Den berører heller ikke de forpligtelser for udbydere og idriftsættere af AI-systemer i deres rolle som dataansvarlige eller databehandlere, der følger af EU-retten eller national ret om beskyttelse af personoplysninger, for så vidt udformningen, udviklingen eller anvendelsen af AI-systemer omfatter behandling af personoplysninger. Det er også hensigtsmæssigt at præcisere, at registrerede bevarer alle de rettigheder og garantier, som de har i henhold til EU-retten, herunder rettigheder i forbindelse med helt automatiseret individuel beslutningstagning, herunder profilering. Harmoniserede regler for omsætning, ibrugtagning og anvendelse af AI-systemer, der er fastsat i henhold til nærværende forordning, bør lette en effektiv gennemførelse og muliggøre udøvelsen af de registreredes rettigheder og andre retsmidler, der er sikret i medfør af EU-retten om beskyttelse af personoplysninger og andre grundlæggende rettigheder. (11) Denne forordning berører ikke bestemmelserne om ansvar for udbydere af formidlingstjenester som fastsat i Europa-Parlamentets og Rådets forordning (EU) 2022/2065 ( 15 ). (12) Begrebet »AI-system« i denne forordning bør defineres klart og bør nøje afstemmes med det arbejde, der udføres af internationale organisationer, som arbejder med AI, for at sikre retssikkerhed, lette international konvergens og bred accept, og samtidig være fleksibelt nok til at tage højde for den hurtige teknologiske udvikling på dette område. Desuden bør definitionen baseres på centrale egenskaber ved AI-systemer, der adskiller det fra enklere traditionelle softwaresystemer eller programmeringstilgange, og bør ikke omfatte systemer, der er baseret på de regler, der udelukkende er defineret af fysiske personer til automatisk at udføre operationer. En central egenskab ved AI-systemer er deres evne til at udlede. Denne evne til at udlede henviser til processen med at opnå output såsom forudsigelser, indhold, anbefalinger eller beslutninger, der kan påvirke fysiske og virtuelle miljøer, og til AI-systemernes evne til at udlede modeller eller algoritmer, eller begge dele, fra input eller data. De teknikker, der muliggør udledning ved opbygningen af et AI-system, omfatter maskinlæringstilgange, der af data lærer, hvordan bestemte mål kan nås, og logik- og videnbaserede tilgange, der udleder indhold fra indkodet viden eller symbolsk repræsentation af den opgave, der skal løses. Et AI-systems evne til at udlede går videre end grundlæggende databehandling ved at muliggøre læring, ræsonnement eller modellering. Udtrykket »maskinbaseret« henviser til det forhold, at AI-systemer kører på maskiner. Henvisningen til eksplicitte eller implicitte mål understreger, at AI-systemer kan fungere i overensstemmelse med eksplicit definerede mål eller implicitte mål. AI-systemets mål kan adskille sig fra det tilsigtede formål med AI-systemet i en specifik sammenhæng. Med henblik på denne forordning bør miljøer forstås som de sammenhænge, hvori AI-systemerne fungerer, mens output genereret af AI-systemet afspejler forskellige funktioner, der udføres af AI-systemer og omfatter forudsigelser, indhold, anbefalinger eller beslutninger. AI-systemer er udformet til at fungere med varierende grader af autonomi, hvilket betyder, at de har en vis grad af uafhængighed fra menneskelig medvirken og har evnen til at fungere uden menneskelig indgriben. Den tilpasningsevne, som et AI-system kan udvise efter idriftsættelsen, henviser til selvlæringskapacitet, der gør det muligt for systemet at ændre sig, mens det er i brug. AI-systemer kan anvendes selvstændigt eller som en del af et produkt, uanset om systemet er fysisk integreret i produktet (indlejret), eller tjene produktets funktionalitet uden at være integreret deri (ikke indlejret).

§ 7 i. lov nr. 429 af 31. maj 2000 om behandling af personoplysninger foretages følgende ændring: 1. I

§ 37. Om behandlingssikkerheden gælder de i lov om behandling af personoplysninger kapitel 11, som sat i kraft for rigsmyndighedernes behandling af oplysninger på Færøerne ved anordning nr. 754 af 19. juni 2017, og de i bekendtgørelse for Færøerne om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den del af den offentlige forvaltning, der henhører under rigsmyndighederne, fastsatte regler.

1. »dataaltruisme«: frivillig deling af data på grundlag af registreredes samtykke til behandling af personoplysninger, der vedrører dem, eller dataindehaveres tilladelse til, at andre data end personoplysninger, som de er i besiddelse af, anvendes, uden at de søger eller modtager en modydelse, som går ud over kompensation i forbindelse med de omkostninger, de pådrager sig ved at stille deres data til rådighed med henblik på almennyttige formål som fastsat i national ret, hvor det er relevant, f.eks. sundhedspleje, bekæmpelse af klimaændringer, forbedring af mobiliteten, lettelse af udviklingen, udarbejdelsen og formidlingen af officielle statistikker, forbedring af udbuddet af offentlige tjenester, offentlig beslutningstagning eller almennyttige videnskabelige formål
2. »offentlig myndighed«: staten, regionale eller lokale myndigheder, offentligretlige organer, sammenslutninger af en eller flere af sådanne myndigheder eller et eller flere af sådanne offentligretlige organer
3. »offentligretlige organer«: organer med alle følgende karakteristika: a) de er oprettet specielt med henblik på at opfylde almennyttige formål og har ikke industriel eller kommerciel karakter b) de har status som juridisk person c) de finansieres for størstedelens vedkommende af staten, regionale eller lokale myndigheder eller af andre offentligretlige organer, er underlagt ledelsesmæssig kontrol af disse myndigheder eller organer, eller de har et administrations-, ledelses- eller tilsynsorgan, hvor mere end halvdelen af medlemmerne udpeges af staten, regionale eller lokale myndigheder eller andre offentligretlige organer
4. »offentlig virksomhed«: enhver virksomhed, som de offentlige myndigheder direkte eller indirekte kan have bestemmende indflydelse på som følge af ejerforhold, kapitalindskud eller de regler, der gælder for virksomheden; der antages at foreligge bestemmende indflydelse fra de offentlige myndigheders side i alle de følgende tilfælde, hvor de pågældende myndigheder direkte eller indirekte: a) besidder majoriteten af virksomhedens tegnede kapital b) råder over flertallet af de stemmer, som er knyttet til de kapitalandele, som virksomheden har udstedt c) kan udpege mere end halvdelen af medlemmerne i virksomhedens administrations-, ledelses- eller tilsynsorgan »sikkert databehandlingsmiljø«:
5. »sikkert databehandlingsmiljø«: et fysisk eller virtuelt miljø og organisatoriske midler til at sikre overensstemmelsen med EU-retten, såsom forordning (EU) 2016/679, navnlig med hensyn til registreredes rettigheder, intellektuelle ejendomsrettigheder og kommerciel og statistisk fortrolighed, integritet og tilgængelighed, samt med national ret, således at den enhed, der tilvejebringer det sikre databehandlingsmiljø, kan fastslå og overvåge alle databehandlingsaktiviteter, herunder visning, lagring, download og eksport af data samt beregning af afledte data ved hjælp af algoritmer
6. »retlig repræsentant«: en fysisk eller juridisk person, der er etableret i Unionen, og som udtrykkeligt er udpeget til at handle på vegne af en dataformidlingstjenesteudbyder, der ikke er etableret i Unionen, eller på vegne af en enhed, der ikke er etableret i Unionen, og som med henblik på almennyttige formål indsamler data, der stilles til rådighed af fysiske eller juridiske personer på grundlag af dataaltruisme; de kompetente myndigheder for dataformidlingstjenester og de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, kan henvende sig til repræsentanten i tillæg til eller i stedet for til dataformidlingstjenesteudbyderen eller enheden for så vidt angår forpligtelserne i henhold til denne forordning, herunder for så vidt angår indledning af håndhævelsesforanstaltninger over for en dataformidlingstjenesteudbyder eller en enhed, der ikke overholder bestemmelserne, og som ikke er etableret i Unionen.

§ 7. Den dataansvarlige skal tilrettelægge behandlingen af personoplysninger således, at der fastsættes passende frister for sletning af personoplysninger eller regelmæssig undersøgelse af behovet for lagring af oplysningerne. Det sikres endvidere ved proceduremæssige foranstaltninger, at tidsfristerne overholdes.