§ 7. På steder, hvor der foretages behandling af oplysninger om fysiske og juridiske personer, skal der træffes forholdsregler med henblik på at forhindre uvedkommendes adgang til oplysningerne.

(14)Den beskyttelse, som denne forordning yder i forbindelse med behandling af personoplysninger, bør finde anvendelse på fysiske personer uanset nationalitet eller bopæl. Denne forordning finder ikke anvendelse på behandling af personoplysninger, der vedrører juridiske personer, navnlig virksomheder, der er etableret som juridiske personer, herunder den juridiske persons navn, form og kontaktoplysninger. (15)For at undgå at skabe en alvorlig risiko for omgåelse bør beskyttelsen af fysiske personer være teknologineutral og ikke afhænge af de anvendte teknikker. Beskyttelsen af fysiske personer bør gælde for både automatisk og manuel behandling af personoplysninger, hvis personoplysningerne er indeholdt eller vil blive indeholdt i et register. Sagsmapper eller samlinger af sagsmapper samt deres forsider, som ikke er struktureret efter bestemte kriterier, bør ikke være omfattet af denne forordnings anvendelsesområde. (16)Denne forordning finder ikke anvendelse på spørgsmål vedrørende beskyttelse af grundlæggende rettigheder og frihedsrettigheder eller fri udveksling af personoplysninger, der vedrører aktiviteter, som falder uden for EU-retten, såsom aktiviteter vedrørende statens sikkerhed. Denne forordning finder ikke anvendelse på behandling af personoplysninger, der foretages af medlemsstaterne, når de udfører aktiviteter i forbindelse med Unionens fælles udenrigs- og sikkerhedspolitik. (17)Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 (6) finder anvendelse på behandling af personoplysninger, der foretages af Unionens institutioner, organer, kontorer og agenturer. Forordning (EF) nr. 45/2001 og andre EU-retsakter, der finder anvendelse på sådan behandling af personoplysninger, bør tilpasses til principperne og bestemmelserne fastsat i nærværende forordning og anvendes i lyset af nærværende forordning. Med henblik på at sikre en stærk og sammenhængende databeskyttelsesramme i Unionen bør de nødvendige tilpasninger af forordning (EF) nr. 45/2001 følge efter vedtagelsen af nærværende forordning, således at de finder anvendelse samtidig med nærværende forordning. (18)Denne forordning gælder ikke for en fysisk persons behandling af oplysninger under en rent personlig eller familiemæssig aktivitet og således uden forbindelse med en erhvervsmæssig eller kommerciel aktivitet. Personlige eller familiemæssige aktiviteter kan omfatte korrespondance og føring af en adressefortegnelse eller sociale netværksaktiviteter og onlineaktiviteter, der udøves som led i sådanne aktiviteter. Denne forordning gælder dog for dataansvarlige eller databehandlere, som tilvejebringer midlerne til behandling af personoplysninger til sådanne personlige eller familiemæssige aktiviteter. (19)Beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskyttelsen mod og forebyggelsen af trusler mod den offentlige sikkerhed og den frie udveksling af sådanne oplysninger, er genstand for en specifik EU-retsakt. Denne forordning bør derfor ikke gælde for behandlingsaktiviteter med disse formål. Behandling af personoplysninger af offentlige myndigheder, som er omfattet af denne forordning, med henblik på disse formål bør imidlertid være genstand for en mere specifik EU-retsakt, Europa-Parlamentets og Rådets direktiv (EU) 2016/680 (7). Medlemsstater kan overdrage opgaver, der ikke nødvendigvis foretages med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, til de kompetente myndigheder som omhandlet i direktiv (EU) 2016/680, således at behandling af personoplysninger til disse andre formål, for så vidt som de er omfattet af EU-retten, falder ind under denne forordnings anvendelsesområde. Med hensyn til disse kompetente myndigheders behandling af personoplysninger til formål, der er omfattet af anvendelsesområdet for denne forordning, bør medlemsstaterne kunne opretholde eller indføre mere specifikke bestemmelser for at tilpasse anvendelsen af reglerne i denne forordning. Sådanne bestemmelser kan mere præcist fastlægge specifikke krav til disse kompetente myndigheders behandling af personoplysninger til disse andre formål under hensyntagen til den forfatningsmæssige, organisatoriske og administrative struktur i den pågældende medlemsstat. Når behandling af personoplysninger foretaget af private organer er omfattet af denne forordnings anvendelsesområde, bør forordningen give medlemsstaterne mulighed for på særlige betingelser ved lov at begrænse visse forpligtelser og rettigheder, når en sådan begrænsning udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund for at sikre bestemte vigtige interesser, herunder den offentlige sikkerhed og forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed. Dette er f.eks. relevant inden for rammerne af bekæmpelse af hvidvaskning af penge eller kriminaltekniske laboratoriers aktiviteter.

§ 1. Juridiske personer er forpligtet til efter anmodning fra Styrelsen for Patientsikkerhed eller politiet at afgive relevante oplysninger, når det er nødvendigt med henblik på at hindre udbredelse og smitte af Coronavirussygdom 2019 (COVID-19). Der kan i den forbindelse behandles personoplysninger omfattet af artikel 6 og 9 i Europa-Parlamentets og Rådets forordning nr. 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger.

(50) Anerkendte dataaltruistiske organisationer bør kunne indsamle relevante data direkte fra fysiske og juridiske personer eller behandle data, der er indsamlet af andre. Behandling af indsamlede data kan foretages af dataaltruistiske organisationer til formål, som de selv fastsætter, eller de kan, hvis det er relevant, tillade tredjeparters behandling til disse formål. Hvis anerkendte dataaltruistiske organisationer er dataansvarlige eller databehandlere som defineret i forordning (EU) 2016/679, bør de overholde nævnte forordning. Dataaltruisme vil typisk være baseret på de registreredes samtykke som omhandlet i artikel 6, stk. 1, litra a), og artikel 9, stk. 2, litra a), i forordning (EU) 2016/679, som bør være i overensstemmelse med kravene om lovligt samtykke i samme forordnings artikel 7 og 8. I overensstemmelse med forordning (EU) 2016/679 kan videnskabelige forskningsformål understøttes af samtykke til bestemte videnskabelige forskningsområder, hvor dette er i overensstemmelse med anerkendte etiske standarder for videnskabelig forskning, eller udelukkende til nærmere afgrænsede forskningsområder eller dele af forskningsprojekter. I artikel 5, stk. 1, litra b), i forordning (EU) 2016/679 præciseres det, at viderebehandling til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med nævnte forordnings artikel 89, stk. 1, ikke anses for at være uforenelig med de oprindelige formål. For andre data end personoplysninger bør begrænsninger for så vidt angår anvendelse fremgå af den tilladelse, som dataindehaveren har givet. (51) De kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, og som udpeges til at overvåge, at anerkendte dataaltruistiske organisationer opfylder kravene i denne forordning, bør vælges på grundlag af deres kapacitet og ekspertise. De bør være uafhængige af enhver dataaltruistisk organisation og varetage deres opgaver på en gennemsigtig og upartisk måde. Medlemsstaterne bør underrette Kommissionen om identiteten af disse kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer. Beføjelserne og kompetencerne for de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, bør ikke berøre databeskyttelsesmyndighedernes beføjelser. Navnlig med hensyn til eventuelle spørgsmål, der kræver en vurdering af, om forordning (EU) 2016/679 overholdes, bør den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, hvis det er relevant, indhente en udtalelse eller afgørelse fra den kompetente tilsynsmyndighed, der er etableret i henhold til nævnte forordning. (52) For at øge tilliden og skabe yderligere retssikkerhed og brugervenlighed i forbindelse med proceduren for meddelelse og tilbagetrækning af samtykke, navnlig i forbindelse med videnskabelig forskning og statistisk anvendelse af data, der stilles til rådighed på et altruistisk grundlag, bør der udvikles en europæisk samtykkeformular for dataaltruisme til brug i forbindelse med altruistisk datadeling. En sådan formular bør bidrage til at tydeliggøre for de registrerede, at deres oplysninger vil blive tilgået og anvendt i overensstemmelse med deres samtykke og også i fuld overensstemmelse med databeskyttelsesreglerne. Den bør også lette afgivelse og tilbagetrækning af samtykke og anvendes til at strømline dataaltruisme udført af virksomheder og skabe en mekanisme, der gør det muligt for virksomheder at trække deres tilladelse til at anvende dataene tilbage. For at tage hensyn til særlige forhold i de enkelte sektorer, herunder ud fra et databeskyttelsesperspektiv, bør den europæiske samtykkeformular for dataaltruisme følge en modulær tilgang, der gør det muligt at tilpasse den til specifikke sektorer og forskellige formål.

§ 37. Den dataansvarlige skal berigtige, slette eller blokere oplysninger, der viser sig urigtige eller vildledende eller på lignende måde er behandlet i strid med lov eller bestemmelser udstedt i medfør af lov, hvis en registreret person fremsætter anmodning herom. Stk. 2. Den dataansvarlige skal underrette den tredjemand, hvortil oplysningerne er videregivet, om, at de videregivne oplysninger er berigtiget, slettet eller blokeret i henhold til stk. 1, hvis en registreret person fremsætter anmodning herom. Dette gælder dog ikke, hvis underretningen viser sig umulig eller er uforholdsmæssigt vanskelig.

( 13 ) Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 4.5.2016, s. 89). ( 14 ) Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktiv om databeskyttelse inden for elektronisk kommunikation) (EFT L 201 af 31.7.2002, s. 37). ( 15 ) Europa-Parlamentets og Rådets forordning (EU) 2022/2065 af 19. oktober 2022 om et indre marked for digitale tjenester og om ændring af direktiv 2000/31/EF (forordning om digitale tjenester) (EUT L 277 af 27.10.2022, s. 1). ( 16 ) Europa-Parlamentets og Rådets direktiv (EU) 2019/882 af 17. april 2019 om tilgængelighedskrav for produkter og tjenester (EUT L 151 af 7.6.2019, s. 70). ( 17 ) Europa-Parlamentets og Rådets direktiv 2005/29/EF af 11. maj 2005 om virksomheders urimelige handelspraksis over for forbrugerne på det indre marked og om ændring af Rådets direktiv 84/450/EØF og Europa-Parlamentets og Rådets direktiv 97/7/EF, 98/27/EF og 2002/65/EF og Europa-Parlamentets og Rådets forordning (EF) nr. 2006/2004 (direktivet om urimelig handelspraksis) (EUT L 149 af 11.6.2005, s. 22). ( 18 ) Rådets rammeafgørelse 2002/584/RIA af 13. juni 2002 om den europæiske arrestordre og om procedurerne for overgivelse mellem medlemsstaterne (EFT L 190 af 18.7.2002, s. 1). ( 19 ) Europa-Parlamentets og Rådets direktiv (EU) 2022/2557 af 14. december 2022 om kritiske enheders modstandsdygtighed og om ophævelse af Rådets direktiv 2008/114/EF (EUT L 333 af 27.12.2022, s. 164). ( 20 ) EUT C 247 af 29.6.2022, s. 1. ( 21 ) Europa-Parlamentets og Rådets forordning (EU) 2017/745 af 5. april 2017 om medicinsk udstyr, om ændring af direktiv 2001/83/EF, forordning (EF) nr. 178/2002 og forordning (EF) nr. 1223/2009 og om ophævelse af Rådets direktiv 90/385/EØF og 93/42/EØF (EUT L 117 af 5.5.2017, s. 1). ( 22 ) Europa-Parlamentets og Rådets forordning (EU) 2017/746 af 5. april 2017 om medicinsk udstyr til in vitro-diagnostik og om ophævelse af direktiv 98/79/EF og Kommissionens afgørelse 2010/227/EU (EUT L 117 af 5.5.2017, s. 176). ( 23 ) Europa-Parlamentets og Rådets direktiv 2006/42/EF af 17. maj 2006 om maskiner og om ændring af direktiv 95/16/EF (EUT L 157 af 9.6.2006, s. 24). ( 24 ) Europa-Parlamentets og Rådets forordning (EF) nr. 300/2008 af 11. marts 2008 om fælles bestemmelser om sikkerhed (security) inden for civil luftfart og om ophævelse af forordning (EF) nr. 2320/2002 (EUT L 97 af 9.4.2008, s. 72). ( 25 ) Europa-Parlamentets og Rådets forordning (EU) nr. 167/2013 af 5. februar 2013 om godkendelse og markedsovervågning af landbrugs- og skovbrugstraktorer (EUT L 60 af 2.3.2013, s. 1).

§ 7. På steder, hvor der foretages behandling af oplysninger om fysiske og juridiske personer, skal der træffes forholdsregler med henblik på at forhindre uvedkommendes adgang til oplysningerne.

§ 17 a. § 17 finder ikke anvendelse på data, der er deponeret på fiktive angrebsmål efter § 6 b eller modtaget via infrastruktur omfattet af § 6 c, såfremt Center for Cybersikkerhed ikke udtager disse data til nærmere vurdering. Disse data slettes hurtigst muligt. Udtager Center for Cybersikkerhed data til nærmere vurdering, skal sletning ske efter reglerne i § 17.