§ 17. I lov nr. 652 af 8. juni 2017 om betalinger, som ændret ved § 8 i lov nr. 1547 af 19. december 2017, foretages følgende ændringer:

1. I § 124, stk. 1, ændres »Lov om behandling af personoplysninger« til: »Europa-Parlamentets og Rådets forordning nr. 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og databeskyttelsesloven«.
2. I § 125, stk. 1, ændres »Lov om behandling af personoplysninger« til: »Europa-Parlamentets og Rådets forordning nr. 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og databeskyttelsesloven«.
3. § 130, stk. 4, ophæves.
4. § 144, stk. 7, ophæves.
5. I § 154, stk. 12, ændres »§ 6, stk. 1, nr. 2, i lov om behandling af personoplysninger« til: »artikel 6, stk. 1, litra b, i Europa-Parlamentets og Rådets forordning nr. 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger«.

( 24 ) Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 4.5.2016, s. 89). ( 25 ) Kommissionens forordning (EU) nr. 557/2013 af 17. juni 2013 om gennemførelse af Europa-Parlamentets og Rådets forordning (EF) nr. 223/2009 om europæiske statistikker for så vidt angår adgang til fortrolige data til videnskabelige formål og om ophævelse af Kommissionens forordning (EF) nr. 831/2002 (EUT L 164 af 18.6.2013, s. 16). ( 26 ) Europa-Parlamentet og Rådets direktiv 96/9/EF af 11. marts 1996 om retlig beskyttelse af databaser (EFT L 77 af 27.3.1996, s. 20). ( 27 ) Europa-Parlamentets og Rådets forordning (EU) nr. 600/2014 af 15. maj 2014 om markeder for finansielle instrumenter og om ændring af forordning (EU) nr. 648/2012 (EUT L 173 af 12.6.2014, s. 84). ( 28 ) Europa-Parlamentets og Rådets direktiv (EU) 2015/2366 af 25. november 2015 om betalingstjenester i det indre marked, og om ændring af direktiv 2002/65/EF, 2009/110/EF og 2013/36/EU og forordning (EU) nr. 1093/2010 og om ophævelse af direktiv 2007/64/EF (EUT L 337 af 23.12.2015, s. 35). ( 29 ) Europa-Parlamentets og Rådets forordning (EU) 2018/1724 af 2. oktober 2018 om oprettelse af en fælles digital portal, der giver adgang til oplysninger, procedurer og bistands- og problemløsningstjenester, og om ændring af forordning (EU) nr. 1024/2012 (EUT L 295 af 21.11.2018, s. 1). ( 30 ) EUT L 123 af 12.5.2016, s. 1. ( 31 ) Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (EUT L 55 af 28.2.2011, s. 13). ( 32 ) Europa-Parlamentets og Rådets direktiv (EU) 2016/2102 af 26. oktober 2016 om tilgængeligheden af offentlige organers websteder og mobilapplikationer (EUT L 327 af 2.12.2016, s. 1). ( 33 ) Europa-Parlamentets og Rådets direktiv (EU) 2019/882 af 17. april 2019 om tilgængelighedskrav for produkter og tjenester (EUT L 151 af 7.6.2019, s. 70).

1. Videregivelse af personoplysninger i henhold til denne konvention må først finde sted, når de databeskyttelsesbestemmelser, der er omhandlet stk. 1, er trådt i kraft i hver af de medlemsstater, som er involveret i videregivelsen.
2. Ved indsamlingen, behandlingen og anvendelsen af personoplysninger overholder Europol principperne i Europarådets konvention af 28. januar 1981 og anbefaling R(87) 15 fra Europarådets Ministerudvalg af 17. september 1987. Europol overholder ligeledes disse principper for oplysninger, som ikke er edb-baserede, og som Europol opbevarer i registre, dvs. enhver struktureret samling af personoplysninger, som er tilgængelig efter nærmere fastlagte kriterier. Artikel 15 Databeskyttelsesansvar
3. Med forbehold af andre bestemmelser i denne konvention påhviler databeskyttelsesansvaret for oplysninger lagret i Europol og navnlig for den retmæssige karakter af indsamling, videregivelse til Europol, indlæsning såvel som for oplysningernes korrekthed og ajourføring samt lagringsfristens overholdelse følgende:
4. Med forbehold af andre bestemmelser i denne konvention er Europol endvidere ansvarlig for edb-behandlingen af alle de oplysninger, Europol har modtaget og behandlet, hvad enten de findes i det informationssystem, der er omhandlet i artikel 8, i analysedatabaserne, der er oprettet efter artikel 10, eller i indekssystemet, jf. artikel 11 eller i de registre, der omhandles i artikel 14, stk. 3.
5. Europol lagrer oplysningerne på en sådan måde, at det kan konstateres, hvilken medlemsstat eller tredjepart der har videregivet dem, eller om de er resultatet af Europols analysearbejde. Artikel 16 Bestemmelser om registrering (logning) Europol registrerer i gennemsnit mindst hver tiende søgning - og hver enkelt søgning i det i artikel 7 omhandlede informationssystem - efter personoplysninger med henblik på at kontrollere lovligheden af søgningen. De oplysninger, der registreres, må kun anvendes til dette formål af Europol og af de i artikel 23 og 24 nævnte kontrolinstanser; de skal slettes efter seks måneder, medmindre oplysningerne stadig er nødvendige for en igangværende kontrol. Styrelsesrådet fastsætter de nærmere bestemmelser efter høring af den fælles kontrolinstans. Artikel 17 Databenyttelsesregler
6. Personoplysninger fra informationssystemet, indekssystemet eller analysedatabaserne og oplysninger, der er videregivet på anden hensigtsmæssig måde, må kun videregives eller anvendes af medlemsstaternes kompetente myndigheder til at forebygge og bekæmpe de former for kriminalitet, der henhører under Europols kompetence, samt til at forebygge og bekæmpe andre former for grov kriminalitet. Anvendelsen af oplysningerne i første afsnit skal ske under overholdelse af lovgivningen i den for benyttelsesmyndigheden ansvarlige medlemsstat. Europol må kun anvende de oplysninger, der er omhandlet i stk. 1, til at udføre de opgaver, der er fastsat i artikel 3.
7. Hvis den videregivende medlemsstat eller en i artikel 10, stk. 4, omhandlet stat eller ekstern organisation gør opmærksom på særlige begrænsninger i brugen af bestemte oplysninger i den pågældende medlemsstat eller hos den pågældende tredjepart, skal disse begrænsninger også overholdes af brugeren, bortset fra det særlige tilfælde, hvor der i henhold til national ret skal gøres undtagelser fra begrænsninger i brugen af oplysningerne til fordel for de retshåndhævende myndigheder, lovgivningsinstanser eller andre uafhængige instanser, der er oprettet ved lov og har til opgave at kontrollere de kompetente nationale myndigheder i artikel 2, stk. 4. I så fald kan oplysningerne kun anvendes efter forudgående høring af den medlemsstat, oplysningerne stammer fra, og denne stats interesser og synspunkter skal i videst muligt omfang efterkommes.

d) personoplysningerne skal forblive fortrolige som følge af tavshedspligt i henhold til EU-retten eller medlemsstaternes nationale ret, herunder lovbestemt tavshedspligt. Artikel 15 Den registreredes indsigtsret

1. Den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne og følgende information: a) formålene med behandlingen b) de berørte kategorier af personoplysninger c) de modtagere eller kategorier af modtagere, som personoplysningerne er eller vil blive videregivet til, navnlig modtagere i tredjelande eller internationale organisationer d) om muligt det påtænkte tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til fastlæggelse af dette tidsrum e) retten til at anmode den dataansvarlige om berigtigelse eller sletning af personoplysninger eller begrænsning af behandling af personoplysninger vedrørende den registrerede eller til at gøre indsigelse mod en sådan behandling f) retten til at indgive en klage til en tilsynsmyndighed g) enhver tilgængelig information om, hvorfra personoplysningerne stammer, hvis de ikke indsamles hos den registrerede h) forekomsten af automatiske afgørelser, herunder profilering, som omhandlet i artikel 22, stk. 1 og 4, og som minimum meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede.
2. Hvis personoplysningerne overføres til et tredjeland eller en international organisation, har den registrerede ret til at blive underrettet om de fornødne garantier i medfør af artikel 46 i forbindelse med overførslen.
3. Den dataansvarlige udleverer en kopi af de personoplysninger, der behandles. For yderligere kopier, som den registrerede anmoder om, kan den dataansvarlige opkræve et rimeligt gebyr baseret på de administrative omkostninger. Hvis den registrerede indgiver anmodningen elektronisk, og medmindre den registrerede anmoder om andet, udleveres oplysningerne i en almindeligt anvendt elektronisk form.
4. Retten til at modtage en kopi som omhandlet i stk. 3 må ikke krænke andres rettigheder og frihedsrettigheder. Afdeling 3 Berigtigelse og sletning Artikel 16 Ret til berigtigelse Den registrerede har ret til at få urigtige personoplysninger om sig selv berigtiget af den dataansvarlige uden unødig forsinkelse. Den registrerede har under hensyntagen til formålene med behandlingen ret til få fuldstændiggjort ufuldstændige personoplysninger, bl.a. ved at fremlægge en supplerende erklæring. Artikel 17 Ret til sletning (»retten til at blive glemt«)
5. Den registrerede har ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, hvis et af følgende forhold gør sig gældende: a) Personoplysningerne er ikke længere nødvendige til at opfylde de formål, hvortil de blev indsamlet eller på anden vis behandlet.

§ 7. I sager og undersøgelser efter denne lov finder reglerne om oplysningspligt og indsigtsret i artikel 13-15 i databeskyttelsesforordningen ikke anvendelse.

§ 11. Bekendtgørelsen træder i kraft den 1. juli 2018.

§ 17. Det skal mindst én gang hvert halve år kontrolleres, at de autoriserede personer fortsat opfylder betingelserne i § 11, stk. 2 og 3, og § 16.

§ 53. Lovens §§ 25 og 26 gælder i forhold til ny behandling af personoplysninger, der iværksættes, og registre, der oprettes den 1. maj 2017 eller senere.