§ 1. I lov nr. 410 af 27. april 2017 om retshåndhævende myndigheders behandling af personoplysninger foretages følgende ændringer:

1. § 27, stk. 3, affattes således: »Stk. 3. Justitsministeren kan efter forhandling med vedkommende minister fastsætte regler om, at personoplysninger, der behandles i nærmere bestemte it-systemer, og som føres for den offentlige forvaltning, helt eller delvis alene må opbevares her i landet.«
2. I § 27, stk. 4, ændres »stk. 1-3« til: »stk. 1 og 2«.
3. § 27, stk. 5, ophæves.
4. § 37, stk. 2-9, ophæves, og i stedet indsættes: »Stk. 2. For Datatilsynet gælder reglerne i § 27, stk. 2-9, i databeskyttelsesloven.«

(3) Det er nødvendigt at forbedre betingelserne for datadeling i det indre marked ved at skabe en harmoniseret ramme for dataudveksling og fastsætte visse grundlæggende krav til datastyring, idet der lægges særlig vægt på at lette samarbejdet mellem medlemsstaterne. Denne forordning bør sigte mod at videreudvikle det grænsefrie digitale indre marked og et datasamfund og en dataøkonomi, der sætter mennesket i centrum, og som er pålideligt og sikkert. Med sektorspecifik EU-ret kan nye og supplerende elementer udvikles, tilpasses og foreslås afhængigt af sektorernes særlige karakter såsom den planlagte EU-ret om det europæiske sundhedsdataområde og om adgangen til køretøjsdata. Desuden er visse økonomiske sektorer allerede reguleret ved sektorspecifik EU-ret, der omfatter regler om grænseoverskridende eller EU-dækkende deling af eller adgang til data, f.eks. Europa-Parlamentets og Rådets direktiv 2011/24/EU ( 4 ) i forbindelse med det europæiske sundhedsdataområde og relevante lovgivningsmæssige retsakter på transportområdet såsom Europa-Parlamentets og Rådets forordning (EU) 2019/1239 ( 5 ) og (EU) 2020/1056 ( 6 ) og direktiv 2010/40/EU ( 7 ) i forbindelse med det europæiske mobilitetsdataområde. Denne forordning bør derfor ikke berøre Europa-Parlamentets og Rådets forordning (EF) nr. 223/2009 ( 8 ), (EU) 2018/858 ( 9 ) og (EU) 2018/1807 ( 10 ) samt direktiv 2000/31/EF ( 11 ), 2001/29/EF ( 12 ), 2004/48/EF ( 13 ), 2007/2/EF ( 14 ), 2010/40/EU, (EU) 2015/849 ( 15 ), (EU) 2016/943 ( 16 ), (EU) 2017/1132 ( 17 ), (EU) 2019/790 ( 18 ) og (EU) 2019/1024 ( 19 ) og anden sektorspecifik EU-ret om adgang til og videreanvendelse af data. Denne forordning bør ikke berøre EU-retten og national ret om adgangen til og anvendelsen af data med henblik på forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner samt det internationale samarbejde i den forbindelse. Denne forordning bør ikke berøre medlemsstaternes kompetencer med hensyn til deres aktiviteter vedrørende offentlig sikkerhed, forsvar og national sikkerhed. Videreanvendelsen af data, der er beskyttet af hensyn hertil og er i de offentlige myndigheders besiddelse, herunder data fra udbudsprocedurer, som er omfattet af Europa-Parlamentets og Rådets direktiv 2009/81/EF ( 20 ), bør ikke være omfattet af denne forordning. Der bør indføres en horisontal ordning for videreanvendelse af bestemte kategorier af beskyttede data i de offentlige myndigheders besiddelse, udbud af dataformidlingstjenester og tjenester baseret på dataaltruisme i Unionen. De forskellige sektorers særlige kendetegn kan kræve, at der udvikles sektorielle databaserede systemer, samtidig med at der bygges videre på kravene i denne forordning. Dataformidlingstjenesteudbydere, der opfylder kravene i denne forordning, bør kunne anvende betegnelsen »dataformidlingstjenesteudbydere, der er anerkendt i Unionen«. Juridiske personer, der søger at støtte almennyttige formål ved at stille relevante data til rådighed på grundlag af dataaltruisme i stor skala, og som opfylder kravene i denne forordning, bør kunne registreres med og bruge betegnelsen »dataaltruistiske organisationer, der er anerkendt i Unionen«. Hvis sektorspecifik EU-ret eller national ret kræver, at offentlige myndigheder, sådanne dataformidlingstjenesteudbydere eller sådanne juridiske personer (anerkendte dataaltruistiske organisationer) skal opfylde specifikke supplerende tekniske, administrative eller organisatoriske krav, herunder gennem en tilladelses- eller certificeringsordning, finder bestemmelserne i den sektorspecifikke EU-ret eller nationale ret også anvendelse.

KAPITEL V DATABESKYTTELSE OG DATASIKKERHED Artikel 27 Databeskyttelsesniveau Uden at det berører specifikke bestemmelser i denne afgørelse, tager Europol hensyn til principperne i Europarådets konvention om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger af 28. januar 1981 og anbefaling R(87)15 vedtaget den 17. september 1987 af Europarådets Ministerkomité. Europol overholder disse principper i forbindelse med behandling af personoplysninger, bl.a. i forbindelse med automatiserede og ikke-automatiserede oplysninger i form af registre, især strukturerede personoplysninger, der er tilgængelige ifølge specifikke kriterier. Artikel 28 Databeskyttelsesansvarlig

1. Styrelsesrådet udpeger på forslag af direktøren en databeskyttelsesansvarlig, som skal være medlem af Europols personale. Den databeskyttelsesansvarlige handler uafhængigt ved udførelsen af sine opgaver.
2. Den databeskyttelsesansvarlige har bl.a. følgende opgaver: a) på uafhængig vis at sikre lovligheden og overholdelsen af bestemmelserne i denne afgørelse om behandling af personoplysninger, herunder behandling af personoplysninger om Europols personale b) at sikre, at der føres en skriftlig fortegnelse over videregivelse og modtagelse af personoplysninger i overensstemmelse med denne afgørelse c) at sikre, at de registrerede efter anmodning informeres om deres rettigheder i henhold til denne afgørelse d) at samarbejde med de medlemmer af Europols personale, der har ansvaret for procedurer, uddannelse og rådgivning om databehandling. e) at samarbejde med Den Fælles Kontrolinstans f) at udarbejde en årsberetning og sende denne til Styrelsesrådet og Den Fælles Kontrolinstans.
3. Den databeskyttelsesansvarlige skal ved udførelsen af sine opgaver have adgang til alle de oplysninger, Europol behandler, og til alle Europols lokaler.
4. Hvis den databeskyttelsesansvarlige mener, at bestemmelserne i denne afgørelse om behandling af personoplysninger ikke er overholdt, skal denne underrette direktøren og kræve, at vedkommende løser problemet vedrørende den manglende overholdelse inden en fastsat frist. Hvis direktøren ikke inden for en fastsat tidsfrist har løst problemet med en uregelmæssig behandling, underretter den databeskyttelsesansvarlige Styrelsesrådet og aftaler en bestemt svarfrist med dette. Hvis Styrelsesrådet ikke inden for den fastsatte tidsfrist har løst problemet med en uregelmæssig behandling, underretter den databeskyttelsesansvarlige Den Fælles Kontrolinstans.
5. Styrelsesrådet vedtager yderligere gennemførelsesbestemmelser vedrørende den databeskyttelsesansvarlige. Disse gennemførelsesbestemmelser vedrører navnlig udnævnelse og afskedigelse af den databeskyttelsesansvarlige og dennes hverv, opgaver og beføjelser og beskyttelsesforanstaltninger vedrørende den databeskyttelsesansvarliges uafhængighed. Artikel 29 Databeskyttelsesansvar
6. Ansvaret for oplysninger behandlet af Europol, navnlig for lovligheden af indsamling, videregivelse til Europol og registrering samt oplysningernes korrekthed og ajourføring og lagringsfristens overholdelse påhviler:

§ 1. Loven gælder for politiets, anklagemyndighedens, herunder den militære anklagemyndigheds, kriminalforsorgens, Den Uafhængige Politiklagemyndigheds og domstolenes behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og for anden ikkeautomatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register, når behandlingen foretages med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder for at beskytte mod eller forebygge trusler mod den offentlige sikkerhed. Stk. 2. Loven finder ikke anvendelse på den behandling af personoplysninger, som udføres for eller af politiets og forsvarets efterretningstjenester. Stk. 3. Loven finder ikke anvendelse på behandling af personoplysninger i medfør af EU-retsakter, der den 6. maj 2016 eller inden denne dato er trådt i kraft på området for retligt samarbejde i straffesager og politisamarbejde, og som regulerer behandling mellem medlemsstaterne og de udpegede myndigheders adgang til EU-informationssystemer.

a) statens sikkerhed b) forsvaret c) den offentlige sikkerhed d) forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed e) andre vigtige målsætninger i forbindelse med beskyttelse af Unionens eller en medlemsstats generelle samfundsinteresser, navnlig Unionens eller en medlemsstats væsentlige økonomiske eller finansielle interesser, herunder valuta-, budget- og skatteanliggender, folkesundhed og social sikkerhed f) beskyttelse af retsvæsenets uafhængighed og retssager g) forebyggelse, efterforskning, afsløring og retsforfølgning i forbindelse med brud på etiske regler for lovregulerede erhverv h) kontrol-, tilsyns- eller reguleringsfunktioner, herunder opgaver af midlertidig karakter, der er forbundet med offentlig myndighedsudøvelse i de tilfælde, der er omhandlet i litra a)-e) og g) i) beskyttelse af den registrerede eller andres rettigheder og frihedsrettigheder j) håndhævelse af civilretlige krav. 2. Navnlig skal enhver lovgivningsmæssig foranstaltning, der er omhandlet i stk. 1, som minimum, hvor det er relevant, indeholde specifikke bestemmelser vedrørende: a) formålene med behandlingen eller kategorierne af behandling b) kategorierne af personoplysninger c) rækkevidden af de indførte begrænsninger d) garantierne for at undgå misbrug eller ulovlig adgang eller overførsel e) specifikation af den dataansvarlige eller kategorierne af dataansvarlige f) opbevaringsperioder og de gældende garantier under hensyntagen til behandlingens karakter, omfang og formål eller kategorier af behandling g) risiciene for de registreredes rettigheder og frihedsrettigheder, og h) de registreredes ret til at blive underrettet om begrænsningen, medmindre dette kan skade formålet med begrænsningen. KAPITEL IV Dataansvarlig og databehandler Afdeling 1 Generelle forpligtelser Artikel 24 Den dataansvarliges ansvar

1. Under hensyntagen til den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder gennemfører den dataansvarlige passende tekniske og organisatoriske foranstaltninger for at sikre og for at være i stand til at påvise, at behandling er i overensstemmelse med denne forordning. Disse foranstaltninger skal om nødvendigt revideres og ajourføres.
2. Hvis det står i rimeligt forhold til behandlingsaktiviteter, skal de foranstaltninger, der er omhandlet i stk. 1, omfatte den dataansvarliges implementering af passende databeskyttelsespolitikker.
3. Overholdelse af godkendte adfærdskodekser som omhandlet i artikel 40 eller godkendte certificeringsmekanismer som omhandlet i artikel 42 kan bruges som et element til at påvise overholdelse af den dataansvarliges forpligtelser. Artikel 25 Databeskyttelse gennem design og databeskyttelse gennem standardindstillinger
4. Under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder, som behandlingen indebærer, gennemfører den dataansvarlige både på tidspunktet for fastlæggelse af midlerne til behandling og på tidspunktet for selve behandlingen passende tekniske og organisatoriske foranstaltninger, såsom pseudonymisering, som er designet med henblik på effektiv implementering af databeskyttelsesprincipper, såsom dataminimering, og med henblik på integrering af de fornødne garantier i behandlingen for at opfylde kravene i denne forordning og beskytte de registreredes rettigheder.

§ 17. Bekendtgørelsen gælder ikke for Færøerne og Grønland.

Justitsministeriet /Søren Pape Poulsen / Helga Lund Laursen/

1. Europa-Parlamentets og Rådets direktiv (EU) 2016/943 ( 23 ) fastsætter, at erhvervelse, brug eller videregivelse af en forretningshemmelighed bl.a. betragtes som lovlig, hvis EU-retten eller national ret kræver eller tillader en sådan erhvervelse, brug eller videregivelse. Selv om denne forordning kræver, at dataindehavere videregiver visse data til brugere eller tredjeparter efter en brugers eget valg, selv når de pågældende data opfylder betingelserne for beskyttelse som forretningshemmeligheder, bør den fortolkes på en sådan måde, at den beskyttelse, der ydes forretningshemmeligheder i henhold til direktiv (EU) 2016/943, bevares. I denne forbindelse bør dataindehavere være i stand til at kræve, at brugere eller tredjeparter efter en brugers eget valg, skal beskytte fortroligheden af data, der betragtes som forretningshemmeligheder. Dataindehavere bør derfor identificere forretningshemmeligheder forud for videregivelsen og have mulighed for at aftale nødvendige foranstaltninger med brugere eller tredjeparter efter en brugers eget valg for at beskytte deres fortrolighed, herunder ved brug af en model for aftalevilkår, fortrolighedsaftaler, strenge adgangsprotokoller, tekniske standarder og anvendelse af adfærdskodekser. Ud over anvendelsen af den model for aftalevilkår, der skal udarbejdes og anbefales af Kommissionen, kan udarbejdelsen af adfærdskodekser og tekniske standarder vedrørende beskyttelse af forretningshemmeligheder i forbindelse med behandlingen af dataene bidrage til at nå målet med denne forordning og bør fremmes. Hvis der ikke foreligger nogen aftale om de nødvendige foranstaltninger, eller hvis en bruger eller tredjeparter efter brugerens eget valg undlader at gennemføre de aftalte foranstaltninger eller bringer fortroligheden af forretningshemmelighederne i fare, bør dataindehaveren kunne tilbageholde eller suspendere delingen af data, der er identificeret som forretningshemmeligheder. I sådanne tilfælde bør dataindehaveren uden unødigt ophold meddele brugeren eller tredjeparten beslutningen skriftligt og underrette den kompetente myndighed i den medlemsstat, hvor dataindehaveren er etableret, om, at vedkommende har tilbageholdt eller suspenderet datadeling, og udpege de foranstaltninger, der ikke er aftalt eller gennemført, og, hvis det er relevant, de forretningshemmeligheder, hvis fortrolighed er bragt i fare. Dataindehavere kan i princippet ikke afslå en anmodning om dataadgang i henhold til denne forordning udelukkende med den begrundelse, at visse data anses som en forretningshemmelighed, eftersom dette ville undergrave de tilsigtede virkninger med denne forordning. Under særlige omstændigheder bør en dataindehaver, der er en forretningshemmelighedshaver, dog fra sag til sag kunne afslå en anmodning om de pågældende specifikke data, hvis vedkommende er i stand til at påvise over for brugeren eller tredjeparten, at videregivelsen af forretningshemmeligheden på trods af tekniske og organisatoriske foranstaltninger truffet af brugeren eller af tredjeparten højst sandsynligt vil medføre alvorlig økonomisk skade. Alvorlig økonomisk skade indebærer alvorlig og uoprettelig økonomisk tab. Dataindehaveren bør uden unødigt ophold og skriftligt behørigt begrunde sit afslag over for brugeren eller tredjeparten og underrette den kompetente myndighed. En sådan begrundelse bør baseres på objektive forhold, som påviser den konkrete risiko for alvorlig økonomisk skade, der forventes at opstå som følge af en specifik videregivelse af data, og årsagerne til, at de foranstaltninger, der er truffet for at beskytte de ønskede data, ikke anses for at være tilstrækkelige. Der kan i denne forbindelse tages hensyn til en mulig negativ indvirkning på cybersikkerheden. Uden at det berører retten til prøvelse ved en medlemsstats domstol eller ret, hvor brugeren eller en tredjepart ønsker at anfægte dataindehaverens beslutning om at afslå eller om at tilbageholde eller suspendere datadeling, kan brugeren eller tredjeparten indgive en klage til den kompetente myndighed, som uden unødigt ophold bør beslutte, om og på hvilke betingelser datadeling bør påbegyndes eller genoptages, eller kan aftale med dataindehaveren at indbringe sagen for et tvistbilæggelsesorgan. Undtagelserne fra dataadgangsrettighederne i denne forordning bør under ingen omstændigheder begrænse registreredes indsigtsret og ret til dataportabilitet i henhold til forordning (EU) 2016/679.

§ 7. Data i øvrige elektroniske arkivsystemer med personoplysninger slettes, når der ikke længere er retligt eller administrativt behov for dem.

De registreredes beskyttelse mod videregivelse af oplysninger m.v.

§ 11. Bekendtgørelsen træder i kraft den 1. juli 2023. Stk. 2. Bekendtgørelse nr. 1929 af 14. december 2020 om Erhvervsstyrelsens behandling af data ophæves.