1. Ved denne forordning sikres det, at brugere af et forbundet produkt eller en relateret tjeneste i Unionen rettidigt kan få adgang til de data, der genereres ved brugen af det pågældende forbundne produkt eller den pågældende relaterede tjeneste, og at brugerne kan anvende dataene, bl.a. ved at dele dem med tredjeparter efter eget valg. Dataindehavere pålægges en forpligtelse til stille data til rådighed for brugere og tredjeparter efter brugerens valg under visse omstændigheder. Ved denne forordning sikres det også, at dataindehavere stiller data til rådighed for datamodtagere i Unionen på fair, rimelige og ikkeforskelsbehandlende vilkår og betingelser og på en gennemsigtig måde. Privatretlige regler er vigtige i den overordnede ramme for datadeling. Denne forordning tilpasser derfor aftaleretlige regler og forhindrer udnyttelse af aftalemæssige skævheder, der hindrer fair adgang til og anvendelse af data. Ved denne forordning sikres det også, at dataindehavere stiller de data, der er nødvendige for udførelsen af en specifik opgave i offentlighedens interesse, til rådighed for offentlige myndigheder, Kommissionen, Den Europæiske Centralbank eller EU-organer, hvis der er et ekstraordinært behov herfor. Desuden har denne forordning til formål at gøre det lettere at skifte mellem databehandlingstjenester og at forbedre interoperabiliteten af data og datadelingsmekanismer og -tjenester i Unionen. Denne forordning bør ikke fortolkes således, at der ved den anerkendes eller tillægges en ny ret for dataindehaverne til at anvende data, der er genereret ved brug af et forbundet produkt eller en relateret tjeneste.
2. Datagenerering er resultatet af handlinger foretaget af mindst to aktører, navnlig designeren eller producenten af et forbundet produkt, som i mange tilfælde også kan være en udbyder af relaterede tjenester, og brugeren af dette forbundne produkt eller denne relaterede tjeneste. Det giver anledning til spørgsmål om retfærdighed i den digitale økonomi, da de data, der registreres af forbundne produkter eller relaterede tjenester, er et vigtigt input i eftersalgsservice, accessoriske tjenesteydelser og andre tjenester. For at kunne udnytte de vigtige økonomiske fordele ved data, herunder ved datadeling på grundlag af frivillige aftaler og udvikling af datadrevet værdiskabelse fra EU-virksomheders side, er en generel tilgang til tildeling af rettigheder vedrørende adgang til og brug af data at foretrække frem for eksklusive adgangs- og brugsrettigheder. Denne forordning indeholder horisontelle regler, som vil kunne følges af EU-ret eller national ret, som imødegår de særlige situationer i de relevante sektorer.
3. Den grundlæggende ret til beskyttelse af personoplysninger er navnlig sikret ved Europa-Parlamentets og Rådets forordning (EU) 2016/679 ( 6 )og (EU) 2018/1725 ( 7 ). Europa-Parlamentets og Rådets direktiv 2002/58/EF ( 8 )beskytter desuden privatlivets fred og kommunikationshemmeligheden, herunder i form af betingelser for enhver form for personoplysninger og andre data end personoplysninger, der er lagret i og tilgås fra terminaludstyr. Disse lovgivningsmæssige EU-retsakter danner grundlaget for bæredygtig og ansvarlig databehandling, herunder når datasæt omfatter en blanding af personoplysninger og andre data end personoplysninger. Nærværende forordning supplerer, og berører ikke, EU-retten om beskyttelse af personoplysninger og af privatlivets fred, navnlig forordning (EU) 2016/679 og (EU) 2018/1725 og direktiv 2002/58/EF. Ingen bestemmelse i nærværende forordning bør anvendes eller fortolkes på en sådan måde, at retten til beskyttelse af personoplysninger, retten til privatlivets fred eller kommunikationshemmeligheden mindskes eller begrænses. Enhver behandling af personoplysninger i henhold til nærværende forordning bør overholde EU-retten om databeskyttelse, herunder kravet om et gyldigt retsgrundlag for behandling i henhold til artikel 6 i forordning (EU) 2016/679 og, hvor det er relevant, betingelserne i artikel 9 i nævnte forordning og i artikel 5, stk. 3, i direktiv 2002/58/EF. Nærværende forordning udgør ikke et retsgrundlag for indsamling eller generering af personoplysninger fra dataindehaverens side. Nærværende forordning pålægger dataindehavere en forpligtelse til at stille personoplysninger til rådighed for brugere eller tredjeparter efter en brugers valg på anmodning fra denne bruger. En sådan adgang bør gives til personoplysninger, der behandles af dataindehaveren på grundlag af et af de retsgrundlag, der er omhandlet i artikel 6 i forordning (EU) 2016/679. Når brugeren ikke er en registreret, skaber nærværende forordning ikke et retsgrundlag for at give adgang til personoplysninger eller for at stille personoplysninger til rådighed for en tredjepart og bør ikke forstås således, at den giver dataindehaveren nogen ny ret til at anvende personoplysninger, der er genereret ved brug af et forbundet produkt eller en relateret tjeneste. I disse tilfælde kan det være i brugerens interesse at lette opfyldelsen af kravene i artikel 6 i forordning (EU) 2016/679. Da nærværende forordning ikke bør påvirke registreredes databeskyttelsesrettigheder i negativ retning, kan dataindehaveren imødekomme anmodninger i disse tilfælde, bl.a. ved at anonymisere personoplysninger eller, hvis de let tilgængelige data indeholder personoplysninger om adskillige registrerede, ved kun at overføre personoplysninger vedrørende brugeren.

a) oplysninger om den anerkendte dataaltruistiske organisations aktiviteter b) en beskrivelse af, hvordan de almennyttige formål, som dataene er indsamlet til, er blevet fremmet i løbet af det pågældende regnskabsår c) en liste over alle fysiske og juridiske personer, der har fået tilladelse til at behandle de data, som enheden er i besiddelse af, herunder en kortfattet beskrivelse af de almennyttige formål, der forfølges med denne databehandling, og en beskrivelse af de tekniske midler, der er anvendt, bl.a. en beskrivelse af de teknikker, der anvendes til beskyttelse af privatlivets fred og databeskyttelse d) en sammenfatning af resultaterne af den databehandling, som den anerkendte dataaltruistiske organisation har givet tilladelse til, hvis det er relevant e) oplysninger om den anerkendte dataaltruistiske organisations indtægtskilder, navnlig alle indtægter, der genereres af adgangen til data, og om udgifter. Artikel 21 Særlige krav til beskyttelse af registreredes og dataindehaveres rettigheder og interesser for så vidt angår deres data

1. Anerkendte dataaltruistiske organisationer, oplyser de registrerede eller dataindehaverne på en klar og letforståelig måde forud for enhver behandling af deres data om: a) de almennyttige formål og, hvis det er relevant, det specifikke, eksplicitte og legitime formål, hvortil personoplysninger skal behandles, og til hvilke den tillader, at en databruger behandler deres data, b) beliggenheden og de almennyttige formål, hvortil den tillader eventuel behandling foretaget i et tredjeland, hvis behandlingen foretages af den anerkendte dataaltruistiske organisation.
2. Den anerkendte dataaltruistiske organisation anvender ikke dataene til andre formål end de almennyttige formål, til hvilke den registrerede eller dataindehaveren tillader behandlingen. Den anerkendte dataaltruistiske organisation anvender ikke vildledende markedsføringspraksis til at opfordre til at levere data.
3. Den anerkendte dataaltruistiske organisation skal sørge for værktøjer til indhentning af samtykke fra registrerede eller tilladelser til at behandle data, der stilles til rådighed af dataindehavere. Den anerkendte dataaltruistiske organisation skal også sørge for værktøjer, der gør det let at trække et sådant samtykke eller en sådan tilladelse tilbage.
4. Den anerkendte dataaltruistiske organisation træffer foranstaltninger til at sikre et passende sikkerhedsniveau for lagring og behandling af andre data end personoplysninger, som den har indsamlet baseret på dataaltruisme.
5. Den anerkendte dataaltruistiske organisation oplyser uden ophold dataindehaverne i tilfælde af enhver uautoriseret videregivelse, adgang eller brug af de andre data end personoplysninger, som denne har delt.
6. Hvis den anerkendte dataaltruistiske organisation fremmer tredjeparters databehandling herunder ved at sørge for værktøjer til indhentning af samtykke fra registrerede eller af tilladelser til at behandle data, der stilles til rådighed af dataindehavere, angiver enheden, hvis det er relevant, tredjelandsjurisdiktionen, hvor dataanvendelsen efter planen skal finde sted.

§ 17. (Udelades)

Artikel 11 Behandling, der ikke kræver identifikation

1. Hvis formålene med en dataansvarligs behandling af personoplysninger ikke kræver eller ikke længere kræver, at den registrerede kan identificeres af den dataansvarlige, er den dataansvarlige ikke forpligtet til at beholde, indhente eller behandle yderligere oplysninger for at kunne identificere den registrerede alene med det formål at overholde denne forordning.
2. Hvis den dataansvarlige i tilfælde, der er omhandlet i denne artikels stk. 1, kan påvise, at vedkommende ikke kan identificere den registrerede, underretter den dataansvarlige den registrerede herom, hvis det er muligt. I sådanne tilfælde finder artikel 15-20 ikke anvendelse, medmindre den registrerede for at udøve sine rettigheder i henhold til disse artikler giver yderligere oplysninger, der gør det muligt at identificere den pågældende. KAPITEL III Den registreredes rettigheder Afdeling 1 Gennemsigtighed og nærmere regler Artikel 12 Gennemsigtig oplysning, meddelelser og nærmere regler for udøvelsen af den registreredes rettigheder
3. Den dataansvarlige træffer passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 13 og 14 og enhver meddelelse i henhold til artikel 15-22 og 34 om behandling til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, navnlig når oplysninger specifikt er rettet mod et barn. Oplysningerne gives skriftligt eller med andre midler, herunder, hvis det er hensigtsmæssigt, elektronisk. Når den registrerede anmoder om det, kan oplysningerne gives mundtligt, forudsat at den registreredes identitet godtgøres med andre midler.
4. Den dataansvarlige letter udøvelsen af den registreredes rettigheder i henhold til artikel 15-22. I de tilfælde, der er omhandlet i artikel 11, stk. 2, må den dataansvarlige ikke afvise at efterkomme den registreredes anmodning om at udøve sine rettigheder i henhold til artikel 15-22, medmindre den dataansvarlige påviser, at vedkommende ikke er i stand til at identificere den registrerede.
5. Den dataansvarlige oplyser uden unødig forsinkelse og i alle tilfælde senest en måned efter modtagelsen af anmodningen den registrerede om foranstaltninger, der træffes på baggrund af en anmodning i henhold til artikel 15-22. Denne periode kan forlænges med to måneder, hvis det er nødvendigt, under hensyntagen til anmodningernes kompleksitet og antal. Den dataansvarlige underretter den registrerede om enhver sådan forlængelse senest en måned efter modtagelsen af anmodningen sammen med begrundelsen for forsinkelsen. Hvis den registrerede indgiver en anmodning elektronisk, meddeles oplysningerne så vidt muligt elektronisk, medmindre den registrerede anmoder om andet.
6. Hvis den dataansvarlige ikke træffer foranstaltninger i anledning af den registreredes anmodning, underretter den dataansvarlige straks og senest en måned efter modtagelsen af anmodningen den registrerede om årsagen hertil og om muligheden for at indgive en klage til en tilsynsmyndighed og indbringe sagen for en retsinstans.

§ 4. I lov om Politiets Efterretningstjeneste (PET), jf. lovbekendtgørelse nr. 231 af 7. marts 2017, foretages følgende ændringer:

1. Overalt i loven ændres »§ 7, stk. 2, og § 8, stk. 2,« til: »§ 7, stk. 1, og § 8, stk. 1,«.
2. Efter § 6 indsættes i kapitel 5: »§ 6 a. Oplysninger skal behandles i overensstemmelse med god databehandlingsskik. Stk. 2. Behandling af oplysninger skal ske til udtrykkeligt angivne og saglige formål, og senere behandling må ikke være uforenelig med disse formål. Senere behandling af oplysninger, der alene sker i historisk, statistisk eller videnskabeligt øjemed, anses ikke for uforenelig med de formål, hvortil oplysningerne er indsamlet. Stk. 3. Oplysninger, som behandles, skal være relevante og tilstrækkelige og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne senere behandles. Stk. 4. Behandling af oplysninger skal tilrettelægges således, at der foretages fornøden ajourføring af oplysningerne. Der skal endvidere foretages den fornødne kontrol for at sikre, at der ikke behandles urigtige eller vildledende oplysninger. Oplysninger, der viser sig urigtige eller vildledende, skal snarest muligt slettes eller berigtiges. Stk. 5. Oplysninger, som behandles, må ikke opbevares på en måde, der giver mulighed for at identificere den registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil oplysningerne behandles. Stk. 6. Politiets Efterretningstjeneste kan behandle oplysninger om personnummer med henblik på en entydig identifikation eller som journalnummer. Stk. 7. Oplysninger, der er omfattet af denne lov, kan overføres til opbevaring i arkiv efter reglerne i arkivlovgivningen.«
3. § 7, stk. 1, ophæves. Stk. 2 og 3 bliver herefter stk. 1 og 2.
4. § 8, stk. 1, ophæves. Stk. 2 og 3 bliver herefter stk. 1 og 2.
5. I § 9 a, stk. 1, 1. pkt., ændres »§ 7, stk. 3, eller § 8, stk. 3,« til: »§ 7, stk. 2, eller § 8, stk. 2,«.
6. I § 9 a, stk. 2, ændres »§§ 7-9« til: »§§ 6 a-9«.
7. I § 10, stk. 2, 1. pkt., ændres »§ 7« til: »§§ 6 a og 7«.
8. I § 10, stk. 2, 2. pkt., ændres »lov om behandling af personoplysninger anvendelse, hvis den i 1. pkt. nævnte videregivelse vedrører personoplysninger som nævnt i § 7, stk. 1, og § 8, stk. 1, i lov om behandling af personoplysninger« til: »databeskyttelsesloven anvendelse, hvis den videregivelse, der er nævnt i 1. pkt., vedrører oplysninger om rent private forhold«.
9. I § 10, stk. 3, ændres »§ 8« til: »§ 6 a, stk. 1-5 og 7, og § 8«.
10. I § 14, stk. 1, 4. pkt., ændres »og fra lov om behandling af personoplysninger, jf. § 2, stk. 11, i lov om behandling af personoplysninger« til: », fra databeskyttelsesloven og Europa-Parlamentets og Rådets forordning nr. 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger, jf. § 3, stk. 2, i databeskyttelsesloven, og fra lov om retshåndhævende myndigheders behandling af personoplysninger, jf. § 1, stk. 2, i lov om retshåndhævende myndigheders behandling af personoplysninger«.

BEK nr 1117 af 01/07/2020 I medfør af § 1, stk. 5, i lov nr. 438 af 8. maj 2018 om Erhvervsstyrelsens behandling af data fastsættes:

§ 17 finder ikke anvendelse på data, der er deponeret på fiktive angrebsmål efter § 6 b eller modtaget via infrastruktur omfattet af § 6 c, såfremt Center for Cybersikkerhed ikke udtager disse data til nærmere vurdering. Disse data slettes hurtigst muligt. Udtager Center for Cybersikkerhed data til nærmere vurdering, skal sletning ske efter reglerne i § 17.« 8. I § 20 indsættes efter »kapitel 4,«: »4 a,«. 9. Efter kapitel 9 indsættes: »Kapitel 9 a Straffebestemmelser m.v. § 24 a. Med bøde straffes, medmindre strengere straf er forskyldt efter den øvrige lovgivning, den, der undlader at efterkomme et pålæg efter § 7 b, stk. 2. Stk. 2. I regler, der udfærdiges i medfør af § 3, stk. 5, 2. pkt., kan der fastsættes straf i form af bøde for overtrædelse af bestemmelserne i reglerne. Stk. 3. Der kan pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens 5. kapitel.«

§ 17. Data, der er omfattet af kapitel 4, slettes, når formålet med behandlingen er opfyldt. Stk. 2. Uanset at formålet med behandlingen ikke er opfyldt, jf. stk. 1, må

1. data, der knytter sig til en sikkerhedshændelse, højst opbevares i 5 år,
2. data, der ikke knytter sig til en sikkerhedshændelse, men som stammer fra myndigheder, som i særlig grad beskæftiger sig med udenrigs-, sikkerheds- og forsvarspolitiske forhold, samt virksomheder og organisationer, hvis aktiviteter har særlig betydning for disse forhold, højst opbevares i 3 år og
3. øvrige data, der ikke knytter sig til en sikkerhedshændelse, højst opbevares i 13 måneder. Stk. 3. Fristerne i stk. 2 regnes fra tidspunktet for Center for Cybersikkerheds registrering af de pågældende data. Stk. 4. Center for Cybersikkerhed kan opbevare backup af data i op til 4 måneder efter udløb af fristerne i stk. 1 og 2. Ved indlæsning af data fra backup skal Center for Cybersikkerhed sikre, at data, der tidligere er slettet efter stk. 1 eller 2, straks slettes igen. Stk. 5. Er data i medfør af § 16 videregivet til andre end den myndighed eller virksomhed, som data hidrører fra, finder stk. 1 og 2 ikke anvendelse på disse data. Stk. 6. I data, som Center for Cybersikkerhed får adgang til som led i forebyggende sikkerhedstekniske undersøgelser efter § 6 a, skal personoplysninger, der er indeholdt i disse data, endvidere slettes eller anonymiseres, når den sikkerhedstekniske undersøgelse er afsluttet. Konstaterer Center for Cybersikkerhed, at der i de pågældende data er indeholdt følsomme personoplysninger, skal disse slettes uden unødigt ophold. Stk. 7. Sletning efter fristerne i stk. 2, nr. 2 og 3, kan i helt særlige tilfælde kortvarigt suspenderes, hvis væsentlige hensyn til varetagelsen af Center for Cybersikkerheds opgaver gør det nødvendigt. Tilsynet med Efterretningstjenesterne skal straks underrettes om suspension efter 1. pkt. og om baggrunden for suspensionen.