EUROPA-KOMMISSIONEN Bruxelles, den 29.5.2019 COM(2019) 250 final MEDDELELSE FRA KOMMISSIONEN TIL EUROPA-PARLAMENTET OG RÅDET EMPTY Vejledning vedrørende forordningen om en ramme for fri udveksling af andre data end personoplysninger i Den Europæiske Union



Indhold 1 Indledning Formålet med retningslinjerne 2 Samspillet mellem forordningen om fri udveksling af andre data end personoplysninger og den generelle forordning om databeskyttelse — blandede datasæt 2.1 Begrebet "andre data end personoplysninger" i henhold til forordningen om fri udveksling af andre data end personoplysninger Personoplysninger Andre data end personoplysninger 2.2 Blandede datasæt 3 Fri udveksling af oplysninger og fjernelse af dataplaceringskrav 3.1 Fri udveksling af andre data end personoplysninger 3.2 Fri udveksling af personoplysninger 3.3 Anvendelsesområde for forordningen om fri udveksling af andre data end personoplysninger 3.4 Aktiviteter vedrørende medlemsstaternes interne organisation 4 Selvreguleringstilgange til støtte for den frie udveksling af oplysninger 4.1 Dataportering og skift mellem cloudtjenesteleverandører Portabilitetsbegrebet og samspillet med den generelle forordning om databeskyttelse 4.2 Adfærdskodekser og certificeringsordninger for beskyttelse af personoplysninger 4.3 Styrket tillid til grænseoverskridende databehandling — sikkerhedscertificering Afsluttende bemærkninger

Dette dokument stilles til rådighed af Kommissionen udelukkende til orientering. Det indeholder ikke en autoritativ fortolkning af Europa-Parlamentets og Rådets forordning (EU) 2018/1807 af 14. november 2018 om en ramme for fri udveksling af andre data end personoplysninger i Den Europæiske Union og udgør ikke en afgørelse eller udtalelse vedtaget af Kommissionen. Det berører hverken eventuelle afgørelser eller udtalelser vedtaget af Kommissionen eller Domstolens kompetence til at fortolke forordningen i overensstemmelse med EU-traktaterne.



1 Indledning Vi befinder os i en tid, hvor økonomien i stadig højere grad styres af data, hvorfor fokus for virksomhedsprocesserne i virksomheder af enhver størrelse og inden for alle sektorer ligger på overførslen af oplysninger. Nye digitale teknologier skaber nye muligheder for den brede offentlighed, virksomheder og offentlige myndigheder i EU. Europa-Parlamentet og Rådet vedtog i november 2018 forordning (EU) 2018/1807 om en ramme for fri udveksling af andre data end personoplysninger i Den Europæiske Union ("forordning om fri udveksling af andre data end personoplysninger") på grundlag af et forslag fra Kommissionen. Formålet var at øge den grænseoverskridende udveksling af oplysninger og styrke dataøkonomien. Forordningen anvendes fra den 28. maj 2019. Princippet om fri udveksling af personoplysninger er allerede fastlagt i forordning (EU) 2016/679 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse). Der findes således i dag en omfattende ramme for et fælles europæisk dataområde og fri udveksling af alle oplysninger inden for EU. Forordningen om fri udveksling af andre data end personoplysninger skaber retssikkerhed for virksomhederne med hensyn til behandling af deres oplysninger på et hvilket som helst sted i EU, højner tilliden til databehandlingstjenesterne og modvirker leverandørfastlåsning. Herved øges forbrugernes valgfrihed, effektiviteten højnes, og indførelsen af cloudteknologier fremmes. Dette fører betydelige besparelser med sig for virksomheder i EU. Ifølge en undersøgelse kan virksomhederne i EU nedbringe deres IT-udgifter med 20‑50 % ved at migrere data til skyen. De to forordninger har betydet, at oplysninger i dag kan overføres frit mellem medlemsstaterne, hvilket gør det muligt for brugere af databehandlingstjenester at udnytte de oplysninger, der er indsamlet på forskellige EU-markeder, med henblik på at forbedre deres produktivitet og konkurrenceevne. Derfor vil brugerne kunne drage fuld nytte af de stordriftsfordele, som det store EU-marked fører med sig, idet deres globale konkurrenceevne styrkes, og sammenkoblingen af den europæiske dataøkonomi forbedres. Forordningen om fri udveksling af andre data end personoplysninger omfatter tre nøgleelementer: ·Medlemsstaterne må som udgangspunkt ikke pålægge krav, hvad angår oplysningernes placering. Undtagelser fra denne regel gives i henhold til proportionalitetsprincippet udelukkende af hensyn til den offentlige sikkerhed. ·Der oprettes en samarbejdsmekanisme til sikring af, at de kompetente myndigheder fortsat kan gøre deres rettigheder gældende, hvad angår adgangen til de oplysninger, der behandles i en anden medlemsstat. ·Der skabes incitamenter for industrien — med støtte fra Kommissionen — til at udarbejde adfærdskodekser for selvregulering i forbindelse med tjenesteleverandørskift og dataportering. Formålet med retningslinjerne Retningslinjerne er i overensstemmelse med artikel 8, stk. 3, i forordningen om fri udveksling af andre data end personoplysninger, i henhold til hvilken Kommissionen skal offentliggøre retningslinjer om samspillet mellem denne forordning og den generelle forordning om databeskyttelse "med hensyn til datasæt bestående af både personoplysninger og andre data end personoplysninger". Retningslinjerne skal gøre det lettere for brugerne — især små og mellemstore virksomheder — at forstå samspillet mellem forordningen om fri udveksling af andre data end personoplysninger og den generelle forordning om databeskyttelse. De har derfor navnlig fokus på: i) begreberne andre data end personoplysninger og personoplysninger ii) principperne for fri udveksling af oplysninger og forbuddet mod datalokaliseringskrav i henhold til begge forordninger og iii) begrebet dataportabilitet i henhold til forordningen om fri udveksling af andre data end personoplysninger. Retningslinjerne vedrører derudover selvreguleringskravene som fastsat i begge forordninger. Forordningen om fri udveksling af andre data end personoplysninger vedrører udelukkende "andre data end personoplysninger" som defineret i den generelle forordning om databeskyttelse. Den generelle forordning om databeskyttelse regulerer behandlingen af personoplysninger, som er en væsentlig del af EU's databeskyttelsesramme. Forordningen trådte i kraft i medlemsstaterne den 25. maj 2018. Forordningen indeholder harmoniserede bestemmelser til beskyttelse af personer i EU/EØS, hvad angår behandlingen af deres personoplysninger og den frie udveksling af disse oplysninger. Den generelle forordning om databeskyttelse: i) definerer personoplysninger ii) fastlægger retsgrundlaget for deres behandling og iii) fastsætter de rettigheder og forpligtelser, der gælder ved behandlingen af disse oplysninger — for blot at nævne nogle få af forordningens bestemmelser. Med hensyn til princippet om fri udveksling af personoplysninger gælder følgende i henhold til artikel 1, stk. 3, i den generelle forordning om databeskyttelse: "Den frie udveksling af personoplysninger i Unionen må hverken indskrænkes eller forbydes af grunde, der vedrører beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger." I den virkelige verden består datasæt som oftest både af personoplysninger og andre data end personoplysninger. Dette benævnes typisk "blandede datasæt". I afsnit 2.2 nedenfor uddybes samspillet mellem forordningen om fri udveksling af andre data end personoplysninger og den generelle forordning om databeskyttelse med hensyn til blandede datasæt. Af præciseringshensyn finder der ingen kontradiktoriske forpligtelser anvendelse i henhold til den generelle forordning om databeskyttelse og forordningen om fri udveksling af andre data end personoplysninger. 2 Samspillet mellem forordningen om fri udveksling af andre data end personoplysninger og den generelle forordning om databeskyttelse — blandede datasæt 2.1 Begrebet "andre data end personoplysninger" i henhold til forordningen om fri udveksling af andre data end personoplysninger

Forordningen om fri udveksling af andre data end personoplysninger har til formål at sikre den frie udveksling af andre data end personoplysninger. I forordningen henvises der gennem hele teksten til begrebet "data", som i henhold til artikel 4, stk. 1, i forordning (EU) 2016/679 (den generelle forordning om databeskyttelse) skal forstås som andre data end personoplysninger. Disse data, som også i dette dokument angives som "andre data end personoplysninger", er det modsatte af personoplysninger i henhold til den generelle forordning om databeskyttelse. Personoplysninger I henhold til den generelle forordning om databeskyttelse er "personoplysninger" "enhver form for information om en identificeret eller identificerbar fysisk person ("den registrerede"); ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en onlineidentifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet." Den brede definition af personoplysninger er tilsigtet og er i det væsentlige forblevet uændret i den generelle forordning om databeskyttelse i forhold til den tidligere lovgivning. Forskellige aspekter af definitionen af personoplysninger, såsom "enhver form for information", "om" eller "identificeret eller identificerbar", er allerede blevet behandlet af Artikel 29-Gruppen i dens udtalelse 4/2007 om begrebet personoplysninger af 20. juni 2007, WP 136. Inden for områder såsom forskning er det almindelig praksis at pseudonymisere personoplysninger for at skjule en persons identitet. Ved pseudonymisering behandles personoplysninger på en sådan måde, at personoplysningerne ikke længere kan henføres til en bestemt person uden brug af supplerende oplysninger. Disse supplerende oplysninger opbevares separat og er underlagt tekniske og organisatoriske foranstaltninger (f.eks. kryptering),. Ikke desto mindre anses pseudonymiserede oplysninger stadig som oplysninger om en identificerbar person, hvis de kan henføres til denne person ved brug af supplerende oplysninger. Disse data er i henhold til den generelle forordning om databeskyttelse personoplysninger. Andre data end personoplysninger Hvis dataene ikke er "personoplysninger" i henhold til den generelle forordning om databeskyttelse, er der tale om andre data end personoplysninger. Andre data end personoplysninger kan kategoriseres efter deres oprindelse: ·for det første som oplysninger, der oprindeligt ikke vedrørte en identificeret eller identificerbar fysisk person, herunder oplysninger om vejrforhold genereret af følere, der er installeret på vindmøller, eller oplysninger vedrørende industrielle maskiners vedligeholdelsesbehov ·for det andet som oplysninger, der oprindeligt var personoplysninger, men som senere blev anonymiserede. "Anonymiseringen" af personoplysninger adskiller sig fra pseudonymiseringen (se ovenfor), da oplysninger, der er anonymiseret korrekt, ikke kan henføres til en bestemt person — selv med brug af supplerende oplysninger — og er dermed andre data end personoplysninger. Vurderingen af, hvorvidt oplysningerne er anonymiseret korrekt, afhænger af de specifikke og unikke forhold, der gør sig gældende for det enkelte tilfælde. Der er fundet flere eksempler, hvor datasæt, der angiveligt blev anonymiseret, alligevel blev identificeret, hvorfor en sådan evaluering kan være udfordrende. For at finde ud af, om en person er identificerbar, skal der ses på alle de midler, en dataansvarlig eller anden person med rimelighed må antages at benytte sig af for at identificere en person direkte eller indirekte. Eksempler på andre data end personoplysninger: ·Oplysninger, der aggregeres, således at det ikke længere er muligt at identificere individuelle hændelser (herunder en persons individuelle rejser til udlandet eller rejsemønstre, der ville kunne udgøre personoplysninger), kan betegnes som anonymiserede data. De anonyme oplysninger bruges eksempelvis til statistiske formål eller i salgsrapporter (blandt andet for at vurdere et produkts popularitet og dets egenskaber). ·Oplysninger om højfrekvenshandel inden for finanssektoren eller oplysninger om præcisionsdyrkning, der bruges som hjælp ved overvågning og optimering af brugen af pesticider, næringsstoffer og vand. Hvis de andre data, der ikke er personoplysninger, på nogen som helst måde alligevel kan sættes i forbindelse med en person, således at denne enten direkte eller indirekte bliver identificerbar, skal oplysningerne betragtes som personoplysninger. Hvis en kvalitetskontrolrapport for en produktionslinje eksempelvis gør det muligt at sætte oplysningerne i forbindelse med de specifikke fabriksarbejdere (f.eks. de medarbejdere, der står for indstillingen af produktionsparametre), betragtes oplysningerne som personoplysninger. I dette tilfælde finder den generelle forordning om databeskyttelse anvendelse. Det samme gælder, hvis det grundet teknologiske og dataanalytiske udviklinger bliver muligt at konvertere anonymiserede oplysninger til personoplysninger. I definitionen af personoplysninger henvises der til "fysiske personer", og derfor udgør datasæt bestående af navne og kontaktoplysninger på juridiske personer i princippet andre data end personoplysninger. I visse situationer kan der dog være tale om personoplysninger. Det er eksempelvis tilfældet, når navnet på den juridiske person svarer til den fysiske persons navn, når denne person er ejeren, eller oplysningerne vedrører en identificeret eller identificerbar fysisk person. 2.2 Blandede datasæt Forordningen om fri udveksling af andre data end personoplysninger og den generelle forordning om databeskyttelse har forskellige tilgange til den frie udveksling af oplysninger i EU.

I henhold til forordningen om fri udveksling af andre data end personoplysninger gælder der et generelt forbud mod dataplaceringskrav for andre data end personoplysninger. I henhold til artikel 4, stk. 1, i forordningen er dataplaceringskrav forbudt, medmindre de er begrundet i hensynet til den offentlige sikkerhed og i overensstemmelse med proportionalitetsprincippet. Den generelle forordning om databeskyttelse sikrer — foruden en høj beskyttelsesgrad af personoplysninger — også den frie udveksling af personoplysninger. I henhold til forordningens artikel 1, stk. 3, må den frie udveksling af personoplysninger i EU "hverken indskrænkes eller forbydes af grunde, der vedrører beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger". De to forordninger sikrer således den frie udveksling af "alle" oplysninger i EU. I afsnit 3.1 og 3.2 gennemgås de specifikke bestemmelser yderligere. Et blandet datasæt består af både personoplysninger og andre data end personoplysninger. De blandede datasæt udgør størstedelen af de datasæt, der anvendes inden for dataøkonomien, og er ret almindelige, da de tekniske udviklinger såsom tingenes internet (dvs. genstande til digital forbindelse), kunstig intelligens og teknologier, der muliggør big data-analyser. Eksempler på blandede datasæt: ·en virksomheds skatteopgørelse, hvoraf virksomhedsdirektørens navn og telefonnummer fremgår ·datasæt i en bank, navnlig indeholdende kundeoplysninger og transaktionsoplysninger, herunder betalingstjenester (kredit- og debetkort), applikationer til forvaltning af partnerrelationer samt låneaftaler, dokumenter med blandede oplysninger om fysiske og juridiske personer ·et forskningsinstituts anonymiserede statistiske data og de originale data, der oprindeligt blev indsamlet, herunder besvarelser fra individuelle respondenter på spørgsmål i statistiske rundspørger ·en virksomheds videndatabase over IT-problemer og løsninger heraf baseret på individuelle IT-hændelsesrapporter ·data forbundet med tingenes internet, når der ud fra nogle af disse data kan gøres antagelser vedrørende identificerbare personer (f.eks. tilstedeværelse på en specifik adresse og brugsmønstre) samt ·analyser af driftslogdata vedrørende produktionsudstyr inden for produktionsindustrien. Eksempel: tjenester til forvaltning af kunderelationer Nogle banker benytter sig af tjenester til forvaltning af kunderelationer (customer relationship management, CRM), der udbydes af tredjeparter. Kundeoplysningerne skal i den forbindelse offentliggøres i CRM-miljøet. De oplysninger, der registreres i CRM-tjenesten, omfatter alle de oplysninger, der kræves for effektivt at kunne forvalte interaktionen med kunden, herunder deres post- og e-mailadresse, deres telefonnummer, de varer og tjenesteydelser, de køber, samt salgsrapporter, herunder aggregerede data. Disse data kan derfor både omfatte personoplysninger og andre data end personoplysninger. I forordningen om fri udveksling af andre data end personoplysninger lyder det i forbindelse med blandede datasæt: "I tilfælde af datasæt bestående af både personoplysninger og andre data end personoplysninger finder denne forordning anvendelse på den del af sættet, der omfatter andre data end personoplysninger. Når personoplysninger og andre data end personoplysninger i et datasæt er knyttet uløseligt sammen, berører nærværende forordning ikke anvendelsen af forordning (EU) 2016/679." I tilfælde af et datasæt bestående af både personoplysninger og andre data end personoplysninger betyder det, at: ·forordningen om fri udveksling af andre data end personoplysninger finder anvendelse på den del af sættet, der omfatter andre data end personoplysninger ·bestemmelsen om fri udveksling i den generelle forordning om databeskyttelse finder anvendelse på den del af sættet, der omfatter personoplysninger, samt ·hvis den del, der omfatter andre data end personoplysninger, og de dele, der omfatter personoplysninger, "er knyttet uløseligt sammen", finder databeskyttelsesrettighederne og -forpligtelserne i henhold til den generelle forordning om databeskyttelse fuld anvendelse på det samlede blandede datasæt — dette gælder også, selv om personoplysningerne kun udgør en lille del af datasættet. Fortolkningen er i overensstemmelse med retten til beskyttelse af personoplysninger i henhold til Den Europæiske Unions charter om grundlæggende rettigheder og betragtning 8 i forordningen om fri udveksling af andre data end personoplysninger. I henhold til betragtning 8 heri gælder følgende: "De retlige rammer for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger ..., navnlig [den generelle forordning om databeskyttelse] samt Europa-Parlamentets og Rådets direktiv (EU) 2016/680 og 2002/58/EF berøres ikke af nærværende forordning."

Et praktisk eksempel: En virksomhed med aktiviteter i EU tilbyder sine tjenester via en platform. Virksomheder (kunder) uploader deres dokumenter indeholdende blandede datasæt til platformen. Som dataansvarlig skal den virksomhed, der uploader dokumenterne, sikre, at behandlingen er i overensstemmelse med den generelle forordning om databeskyttelse. Ved at behandle datasættet på vegne af den dataansvarlige skal den virksomhed, der tilbyder tjenesterne (databehandleren), gemme eller behandle oplysningerne i overensstemmelse med den generelle forordning om databeskyttelse, eksempelvis for at sikre et passende sikkerhedsniveau for oplysningerne, herunder gennem kryptering. Ordlyden "knyttet uløseligt sammen" defineres ikke i nogen af de to forordninger. Af praktiske hensyn kan dette henvise til en situation, hvor et datasæt omfatter personoplysninger og andre data end personoplysninger, men en adskillelse heraf ville være umulig eller af den dataansvarlige anses som økonomisk ineffektiv eller teknisk umulig. Når virksomheden eksempelvis køber CRM- og salgsrapportsystemer, vil den skulle fordoble sine udgifter til software, idet den skal købe separat software til CRM- (personoplysninger) og salgsrapportsystemerne (aggregerede data/andre data end personoplysninger) baseret på CRM-dataene. En adskillelse af datasættet ville også muligvis medføre en betydelig nedgang i datasættets værdi. Derudover betyder dataenes ændrede form (se afsnit 2.1), at det bliver mere besværligt at skelne klart mellem og således adskille de forskellige datakategorier. Der er væsentligt, at ingen af de to forordninger forpligter virksomheder til at adskille de datasæt, de er ansvarlige for eller behandler. Et blandet datasæt er således generelt underlagt forpligtelser fra de dataansvarliges og databehandlernes side og skal respektere de registreredes rettigheder i henhold til den generelle forordning om databeskyttelse. Behandling af helbredsoplysninger Der kan indgå helbredsoplysninger i et blandet datasæt. Eksempler herpå er elektroniske helbredsjournaler, kliniske forsøg eller sæt bestående af data som indsamlet af diverse mobilapplikationer på sundheds- og velværeområdet (herunder applikationer til måling af vores sundhedstilstand for at minde os om at tage vores medicin eller registrere vores fysiske fremskridt). I takt med de teknologiske udviklinger bliver det stadig vanskeligere at adskille personoplysninger fra andre data end personoplysninger i disse datasæt. Behandlingen heraf skal således være i overensstemmelse med den generelle forordning om databeskyttelse, navnlig (set i lyset af at helbredsoplysninger i henhold til forordningen udgør en særlig kategori af data) artikel 9, i henhold til hvilken der gælder et generelt forbud mod at behandle særlige kategorier af data og undtagelser fra dette forbud. Oplysningerne i de blandede datasæt, der omfatter helbredsoplysninger, kan være en værdifuld informationskilde, f.eks. i forbindelse med yderligere medicinsk forskning, til måling af bivirkningerne af receptpligtig medicin, til sygdomsrelaterede statistiske formål eller til udvikling af nye sundhedsplejetjenester eller behandlinger. Den generelle forordning om databeskyttelse skal dog overholdes ved udførelsen af oprindelig og yderligere databehandling. Derfor skal denne behandling af helbredsoplysninger være baseret på et gyldigt retsgrundlag og en passende dokumentation, være sikker og tilvejebringe tilstrækkelige garantier. Endelig skal databehandlingen være forbundet med retssikkerhed og tillid for personer og virksomheder. Dette er også helt afgørende for dataøkonomien. Dette sikres med de to forordninger, som begge har til formål ikke at ændre ved den frie udveksling af oplysninger. 3 Fri udveksling af oplysninger og fjernelse af dataplaceringskrav I dette afsnit forklares begrebet dataplaceringskrav i henhold til forordningen om fri udveksling af andre data end personoplysninger og princippet om fri udveksling i den generelle forordning om databeskyttelse mere specifikt. På trods af at disse bestemmelser er målrettet medlemsstaterne, kan de give virksomhederne en bedre forståelse af, hvordan de to forordninger bidrager til den frie udveksling af alle oplysninger i EU. 3.1 Fri udveksling af andre data end personoplysninger I henhold til forordningen om fri udveksling af andre data end personoplysninger er dataplaceringskrav "forbudt, medmindre de er begrundet i hensynet til den offentlige sikkerhed og i overensstemmelse med proportionalitetsprincippet." Dataplaceringskrav defineres som "enhver forpligtelse, betingelse og begrænsning og ethvert forbud eller andet krav, der er fastsat i en medlemsstats love og administrative bestemmelser, eller som følger af almen og fast administrativ praksis i en medlemsstat og i offentligretlige organer, herunder inden for offentlige udbud, uden at dette berører direktiv 2014/24/EU, og som indebærer, at databehandling skal finde sted i en bestemt medlemsstat, eller forhindrer databehandling i enhver anden medlemsstat." Definitionen illustrerer, at der findes forskellige former for foranstaltninger, der begrænser den frie udveksling af oplysninger i EU. Disse kan være fastlagt i lovgivning, administrative regulativer og bestemmelser eller bygge på almen og fast administrativ praksis. Forbuddet mod dataplaceringskrav gælder desuden både for direkte og indirekte foranstaltninger, der begrænser den frie udveksling af andre data end personoplysninger. Direkte dataplaceringskrav kan eksempelvis omfatte en forpligtelse til at gemme oplysninger et bestemt geografisk sted (f.eks. skal servere befinde sig i en specifik medlemsstat) eller en forpligtelse til at opfylde unikke nationale tekniske krav (f.eks. skal oplysningerne have specifikke nationale formater). Indirekte dataplaceringskrav, der forhindrer behandlingen af andre data end personoplysninger i en anden medlemsstat, kan have forskellige former. Disse omfatter eventuelt krav om brug af teknologiske faciliteter, der er certificeret eller godkendt i en bestemt medlemsstat, eller andre krav, der har den virkning, at det bliver sværere at behandle oplysninger uden for et specifikt geografisk område eller territorium i EU,. Ved vurderingen af, hvorvidt en bestemt foranstaltning udgør et indirekte dataplaceringskrav, skal der tages højde for det særlige forhold, der gør sig gældende for det specifikke tilfælde. I forordningen om fri udveksling af andre data end personoplysninger henvises der til begrebet offentlig sikkerhed som anført i Domstolens retspraksis. Offentlig sikkerhed "omfatter både den interne og eksterne sikkerhed i en medlemsstat samt spørgsmål vedrørende offentlig tryghed med henblik på navnlig at fremme efterforskning, afsløring og retsforfølgelse af strafbare handlinger. Det forudsætter, at der foreligger en reel og tilstrækkelig alvorlig trussel, der påvirker en af de grundlæggende samfundsinteresser såsom en trussel for driften af institutionerne og de livsvigtige offentlige tjenester og for befolkningens overlevelse samt risikoen for en alvorlig forstyrrelse af de internationale relationer eller af nationers fredelige sameksistens, eller en trussel mod militære interesser."

Derudover skal alle dataplaceringskrav, der begrundes i den offentlige sikkerhed, være i overensstemmelse med proportionalitetsprincippet, i henhold til hvilket de vedtagne foranstaltninger i overensstemmelse med Domstolens retspraksis kan sikre, at det forfulgte mål bliver opfyldt og ikke går videre, end hvad der kræves i forhold til formålet. Af præciseringshensyn berører forbuddet mod dataplaceringskrav ikke de eksisterende begrænsninger som fastsat i EU-lovgivningen. Forordningen om fri udveksling af andre data end personoplysninger pålægger endvidere ikke virksomhederne forpligtelser, og den begrænser heller ikke deres kontraktfrihed vedrørende beslutningen om, hvor deres oplysninger skal behandles. Medlemsstaterne skal gøre de nærmere oplysninger om eventuelle dataplaceringskrav, som er gældende på deres område, offentligt tilgængelige via et nationalt centralt onlineinformationssted (nationale websteder). De skal ajourføre dette eller indgive ajourførte oplysninger om sådanne dataplaceringskrav til et centralt informationssted, som er oprettet i henhold til en anden EU-retsakt. Som hjælp for virksomhederne og for at sikre nem adgang til relevante oplysninger i hele EU offentliggør Kommissionen links til disse informationssteder på Dit Europa-portalen. 3.2 Fri udveksling af personoplysninger I den generelle forordning om databeskyttelse er følgende fastsat: "Den frie udveksling af personoplysninger i Unionen må hverken indskrænkes eller forbydes af grunde, der vedrører beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger." Hvis en medlemsstat pålægger placeringskrav i forbindelse med personoplysninger, medmindre det begrundes i beskyttelse af personoplysninger, skal disse vurderes i overensstemmelse med bestemmelserne om grundlæggende frihedsrettigheder og de tilladte fravigelser fra disse friheder i henhold til traktaten om Den Europæiske Unions funktionsmåde, og relevant EU-lovgivning, herunder tjenesteydelsesdirektivet og direktivet om elektronisk handel. Eksempel: I henhold til en national lov skal lønkonti af reguleringshensyn — f.eks. for den nationale skattemyndighed — være placeret i en bestemt medlemsstat. En sådan national bestemmelse falder uden for artikel 1, stk. 3, i den generelle forordning om databeskyttelse, da dette begrundes i andet end beskyttelsen af personoplysninger. Dette krav skal i stedet vurderes i overensstemmelse med bestemmelserne om grundlæggende frihedsrettigheder og de tilladte fravigelser fra disse friheder i henhold til traktaten om Den Europæiske Unions funktionsmåde. Den generelle forordning om databeskyttelse anerkender, at medlemsstaterne kan indføre betingelser, herunder begrænsninger, for behandling af genetiske data, biometriske data eller helbredsoplysninger. Disse nationale begrænsninger bør dog som anført i betragtning 53 ikke hæmme den frie udveksling af personoplysninger i EU, når disse betingelser finder anvendelse på grænseoverskridende behandling af sådanne oplysninger. Dette er i overensstemmelse med artikel 16 i traktaten om Den Europæiske Unions funktionsmåde, som indeholder retsgrundlaget for vedtagelsen af bestemmelser om retten til beskyttelse af personoplysninger og bestemmelser vedrørende den frie udveksling sådanne oplysninger. 3.3 Anvendelsesområde for forordningen om fri udveksling af andre data end personoplysninger Som anført tidligere har forordningen om fri udveksling af andre data end personoplysninger til formål at sikre den frie udveksling af andre data end personoplysninger "inden for Unionen". Den finder således ikke anvendelse på databehandlingstjenester, der finder sted uden for EU, og på dataplaceringskrav vedrørende denne behandling,. Forordningens anvendelsesområde er i henhold til artikel 2, stk. 1, således begrænset til behandling af elektroniske andre data end personoplysninger i EU, når denne behandling: (a)leveres som en tjeneste til brugere, der er bosiddende eller etableret i EU, uanset om tjenesteleverandøren er etableret i EU eller ej, eller (b)foretages af en fysisk eller juridisk person, der er bosiddende eller etableret i EU, til eget behov. Eksempler: Artikel 2, stk. 1, litra a), i forordningen om fri udveksling af andre data end personoplysninger: ·En cloudtjenesteleverandør, der er etableret i USA, leverer behandlingstjenester til kunder, der er bosiddende eller etableret i EU. Cloudtjenesteleverandøren forvalter sine aktiviteter via servere på EU's område. Her gemmes og behandles de europæiske kunders oplysninger. Cloudtjenesteleverandøren er ikke forpligtet til selv at eje EU-baseret infrastruktur, men har eksempelvis mulighed for at leje serverplads i EU. Forordningen om fri udveksling af andre data end personoplysninger finder anvendelse på denne type databehandling. ·En cloudtjenesteleverandør, der er etableret i Japan, tilbyder sine tjenester til europæiske kunder. Leverandørens behandlingskapacitet er placeret i Japan, hvor også alle behandlingsaktiviteter finder sted. Forordningen om fri udveksling af andre data end personoplysninger finder ikke anvendelse i dette tilfælde, såfremt alle behandlingsaktiviteter udføres uden for EU.

Artikel 2, stk. 1, litra b), i forordningen om fri udveksling af andre data end personoplysninger: ·En lille europæisk nystartet virksomhed fra medlemsstat A beslutter sig for at udvide sine forretninger ved at åbne en afdeling i medlemsstat B. Den nystartede virksomhed vælger for at begrænse udgifterne at centralisere den nye afdelings datalagring og -behandling i virksomhedens server i medlemsstat A. Medlemsstaterne må ikke forbyde sådanne bestræbelser på at centralisere IT-løsninger, medmindre dette i henhold til proportionalitetsprincippet begrundes i den offentlige sikkerhed. På trods af at forordningen om fri udveksling af andre data end personoplysninger ikke finder anvendelse på de tilfælde, hvor alle behandlingsaktiviteter for andre data end personoplysninger udføres uden for EU, skal den generelle forordning om databeskyttelse overholdes, når datasættet omfatter personoplysninger. Under alle omstændigheder skal navnlig bestemmelserne om overførsel af personoplysninger til tredjelande eller internationale organisationer i henhold til den generelle forordning om databeskyttelse overholdes. 3.4 Aktiviteter vedrørende medlemsstaternes interne organisation I henhold til forordningen om fri udveksling af andre data end personoplysninger er medlemsstaterne ikke forpligtede til at outsource levering af tjenesteydelser forbundet med andre data end personoplysninger, som de ønsker selv at levere eller at organisere på anden vis end gennem offentlige kontrakter.. Artikel 2, stk. 3, andet afsnit, i forordningen om fri udveksling af andre data end personoplysninger lyder som følger: "Denne forordning berører ikke love og administrative bestemmelser, som vedrører medlemsstaternes interne organisation, og som fordeler beføjelser og ansvar med hensyn til databehandling blandt offentlige myndigheder og offentligretlige organer, som defineret i artikel 2, stk. 1, nr. 4), i direktiv 2014/24/EU, uden kontraktmæssig betaling til private parter, og berører heller ikke medlemsstaternes love og administrative bestemmelser vedrørende gennemførelsen af disse beføjelser og ansvar." Valget af denne "selvforsyning" af databehandlingstjenester, herunder "insourcing" eller gensidige aftaler mellem offentlige myndigheder, kan begrundes i legitime interesser. De typiske eksempler omfatter brugen af en "regeringssky" eller en regering, der bestiller et centralt IT-bureau til at levere databehandlingstjenester til offentlige institutioner og organer. I forordningen om fri udveksling af andre data end personoplysninger opfordres medlemsstaterne dog til at tage lønsomheden og andre fordele ved brugen af eksterne tjenesteleverandører i betragtning. Så snart de nationale myndigheder begynder at "outsource" databehandling med kontraktmæssig betaling til private parter, og behandlingen foregår i EU, er denne behandling omfattet af forordningen om fri udveksling af andre data end personoplysninger. Det betyder, at princippet om fri udveksling af andre data end personoplysninger gælder for de nationale myndigheders almene og administrative praksis. De skal navnlig afholde sig fra at lægge begrænsninger på dataplacering, f.eks. i udbud om offentlige indkøb. 4 Selvreguleringstilgange til støtte for den frie udveksling af oplysninger Selvregulering bidrager til innovation og tillid blandt markedsdeltagerne og sikrer potentielt en bedre tilpasning til markedsændringer. Dette afsnit giver et overblik over selvreguleringsinitiativerne for behandling af både personoplysninger og andre data end personoplysninger. 4.1 Dataportering og skift mellem cloudtjenesteleverandører Forordningen om fri udveksling af andre data end personoplysninger har blandt andet til formål at forhindre leverandørfastlåsning, som opstår, når brugerne ikke har mulighed for at skifte mellem tjenesteleverandører, idet deres oplysninger er "låst fast" i leverandørens system, f.eks. grundet et specifikt dataformat eller kontraktbestemmelser, og ikke kan trækkes ud af leverandørens IT-system. En uhindret dataportering er afgørende med hensyn til brugernes frie valg af leverandør af databehandlingstjenester og dermed den reelle konkurrence på markedet. Det er blevet stadig vigtigere med dataportabilitet mellem virksomheder på tværs af en række digitale industrier, herunder cloudtjenester. I henhold til artikel 6 i forordningen om fri udveksling af andre data end personoplysninger skal Kommissionen tilskynde til og fremme udvikling af adfærdskodekser for selvregulering på EU-plan ("adfærdskodekser") med henblik på at bidrage til en konkurrencedygtig dataøkonomi. Dette skaber en ramme for industriens udarbejdelse af adfærdskodekser for selvregulering i forbindelse med tjenesteleverandørskift og dataportering mellem forskellige IT-systemer. Der bør i forbindelse med udarbejdelsen af disse adfærdskodekser for dataportering tages højde for en række aspekter, navnlig: ·bedste praksis for fremme af tjenesteleverandørskift og dataportering i et struktureret, alment anvendt og maskinlæsbart format ·minimumsoplysningskrav for at sikre, at professionelle brugere, inden der indgås en kontrakt, får tilstrækkeligt detaljerede og klare oplysninger om de procedurer, tekniske krav, tidsfrister og gebyrer, der gælder, når en professionel bruger vil skifte tjenesteleverandør eller føre data tilbage til sine egne IT-systemer ·strategier med hensyn til certificeringsordninger, som gør det lettere at sammenligne cloudtjenester samt ·kommunikationskøreplaner for at skabe større bevidsthed om adfærdskodekserne.

På cloudtjenestemarkedet er Kommissionen begyndt at lette arbejdet for arbejdsgrupperne vedrørende cloudinteressenter på det digitale indre marked. I disse grupper samles cloudeksperter og professionelle brugere, herunder små og mellemstore virksomheder. På nuværende tidspunkt er en undergruppe i gang med at udarbejde adfærdskodekser for selvregulering i forbindelse med dataportering og skift mellem cloudtjenesteleverandører (arbejdsgruppen SWIPO), mens en anden undergruppe arbejder på at udvikle en certificeringsordning for cloudsikkerhed (arbejdsgruppen CSPCERT). SWIPO-arbejdsgruppen er i gang med at udarbejde adfærdskodekser, der skal dække alle typer af cloudtjenester. Infrastruktur som en tjeneste (IaaS), platforme som en tjeneste (PaaS) og software som en tjeneste (SaaS). Kommissionen forventer, at de forskellige adfærdskodekser suppleres med standardiserede kontraktbestemmelser. Dette ville sikre en tilstrækkelig teknisk og retlig nøjagtighed ved den praktiske gennemførelse og anvendelse af adfærdskodekserne, hvilket er særligt vigtigt for små og mellemstore virksomheder. Det er meningen, at de standardiserede kontraktbestemmelser skal udarbejdes efter adfærdskodekserne (som bør være afsluttet inden den 29. november 2019). I henhold til artikel 8 i forordningen om fri udveksling af andre data end personoplysninger evaluerer Kommissionen senest den 29. november 2022 gennemførelsen af forordningen. Således bliver det muligt at vurdere: i) konsekvenserne af den frie udveksling af oplysninger i Europa ii) forordningens anvendelse, navnlig på blandede datasæt iii) hvorvidt medlemsstaterne reelt har ophævet de eksisterende uberettigede dataplaceringskrav og iv) adfærdskodeksernes markedseffektivitet inden for dataportering og skift mellem cloudtjenesteleverandører. Portabilitetsbegrebet og samspillet med den generelle forordning om databeskyttelse I begge forordninger henvises der til dataportabilitet og målet om at lette dataportering fra ét IT-miljø til et andet, dvs. enten til en anden leverandørs systemer eller til lokale systemer. Dette forhindrer leverandørfastlåsning og styrker konkurrencen mellem tjenesteleverandørerne. Forordningerne har dog forskellige tilgange til portabilitet, hvad angår relationen mellem interessegrupperne og bestemmelsernes retlige karakter. Retten til dataportabilitet i henhold til artikel 20 i den generelle forordning om databeskyttelse fokuserer på forholdet mellem den registrerede og den dataansvarlige. Artiklen omhandler den registreredes ret til i et struktureret, almindeligt anvendt og maskinlæsbart format at modtage personoplysninger om sig selv, som vedkommende har givet til en dataansvarlig, og har ret til at transmittere disse oplysninger til en anden dataansvarlig uden hindring fra den dataansvarlige, som personoplysningerne er blevet givet til. Typisk er de registrerede i denne kontekst forbrugere af diverse onlinetjenester, der ønsker at skifte mellem disse tjenesteleverandører. Artikel 6 i forordningen om fri udveksling af andre data end personoplysninger omtaler ikke professionelle brugeres ret til dataportering, men henviser til en selvreguleringstilgang med frivillige adfærdskodekser for industrien. På samme tid er artiklen målrettet situationer, hvor den professionelle bruger har valgt at outsource behandlingen af sine data til en tredjepart, der tilbyder databehandlingstjenester.I henhold til artikel 3, stk. 8, i forordningen om fri udveksling af andre data end personoplysninger kan en "professionel bruger" både omfatte "en fysisk eller juridisk person, herunder en offentlig myndighed eller et offentligretligt organ, der benytter eller anmoder om en databehandlingstjeneste i forbindelse med sit erhverv, sin forretning, sit håndværk, sin profession eller sine opgaver". I praksis vedrører portabiliteten i henhold til artikel 6 i forordningen om fri udveksling af andre data end personoplysninger B2B-samspil mellem en professionel bruger (som i de situationer, der indebærer behandling af personoplysninger, betragtes som "dataansvarlig" i henhold til den generelle forordning om databeskyttelse) og en tjenesteleverandør (der på samme vis i nogle tilfælde betragtes som "databehandler"). Der kan på trods af afvigelserne opstå situationer, hvor dataporteringen både er dækket af forordningen om fri udveksling af andre data end personoplysninger og den generelle forordning om databeskyttelse, hvad angår blandede datasæt. Eksempel: En virksomhed, der gør brug af en cloudtjeneste, vælger at skifte cloudtjenesteleverandør og overføre alle data til en ny leverandør. Tjenesteleverandørskiftet og dataporteringen er underlagt bestemmelserne i den kontrakt, der er indgået mellem kunden og cloudtjenesteleverandøren. Såfremt den tidligere cloudtjenesteleverandør følger adfærdskodekserne som udarbejdet i henhold til forordningen om fri udveksling af andre data end personoplysninger, skal dataporteringen ske i overensstemmelse med kravene heri. Hvis de overførte datasæt omfatter personoplysninger, skal porteringen ske i overensstemmelse med alle de relevante bestemmelser i den generelle forordning om databeskyttelse, navnlig at den nye cloudtjenesteleverandør skal overholde de gældende krav, herunder sikkerhedskravet. Eksempel: Vælger en bank at skifte leverandør af tjenester til forvaltning af kunderelationer (CRM), skal der muligvis overføres oplysninger (både personoplysninger og andre data end personoplysninger) fra den tidligere leverandør til den nye. Disse oplysninger underlægges efterfølgende diverse reguleringskrav — nogle i henhold til den generelle forordning om databeskyttelse og andre i henhold til forordningen om fri udveksling af andre data end personoplysninger. 4.2 Adfærdskodekser og certificeringsordninger for beskyttelse af personoplysninger Der kan gøres brug af adfærdskodekser og certificeringsordninger for at dokumentere opfyldelsen af de forpligtelser, der er indeholdt i den generelle forordning om databeskyttelse (se artikel 24, stk. 3, og artikel 28, stk. 5). I henhold til artikel 40, stk. 1, og artikel 42, stk. 1, i den generelle forordning om databeskyttelse bør medlemsstaterne, tilsynsmyndighederne, Databeskyttelsesrådet og Kommissionen tilskynde industrien til udarbejdelse af adfærdskodekser og fastlæggelse af certificeringsmekanismer for databeskyttelse. Sammenslutninger eller andre organer, der repræsenterer en specifik kategori af dataansvarlige eller databehandlere, kan udarbejde en adfærdskodeks for den pågældende sektor. Der skal forelægges et udkast af kodeksen for den pågældende kompetente tilsynsmyndighed med henblik på godkendelse. Hvis udkastet til adfærdskodeksen vedrører behandlingsaktiviteter i flere medlemsstater, skal tilsynsmyndigheden fremlægge dette for Databeskyttelsesrådet inden godkendelse. Rådet kommer efterfølgende med sin udtalelse om, hvorvidt udkastet til kodekset er i overensstemmelse med den generelle forordning om databeskyttelse.