EUROPA-KOMMISSIONEN Bruxelles, den 10.1.2017 COM(2017) 8 final 2017/0002(COD) Forslag til EUROPA-PARLAMENTETS OG RÅDETS FORORDNING om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF



BEGRUNDELSE 1.BAGGRUND FOR FORSLAGET •Forslagets begrundelse og formål I artikel 16, stk. 1, i traktaten om Den Europæiske Unions funktionsmåde (TEUF), som blev indført ved Lissabontraktaten, fastsættes det, at enhver har ret til beskyttelse af personoplysninger om vedkommende selv. Endvidere indførte Lissabontraktaten i artikel 16, stk. 2, i TEUF et specifikt retsgrundlag for vedtagelsen af regler om beskyttelse af personoplysninger. I artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder fastslås det, at beskyttelse af personoplysninger er en grundlæggende rettighed. Retten til beskyttelse af personoplysninger omfatter også behandling af personoplysninger i EU's institutioner, organer, kontorer og agenturer. Forordning (EF) nr. 45/2001, der er det vigtigste stykke eksisterende EU-lovgivning om beskyttelse af personoplysninger i Unionens institutioner, blev vedtaget i 2001 med to mål for øje, nemlig at beskytte den grundlæggende ret til databeskyttelse og sikre fri udveksling af personoplysninger i Unionen. Den blev suppleret af afgørelse nr. 1247/2002/EF. Den 27. april 2016 vedtog Europa-Parlamentet og Rådet den generelle forordning om databeskyttelse (forordning (EU) 2016/679), der anvendes fra den 25. maj 2018. Ifølge denne forordning skal forordning (EF) nr. 45/2001 tilpasses til de principper og bestemmelser, der er fastsat i forordning (EU) 2016/679, med henblik på at sikre en stærk og sammenhængende databeskyttelsesramme i Unionen, således at begge retsakter finder anvendelse samtidig. Det er foreneligt med den sammenhængende tilgang til beskyttelse af personoplysninger i hele Unionen for så vidt muligt at tilpasse databeskyttelsesreglerne for Unionens institutioner, organer, kontorer og agenturer til de databeskyttelsesregler, der er vedtaget for medlemsstaterne. Når bestemmelserne i forslaget bygger på det samme koncept som bestemmelserne i forordning (EU) 2016/679, bør disse to bestemmelser fortolkes ensartet, navnlig fordi ordningen i forslaget skal betragtes som en pendant til ordningen i forordning (EU) 2016/679. Revisionen af forordning (EF) nr. 45/2001 tager også hensyn til resultaterne af undersøgelser og høringer af interessenter og af evalueringsundersøgelsen af dens anvendelse de sidste 15 år. Dette initiativ henhører ikke under programmet for målrettet og effektiv regulering (REFIT). •Sammenhæng med de gældende regler på samme område Forslaget har til formål at tilpasse bestemmelserne i forordning (EF) nr. 45/2001 til de principper og bestemmelser, der er fastsat i forordning (EU) 2016/679, med henblik på at sikre en stærk og sammenhængende databeskyttelsesramme i Unionen. Forslaget omfatter også de relevante bestemmelser i forordning (EF) XXXX/XX [e-databeskyttelsesforordningen] med hensyn til beskyttelse af slutbrugeres terminaludstyr. •Sammenhæng med Unionens politik på andre områder Ikke relevant 2.RETSGRUNDLAG, NÆRHEDSPRINCIPPET OG PROPORTIONALITETSPRINCIPPET •Retsgrundlag Beskyttelsen af fysiske personer i forbindelse med behandlingen af deres personoplysninger er en grundlæggende rettighed, der er fastsat i artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder. Dette forslag er baseret på artikel 16 i TEUF, som er retsgrundlaget for vedtagelsen af databeskyttelsesregler. Denne artikel gør det muligt at vedtage regler om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer ved udførelse af aktiviteter, der falder inden for rammerne af EU-retten. Den gør det også muligt at vedtage regler om fri udveksling af personoplysninger, herunder personoplysninger, der behandles af disse institutioner, organer, kontorer og agenturer. •Nærhedsprincippet (for områder, der ikke er omfattet af enekompetence) Emnet for denne forordning henhører under Unionens enekompetence, da kun Unionen kan vedtage regler for behandlingen af personoplysninger i dens institutioner.

•Proportionalitetsprincippet I overensstemmelse med proportionalitetsprincippet er det med henblik på at nå de grundlæggende mål om at sikre et ensartet niveau for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og fri udveksling af sådanne oplysninger i hele Unionen nødvendigt og hensigtsmæssigt at fastsætte regler for behandlingen af personoplysninger i Unionens institutioner, organer, kontorer og agenturer. Denne forordning går ikke ud over, hvad der er nødvendigt for at nå de tilstræbte mål i overensstemmelse med artikel 5, stk. 4, i traktaten om Den Europæiske Union. •Valg af retsakt En forordning anses for at være det mest hensigtsmæssige retlige instrument til at fastlægge rammen for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og fri udveksling af sådanne oplysninger. Den giver fysiske personer nogle rettigheder, der kan håndhæves, og fastlægger de forpligtelser, som de dataansvarlige i Unionens institutioner, organer, kontorer og agenturer har i forbindelse med databehandling. Den bestemmer også, at en uafhængig tilsynsmyndighed, Den Europæiske Tilsynsførende for Databeskyttelse, er ansvarlig for tilsynet med behandlingen af personoplysninger i Unionens institutioner, organer, kontorer og agenturer. 3.RESULTATER AF EFTERFØLGENDE EVALUERINGER, HØRINGER AF INTERESSENTER OG KONSEKVENSANALYSER Kommissionen gennemførte høringer af interessenter i 2010 og 2011 og en konsekvensanalyse i forbindelse med forberedelsen af databeskyttelsesreformpakken, hvori der orienteres om de foreslåede ændringer til forordning (EF) nr. 45/2001. I den forbindelse gennemførte Kommissionen også en undersøgelse af Kommissionens databeskyttelseskoordinatorer. Med hensyn til den praktiske anvendelse af forordning (EF) nr. 45/2001 i Unionens institutioner, organer, kontorer og agenturer blev der indsamlet oplysninger fra Den Europæiske Tilsynsførende for Databeskyttelse (EDPS), andre af Unionens institutioner, organer, kontorer og agenturer, andre generaldirektorater i Kommissionen og en ekstern konsulent. Der blev udsendt et spørgeskema til netværket af databeskyttelsesrådgivere. Databeskyttelsesrådgiverne fra en række af Unionens institutioner, organer, kontorer og agenturer holdt workshopper om reformen af forordning nr. 45/2001 den 9. juli 2015, den 22. oktober 2015, den 19. januar 2016 og den 15. marts 2016. Kommissionen besluttede i 2013 at foretage en evalueringsundersøgelse af den hidtidige anvendelse af forordning (EF) nr. 45/2001, som den outsourcede til en ekstern konsulent. De endelige konklusioner af evalueringen (endelig rapport, fem casestudier og analyse af hver enkelt artikel) blev fremsendt til Kommissionen den 8. juni 2015. Evalueringen viste, at det forvaltningssystem, der er struktureret omkring databeskyttelsesrådgiverne, er effektivt. Det blev konstateret, at fordelingen af beføjelser mellem databeskyttelsesrådgiverne og EDPS er klar og afbalanceret, og at begge har en række relevante beføjelser. Den manglende myndighed på grund af utilstrækkelig støtte til databeskyttelsesrådgiverne fra deres ledelse kunne dog skabe problemer. Det fremgår af evalueringsundersøgelsen, at forordning (EF) nr. 45/2001 kunne håndhæves bedre, hvis EDPS gjorde brug af sanktioner. Øget brug af tilsynsbeføjelser kunne føre til bedre gennemførelse af databeskyttelsesreglerne. En anden konklusion var, at de dataansvarlige burde vedtage en risikostyringsstrategi og udføre risikovurderinger inden udførelsen af behandlingsaktiviteter med henblik på bedre at gennemføre datalagrings- og sikkerhedskravene. Undersøgelsen viste også, at de eksisterende bestemmelser i kapitel IV i forordning (EF) nr. 45/2001 om telesektoren er forældede, og at der er behov for at tilpasse dette kapitel til e-databeskyttelsesdirektivet. Ifølge evalueringsundersøgelsen er der også behov for at præcisere nogle vigtige definitioner i forordning (EF) nr. 45/2001. Disse omfatter identifikationen af dataansvarlige i Unionens institutioner, organer, kontorer og agenturer, definitionen af modtagere og udvidelsen af fortrolighedspligten til også at omfatte eksterne databehandlere. Evalueringsundersøgelsen pegede også på behovet for at forenkle ordningen med anmeldelser og forudgående kontrol for at øge effektiviteten og mindske den administrative byrde. Evalueringseksperten udførte en onlineundersøgelse i 64 af Unionens institutioner, agenturer, kontorer og organer. 422 ansvarlige medarbejdere hos de dataansvarlige, 73 databeskyttelsesrådgivere, 118 databeskyttelseskoordinatorer og 109 IT-respondenter besvarede spørgsmålene i forbindelse med undersøgelsen. Evalueringseksperten udførte også en række interview med interessenter. Den 26. marts 2015 holdt evalueringseksperten og Kommissionen en endelig workshop med deltagelse af en række dataansvarlige, databeskyttelsesrådgivere, databeskyttelseskoordinatorer, IT-respondenter og repræsentanter for EDPS. •Indhentning og brug af ekspertbistand Se henvisning til evalueringsundersøgelsen i det foregående punkt. •Konsekvensanalyse Dette forslag vil især få betydning for Unionens institutioner, organer, kontorer og agenturer. Dette er blevet bekræftet af de oplysninger, der er indhentet fra EDPS, andre af Unionens institutioner, organer, kontorer og agenturer, generaldirektorater i Kommissionen og den eksterne konsulent. Endvidere er virkningen af de nye forpligtelser, der følger af forordning (EU) 2016/679, som nærværende forordning skal tilpasses til, blevet vurderet i forbindelse med det forberedende arbejde hermed. Dette gør en specifik konsekvensanalyse af nærværende forordning unødvendig. •Målrettet regulering og forenkling Ikke relevant

•Grundlæggende rettigheder Retten til beskyttelse af personoplysninger er fastsat i artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder ("chartret"), artikel 16 i TEUF og artikel 8 i den europæiske menneskerettighedskonvention. Som understreget af Den Europæiske Unions Domstol er retten til beskyttelse af personoplysninger ikke en absolut ret, men skal ses i forhold til dens funktion i samfundet. Databeskyttelse hænger også tæt sammen med respekten for privatliv og familieliv som omhandlet i chartrets artikel 7. I dette forslag fastlægges regler for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og fri udveksling af sådanne oplysninger. Andre grundlæggende rettigheder, der er forankret i chartret, og som kunne blive berørt, er ytringsfriheden (artikel 11), ejendomsretten og navnlig beskyttelsen af intellektuel ejendomsret (artikel 17, stk. 2), forbud mod enhver forskelsbehandling på grund af race, etnisk oprindelse, genetiske anlæg, religion eller tro, politiske eller andre anskuelser, handicap eller seksuel orientering (artikel 21), børns rettigheder (artikel 24), retten til et højt sundhedsbeskyttelsesniveau (artikel 35), retten til aktindsigt (artikel 42) og adgangen til effektive retsmidler og til en upartisk domstol (artikel 47). 4.VIRKNINGER FOR BUDGETTET Se finansieringsoversigten i bilaget. 5.ANDRE FORHOLD •Planer for gennemførelse og foranstaltninger til overvågning, evaluering og rapportering Ikke relevant •Forklarende dokumenter (for direktiver) Ikke relevant KAPITEL I – GENERELLE BESTEMMELSER Artikel 1 fastsætter genstanden for forordningen og – som i artikel 1 i forordning (EF) nr. 45/2001– tillige forordningens to målsætninger, nemlig beskyttelsen af den grundlæggende ret til databeskyttelse og sikring af fri udveksling af personoplysninger i Unionen. Den fastsætter også de vigtigste opgaver for Den Europæiske Tilsynsførende for Databeskyttelse. Artikel 2 fastsætter forordningens anvendelsesområde. Den finder anvendelse på automatisk eller anden form for behandling af personoplysninger, som finder sted i alle Unionens institutioner og organer, i det omfang denne behandling er iværksat som led i udøvelsen af aktiviteter, der helt eller delvis hører under EU-rettens anvendelsesområde. Denne forordnings materielle anvendelsesområde er teknologisk neutralt. Beskyttelsen af personoplysninger gælder for både automatisk og manuel behandling af personoplysninger, hvis disse oplysningerne er indeholdt eller vil blive indeholdt i et register. Artikel 3 indeholder definitioner af de udtryk, der anvendes i forordningen. Ud over definitionerne af "Unionens institutioner og organer", "dataansvarlig", "bruger" og "register", der er specifikke for denne forordning, er de udtryk, der anvendes i denne forordning, defineret i forordning (EU) 2016/679, forordning (EU) 0000/00 [ny e-databeskyttelsesforordning], direktiv 00/0000/EU [direktivet om en europæisk kodeks for elektronisk kommunikation] og Kommissionens direktiv 2008/63/EF. KAPITEL II – PRINCIPPER Artikel 4 fastlægger principperne for behandling af personoplysninger, der svarer til principperne i artikel 5 i forordning (EU) 2016/679. Sammenlignet med forordning (EF) nr. 45/2001 tilføjes de nye principper om gennemsigtighed og integritet og fortrolighed. Artikel 5 bygger på artikel 6 i forordning (EU) 2016/679 og fastsætter kriterierne for lovlig behandling, hvor kriteriet den dataansvarliges legitime interesse er den eneste undtagelse, da det ikke er relevant for den offentlige sektor og derfor ikke bør gælde for Unionens institutioner og organer. Artikel 5 viderefører de kriterier, der allerede er fastsat i artikel 5 i forordning (EF) nr. 45/2001. Artikel 6 præciserer betingelserne for behandling til et andet foreneligt formål i overensstemmelse med artikel 6, stk. 4, i forordning (EU) 2016/679. Sammenlignet med artikel 6 i forordning (EF) nr. 45/2001 giver denne nye bestemmelse større fleksibilitet og retlig sikkerhed med hensyn viderebehandling til forenelige formål. I overensstemmelse med artikel 7 i forordning (EU) 2016/679 præciserer artikel 7 betingelserne for, at et samtykke kan anvendes som juridisk begrundelse for lovlig behandling.

I overensstemmelse med artikel 8 i forordning (EU) 2016/679 fastsætter artikel 8 nærmere betingelser for lovligheden af behandling af personoplysninger om børn i forbindelse med informationssamfundstjenester, som tilbydes dem direkte. Den fastsætter barnets mindstealder til 13 år for gyldigt samtykke. I overensstemmelse med artikel 8 i forordning (EF) nr. 45/2001 fastsætter artikel 9 regler om et specifikt beskyttelsesniveau for fremsendelse af personoplysninger til andre modtagere end Unionens institutioner og organer, der er etableret i Unionen og er underlagt forordning (EU) 2016/679 eller direktiv (EU) 2016/680. Den præciserer, at såfremt det er den dataansvarlige, der indleder fremsendelsen, bør vedkommende godtgøre fremsendelsens nødvendighed og proportionalitet. Artikel 10 fastsætter det generelle forbud mod behandling af særlige kategorier af personoplysninger og undtagelserne fra denne generelle regel baseret på artikel 9 i forordning (EU) 2016/679 og en videreudvikling af artikel 10 i forordning (EF) nr. 45/2001. I overensstemmelse med artikel 10 i forordning (EU) 2016/679 og artikel 10, stk. 5, i forordning (EF) nr. 45/2001 fastsætter artikel 11 betingelserne for behandling af personoplysninger vedrørende straffedomme og lovovertrædelser. Artikel 12 præciserer den dataansvarliges underretningspligt over for den registrerede i overensstemmelse med artikel 11 i forordning (EU) 2016/679, idet den bestemmer, at hvis de personoplysninger, der behandles af en dataansvarlig, ikke sætter den dataansvarlige i stand til at identificere en fysisk person, bør den dataansvarlige ikke være forpligtet til at indhente yderligere oplysninger for at identificere den registrerede udelukkende med det formål at overholde bestemmelserne i denne forordning. Den dataansvarlige bør dog ikke nægte at tage imod yderligere oplysninger fra den registrerede, som denne giver med henblik på udøvelsen af sine rettigheder. Artikel 13 fastsætter på grundlag af artikel 89, stk. 1, i forordning (EU) 2016/679 regler for garantier vedrørende behandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål. KAPITEL III – DEN REGISTREREDES RETTIGHEDER Afdeling 1 – Gennemsigtighed og nærmere regler Artikel 14 indfører på grundlag af artikel 12 i forordning (EU) 2016/679 en forpligtelse for de dataansvarlige til at tilvejebringe gennemsigtige, lettilgængelige og forståelige oplysninger og fastlægge procedurer og mekanismer for udøvelse af den registreredes rettigheder, herunder eventuelt systemer til elektroniske anmodninger, idet den registreredes anmodninger skal besvares inden for en fastsat tidsfrist, og afslag skal begrundes. Da Unionens institutioner og organer ikke under nogen omstændigheder forventes at opkræve gebyrer til dækning af administrative omkostninger i forbindelse med formidling af oplysninger, blev denne mulighed ikke videreført fra forordning (EU) 2016/679. Afdeling 2 – Information og indsigt i oplysninger Artikel 15 angiver den dataansvarliges underretningspligt over for den registrerede, når der indsamles personoplysninger fra den registrerede, på grundlag af artikel 13 i forordning (EU) 2016/679 og en videreudvikling af artikel 11 i forordning (EF) nr. 45/2001, så der gives oplysninger til den registrerede, herunder om opbevaringsperioden og retten til at indgive klage og i forbindelse med internationale overførsler. Artikel 16 fastsætter på grundlag af artikel 14 i forordning (EU) 2016/679 og en videreudvikling af artikel 12 i forordning (EF) nr. 45/2001 den dataansvarliges underretningspligt over for den registrerede, når der ikke er indsamlet personoplysninger fra den registrerede om den kilde, oplysningerne kommer fra. Den viderefører også de mulige undtagelser i forordning (EU) 2016/679, så der f.eks. ikke gælder en sådan pligt, hvis den registrerede allerede er bekendt med oplysningerne, hvis det viser sig umuligt eller uforholdsmæssigt vanskeligt for den dataansvarlige at give den registrerede sådanne oplysninger, når personoplysningerne skal holdes fortrolige i medfør af tavshedspligt, der er reguleret i EU-retten, eller hvis registreringen eller videregivelsen er udtrykkeligt fastsat ved lov. Dette kunne f.eks. være tilfældet i sager anlagt af social- og sundhedstjenester. Artikel 17 fastsætter i overensstemmelse med artikel 15 i forordning (EU) 2016/679 og på grundlag af en videreudvikling af artikel 13 i forordning (EF) nr. 45/2001 bestemmelser om den registreredes ret til indsigt i sine personoplysninger med tilføjelse af nye elementer såsom forpligtelsen til at underrette de registrerede om opbevaringsperioden og om retten til berigtigelse og sletning og indgivelse af en klage. Afdeling 3 – Berigtigelse og sletning Artikel 18 fastsætter den registreredes ret til sletning på grundlag af artikel 16 i forordning (EU) 2016/679 og en videreudvikling af artikel 14 i forordning (EF) nr. 45/2001. Artikel 19 fastsætter i overensstemmelse med artikel 17 i forordning (EU) 2016/679 og på grundlag af en videreudvikling af artikel 16 i forordning (EF) nr. 45/2001 den registreredes ret til at blive glemt og til at få slettet oplysninger. Den fastsætter betingelserne for retten til at blive glemt, herunder den pligt, som den dataansvarlige, der har offentliggjort personoplysningerne, har til at informere tredjeparter om den registreredes anmodning om at slette alle link til, kopier af eller gengivelser af de pågældende personoplysninger. Artikel 20 indfører retten til at opnå begrænsning af behandling i visse tilfælde, idet den tvetydige terminologi "blokering", der er anvendt i forordning (EF) nr. 45/2001, undgås, og idet der sikres sammenhæng med den nye terminologi i artikel 18 i forordning (EU) 2016/679. Artikel 21 fastsætter i overensstemmelse med artikel 19 i forordning (EU) 2016/679 og på grundlag af en videreudvikling af artikel 17 i forordning (EF) nr. 45/2001 den dataansvarliges forpligtelse til at underrette de modtagere, som personoplysningerne er videregivet til, om enhver berigtigelse eller sletning af personoplysninger eller begrænsning af behandling, medmindre dette viser sig umuligt eller er uforholdsmæssigt vanskeligt. Den dataansvarlige oplyser også den registrerede om disse modtagere, hvis vedkommende anmoder herom. Artikel 22 indfører i overensstemmelse med artikel 20 i forordning (EU) 2016/679 den registreredes ret til dataportabilitet, dvs. retten til at modtage de personoplysninger om sig selv, som vedkommende har givet til en dataansvarlig, eller til at få sådanne personoplysninger fremsendt direkte til en anden dataansvarlig, når det er teknisk muligt. Som en forudsætning, og for yderligere at forbedre fysiske personers indsigt i deres personoplysninger fastsættes der bestemmelser om retten til at få disse oplysninger fra den dataansvarlige i et struktureret, almindeligt anvendt og maskinlæsbart format. Denne ret gælder kun, hvis behandlingen er baseret på den registreredes samtykke eller en kontrakt, som den pågældende har indgået. Afdeling 4 – Ret til indsigelse og automatiske individuelle afgørelser

Artikel 23 fastsætter den registreredes ret til indsigelse på grundlag af artikel 21 i forordning (EU) 2016/679 og en videreudvikling af artikel 18 i forordning (EF) nr. 45/2001. Artikel 24 vedrører den registreredes ret til ikke at være genstand for en foranstaltning, der alene er baseret på automatisk behandling, herunder profilering, i overensstemmelse med artikel 22 i forordning (EU) 2016/679 og på grundlag af en videreudvikling af artikel 19 i forordning (EF) nr. 45/2001. Afdeling 5 – Begrænsninger Artikel 25 tillader begrænsninger af den registreredes rettigheder i henhold til artikel 14-22 og i artikel 34 og 38 og af de principper, der er fastsat i artikel 4 (for så vidt bestemmelserne heri svarer til rettighederne og forpligtelserne i artikel 14-22). Sådanne begrænsninger bør fastsættes i retsakter, der vedtages på grundlag af traktaterne eller de interne regler i Unionens institutioner og organer. Hvis en sådan mulighed for en sådan begrænsning ikke er fastsat i de retsakter, der er vedtaget på grundlag af traktaterne eller de interne regler i Unionens institutioner og organer, kunne der i sidstnævnte pålægges en ad hoc-begrænsning, hvis den respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund af hensyn til et eller flere af de mål, der muliggør begrænsninger af den registreredes rettigheder. Denne fremgangsmåde er i overensstemmelse med artikel 23 i forordning (EU) 2016/679. I modsætning til artikel 23 i forordning (EU) 2016/679 og i overensstemmelse med artikel 20 i forordning (EF) nr. 45/2001 åbner bestemmelsen dog ikke mulighed for at begrænse retten til indsigelse og retten til ikke at blive genstand for afgørelser, som alene er truffet på grundlag af automatisk behandling. Kravene til begrænsninger er i overensstemmelse med chartret om grundlæggende rettigheder og den europæiske menneskerettighedskonvention som fortolket af henholdsvis Den Europæiske Unions Domstol og Den Europæiske Menneskerettighedsdomstol. KAPITEL IV – DATAANSVARLIG OG DATABEHANDLER Afdeling 1 – Generelle forpligtelser Artikel 26 bygger på artikel 24 i forordning (EU) 2016/679 og indfører "princippet om ansvarlighed" ved at beskrive den dataansvarliges ansvar for at overholde denne forordning og påvise overholdelsen, herunder ved indførelse af passende tekniske og organisatoriske foranstaltninger og eventuelt interne politikker og mekanismer, som kan sikre denne overholdelse. Artikel 24, stk. 3, i forordning (EU) 2016/679 blev ikke videreført i denne bestemmelse, da Unionens institutioner og organer ikke bør overholde adfærdskodekser eller certificeringsmekanismer. Artikel 27 fastsætter i overensstemmelse med artikel 25 i forordning (EU) 2016/679 den dataansvarliges forpligtelser som følge af principperne om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger. Artikel 28 om fælles dataansvarlige bygger på artikel 26 i forordning (EU) 2016/679 med henblik på at fastlægge ansvarsområderne for fælles dataansvarlige – uanset om det er Unionens institutioner eller organer eller ej – for så vidt angår deres indbyrdes forhold og forhold til den registrerede. Denne bestemmelse vedrører den situation, hvor alle fælles dataansvarlige er omfattet af den samme retsorden (denne forordning), og den situation, hvor nogle er dækket af denne forordning og andre af et andet retligt instrument (forordning (EU) 2016/679, direktiv (EU) 2016/680, direktiv (EU) 2016/681 og andre specifikke databeskyttelsesordninger vedrørende Unionens institutioner eller organer). Artikel 29 bygger på artikel 28 i forordning (EU) 2016/679 og er en videreudvikling af artikel 23 i forordning (EF) nr. 45/2001 med henblik på at præcisere databehandlernes position og forpligtelser, herunder konstateringen af, at en databehandler, der overtræder forordningen ved at fastlægge formålene med og hjælpemidlerne til behandling, anses for at være en dataansvarlig for så vidt angår den pågældende behandling. Artikel 30 om behandling, der udføres for den dataansvarlige eller databehandleren, bygger på artikel 29 i forordning (EU) 2016/679, der forbyder databehandlere eller enhver, der udfører arbejde for den dataansvarlige eller databehandleren, og som har adgang til personoplysninger, at behandle disse oplysninger efter instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-retten eller medlemsstaternes nationale ret. Ved artikel 31, der bygger på artikel 30 i forordning (EU) 2016/679, indføres en forpligtelse for de dataansvarlige og databehandlerne til at opbevare dokumentation for de behandlingsaktiviteter, der udføres under deres ansvar, i stedet for en forudgående anmeldelse til EDPS som krævet i artikel 25 i forordning (EF) nr. 45/2001 og til registret over databeskyttelsesrådgivere. I modsætning til forordning (EU) 2016/679 henvises der i denne bestemmelse ikke til repræsentanter, da Unionens institutioner ikke har repræsentanter og altid vil have databeskyttelsesrådgivere. Henvisninger til overførsler baseret på undtagelser i særlige situationer som i forordning (EU) 2016/679 blev ikke videreført, da der ikke er planlagt sådanne former for overførsler i nærværende forordning. Forpligtelsen til at føre en fortegnelse over behandlingsaktiviteter kan centraliseres i en EU-institution eller et EU-organ. I så fald har Unionens institutioner og organer mulighed for at føre deres fortegnelser over behandlingsaktiviteter i form af et offentligt tilgængeligt register. Artikel 32 præciserer på grundlag af artikel 31 i forordning (EU) 2016/679 de forpligtelser, som Unionens institutioner og organer har til at samarbejde med EDPS. Afdeling 2 – Sikkerhed i forbindelse med personoplysninger og fortrolighed i forbindelse med elektronisk kommunikation Artikel 33, der bygger på artikel 32 i forordning (EU) 2016/679 og en videreudvikling af artikel 22 i forordning (EF) nr. 45/2001, forpligter den dataansvarlige til at gennemføre passende foranstaltninger med henblik på at garantere behandlingssikkerheden, idet denne forpligtelse udvides til at omfatte databehandlere, uanset aftalen med den dataansvarlige. Artikel 34 bygger på artikel 36 i forordning (EF) nr. 45/2001 og sikrer fortroligheden i forbindelse med elektronisk kommunikation inden for Unionens institutioner og organer. Artikel 35 bygger på den eksisterende praksis i Unionens institutioner og organer og beskytter oplysninger vedrørende terminaludstyr for slutbrugere, der har adgang til offentligt tilgængelige websteder og mobilapplikationer, som stilles til rådighed af Unionens institutioner og organer i overensstemmelse med forordning (EU) XXXX/XX [ny e-databeskyttelsesforordning], særlig artikel 8. Artikel 36 bygger på artikel 38 i forordning (EF) nr. 45/2001 og beskytter personoplysninger i offentlige og private fortegnelser i Unionens institutioner og organer. Artikel 37 og 38 indfører en forpligtelse til at anmelde brud på persondatasikkerheden i overensstemmelse med artikel 33 og 34 i forordning (EU) 2016/679. Afdeling 3 – Konsekvensanalyse vedrørende databeskyttelse og forudgående høring

Artikel 39 bygger på artikel 35 i forordning (EU) 2016/679 og indfører en forpligtelse for de dataansvarlige og databehandlerne til at udføre en konsekvensanalyse vedrørende databeskyttelse forud for behandlingsaktiviteter, der sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder. Denne forpligtelse vil navnlig gælde i tilfælde af en systematisk og omfattende vurdering af personlige forhold vedrørende fysiske personer, der er baseret på automatisk behandling, herunder profilering, behandling i stort omfang af særlige kategorier af oplysninger eller systematisk overvågning af et offentligt tilgængeligt område i stort omfang. Artikel 40 bygger på artikel 36 i forordning (EU) 2016/679 og vedrører de tilfælde, hvor tilladelse fra og høring af EDPS er obligatorisk inden behandlingen. Artikel 40, stk. 1 gengiver dog betragtning 94 i forordning (EU) 2016/679 og har til formål at præcisere anvendelsesområdet for forpligtelsen til at foretage høring. Afdeling 4 – Underretning og høring som led i lovgivningsproceduren Artikel 41 pålægger Unionens institutioner og organer en forpligtelse til at underrette EDPS om udarbejdelsen af administrative foranstaltninger og interne regler vedrørende behandlingen af personoplysninger. Artikel 42 pålægger Kommissionen en forpligtelse til at høre EDPS efter vedtagelsen af forslag til en lovgivningsmæssig retsakt og af henstillinger eller forslag til Rådet i henhold til artikel 218 i TEUF og ved udarbejdelsen af delegerede retsakter eller gennemførelsesretsakter, der påvirker beskyttelsen af fysiske personers rettigheder og frihedsrettigheder med hensyn til behandlingen af personoplysninger. Når disse retsakter har særlig betydning for beskyttelsen af fysiske personers rettigheder og frihedsrettigheder med hensyn til behandlingen af personoplysninger, kan Kommissionen høre Det Europæiske Databeskyttelsesråd. I sådanne tilfælde bør begge enheder koordinere deres arbejde med henblik på at afgive en fælles udtalelse. Der fastsættes en frist på otte uger for ydelse af rådgivning i ovennævnte tilfælde med mulighed for undtagelser for hastende sager, og når det i øvrigt er hensigtsmæssigt, f.eks. når Kommissionen er i færd med at udarbejde delegerede retsakter og gennemførelsesretsakter. Afdeling 5 – Forpligtelse til at reagere på påståede overtrædelser Artikel 43 pålægger de dataansvarlige og databehandlerne at reagere på påståede overtrædelser, efter at EDPS har besluttet at henvise en sag til dem. Afdeling 6 – Databeskyttelsesrådgiver Artikel 44 bygger på artikel 37, stk. 1, litra a), i forordning (EU) 2016/679 og artikel 24 i forordning (EF) nr. 45/2001 med henblik på at indføre en obligatorisk databeskyttelsesrådgiver for Unionens institutioner og organer. Artikel 45 bygger på artikel 38 i forordning (EU) 2016/679 og artikel 24 i forordning (EF) nr. 45/2001 med henblik på at fastlægge databeskyttelsesrådgiverens stilling. Artikel 46 bygger på artikel 39 i forordning (EU) 2016/679 og artikel 24 i forordning (EF) nr. 45/2001 og på punkt 2 og 3 i bilaget til forordning (EF) nr. 45/2001 med henblik på at fastlægge databeskyttelsesrådgiverens kerneopgaver. KAPITEL V – OVERFØRSEL AF PERSONOPLYSNINGER TIL TREDJELANDE ELLER INTERNATIONALE ORGANISATIONER Artikel 47 bygger videre på artikel 9 i forordning (EF) nr. 45/2001 og præciserer det generelle princip i artikel 44 i forordning (EU) 2016/679 om, at overholdelse af andre bestemmelser i denne forordning og betingelserne i kapitel V er obligatorisk for enhver overførsel af personoplysninger til tredjelande eller internationale organisationer, herunder ved videreoverførsel af personoplysninger fra det pågældende tredjeland eller den pågældende internationale organisation til et andet tredjeland eller en anden international organisation. Artikel 48 bestemmer, at en sådan overførsel af personoplysninger fra et tredjeland eller en international organisation kan finde sted, når Kommissionen i henhold til artikel 45, stk. 3, i forordning (EU) 2016/679 har besluttet, at der er garanteret et passende beskyttelsesniveau i tredjelandet, et område eller en eller flere specifikke sektorer i dette tredjeland eller i den internationale organisation, og at personoplysningerne kun overføres, for at der kan udføres opgaver, som henhører under den dataansvarliges kompetence. Stk. 2 og 3 i denne artikel er overtaget fra artikel 9 i forordning (EF) nr. 45/2001, da de er nyttige elementer for tilsynet med beskyttelsesniveaet i tredjelande og internationale organisationer. Artikel 49 bygger på artikel 46 i forordning (EU) 2016/679 og kræver, at der ved overførsel af oplysninger til tredjelande, hvor Kommissionen ikke har vedtaget en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, indføres de fornødne garantier, navnlig særlige standardbestemmelser om databeskyttelse og kontraktbestemmelser. Bindende virksomhedsregler, adfærdskodekser og certificeringsmekanismer kunne i overensstemmelse med forordning (EU) 2016/679 anvendes af andre databehandlere end Unionens institutioner og organer. Stk. 4 i denne artikel vedrørende EU-institutioners og -organers pligt til at underrette EDPS om de kategorier af tilfælde, hvor de har anvendt denne artikel, svarer til artikel 9, stk. 8, i forordning (EF) nr. 45/2001 og videreføres på grund af dens særlige karakter. Stk. 5 bygger på gældende eksisterende tilladelser som omhandlet i artikel 46, stk. 5, i forordning (EU) 2016/679. Artikel 50 præciserer i overensstemmelse med artikel 48 i forordning (EU) 2016/679, at domme afsagt af en ret og afgørelser truffet af administrative myndigheder i et tredjeland, der kræver overførsel eller videregivelse af personoplysninger, kun kan anerkendes eller håndhæves på nogen måde, hvis de bygger på en international aftale såsom en traktat om gensidig retshjælp mellem det anmodende tredjeland og Unionen, uden at det berører andre grunde til overførsel i henhold til dette kapitel. Artikel 51 bygger på artikel 49 i forordning (EU) 2016/679 og præciserer undtagelserne for en overførsel af oplysninger. Dette gælder navnlig for overførsler af oplysninger, der udføres af hensyn til vigtige samfundsinteresser, f.eks. ved internationale overførsler af oplysninger, der involverer konkurrencemyndigheder og skatte- eller toldforvaltninger, eller mellem socialsikringsmyndigheder eller fiskerimyndigheder. Stk. 5 vedrørende forpligtelsen til at underrette EDPS om de kategorier af tilfælde, hvor der er blevet anvendt undtagelser for at foretage en overførsel, svarer til den nuværende artikel 9, stk. 8, i forordning (EF) nr. 45/2001. Artikel 52 bygger på artikel 50 i forordning (EU) 2016/679 og bestemmer udtrykkeligt, at der skal udvikles internationale samarbejdsmekanismer for beskyttelse af personoplysninger mellem EDPS, i samarbejde med Kommissionen og Det Europæiske Databeskyttelsesråd, og tilsynsmyndighederne i tredjelande. KAPITEL VI – DEN EUROPÆISKE TILSYNSFØRENDE FOR DATABESKYTTELSE (EDPS) Artikel 53 bygger på artikel 41 i forordning (EF) nr. 45/2001 og vedrører indførelsen af EDPS.

Artikel 54 bygger på artikel 42 i forordning (EF) nr. 45/2001 og artikel 3 i afgørelse nr. 1247/2002/EF og fastsætter reglerne for Europa-Parlamentets og Rådets udnævnelse af EDPS. Den fastsætter også varigheden af EDPS' embedsperiode, nemlig fem år. Artikel 55 bygger på artikel 43 i forordning (EF) nr. 45/2001 og artikel 1 i afgørelse nr. 1247/2002/EF og fastsætter de generelle ansættelsesvilkår for EDPS og dennes menneskelige og finansielle ressourcer. Artikel 56 bygger på artikel 52 i forordning (EU) 2016/679 og artikel 44 i forordning (EF) nr. 45/2001 og præciserer betingelserne for EDPS' uafhængighed under hensyntagen til Den Europæiske Unions Domstols retspraksis. Artikel 57 omhandler på grundlag af artikel 45 i forordning (EF) nr. 45/2001 EDPS' tavshedspligt både under og efter vedkommendes embedsperiode med hensyn til fortrolige oplysninger, som han eller hun har fået kendskab til under udøvelsen af sit officielle hverv. Artikel 58 bygger på artikel 57 i forordning (EU) 2016/679 og artikel 46 i forordning (EF) nr. 45/2001 og fastsætter EDPS' opgaver, herunder behandling og undersøgelse af klager og bevidstgørelse af offentligheden om risici, regler, garantier og rettigheder. Artikel 59 bygger på artikel 58 i forordning (EU) 2016/679 og artikel 47 i forordning (EF) nr. 45/2001 og fastsætter EDPS' beføjelser. Artikel 60 bygger på artikel 59 i forordning (EU) 2016/679 og artikel 48 i forordning (EF) nr. 45/2001 og fastlægger EDPS' forpligtelse til at udarbejde en årsberetning. KAPITEL VII – SAMARBEJDE OG SAMMENHÆNG Artikel 61 bygger på artikel 61 i forordning (EU) 2016/679 og artikel 46, litra f), i forordning (EF) nr. 45/2001 og indfører udtrykkelige regler om EDPS' samarbejde med de nationale tilsynsmyndigheder. Artikel 62 fastsætter EDPS' forpligtelser, når der i andre EU-retsakter henvises til denne artikel inden for rammerne af det koordinerede tilsyn med de nationale tilsynsmyndigheder. Den søger at gennemføre en fælles model for koordineret tilsyn. Denne model kunne anvendes til koordineret tilsyn med store IT-systemer såsom Eurodac, Schengen-informationssystem II, toldinformationssystemet eller informationssystemet for det indre marked, men også til tilsyn med nogle af Unionens agenturer, hvor der er indført en specifik model for samarbejde mellem EDPS og de nationale myndigheder såsom Europol. Det Europæiske Databeskyttelsesråd bør fungere som et fælles forum for sikring af det effektive koordinerede tilsyn over en bred front. KAPITEL VIII – RETSMIDLER, ANSVAR OG SANKTIONER Artikel 63 bygger på artikel 77 i forordning (EU) 2016/679 og artikel 32 i forordning (EF) nr. 45/2001 og fastsætter enhver registrerets ret til at indgive en klage til EDPS. Den pålægger EDPS en forpligtelse til at handle og underrette den registrerede om forløbet og resultatet af klagen inden en frist på tre måneder, hvorefter klagen vil blive anset for at være afvist. Artikel 64 er en videreførelse af artikel 32, stk. 1, i forordning (EF) nr. 45/2001, der bestemmer, at Den Europæiske Unions Domstol har kompetence til at afgøre alle tvister, som vedrører bestemmelserne i denne forordning, herunder erstatningssøgsmål. Artikel 65 fastsætter retten til erstatning for både materielle og immaterielle skader på de betingelser, der er fastsat i traktaterne, bl.a. vedrørende erstatningsansvar. Artikel 66 bygger på artikel 83 i forordning (EU) 2016/679 og tillægger EDPS beføjelse til at pålægge Unionens institutioner og organer administrative bøder som en sanktion, der kan anvendes som sidste udvej, og kun, når Unionens institutioner eller organer har undladt at efterkomme et påbud fra EDPS, jf. artikel 59, stk. 2, litra a)-h) og litra j). Artiklen fastlægger også kriterierne for, hvordan der skal træffes afgørelse om størrelsen af den administrative bøde i hvert enkelt tilfælde, mens de årlige lofter bygger på bødestørrelser, som anvendes i nogle medlemsstater. Artikel 67 tillader i overensstemmelse med artikel 80, stk. 1, i forordning (EU) 2016/679 visse organer, organisationer eller sammenslutninger at indgive en klage på vegne af den registrerede. Artikel 68 fastsætter i overensstemmelse med artikel 33 i forordning (EF) nr. 45/2001 særlige regler med henblik på at beskytte Unionens personale, som uden om de officielle kanaler indgiver en klage til EDPS vedrørende en påstået overtrædelse af bestemmelserne i denne forordning. Artikel 69 bygger på artikel 49 i forordning (EF) nr. 45/2001 og fastsætter sanktioner i tilfælde af, at Den Europæiske Unions tjenestemænd eller andre ansatte undlader at opfylde forpligtelserne i denne forordning. KAPITEL IX – GENNEMFØRELSESRETSAKTER Artikel 70 indeholder bestemmelsen om den udvalgsprocedure, der skal gennemføres for at tillægge Kommissionen gennemførelsesbeføjelser i de tilfælde, hvor ensartede betingelser for gennemførelse af retligt bindende EU-retsakter er nødvendige i henhold til artikel 291 i TEUF. Undersøgelsesproceduren finder anvendelse.

KAPITEL X – AFSLUTTENDE BESTEMMELSER Artikel 71 ophæver forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF og fastsætter, at henvisninger til de to ophævede retsakter skal betragtes som henvisninger til nærværende forordning. Det præciseres i artikel 72, at den nuværende embedsperiode for Den Europæiske Tilsynsførende for Databeskyttelse ikke berøres af denne forordning, og at artikel 54, stk. 4, 5 og 7, og artikel 56 og 57 i forordningen finder anvendelse på den nuværende assisterende tilsynsførende indtil udløbet af hans embedsperiode, dvs. indtil den 5. december 2019. Artikel 73 fastsætter den 25. maj 2018 som datoen for denne forordnings ikrafttrædelse med henblik på at sikre sammenhæng med datoen for anvendelsen af forordning (EU) 2016/679. 2017/0002 (COD) Forslag til EUROPA-PARLAMENTETS OG RÅDETS FORORDNING om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR — under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 16, stk. 2, under henvisning til forslag fra Europa-Kommissionen, efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter, under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg, efter den almindelige lovgivningsprocedure, og ud fra følgende betragtninger: (1)Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger er en grundlæggende rettighed. I henhold til artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder ("chartret") og artikel 16, stk. 1, i traktaten om Den Europæiske Unions funktionsmåde (TEUF) har enhver ret til beskyttelse af personoplysninger, der vedrører den pågældende. (2)Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 sikrer fysiske personer rettigheder, der kan håndhæves, fastlægger de forpligtelser, som de dataansvarlige i Unionens institutioner og organer har, og indfører en uafhængig tilsynsmyndighed, Den Europæiske Tilsynsførende for Databeskyttelse, der er ansvarlig for tilsynet med behandlingen af personoplysninger i Unionens institutioner og organer. Den gælder dog ikke for behandling af personoplysninger under udøvelsen af en aktivitet i Unionens institutioner og organer, der falder uden for EU-rettens anvendelsesområde. (3)Europa-Parlamentets og Rådets forordning (EU) 2016/679 og Europa-Parlamentets og Rådets direktiv (EU) 2016/680 blev vedtaget den 27. april 2016. Mens forordningen fastsætter generelle regler med henblik på at beskytte fysiske personer i forbindelse med behandlingen af personoplysninger og sikre fri udveksling af personoplysninger i Unionen, fastsætter direktivet særlige regler med henblik på at beskytte fysiske personer i forbindelse med behandlingen af personoplysninger og sikre fri udveksling af personoplysninger i Unionen inden for retligt samarbejde i straffesager og politisamarbejde. (4)I forordning (EU) 2016/679 fremhæves behovet for de nødvendige tilpasninger af forordning (EF) nr. 45/2001 med henblik på sikre en stærk og sammenhængende databeskyttelsesramme i Unionen, så denne ramme kan finde anvendelse samtidig med forordning (EU) 2016/679. (5)Af hensyn til en sammenhængende tilgang til beskyttelse af personoplysninger i hele Unionen og fri udveksling af personoplysninger i Unionen bør databeskyttelsesreglerne for Unionens institutioner, organer, kontorer og agenturer så vidt muligt tilpasses til de databeskyttelsesregler, der er vedtaget for medlemsstaterne. Når bestemmelserne i nærværende forordning bygger på det samme koncept som bestemmelserne i forordning (EU) 2016/679, bør disse to bestemmelser fortolkes ensartet, navnlig fordi ordningen i nærværende forordning skal betragtes som en pendant til ordningen i forordning (EU) 2016/679.

(6)Personer, hvis personoplysninger behandles af Unionens institutioner og organer, uanset i hvilken sammenhæng, f.eks. fordi de er ansat af disse institutioner og organer, bør beskyttes. Denne forordning bør ikke finde anvendelse på behandlingen af personoplysninger om afdøde personer. Denne forordning finder ikke anvendelse på behandling af personoplysninger, der vedrører juridiske personer, navnlig virksomheder, der er etableret som juridiske personer, herunder den juridiske persons navn, form og kontaktoplysninger. (7)For at undgå at skabe en alvorlig risiko for omgåelse bør beskyttelsen af fysiske personer være teknologineutral og ikke afhænge af de anvendte teknikker. Beskyttelsen af fysiske personer bør gælde for både automatisk og manuel behandling af personoplysninger, hvis personoplysningerne er indeholdt eller vil blive indeholdt i et register. Sagsmapper eller samlinger af sagsmapper samt deres forsider, som ikke er struktureret efter bestemte kriterier, bør ikke være omfattet af denne forordnings anvendelsesområde. (8)I erklæring nr. 21 om beskyttelse af personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde, der er knyttet som bilag til slutakten fra den regeringskonference, der vedtog Lissabontraktaten, erkendte konferencen, at det kan blive nødvendigt med specifikke regler om beskyttelse af personoplysninger og om fri udveksling af personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde baseret på artikel 16 i TEUF som følge af disse områders specifikke karakter. Denne forordning bør derfor kun finde anvendelse på EU-agenturer, der udfører aktiviteter inden for retligt samarbejde i straffesager og politisamarbejde, i det omfang den EU-ret, der finder anvendelse på sådanne agenturer, ikke indeholder særlige regler om behandling af personoplysninger. (9)Direktiv (EU) 2016/680 fastsætter harmoniserede regler om beskyttelse og fri udveksling af personoplysninger, der behandles med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed. For at fremme det samme beskyttelsesniveau for fysiske personer gennem rettigheder, der kan håndhæves i hele Unionen, og forhindre forskelle, der hæmmer udvekslingen af personoplysninger mellem EU-agenturer, som udfører aktiviteter inden for retligt samarbejde i straffesager og politisamarbejde, og kompetente myndigheder i medlemsstaterne, bør reglerne om beskyttelse og fri udveksling af operationelle personoplysninger, der behandles af sådanne EU-agenturer, bygge på de principper, der ligger til grund for denne forordning og være forenelige med direktiv (EU) 2016/680. (10)Såfremt retsakten om oprettelse af et EU-agentur, der udfører aktiviteter henhørende under kapitel 4 og 5 i afsnit V i traktaten, omfatter en særskilt databeskyttelsesordning for behandling af operationelle personoplysninger, bør disse ordninger ikke berøres af denne forordning. Kommissionen bør dog i overensstemmelse med artikel 62 i direktiv (EU) 2016/680 senest den 6. maj 2019 gennemgå EU-retsakter, som regulerer de kompetente myndigheders behandling, med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, og hvor det er relevant, fremsætte de nødvendige forslag til ændring af disse retsakter for at sikre en konsekvent tilgang til beskyttelse af personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde. (11)Principperne om databeskyttelse bør gælde for alle oplysninger om en identificeret eller identificerbar fysisk person. Personoplysninger, der har været genstand for pseudonymisering, og som kan henføres til en fysisk person ved brug af supplerende oplysninger, bør anses for at være oplysninger om en identificerbar fysisk person. For at afgøre, om en fysisk person er identificerbar, bør alle midler tages i betragtning, som med rimelighed kan tænkes bragt i anvendelse af den dataansvarlige eller en anden person til direkte eller indirekte at identificere, herunder udpege, den pågældende. For at fastslå, om midler med rimelighed kan tænkes bragt i anvendelse til at identificere en fysisk person, bør alle objektive forhold tages i betragtning, såsom de omkostninger og den tid, der kræves for identifikation, under hensyntagen til den tilgængelige teknologi på behandlingstidspunktet og den teknologiske udvikling. Principperne om databeskyttelse bør derfor ikke gælde for anonyme oplysninger, dvs. oplysninger der ikke vedrører en identificeret eller identificerbar fysisk person, eller for personoplysninger, som er gjort anonyme på en sådan måde, at den registrerede ikke eller ikke længere kan identificeres. Denne forordning vedrører derfor ikke behandling af sådanne anonyme oplysninger, herunder til statistiske eller forskningsmæssige formål. (12)Anvendelsen af pseudonymisering af personoplysninger kan mindske risikoen for de berørte registrerede og gøre det lettere for dataansvarlige og databehandlere at opfylde deres databeskyttelsesforpligtelser. Det er ikke tanken med den udtrykkelige indførelse af "pseudonymisering" i denne forordning at udelukke andre databeskyttelsesforanstaltninger. (13)Fysiske personer kan tilknyttes onlineidentifikatorer, som tilvejebringes af deres enheder, applikationer, værktøjer og protokoller, såsom IP-adresser og cookieidentifikatorer, eller andre identifikatorer, såsom radiofrekvensidentifikationsmærker. Dette kan efterlade spor, der, navnlig når de kombineres med unikke identifikatorer og andre oplysninger, som serverne modtager, kan bruges til at oprette profiler om fysiske personer og identificere dem. (14)Samtykke bør gives i form af en klar bekræftelse, der indebærer en frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved denne accepterer, at personoplysninger om vedkommende behandles, f.eks. ved en skriftlig erklæring, herunder elektronisk, eller en mundtlig erklæring. Dette kan f.eks. foregå ved at sætte kryds i et felt ved besøg på et websted, ved valg af tekniske indstillinger til informationssamfundstjenester eller en anden erklæring eller handling, der i denne forbindelse tydeligt tilkendegiver den registreredes accept af den foreslåede behandling af vedkommendes personoplysninger. Tavshed, forudafkrydsede felter eller inaktivitet bør derfor ikke udgøre samtykke. Samtykke bør dække alle behandlingsaktiviteter, der udføres til det eller de samme formål. Når behandling tjener flere formål, bør der gives samtykke til dem alle. Hvis den registreredes samtykke skal gives efter en elektronisk anmodning, skal anmodningen være klar, kortfattet og ikke unødigt forstyrre brugen af den tjeneste, som samtykke gives til. (15)Enhver behandling af personoplysninger bør være lovlig og rimelig. Det bør være gennemsigtigt for de pågældende fysiske personer, at personoplysninger, der vedrører dem, indsamles, anvendes, tilgås eller på anden vis behandles, og i hvilket omfang personoplysningerne behandles eller vil blive behandlet. Princippet om gennemsigtighed tilsiger, at enhver information og kommunikation vedrørende behandling af disse personoplysninger er lettilgængelig og letforståelig, og at der benyttes et klart og enkelt sprog. Dette princip vedrører navnlig oplysningen til de registrerede om den dataansvarliges identitet og formålene med den pågældende behandling samt yderligere oplysninger for at sikre en rimelig og gennemsigtig behandling for de berørte fysiske personer og deres ret til at få bekræftelse og meddelelse om de personoplysninger vedrørende dem, der behandles. Fysiske personer bør gøres bekendt med risici, regler, garantier og rettigheder i forbindelse med behandling af personoplysninger og med, hvordan de skal udøve deres rettigheder i forbindelse med en sådan behandling. Især bør de specifikke formål med behandlingen af personoplysninger være udtrykkelige og legitime og fastlagt, når personoplysningerne indsamles. Personoplysningerne bør være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til formålene med deres behandling. Dette kræver navnlig, at det sikres, at perioden for opbevaring af personoplysningerne ikke er længere end strengt nødvendigt. Personoplysninger bør kun behandles, hvis formålet med behandlingen ikke med rimelighed kan opfyldes på anden måde. For at sikre, at personoplysninger ikke opbevares i længere tid end nødvendigt, bør den dataansvarlige indføre tidsfrister for sletning eller periodisk gennemgang. Der bør træffes enhver rimelig foranstaltning for at sikre, at personoplysninger, som er urigtige, berigtiges eller slettes. Personoplysninger bør behandles på en måde, der garanterer tilstrækkelig sikkerhed og fortrolighed, herunder for at hindre uautoriseret adgang til eller anvendelse af personoplysninger eller af det udstyr, der anvendes til behandlingen. (16)I overensstemmelse med princippet om ansvarlighed bør EU-institutioner og organer, når de fremsender personoplysninger til andre EU-institutioner eller organer, kontrollere, om sådanne personoplysninger kræves for den lovlige udførelse af opgaver, der henhører under modtagerens kompetence, når modtageren ikke selv er dataansvarlig. Efter at en modtager har anmodet om fremsendelse af personoplysninger, bør den dataansvarlige kontrollere, om der foreligger en relevant begrundelse for vedkommendes lovlige behandling af personoplysninger, samt modtagerens kompetence og bør foretage en foreløbig vurdering af, om det er nødvendigt at fremsende oplysningerne. Hvis der opstår tvivl om nødvendigheden, bør den dataansvarlige indhente yderligere oplysninger hos modtageren. Modtageren bør sikre, at nødvendigheden af fremsendelsen af oplysningerne efterfølgende kan kontrolleres. (17)For at behandling kan betragtes som lovlig, bør personoplysninger behandles på grundlag af nødvendigheden af at udføre en opgave, som udføres i samfundets interesse af Unionens institutioner og organer eller under offentlig myndighedsudøvelse, nødvendigheden af at overholde den retlige forpligtelse, som påhviler den dataansvarlige, eller et andet legitimt grundlag som omhandlet i denne forordning, herunder den registreredes samtykke, eller nødvendigheden af at opfylde en kontrakt, som den registrerede er part i, eller af hensyn til foranstaltninger, der træffes på dennes anmodning forud for indgåelse af en sådan kontrakt. Behandling af personoplysninger, som finder sted med henblik på udførelse af de opgaver, som Unionens institutioner og organer udfører i samfundets interesse, omfatter behandling af personoplysninger, der er nødvendig for disse institutioners og organers forvaltning og funktion. Behandling af personoplysninger, der er nødvendige for at beskytte en interesse af fundamental betydning for den registreredes eller en anden fysisk persons liv, bør ligeledes anses for lovlig. Behandling af personoplysninger på grundlag af en anden fysisk persons vitale interesser bør i princippet kun finde sted, hvis behandlingen tydeligvis ikke kan baseres på et andet retsgrundlag. Nogle typer behandling kan tjene både vigtige samfundsmæssige interesser og den registreredes vitale interesser, f.eks. når behandling er nødvendig af humanitære årsager, herunder med henblik på at overvåge epidemier og deres spredning eller i humanitære nødsituationer, navnlig i tilfælde af naturkatastrofer og menneskeskabte katastrofer. (18)EU-retten, herunder de interne regler som omhandlet i denne forordning, bør være klar og præcis, og dens anvendelse bør være forudsigelig for personer, der er omfattet af den, jf. Den Europæiske Unions Domstols og Den Europæiske Menneskerettighedsdomstols retspraksis. (19)Behandling af personoplysninger til andre formål end dem, som personoplysningerne oprindelig blev indsamlet til, bør kun tillades, hvis behandlingen er forenelig med de formål, som personoplysningerne oprindelig blev indsamlet til. I dette tilfælde kræves der ikke andet retsgrundlag end det, der begrundede indsamlingen af personoplysningerne. Hvis behandling er nødvendig for at udføre en opgave i samfundets interesse eller henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt, kan EU-retten fastsætte og præcisere de opgaver og formål, hvortil det bør være foreneligt og lovligt at foretage viderebehandling. Viderebehandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål bør anses for at være forenelige lovlige behandlingsaktiviteter. Retsgrundlaget i EU-retten for behandling af personoplysninger kan også udgøre et retsgrundlag for viderebehandling. For at fastslå, om et formål med viderebehandling er foreneligt med det formål, som personoplysningerne oprindelig blev indsamlet til, bør den dataansvarlige efter at have opfyldt alle kravene til lovligheden af den oprindelige behandling bl.a. tage hensyn til enhver forbindelse mellem disse formål og formålet med den påtænkte viderebehandling, den sammenhæng, som personoplysningerne er blevet indsamlet i, navnlig de registreredes rimelige forventninger til den videre anvendelse heraf på grundlag af deres forhold til den dataansvarlige, personoplysningernes art, konsekvenserne af den påtænkte viderebehandling for de registrerede og tilstedeværelse af fornødne garantier i forbindelse med både de oprindelige og de påtænkte yderligere behandlingsaktiviteter. (20)Hvis behandling er baseret på den registreredes samtykke, bør den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandlingen. Navnlig i forbindelse med skriftlige erklæringer om andre forhold bør garantier sikre, at den registrerede er bekendt med, at og i hvilket omfang der er givet samtykke. I overensstemmelse med Rådets direktiv 93/13/EØF bør der stilles en samtykkeerklæring, som er udformet af den dataansvarlige, til rådighed i en letforståelig og lettilgængelig form og i et klart og enkelt sprog, og den bør ikke indeholde urimelige vilkår. For at sikre, at samtykket er informeret, bør den registrerede som minimum være bekendt med den dataansvarliges identitet og formålene med den behandling, som personoplysningerne skal bruges til. Samtykke bør ikke anses for at være givet frivilligt, hvis den registrerede ikke har et reelt eller frit valg eller ikke kan afvise eller trække sit samtykke tilbage, uden at det er til skade for den pågældende. (21)Børn bør nyde særlig beskyttelse af deres personoplysninger, eftersom de ofte er mindre bevidste om de pågældende risici, konsekvenser og garantier og deres rettigheder for så vidt angår behandling af personoplysninger. En sådan særlig beskyttelse bør navnlig gælde for oprettelse af personlighedsprofiler og indsamling af personoplysninger vedrørende børn, når der anvendes tjenester, der tilbydes direkte til et barn på websteder tilhørende Unionens institutioner og organer såsom kommunikationstjenester direkte mellem mennesker eller onlinesalg af billetter, og når behandlingen af personoplysninger er baseret på samtykke. (22)Når modtagere, der er etableret i Unionen og underlagt forordning (EU) 2016/679 eller direktiv (EU) 2016/680, ønsker at få fremsendt personoplysninger til dem fra Unionens institutioner og organer, bør disse modtagere påvise, at fremsendelsen er nødvendig for at nå deres mål, står i rimeligt forhold til og ikke går ud over, hvad der er nødvendigt for at nå dette mål. Unionens institutioner og organer bør i overensstemmelse med princippet om gennemsigtighed godtgøre, at dette er nødvendigt, når de selv indleder fremsendelsen. (23)Personoplysninger, der i kraft af deres karakter er særligt følsomme i forhold til grundlæggende rettigheder og frihedsrettigheder, bør nyde specifik beskyttelse, da den sammenhæng, som behandlingen af dem indgår i, kunne indebære betydelige risici for grundlæggende rettigheder og frihedsrettigheder. Disse personoplysninger bør omfatte personoplysninger om race eller etnisk oprindelse, idet anvendelsen af udtrykket "race" i denne forordning ikke betyder, at Unionen accepterer teorier, der søger at fastslå, at der findes forskellige menneskeracer. Behandling af fotografier bør ikke systematisk anses for at være behandling af særlige kategorier af personoplysninger, eftersom de kun vil være omfattet af definitionen af biometriske data, når de behandles ved en specifik teknisk fremgangsmåde, der muliggør entydig identifikation eller autentifikation af en fysisk person. Foruden de specifikke krav til behandling af følsomme oplysninger bør de generelle principper og andre regler i denne forordning finde anvendelse, navnlig for så vidt angår betingelserne for lovlig behandling. Der bør udtrykkeligt gives mulighed for undtagelser fra det generelle forbud mod behandling af sådanne særlige kategorier af personoplysninger, bl.a. hvis den registrerede giver sit udtrykkelige samtykke eller for så vidt angår specifikke behov, navnlig hvis behandling foretages i forbindelse med visse sammenslutningers eller stiftelsers legitime aktiviteter, hvis formål er at muliggøre udøvelse af grundlæggende frihedsrettigheder. (24)Behandling af særlige kategorier af personoplysninger kan være nødvendig af hensyn til samfundsinteresser hvad angår folkesundhed uden den registreredes samtykke. En sådan behandling bør være underlagt passende og specifikke foranstaltninger med henblik på at beskytte fysiske personers rettigheder og frihedsrettigheder. I denne sammenhæng fortolkes "folkesundhed" som defineret i Europa-Parlamentets og Rådets forordning (EF) nr. 1338/2008, dvs. alle elementer vedrørende sundhed, nemlig helbredstilstand, herunder sygelighed og invaliditet, determinanter med en indvirkning på helbredstilstanden, behov for sundhedspleje, ressourcer tildelt sundhedsplejen, ydelse af og almen adgang til sundhedspleje, udgifter til og finansiering af sundhedspleje samt dødsårsager. Sådan behandling af helbredsoplysninger af hensyn til samfundsinteresser bør ikke medføre, at tredjemænd behandler personoplysninger til andre formål. (25)Hvis de personoplysninger, der behandles af en dataansvarlig, ikke sætter den dataansvarlige i stand til at identificere en fysisk person, bør den dataansvarlige ikke være forpligtet til at indhente yderligere oplysninger for at identificere den registrerede udelukkende med det formål at overholde bestemmelserne i denne forordning. Den dataansvarlige bør dog ikke nægte at tage imod yderligere oplysninger fra den registrerede, som den pågældende giver med henblik på udøvelsen af sine rettigheder. Identifikation bør omfatte digital identifikation af en registreret, f.eks. gennem en autentifikationsmekanisme, såsom de samme legitimationsoplysninger som dem, den registrerede anvender til at logge på den onlinetjeneste, der tilbydes af den dataansvarlige.

(26)Behandling af personoplysninger til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål bør være omfattet af fornødne garantier for den registreredes rettigheder og frihedsrettigheder i henhold til denne forordning. Disse garantier bør sikre, at der er truffet tekniske og organisatoriske foranstaltninger til især at sikre princippet om dataminimering. Viderebehandling af personoplysninger til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål skal foretages, når den dataansvarlige har vurderet muligheden for at opfylde disse formål ved at behandle oplysninger, som ikke gør det muligt eller ikke længere gør det muligt at identificere de registrerede, forudsat at de fornødne garantier foreligger (som f.eks. pseudonymisering af oplysninger). Unionens institutioner og organer bør sikre de fornødne garantier for behandling af personoplysninger til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i EU-retten, der kan omfatte interne regler. (27)Der bør fastsættes nærmere regler, som kan lette udøvelsen af de registreredes rettigheder i henhold til denne forordning, herunder mekanismer til at anmode om og i givet fald opnå navnlig gratis indsigt i og berigtigelse eller sletning af personoplysninger og udøvelsen af retten til indsigelse. Den dataansvarlige bør også give mulighed for elektroniske anmodninger, navnlig hvis personoplysninger behandles elektronisk. Den dataansvarlige bør være forpligtet til at besvare sådanne anmodninger fra en registreret uden unødig forsinkelse og senest inden for en måned og begrunde det, hvis vedkommende ikke agter at imødekomme sådanne anmodninger. (28)Principperne om rimelig og gennemsigtig behandling kræver, at den registrerede underrettes om behandlingsaktiviteters eksistens og deres formål. Den dataansvarlige bør give den registrerede eventuelle yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling, under hensyntagen til de specifikke omstændigheder og forhold, som personoplysningerne behandles under. Den registrerede bør desuden underrettes om tilstedeværelse af profilering og konsekvenserne heraf. Hvis personoplysninger indsamles fra den registrerede, bør den registrerede også underrettes om, hvorvidt den pågældende er forpligtet til at meddele personoplysningerne, og om konsekvenserne, hvis vedkommende ikke meddeler sådanne oplysninger. Denne information kan gives sammen med standardiserede ikoner med henblik på at give et meningsfuldt overblik over den planlagte behandling på en klart synlig, letlæselig og letforståelig måde. Hvis ikonerne præsenteres elektronisk, bør de være maskinlæsbare. (29)Oplysninger om behandling af personoplysninger bør gives til den registrerede på tidspunktet for indsamlingen fra den registrerede, eller hvis personoplysningerne indhentes fra en anden kilde, inden for en rimelig periode afhængigt af de konkrete omstændigheder. Hvis personoplysninger lovligt kan videregives til en anden modtager, bør den registrerede underrettes, når personoplysningerne første gang videregives til modtageren. Hvis den dataansvarlige agter at behandle personoplysningerne til et andet formål end det, hvortil de er indsamlet, bør den dataansvarlige forud for denne viderebehandling give den registrerede oplysninger om dette andet formål og andre nødvendige oplysninger. Hvis den registrerede ikke kan informeres om personoplysningernes oprindelse, fordi der er anvendt forskellige kilder, bør der gives generelle oplysninger. (30)En registreret bør have ret til indsigt i personoplysninger, der er indsamlet om vedkommende, og til let og med rimelige mellemrum at udøve denne ret med henblik på at forvisse sig om og kontrollere en behandlings lovlighed. Dette omfatter de registreredes ret til indsigt i deres helbredsoplysninger, f.eks. data i deres lægejournaler om diagnoser, undersøgelsesresultater, lægelige vurderinger samt enhver behandling og ethvert indgreb, der er foretaget. Enhver registreret bør derfor have ret til at kende og blive underrettet om navnlig de formål, hvortil personoplysningerne behandles, om muligt perioden, hvor personoplysningerne behandles, modtagerne af personoplysningerne, logikken bag en automatisk behandling af personoplysninger, og om konsekvenserne af sådan behandling, i det mindste når den er baseret på profilering. Denne ret bør ikke krænke andres rettigheder eller frihedsrettigheder, herunder forretningshemmeligheder eller intellektuel ejendomsret, navnlig den ophavsret, som programmerne er beskyttet af. Denne vurdering bør dog ikke resultere i en afvisning af at give al information til den registrerede. Hvis den dataansvarlige behandler en stor mængde oplysninger om den registrerede, bør den dataansvarlige kunne anmode om, at den registrerede, inden informationen gives, præciserer den information eller de behandlingsaktiviteter, som anmodningen vedrører. (31)En registreret bør have ret til at få berigtiget sine personoplysninger og "ret til at blive glemt", hvis opbevaringen af sådanne oplysninger overtræder denne forordning eller EU-ret, som den dataansvarlige er underlagt. En registreret bør have ret til at få sine personoplysninger slettet og ikke længere behandlet, hvis personoplysningerne ikke længere er nødvendige til de formål, hvortil de er blevet indsamlet eller på anden måde behandlet, hvis en registreret har trukket sit samtykke tilbage eller gør indsigelse mod behandling af personoplysninger om vedkommende, eller hvis behandlingen af vedkommendes personoplysninger i øvrigt ikke er i overensstemmelse med denne forordning. Denne ret er navnlig relevant, når den registrerede har givet sit samtykke som barn og ikke fuldt ud var bekendt med risiciene i forbindelse med behandlingen og senere ønsker at fjerne sådanne personoplysninger, særligt på internettet. Den registrerede bør kunne udøve denne ret, selv om vedkommende ikke længere er et barn. Yderligere opbevaring af personoplysningerne bør dog være lovlig, hvis det er nødvendigt for at udøve retten til ytrings- og informationsfrihed, for at overholde en retlig forpligtelse, for udførelsen af en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt, af hensyn til samfundsinteresser på folkesundhedsområdet, til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller statistiske formål, eller for at retskrav kan fastlægges, gøres gældende eller forsvares. (32)For at styrke retten til at blive glemt i onlinemiljøet bør retten til sletning udvides, så en dataansvarlig, der har offentliggjort personoplysninger, forpligtes til at underrette de dataansvarlige, der behandler sådanne personoplysninger, med henblik på at få slettet alle link til, kopier af eller gengivelser af disse personoplysninger. I den forbindelse bør den dataansvarlige tage rimelige skridt under hensyntagen til den tilgængelige teknologi og de midler, som den dataansvarlige har til sin rådighed, herunder tekniske foranstaltninger, til at informere de dataansvarlige, der behandler personoplysningerne, om den registreredes anmodning. (33)Metoder til at begrænse behandlingen af personoplysninger kan bl.a. indebære, at udvalgte oplysninger midlertidig flyttes til et andet behandlingssystem, at udvalgte personoplysninger gøres utilgængelige for brugere, eller at offentliggjorte oplysninger midlertidig fjernes fra et websted. I automatiske registre bør begrænsning af behandling i princippet sikres ved hjælp af tekniske midler på en sådan måde, at personoplysningerne ikke kan viderebehandles og ikke kan ændres. Det forhold, at behandling af personoplysninger er begrænset, bør angives tydeligt i systemet. (34)For at give den registrerede øget kontrol over sine personoplysninger bør vedkommende, når behandling af personoplysninger foretages automatisk, også kunne modtage personoplysninger om sig selv, som vedkommende har givet til en dataansvarlig, i et struktureret, almindeligt anvendt, maskinlæsbart og indbyrdes kompatibelt format og kunne fremsende dem til en anden dataansvarlig. Dataansvarlige bør opfordres til at udvikle indbyrdes kompatible formater, der muliggør dataportabilitet. Denne ret bør gælde, hvis den registrerede har givet personoplysningerne på grundlag af sit samtykke, eller hvis behandlingen er nødvendig for opfyldelsen af en kontrakt. Derfor bør den ikke gælde, hvis behandlingen af personoplysninger er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige, eller for at udføre en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. Den registreredes ret til at fremsende eller modtage personoplysninger vedrørende sig selv bør ikke skabe en forpligtelse for de dataansvarlige til at indføre eller opretholde behandlingssystemer, som er teknisk kompatible. Såfremt et sæt personoplysninger vedrører mere end én registreret, bør retten til at modtage personoplysningerne ikke berøre andre registreredes rettigheder og frihedsrettigheder i overensstemmelse med denne forordning. Denne ret bør endvidere ikke berøre den registreredes ret til at få slettet personoplysninger og begrænsningerne i denne ret som fastsat i denne forordning og bør navnlig ikke indebære, at personoplysninger, som den registrerede har givet til opfyldelse af en kontrakt, slettes, i det omfang og så længe personoplysningerne er nødvendige for opfyldelse af kontrakten. Hvis det er teknisk muligt, bør den registrerede have ret til at få personoplysningerne fremsendt direkte fra en dataansvarlig til en anden. (35)Hvis personoplysninger kan behandles lovligt, fordi behandling er nødvendig for at udføre en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt, bør en registreret ikke desto mindre have ret til at gøre indsigelse mod behandling af personoplysninger på baggrund af den pågældendes særlige situation. Det bør være op til den dataansvarlige at påvise, at dennes vægtige legitime interesse går forud for den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder. (36)Den registrerede bør have ret til ikke at blive gjort til genstand for en afgørelse, der kan omfatte en foranstaltning, som evaluerer personlige forhold vedrørende vedkommende, og som alene bygger på automatisk behandling, og som har retsvirkning eller som på tilsvarende vis i betydelig grad påvirker den pågældende, såsom e-rekrutteringsprocedurer uden nogen menneskelig indgriben. En sådan behandling omfatter "profilering", der består af enhver form for automatisk behandling af personoplysninger, der evaluerer de personlige forhold vedrørende en fysisk person, navnlig for at analysere eller forudsige forhold vedrørende den registreredes arbejdsindsats, økonomiske situation, helbred, personlige præferencer eller interesser, pålidelighed eller adfærd eller geografiske position eller bevægelser, når den har retsvirkning for den pågældende eller på tilsvarende vis i betydelig grad påvirker den pågældende. Afgørelser baseret på en sådan behandling, herunder profilering, bør dog være tilladt, når EU-retten udtrykkeligt tillader det, En sådan behandling bør under alle omstændigheder være omfattet af de fornødne garantier, herunder specifik underretning af den registrerede og retten til menneskelig indgriben, til at fremkomme med synspunkter, til at få en forklaring på den afgørelse, der er truffet efter en sådan evaluering, og til at bestride afgørelsen. En sådan foranstaltning bør ikke omfatte et barn. For at sikre en rimelig og gennemsigtig behandling for så vidt angår den registrerede under hensyntagen til de specifikke omstændigheder og forhold, som personoplysningerne behandles under, bør den dataansvarlige anvende passende matematiske eller statistiske procedurer til profileringen, gennemføre tekniske og organisatoriske foranstaltninger, der navnlig kan sikre, at faktorer, der resulterer i unøjagtige personoplysninger, bliver rettet, og at risikoen for fejl minimeres, samt sikre personoplysninger på en måde, der tager højde for de potentielle risici for den registreredes interesser og rettigheder, og som hindrer bl.a. forskelsbehandling af fysiske personer på grund af race eller etnisk oprindelse, politisk eller religiøs overbevisning, fagforeningsmæssigt tilhørsforhold, genetisk status eller helbredstilstand eller seksuel orientering, eller som resulterer i foranstaltninger, der har en sådan virkning. Automatiske afgørelser og profilering baseret på særlige kategorier af personoplysninger bør kun tillades under særlige omstændigheder. (37)Retsakter vedtaget på grundlag af traktaterne eller interne regler i Unionens institutioner og organer kan pålægge restriktioner vedrørende specifikke principper og retten til oplysninger, indsigt i og berigtigelse eller sletning af personoplysninger, retten til dataportabilitet, fortroligheden af elektronisk kommunikation samt underretning om et brud på persondatasikkerheden til en registreret og visse tilknyttede forpligtelser for de dataansvarlige, for så vidt det er nødvendigt og forholdsmæssigt i et demokratisk samfund af hensyn til den offentlige sikkerhed, forebyggelse, efterforskning og retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed, herunder beskyttelse af menneskeliv, især som reaktion på naturkatastrofer eller menneskeskabte katastrofer, den interne sikkerhed i Unionens institutioner og organer, andre af Unionens eller en medlemsstats samfundsinteresser, navnlig Unionens eller en medlemsstats vigtige økonomiske eller finansielle interesser, føring af offentlige registre i offentlighedens interesse eller beskyttelse af den registrerede eller andres rettigheder og frihedsrettigheder, herunder social sikring, folkesundhed og humanitære formål. Når en sådan begrænsning ikke er fastsat i retsakter, der er vedtaget på grundlag af traktaterne eller deres interne regler, kan Unionens institutioner og organer i et konkret tilfælde pålægge en ad hoc-begrænsning af den registreredes specifikke principper og rettigheder, hvis en sådan begrænsning respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder, og hvis den i relation til en specifik behandlingsaktivitet er nødvendig og forholdsmæssig i et demokratisk samfund af hensyn til et eller flere af de mål, som er nævnt i punkt 1. (###) Begrænsningen bør ikke meddeles databeskyttelsesrådgiveren. Alle begrænsninger bør være i overensstemmelse med kravene i chartret og i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder. (38)Der bør fastsættes bestemmelser om den dataansvarliges ansvar, herunder erstatningsansvar, for enhver behandling af personoplysninger, der foretages af den dataansvarlige eller på den dataansvarliges vegne. Den dataansvarlige bør navnlig have pligt til at gennemføre passende og effektive foranstaltninger og til at påvise, at behandlingsaktiviteter overholder denne forordning, herunder foranstaltningernes effektivitet. Disse foranstaltninger bør tage højde for behandlingens karakter, omfang, sammenhæng og formål og risikoen for fysiske personers rettigheder og frihedsrettigheder. Risiciene for fysiske personers rettigheder og frihedsrettigheder af varierende sandsynlighed og alvor kan opstå som følge af behandling af personoplysninger, der kan føre til fysisk, materiel eller immateriel skade, navnlig hvis behandlingen kan give anledning til forskelsbehandling, identitetstyveri eller -svig, finansielle tab, skade på omdømme, tab af fortrolighed for personoplysninger, der er omfattet af tavshedspligt, uautoriseret ophævelse af pseudonymisering eller andre betydelige økonomiske eller sociale konsekvenser, hvis de registrerede kan blive berøvet deres rettigheder og frihedsrettigheder eller forhindret i at udøve kontrol med deres personoplysninger, hvis der behandles personoplysninger, der viser race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, og behandling af genetiske data, helbredsoplysninger eller oplysninger om seksuelle forhold eller straffedomme og lovovertrædelser eller tilknyttede sikkerhedsforanstaltninger, hvis personlige forhold evalueres, navnlig analyse eller forudsigelse af forhold vedrørende indsats på arbejdspladsen, økonomisk situation, helbred, personlige præferencer eller interesser, pålidelighed eller adfærd eller geografisk position eller bevægelser, med henblik på at oprette eller anvende personlige profiler, hvis der behandles personoplysninger om sårbare fysiske personer, navnlig børn, eller hvis behandlingen omfatter en stor mængde personoplysninger og berører et stort antal registrerede. Risikoens sandsynlighed og alvor for så vidt angår den registreredes rettigheder og frihedsrettigheder bør bestemmes med henvisning til behandlingens karakter, omfang, sammenhæng og formål. Risikoen bør evalueres på grundlag af en objektiv vurdering, hvorved det fastslås, om databehandlingsaktiviteter indebærer en risiko eller en høj risiko. (39)Beskyttelse af fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger kræver, at der træffes passende tekniske og organisatoriske foranstaltninger for at sikre, at denne forordnings krav er opfyldt. For at kunne påvise overholdelse af denne forordning bør den dataansvarlige vedtage interne politikker og gennemføre foranstaltninger, som især lever op til principperne om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger. Sådanne foranstaltninger kan bl.a. bestå i minimering af behandlingen af personoplysninger, pseudonymisering af personoplysninger så hurtigt som muligt og gennemsigtighed for så vidt angår personoplysningers funktion og behandling, således at den registrerede kan føre tilsyn med databehandlingen, og den dataansvarlige kan tilvejebringe og forbedre sikkerhedselementer. Der bør også tages hensyn til principperne om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger i forbindelse med offentlige udbud. (40)Beskyttelse af registreredes rettigheder og frihedsrettigheder samt de dataansvarliges og databehandlernes ansvar og erstatningsansvar kræver en klar fordeling af ansvarsområderne i medfør af denne forordning, herunder når en dataansvarlig fastlægger formålene med og hjælpemidlerne til behandling sammen med andre dataansvarlige, eller når en behandlingsaktivitet foretages på vegne af en dataansvarlig. (41)Med henblik på at sikre overholdelse af kravene i denne forordning i forbindelse med behandling, der foretages af en databehandler på vegne af den dataansvarlige, når databehandleren overdrages behandlingsaktiviteter, bør den dataansvarlige udelukkende benytte sig af databehandlere, der giver tilstrækkelige garantier, navnlig i form af ekspertise, pålidelighed og ressourcer, for implementering af tekniske og organisatoriske foranstaltninger, der opfylder kravene i denne forordning, herunder med hensyn til behandlingssikkerhed. Databehandleres, bortset fra EU-institutioners og -organers, overholdelse af en godkendt adfærdskodeks eller en godkendt certificeringsmekanisme kan bruges som et element til at påvise, at den dataansvarlige overholder sine forpligtelser. Bestemmelserne om behandling ved en databehandler bør fastsættes i en kontrakt eller et andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, der binder databehandleren til den dataansvarlige, og hvori behandlingens genstand og varighed, behandlingens karakter og formål, typen af personoplysninger og kategorierne af registrerede er fastsat, idet der tages hensyn til databehandleres specifikke opgaver og ansvar i forbindelse med den behandling, der skal foretages, og risikoen for den registreredes rettigheder og frihedsrettigheder. Den dataansvarlige og databehandleren bør være i stand til at vælge at anvende en individuel kontrakt eller standardkontraktbestemmelser, der er vedtaget enten direkte af Kommissionen eller af Den Europæiske Tilsynsførende for Databeskyttelse og derefter vedtaget af Kommissionen. Databehandleren bør efter den dataansvarliges valg tilbagelevere eller slette de pågældende personoplysninger efter afslutning af den behandling, der er foretaget på vegne af den dataansvarlige, medmindre EU-retten eller medlemsstaternes nationale ret, som databehandleren er underlagt, indeholder et krav om opbevaring af disse personoplysninger. (42)For at påvise overholdelse af denne forordning bør de dataansvarlige føre fortegnelser over behandlingsaktiviteter, der henhører under deres ansvar, og databehandlerne bør føre fortegnelser over de kategorier af behandlingsaktiviteter, der henhører under deres ansvar. Unionens institutioner og organer bør have pligt til at samarbejde med Den Europæiske Tilsynsførende for Databeskyttelse og efter anmodning stille disse fortegnelser til rådighed for denne, så de kan bruges til at føre tilsyn med sådanne behandlingsaktiviteter. Unionens institutioner og organer bør kunne oprette en central fortegnelse over deres behandlingsaktiviteter. Af hensyn til gennemsigtigheden bør de også kunne offentliggøre en sådan fortegnelse. (43)For at opretholde sikkerheden og hindre behandling i strid med denne forordning bør den dataansvarlige eller databehandleren vurdere de risici, som en behandling indebærer, og gennemføre foranstaltninger, der kan begrænse disse risici, som f.eks. kryptering. Disse foranstaltninger bør under hensyntagen til det aktuelle tekniske niveau og implementeringsomkostningerne sikre et tilstrækkeligt sikkerhedsniveau, herunder fortrolighed, i forhold til risiciene og karakteren af de personoplysninger, der skal beskyttes. Ved vurderingen af datasikkerhedsrisikoen bør der tages hensyn til de risici, som behandling af personoplysninger indebærer, såsom hændelig eller ulovlig tilintetgørelse, tab, ændring eller uautoriseret fremsendelse af eller adgang til personoplysninger, der er fremsendt, opbevaret eller på anden måde behandlet, og som navnlig kan føre til fysisk, materiel eller immateriel skade. (44)Unionens institutioner og organer bør sikre fortroligheden af elektronisk kommunikation i overensstemmelse med artikel 7 i chartret. Unionens institutioner og organer bør navnlig garantere sikkerheden i forbindelse med deres elektroniske kommunikationsnetværk, beskytte oplysninger vedrørende slutbrugere af terminaludstyr med adgang til offentligt tilgængelige websteder og mobilapplikationer i overensstemmelse med forordning (EU) XXXX/XX [ny e-databeskyttelsesforordning] og beskytte brugernes personoplysninger i brugerfortegnelser.

(45) Et brud på persondatasikkerheden kan, hvis det ikke håndteres på en passende og rettidig måde, påføre fysiske personer fysisk, materiel eller immateriel skade. Så snart den dataansvarlige bliver bekendt med, at der er sket et brud på persondatasikkerheden, bør vedkommende derfor anmelde bruddet på persondatasikkerheden til Den Europæiske Tilsynsførende for Datasikkerhed uden unødig forsinkelse og om muligt senest 72 timer efter, at denne er blevet bekendt med det, medmindre den dataansvarlige i overensstemmelse med ansvarlighedsprincippet kan påvise, at bruddet på persondatasikkerheden sandsynligvis ikke indebærer risiko for fysiske personers rettigheder eller frihedsrettigheder. Hvis en sådan anmeldelse ikke kan ske inden for 72 timer, bør den ledsages af en begrundelse for forsinkelsen, og oplysningerne kan indgives trinvis uden unødig yderligere forsinkelse. Hvis en sådan forsinkelse er berettiget, bør mindre følsomme eller mindre specifikke oplysninger om bruddet offentliggøres snarest muligt, frem for at vente med at foretage anmeldelse, indtil den underliggende hændelse er løst fuldt og helt. (46)Den dataansvarlige bør underrette den registrerede om et brud på persondatasikkerheden uden unødig forsinkelse, når dette brud på persondatasikkerheden sandsynligvis vil indebære en høj risiko for den fysiske persons rettigheder og frihedsrettigheder, med henblik på at give vedkommende mulighed for at træffe de fornødne forholdsregler. Underretningen bør beskrive karakteren af bruddet på persondatasikkerheden og indeholde anbefalinger til den berørte fysiske person med henblik på at begrænse de mulige skadevirkninger. Sådanne underretninger til registrerede bør gives, så snart det med rimelighed er muligt, og i tæt samarbejde med Den Europæiske Tilsynsførende for Databeskyttelse i overensstemmelse med retningslinjer, der er udstukket af denne eller af andre relevante myndigheder, såsom retshåndhævende myndigheder. (47)Forordning (EF) nr. 45/2001 pålægger den dataansvarlige en generel forpligtelse til at anmelde behandlingen af personoplysninger til databeskyttelsesrådgiveren, der til gengæld fører en fortegnelse over anmeldte behandlingsaktiviteter. Denne forpligtelse medførte en administrativ og finansiel byrde, men den bidrog ikke i alle tilfælde til at forbedre beskyttelsen af personoplysninger. En sådan vilkårlig og generel anmeldelsespligt bør derfor afskaffes og erstattes med effektive procedurer og mekanismer, som i stedet fokuserer på de typer behandlingsaktiviteter, der sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder som følge af deres karakter, omfang, sammenhæng og formål. Sådanne typer behandlingsaktiviteter kunne være aktiviteter, der navnlig indebærer brug af ny teknologi, eller en ny form for aktiviteter, hvor den dataansvarlige endnu ikke har foretaget en konsekvensanalyse vedrørende databeskyttelse, eller som er blevet nødvendige på grund af den tid, der er gået siden den oprindelige behandling. I sådanne tilfælde bør den dataansvarlige inden behandlingen foretage en konsekvensanalyse vedrørende databeskyttelse med henblik på at vurdere den høje risikos specifikke sandsynlighed og alvor under hensyntagen til behandlingens karakter, omfang, sammenhæng og formål samt risikokilderne. Konsekvensanalysen bør navnlig omfatte de foranstaltninger, garantier og mekanismer, der er planlagt til begrænsning af denne risiko, til sikring af beskyttelsen af personoplysninger og påvisning af overholdelse af denne forordning. (48)Såfremt en konsekvensanalyse vedrørende databeskyttelse viser, at en behandling uden garantier, sikkerhedsforanstaltninger og mekanismer til at begrænse risikoen vil føre til en høj risiko for fysiske personers rettigheder og frihedsrettigheder, og den dataansvarlige mener, at risikoen ikke kan begrænses gennem rimelige midler for så vidt angår tilgængelig teknologi og gennemførelsesomkostninger, bør Den Europæiske Tilsynsførende for Databeskyttelse høres inden indledning af behandlingsaktiviteterne. En sådan høj risiko vil sandsynligvis være en følge af visse typer behandling og omfanget og hyppigheden af behandlingen, der også kunne føre til skade for eller indgreb i fysiske personers rettigheder og frihedsrettigheder. Den Europæiske Tilsynsførende for Databeskyttelse bør reagere på en høringsanmodning inden for et fastsat tidsrum. Den Europæiske Tilsynsførende for Databeskyttelses manglende reaktion inden for dette tidsrum bør dog ikke berøre Den Europæiske Tilsynsførende for Databeskyttelses mulighed for at gribe ind i overensstemmelse med dens opgaver og beføjelser i henhold til denne forordning, herunder beføjelsen til at forbyde behandlingsaktiviteter. Som led i denne høringsproces bør det være muligt at forelægge resultatet af en konsekvensanalyse vedrørende databeskyttelse, der foretages for den pågældende behandling, for Den Europæiske Tilsynsførende for Databeskyttelse, navnlig de foranstaltninger, der påtænkes for at begrænse risikoen for fysiske personers rettigheder og frihedsrettigheder. (49)Den Europæiske Tilsynsførende for Databeskyttelse bør underrettes om administrative foranstaltninger og interne regler i Unionens institutioner og organer, der muliggør behandlingen af personoplysninger, fastsætter betingelser for begrænsninger af den registreredes rettigheder eller tilvejebringer passende garantier for den registreredes rettigheder, for at sikre, at den planlagte behandling er i overensstemmelse med denne forordning, og navnlig for at begrænse risiciene for den registrerede. (50)Med forordning (EU) 2016/679 blev Det Europæiske Databeskyttelsesråd oprettet som et uafhængigt EU-organ med status som juridisk person. Databeskyttelsesrådet bør bidrage til en konsekvent anvendelse af forordning (EU) 2016/679 og direktiv 2016/680 i hele Unionen, herunder ved at rådgive Kommissionen. Samtidig bør Den Europæiske Tilsynsførende for Databeskyttelse fortsat udføre sine tilsyns- og rådgivningsfunktioner over for alle Unionens institutioner og organer, herunder på eget initiativ eller efter anmodning. Med henblik på at sikre sammenhæng mellem databeskyttelsesreglerne i hele Unionen bør det være obligatorisk at høre Kommissionen efter vedtagelsen af lovgivningsmæssige retsakter eller under udarbejdelsen af delegerede retsakter og gennemførelsesretsakter som omhandlet i artikel 289, 290 og 291 i TEUF og efter vedtagelsen af henstillinger og forslag vedrørende aftaler med tredjelande og internationale organisationer som omhandlet i artikel 218 i TEUF, der har konsekvenser for retten til beskyttelse af personoplysninger. I sådanne tilfælde bør Kommissionen have pligt til at høre Den Europæiske Tilsynsførende for Databeskyttelse, undtagen når forordning (EU) 2016/679 foreskriver obligatorisk høring af Det Europæiske Databeskyttelsesråd, f.eks. om afgørelser om tilstrækkeligt beskyttelsesniveau eller delegerede retsakter om standardiserede ikoner og krav til certificeringsmekanismer. Når den pågældende retsakt har særlig betydning for beskyttelsen af fysiske personers rettigheder og frihedsrettigheder med hensyn til behandlingen af personoplysninger, bør Kommissionen derudover have mulighed for at høre Det Europæiske Databeskyttelsesråd. I disse tilfælde bør Den Europæiske Tilsynsførende for Databeskyttelse som medlem af Det Europæiske Databeskyttelsesråd koordinere sit arbejde med sidstnævnte med henblik på at afgive en fælles udtalelse. Den Europæiske Tilsynsførende for Databeskyttelse og, hvor det er hensigtsmæssigt, Det Europæiske Databeskyttelsesråd bør yde sin skriftlige rådgivning inden seks uger. Denne tidsramme bør være kortere i hastende tilfælde, eller når det på anden vis er hensigtsmæssigt, f.eks. når Kommissionen udarbejder delegerede retsakter og gennemførelsesretsakter. (51)I hver EU-institution eller hvert EU-organ bør en databeskyttelsesrådgiver sikre, at bestemmelserne i denne forordning finder anvendelse, og bør rådgive de dataansvarlige og databehandlerne under opfyldelsen af deres forpligtelser. Denne rådgiver børe være en person med ekspertviden om databeskyttelseslovgivning og -praksis, der navnlig bør fastlægges i forhold til de databehandlingsaktiviteter, der foretages, og den beskyttelse, der kræves for de personoplysninger, som den dataansvarlige eller databehandleren behandler. Sådanne databeskyttelsesrådgivere bør være i stand til at udøve deres hverv på uafhængig vis. (52)Når personoplysninger overføres fra Unionens institutioner og organer til dataansvarlige, databehandlere eller andre modtagere i tredjelande eller til internationale organisationer, må det beskyttelsesniveau, som fysiske personer sikres i Unionen i medfør af denne forordning, dog ikke undermineres, herunder i tilfælde af videreoverførsel af personoplysninger fra et tredjeland eller en international organisation til dataansvarlige, databehandlere i det samme eller et andet tredjeland eller en anden international organisation. Overførsel til tredjelande og internationale organisationer må under alle omstændigheder kun finde sted under fuld overholdelse af denne forordning. En overførsel vil kun kunne finde sted, hvis den dataansvarlige eller databehandleren opfylder betingelserne i denne forordning vedrørende overførsel af personoplysninger til tredjelande eller internationale organisationer, jf. dog de øvrige bestemmelser i denne forordning. (53)Kommissionen kan i henhold til artikel 45 i forordning (EU) 2016/679 beslutte, at et tredjeland, et område eller en specifik sektor i et tredjeland, eller en international organisation sikrer et tilstrækkeligt databeskyttelsesniveau. I sådanne tilfælde kan personoplysninger overføres til det pågældende tredjeland eller den pågældende internationale organisation af en EU-institution eller et EU-organ uden yderligere godkendelse. (54)I mangel af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet bør den dataansvarlige eller databehandleren træffe foranstaltninger for at kompensere for den manglende databeskyttelse i et tredjeland i form af fornødne garantier for den registrerede. Sådanne fornødne garantier kan bestå i anvendelse af standardbestemmelser om databeskyttelse vedtaget af Kommissionen, standardbestemmelser om databeskyttelse vedtaget af en Den Europæiske Tilsynsførende for Databeskyttelse eller kontraktbestemmelser godkendt af Den Europæiske Tilsynsførende for Databeskyttelse. Når databehandleren ikke er en EU-institution eller et EU-organ, kan disse fornødne garantier også bestå i bindende virksomhedsregler, adfærdskodekser og certificeringsmekanismer, der anvendes til internationale overførsler i henhold til forordning (EU) 2016/679. Disse garantier bør sikre overholdelse af databeskyttelseskravene og de registreredes rettigheder i forbindelse med intern behandling i Unionen, herunder tilgængelighed af rettigheder, som kan håndhæves, for registrerede og effektive retsmidler, herunder til at opnå effektiv administrativ eller retslig prøvelse og til at kræve erstatning, i Unionen eller et tredjeland. Garantierne bør navnlig vedrøre overholdelse af de generelle principper for behandling af personoplysninger og principperne om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger. Overførsler kan også foretages af Unionens institutioner eller organer til offentlige myndigheder eller organer i tredjelande eller til internationale organisationer med tilsvarende opgaver eller funktioner, herunder på grundlag af bestemmelser, der medtages i administrative ordninger, f.eks. et aftalememorandum, hvorved de registrerede sikres effektive rettigheder, som kan håndhæves. Godkendelse fra Den Europæiske Tilsynsførende for Databeskyttelse bør indhentes, når garantierne indgår i administrative ordninger, der ikke er juridisk bindende. (55)Den dataansvarliges eller databehandlerens mulighed for at bruge standardbestemmelser om databeskyttelse vedtaget af Kommissionen eller Den Europæiske Tilsynsførende for Databeskyttelse bør hverken udelukke muligheden for, at den dataansvarlige eller databehandleren medtager standardbestemmelser om databeskyttelse i en bredere kontrakt, såsom en kontrakt mellem databehandleren og en anden databehandler, eller medtager andre bestemmelser eller yderligere garantier, såfremt de hverken direkte eller indirekte er i strid med de standardkontraktbestemmelser, der er vedtaget af Kommissionen eller en tilsynsmyndighed, eller berører de registreredes grundlæggende rettigheder eller frihedsrettigheder. Dataansvarlige og databehandlere bør tilskyndes til at give yderligere garantier gennem kontraktmæssige forpligtelser, der supplerer standardbestemmelserne om databeskyttelse. (56)Visse tredjelande vedtager love, forskrifter og andre retsakter med det formål direkte at regulere behandlingsaktiviteter, som udføres af Unionens institutioner og organer. Dette kan omfatte retsafgørelser eller administrative myndigheders afgørelser i tredjelande, der kræver, at en dataansvarlig eller en databehandler overfører eller videregiver personoplysninger, og som ikke er baseret på en gældende international aftale mellem det anmodende tredjeland og Unionen. Ekstraterritorial anvendelse af sådanne love, forskrifter og andre retsakter kan være i strid med folkeretten og hindre opnåelse af den beskyt