CELEX ID: 22016A1210(01)

--- ENGLISH ---

Document:
10.12.2016
EN
Official Journal of the European Union
L 336/3
AGREEMENT
between the United States of America and the European Union on the protection of personal information relating to the prevention, investigation, detection, and prosecution of criminal offences
TABLE OF CONTENTS
Preamble
Article 1:
Purpose of the Agreement
Article 2:
Definitions
Article 3:
Scope
Article 4:
Non-Discrimination
Article 5:
Effect of the Agreement
Article 6:
Purpose and Use Limitations
Article 7:
Onward Transfer
Article 8:
Maintaining Quality and Integrity of Information
Article 9:
Information Security
Article 10:
Notification of an Information Security Incident
Article 11:
Maintaining Records
Article 12:
Retention Period
Article 13:
Special Categories of Personal Information
Article 14:
Accountability
Article 15:
Automated Decisions
Article 16:
Access
Article 17:
Rectification
Article 18:
Administrative Redress
Article 19:
Judicial Redress
Article 20:
Transparency
Article 21:
Effective Oversight
Article 22:
Cooperation between Oversight Authorities
Article 23:
Joint Review
Article 24:
Notification
Article 25:
Consultation
Article 26:
Suspension
Article 27:
Territorial Application
Article 28:
Duration of the Agreement
Article 29:
Entry into force and Termination
MINDFUL that the United States and the European Union are committed to ensuring a high level of protection of personal information exchanged in the context of the prevention, investigation, detection, and prosecution of criminal offences, including terrorism;
INTENDING to establish a lasting legal framework to facilitate the exchange of information, which is critical to prevent, investigate, detect and prosecute criminal offences, including terrorism, as a means of protecting their respective democratic societies and common values;
INTENDING, in particular, to provide standards of protection for exchanges of personal information on the basis of both existing and future agreements between the US and the EU and its Member States, in the field of preventing, investigating, detecting, and prosecuting criminal offences, including terrorism;
RECOGNISING that certain existing agreements between the Parties concerning the processing of personal information establish that those agreements provide an adequate level of data protection within the scope of those agreements, the Parties affirm that this Agreement should not be construed to alter, condition, or otherwise derogate from those agreements; noting however, that the obligations established by Article 19 of this Agreement on judicial redress would apply with respect to all transfers that fall within the scope of this Agreement, and that this is without prejudice to any future review or modification of such agreements pursuant to their terms;
ACKNOWLEDGING both Parties' longstanding traditions of respect for individual privacy including as reflected in the Principles on Privacy and Personal Data Protection for Law Enforcement Purposes elaborated by the EU-US High Level Contact Group on Information Sharing and Privacy and Personal Data Protection, the Charter of Fundamental Rights of the European Union and applicable EU laws, the United States Constitution and applicable US laws, and the Fair Information Practice Principles of the Organization for Economic Cooperation and Development; and
RECOGNISING the principles of proportionality and necessity, and relevance and reasonableness, as implemented by the Parties in their respective legal frameworks;
THE UNITED STATES OF AMERICA AND THE EUROPEAN UNION HAVE AGREED AS FOLLOWS:
Article 1
Purpose of the Agreement
1.   The purpose of this Agreement is to ensure a high level of protection of personal information and enhance cooperation between the United States and the European Union and its Member States, in relation to the prevention, investigation, detection or prosecution of criminal offences, including terrorism.
2.   For this purpose, this Agreement establishes the framework for the protection of personal information when transferred between the United States, on the one hand, and the European Union or its Member States, on the other.
3.   This Agreement in and of itself shall not be the legal basis for any transfers of personal information. A legal basis for such transfers shall always be required.
Article 2
Definitions
For purposes of this Agreement:
(1)
‘Personal information’ means information relating to an identified or identifiable natural person. An identifiable person is a person who can be identified, directly or indirectly, by reference to, in particular, an identification number or to one or more factors specific to his or her physical, physiological, mental, economic, cultural or social identity;
(2)
‘Processing of personal information’ means any operation or set of operations involving collection, maintenance, use, alteration, organisation or structuring, disclosure or dissemination, or disposition;
(3)
‘Parties’ means the European Union and the United States of America;
(4)
‘Member State’ means a Member State of the European Union;
(5)
‘Competent Authority’ means, for the United States, a US national law enforcement authority responsible for the prevention, investigation, detection or prosecution of criminal offences, including terrorism and, for the European Union, an authority of the European Union, and an authority of a Member State, responsible for the prevention, investigation, detection or prosecution of criminal offences, including terrorism.
Article 3
Scope
1.   This Agreement shall apply to personal information transferred between the Competent Authorities of one Party and the Competent Authorities of the other Party, or otherwise transferred in accordance with an agreement concluded between the United States and the European Union or its Member States, for the prevention, detection, investigation, and prosecution of criminal offences, including terrorism.
2.   This Agreement does not affect, and is without prejudice to, transfers or other forms of cooperation between the authorities of the Member States and of the United States other than those referred to in Article 2(5), responsible for safeguarding national security.
Article 4
Non-Discrimination
Each Party shall comply with its obligations under this Agreement for the purpose of protecting personal information of its own nationals and the other Party's nationals regardless of their nationality, and without arbitrary and unjustifiable discrimination.
Article 5
Effect of the Agreement
1.   This Agreement supplements, as appropriate, but does not replace, provisions regarding the protection of personal information in international agreements between the Parties, or the United States and Member States that address matters within the scope of this Agreement.
2.   The Parties shall take all necessary measures to implement this Agreement, including, in particular, their respective obligations regarding access, rectification and administrative and judicial redress for individuals provided herein. The protections and remedies set forth in this Agreement shall benefit individuals and entities in the manner implemented in the applicable domestic laws of each Party. For the United States, its obligations shall apply in a manner consistent with its fundamental principles of federalism.
3.   By giving effect to paragraph 2, the processing of personal information by the United States, or the European Union and its Member States, with respect to matters falling within the scope of this Agreement, shall be deemed to comply with their respective data protection legislation restricting or conditioning international transfers of personal information, and no further authorisation under such legislation shall be required.
Article 6
Purpose and Use Limitations
1.   The transfer of personal information shall be for specific purposes authorised by the legal basis for the transfer as set forth in Article 1.
2.   The further processing of personal information by a Party shall not be incompatible with the purposes for which it was transferred. Compatible processing includes processing pursuant to the terms of existing international agreements and written international frameworks for the prevention, detection, investigation or prosecution of serious crimes. All such processing of personal information by other national law enforcement, regulatory or administrative authorities shall respect the other provisions of this Agreement.
3.   This Article shall not prejudice the ability of the transferring Competent Authority to impose additional conditions in a specific case to the extent the applicable legal framework for transfer permits it to do so. Such conditions shall not include generic data protection conditions, that is, conditions imposed that are unrelated to the specific facts of the case. If the information is subject to conditions, the receiving Competent Authority shall comply with them. The Competent Authority providing the information may also require the recipient to give information on the use made of the transferred information.
4.   Where the United States, on the one hand, and the European Union or a Member State on the other, conclude an agreement on the transfer of personal information other than in relation to specific cases, investigations or prosecutions, the specified purposes for which the information is transferred and processed shall be further set forth in that agreement.
5.   The Parties shall ensure under their respective laws that personal information is processed in a manner that is directly relevant to and not excessive or overbroad in relation to the purposes of such processing.
Article 7
Onward Transfer
1.   Where a Competent Authority of one Party has transferred personal information relating to a specific case to a Competent Authority of the other Party, that information may be transferred to a State not bound by the present Agreement or international body only where the prior consent of the Competent Authority originally sending that information has been obtained.
2.   When granting its consent to a transfer under paragraph 1, the Competent Authority originally transferring the information shall take due account of all relevant factors, including the seriousness of the offence, the purpose for which the data is initially transferred and whether the State not bound by the present Agreement or international body in question ensures an appropriate level of protection of personal information. It may also subject the transfer to specific conditions.
3.   Where the United States, on the one hand, and the European Union or a Member State on the other, conclude an agreement on the transfer of personal information other than in relation to specific cases, investigations or prosecutions, the onward transfer of personal information may only take place in accordance with specific conditions set forth in the agreement that provide due justification for the onward transfer. The agreement shall also provide for appropriate information mechanisms between the Competent Authorities.
4.   Nothing in this Article shall be construed as affecting any requirement, obligation or practice pursuant to which the prior consent of the Competent Authority originally transferring the information must be obtained before the information is further transferred to a State or body bound by this Agreement, provided that the level of data protection in such State or body shall not be the basis for denying consent for, or imposing conditions on, such transfers.
Article 8
Maintaining Quality and Integrity of Information
The Parties shall take reasonable steps to ensure that personal information is maintained with such accuracy, relevance, timeliness and completeness as is necessary and appropriate for lawful processing of the information. For this purpose, the Competent Authorities shall have in place procedures, the object of which is to ensure the quality and integrity of personal information, including the following:
(a)
the measures referred to in Article 17;
(b)
where the transferring Competent Authority becomes aware of significant doubts as to the relevance, timeliness, completeness or accuracy of such personal information or an assessment it has transferred, it shall, where feasible, advise the receiving Competent Authority thereof;
(c)
where the receiving Competent Authority becomes aware of significant doubts as to the relevance, timeliness, completeness or accuracy of personal information received from a governmental authority, or of an assessment made by the transferring Competent Authority of the accuracy of information or the reliability of a source, it shall, where feasible, advise the transferring Competent Authority thereof.
Article 9
Information Security
The Parties shall ensure that they have in place appropriate technical, security and organisational arrangements for the protection of personal information against all of the following:
(a)
accidental or unlawful destruction;
(b)
accidental loss; and
(c)
unauthorised disclosure, alteration, access, or other processing.
Such arrangements shall include appropriate safeguards regarding the authorisation required to access personal information.
Article 10
Notification of an Information Security Incident
1.   Upon discovery of an incident involving accidental loss or destruction, or unauthorised access, disclosure, or alteration of personal information, in which there is a significant risk of damage, the receiving Competent Authority shall promptly assess the likelihood and scale of damage to individuals and to the integrity of the transferring Competent Authority's programme, and promptly take appropriate action to mitigate any such damage.
2.   Action to mitigate damage shall include notification to the transferring Competent Authority. However, notification may:
(a)
include appropriate restrictions as to the further transmission of the notification;
(b)
be delayed or omitted when such notification may endanger national security;
(c)
be delayed when such notification may endanger public security operations.
3.   Action to mitigate damage shall also include notification to the individual, where appropriate given the circumstances of the incident, unless such notification may endanger:
(a)
public or national security;
(b)
official inquiries, investigations or proceedings;
(c)
the prevention, detection, investigation, or prosecution of criminal offences;
(d)
rights and freedoms of others, in particular the protection of victims and witnesses.
4.   The Competent Authorities involved in the transfer of the personal information may consult concerning the incident and the response thereto.
Article 11
Maintaining Records
1.   The Parties shall have in place effective methods of demonstrating the lawfulness of processing of personal information, which may include the use of logs, as well as other forms of records.
2.   The Competent Authorities may use such logs or records for maintaining orderly operations of the databases or files concerned, to ensure data integrity and security, and where necessary to follow backup procedures.
Article 12
Retention Period
1.   The Parties shall provide in their applicable legal frameworks specific retention periods for records containing personal information, the object of which is to ensure that personal information is not retained for longer than is necessary and appropriate. Such retention periods shall take into account the purposes of processing, the nature of the data and the authority processing it, the impact on relevant rights and interests of affected persons, and other applicable legal considerations.
2.   Where the United States, on the one hand, and the European Union or a Member State on the other, conclude an agreement on the transfer of personal information other than in relation to specific cases, investigations or prosecutions, such agreement will include a specific and mutually agreed upon provision on retention periods.
3.   The Parties shall provide procedures for periodic review of the retention period with a view to determining whether changed circumstances require further modification of the applicable period.
4.   The Parties shall publish or otherwise make publicly available such retention periods.
Article 13
Special Categories of Personal Information
1.   Processing of personal information revealing racial or ethnic origin, political opinions or religious or other beliefs, trade union membership or personal information concerning health or sexual life shall only take place under appropriate safeguards in accordance with law. Such appropriate safeguards may include: restricting the purposes for which the information may be processed, such as allowing the processing only on a case by case basis; masking, deleting or blocking the information after effecting the purpose for which it was processed; restricting personnel permitted to access the information; requiring specialised training to personnel who access the information; requiring supervisory approval to access the information; or other protective measures. These safeguards shall duly take into account the nature of the information, particular sensitivities of the information, and the purpose for which the information is processed.
2.   Where the United States, on the one hand, and the European Union or a Member State on the other, conclude an agreement on the transfer of personal information other than in relation to specific cases, investigations or prosecutions, such agreement will further specify the standards and conditions under which such information can be processed, duly taking into account the nature of the information and the purpose for which it is used.
Article 14
Accountability
1.   The Parties shall have in place measures to promote accountability for processing personal information within the scope of this Agreement by their Competent Authorities, and any other of their authorities to which personal information has been transferred. Such measures shall include notification of the safeguards applicable to transfers of personal information under this Agreement, and of the conditions that may have been imposed by the transferring Competent Authority pursuant to Article 6(3). Serious misconduct shall be addressed through appropriate and dissuasive criminal, civil or administrative sanctions.
2.   The measures set out in paragraph 1 shall include, as appropriate, discontinuation of transfer of personal information to authorities of constituent territorial entities of the Parties not covered by this Agreement that have not effectively protected personal information, taking into account the purpose of this Agreement, and in particular the purpose and use limitations and onward transfer provisions of this Agreement.
3.   In case of allegations of improper implementation of this Article, a Party may request the other Party to provide relevant information, including, where appropriate, regarding the measures taken under this Article.
Article 15
Automated Decisions
Decisions producing significant adverse actions concerning the relevant interests of the individual may not be based solely on the automated processing of personal information without human involvement, unless authorised under domestic law, and with appropriate safeguards that include the possibility to obtain human intervention.
Article 16
Access
1.   The Parties shall ensure that any individual is entitled to seek access to his or her personal information and, subject to the restrictions set forth in paragraph 2, to obtain it. Such access shall be sought and obtained from a Competent Authority in accordance with the applicable legal framework of the State in which relief is sought.
2.   The obtaining of such information in a particular case may be subject to reasonable restrictions provided under domestic law, taking into account legitimate interests of the individual concerned, so as to:
(a)
protect the rights and freedoms of others, including their privacy;
(b)
safeguard public and national security;
(c)
protect law enforcement sensitive information;
(d)
avoid obstructing official or legal inquiries, investigations or proceedings;
(e)
avoid prejudicing the prevention, detection, investigation or prosecution of criminal offences or the execution of criminal penalties;
(f)
otherwise protect interests provided for in legislation regarding freedom of information and public access to documents.
3.   Excessive expenses shall not be imposed on the individual as a condition to access his or her personal information.
4.   An individual is entitled to authorise, where permitted under applicable domestic law, an oversight authority or other representative to request access on his or her behalf.
5.   If access is denied or restricted, the requested Competent Authority will, without undue delay, provide to the individual, or to his or her duly authorised representative as set forth in paragraph 4, the reasons for the denial or restriction of access.
Article 17
Rectification
1.   The Parties shall ensure that any individual is entitled to seek correction or rectification of his or her personal information that he or she asserts is either inaccurate or has been improperly processed. Correction or rectification may include supplementation, erasure, blocking or other measures or methods for addressing inaccuracies or improper processing. Such correction or rectification shall be sought and obtained from a Competent Authority in accordance with the applicable legal framework of the State in which relief is sought.
2.   Where the receiving Competent Authority concludes following:
(a)
a request under paragraph 1;
(b)
notification by the provider; or
(c)
its own investigations or inquiries;
that information it has received under this Agreement is inaccurate or has been improperly processed, it shall take measures of supplementation, erasure, blocking or other methods of correction or rectification, as appropriate.
3.   An individual is entitled to authorise, where permitted under applicable domestic law, an oversight authority or other representative to seek correction or rectification on his or her behalf.
4.   If correction or rectification is denied or restricted, the requested Competent Authority will, without undue delay, provide to the individual, or to his or to her duly authorised representative as set forth in paragraph 3, a response setting forth the basis for the denial or restriction of correction or rectification.
Article 18
Administrative Redress
1.   The Parties shall ensure that any individual is entitled to seek administrative redress where he or she believes that his or her request for access pursuant to Article 16 or rectification of inaccurate information or improper processing pursuant to Article 17 has been improperly denied. Such redress shall be sought and obtained from a Competent Authority in accordance with the applicable legal framework of the State in which relief is sought.
2.   An individual is entitled to authorise, where permitted under applicable domestic law, an oversight authority or other representative to seek administrative redress on his or her behalf.
3.   The Competent Authority from which relief is sought shall carry out the appropriate inquiries and verifications and without undue delay shall respond in written form, including through electronic means, with the result, including the ameliorative or corrective action taken where applicable. Notice of the procedure for seeking any further administrative redress shall be as provided for in Article 20.
Article 19
Judicial Redress
1.   The Parties shall provide in their applicable legal frameworks that, subject to any requirements that administrative redress first be exhausted, any citizen of a Party is entitled to seek judicial review with regard to:
(a)
denial by a Competent Authority of access to records containing his or her personal information;
(b)
denial by a Competent Authority of amendment of records containing his or her personal information; and
(c)
unlawful disclosure of such information that has been willfully or intentionally made, which shall include the possibility of compensatory damages.
2.   Such judicial review shall be sought and obtained in accordance with the applicable legal framework of the State in which relief is sought.
3.   Paragraphs 1 and 2 are without prejudice to any other judicial review available with respect to the processing of an individual's personal information under the law of the State in which relief is requested.
4.   In the event of the suspension or termination of the Agreement, Articles 26(2) or 29(3) shall not create a basis for judicial redress that is no longer available under the law of the Party concerned.
Article 20
Transparency
1.   The Parties shall provide notice to an individual, as to his or her personal information, which notice may be effected by the Competent Authorities through publication of general notices or through actual notice, in a form and at a time provided for by the law applicable to the authority providing notice, with regard to the:
(a)
purposes of processing of such information by that authority;
(b)
purposes for which the information may be shared with other authorities;
(c)
laws or rules under which such processing takes place;
(d)
third parties to whom such information is disclosed; and
(e)
access, correction or rectification, and redress available.
2.   Such notice requirement is subject to the reasonable restrictions under domestic law with respect to the matters set forth in Article 16(2) (a) through (f).
Article 21
Effective Oversight
1.   The Parties shall have in place one or more public oversight authorities that:
(a)
exercise independent oversight functions and powers, including review, investigation and intervention, where appropriate on their own initiative;
(b)
have the power to accept and act upon complaints made by individuals relating to the measures implementing this Agreement; and
(c)
have the power to refer violations of law related to this Agreement for prosecution or disciplinary action when appropriate.
2.   The European Union shall provide for oversight under this Article through its data protection authorities and those of the Member States.
3.   The United States shall provide for oversight under this Article cumulatively through more than one authority, which may include, inter alia, inspectors general, chief privacy officers, government accountability offices, privacy and civil liberties oversight boards, and other applicable executive and legislative privacy or civil liberties review bodies.
Article 22
Cooperation between Oversight Authorities
1.   Consultations between authorities conducting oversight under Article 21 shall take place as appropriate with respect to carrying out the functions in relation to this Agreement, with a view towards ensuring effective implementation of the provisions of Articles 16, 17, and 18.
2.   The Parties shall establish national contact points that will assist with the identification of the oversight authority to be addressed in a particular case.
Article 23
Joint Review
1.   The Parties shall conduct periodic joint reviews of the policies and procedures that implement this Agreement and of their effectiveness. Particular attention in the joint reviews shall be paid to the effective implementation of the protections under Article 14 on accountability, Article 16 on access, Article 17 on rectification, Article 18 on administrative redress, and Article 19 on judicial redress.
2.   The first joint review shall be conducted no later than three years from the date of entry into force of this Agreement and thereafter on a regular basis. The Parties shall jointly determine in advance the modalities and terms thereof and shall communicate to each other the composition of their respective delegations, which shall include representatives of the public oversight authorities referred to in Article 21 on effective oversight, and of law enforcement and justice authorities. The findings of the joint review will be made public.
3.   Where the Parties or the United States and a Member State have concluded another agreement, the subject matter of which is also within the scope of this Agreement, which provides for joint reviews, such joint reviews shall not be duplicated and, to the extent relevant, their findings shall be made part of the findings of the joint review of this Agreement.
Article 24
Notification
1.   The United States shall notify the European Union of any designation made by US authorities in relation to Article 19, and any modifications thereto.
2.   The Parties shall make reasonable efforts to notify each other regarding the enactment of any laws or the adoption of regulations that materially affect the implementation of this Agreement, where feasible before they become effective.
Article 25
Consultation
Any dispute arising from the interpretation or application of this Agreement shall give rise to consultations between the Parties with a view to reaching a mutually agreeable resolution.
Article 26
Suspension
1.   In the event of a material breach of this Agreement, either Party may suspend this Agreement in whole or in part by written notification to the other Party through diplomatic channels. Such written notification shall not be made until after the Parties have engaged in a reasonable period of consultation without reaching a resolution and suspension shall take effect twenty days from the date of receipt of such notification. Such suspension may be lifted by the suspending Party upon written notification to the other Party. The suspension shall be lifted immediately upon receipt of such notification.
2.   Notwithstanding any suspension of this Agreement, personal data falling within the scope of this Agreement and transferred prior to its suspension shall continue to be processed in accordance with this Agreement.
Article 27
Territorial Application
1.   This Agreement shall only apply to Denmark, the United Kingdom, or Ireland if the European Commission notifies the United States in writing that Denmark, the United Kingdom, or Ireland has decided that this Agreement applies to its State.
2.   If the European Commission notifies the United States before the entry into force of this Agreement that this Agreement will apply to Denmark, the United Kingdom, or Ireland, this Agreement shall apply to such States from the date of entry into force of this Agreement.
3.   If the European Commission notifies the United States after the entry into force of this Agreement that it applies to Denmark, the United Kingdom, or Ireland, this Agreement shall apply to such State on the first day of the month following receipt of the notification by the United States.
Article 28
Duration of the Agreement
This Agreement is concluded for an unlimited duration.
Article 29
Entry into force and Termination
1.   This Agreement shall enter into force on the first day of the month following the date on which the Parties have exchanged notifications indicating that they have completed their internal procedures for entry into force.
2.   Either Party may terminate this Agreement by written notification to the other Party through diplomatic channels. Such termination shall take effect thirty days from the date of receipt of such notification.
3.   Notwithstanding any termination of this Agreement, personal information falling within the scope of this Agreement and transferred prior to its termination shall continue to be processed in accordance with this Agreement.
IN WITNESS WHEREOF, the undersigned Plenipotentiaries have signed this Agreement.
Done at Amsterdam this second day of June in the year two thousand and sixteen, in two originals, in the English language. Pursuant to EU law, this Agreement shall also be drawn up by the EU in the Bulgarian, Croatian, Czech, Danish, Dutch, Estonian, Finnish, French, German, Greek, Hungarian, Italian, Latvian, Lithuanian, Maltese, Polish, Portuguese, Romanian, Slovak, Slovenian, Spanish and Swedish languages. These additional language versions can be authenticated by an exchange of diplomatic notes between the United States and the European Union. In the case of divergence between authentic language versions, the English language shall prevail.
For the European Union
For the United States of America

Summary:
EU-US agreement on personal data protection
SUMMARY OF:
Decision (EU) 2016/920 on the signing of the Agreement between the US and the EU on the protection of personal information relating to the prevention, investigation, detection, and prosecution of criminal offences
EU-US agreement on standards of protection when personal data are transferred between EU-US law enforcement authorities
WHAT IS THE AIM OF THE DECISION AND THE AGREEMENT?
The decision authorised the signature (on 
2 June 2016
) of the agreement between the United States of America (US) and the European Union (EU) on the protection of personal information relating to the prevention, investigation, detection, and prosecution of criminal offences (the so-called ‘Umbrella Agreement’). The agreement will enter into force only after the parties have notified each other that their respective internal procedures for entry into force have been completed (which, on the EU side, requires that the Council adopts a decision to conclude the agreement following consent by the European Parliament).
The agreement aims to ensure that personal data is protected to a high standard when being transferred by law enforcement authorities (police and criminal justice authorities). It also aims to foster law enforcement cooperation between the EU and the EU countries, on the one hand, and the US on the other.
It provides greater legal certainty and strengthens the rights of the individuals concerned by the transfer of their data.
The agreement is 1 of 3 key actions set out in a 
2016 Communication
 designed to restore trust in data flows between the EU and the US.
KEY POINTS
Scope
The agreement 
complements
 rules regarding personal data protection in existing EU/EU country-US agreements, and in national laws, that authorise the exchange of information for law enforcement purposes. It establishes a common data protection framework which will also apply to future agreements and national laws in this field.
The agreement covers 
all personal data
 (including names, addresses, criminal records) exchanged between the EU and the US for the purpose of the 
prevention, detection, investigation and prosecution of criminal offences, including terrorism
.
Protection
The agreement provides a number of protections for personal data when they are exchanged between police and criminal justice authorities including:
clear limitations on data use
 — personal data may only be used for the purpose of preventing, investigating, detecting or prosecuting criminal offences.
restrictions on onward transfer
 — any onward transfer to a non-US, non-EU country or international organisation must be approved by the competent authority of the country which had originally transferred personal data.
retention periods
 — personal data may not be retained for longer than necessary or appropriate. These retention periods must be published or otherwise made publicly available.
right to access personal data and to rectification
 — any individual is entitled to access their personal data, subject to certain conditions, and can request the data be corrected if inaccurate.
notification in the case of data security breaches
 — a mechanism will be put in place so as to ensure that the competent authority and, where appropriate, the data subject
1
 is notified of any data security breach.
judicial redress and enforceability of rights
 — EU citizens will be granted an additional right to seek judicial redress before US courts if US authorities deny access or rectification, or unlawfully disclose their personal data. In addition, any EU data subject can rely on the already existing judicial redress rights in the US.
FROM WHEN DO THE DECISION AND THE AGREEMENT APPLY?
The decision has applied since 
20 May 2016
. The agreement was signed by the EU and US on 
2 June 2016
.
BACKGROUND
For more information, see:
Press release
 on the European Commission’s website.
* KEY TERMS
Data subject:
 the person to whom personal data relate.
MAIN DOCUMENTS
Council Decision (EU) 
2016/920
 of 
20 May 2016
 on the signing, on behalf of the European Union, of the Agreement between the United States of America and the European Union on the protection of personal information relating to the prevention, investigation, detection, and prosecution of criminal offences (OJ L 154, 
11.6.2016
, 
pp. 1-2
)
Agreement
 between the United States of America and the European Union on the protection of personal information relating to the prevention, investigation, detection, and prosecution of criminal offences (OJ L 336, 
10.12.2016
, 
pp. 3-13
)
RELATED DOCUMENTS
Directive (EU) 
2016/680
 of the European Parliament and of the Council of 
27 April 2016
 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (OJ L 119, 
4.5.2016
, 
pp. 89-131
)
last update 
23.1.2017

--- DANISH ---

Document:
10.12.2016
DA
Den Europæiske Unions Tidende
L 336/3
OVERSÆTTELSE
AFTALE
mellem Amerikas Forenede Stater og Den Europæiske Union om beskyttelse af personoplysninger i forbindelse med forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger
INDHOLD
Præambel
Artikel 1:
Aftalens formål
Artikel 2:
Definitioner
Artikel 3:
Anvendelsesområde
Artikel 4:
Ikkeforskelsbehandling
Artikel 5:
Aftalens virkninger
Artikel 6:
Begrænsninger for formål og anvendelse
Artikel 7:
Videreoverførsel
Artikel 8:
Bevarelse af oplysningernes kvalitet og integritet
Artikel 9:
Informationssikkerhed
Artikel 10:
Anmeldelse af brud på informationssikkerheden
Artikel 11:
Opbevaring af fortegnelser
Artikel 12:
Opbevaringsperiode
Artikel 13:
Særlige kategorier af personoplysninger
Artikel 14:
Ansvarlighed
Artikel 15:
Automatiske afgørelser
Artikel 16:
Adgang
Artikel 17:
Berigtigelse
Artikel 18:
Administrativ prøvelse
Artikel 19:
Retslig prøvelse
Artikel 20:
Gennemsigtighed
Artikel 21:
Effektivt tilsyn
Artikel 22:
Samarbejde mellem tilsynsmyndigheder
Artikel 23:
Fælles gennemgang
Artikel 24:
Notifikation
Artikel 25:
Konsultation
Artikel 26:
Suspension
Artikel 27:
Territorial anvendelse
Artikel 28:
Aftalens varighed
Artikel 29:
Ikrafttræden og opsigelse
AMERIKAS FORENEDE STATER OG DEN EUROPÆISKE UNION,
SOM TAGER I BETRAGTNING, at USA og Den Europæiske Union har forpligtet sig til at sikre et højt niveau for beskyttelse af personoplysninger, der udveksles inden for rammerne af forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger, herunder terrorisme,
SOM AGTER at udstikke en varig retlig ramme for at lette udvekslingen af oplysninger, hvilket er af afgørende betydning for at forebygge, efterforske, afsløre og retsforfølge strafbare handlinger, herunder terrorisme, som et middel til at beskytte deres respektive demokratiske samfund og fælles værdier,
SOM navnlig AGTER at tilvejebringe beskyttelsesstandarder for udveksling af personoplysninger på grundlag af både eksisterende og fremtidige aftaler mellem USA og EU og dets medlemsstater i forbindelse med forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger, herunder terrorisme,
SOM ERKENDER, at visse eksisterende aftaler mellem parterne om behandling af personoplysninger fastslår, at de pågældende aftaler giver et passende databeskyttelsesniveau inden for anvendelsesområdet for disse aftaler, og bekræfter, at denne aftale ikke bør fortolkes således, at den ændrer, tilpasser eller på anden måde fraviger disse aftaler; som dog bemærker, at forpligtelserne i artikel 19 om retslig prøvelse vil gælde for enhver overførsel, som henhører under denne aftales anvendelsesområde, og at dette ikke berører en eventuel fremtidig revision eller ændring af sådanne aftaler i henhold til bestemmelserne heri,
SOM ANERKENDER begge parters langvarige traditioner med hensyn til respekt for privatlivets fred, herunder som afspejlet i de principper for privatlivets fred og beskyttelse af personoplysninger til retshåndhævelsesformål, der er udarbejdet af EU-USA-Kontaktgruppen på Højt Plan om Informationsdeling og Beskyttelse af Privatlivets Fred og Personoplysninger, Den Europæiske Unions charter om grundlæggende rettigheder og EU's gældende lovgivning, USA's forfatning og gældende amerikansk lovgivning samt principperne om god databehandlingsskik fra Organisationen for Økonomisk Samarbejde og Udvikling, og
SOM ANERKENDER principperne om proportionalitet og nødvendighed og relevans og rimelighed som gennemført af parterne i deres respektive retlige rammer,
ER BLEVET ENIGE OM FØLGENDE:
Artikel 1
Aftalens formål
1.   Formålet med denne aftale er at sikre et højt niveau for beskyttelse af personoplysninger og styrke samarbejdet mellem USA og Den Europæiske Union og dens medlemsstater i forbindelse med forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger, herunder terrorisme.
2.   Med henblik herpå fastlægger denne aftale rammen for beskyttelsen af personoplysninger, når disse overføres mellem USA på den ene side og Den Europæiske Union og dens medlemsstater på den anden side.
3.   Denne aftale udgør ikke i sig selv retsgrundlag for overførsel af personoplysninger. Et retsgrundlag for sådan overførsel er altid påkrævet.
Artikel 2
Definitioner
I denne aftale forstås ved:
1)   
»personoplysninger«
: information om en identificeret eller identificerbar fysisk person. Ved identificerbar person forstås en person, der direkte eller indirekte kan identificeres, navnlig ved et identifikationsnummer eller et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sociale identitet
2)   
»behandling af personoplysninger«
: enhver aktivitet eller række af aktiviteter, der indebærer indsamling, opbevaring, brug, ændring, organisering eller systematisering, videregivelse eller formidling eller sletning
3)   
»parterne«
: Den Europæiske Union og Amerikas Forenede Stater
4)   
»medlemsstat«
: en medlemsstat i Den Europæiske Union
5)   
»kompetent myndighed«
: for så vidt angår USA, en amerikansk retshåndhævende myndighed med ansvar for at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger, herunder terrorisme, og for så vidt angår Den Europæiske Union en myndighed i Den Europæiske Union og en myndighed i en medlemsstat, der er ansvarlig for at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger, herunder terrorisme.
Artikel 3
Anvendelsesområde
1.   Denne aftale finder anvendelse på personoplysninger, der overføres mellem den ene parts kompetente myndigheder og den anden parts kompetente myndigheder, eller som på anden måde overføres i henhold til en aftale, der er indgået mellem USA og Den Europæiske Union eller dens medlemsstater med henblik på forebyggelse, afsløring, efterforskning og retsforfølgning af strafbare handlinger, herunder terrorisme.
2.   Denne aftale berører ikke og er med forbehold af overførsler eller andre former for samarbejde mellem myndighederne i medlemsstaterne og USA, bortset fra dem, der er nævnt i artikel 2, stk. 5, og som er ansvarlige for beskyttelse af statens sikkerhed.
Artikel 4
Ikkeforskelsbehandling
Hver part skal overholde sine forpligtelser i henhold til denne aftale med henblik på at beskytte personoplysninger for sine egne statsborgere og den anden parts statsborgere, uanset deres nationalitet og uden vilkårlig og uberettiget forskelsbehandling.
Artikel 5
Aftalens virkninger
1.   Denne aftale supplerer i fornødent omfang, men erstatter ikke bestemmelser om beskyttelse af personoplysninger i internationale aftaler mellem parterne eller USA og medlemsstater, der omhandler spørgsmål, som henhører under denne aftales anvendelsesområde.
2.   Parterne træffer alle nødvendige foranstaltninger for at gennemføre denne aftale, herunder navnlig deres respektive forpligtelser med hensyn til adgang, berigtigelse og administrativ og retslig prøvelse for fysiske personer som fastlagt heri. Den beskyttelse og de retsmidler, der er omhandlet i denne aftale, skal være til gavn for enkeltpersoner og enheder på den måde, de gennemføres på i henhold til den enkelte parts gældende nationale ret. For USA's vedkommende finder landets forpligtelser anvendelse på en måde, der er forenelig med landets grundlæggende principper om føderalisme.
3.   Ved gennemførelsen af stk. 2 anses behandling af personoplysninger i USA eller Den Europæiske Union og dens medlemsstater for så vidt angår spørgsmål, der henhører under denne aftales anvendelsesområde, for at være i overensstemmelse med deres respektive databeskyttelseslovgivning, der begrænser internationale overførsler af personoplysninger eller fastlægger betingelser herfor, og der kræves ingen anden godkendelse i henhold til en sådan lovgivning.
Artikel 6
Begrænsninger for formål og anvendelse
1.   Overførsel af personoplysninger skal være til specifikke formål, som er godkendt i medfør af retsgrundlaget for overførslen, jf. artikel 1.
2.   En parts viderebehandling af personoplysninger må ikke være uforenelig med det formål, som de blev overført til. Forenelig behandling omfatter behandling i henhold til eksisterende internationale aftaler og skriftlige internationale rammer med henblik på forebyggelse, afsløring, efterforskning eller retsforfølgning af grov kriminalitet. Enhver sådan behandling af personoplysninger foretaget af andre nationale retshåndhævende, lovgivende eller administrative myndigheder skal overholde de øvrige bestemmelser i denne aftale.
3.   Denne artikel berører ikke den overførende kompetente myndigheds mulighed for at stille yderligere betingelser i en konkret sag, i det omfang den gældende retlige ramme for overførsel tillader det. Sådanne betingelser omfatter ikke generiske databeskyttelsesbetingelser, dvs. betingelser, der stilles, men ikke er knyttet til sagens faktiske omstændigheder. Hvis oplysningerne er omfattet af betingelser, skal den modtagende kompetente myndighed overholde dem. Den kompetente myndighed, der afgiver oplysningerne, kan også kræve, at modtageren underretter om anvendelsen af de overførte oplysninger.
4.   Hvis USA på den ene side og Den Europæiske Union eller en medlemsstat på den anden side indgår en aftale om overførsel af personoplysninger, undtagen i forbindelse med konkrete sager, efterforskning eller retsforfølgning, skal den nævnte aftale indeholde en redegørelse for de specifikke formål med overførslen og behandlingen af oplysningerne.
5.   Parterne sikrer inden for rammerne af deres respektive lovgivning, at personoplysninger behandles på en måde, der er direkte relevant for og ikke uforholdsmæssigt stor eller omfattende i forhold til behandlingens formål.
Artikel 7
Videreoverførsel
1.   Når en kompetent myndighed hos en af parterne har overført personoplysninger vedrørende en konkret sag til en kompetent myndighed hos den anden part, må disse oplysninger kun overføres til en stat, der ikke er bundet af denne aftale, eller et internationalt organ, når der er indhentet forudgående samtykke fra den kompetente myndighed, som oprindeligt fremsendte disse oplysninger.
2.   Når den kompetente myndighed, der oprindeligt overførte oplysningerne, giver sit samtykke til en overførsel i henhold til stk. 1, skal den tage behørigt hensyn til alle relevante forhold, herunder den strafbare handlings grovhed, de formål, hvortil oplysningerne oprindeligt blev overført, og om den pågældende stat, der ikke bundet af denne aftale, eller det pågældende internationale organ sikrer et passende niveau for beskyttelse af personoplysninger. Myndigheden kan også fastsætte særlige betingelser for overførslen.
3.   Hvis USA på den ene side og Den Europæiske Union eller en medlemsstat på den anden side indgår en aftale om overførsel af personoplysninger, undtagen i forbindelse med konkrete sager, efterforskning eller retsforfølgning, må videreoverførslen af personoplysninger kun finde sted på specifikke betingelser, der er fastlagt i aftalen, som angiver en behørig begrundelse for videreoverførslen. Aftalen skal også indeholde bestemmelser om passende informationsmekanismer mellem de kompetente myndigheder.
4.   Intet i denne artikel må fortolkes som en ændring af krav, en forpligtelse eller en praksis, i henhold til hvilke det forudgående samtykke fra den kompetente myndighed, som oprindeligt overførte oplysningerne, skal indhentes, før oplysningerne videreoverføres til en stat eller et organ, der er bundet af denne aftale, forudsat at databeskyttelsesniveauet i denne stat eller dette organ ikke er årsag til at nægte samtykke til eller pålægge betingelser for sådanne overførsler.
Artikel 8
Bevarelse af oplysningernes kvalitet og integritet
Parterne tager rimelige skridt til at sikre, at personoplysninger bevares med den nøjagtighed, relevans, aktualitet og fuldstændighed, som er nødvendig og hensigtsmæssig med henblik på lovlig behandling af oplysningerne. Til dette formål skal de kompetente myndigheder have etableret procedurer, der har til formål at sikre personoplysningernes kvalitet og integritet, herunder følgende:
a)
de foranstaltninger, som er omhandlet i artikel 17
b)
hvis den overførende kompetente myndighed bliver opmærksom på væsentlig tvivl med hensyn til relevansen, aktualiteten, fuldstændigheden eller nøjagtigheden af sådanne personoplysninger eller af en vurdering, som den har overført, skal den, hvor det er muligt, meddele dette til den modtagende kompetente myndighed
c)
hvis den modtagende kompetente myndighed bliver opmærksom på væsentlig tvivl med hensyn til relevansen, aktualiteten og fuldstændigheden eller nøjagtigheden af personoplysninger, som modtages fra en offentlig myndighed, eller af en vurdering foretaget af den overførende kompetente myndighed med hensyn til oplysningernes nøjagtighed eller en kildes pålidelighed, skal den, hvor det er muligt, meddele dette til den overførende kompetente myndighed.
Artikel 9
Informationssikkerhed
Parterne sikrer, at de har etableret passende tekniske, sikkerhedsmæssige og organisatoriske ordninger til at beskytte personoplysninger mod alle følgende forhold:
a)
hændelig eller ulovlig tilintetgørelse
b)
hændeligt tab og
c)
uautoriseret videregivelse, ændring, adgang eller anden behandling.
Sådanne ordninger skal indeholde passende garantier med hensyn til den godkendelse, der kræves for at opnå adgang til personoplysninger.
Artikel 10
Anmeldelse af brud på informationssikkerheden
1.   Hvis der afsløres en hændelse, der medfører hændeligt tab eller tilintetgørelse eller uautoriseret adgang, videregivelse eller ændring af personoplysninger, hvor der er en væsentlig risiko for skade, skal den modtagende kompetente myndighed straks vurdere sandsynligheden for og omfanget af skader på personer og på integriteten af den overførende kompetente myndigheds program og straks træffe passende foranstaltninger til at begrænse eventuelle skader.
2.   Foranstaltninger til at begrænse skader skal omfatte anmeldelse til den overførende kompetente myndighed. Dog kan anmeldelsen:
a)
indeholde passende begrænsninger med hensyn til videregivelse af meddelelsen
b)
udsættes eller udelades, når en sådan anmeldelse kan udgøre en fare for statens sikkerhed
c)
udsættes, når en sådan anmeldelse kan udgøre en fare for offentlige sikkerhedsaktiviteter.
3.   Foranstaltninger med henblik på at begrænse skader omfatter også anmeldelse til den pågældende person, når dette er hensigtsmæssigt i betragtning af omstændighederne ved hændelsen, medmindre en sådan anmeldelse kan udgøre en fare for:
a)
den offentlige sikkerhed eller statens sikkerhed
b)
officielle undersøgelser, efterforskninger eller retssager
c)
forebyggelse, afsløring, efterforskning eller retsforfølgning af strafbare handlinger
d)
andres rettigheder og frihedsrettigheder, navnlig beskyttelse af ofre og vidner.
4.   De kompetente myndigheder, der er involveret i overførsel af personoplysninger, kan foretage høringer om hændelsen og reaktionen herpå.
Artikel 11
Opbevaring af fortegnelser
1.   Parterne skal have etableret effektive metoder til påvisning af lovligheden af behandling af personoplysninger, hvilket kan omfatte anvendelse af logning og andre former for fortegnelser.
2.   De kompetente myndigheder kan bruge denne logning eller disse fortegnelser til at sikre korrekt behandling af de pågældende databaser eller filer, sikre dataintegritet og -sikkerhed og om nødvendigt følge backupprocedurer.
Artikel 12
Opbevaringsperiode
1.   Parterne fastsætter i deres gældende retlige rammer specifikke opbevaringsperioder for fortegnelser, der indeholder personoplysninger, med det formål at sikre, at personoplysninger ikke opbevares længere end nødvendigt og hensigtsmæssigt. Disse opbevaringsperioder fastsættes under hensyntagen til behandlingens formål, oplysningernes og den behandlende myndigheds art, indvirkningen på de berørte personers relevante rettigheder og interesser samt andre relevante retlige betragtninger.
2.   Hvis USA på den ene side og Den Europæiske Union eller en medlemsstat på den anden side indgår en aftale om overførsel af personoplysninger, undtagen i forbindelse med konkrete sager, efterforskning eller retsforfølgning, skal denne aftale indeholde en specifik og gensidig aftalt bestemmelse om opbevaringsperioder.
3.   Parterne fastlægger procedurer for regelmæssig revision af opbevaringsperioden med henblik på at afgøre, om ændrede forhold kræver yderligere ændring af den gældende periode.
4.   Parterne offentliggør eller gør disse opbevaringsperioder offentligt tilgængelige på anden måde.
Artikel 13
Særlige kategorier af personoplysninger
1.   Behandling af personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller anden overbevisning, fagforeningsmæssigt tilhørsforhold eller personoplysninger om helbred eller seksuelle forhold må kun finde sted med de fornødne garantier i henhold til loven. Sådanne fornødne garantier kan omfatte: begrænsning af de formål, som oplysningerne kan behandles til, som f.eks. kun at tillade behandling fra sag til sag, maskering, sletning eller blokering af oplysninger efter gennemførelse af det formål, som de blev behandlet til, begrænsning af det personale, der har adgang til oplysningerne, krav om særlig uddannelse af det personale, der har adgang til oplysningerne, krav om tilsynsgodkendelse af adgangen til oplysningerne eller andre beskyttelsesforanstaltninger. Disse garantier skal tage behørigt hensyn til oplysningernes art, navnlig oplysningernes følsomhed, og det formål, som oplysningerne behandles til.
2.   Hvis USA på den ene side og Den Europæiske Union eller en medlemsstat på den anden side indgår en aftale om overførsel af personoplysninger, undtagen i forbindelse med konkrete sager, efterforskning eller retsforfølgning, skal en sådan aftale nærmere præcisere standarderne og betingelserne for behandlingen af disse oplysninger og tage behørigt hensyn til oplysningernes art og det formål, som de anvendes til.
Artikel 14
Ansvarlighed
1.   Parterne skal have indført foranstaltninger, som fremmer ansvarligheden for behandling af personoplysninger, der henhører under denne aftales anvendelsesområde, som foretages af deres kompetente myndigheder og enhver anden af deres myndigheder, som personoplysningerne er blevet overført til. Disse foranstaltninger omfatter meddelelse af de garantier, der gælder for overførsler af personoplysninger i henhold til denne aftale, og om de betingelser, som måtte være blevet pålagt af den overførende kompetente myndighed i henhold til artikel 6, stk. 3. Alvorligt embedsmisbrug imødegås med passende og afskrækkende strafferetlige, civilretlige eller administrative sanktioner.
2.   Foranstaltningerne i stk. 1 omfatter i fornødent omfang afbrydelse af overførsel af personoplysninger til myndigheder i de af parternes territoriale delenheder, der ikke er omfattet af denne aftale, og som ikke effektivt har sikret beskyttelse af personoplysningerne under hensyntagen til formålet med denne aftale og navnlig begrænsningerne for formål og anvendelse samt bestemmelserne i denne aftale om videreoverførsel.
3.   I tilfælde af påstande om ukorrekt gennemførelse af denne artikel kan den ene part anmode den anden part om at levere relevante oplysninger, herunder i fornødent omfang vedrørende de foranstaltninger, der er truffet i henhold til denne artikel.
Artikel 15
Automatiske afgørelser
Afgørelser, der har væsentlige negative følger for en fysisk persons relevante interesser, må ikke udelukkende være baseret på automatisk behandling af personoplysninger, hvor der ikke har været et menneske inddraget, medmindre det er godkendt i henhold til national ret og med fornødne garantier, herunder muligheden for menneskelig indgriben.
Artikel 16
Adgang
1.   Parterne sikrer, at enhver fysisk person har ret til at anmode om adgang til sine personoplysninger og til med forbehold af begrænsningerne i stk. 2 at opnå adgang. Der skal anmodes om og opnås adgang hos en kompetent myndighed i henhold til den gældende retlige ramme i den stat, hvor der anmodes om bistand.
2.   Adgang til sådanne oplysninger i et konkret tilfælde kan være underlagt rimelige begrænsninger, der er fastsat i national ret, under hensyntagen til den pågældende fysiske persons legitime interesser med henblik på at:
a)
beskytte andres rettigheder og frihedsrettigheder, herunder privatlivets fred
b)
sikre den offentlige sikkerhed og statens sikkerhed
c)
beskytte oplysninger, der er følsomme i forbindelse med retshåndhævelse
d)
undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller retssager
e)
undgå at skade forebyggelsen, afsløringen, efterforskningen eller retsforfølgningen af strafbare handlinger eller fuldbyrdelsen af strafferetlige sanktioner
f)
på anden måde beskytte interesser i henhold til lovgivning om informationsfrihed og aktindsigt.
3.   Den fysiske person må ikke pålægges urimeligt høje udgifter som betingelse for adgang til sine personoplysninger.
4.   En fysisk person er for så vidt det er tilladt efter gældende national ret berettiget til at bemyndige en tilsynsmyndighed eller en anden repræsentant til at anmode om adgang på sine vegne.
5.   Hvis adgangen nægtes eller begrænses, skal den kompetente myndighed, som anmodningen er fremsat til, uden unødig forsinkelse give den fysiske person eller dennes behørigt bemyndigede repræsentant, jf. stk. 4, en begrundelse for afslaget på eller begrænsningen af adgangen.
Artikel 17
Berigtigelse
1.   Parterne sikrer, at enhver fysisk person har ret til at anmode om rettelse eller berigtigelse af de personoplysninger, som vedkommende hævder enten er ukorrekte eller er blevet behandlet forkert. Rettelse eller berigtigelse kan omfatte supplering, sletning, blokering eller andre foranstaltninger eller metoder til imødegåelse af ukorrekte oplysninger eller forkert behandling. Der skal anmodes om og opnås rettelse eller berigtigelse hos en kompetent myndighed i henhold til den gældende retlige ramme i den stat, hvor der anmodes om bistand.
2.   Hvis den modtagende kompetente myndighed som følge af:
a)
en anmodning i henhold til stk. 1
b)
underretning fra leverandøren eller
c)
egen efterforskning eller egne forespørgsler
fastslår, at de oplysninger, den har modtaget i henhold til denne aftale, er ukorrekte eller er blevet behandlet forkert, træffer den foranstaltninger til supplering, sletning, blokering eller andre former for rettelse eller berigtigelse alt efter, hvad der er relevant.
3.   En fysisk person er, for så vidt det er tilladt efter gældende national ret, berettiget til at bemyndige en tilsynsmyndighed eller en anden repræsentant til at anmode om rettelse eller berigtigelse på sine vegne.
4.   Hvis rettelsen eller berigtigelsen nægtes eller begrænses, skal den kompetente myndighed, som anmodningen er fremsat til, uden unødig forsinkelse give den fysiske person eller dennes behørigt bemyndigede repræsentant, jf. stk. 3, et svar med angivelse af begrundelsen for afslaget på eller begrænsningen af rettelsen eller berigtigelsen.
Artikel 18
Administrativ prøvelse
1.   Parterne sikrer, at enhver fysisk person har ret til at anmode om administrativ prøvelse, hvis vedkommende mener, at hans eller hendes anmodning om adgang i henhold til artikel 16 eller om berigtigelse af ukorrekte oplysninger eller forkert behandling i henhold til artikel 17 er blevet afvist uretmæssigt. Der skal anmodes om og opnås ret til prøvelse hos en kompetent myndighed i henhold til de gældende retsregler i den stat, hvor der anmodes om bistand.
2.   Enhver fysisk person er, for så vidt det er tilladt efter gældende national ret, berettiget til at bemyndige en tilsynsmyndighed eller en anden repræsentant til at anmode om administrativ prøvelse på sine vegne.
3.   Den kompetente myndighed, hvor der anmodes om bistand, foretager de relevante forespørgsler og verifikationer og svarer uden unødig forsinkelse skriftligt, herunder ved hjælp af elektroniske midler, med angivelse af resultatet, herunder den afhjælpende eller korrigerende foranstaltning, der træffes, såfremt det er relevant. Meddelelse om proceduren for anmodning om yderligere administrativ prøvelse sker som fastsat i artikel 20.
Artikel 19
Retslig prøvelse
1.   Parterne fastsætter i deres gældende retlige rammer, at enhver statsborger hos en af parterne, med forbehold af eventuelle krav om forudgående udtømning af den administrative prøvelse, har ret til at anmode om retslig prøvelse for så vidt angår:
a)
en kompetent myndigheds afslag på adgang til fortegnelser, der indeholder vedkommendes personoplysninger
b)
en kompetent myndigheds afslag på ændring af fortegnelser, der indeholder vedkommendes personoplysninger
c)
ulovlig videregivelse af oplysninger, som er afgivet bevidst og tilsigtet; denne retslige prøvelse omfatter muligheden for erstatning.
2.   Der skal anmodes om og opnås ret til retslig prøvelse i henhold til den gældende retlige ramme i den stat, hvor der anmodes om bistand.
3.   Stk. 1 og 2 berører ikke en eventuel anden retslig prøvelse, der er tilgængelig med hensyn til behandling af en fysisk persons personoplysninger i henhold til lovgivningen i den stat, hvor der anmodes om bistand.
4.   I tilfælde af suspension eller opsigelse af aftalen danner artikel 26, stk. 2, eller artikel 29, stk. 3, ikke grundlag for en retslig prøvelse, som ikke længere er tilgængelig i henhold til den pågældende parts lovgivning.
Artikel 20
Gennemsigtighed
1.   Parterne skal give en fysisk person meddelelse om vedkommendes personoplysninger, hvilket de kompetente myndigheder kan gennemføre ved offentliggørelse af generelle meddelelser eller ved en konkret meddelelse i en form og på et tidspunkt, der er fastsat i den lovgivning, der gælder for den myndighed, der giver meddelelsen, for så vidt angår:
a)
den pågældende myndigheds formål med behandlingen af disse oplysninger
b)
de formål, til hvilke oplysningerne må videregives til andre myndigheder
c)
den lovgivning eller de regler, i henhold til hvilke behandlingen finder sted
d)
de tredjemænd, som disse oplysninger er videregivet til
e)
adgang, rettelse eller berigtigelse og tilgængelige muligheder for prøvelse.
2.   Dette krav om meddelelse er underlagt rimelige begrænsninger i national ret for så vidt angår de forhold, der er anført i artikel 16, stk. 2, litra a)-f).
Artikel 21
Effektivt tilsyn
1.   Parterne skal have en eller flere offentlige tilsynsmyndigheder, som:
a)
udøver uafhængige tilsynsfunktioner og -beføjelser, herunder gennemgang, efterforskning og indgriben, i fornødent omfang på eget initiativ
b)
har beføjelse til at modtage og behandle klager fra fysiske personer vedrørende foranstaltningerne til gennemførelse af denne aftale og
c)
har beføjelse til efter omstændighederne at anmelde sager om lovovertrædelser i forbindelse med denne aftale med henblik på retsforfølgning eller disciplinære sanktioner, når det er relevant.
2.   Den Europæiske Union sikrer gennem sine og medlemsstaternes databeskyttelsesmyndigheder tilsyn i henhold til denne artikel.
3.   USA sikrer tilsyn i henhold til denne artikel gennem en kombination af mere end en myndighed, herunder blandt andet generalinspektører (inspectors general), databeskyttelsesansvarlige (chief privacy officers), rigsrevisionskontorer (government accountability offices), udvalg for tilsyn med privatlivets fred og borgerlige rettigheder (privacy and civil liberties oversight boards) og andre relevante eksekutive og lovgivningsmæssige prøvelsesorganer vedrørende privatlivets fred eller grundlæggende frihedsrettigheder.
Artikel 22
Samarbejde mellem tilsynsmyndigheder
1.   Konsultationer mellem myndigheder, der fører tilsyn i henhold til artikel 21, finder sted efter behov for så vidt angår udøvelse af funktionerne i forbindelse med denne aftale med henblik på at sikre effektiv gennemførelse af bestemmelserne i artikel 16, 17 og 18.
2.   Parterne opretter nationale kontaktpunkter, som skal bistå med at udpege den tilsynsmyndighed, der skal rettes henvendelse til i en bestemt sag.
Artikel 23
Fælles gennemgang
1.   Parterne foretager regelmæssig fælles gennemgang af politikker og procedurer til gennemførelse af denne aftale og af deres effektivitet. I de fælles gennemgange lægges særlig vægt på effektiv gennemførelse af beskyttelsen i henhold til artikel 14 om ansvarlighed, artikel 16 om adgang, artikel 17 om berigtigelse, artikel 18 om administrativ prøvelse og artikel 19 om retslig prøvelse.
2.   Den første fælles gennemgang foretages senest tre år efter datoen for denne aftales ikrafttræden og derefter med jævne mellemrum. Parterne fastlægger i fællesskab på forhånd betingelserne og vilkårene for den fælles gennemgang og oplyser hinanden om sammensætningen af deres respektive delegationer, som skal omfatte repræsentanter for de offentlige tilsynsmyndigheder som omhandlet i artikel 21 om effektivt tilsyn og for retshåndhævende og retslige myndigheder. Resultaterne af de fælles gennemgange vil blive offentliggjort.
3.   Hvis parterne eller USA og en medlemsstat har indgået en anden aftale, hvis genstand også henhører under nærværende aftales anvendelsesområde, og som indeholder bestemmelser om fælles gennemgang, skal disse fælles gennemgange ikke foretages dobbelt, og resultaterne af dem skal i det relevante omfang indgå i resultaterne af den fælles gennemgang i henhold til nærværende aftale.
Artikel 24
Notifikation
1.   USA giver Den Europæiske Union notifikation om de udpegninger, som de amerikanske myndigheder foretager i forbindelse med artikel 19, og eventuelle ændringer heraf.
2.   Parterne gør en rimelig indsats for at give hinanden notifikation om vedtagelsen af eventuelle love eller forskrifter, der har en væsentlig indvirkning på gennemførelsen af denne aftale, så vidt muligt før de får virkning.
Artikel 25
Konsultation
Enhver tvist, der opstår som følge af fortolkningen eller anvendelsen af denne aftale, bilægges ved konsultation mellem parterne med henblik på at nå frem til en gensidigt acceptabel løsning.
Artikel 26
Suspension
1.   I tilfælde af et væsentligt brud på denne aftale kan hver af parterne suspendere hele eller dele af denne aftale ved skriftlig notifikation til den anden part ad diplomatiske kanaler. En sådan skriftlig notifikation fremsendes først, når parterne har gennemført en rimelig konsultationsperiode uden at nå frem til en løsning, og suspensionen får virkning tyve dage efter datoen for modtagelsen af den pågældende notifikation. Den suspenderende part kan ophæve en sådan suspension ved skriftlig notifikation til den anden part. Suspensionen ophæves straks efter modtagelsen af denne notifikation.
2.   Uanset suspension af denne aftale behandles alle personoplysninger, der henhører under denne aftales anvendelsesområde, og som er overført inden dens suspension, fortsat i overensstemmelse med denne aftale.
Artikel 27
Territorial anvendelse
1.   Aftalen finder kun anvendelse på Danmark, Det Forenede Kongerige og Irland, hvis Europa-Kommissionen skriftligt giver USA meddelelse om, at Danmark, Det Forenede Kongerige eller Irland har besluttet, at denne aftale gælder for deres land.
2.   Hvis Europa-Kommissionen giver USA meddelelse om, at denne aftale vil gælde for Danmark, Det Forenede Kongerige eller Irland, inden den er trådt i kraft, finder denne aftale anvendelse på de(t) pågældende land(e) fra datoen for aftalens ikrafttræden.
3.   Hvis Europa-Kommissionen giver USA meddelelse om, at denne aftale vil gælde for Danmark, Det Forenede Kongerige eller Irland, efter at den er trådt i kraft, finder denne aftale anvendelse på de(t) pågældende land(e) på den første dag i den måned, der følger efter USA's modtagelse af meddelelsen.
Artikel 28
Aftalens varighed
Denne aftale indgås for en ubegrænset periode.
Artikel 29
Ikrafttræden og opsigelse
1.   Denne aftale træder i kraft på den første dag i måneden efter den dato, på hvilken parterne har udvekslet notifikationer om, at de har afsluttet deres interne procedurer med henblik på ikrafttræden.
2.   Hver af parterne kan ved skriftlig notifikation til den anden part ad diplomatiske kanaler opsige denne aftale. Opsigelsen får virkning tredive dage fra datoen for modtagelsen af notifikationen.
3.   Uanset opsigelse af denne aftale behandles alle personoplysninger, der henhører under denne aftales anvendelsesområde, og som er overført inden dens opsigelse, fortsat i overensstemmelse med denne aftale.
TIL BEKRÆFTELSE HERAF har undertegnede befuldmægtigede undertegnet denne aftale.
Udfærdiget i Amsterdam, den anden juni to tusind og seksten, i to originaleksemplarer på engelsk. I medfør af EU-lovgivningen udfærdiges denne aftale også af EU på bulgarsk, dansk, estisk, finsk, fransk, græsk, italiensk, kroatisk, lettisk, litauisk, maltesisk, nederlandsk, polsk, portugisisk, rumænsk, slovakisk, slovensk, spansk, svensk, tjekkisk, tysk og ungarsk. Gyldigheden af disse yderligere sprogversioner kan bekræftes ved udveksling af diplomatiske noter mellem USA og Den Europæiske Union. I tilfælde af uoverensstemmelser mellem de autentiske sprogudgaver har den engelske udgave forrang.
For Den Europæiske Union
For Amerikas Forenede Stater

Summary:
Aftale mellem EU og USA om beskyttelse af personoplysninger
RESUMÉ AF:
Afgørelse (EU) 2016/920 om undertegnelse af aftalen mellem USA og EU om beskyttelse af personoplysninger i forbindelse med forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger
Aftale mellem 
EU og USA om standarder for beskyttelse når personoplysninger overføres mellem retshåndhævende myndigheder i EU og USA
HVAD ER FORMÅLET MED AFGØRELSEN OG AFTALEN?
Afgørelsen godkendte undertegnelse (den 
2. juni 2016
) af aftalen mellem Amerikas Forenede Stater (USA) og Den Europæiske Union (EU) om beskyttelse af personoplysninger i forbindelse med forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger (den såkaldte »paraplyaftale«). Aftalen træder først i kraft, når parterne har meddelt hinanden, at deres respektive interne procedurer for ikrafttrædelse er blevet gennemført. På EU’s side kræver dette, at Rådet vedtager en afgørelse om at indgå aftalen, som Europa-Parlamentet derefter giver samtykke til.
Aftalen har til formål at sikre en høj grad af beskyttelse af personoplysninger, som overføres af retshåndhævende myndigheder (politi og strafferetlige myndigheder). Den har også til formål at fremme samarbejdet vedrørende retshåndhævelse mellem EU og EU-landene på den ene side og USA på den anden side.
Den giver større juridisk sikkerhed og styrker retssikkerheden for personer, hvis data overføres.
Aftalen er et af tre nøgletiltag i 
meddelelsen fra 2016
 om at genopbygge tilliden til datastrømme mellem EU og USA.
HOVEDPUNKTER
Anvendelsesområde
Aftalen 
supplerer
 bestemmelserne vedrørende beskyttelse af personoplysninger i eksisterende aftaler mellem EU/EU-landene og USA samt i nationale love, som tillader informationsudveksling i forbindelse med retshåndhævelse. Den fastlægger en fælles ramme for databeskyttelse, som også vil finde anvendelse på fremtidige aftaler og nationale love på dette område.
Aftalen omfatter 
alle personoplysninger
 (herunder navne, adresser og straffeattester), der udveksles mellem EU og USA med henblik på 
forebyggelse, afsløring, efterforskning og retsforfølgning af strafbare handlinger, herunder terrorisme
.
Beskyttelse
Aftalen indeholder et antal beskyttelsesforanstaltninger for personoplysninger, når disse udveksles mellem politi og strafferetsmyndigheder, herunder:
Tydelige begrænsninger for brug af oplysninger
 — personoplysninger må kun bruges med det formål at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger.
Begrænsninger for videregivelse
 — al videregivelse til et ikke-EU-land eller en international organisation skal godkendes af den kompetente myndighed i det land, som oprindeligt havde overført personoplysningerne.
Opbevaringsperioder
 — personoplysninger må ikke opbevares i længere tid, end det er nødvendigt eller passende. Disse opbevaringsperioder skal offentliggøres eller på anden måde gøres tilgængelige for offentligheden.
Retten til adgang til personoplysninger samt til berigtigelse
 — enhver person har ret til at få adgang til sine personoplysninger, underlagt visse betingelser, og kan anmode om at få oplysningerne rettet, hvis de er forkerte.
Besked i tilfælde af sikkerhedsbrud
 — der skal iværksættes en mekanisme, som sikrer, at den kompetente myndighed og, hvor det måtte være relevant, den registrerede person
1
 får besked om eventuelle sikkerhedsbrud.
Søgsmål og håndhævelse af rettigheder
 — EU-borgere får yderligere ret til at anlægge søgsmål ved amerikanske domstole, hvis de amerikanske myndigheder nægter adgang til eller berigtigelse af eller ulovligt videregiver deres personoplysninger. Desuden kan alle registrerede personer i EU udnytte de allerede eksisterende søgsmålsrettigheder i USA.
HVORNÅR GÆLDER AFGØRELSEN OG AFTALEN FRA?
Afgørelsen har været gældende siden 
20. maj 2016
. Aftalen blev undertegnet af EU og USA den 
2. juni 2016
.
BAGGRUND
For yderligere oplysninger henvises til:
Pressemeddelelse
 på Europa-Kommissionens websted.
* VIGTIGE BEGREBER
Registreret person:
 den person, som personoplysningerne vedrører.
HOVEDDOKUMENTER
Rådets afgørelse (EU) 
2016/920
 af 
20. maj 2016
 om undertegnelse på Den Europæiske Unions vegne af aftalen mellem Amerikas Forenede Stater og Den Europæiske Union om beskyttelse af personoplysninger i forbindelse med forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger (EUT L 154 af 
11.6.2016
, 
s. 1-2
)
Aftale
 mellem Amerikas Forenede Stater og Den Europæiske Union om beskyttelse af personoplysninger i forbindelse med forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger (EUT L 336 af 
10.12.2016
, 
s. 3-13
)
TILHØRENDE DOKUMENTER
Europa-Parlamentets og Rådets direktiv (EU) 
2016/680
 af 
27. april 2016
 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 
4.5.2016
, 
s. 89-131
)
seneste ajourføring 
23.1.2017