CELEX ID: 32018R1807

--- ENGLISH ---

Document:
28.11.2018
EN
Official Journal of the European Union
L 303/59
REGULATION (EU) 2018/1807 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 14 November 2018
on a framework for the free flow of non-personal data in the European Union
(Text with EEA relevance)
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on the Functioning of the European Union, and in particular Article 114 thereof,
Having regard to the proposal from the European Commission,
After transmission of the draft legislative act to the national parliaments,
Having regard to the opinion of the European Economic and Social Committee 
(
1
)
,
After consulting the Committee of the Regions,
Acting in accordance with the ordinary legislative procedure 
(
2
)
,
Whereas:
(1)
The digitisation of the economy is accelerating. Information and Communications Technology is no longer a specific sector, but the foundation of all modern innovative economic systems and societies. Electronic data are at the centre of those systems and can generate great value when analysed or combined with services and products. At the same time, the rapid development of the data economy and emerging technologies such as Artificial Intelligence, Internet of Things products and services, autonomous systems, and 5G are raising novel legal issues surrounding questions of access to and reuse of data, liability, ethics and solidarity. Work should be considered on the issue of liability, in particular through the implementation of self-regulatory codes and other best practices, taking into account recommendations, decisions and actions taken without human interaction along the entire value chain of data processing. Such work might also include appropriate mechanisms for determining liability, for transferring responsibility among cooperating services, for insurance and for auditing.
(2)
Data value chains are built on different data activities: data creation and collection; data aggregation and organisation; data processing; data analysis, marketing and distribution; use and re-use of data. The effective and efficient functioning of data processing is a fundamental building block in any data value chain. However, the effective and efficient functioning of data processing, and the development of the data economy in the Union, are hampered, in particular, by two types of obstacles to data mobility and to the internal market: data localisation requirements put in place by Member States' authorities and vendor lock-in practices in the private sector.
(3)
The freedom of establishment and the freedom to provide services under the Treaty on the Functioning of the European Union (‘TFEU’) apply to data processing services. However, the provision of those services is hampered or sometimes prevented by certain national, regional or local requirements to locate data in a specific territory.
(4)
Such obstacles to the free movement of data processing services and to the right of establishment of service providers originate from requirements in the laws of Member States to locate data in a specific geographical area or territory for the purpose of data processing. Other rules or administrative practices have an equivalent effect by imposing specific requirements which make it more difficult to process data outside a specific geographical area or territory within the Union, such as requirements to use technological facilities that are certified or approved within a specific Member State. Legal uncertainty as to the extent of legitimate and illegitimate data localisation requirements further limits the choices available to market players and to the public sector regarding the location of data processing. This Regulation in no way limits the freedom of businesses to conclude contracts specifying where data are to be located. This Regulation is merely intended to safeguard that freedom by ensuring that an agreed location can be situated anywhere within the Union.
(5)
At the same time, data mobility in the Union is also inhibited by private restrictions: legal, contractual and technical issues hindering or preventing users of data processing services from porting their data from one service provider to another or back to their own information technology (IT) systems, not least upon termination of their contract with a service provider.
(6)
The combination of those obstacles has led to a lack of competition between cloud service providers in the Union, to various vendor lock-in issues, and to a serious lack of data mobility. Likewise, data-localisation policies have undermined the ability of research and development companies to facilitate collaboration between firms, universities, and other research organisations with the aim of driving innovation.
(7)
For reasons of legal certainty and because of the need for a level playing field within the Union, a single set of rules for all market participants is a key element for the functioning of the internal market. In order to remove obstacles to trade and distortions of competition resulting from divergences between national laws and to prevent the emergence of further likely obstacles to trade and significant distortions of competition, it is necessary to adopt uniform rules applicable in all Member States.
(8)
The legal framework on the protection of natural persons with regard to the processing of personal data, and on respect for private life and the protection of personal data in electronic communications and in particular Regulation (EU) 2016/679 of the European Parliament and of the Council 
(
3
)
 and Directives (EU) 2016/680 
(
4
)
 and 2002/58/EC 
(
5
)
 of the European Parliament and of the Council are not affected by this Regulation.
(9)
The expanding Internet of Things, artificial intelligence and machine learning, represent major sources of non-personal data, for example as a result of their deployment in automated industrial production processes. Specific examples of non-personal data include aggregate and anonymised datasets used for big data analytics, data on precision farming that can help to monitor and optimise the use of pesticides and water, or data on maintenance needs for industrial machines. If technological developments make it possible to turn anonymised data into personal data, such data are to be treated as personal data, and Regulation (EU) 2016/679 is to apply accordingly.
(10)
Under Regulation (EU) 2016/679, Member States may neither restrict nor prohibit the free movement of personal data within the Union for reasons connected with the protection of natural persons with regard to the processing of personal data. This Regulation establishes the same principle of free movement within the Union for non-personal data except when a restriction or a prohibition is justified by public security reasons. Regulation (EU) 2016/679 and this Regulation provide a coherent set of rules that cater for free movement of different types of data. Furthermore, this Regulation does not impose an obligation to store the different types of data separately.
(11)
In order to create a framework for the free flow of non-personal data in the Union and the foundation for developing the data economy and enhancing the competitiveness of Union industry, it is necessary to lay down a clear, comprehensive and predictable legal framework for the processing of data other than personal data in the internal market. A principle-based approach that provides for cooperation among Member States, as well as self-regulation, should ensure that the framework is flexible enough to take into account the evolving needs of users, service providers and national authorities in the Union. In order to avoid the risk of overlaps with existing mechanisms, thereby avoiding higher burdens both for Member States and businesses, detailed technical rules should not be established.
(12)
This Regulation should not affect data processing in so far as it is carried out as part of an activity which falls outside the scope of Union law. In particular, it should be recalled that, in accordance with Article 4 of the Treaty on European Union (‘TEU’), national security is the sole responsibility of each Member State.
(13)
The free flow of data within the Union will play an important role in achieving data-driven growth and innovation. Like businesses and consumers, Member States' public authorities and bodies governed by public law stand to benefit from increased freedom of choice regarding data-driven service providers, from more competitive prices and from a more efficient provision of services to citizens. Given the large amounts of data that public authorities and bodies governed by public law handle, it is of the utmost importance that they lead by example by taking up data processing services and that they refrain from making data localisation restrictions when they make use of data processing services. Therefore, public authorities and bodies governed by public law should be covered by this Regulation. In this regard, the principle of the free flow of non-personal data for which this Regulation provides should apply also to general and consistent administrative practices and to other data localisation requirements in the field of public procurement, without prejudice to Directive 2014/24/EU of the European Parliament and of the Council 
(
6
)
.
(14)
As in the case of Directive 2014/24/EU, this Regulation is without prejudice to laws, regulations, and administrative provisions which relate to the internal organisation of Member States and that allocate, among public authorities and bodies governed by public law, powers and responsibilities for the processing of data without contractual remuneration of private parties, as well as the laws, regulations and administrative provisions of Member States that provide for the implementation of those powers and responsibilities. While public authorities and bodies governed by public law are encouraged to consider the economic and other benefits of outsourcing to external service providers, they might have legitimate reasons to choose self-provisioning of services or insourcing. Consequently, nothing in this Regulation obliges Member States to contract out or externalise the provision of services that they wish to provide themselves or to organise by means other than public contracts.
(15)
This Regulation should apply to natural or legal persons who provide data processing services to users residing or having an establishment in the Union, including those who provide data processing services in the Union without an establishment in the Union. This Regulation should therefore not apply to data processing services taking place outside the Union and to data localisation requirements relating to such data.
(16)
This Regulation does not lay down rules relating to the determination of applicable law in commercial matters and is therefore without prejudice to Regulation (EC) No 593/2008 of the European Parliament and of the Council 
(
7
)
. In particular, to the extent that the law applicable to a contract has not been chosen in accordance with that Regulation, a contract for the provision of services is, in principle, governed by the law of the country of the service provider's habitual residence.
(17)
This Regulation should apply to data processing in the broadest sense, encompassing the usage of all types of IT systems, whether located on the premises of the user or outsourced to a service provider. It should cover data processing of different levels of intensity, from data storage (Infrastructure-as-a-Service (IaaS)) to the processing of data on platforms (Platform-as-a-Service (PaaS)) or in applications (Software-as-a-Service (SaaS)).
(18)
Data localisation requirements represent a clear barrier to the free provision of data processing services across the Union and to the internal market. As such, they should be banned unless they are justified on grounds of public security, as defined by Union law, in particular within the meaning of Article 52 TFEU, and satisfy the principle of proportionality enshrined in Article 5 TEU. In order to give effect to the principle of free flow of non-personal data across borders, to ensure the swift removal of existing data localisation requirements and to enable, for operational reasons, the processing of data in multiple locations across the Union, and since this Regulation provides for measures to ensure data availability for regulatory control purposes, Member States should only be able to invoke public security as a justification for data localisation requirements.
(19)
The concept of ‘public security’, within the meaning of Article 52 TFEU and as interpreted by the Court of Justice, covers both the internal and external security of a Member State, as well as issues of public safety, in order, in particular, to facilitate the investigation, detection and prosecution of criminal offences. It presupposes the existence of a genuine and sufficiently serious threat affecting one of the fundamental interests of society, such as a threat to the functioning of institutions and essential public services and the survival of the population, as well as the risk of a serious disturbance to foreign relations or the peaceful coexistence of nations, or a risk to military interests. In compliance with the principle of proportionality, data localisation requirements that are justified on grounds of public security should be suitable for attaining the objective pursued, and should not go beyond what is necessary to attain that objective.
(20)
In order to ensure the effective application of the principle of free flow of non-personal data across borders, and to prevent the emergence of new barriers to the smooth functioning of the internal market, Member States should immediately communicate to the Commission any draft act that introduces a new data localisation requirement or modifies an existing data localisation requirement. Those draft acts should be submitted and assessed in accordance with Directive (EU) 2015/1535 of the European Parliament and of the Council 
(
8
)
.
(21)
Moreover, in order to eliminate potential existing barriers, during a transitional period of 24 months from the date of application of this Regulation, Member States should carry out a review of existing laws, regulations or administrative provisions of a general nature laying down data localisation requirements and communicate to the Commission any such data localisation requirement that they consider being in compliance with this Regulation, together with a justification for it. This should enable the Commission to examine the compliance of any remaining data localisation requirements. The Commission should be able, where appropriate, to make comments to the Member State in question. Such comments could include a recommendation to amend or repeal the data localisation requirement.
(22)
The obligations to communicate existing data localisation requirements and draft acts to the Commission established by this Regulation should apply to regulatory data localisation requirements and draft acts of a general nature, but not to decisions addressed to a specific natural or legal person.
(23)
In order to ensure the transparency of data localisation requirements in the Member States laid down in a law, regulation or administrative provision of a general nature for natural and legal persons, such as service providers and users of data processing services, Member States should publish information on such requirements on a national online single information point, and regularly update that information. Alternatively, Member States should provide up-to-date information on such requirements to a central information point established under another Union act. In order to appropriately inform natural and legal persons of data localisation requirements across the Union, Member States should notify to the Commission the addresses of such single information points. The Commission should publish this information on its own website, along with a regularly updated consolidated list of all data localisation requirements in force in Member States, including summarised information on those requirements.
(24)
Data localisation requirements frequently stem from a lack of trust in cross-border data processing, deriving from the presumed unavailability of data for the purposes of the competent authorities of the Member States, such as for inspection and audit for regulatory or supervisory control. Such lack of trust cannot be overcome solely by the nullity of contractual terms prohibiting lawful access to data by competent authorities for the performance of their official duties. Therefore, this Regulation should clearly stipulate that it does not affect the powers of competent authorities to request or obtain access to data in accordance with Union or national law, and that competent authorities cannot be refused access to data on the basis that the data are processed in another Member State. Competent authorities could impose functional requirements to support access to data, such as requiring that system descriptions are to be kept in the Member State concerned.
(25)
Natural or legal persons who are subject to obligations to provide data to competent authorities can comply with such obligations by providing and guaranteeing effective and timely electronic access to the data to competent authorities, regardless of the Member State in the territory of which the data are processed. Such access can be ensured through concrete terms and conditions in contracts between the natural or legal person subject to the obligation to provide access and the service provider.
(26)
Where a natural or legal person is subject to an obligation to provide data and fails to comply with that obligation, the competent authority should be able to seek assistance from competent authorities in other Member States. In such cases, competent authorities should use specific cooperation instruments in Union law or under international agreements, depending on the subject matter in a given case, such as, in the area of police cooperation, criminal or civil justice or in administrative matters respectively, Council Framework Decision 2006/960/JHA 
(
9
)
, Directive 2014/41/EU of the European Parliament and of the Council 
(
10
)
, the Convention on Cybercrime of the Council of Europe 
(
11
)
, Council Regulation (EC) No 1206/2001 
(
12
)
, Council Directive 2006/112/EC 
(
13
)
 and Council Regulation (EU) No 904/2010 
(
14
)
. In the absence of such specific cooperation mechanisms, competent authorities should cooperate with each other with a view to providing access to the data sought, through designated single points of contact.
(27)
Where a request for assistance entails obtaining access to any premises of a natural or legal person including to any data processing equipment and means, by the requested authority, such access must be in accordance with Union law or national procedural law, including any requirement to obtain prior judicial authorisation.
(28)
This Regulation should not allow users to attempt to evade the application of national law. It should therefore provide for the imposition, by Member States, of effective, proportionate and dissuasive penalties on users which prevent competent authorities from receiving access to their data necessary for the performance of the competent authorities' official duties under Union and national law. In urgent cases, where a user abuses its right, Member States should be able to impose strictly proportionate interim measures. Any interim measures requiring the re-localisation of data for longer than 180 days following the re-localisation would deviate from the free movement of data principle for a significant period and should, therefore, be communicated to the Commission for the examination of their compatibility with Union law.
(29)
The ability to port data without hindrance is a key factor in facilitating user choice and effective competition on markets for data processing services. The real or perceived difficulties in porting data cross-border also undermine the confidence of professional users when taking up cross-border offers, and thereby their confidence in the internal market. Whereas individual consumers benefit from existing Union law, the ability to switch between service providers is not facilitated for those users who act in the course of their business or professional activities. Consistent technical requirements across the Union, whether concerning technical harmonisation, mutual recognition or voluntary harmonisation, also contribute to developing a competitive internal market for data processing services.
(30)
In order to take full advantage of the competitive environment, professional users should be able to make informed choices and to easily compare the individual components of various data processing services offered in the internal market, including in respect of the contractual terms and conditions of porting data upon the termination of a contract. In order to align with the innovation potential of the market and to take into account the experience and expertise of the service providers and professional users of data processing services, the detailed information and operational requirements for data porting should be defined by market players through self-regulation, encouraged, facilitated and monitored by the Commission, in the form of Union codes of conduct which might include model contractual terms and conditions.
(31)
In order to be effective and to make switching between service providers and data porting easier, such codes of conduct should be comprehensive and should cover at least the key aspects that are important during the process of porting data, such as the processes used for, and the location of, data back-ups; the available data formats and supports; the required IT configuration and minimum network bandwidth; the time required prior to initiating the porting process and the time during which the data will remain available for porting; and the guarantees for accessing data in the case of the bankruptcy of the service provider. The codes of conduct should also make clear that vendor lock-in is not an acceptable business practice, should provide for trust-increasing technologies, and should be regularly updated in order to keep pace with technological developments. The Commission should ensure that all relevant stakeholders, including associations of small and medium-sized enterprises (SMEs) and start-ups, users and cloud service providers are consulted throughout the process. The Commission should evaluate the development, and the effectiveness of the implementation, of such codes of conduct.
(32)
Where a competent authority in one Member State requests assistance from another Member State in order to obtain access to data pursuant to this Regulation, it should submit, through a designated single point of contact, a duly justified request to the latter's designated single point of contact, which should include a written explanation of the reasons and the legal bases for seeking access to the data. The single point of contact designated by the Member State whose assistance is requested should facilitate the transmission of the request to the relevant competent authority in the requested Member State. In order to ensure effective cooperation, the authority to which a request is transmitted should without undue delay provide assistance in response to a given request or provide information on difficulties experienced in fulfilling such request, or on its grounds for refusing it.
(33)
Enhancing trust in the security of cross-border data processing should reduce the propensity of market players and the public sector to use data localisation as a proxy for data security. It should also improve the legal certainty for companies as regards compliance with the applicable security requirements when they outsource their data processing activities to service providers, including to those in other Member States.
(34)
Any security requirements related to data processing that are applied in a justified and proportionate manner on the basis of Union or national law in compliance with Union law in the Member State of residence or establishment of the natural or legal persons whose data are concerned should continue to apply to processing of that data in another Member State. Those natural or legal persons should be able to fulfil such requirements either themselves or through contractual clauses in contracts with service providers.
(35)
Security requirements set at national level should be necessary and proportionate to the risks posed to the security of data processing in scope of the national law in which these requirements are set.
(36)
Directive (EU) 2016/1148 of the European Parliament and of the Council 
(
15
)
 provides for legal measures to boost the overall level of cybersecurity in the Union. Data processing services constitute one of the digital services covered by that Directive. According to that Directive, Member States are to ensure that digital service providers identify and take appropriate and proportionate technical and organisational measures to manage the risks posed to the security of network and information systems which they use. Such measures should ensure a level of security appropriate to the risk presented, and should take into account the security of systems and facilities; incident handling; business continuity management; monitoring, auditing and testing; and compliance with international standards. These elements are to be further specified by the Commission in implementing acts under that Directive.
(37)
The Commission should submit a report on the implementation of this Regulation, in particular with a view to determining the need for modifications in the light of technological or market developments. That report should in particular evaluate this Regulation, especially its application to data sets composed of both personal and non-personal data, as well as the implementation of the public security exception. Before this Regulation starts to apply, the Commission should also publish informative guidance on how to handle data sets composed of both personal and non-personal data, in order that companies, including SMEs, better understand the interaction between this Regulation and Regulation (EU) 2016/679, and to ensure that both Regulations are complied with.
(38)
This Regulation respects the fundamental rights and observes the principles recognised in particular by the Charter of Fundamental Rights of the European Union, and should be interpreted and applied in accordance with those rights and principles, including the rights to the protection of personal data, the freedom of expression and information and the freedom to conduct a business.
(39)
Since the objective of this Regulation, namely to ensure the free flow of data other than personal data in the Union, cannot be sufficiently achieved by the Member States, but can rather, by reason of its scale and effects, be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 TEU. In accordance with the principle of proportionality, as set out in that Article, this Regulation does not go beyond what is necessary in order to achieve that objective,
HAVE ADOPTED THIS REGULATION:
Article 1
Subject matter
This Regulation aims to ensure the free flow of data other than personal data within the Union by laying down rules relating to data localisation requirements, the availability of data to competent authorities and the porting of data for professional users.
Article 2
Scope
1.   This Regulation applies to the processing of electronic data other than personal data in the Union, which is:
(a)
provided as a service to users residing or having an establishment in the Union, regardless of whether the service provider is established or not in the Union; or
(b)
carried out by a natural or legal person residing or having an establishment in the Union for its own needs.
2.   In the case of a data set composed of both personal and non-personal data, this Regulation applies to the non-personal data part of the data set. Where personal and non-personal data in a data set are inextricably linked, this Regulation shall not prejudice the application of Regulation (EU) 2016/679.
3.   This Regulation does not apply to an activity which falls outside the scope of Union law.
This Regulation is without prejudice to laws, regulations, and administrative provisions that relate to the internal organisation of Member States and that allocate, among public authorities and bodies governed by public law defined in point (4) of Article 2(1) of Directive 2014/24/EU, powers and responsibilities for the processing of data without contractual remuneration of private parties, as well as the laws, regulations, and administrative provisions of Member States that provide for the implementation of those powers and responsibilities.
Article 3
Definitions
For the purposes of this Regulation, the following definitions apply:
(1)
‘data’ means data other than personal data as defined in point (1) of Article 4 of Regulation (EU) 2016/679;
(2)
‘processing’ means any operation or set of operations which is performed on data or on sets of data in electronic format, whether or not by automated means, such as collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction;
(3)
‘draft act’ means a text drafted for the purpose of being enacted as a law, regulation or administrative provision of a general nature, the text being at the stage of preparation at which substantive amendments can still be made;
(4)
‘service provider’ means a natural or legal person who provides data processing services;
(5)
‘data localisation requirement’ means any obligation, prohibition, condition, limit or other requirement provided for in the laws, regulations or administrative provisions of a Member State or resulting from general and consistent administrative practices in a Member State and in bodies governed by public law, including in the field of public procurement, without prejudice to Directive 2014/24/EU, which imposes the processing of data in the territory of a specific Member State or hinders the processing of data in any other Member State;
(6)
‘competent authority’ means an authority of a Member State or any other entity authorised by national law to perform a public function or to exercise official authority, that has the power to obtain access to data processed by a natural or legal person for the performance of its official duties, as provided for by Union or national law;
(7)
‘user’ means a natural or legal person, including a public authority or a body governed by public law, using or requesting a data processing service;
(8)
‘professional user’ means a natural or legal person, including a public authority or a body governed by public law, using or requesting a data processing service for purposes related to its trade, business, craft, profession or task.
Article 4
Free movement of data within the Union
1.   Data localisation requirements shall be prohibited, unless they are justified on grounds of public security in compliance with the principle of proportionality.
The first subparagraph of this paragraph is without prejudice to paragraph 3 and to data localisation requirements laid down on the basis of existing Union law.
2.   Member States shall immediately communicate to the Commission any draft act which introduces a new data localisation requirement or makes changes to an existing data localisation requirement in accordance with the procedures set out in Articles 5, 6 and 7 of Directive (EU) 2015/1535.
3.   By 30 May 2021, Member States shall ensure that any existing data localisation requirement that is laid down in a law, regulation or administrative provision of a general nature and that is not in compliance with paragraph 1 of this Article is repealed.
By 30 May 2021, if a Member State considers that an existing measure containing a data localisation requirement is in compliance with paragraph 1 of this Article and can therefore remain in force, it shall communicate that measure to the Commission, together with a justification for maintaining it in force. Without prejudice to Article 258 TFEU, the Commission shall, within a period of six months from the date of receipt of such communication, examine the compliance of that measure with paragraph 1 of this Article and shall, where appropriate, make comments to the Member State in question, including, where necessary, recommending the amendment or the repeal of the measure.
4.   Member States shall make the details of any data localisation requirements laid down in a law, regulation or administrative provision of a general nature and applicable in their territory publicly available via a national online single information point which they shall keep up-to-date, or provide up-to-date details of any such localisation requirements to a central information point established under another Union act.
5.   Member States shall inform the Commission of the address of their single information point referred to in paragraph 4. The Commission shall publish the link(s) to such point(s) on its website, along with a regularly updated consolidated list of all data localisation requirements referred to in paragraph 4, including summarised information on those requirements.
Article 5
Data availability for competent authorities
1.   This Regulation shall not affect the powers of competent authorities to request, or obtain, access to data for the performance of their official duties in accordance with Union or national law. Access to data by competent authorities may not be refused on the basis that the data are processed in another Member State.
2.   Where, after requesting access to a user's data, a competent authority does not obtain access and if no specific cooperation mechanism exists under Union law or international agreements to exchange data between competent authorities of different Member States, that competent authority may request assistance from a competent authority in another Member State in accordance with the procedure set out in Article 7.
3.   Where a request for assistance entails obtaining access to any premises of a natural or legal person, including to any data processing equipment and means, by the requested authority, such access must be in accordance with Union law or national procedural law.
4.   Member States may impose effective, proportionate and dissuasive penalties for failure to comply with an obligation to provide data, in accordance with Union and national law.
In the case of abuse of rights by a user, a Member State may, where justified by the urgency of accessing the data and taking into account the interests of the parties concerned, impose strictly proportionate interim measures on that user. If an interim measure imposes re-localisation of data for a duration that is longer than 180 days following re-localisation, it shall be communicated within that 180-day period to the Commission. The Commission shall, in the shortest possible time, examine the measure and its compatibility with Union law, and, where appropriate, take the necessary measures. The Commission shall exchange information with the single points of contact of Member States referred to in Article 7 on experience gained in this regard.
Article 6
Porting of data
1.   The Commission shall encourage and facilitate the development of self-regulatory codes of conduct at Union level (‘codes of conduct’), in order to contribute to a competitive data economy, based on the principles of transparency and interoperability and taking due account of open standards, covering, inter alia, the following aspects:
(a)
best practices for facilitating the switching of service providers and the porting of data in a structured, commonly used and machine-readable format including open standard formats where required or requested by the service provider receiving the data;
(b)
minimum information requirements to ensure that professional users are provided, before a contract for data processing is concluded, with sufficiently detailed, clear and transparent information regarding the processes, technical requirements, timeframes and charges that apply in case a professional user wants to switch to another service provider or port data back to its own IT systems;
(c)
approaches to certification schemes that facilitate the comparison of data processing products and services for professional users, taking into account established national or international norms, to facilitate the comparability of those products and services. Such approaches may include, inter alia, quality management, information security management, business continuity management and environmental management;
(d)
communication roadmaps taking a multi-disciplinary approach to raise awareness of the codes of conduct among relevant stakeholders.
2.   The Commission shall ensure that the codes of conduct are developed in close cooperation with all relevant stakeholders, including associations of SMEs and start-ups, users and cloud service providers.
3.   The Commission shall encourage service providers to complete the development of the codes of conduct by 29 November 2019 and to effectively implement them by 29 May 2020.
Article 7
Procedure for cooperation between authorities
1.   Each Member State shall designate a single point of contact which shall liaise with the single points of contact of other Member States and the Commission regarding the application of this Regulation. Member States shall notify to the Commission the designated single points of contact and any subsequent change thereto.
2.   Where a competent authority in one Member State requests assistance from another Member State, pursuant to Article 5(2), in order to obtain access to data, it shall submit a duly justified request to the latter's designated single point of contact. The request shall include a written explanation of the reasons and the legal bases for seeking access to the data.
3.   The single point of contact shall identify the relevant competent authority of its Member State and transmit the request received pursuant to paragraph 2 to that competent authority.
4.   The relevant competent authority so requested shall, without undue delay and within a timeframe proportionate to the urgency of the request, provide a response communicating the data requested, or informing the requesting competent authority that it does not consider that the conditions for requesting assistance under this Regulation have been met.
5.   Any information exchanged in the context of assistance requested and provided under Article 5(2) shall be used only in respect of the matter for which it was requested.
6.   The single points of contact shall provide users with general information on this Regulation, including on the codes of conduct.
Article 8
Evaluation and guidelines
1.   No later than 29 November 2022, the Commission shall submit a report to the European Parliament, to the Council and to the European Economic and Social Committee evaluating the implementation of this Regulation, in particular in respect of:
(a)
the application of this Regulation, especially to data sets composed of both personal and non-personal data in the light of market developments and technological developments which might expand the possibilities for deanonymising data;
(b)
the implementation by Member States of Article 4(1), and in particular the public security exception; and
(c)
the development and effective implementation of the codes of conduct and the effective provision of information by service providers.
2.   Member States shall provide the Commission with the necessary information for the preparation of the report referred to in paragraph 1.
3.   By 29 May 2019, the Commission shall publish informative guidance on the interaction of this Regulation and Regulation (EU) 2016/679, especially as regards data sets composed of both personal and non-personal data.
Article 9
Final provisions
This Regulation shall enter into force on the twentieth day following that of its publication in the 
Official Journal of the European Union
.
This Regulation shall apply six months after its publication.
This Regulation shall be binding in its entirety and directly applicable in all Member States.
Done at Strasbourg, 14 November 2018.
For the European Parliament
The President
A. TAJANI
For the Council
The President
K. EDTSTADLER
(
1
)
  
            
OJ C 227, 28.6.2018, p. 78
.
(
2
)
  Position of the European Parliament of 4 October 2018 (not yet published in the Official Journal) and decision of the Council of 6 November 2018.
(
3
)
  Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (
OJ L 119, 4.5.2016, p. 1
).
(
4
)
  Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (
OJ L 119, 4.5.2016, p. 89
).
(
5
)
  Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) (
OJ L 201, 31.7.2002, p. 37
).
(
6
)
  Directive 2014/24/EU of the European Parliament and of the Council of 26 February 2014 on public procurement and repealing Directive 2004/18/EC (
OJ L 94, 28.3.2014, p. 65
).
(
7
)
  Regulation (EC) No 593/2008 of the European Parliament and of the Council of 17 June 2008 on the law applicable to contractual obligations (Rome I) (
OJ L 177, 4.7.2008, p. 6
).
(
8
)
  Directive (EU) 2015/1535 of the European Parliament and of the Council of 9 September 2015 laying down a procedure for the provision of information in the field of technical regulations and of rules on Information Society services (
OJ L 241, 17.9.2015, p. 1
).
(
9
)
  Council Framework Decision 2006/960/JHA of 18 December 2006 on simplifying the exchange of information and intelligence between law enforcement authorities of the Member States of the European Union (
OJ L 386, 29.12.2006, p. 89
).
(
10
)
  Directive 2014/41/EU of the European Parliament and of the Council of 3 April 2014 regarding the European Investigation Order in criminal matters (
OJ L 130, 1.5.2014, p. 1
).
(
11
)
  Convention on Cybercrime of the Council of Europe, CETS No 185.
(
12
)
  Council Regulation (EC) No 1206/2001 of 28 May 2001 on cooperation between the courts of the Member States in the taking of evidence in civil or commercial matters (
OJ L 174, 27.6.2001, p. 1
).
(
13
)
  Council Directive 2006/112/EC of 28 November 2006 on the common system of value added tax (
OJ L 347, 11.12.2006, p. 1
).
(
14
)
  Council Regulation (EU) No 904/2010 of 7 October 2010 on administrative cooperation and combating fraud in the field of value added tax (
OJ L 268, 12.10.2010, p. 1
).
(
15
)
  Directive (EU) 2016/1148 of the European Parliament and of the Council of 6 July 2016 concerning measures for a high common level of security of network and information systems across the Union (
OJ L 194, 19.7.2016, p. 1
).

Summary:
Free flow of non-personal data in the European Union
SUMMARY OF:
Regulation (EU) 2018/1807 — on a framework for the free flow of non-personal data in the European Union
WHAT IS THE AIM OF THE REGULATION?
It aims to ensure that electronic data, apart from personal data, can be processed freely throughout the EU.
It bans restrictions on where the data can be stored or processed.
KEY POINTS
The regulation applies to the processing of 
non-personal data
1
 which is:
provided as a service to users living in the EU;
conducted by an individual, company or organisation in the EU for its own needs.
The regulation bans measures known as 
localisation requirements
2
, restricting data processing to a specific territory in the EU, except on public security grounds.
EU countries
 must:
inform the 
European Commission
 immediately of any potential new data localisation requirement;
by 
30 May 2021
, repeal any unjustified localisation requirements or notify the Commission of any it believes are justified;
establish a 
national online single information point
 containing all up-to-date localisation requirements;
appoint a 
single contact point
 to liaise and cooperate with counterparts in other EU countries and the Commission, particularly on assistance requests.
Public authorities
 may request access to data located in another EU country, or stored or processed in the cloud, and required for their official duties.
The 
Commission
 must:
publish links to the national online single information points on its website and update regularly a consolidated list of localisation requirements;
by 
29 May 2019
, provide guidance on the interaction between the regulation and Regulation (EU) 2016/679 on the 
processing and transfer of personal data
, especially data with both personal and non-personal information;
by 
29 November 2022
, report to the 
European Parliament
, the 
Council
 and the 
European Economic and Social Committee
 on how the regulation is being applied.
The Commission encourages the creation of 
EU-level self-regulatory codes of conduct
. These should:
be developed in close cooperation with interested parties, such as 
small- and medium-sized enterprise
 associations, start-ups, users and cloud service providers;
be completed by 
29 November 2019
 so they can be implemented by 
29 May 2020
;
cover 
best practices
 when switching service providers or 
porting data
3
minimum information requirements
 for professional users before signing a data-processing contract
certification schemes
 to enable comparisons between data-processing products and services for professionals
communication
 to raise awareness of the codes of conduct.
FROM WHEN DOES THE REGULATION APPLY?
It applies from 
28 May 2019
. As mentioned in the summary, there are specific deadlines in the regulation that must be met such as the repeal, by 
30 May 2021
, of any unjustified localisation requirements.
BACKGROUND
The new rules are designed to make it easier to do business across borders in the EU and to create a single market for data storage and processing services, such as cloud computing.
The ability to choose a data service provider anywhere in the EU should lead to more innovative data-driven services and more competitive prices for businesses, consumers and public administrations.
With a favourable regulatory environment, it is estimated the data economy could be worth 4% of EU GDP (gross domestic product) by 2020.
For more information, see:
Free flow of non-personal data
 (
European Commission
).
KEY TERMS
Non-personal data:
 any information not linked to an identified or identifiable individual, that is any data other than personal data as defined in point (1) of Article 4 of the General Data Protection Regulation (GDPR).
Localisation requirements:
 any legal or administrative measure which states that data processing must take place in a specific EU territory.
Porting data:
 transferring data from one service provider to another, or back to a company’s own servers.
MAIN DOCUMENT
Regulation (EU) 
2018/1807
 of the European Parliament and of the Council of 
14 November 2018
 on a framework for the free flow of non-personal data in the European Union (OJ L 303, 
28.11.2018
, 
pp. 59-68
)
RELATED DOCUMENT
Regulation (EU) 
2016/679
 of the European Parliament and of the Council of 
27 April 2016
 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (OJ L 119, 
4.5.2016
, 
pp. 1-88
)
See 
consolidated version
.
last update 
15.2.2019

--- DANISH ---

Document:
28.11.2018
DA
Den Europæiske Unions Tidende
L 303/59
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2018/1807
af 14. november 2018
om en ramme for fri udveksling af andre data end personoplysninger i Den Europæiske Union
(EØS-relevant tekst)
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 114,
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg 
(
1
)
,
efter høring af Regionsudvalget,
efter den almindelige lovgivningsprocedure 
(
2
)
, og
ud fra følgende betragtninger:
(1)
Digitaliseringen af økonomien går stadig hurtigere. Informations- og kommunikationsteknologi er ikke længere en specifik sektor, men grundlaget for alle moderne innovative økonomiske systemer og samfund. Elektroniske data er kernen i disse systemer og kan skabe stor værdi, når de analyseres eller kombineres med tjenester og varer. Samtidig betyder den hastige udvikling af dataøkonomien og de fremspirende teknologier som f.eks. kunstig intelligens, produkter og tjenesteydelser med tilknytning til tingenes internet, autonome systemer og 5G, at der opstår nye retlige spørgsmål med hensyn til adgang til og genanvendelse af data, ansvarsforhold, etik og solidaritet. Der bør overvejes at iværksætte en arbejdsindsats vedrørende ansvarsforhold, navnlig ved gennemførelse af selvregulerende kodekser og andre former for bedste praksis, under hensyntagen til henstillinger, afgørelser og handlinger, der udføres uden menneskelig medvirken gennem hele databehandlingsværdikæden. Dette arbejde kan også omfatte passende mekanismer til ansvarsplacering, til overførsel af ansvar mellem samarbejdende tjenester, til forsikring og til audit.
(2)
Dataværdikæder bygger på forskellige dataaktiviteter: frembringelse og indsamling af data; aggregering og organisation af data; behandling af data; analyse, markedsføring og distribution af data; anvendelse og genanvendelse af data. Formålstjenlig og effektiv behandling af data er en grundlæggende byggesten i dataværdikæden. Dog hæmmes den formålstjenlige og effektive databehandlings funktion og udviklingen af dataøkonomien i Unionen af navnlig to typer af hindringer for datamobilitet og for det indre marked: dataplaceringskrav fastsat af medlemsstaternes myndigheder og praksis med leverandørbinding i den private sektor.
(3)
Etableringsfriheden og den frie udveksling af tjenesteydelser i henhold til traktaten om Den Europæiske Unions funktionsmåde (»TEUF«) gælder også for databehandlingstjenester. Imidlertid bliver leveringen af disse tjenester hæmmet eller forhindret af visse nationale, regionale eller lokale krav vedrørende datas placering i et bestemt område.
(4)
Disse hindringer for fri udveksling af databehandlingstjenester og for etableringsretten for tjenesteleverandører skyldes krav i medlemsstaternes lovgivninger om, at data behandles inden for et bestemt geografisk område eller territorium. Andre regler eller anden administrativ praksis har en tilsvarende virkning ved at pålægge specifikke krav, som gør det vanskeligere at behandle data uden for et bestemt geografisk område eller territorium inden for Unionen, f.eks. krav om brug af teknologiske faciliteter, der er certificeret eller godkendt i en bestemt medlemsstat. Usikkerhed om retstilstanden med hensyn til rækkevidden af berettigede og uberettigede dataplaceringskrav begrænser yderligere markedsdeltagernes og den offentlige sektors valgmuligheder med hensyn til, hvor data behandles. Denne forordning begrænser på ingen måde virksomheder i at indgå kontrakter, der angiver, hvor data skal placeres. Denne forordning har blot som hensigt at garantere denne frihed ved at sikre, at en aftalt placering kan ligge overalt inden for Unionen.
(5)
Samtidig hæmmes datamobilitet i Unionen også af begrænsninger i den private sektor: retlige, kontraktmæssige og tekniske hindringer gør det svært eller umuligt for brugere af databehandlingstjenester at få overført deres data fra én tjenesteleverandør til en anden eller tilbage til deres egne systemer til informationsteknologi (»IT«), ikke mindst efter udløbet af deres kontrakt med en tjenesteleverandør.
(6)
Kombinationen af disse hindringer har ført til mangel på konkurrence mellem cloudtjenesteleverandører i Unionen, til forskellige problemer med leverandørbinding og til en alvorlig mangel på datamobilitet. Tilsvarende har dataplaceringspolitikker undergravet forsknings- og udviklingsvirksomheders mulighed for at fremme samarbejde mellem virksomheder, universiteter og andre forskningsinstitutioner med henblik på at fremme innovation.
(7)
Hensynet til retssikkerheden og behovet for lige konkurrencevilkår inden for Unionen gør et fælles regelsæt for alle markedsaktører til en vigtig forudsætning for et velfungerende indre marked. For at fjerne de hindringer for samhandelen og de konkurrenceforvridninger, som forskelle mellem de nationale lovgivninger medfører, og for at forhindre, at der opstår yderligere hindringer for samhandelen og væsentlige konkurrenceforvridninger, er det nødvendigt at vedtage ensartede regler, der gælder i alle medlemsstaterne.
(8)
De retlige rammer for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og for respekten for privatliv og beskyttelse af personoplysninger i forbindelse med elektronisk kommunikation, og navnlig Europa-Parlamentets og Rådets forordning (EU) 2016/679 
(
3
)
, samt Europa-Parlamentets og Rådets direktiv (EU) 2016/680 
(
4
)
 og 2002/58/EF 
(
5
)
 berøres ikke af nærværende forordning.
(9)
Det ekspanderende tingenes internet, kunstig intelligens og maskinindlæring udgør en vigtig kilde til andre data end personoplysninger, f.eks. som et resultat af, at de anvendes i automatiserede industrielle produktionsprocesser. Konkrete eksempler på andre data end personoplysninger omfatter aggregerede og anonymiserede datasæt, som indgår i big data-analyser, data om præcisionsdyrkning, der kan bidrage til at overvåge og optimere anvendelsen af pesticider og vand, eller data om industrielle maskiners vedligeholdelsesbehov. Hvis teknologiske udviklinger gør det muligt at omdanne anonymiserede data til personoplysninger, behandles sådanne data som personoplysninger, og forordning (EU) 2016/679 skal da finde tilsvarende anvendelse.
(10)
I henhold til forordning (EU) 2016/679 må medlemsstaterne hverken indskrænke eller forbyde den frie udveksling af personoplysninger inden for Unionen af grunde, der vedrører beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger. Ved nærværende forordning fastsættes samme princip om fri udveksling inden for Unionen for andre data end personoplysninger, medmindre en indskrænkning eller et forbud er berettiget af hensyn til den offentlige sikkerhed. Ved forordning (EU) 2016/679 og nærværende forordning tilvejebringes et sammenhængende sæt af regler, der tager højde for fri bevægelighed for forskellige typer af data. Desuden indfører nærværende forordning ikke en forpligtelse til at lagre de forskellige typer af data hver for sig.
(11)
For at skabe en ramme for fri udveksling af andre data end personoplysninger i Unionen og danne grundlag for at videreudvikle dataøkonomien og styrke Unionens industris konkurrenceevne er det nødvendigt at fastlægge en klar, dækkende og forudsigelig retlig ramme for behandling af andre data end personoplysninger på det indre marked. En principbaseret tilgang, der omfatter samarbejde mellem medlemsstaterne og selvregulering, bør sikre, at rammen er tilstrækkelig fleksibel, til at der tages hensyn til udviklingen i behovene hos brugere, tjenesteleverandører og nationale myndigheder i Unionen. For at undgå risikoen for overlap med eksisterende ordninger og dermed undgå at øge byrden for både medlemsstater og virksomheder bør der ikke fastlægges detaljerede tekniske regler.
(12)
Denne forordning bør ikke berøre databehandling, for så vidt som den udføres som led i en aktivitet, der falder uden for EU-rettens anvendelsesområde. Navnlig bør det erindres, at den nationale sikkerhed i overensstemmelse med artikel 4 i traktaten om Den Europæiske Union (»TEU«) er den enkelte medlemsstats eneansvar.
(13)
Den fri udveksling af data inden for Unionen vil spille en vigtig rolle i forhold til at opnå datadreven vækst og innovation. I lighed med virksomheder og forbrugere vil medlemsstaternes offentlige myndigheder og offentligretlige organer kunne drage fordel af øget valgfrihed med hensyn til datadrevne tjenesteleverandører, af mere konkurrencedygtige priser og af en mere effektiv levering af tjenesteydelser til borgerne. I betragtning af de store mængder data, som offentlige myndigheder og offentligretlige organer håndterer, er det af største vigtighed, at de går foran med et godt eksempel med hensyn til anvendelse af tjenester for elektronisk databehandling, og at de afholder sig fra at lægge begrænsninger på dataplacering, når de gør brug af tjenester for databehandlingstjenester. Offentlige myndigheder og offentligretlige organer bør derfor være omfattet af denne forordning. I denne forbindelse bør princippet om fri udveksling af andre data end personoplysninger, der er fastsat i denne forordning, også finde anvendelse på almen og fast administrativ praksis og på andre dataplaceringskrav inden for offentlige udbud, uden at dette berører Europa-Parlamentets og Rådets direktiv 2014/24/EU 
(
6
)
.
(14)
Som det er tilfældet med direktiv 2014/24/EU, berører denne forordning ikke love og administrative bestemmelser vedrørende medlemsstaternes interne organisation og fordeling blandt offentlige myndigheder og offentligretlige organer af beføjelser og ansvar vedrørende databehandling uden kontraktmæssig betaling til private parter og berører heller ikke medlemsstaternes love og administrative bestemmelser vedrørende gennemførelsen af disse beføjelser og ansvar. Selv om de offentlige myndigheder og offentligretlige organer tilskyndes til at overveje de økonomiske og andre fordele ved outsourcing til eksterne tjenesteleverandører, kan de have legitime grunde til at vælge selvforsyning med tjenesteydelser eller insourcing. Følgelig pålægger denne forordning på ingen måde medlemsstaterne en forpligtelse til at outsource eller eksternalisere levering af tjenesteydelser, som de ønsker selv at levere eller at organisere på anden vis end gennem offentlige kontrakter.
(15)
Denne forordning bør finde anvendelse på fysiske og juridiske personer, der leverer databehandlingstjenester til brugere, som er bosiddende eller etableret i Unionen, herunder på fysiske og juridiske personer, der leverer databehandlingstjenester i Unionen uden at være etableret der. Denne forordning bør derfor ikke finde anvendelse på databehandlingstjenester, der finder sted uden for Unionen, og på dataplaceringskrav vedrørende sådanne data.
(16)
Denne forordning fastlægger ikke lovvalgsregler på det handelsretlige område og berører derfor ikke Europa-Parlamentets og Rådets forordning (EF) nr. 593/2008 
(
7
)
. Navnlig er en kontrakt om levering af tjenesteydelser i princippet underlagt loven i det land, hvor tjenesteleverandøren har sit sædvanlige opholdssted, for så vidt som der ikke er foretaget et lovvalg i overensstemmelse med nævnte forordning.
(17)
Nærværende forordning bør gælde for databehandling i bredeste forstand og omfatte brugen af alle typer IT-systemer, uanset om de er placeret i brugerens lokaler eller outsourcet til en tjenesteleverandør. Den bør dække forskellige grader af databehandling, fra datalagring (Infrastructure-as-a-Service (IaaS)) til behandling af data på platforme (Platform-as-a-Service (PaaS)) eller i applikationer (Software-as-a-Service (SaaS)).
(18)
Dataplaceringskrav udgør en klar hindring for fri udveksling af databehandlingstjenester i Unionen og for det indre marked. Sådanne krav bør forbydes, medmindre de er begrundet i hensynet til den offentlige sikkerhed som fastlagt i EU-retten, navnlig i den i artikel 52 i TEUF anvendte betydning, og overholder proportionalitetsprincippet, der er forankret i artikel 5 i TEU. For at gennemføre princippet om fri udveksling af andre data end personoplysninger på tværs af grænserne, sikre en hurtig afskaffelse af eksisterende dataplaceringskrav og gøre det muligt af driftsmæssige årsager at foretage databehandling flere steder i Unionen, og da der ved denne forordning indføres foranstaltninger til at sikre myndighederne adgang til data i regulerings- og tilsynsøjemed, bør medlemsstaterne kun kunne påberåbe sig hensynet til den offentlige sikkerhed som begrundelse for dataplaceringskrav.
(19)
Begrebet »den offentlige sikkerhed«, som omhandlet i artikel 52 i TEUF og som fortolket af Domstolen, omfatter både den interne og eksterne sikkerhed i en medlemsstat samt spørgsmål vedrørende offentlig tryghed med henblik på navnlig at fremme efterforskning, afsløring og retsforfølgelse af strafbare handlinger. Det forudsætter, at der foreligger en reel og tilstrækkelig alvorlig trussel, der påvirker en af de grundlæggende samfundsinteresser, såsom en trussel for driften af institutionerne og de livsvigtige offentlige tjenester og for befolkningens overlevelse samt risikoen for en alvorlig forstyrrelse af de internationale relationer eller af nationers fredelige sameksistens, eller en trussel mod militære interesser. I overensstemmelse med proportionalitetsprincippet bør dataplaceringskrav, der er begrundet i hensynet til den offentlige sikkerhed, være egnede til at nå det tilsigtede mål og ikke gå ud over, hvad der er nødvendigt for at nå dette mål.
(20)
For at sikre en effektiv anvendelse af princippet om fri udveksling af andre data end personoplysninger på tværs af grænserne og undgå, at der opstår nye hindringer på det indre marked, bør medlemsstaterne straks underrette Kommissionen om ethvert udkast til retsakt, der indfører nye dataplaceringskrav eller ændrer eksisterende krav. Disse udkast til retsakter bør forelægges og vurderes i overensstemmelse med Europa-Parlamentets og Rådets direktiv (EU) 2015/1535 
(
8
)
.
(21)
For at fjerne eventuelle eksisterende hindringer bør medlemsstaterne desuden i løbet af en overgangsperiode på 24 måneder fra denne forordnings anvendelsesdato, tage eksisterende love og administrative bestemmelser af generel karakter, der fastsætter dataplaceringskrav, op til revision og meddele Kommissionen eventuelle dataplaceringskrav, som de anser for at være i overensstemmelse med denne forordning, samt give en begrundelse herfor. Dette bør sætte Kommissionen i stand til at undersøge, om eventuelle resterende dataplaceringskrav er i overensstemmelse. Kommissionen bør have mulighed for, hvor det er hensigtsmæssigt, at fremsætte bemærkninger over for den pågældende medlemsstat. Disse bemærkninger kan omfatte en anbefaling om ændring eller ophævelse af et dataplaceringskrav.
(22)
De forpligtelser til at underrette Kommissionen om eksisterende dataplaceringskrav og udkast til retsakter, der er fastsat ved denne forordning, bør finde anvendelse på reguleringsmæssige dataplaceringskrav og udkast til retsakter af generel karakter, men ikke på afgørelser, der retter sig til en konkret fysisk eller juridisk person.
(23)
For at skabe klarhed om dataplaceringskravene i medlemsstaterne fastlagt ved lov og administrative bestemmelser af generel karakter for fysiske og juridiske personer, som f.eks. tjenesteleverandører og brugere af databehandlingstjenester, bør medlemsstaterne offentliggøre oplysninger om sådanne krav og jævnligt ajourføre oplysningerne om sådanne foranstaltninger på et nationalt centralt onlineinformationssted. Alternativt bør medlemsstaterne indgive ajourførte oplysninger om sådanne krav til et centralt informationssted, der er oprettet i henhold til en anden EU-retsakt. Med henblik på at sikre, at fysiske og juridiske personer informeres på passende vis om dataplaceringskrav overalt i Unionen, bør medlemsstaterne meddele Kommissionen adresserne på disse nationale centrale onlineinformationssteder. Kommissionen bør offentliggøre disse oplysninger på sit eget websted sammen med en regelmæssigt ajourført, konsolideret liste over samtlige gældende dataplaceringskrav i medlemsstaterne, herunder opsummerede oplysninger om disse krav.
(24)
Dataplaceringskrav beror ofte på manglende tillid til databehandling i andre lande, der udspringer af en formodning om, at dataene ikke er tilgængelige for medlemsstaternes kompetente myndigheder, når de f.eks. skal foretage inspektion og audit i regulerings- eller tilsynsøjemed. Sådan manglende tillid kan ikke overvindes udelukkende ved at erklære kontraktvilkår, som forhindrer kompetente myndigheder i at få lovlig adgang til data med henblik på varetagelse af deres officielle opgaver, ugyldige. Denne forordning bør derfor klart fastslå, at den ikke berører de kompetente myndigheders beføjelser til at anmode om eller få adgang til data i overensstemmelse med EU-retten eller national ret, og at kompetente myndigheder ikke kan nægtes adgang til data med den begrundelse, at dataene behandles i en anden medlemsstat. De kompetente myndigheder kan pålægge funktionelle krav for at understøtte adgang til data, såsom krav om, at systembeskrivelser opbevares i den berørte medlemsstat.
(25)
Fysiske og juridiske personer, der er underlagt forpligtelser til at indberette data til de kompetente myndigheder, kan opfylde disse forpligtelser ved at give og garantere de kompetente myndigheder effektiv og rettidig elektronisk adgang til dataene, uanset i hvilken medlemsstat dataene behandles. Sådan adgang kan sikres gennem konkrete vilkår og betingelser i kontrakten mellem den fysiske eller juridiske person, der er underlagt forpligtelsen til at give adgang, og tjenesteleverandøren.
(26)
Når en fysisk eller juridisk person er underlagt en forpligtelse til at indberette data og ikke opfylder denne forpligtelse, bør den kompetente myndighed kunne søge bistand hos de kompetente myndigheder i andre medlemsstater. I sådanne tilfælde bør de kompetente myndigheder, alt afhængigt af emnet i det pågældende tilfælde, gøre brug af særlige samarbejdsinstrumenter i EU-retten eller internationale aftaler, f.eks., inden for henholdsvis politisamarbejde og samarbejde i strafferetlige, civilretlige og administrative anliggender, Rådets rammeafgørelse 2006/960/RIA 
(
9
)
, Europa-Parlamentets og Rådets direktiv 2014/41/EU 
(
10
)
, Europarådets konvention om IT-kriminalitet 
(
11
)
, Rådets forordning (EF) nr. 1206/2001 
(
12
)
, Rådets direktiv 2006/112/EF 
(
13
)
 henholdsvis Rådets forordning (EU) nr. 904/2010 
(
14
)
. I mangel af sådanne særlige samarbejdsordninger bør de kompetente myndigheder samarbejde med hinanden gennem udpegede centrale kontaktpunkter med henblik på at give adgang til de ønskede data.
(27)
Hvis en anmodning om bistand indebærer, at den adspurgte myndighed skal have adgang til en fysisk eller juridisk persons lokaler, herunder til udstyr og midler til databehandling, skal en sådan adgang være i overensstemmelse med EU-retten eller national procesret, herunder eventuelle krav om, at der indhentes forudgående retskendelse.
(28)
Denne forordning bør ikke gøre det muligt for brugerne at forsøge at unddrage sig anvendelsen af national ret. Den bør derfor fastsætte bestemmelser, som gør det muligt for medlemsstaterne at pålægge brugerne effektive, forholdsmæssige og afskrækkende sanktioner, såfremt de forhindrer de kompetente myndigheder i at få adgang til de nødvendige data med henblik på varetagelsen af de kompetente myndigheders officielle opgaver i henhold til EU-retten eller national ret. I hastende tilfælde, hvor en bruger misbruger sine rettigheder, bør medlemsstaterne have mulighed for at pålægge strengt forholdsmæssige foreløbige foranstaltninger. Foreløbige foranstaltninger, der kræver relokalisering af data i længere tid end 180 dage efter relokaliseringen, ville indebære en tilsidesættelse af princippet om fri udveksling af data i et væsentligt tidsrum, og Kommissionen bør derfor underrettes herom med henblik på en kontrol af deres forenelighed med EU-retten.
(29)
Muligheden for at portere data uden hindringer er en afgørende faktor, der øger brugernes valgmuligheder og fremmer effektiv konkurrence på markederne for databehandlingstjenester. De reelle eller formodede problemer med at portere data på tværs af grænserne undergraver også professionelle brugeres tillid til tilbud i andre lande og dermed deres tillid til det indre marked. Mens fysiske personer og forbrugere nyder godt af eksisterende EU-ret, fremmer den ikke mulighederne for at skifte tjenesteleverandør for brugere, der handler i forbindelse med deres forretnings- eller erhvervsmæssige aktiviteter. Ensartede tekniske krav i Unionen, uanset om det drejer sig om teknisk harmonisering, gensidig anerkendelse eller frivillig harmonisering, bidrager også til at udvikle et konkurrencedygtigt indre marked for databehandlingstjenester.
(30)
For at høste det fulde udbytte af et konkurrencepræget miljø bør professionelle brugere kunne træffe informerede valg og nemt kunne sammenligne de enkelte elementer i de forskellige databehandlingstjenester, der udbydes på det indre marked, herunder af kontraktvilkår og -betingelser for dataportering ved opsigelse af en kontrakt. På baggrund af innovationspotentialet på markedet samt erfaringerne og ekspertisen hos tjenesteleverandører og professionelle brugere af databehandlingstjenester bør markedsdeltagerne ved selvregulering fastlægge detaljerede informationskrav og operationelle krav vedrørende dataportering, og selvreguleringen bør fremmes og overvåges af Kommissionen og tage form af EU-adfærdskodekser, som kan omfatte standardkontraktvilkår og -betingelser.
(31)
For at være effektive og gøre leverandørskift og dataportering lettere bør sådanne adfærdskodekser være omfattende og dække mindst de centrale aspekter, som er vigtige under dataporteringsprocessen, såsom procedurerne, der finder anvendelse for, og placeringen af databackup, de dataformater og -medier, der er til rådighed, den krævede IT-konfiguration og minimumsbåndbredde, hvor lang tid der går, inden porteringsprocessen kan sættes i gang, og hvor lang tid dataene forbliver tilgængelige til portering, samt garantierne for adgang til data, såfremt tjenesteleverandøren går konkurs. Adfærdskodekserne bør også gøre det klart, at leverandørbinding ikke er acceptabel forretningspraksis, de bør fastsætte bestemmelser om tillidsfremmende teknologier og bør ajourføres regelmæssigt for at holde trit med den teknologiske udvikling. Kommissionen bør sikre, at alle berørte interessenter, herunder sammenslutninger af små og mellemstore virksomheder (SMV'er) og nystartede virksomheder, brugere og cloudtjenesteleverandører høres igennem hele processen. Kommissionen bør evaluere udviklingen og effektiviteten af gennemførelsen af sådanne adfærdskodekser.
(32)
Når en kompetent myndighed i en medlemsstat anmoder om bistand fra en anden medlemsstat til at få adgang til data i henhold til denne forordning, bør den gennem et centralt kontaktpunkt indgive en behørigt begrundet anmodning til sidstnævntes centrale kontaktpunkt, herunder en skriftlig redegørelse for begrundelsen og retsgrundlaget for at søge adgang til dataene. Det centrale kontaktpunkt, der er udpeget af den medlemsstat, der anmodes om bistand, bør lette videresendelsen af anmodningen til den relevante kompetente myndighed i den anmodede medlemsstat. For at sikre et effektivt samarbejde bør den myndighed, som anmodningen er sendt til, uden unødigt ophold yde den bistand, der anmodes om i en given anmodning, eller oplyse om opståede vanskeligheder med at imødekomme anmodningen eller om begrundelsen for at afvise den.
(33)
Hvis tilliden til sikkerheden i forbindelse med databehandling i andre medlemsstater styrkes, bør det mindske tilbøjeligheden hos markedsdeltagerne og i den offentlige sektor til at bruge placeringen af data som substitut for datasikkerhed. Det bør også forbedre retssikkerheden for virksomhederne med hensyn til overholdelse af gældende sikkerhedskrav, når de outsourcer deres databehandling til tjenesteleverandører, herunder sådanne i andre medlemsstater.
(34)
Ethvert sikkerhedskrav vedrørende databehandling, der anvendes på en berettiget og forholdsmæssig måde på grundlag af EU-retten eller national ret i overensstemmelse med EU-retten i den medlemsstat, hvor den fysiske eller juridiske person, hvis data er berørt, er bosiddende eller etableret, bør fortsat finde anvendelse på behandling af disse data i en anden medlemsstat. Disse fysiske og juridiske personer bør kunne opfylde sådanne krav egenhændigt eller i kraft af bestemmelser i kontrakter med tjenesteleverandørerne.
(35)
Sikkerhedskrav, der fastsættes på nationalt plan, bør være nødvendige og stå i et rimeligt forhold til de sikkerhedsrisici i forbindelse med databehandling, der er omfattet af den nationale lovgivning, hvori disse krav fastsættes.
(36)
Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 
(
15
)
 indeholder bestemmelser om retlige foranstaltninger, der skal øge det samlede cybersikkerhedsniveau i Unionen. Databehandlingstjenester er blandt de digitale tjenester, der er omfattet af nævnte direktiv. I henhold til nævnte direktiv skal medlemsstaterne sikre, at tjenesteleverandører af digitale tjenester identificerer og træffer passende og forholdsmæssige tekniske og organisatoriske foranstaltninger for at styre risiciene i forhold til sikkerheden i net- og informationssystemer, som de anvender. Disse foranstaltninger bør garantere et sikkerhedsniveau, der står i forhold til risikoen, idet der tages hensyn til systemers og faciliteters sikkerhed, håndtering af hændelser, styring af driftskontinuitet, overvågning, audit og testning og overholdelse af internationale standarder. Disse elementer skal specificeres yderligere i gennemførelsesretsakter, som Kommissionen vedtager i henhold til direktivet.
(37)
Kommissionen bør forelægge en rapport om gennemførelsen af denne forordning, særlig med henblik på at afgøre, om der er behov for ændringer i lyset af udviklingen i de teknologiske betingelser og markedsvilkårene. Denne rapport bør navnlig evaluere denne forordning, særlig anvendelsen heraf i forhold til datasæt bestående af både personoplysninger og andre data end personoplysninger, samt gennemførelsen af undtagelsen med hensyn til den offentlige sikkerhed. Inden denne forordning begynder at finde anvendelse, bør Kommissionen ligeledes offentliggøre retningslinjer for håndtering af datasæt bestående af både personoplysninger og andre data end personoplysninger, således at virksomheder, herunder SMV'er, bedre forstår samspillet mellem denne forordning og forordning (EU) 2016/679, og det sikres, at begge forordninger overholdes.
(38)
Nærværende forordning respekterer de grundlæggende rettigheder og overholder de principper, som anerkendes i bl.a. Den Europæiske Unions charter om grundlæggende rettigheder, og bør fortolkes og anvendes i overensstemmelse med disse rettigheder og principper, herunder retten til beskyttelse af personoplysninger, ytrings- og informationsfriheden og friheden til at oprette og drive egen virksomhed.
(39)
Målet for denne forordning, nemlig at sikre fri udveksling af andre data end personoplysninger i Unionen, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af dets omfang og virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i TEU. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå dette mål —
VEDTAGET DENNE FORORDNING:
Artikel 1
Genstand
Formålet med denne forordning er at sikre fri udveksling af andre data end personoplysninger inden for Unionen ved at fastsætte bestemmelser om dataplaceringskrav, kompetente myndigheders adgang til data og dataportering for professionelle brugere.
Artikel 2
Anvendelsesområde
1.   Denne forordning finder anvendelse på behandling i Unionen af elektroniske andre data end personoplysninger, når denne behandling:
a)
leveres som en tjeneste til brugere, der er bosiddende eller etableret i Unionen, uanset om tjenesteleverandøren er etableret i Unionen eller ej, eller
b)
foretages af en fysisk eller juridisk person, der er bosiddende eller etableret i Unionen, til eget behov.
2.   I tilfælde af datasæt bestående af både personoplysninger og andre data end personoplysninger finder denne forordning anvendelse på den del af sættet, der omfatter andre data end personoplysninger. Når personoplysninger og andre data end personoplysninger i et datasæt er knyttet uløseligt sammen, berører nærværende forordning ikke anvendelsen af forordning (EU) 2016/679.
3.   Nærværende forordning finder ikke anvendelse på aktiviteter, der falder uden for EU-rettens anvendelsesområde.
Denne forordning berører ikke love og administrative bestemmelser, som vedrører medlemsstaternes interne organisation, og som fordeler beføjelser og ansvar med hensyn til databehandling blandt offentlige myndigheder og offentligretlige organer, som defineret i artikel 2, stk. 1, nr. 4), i direktiv 2014/24/EU, uden kontraktmæssig betaling til private parter, og berører heller ikke medlemsstaternes love og administrative bestemmelser vedrørende gennemførelsen af disse beføjelser og ansvar.
Artikel 3
Definitioner
I denne forordning forstås ved:
1)   
»data«
: andre data end personoplysninger som defineret i artikel 4, nr. 1), i forordning (EU) 2016/679
2)   
»behandling«
: enhver aktivitet eller række af aktiviteter, med eller uden brug af automatisk behandling, som data eller datasæt i elektronisk format gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse
3)   
»udkast til retsakt«
: en tekst, der er udarbejdet med henblik på vedtagelse som en lov eller administrativ bestemmelse af generel karakter, og som befinder sig på det forberedende stadium, hvor det stadig er muligt at foretage væsentlige ændringer
4)   
»tjenesteleverandør«
: en fysisk eller juridisk person, der leverer databehandlingstjenester
5)   
»dataplaceringskrav«
: enhver forpligtelse, betingelse og begrænsning og ethvert forbud eller andet krav, der er fastsat i en medlemsstats love og administrative bestemmelser, eller som følger af almen og fast administrativ praksis i en medlemsstat og i offentligretlige organer, herunder inden for offentlige udbud, uden at dette berører direktiv 2014/24/EU, og som indebærer, at databehandling skal finde sted i en bestemt medlemsstat, eller forhindrer databehandling i enhver anden medlemsstat
6)   
»kompetent myndighed«
: en myndighed i en medlemsstat eller enhver anden enhed, der i henhold til national ret er bemyndiget til at udføre en offentlig funktion eller udøve offentlig myndighed, der med henblik på varetagelse af sine officielle opgaver har beføjelse til at få adgang til data, der behandles af en fysisk eller juridisk person i henhold til EU-retten eller national ret
7)   
»bruger«
: en fysisk eller juridisk person, herunder en offentlig myndighed eller et offentligretligt organ, der benytter eller anmoder om en databehandlingstjeneste
8)   
»professionel bruger«
: en fysisk eller juridisk person, herunder en offentlig myndighed eller et offentligretligt organ, der benytter eller anmoder om en databehandlingstjeneste i forbindelse med sit erhverv, sin forretning, sit håndværk, sin profession eller sine opgaver.
Artikel 4
Fri bevægelighed af data inden for Unionen
1.   Dataplaceringskrav er forbudt, medmindre de er begrundet i hensynet til den offentlige sikkerhed og i overensstemmelse med proportionalitetsprincippet.
Dette stykkes første afsnit berører ikke stk. 3 eller dataplaceringskrav, som er fastsat på grundlag af eksisterende EU-ret.
2.   Medlemsstaterne underretter straks Kommissionen om ethvert udkast til retsakt, der indebærer nye dataplaceringskrav eller ændringer af eksisterende dataplaceringskrav, i overensstemmelse med de procedurer, der er fastsat i artikel 5, 6 og 7 i direktiv (EU) 2015/1535.
3.   Senest den 30. maj 2021 sikrer medlemsstaterne, at ethvert eksisterende dataplaceringskrav, som er fastsat i en lov eller administrativ bestemmelse af generel karakter, og som ikke er i overensstemmelse med nærværende artikels stk. 1, ophæves.
Senest den 30. maj 2021 skal en medlemsstat, der finder, at en eksisterende foranstaltning, som indeholder et dataplaceringskrav, er i overensstemmelse med nærværende artikels stk. 1 og derfor kan forblive i kraft, underrette Kommissionen om den pågældende foranstaltning, idet den giver en begrundelse for at opretholde foranstaltningen. Uden at det berører artikel 258 i TEUF, undersøger Kommissionen inden for en frist på seks måneder fra datoen for modtagelsen af en sådan underretning, om den pågældende foranstaltning er i overensstemmelse med nærværende artikels stk. 1, og den fremsætter, hvis det er relevant, bemærkninger over for den pågældende medlemsstat, herunder om nødvendigt en anbefaling om, at foranstaltningen ændres eller ophæves.
4.   Medlemsstaterne gør de nærmere oplysninger om eventuelle dataplaceringskrav, som er fastsat i en lov eller administrativ bestemmelse af generel karakter, og som er gældende på deres område, offentligt tilgængelige via et nationalt centralt onlineinformationssted, som de ajourfører, eller indgiver ajourførte oplysninger om sådanne dataplaceringskrav til et centralt informationssted, som er oprettet i henhold til en anden EU-retsakt.
5.   Medlemsstaterne meddeler Kommissionen adressen på deres centrale onlineinformationssted som omhandlet i stk. 4. Kommissionen offentliggør linkene til disse informationssteder på sit websted sammen med en regelmæssigt ajourført konsolideret liste over alle dataplaceringskrav som omhandlet i stk. 4, herunder opsummerede oplysninger om disse krav.
Artikel 5
Kompetente myndigheders adgang til data
1.   Denne forordning berører ikke de kompetente myndigheders beføjelser til at anmode om eller få adgang til data med henblik på udførelse af deres officielle opgaver i overensstemmelse med EU-retten eller national ret. De kompetente myndigheder kan ikke nægtes adgang til data med den begrundelse, at dataene behandles i en anden medlemsstat.
2.   Hvis en kompetent myndighed efter at have anmodet om adgang til en brugers data ikke får adgang, og hvis der ikke findes nogen specifikke samarbejdsmekanismer i henhold til EU-retten eller internationale aftaler med henblik på udveksling af data mellem kompetente myndigheder i forskellige medlemsstater, kan den pågældende kompetente myndighed anmode om bistand fra en kompetent myndighed i en anden medlemsstat i overensstemmelse med proceduren fastlagt i artikel 7.
3.   Hvis en anmodning om bistand indebærer, at den adspurgte myndighed skal have adgang til en fysisk eller juridisk persons lokaler, herunder til udstyr og midler til databehandling, skal en sådan adgang være i overensstemmelse med EU-retten eller national procesret.
4.   Medlemsstaterne kan pålægge effektive, forholdsmæssige og afskrækkende sanktioner i overensstemmelse med EU-retten og national ret for manglende opfyldelse af en forpligtelse til at indberette data.
I tilfælde af misbrug af rettigheder fra en brugers side kan en medlemsstat, når det er berettiget på grund af et hastende behov for at få adgang til de pågældende data og under hensyntagen til de berørte parters interesser, pålægge den pågældende bruger strengt forholdsmæssige foreløbige foranstaltninger. Når foreløbige foranstaltninger kræver relokalisering af data i længere tid end 180 dage efter relokaliseringen, underrettes Kommissionen inden for dette tidsrum af 180 dage. Kommissionen foretager hurtigst muligt en kontrol af foranstaltningen og dens forenelighed med EU-retten og træffer, hvis det er relevant, de nødvendige foranstaltninger. Kommissionen udveksler oplysninger med medlemsstaternes centrale kontaktpunkter som omhandlet i artikel 7 om de erfaringer, der er opnået i den forbindelse.
Artikel 6
Dataportering
1.   Kommissionen tilskynder til og fremmer udvikling af adfærdskodekser for selvregulering på EU-plan (»adfærdskodekser«) med henblik på at bidrage til en konkurrencedygtig dataøkonomi baseret på principperne om gennemsigtighed og interoperabilitet og under behørig hensyntagen til åbne standarder, herunder bl.a. følgende aspekter:
a)
bedste praksis i forbindelse med tjenesteleverandørskift og dataportering i et struktureret, almindeligt anvendt og maskinlæsbart format, herunder åbne standardiserede formater, hvis det er nødvendigt, eller hvis den tjenesteleverandør, der modtager dataene, anmoder derom
b)
minimumsoplysningskrav for at sikre, at professionelle brugere, inden der indgås kontrakt om databehandling, får tilstrækkeligt detaljerede, klare og gennemskuelige oplysninger om de procedurer, tekniske krav, tidsfrister og gebyrer, der gælder, når en professionel bruger vil skifte tjenesteleverandør eller føre data tilbage til sine egne IT-systemer
c)
strategier med hensyn til certificeringsordninger, som gør det lettere at sammenligne databehandlingsprodukter og -tjenester til professionelle brugere under hensyntagen til fastsatte nationale eller internationale standarder, med henblik på at forbedre sammenligneligheden af disse produkter og tjenesteydelser. Sådanne strategier kan bl.a. omfatte kvalitetsstyring, forvaltning af informationssikkerhed, forvaltning af driftskontinuitet og miljøforvaltning
d)
kommunikationskøreplaner med en tværfaglig tilgang for at skabe større bevidsthed om adfærdskodekserne blandt de relevante interessenter.
2.   Kommissionen sikrer, at adfærdskodekserne udvikles i tæt samarbejde med alle relevante interessenter, herunder sammenslutninger af SMV'er og nystartede virksomheder, brugere og cloudtjenesteleverandører.
3.   Kommissionen tilskynder tjenesteleverandørerne til at afslutte udarbejdelsen af adfærdskodekserne senest den 29. november 2019 og til at gennemføre dem i praksis senest den 29. maj 2020.
Artikel 7
Procedure for samarbejde mellem myndigheder
1.   Hver medlemsstat udpeger et centralt kontaktpunkt, som skal varetage forbindelserne med de centrale kontaktpunkter i andre medlemsstater og Kommissionen, for så vidt angår anvendelsen af denne forordning. Medlemsstaterne underretter Kommissionen om de udpegede kontaktpunkter og om eventuelle senere ændringer af de meddelte oplysninger.
2.   Når en kompetent myndighed i en medlemsstat ønsker bistand fra en anden medlemsstat i henhold til artikel 5, stk. 2, med henblik på at få adgang til data, indgiver den en behørigt begrundet anmodning til sidstnævntes centrale kontaktpunkt. Denne anmodning skal omfatte en skriftlig redegørelse for begrundelsen og retsgrundlaget for at søge adgang til dataene.
3.   Det centrale kontaktpunkt identificerer den relevante kompetente myndighed i sin medlemsstat og sender den anmodning, der er modtaget i medfør af stk. 2, til den pågældende myndighed.
4.   Den relevante kompetente myndighed skal uden unødigt ophold og inden for en tidsramme, som står i forhold til, hvor meget anmodningen haster, give et svar med de ønskede data eller underrette den anmodende kompetente myndighed om, at den ikke finder, at betingelserne for at anmode om bistand i henhold til denne forordning er opfyldt.
5.   Alle oplysninger, der udveksles i forbindelse med bistand, som der anmodes om og ydes i henhold til artikel 5, stk. 2, må kun anvendes i forbindelse med den sag, hvortil der blev anmodet om oplysningerne.
6.   De centrale kontaktpunkter giver brugerne generel information om denne forordning, herunder om adfærdskodekser.
Artikel 8
Evaluering og retningslinjer
1.   Senest den 29. november 2022 forelægger Kommissionen Europa-Parlamentet, Rådet og Det Europæiske Økonomiske og Sociale Udvalg en rapport med en evaluering af gennemførelsen af denne forordning, navnlig med hensyn til:
a)
anvendelsen af denne forordning, navnlig anvendelsen heraf på datasæt bestående af både personoplysninger og andre data end personoplysninger, i lyset af udviklingen på markedet og den teknologiske udvikling, som kan udvide mulighederne for at fjerne anonymisering af data
b)
medlemsstaternes gennemførelse af artikel 4, stk. 1, og navnlig undtagelsen vedrørende den offentlige sikkerhed og
c)
udviklingen og den praktiske gennemførelse af adfærdskodekserne samt tjenesteleverandørernes formidling af oplysninger.
2.   Medlemsstaterne forelægger Kommissionen de oplysninger, der er nødvendige for udarbejdelsen af den rapport, der er omhandlet i stk. 1.
3.   Senest den 29. maj 2019 offentliggør Kommissionen retningslinjer om samspillet mellem denne forordning og forordning (EU) 2016/679 med hensyn til datasæt bestående af både personoplysninger og andre data end personoplysninger.
Artikel 9
Afsluttende bestemmelser
Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
Denne forordning finder anvendelse seks måneder efter offentliggørelsen.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Strasbourg, den 14. november 2018.
På Europa-Parlamentets vegne
A. TAJANI
Formand
På Rådets vegne
K. EDTSTADLER
Formand
(
1
)
  
            
EUT C 227 af 28.6.2018, s. 78
.
(
2
)
  Europa-Parlamentets holdning af 4.10.2018 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 6.11.2018.
(
3
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
EUT L 119 af 4.5.2016, s. 1
).
(
4
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (
EUT L 119 af 4.5.2016, s. 89
).
(
5
)
  Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktivet om privatlivets fred og elektronisk kommunikation) (
EFT L 201 af 31.7.2002, s. 37
).
(
6
)
  Europa-Parlamentets og Rådets direktiv 2014/24/EU af 26. februar 2014 om offentlige udbud og om ophævelse af direktiv 2004/18/EF (
EUT L 94 af 28.3.2014, s. 65
).
(
7
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 593/2008 af 17. juni 2008 om lovvalgsregler for kontraktlige forpligtelser (Rom I) (
EUT L 177 af 4.7.2008, s. 6
).
(
8
)
  Europa-Parlamentets og Rådets direktiv (EU) 2015/1535 af 9. september 2015 om en informationsprocedure med hensyn til tekniske forskrifter samt forskrifter for informationssamfundets tjenester (
EUT L 241 af 17.9.2015, s. 1
).
(
9
)
  Rådets rammeafgørelse 2006/960/RIA af 18. december 2006 om forenkling af udvekslingen af oplysninger og efterretninger mellem medlemsstaternes retshåndhævende myndigheder (
EUT L 386 af 29.12.2006, s. 89
).
(
10
)
  Europa-Parlamentets og Rådets direktiv 2014/41/EU af 3. april 2014 om den europæiske efterforskningskendelse i straffesager (
EUT L 130 af 1.5.2014, s. 1
).
(
11
)
  Europarådets konvention om IT-kriminalitet, CETS nr. 185.
(
12
)
  Rådets forordning (EF) nr. 1206/2001 af 28. maj 2001 om samarbejde mellem medlemsstaternes retter om bevisoptagelse på det civil- og handelsretlige område (
EFT L 174 af 27.6.2001, s. 1
).
(
13
)
  Rådets direktiv 2006/112/EF af 28. november 2006 om det fælles merværdiafgiftssystem (
EUT L 347 af 11.12.2006, s. 1
).
(
14
)
  Rådets forordning (EU) nr. 904/2010 af 7. oktober 2010 om administrativt samarbejde og bekæmpelse af svig vedrørende merværdiafgift (
EUT L 268 af 12.10.2010, s. 1
).
(
15
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 af 6. juli 2016 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen (
EUT L 194 af 19.7.2016, s. 1
).

Summary:
Fri udveksling af andre data end personoplysninger i Den Europæiske Union
RESUMÉ AF:
Forordning (EU) 2018/1807 — om en ramme for fri udveksling af andre data end personoplysninger i Den Europæiske Union
HVAD ER FORMÅLET MED FORORDNINGEN?
Med forordningen tilstræbes det at sikre, at andre elektroniske data end personoplysninger kan behandles frit i EU. 
Den forbyder begrænsninger for, hvor dataene må opbevares eller behandles. 
HOVEDPUNKTER
Forordningen finder anvendelse på behandlingen af 
andre data end personoplysninger
1
, der:
leveres som en tjeneste til brugere, der bor i EU 
foretages af en fysisk person, en virksomhed eller organisation i EU ud fra egne behov. 
Forordningen forbyder foranstaltninger kendt som 
dataplaceringskrav
, der
2
 begrænser databehandling til et bestemt område i EU, medmindre det er berettiget af hensyn til den offentlige sikkerhed.
EU-landene
 skal:
straks informere 
Europa-Kommissionen
 om eventuelle nye dataplaceringskrav 
inden 
30. maj 2021
 ophæve uberettigede dataplaceringskrav eller meddele det til Kommissionen, hvis de finder dem berettigede 
etablere et 
nationalt centralt onlineinformationssted
 med alle ajourførte dataplaceringskrav 
udpege et 
centralt kontaktpunkt
, der skal have kontakt og samarbejde med modparten i andre EU-lande og Kommissionen, særligt om anmodninger om bistand. 
Offentlige myndigheder
 kan anmode om adgang til data, der er placeret i et andet EU-land, eller lagret eller behandlet i skyen, og som er nødvendige med henblik på deres officielle forpligtelser.
Kommissionen
 skal:
offentliggøre links til de nationale centrale onlineinformationsteder på dets websted og regelmæssigt ajourføre konsoliderede lister over dataplaceringskrav 
inden 
29. maj 2019
 sørge for retningslinjer om samspillet mellem denne forordning og forordning (EU) 2016/679 om 
behandling og overførsel af personoplysninger
, især data med personoplysninger og andre data end personoplysninger 
inden 
29. november 2022
 forelægge en rapport for 
Europa-Parlamentet
, 
Rådet
 og 
Det Europæiske Økonomiske og Sociale Udvalg
 om anvendelsen af forordningen. 
Kommissionen tilskynder til oprettelse af 
selvregulerende adfærdskodekser på EU-niveau
. Disse bør:
bør udarbejdes i tæt samarbejde med interesserede parter, f.eks. sammenslutninger af 
små og mellemstore virksomheder
, nystartede virksomheder, brugere og cloudtjenesteleverandører 
være afsluttet inden 
29. november 2019
 så de kan gennemføres inden 
29. maj 2020
; 
omfatte
bedste praksis
 i forbindelse med skift af tjenesteleverandør eller 
dataportering
3
minimumsoplysningskrav
 til professionelle brugere før underskrivelse af en kontrakt om databehandling
certificeringsordninger
 for at muliggøre sammenligninger mellem databehandlingsprodukter og tjenester til professionelle
kommunikation
 for at skabe større bevidsthed om adfærdskodekserne.
HVORNÅR GÆLDER FORORDNINGEN FRA?
Den træder i kraft den 
28. maj 2019
. Som nævnt i resuméet er der specifikke frister i forordningen, der skal overholdes, f.eks. ophævelsen, inden 
30. maj 2021
, af uberettigede placeringskrav.
BAGGRUND
Hensigten med de nye regler er at gøre det nemmere at drive virksomhed på tværs af grænserne i EU og at skabe et indre marked for datalagring og -behandlingstjenester, f.eks. cloud computing.
Muligheden for at vælge en datatjenesteudbyder i EU bør føre til mere innovative datadrevne tjenester og mere konkurrencedygtige priser for virksomheder, forbrugere og offentlige administrationer.
Med favorable lovgivningsmæssige rammer skønnes det, at dataøkonomien kan udgøre 
4 %
 af EU’s BNP (bruttonationalproduktet) inden 2020.
For yderligere oplysninger henvises til:
Fri udveksling af andre data end personoplysninger
 (
Europa-Kommissionen
). 
VIGTIGE BEGREBER
Andre data end personoplysninger:
 enhver form for information om en identificeret eller identificerbar fysisk person, dvs. andre data end personoplysninger som defineret i artikel 4, stk. 1, i den generelle forordning om databeskyttelse (GDPR).
Dataplaceringskrav:
 en juridisk eller administrativ foranstaltning, der angiver, at databehandling skal finde sted på et bestemt område i EU.
Dataportering:
 overførsel af data fra en tjenesteudbyder til en anden eller tilbage til en virksomheds egne servere.
HOVEDDOKUMENT
Europa-Parlamentets og Rådets forordning (EU) 
2018/1807
 af 
14. november 2018
 om en ramme for fri udveksling af andre data end personoplysninger i Den Europæiske Union (EUT L 303 af 
28.11.2018
, 
s. 59-68
).
TILHØRENDE DOKUMENT
Europa-Parlamentets og Rådets forordning (EU) 
2016/679
 af 
27. april 2016
 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 
4.5.2016
, 
s. 1-88
).
Se den 
konsoliderede udgave
.
seneste ajourføring 
15.2.2019