CELEX ID: 32018R1725

--- ENGLISH ---

Document:
21.11.2018
EN
Official Journal of the European Union
L 295/39
REGULATION (EU) 2018/1725 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 23 October 2018
on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC
(Text with EEA relevance)
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on the Functioning of the European Union, and in particular Article 16(2) thereof,
Having regard to the proposal from the European Commission,
After transmission of the draft legislative act to the national parliaments,
Having regard to the opinion of the European Economic and Social Committee 
(
1
)
,
Acting in accordance with the ordinary legislative procedure 
(
2
)
,
Whereas:
(1)
The protection of natural persons in relation to the processing of personal data is a fundamental right. Article 8(1) of the Charter of Fundamental Rights of the European Union (the ‘Charter’) and Article 16(1) of the Treaty on the Functioning of the European Union (TFEU) provide that everyone has the right to the protection of personal data concerning him or her. This right is also guaranteed under Article 8 of the European Convention for the Protection of Human Rights and Fundamental Freedoms.
(2)
Regulation (EC) No 45/2001 of the European Parliament and of the Council 
(
3
)
 provides natural persons with legally enforceable rights, specifies the data processing obligations of controllers within the Community institutions and bodies, and creates an independent supervisory authority, the European Data Protection Supervisor, responsible for monitoring the processing of personal data by the Union institutions and bodies. However, it does not apply to the processing of personal data in the course of an activity of Union institutions and bodies which fall outside the scope of Union law.
(3)
Regulation (EU) 2016/679 of the European Parliament and of the Council 
(
4
)
 and Directive (EU) 2016/680 of the European Parliament and of the Council 
(
5
)
 were adopted on 27 April 2016. While the Regulation lays down general rules to protect natural persons with regard to the processing of personal data and to ensure the free movement of personal data within the Union, the Directive lays down the specific rules to protect natural persons with regard to the processing of personal data and to ensure the free movement of personal data within the Union in the fields of judicial cooperation in criminal matters and police cooperation.
(4)
Regulation (EU) 2016/679 provides for the adaptation of Regulation (EC) No 45/2001 in order to ensure a strong and coherent data protection framework in the Union and to allow its application in parallel with Regulation (EU) 2016/679.
(5)
It is in the interest of a coherent approach to personal data protection throughout the Union, and of the free movement of personal data within the Union, to align as far as possible the data protection rules for Union institutions, bodies, offices and agencies with the data protection rules adopted for the public sector in the Member States. Whenever the provisions of this Regulation follow the same principles as the provisions of Regulation (EU) 2016/679, those two sets of provisions should, under the case law of the Court of Justice of the European Union (the ‘Court of Justice’), be interpreted homogeneously, in particular because the scheme of this Regulation should be understood as equivalent to the scheme of Regulation (EU) 2016/679.
(6)
Persons whose personal data are processed by Union institutions and bodies in any context whatsoever, for example, because they are employed by those institutions and bodies, should be protected. This Regulation should not apply to the processing of personal data of deceased persons. This Regulation does not cover the processing of personal data which concerns legal persons and in particular undertakings established as legal persons, including the name and the form of the legal person and the contact details of the legal person.
(7)
In order to prevent creating a serious risk of circumvention, the protection of natural persons should be technologically neutral and should not depend on the techniques used.
(8)
This Regulation should apply to the processing of personal data by all Union institutions, bodies, offices and agencies. It should apply to the processing of personal data wholly or partly by automated means and to the processing other than by automated means of personal data which form part of a filing system or are intended to form part of a filing system. Files or sets of files, as well as their cover pages, which are not structured according to specific criteria should not fall within the scope of this Regulation.
(9)
In Declaration No 21 on the protection of personal data in the fields of judicial cooperation in criminal matters and police cooperation, annexed to the final act of the intergovernmental conference which adopted the Treaty of Lisbon, the conference acknowledged that specific rules on the protection of personal data and on the free movement of personal data in the fields of judicial cooperation in criminal matters and police cooperation based on Article 16 TFEU could prove necessary because of the specific nature of those fields. A distinct Chapter of this Regulation containing general rules should therefore apply to the processing of operational personal data, such as personal data processed for the purposes of a criminal investigation by Union bodies, offices or agencies when carrying out activities in the fields of judicial cooperation in criminal matters and police cooperation.
(10)
Directive (EU) 2016/680 sets out harmonised rules for the protection and the free movement of personal data processed for the purposes of the prevention, investigation, detection or prosecution of criminal offences or execution of criminal penalties, including the safeguarding against and the prevention of threats to public security. In order to ensure the same level of protection for natural persons through legally enforceable rights throughout the Union and to prevent divergences hampering the exchange of personal data between Union bodies, offices or agencies when carrying out activities which fall within the scope of Chapter 4 or Chapter 5 of Title V of Part Three TFEU and competent authorities, the rules for the protection and the free movement of operational personal data processed by such Union bodies, offices or agencies should be consistent with Directive (EU) 2016/680.
(11)
The general rules of the Chapter of this Regulation on the processing of operational personal data should apply without prejudice to the specific rules applicable to the processing of operational personal data by Union bodies, offices and agencies when carrying out activities falling within the scope of Chapter 4 or Chapter 5 of Title V of Part Three TFEU. Such specific rules should be regarded as 
lex specialis
 to the provisions in the Chapter of this Regulation on the processing of operational personal data (
lex specialis derogat legi generali
). In order to reduce legal fragmentation, specific data protection rules applicable to the processing of operational personal data by Union bodies, offices or agencies when carrying out activities falling within the scope of Chapter 4 or Chapter 5 of Title V of Part Three TFEU should be consistent with the principles underpinning the Chapter of this Regulation on the processing of operational personal data, as well as with the provisions of this Regulation relating to independent supervision, remedies, liability and penalties.
(12)
The Chapter of this Regulation on the processing of operational personal data should apply to Union bodies, offices and agencies when carrying out activities which fall within the scope of Chapter 4 or Chapter 5 of Title V of Part Three TFEU, whether they exercise such activities as their main or ancillary tasks, for the purposes of the prevention, detection, investigation or prosecution of criminal offences. However, it should not apply to Europol or to the European Public Prosecutor’s Office until the legal acts establishing Europol and the European Public Prosecutor’s Office are amended with a view to rendering the Chapter of this Regulation on the processing of operational personal data, as adapted, applicable to them.
(13)
The Commission should conduct a review of this Regulation, in particular the Chapter of this Regulation on the processing of operational personal data. The Commission should also conduct a review of other legal acts adopted on the basis of the Treaties which regulate the processing of operational personal data by Union bodies, offices or agencies when carrying out activities which fall within the scope of Chapter 4 or Chapter 5 of Title V of Part Three TFEU. After such a review, in order to ensure uniform and consistent protection of natural persons with regard to the processing of personal data, the Commission should be able to make any appropriate legislative proposals, including any necessary adaptations of the Chapter of this Regulation on the processing of operational personal data, with a view to applying it to Europol and to the European Public Prosecutor’s Office. The adaptations should take into account provisions relating to independent supervision, remedies, liability and penalties.
(14)
The processing of administrative personal data, such as staff data, by Union bodies, offices or agencies carrying out activities which fall within the scope of Chapter 4 or Chapter 5 of Title V of Part Three TFEU should be covered by this Regulation.
(15)
This Regulation should apply to the processing of personal data by Union institutions, bodies, offices or agencies carrying out activities which fall within the scope of Chapter 2 of Title V of the Treaty on European Union (TEU). This Regulation should not apply to the processing of personal data by missions referred to in Articles 42(1), 43 and 44 TEU, which implement the common security and defence policy. Where appropriate, relevant proposals should be put forward to further regulate the processing of personal data in the field of the common security and defence policy.
(16)
The principles of data protection should apply to any information concerning an identified or identifiable natural person. Personal data which have undergone pseudonymisation, which could be attributed to a natural person by the use of additional information, should be considered to be information on an identifiable natural person. To determine whether a natural person is identifiable, account should be taken of all the means reasonably likely to be used, such as singling out, either by the controller or by another person, to identify the natural person directly or indirectly. To ascertain whether means are reasonably likely to be used to identify the natural person, account should be taken of all objective factors, such as the costs of and the amount of time required for identification, taking into consideration the available technology at the time of the processing and technological developments. The principles of data protection should therefore not apply to anonymous information, namely information which does not relate to an identified or identifiable natural person or to personal data rendered anonymous in such a manner that the data subject is not or no longer identifiable. This Regulation does not therefore concern the processing of such anonymous information, including for statistical or research purposes.
(17)
The application of pseudonymisation to personal data can reduce the risks to the data subjects concerned and help controllers and processors to meet their data protection obligations. The explicit introduction of ‘pseudonymisation’ in this Regulation is not intended to preclude any other measures of data protection.
(18)
Natural persons may be associated with online identifiers provided by their devices, applications, tools and protocols, such as internet protocol addresses, cookie identifiers or other identifiers such as radio frequency identification tags. This may leave traces which, in particular when combined with unique identifiers and other information received by the servers, may be used to create profiles of the natural persons and identify them.
(19)
Consent should be given by a clear affirmative act establishing a freely given, specific, informed and unambiguous indication of the data subject’s agreement to the processing of personal data relating to him or her, such as by a written statement, including by electronic means, or an oral statement. This could include ticking a box when visiting an internet website, choosing technical settings for information society services or another statement or conduct which clearly indicates in this context the data subject’s acceptance of the proposed processing of his or her personal data. Silence, pre-ticked boxes or inactivity should not therefore constitute consent. Consent should cover all processing activities carried out for the same purpose or purposes. When the processing has multiple purposes, consent should be given for all of them. If the data subject’s consent is to be given following a request by electronic means, the request must be clear, concise and not unnecessarily disruptive to the use of the service for which it is provided. At the same time, the data subject should have the right to withdraw consent at any time without affecting the lawfulness of processing based on consent before its withdrawal. In order to ensure that consent is freely given, consent should not provide a valid legal ground for the processing of personal data in a specific case where there is a clear imbalance between the data subject and the controller and it is therefore unlikely that consent was freely given in all the circumstances of that specific situation. It is often not possible to fully identify the purpose of personal data processing for scientific research purposes at the time of data collection. Therefore, data subjects should be allowed to give their consent to certain areas of scientific research when in keeping with recognised ethical standards for scientific research. Data subjects should have an opportunity to give their consent only to certain areas of research or parts of research projects to the extent allowed by the intended purpose.
(20)
Any processing of personal data should be lawful and fair. It should be transparent to natural persons that personal data concerning them are collected, used, consulted or otherwise processed and to what extent the personal data are or will be processed. The principle of transparency requires that any information and communication relating to the processing of those personal data be easily accessible and easy to understand, and that clear and plain language be used. That principle concerns, in particular, information to the data subjects on the identity of the controller and the purposes of the processing and further information to ensure fair and transparent processing in respect of the natural persons concerned and their right to obtain confirmation and communication of personal data concerning them which are being processed. Natural persons should be made aware of risks, rules, safeguards and rights in relation to the processing of personal data and how to exercise their rights in relation to such processing. In particular, the specific purposes for which personal data are processed should be explicit and legitimate and determined at the time of the collection of the personal data. The personal data should be adequate, relevant and limited to what is necessary for the purposes for which they are processed. This requires, in particular, ensuring that the period for which the personal data are stored is limited to a strict minimum. Personal data should be processed only if the purpose of the processing could not reasonably be fulfilled by other means. In order to ensure that the personal data are not kept longer than necessary, time limits should be established by the controller for erasure or for a periodic review. Every reasonable step should be taken to ensure that personal data which are inaccurate are rectified or deleted. Personal data should be processed in a manner that ensures appropriate security and confidentiality of the personal data, including for preventing unauthorised access to or use of personal data and the equipment used for the processing and for preventing its unauthorised disclosure when it is transmitted.
(21)
In accordance with the principle of accountability, where Union institutions and bodies transmit personal data within the same Union institution or body and the recipient is not part of the controller, or to other Union institutions or bodies, they should verify whether such personal data are required for the legitimate performance of tasks within the competence of the recipient. In particular, following a recipient’s request for transmission of personal data, the controller should verify the existence of a relevant ground for lawfully processing personal data and the competence of the recipient. The controller should also make a provisional evaluation of the necessity of the transmission of the data. If doubts arise as to this necessity, the controller should seek further information from the recipient. The recipient should ensure that the necessity of the transmission of the data can be subsequently verified.
(22)
In order for processing to be lawful, personal data should be processed on the basis of the necessity for the performance of a task carried out in the public interest by Union institutions and bodies or in the exercise of their official authority, the necessity for compliance with a legal obligation to which the controller is subject or some other legitimate basis under this Regulation, including the consent of the data subject concerned, the necessity for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract. Processing of personal data for the performance of tasks carried out in the public interest by the Union institutions and bodies includes the processing of personal data necessary for the management and functioning of those institutions and bodies. The processing of personal data should also be regarded to be lawful where it is necessary to protect an interest which is essential for the life of the data subject or that of another natural person. Processing of personal data based on the vital interest of another natural person should in principle take place only where the processing cannot be manifestly based on another legal basis. Some types of processing may serve both important grounds of public interest and the vital interests of the data subject, as for instance when processing is necessary for humanitarian purposes, including for monitoring epidemics and their spread, or in situations of humanitarian emergencies, in particular in situations of natural and man-made disasters.
(23)
The Union law referred to in this Regulation should be clear and precise and its application should be foreseeable to persons subject to it, in accordance with the requirements set out in the Charter and the European Convention for the Protection of Human Rights and Fundamental Freedoms.
(24)
The internal rules referred to in this Regulation should be clear and precise acts of general application intended to produce legal effects vis-à-vis data subjects. They should be adopted at the highest level of management of the Union institutions and bodies, within their competencies and in matters relating to their operation. They should be published in the 
Official Journal of the European Union
. The application of those rules should be foreseeable to persons subject to them in accordance with the requirements set out in the Charter and the European Convention for the Protection of Human Rights and Freedoms. Internal rules may take the form of decisions, in particular when adopted by Union institutions.
(25)
The processing of personal data for purposes other than those for which the personal data were initially collected should be allowed only where the processing is compatible with the purposes for which the personal data were initially collected. In such a case, no legal basis separate from that which allowed the collection of the personal data is required. If the processing is necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller, Union law may determine and specify the tasks and purposes for which the further processing should be regarded as compatible and lawful. Further processing for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes should be considered to be compatible lawful processing operations. The legal basis provided by Union law for the processing of personal data may also provide a legal basis for further processing. In order to ascertain whether a purpose of further processing is compatible with the purpose for which the personal data are initially collected, the controller, after having met all the requirements for the lawfulness of the original processing, should take into account, inter alia: any link between those purposes and the purposes of the intended further processing; the context in which the personal data have been collected, in particular the reasonable expectations of data subjects based on their relationship with the controller as to their further use; the nature of the personal data; the consequences of the intended further processing for data subjects; and the existence of appropriate safeguards in both the original and intended further processing operations.
(26)
Where processing is based on the data subject’s consent, the controller should be able to demonstrate that the data subject has given consent to the processing operation. In particular in the context of a written declaration on another matter, safeguards should ensure that the data subject is aware of the fact that and the extent to which consent is given. In accordance with Council Directive 93/13/EEC 
(
6
)
, a declaration of consent pre-formulated by the controller should be provided in an intelligible and easily accessible form, using clear and plain language and it should not contain unfair terms. For consent to be informed, the data subject should be aware at least of the identity of the controller and the purposes of the processing for which the personal data are intended. Consent should not be regarded as freely given if the data subject has no genuine or free choice or is unable to refuse or withdraw consent without detriment.
(27)
Children merit specific protection with regard to their personal data, as they may be less aware of the risks, consequences and safeguards concerned and their rights in relation to the processing of personal data. Such specific protection should, in particular, apply to creating personality profiles and to the collection of personal data with regard to children when services are offered directly to a child on websites of Union institutions and bodies, such as interpersonal communication services or online selling of tickets, and the processing of personal data is based on consent.
(28)
When recipients established in the Union other than Union institutions and bodies would like to have personal data transmitted to them by Union institutions and bodies, those recipients should demonstrate that it is necessary to have the data transmitted to these recipients either for the performance of their task carried out in the public interest or in the exercise of official authority vested in them. Alternatively, those recipients should demonstrate that the transmission is necessary for a specific purpose in the public interest and the controller should establish whether there is any reason to assume that the data subject’s legitimate interests might be prejudiced. In such cases, the controller should demonstrably weigh the various competing interests in order to assess the proportionality of the requested transmission of personal data. The specific purpose in the public interest could relate to the transparency of Union institutions and bodies. Furthermore, Union institutions and bodies should demonstrate such necessity when they themselves initiate a transmission, in compliance with the principle of transparency and good administration. The requirements laid down in this Regulation for transmissions to recipients established in the Union other than Union institutions and bodies should be understood as supplementary to the conditions for lawful processing.
(29)
Personal data which are, by their nature, particularly sensitive in relation to fundamental rights and freedoms merit specific protection, as the context of their processing could create significant risks to the fundamental rights and freedoms. Such personal data should not be processed unless the specific conditions set out in this Regulation are met. Those personal data should include personal data revealing racial or ethnic origin, whereby the use of the term ‘racial origin’ in this Regulation does not imply an acceptance by the Union of theories which attempt to determine the existence of separate human races. The processing of photographs should not systematically be considered to be processing of special categories of personal data as they are covered by the definition of biometric data only when processed through a specific technical means allowing the unique identification or authentication of a natural person. In addition to the specific requirements for processing of sensitive data, the general principles and other rules of this Regulation should apply, in particular as regards the conditions for lawful processing. Derogations from the general prohibition for processing such special categories of personal data should be explicitly provided, inter alia, where the data subject gives his or her explicit consent or in respect of specific needs, in particular where the processing is carried out in the course of legitimate activities by certain associations or foundations the purpose of which is to permit the exercise of fundamental freedoms.
(30)
Special categories of personal data which merit higher protection should be processed for health-related purposes only where necessary to achieve those purposes for the benefit of natural persons and society as a whole, in particular in the context of the management of health or social care services and systems. Therefore, this Regulation should provide for harmonised conditions for the processing of special categories of personal data concerning health, in respect of specific needs, in particular where the processing of such data is carried out for certain health-related purposes by persons subject to a legal obligation of professional secrecy. Union law should provide for specific and suitable measures so as to protect fundamental rights and the personal data of natural persons.
(31)
The processing of special categories of personal data may be necessary for reasons of public interest in the areas of public health without consent of the data subject. Such processing should be subject to suitable and specific measures so as to protect the rights and freedoms of natural persons. In that context, ‘public health’ should be interpreted as defined in Regulation (EC) No 1338/2008 of the European Parliament and of the Council 
(
7
)
, namely all elements related to health, namely health status, including morbidity and disability, the determinants having an effect on that health status, healthcare needs, resources allocated to healthcare, the provision of, and universal access to, healthcare as well as healthcare expenditure and financing, and the causes of mortality. Such processing of data concerning health for reasons of public interest should not result in personal data being processed for other purposes.
(32)
If the personal data processed by a controller do not permit the controller to identify a natural person, the data controller should not be obliged to acquire additional information in order to identify the data subject for the sole purpose of complying with any provision of this Regulation. However, the controller should not refuse to take additional information provided by the data subject in order to support the exercise of his or her rights. Identification should include the digital identification of a data subject, for example through an authentication mechanism such as the same credentials, used by the data subject to log in to the online service offered by the data controller.
(33)
The processing of personal data for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes should be subject to appropriate safeguards for the rights and freedoms of the data subject pursuant to this Regulation. Those safeguards should ensure that technical and organisational measures are in place in order to ensure, in particular, the principle of data minimisation. The further processing of personal data for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes is to be carried out when the controller has assessed the feasibility to fulfil those purposes by processing data which do not permit or no longer permit the identification of data subjects, provided that appropriate safeguards exist (such as, for instance, pseudonymisation of the data). Union institutions and bodies should provide for appropriate safeguards for the processing of personal data for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes in Union law, which may include internal rules adopted by Union institutions and bodies in matters relating to their operation.
(34)
Modalities should be provided for facilitating the exercise of the data subject’s rights under this Regulation, including mechanisms to request and, if applicable, obtain, free of charge, in particular, access to and rectification or erasure of personal data and the exercise of the right to object. The controller should also provide means for requests to be made electronically, especially where personal data are processed by electronic means. The controller should be obliged to respond to requests from the data subject without undue delay and at the latest within one month and to give reasons where the controller does not intend to comply with any such requests.
(35)
The principles of fair and transparent processing require that the data subject be informed of the existence of the processing operation and its purposes. The controller should provide the data subject with any further information necessary to ensure fair and transparent processing taking into account the specific circumstances and context in which the personal data are processed. Furthermore, the data subject should be informed of the existence of profiling and the consequences of such profiling. Where the personal data are collected from the data subject, the data subject should also be informed whether he or she is obliged to provide the personal data and of the consequences, where he or she does not provide such data. That information may be provided in combination with standardised icons in order to give in an easily visible, intelligible and clearly legible manner, a meaningful overview of the intended processing. Where the icons are presented electronically, they should be machine-readable.
(36)
The information in relation to the processing of personal data relating to the data subject should be given to him or her at the time of collection from the data subject, or, where the personal data are obtained from another source, within a reasonable period, depending on the circumstances of the case. Where personal data can be legitimately disclosed to another recipient, the data subject should be informed when the personal data are first disclosed to the recipient. Where the controller intends to process the personal data for a purpose other than that for which they were collected, the controller should provide the data subject prior to that further processing with information on that other purpose and other necessary information. Where the origin of the personal data cannot be provided to the data subject because various sources have been used, general information should be provided.
(37)
A data subject should have the right of access to personal data which have been collected concerning him or her, and to exercise that right easily and at reasonable intervals, in order to be aware of, and verify, the lawfulness of the processing. This includes the right for data subjects to have access to data concerning their health, for example the data in their medical records containing information such as diagnoses, examination results, assessments by treating physicians and any treatment or interventions provided. Every data subject should therefore have the right to know and obtain communication in particular with regard to the purposes for which the personal data are processed, where possible the period for which the personal data are processed, the recipients of the personal data, the logic involved in any automatic personal data processing and, at least when based on profiling, the consequences of such processing. That right should not adversely affect the rights or freedoms of others, including trade secrets or intellectual property and in particular the copyright protecting the software. However, the result of those considerations should not be a refusal to provide all information to the data subject. Where the controller processes a large quantity of information concerning the data subject, the controller should be able to request that, before the information is delivered, the data subject specify the information or processing activities to which the request relates.
(38)
A data subject should have the right to have personal data concerning him or her rectified and a ‘right to be forgotten’ where the retention of such data infringes this Regulation or Union law to which the controller is subject. A data subject should have the right to have his or her personal data erased and no longer processed where the personal data are no longer necessary in relation to the purposes for which they are collected or otherwise processed, where a data subject has withdrawn his or her consent or objects to the processing of personal data concerning him or her, or where the processing of his or her personal data does not otherwise comply with this Regulation. That right is relevant in particular where the data subject has given his or her consent as a child and is not fully aware of the risks involved by the processing, and later wants to remove such personal data, especially on the internet. The data subject should be able to exercise that right notwithstanding the fact that he or she is no longer a child. However, the further retention of the personal data should be lawful where it is necessary, for exercising the right of freedom of expression and information, for compliance with a legal obligation, for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller, on the grounds of public interest in the area of public health, for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes, or for the establishment, exercise or defence of legal claims.
(39)
To strengthen the right to be forgotten in the online environment, the right to erasure should also be extended in such a way that a controller who has made the personal data public should be obliged to inform the controllers which are processing such personal data to erase any links to, or copies or replications of those personal data. In doing so, that controller should take reasonable steps, taking into account available technology and the means available to the controller, including technical measures, to inform the controllers which are processing the personal data of the data subject’s request.
(40)
Methods by which to restrict the processing of personal data could include, inter alia, temporarily moving the selected data to another processing system, making the selected personal data unavailable to users, or temporarily removing published data from a website. In automated filing systems, the restriction of processing should in principle be ensured by technical means in such a manner that the personal data are not subject to further processing operations and cannot be changed. The fact that the processing of personal data is restricted should be clearly indicated in the system.
(41)
To further strengthen the control over his or her own data, where the processing of personal data is carried out by automated means, the data subject should also be allowed to receive personal data concerning him or her which he or she has provided to a controller in a structured, commonly used, machine-readable and interoperable format, and to transmit it to another controller. Data controllers should be encouraged to develop interoperable formats that enable data portability. That right should apply where the data subject provided the personal data on the basis of his or her consent or the processing is necessary for the performance of a contract. It should therefore not apply where the processing of the personal data is necessary for compliance with a legal obligation to which the controller is subject or for the performance of a task carried out in the public interest or in the exercise of an official authority vested in the controller. The data subject’s right to transmit or receive personal data concerning him or her should not create an obligation for the controllers to adopt or maintain processing systems which are technically compatible. Where, in a certain set of personal data, more than one data subject is concerned, the right to receive the personal data should be without prejudice to the rights and freedoms of other data subjects in accordance with this Regulation. Furthermore, that right should not prejudice the right of the data subject to obtain the erasure of personal data and the limitations of that right as set out in this Regulation and should, in particular, not imply the erasure of personal data concerning the data subject which have been provided by him or her for the performance of a contract to the extent that and for as long as the personal data are necessary for the performance of that contract. Where technically feasible, the data subject should have the right to have the personal data transmitted directly from one controller to another.
(42)
Where personal data might lawfully be processed because processing is necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller, a data subject should, nevertheless, be entitled to object to the processing of any personal data relating to his or her particular situation. It should be for the controller to demonstrate that its compelling legitimate interest overrides the interests or the fundamental rights and freedoms of the data subject.
(43)
The data subject should have the right not to be subject to a decision, which may include a measure, evaluating personal aspects relating to him or her which is based solely on automated processing and which produces legal effects concerning him or her or similarly significantly affects him or her, such as e-recruiting practices without any human intervention. Such processing includes ‘profiling’ that consists of any form of automated processing of personal data evaluating the personal aspects relating to a natural person, in particular to analyse or predict aspects concerning the data subject’s performance at work, economic situation, health, personal preferences or interests, reliability or behaviour, location or movements, where it produces legal effects concerning him or her or similarly significantly affects him or her.
However, decision-making based on such processing, including profiling, should be allowed where expressly authorised by Union law. In any case, such processing should be subject to suitable safeguards, which should include specific information to the data subject and the right to obtain human intervention, to express his or her point of view, to obtain an explanation of the decision reached after such assessment and to challenge the decision. Such measure should not concern a child. In order to ensure fair and transparent processing in respect of the data subject, taking into account the specific circumstances and context in which the personal data are processed, the controller should use appropriate mathematical or statistical procedures for the profiling, implement technical and organisational measures appropriate to ensure, in particular, that factors which result in inaccuracies in personal data are corrected and the risk of errors is minimised, secure personal data in a manner that takes account of the potential risks involved for the interests and rights of the data subject. and prevent, inter alia, discriminatory effects on natural persons on the basis of racial or ethnic origin, political opinion, religion or beliefs, trade union membership, genetic or health status or sexual orientation, or processing that results in measures having such an effect. Automated decision-making and profiling based on special categories of personal data should be allowed only under specific conditions.
(44)
Legal acts adopted on the basis of the Treaties or internal rules adopted by Union institutions and bodies in matters relating to their operation may impose restrictions concerning specific principles and the rights of information, access to and rectification or erasure of personal data, the right to data portability, confidentiality of electronic communications data as well as the communication of a personal data breach to a data subject and certain related obligations of the controllers, as far as necessary and proportionate in a democratic society to safeguard public security and for the prevention, investigation and prosecution of criminal offences or the execution of criminal penalties. This includes safeguarding against and the prevention of threats to public security, protection of human life especially in response to natural or manmade disasters, internal security of Union institutions and bodies, other important objectives of general public interest of the Union or of a Member State, in particular the objectives of the Common Foreign and Security Policy of the Union or an important economic or financial interest of the Union or of a Member State, and keeping of public registers for reasons of general public interest or the protection of the data subject or the rights and freedoms of others, including social protection, public health and humanitarian purposes.
(45)
The responsibility and liability of the controller for any processing of personal data carried out by the controller or on the controller’s behalf should be established. In particular, the controller should be obliged to implement appropriate and effective measures and be able to demonstrate the compliance of processing activities with this Regulation, including the effectiveness of the measures. Those measures should take into account the nature, scope, context and purposes of the processing and the risk to the rights and freedoms of natural persons.
(46)
The risk to the rights and freedoms of natural persons, of varying likelihood and severity, may result from personal data processing which could lead to physical, material or non-material damage, in particular: where the processing may give rise to discrimination, identity theft or fraud, financial loss, damage to the reputation, loss of confidentiality of personal data protected by professional secrecy, unauthorised reversal of pseudonymisation, or any other significant economic or social disadvantage; where data subjects might be deprived of their rights and freedoms or prevented from exercising control over their personal data; where personal data are processed which reveal racial or ethnic origin, political opinions, religion or philosophical beliefs, trade union membership, and the processing of genetic data, data concerning health or data concerning sex life or criminal convictions and offences or related security measures; where personal aspects are evaluated, in particular analysing or predicting aspects concerning performance at work, economic situation, health, personal preferences or interests, reliability or behaviour, location or movements, in order to create or use personal profiles; where personal data of vulnerable natural persons, in particular of children, are processed; or where processing involves a large amount of personal data and affects a large number of data subjects.
(47)
The likelihood and severity of the risk to the rights and freedoms of the data subject should be determined by reference to the nature, scope, context and purposes of the processing. Risk should be evaluated on the basis of an objective assessment, by which it is established whether data processing operations involve a risk or a high risk.
(48)
The protection of the rights and freedoms of natural persons with regard to the processing of personal data require that appropriate technical and organisational measures be taken to ensure that the requirements of this Regulation are met. In order to be able to demonstrate compliance with this Regulation, the controller should adopt internal policies and implement measures which meet in particular the principles of data protection by design and data protection by default. Such measures could consist, inter alia, of minimising the processing of personal data, pseudonymising personal data as soon as possible, transparency with regard to the functions and processing of personal data, enabling the data subject to monitor the data processing, enabling the controller to create and improve security features. The principles of data protection by design and by default should also be taken into consideration in the context of public tenders.
(49)
Regulation (EU) 2016/679 provides for controllers to demonstrate compliance by adherence to approved certification mechanisms. Likewise, Union institutions and bodies should be able to demonstrate compliance with this Regulation by obtaining certification in accordance with Article 42 of Regulation (EU) 2016/679.
(50)
The protection of the rights and freedoms of data subjects as well as the responsibility and liability of controllers and processors requires a clear allocation of the responsibilities under this Regulation, including where a controller determines the purposes and means of the processing jointly with other controllers or where a processing operation is carried out on behalf of a controller.
(51)
To ensure compliance with the requirements of this Regulation in respect of the processing to be carried out by the processor on behalf of the controller, when entrusting a processor with processing activities, the controller should use only processors providing sufficient guarantees, in particular in terms of expert knowledge, reliability and resources, to implement technical and organisational measures which meet the requirements of this Regulation, including for the security of processing. The adherence of processors other than Union institutions and bodies to an approved code of conduct or an approved certification mechanism can be used as an element to demonstrate compliance with the obligations of the controller. The carrying-out of processing by a processor other than a Union institution or body should be governed by a contract, or, in case of Union institutions and bodies acting as processors, by a contract or other legal act under Union law, binding the processor to the controller, setting out the subject matter and duration of the processing, the nature and purposes of the processing, the type of personal data and categories of data subjects, taking into account the specific tasks and responsibilities of the processor in the context of the processing to be carried out and the risk to the rights and freedoms of the data subject. The controller and processor should be able to choose to use an individual contract or standard contractual clauses which are adopted either directly by the Commission or by the European Data Protection Supervisor and then adopted by the Commission. After the completion of the processing on behalf of the controller, the processor should, at the choice of the controller, return or delete the personal data, unless there is a requirement to store that personal data under Union or Member State law to which the processor is subject.
(52)
In order to demonstrate compliance with this Regulation, controllers should maintain records of processing activities under their responsibility and processors should maintain records of categories of processing activities under their responsibility. Union institutions and bodies should be obliged to cooperate with the European Data Protection Supervisor and make their records available to it on request, so that they might serve for monitoring those processing operations. Unless it is not appropriate taking into account the size of a Union institution or body, Union institutions and bodies should be able to establish a central register of records of their processing activities. For reasons of transparency, they should also be able to make such a register public.
(53)
In order to maintain security and to prevent processing in infringement of this Regulation, the controller or processor should evaluate the risks inherent in the processing and implement measures to mitigate those risks, such as encryption. Those measures should ensure an appropriate level of security, including confidentiality, taking into account the state of the art and the costs of implementation in relation to the risks and the nature of the personal data to be protected. In assessing data security risk, consideration should be given to the risks that are presented by personal data processing, such as accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored or otherwise processed which may in particular lead to physical, material or non-material damage.
(54)
Union institutions and bodies should ensure the confidentiality of electronic communications provided for by Article 7 of the Charter. In particular, Union institutions and bodies should ensure the security of their electronic communications networks. They should protect the information related to the terminal equipment of users accessing their publicly available websites and mobile applications, in accordance with the Directive 2002/58/EC of the European Parliament and of the Council 
(
8
)
. They should also protect the personal data stored in directories of users.
(55)
A personal data breach could, if not addressed in an appropriate and timely manner, result in physical, material or non-material damage to natural persons. Therefore, as soon as the controller becomes aware that a personal data breach has occurred, the controller should notify that personal data breach to the European Data Protection Supervisor without undue delay and, where feasible, not later than 72 hours after having become aware of it, unless the controller is able to demonstrate, in accordance with the accountability principle, that the personal data breach is unlikely to result in a risk to the rights and freedoms of natural persons. Where such notification cannot be achieved within 72 hours, it should be accompanied by the reasons for the delay and information can be provided in phases without further undue delay. Where such delay is justified, less sensitive or less specific information on the breach should be released as early as possible, rather than fully resolving the underlying incident before notifying.
(56)
The controller should communicate to the data subject a personal data breach, without undue delay, where that personal data breach is likely to result in a high risk to the rights and freedoms of the natural person in order to allow him or her to take the necessary precautions. The communication should describe the nature of the personal data breach as well as recommendations for the natural person concerned to mitigate potential adverse effects. Such communications to data subjects should be made as soon as reasonably feasible and in close cooperation with the European Data Protection Supervisor, respecting guidance provided by it or by other relevant authorities such as law-enforcement authorities.
(57)
Regulation (EC) No 45/2001 provides for a general obligation on a controller to notify the processing of personal data to the data protection officer. Unless it is not appropriate taking into account the size of the Union institution or body, the data protection officer is to keep a register of notified processing operations. Besides this general obligation, effective procedures and mechanisms should be put in place to monitor processing operations that are likely to result in a high risk to the rights and freedoms of natural persons by virtue of their nature, scope, context and purposes. Such procedures should, in particular, also be in place where types of processing operations involve using new technologies, or are of a new kind in relation to which no data protection impact assessment has been carried out before by the controller, or where they become necessary in the light of the time that has elapsed since the initial processing. In such cases, a data protection impact assessment should be carried out by the controller prior to the processing in order to assess the particular likelihood and severity of the high risk, taking into account the nature, scope, context and purposes of the processing and the sources of the risk. That impact assessment should include, in particular, the measures, safeguards and mechanisms envisaged for mitigating that risk, ensuring the protection of personal data and demonstrating compliance with this Regulation.
(58)
Where a data protection impact assessment indicates that the processing would, in the absence of safeguards, security measures and mechanisms to mitigate the risk, result in a high risk to the rights and freedoms of natural persons and the controller is of the opinion that the risk cannot be mitigated by reasonable means in terms of available technologies and costs of implementation, the European Data Protection Supervisor should be consulted prior to the start of processing activities. Such high risk is likely to result from certain types of processing and the extent and frequency of processing, which could result also in a realisation of damage or interference with the rights and freedoms of the natural person. The European Data Protection Supervisor should respond to the request for consultation within a specified period. However, the absence of a reaction of the European Data Protection Supervisor within that period should be without prejudice to any intervention of the European Data Protection Supervisor in accordance with his or her tasks and powers laid down in this Regulation, including the power to prohibit processing operations. As part of that consultation process, it should be possible to submit the outcome of a data protection impact assessment carried out with regard to the processing at issue to the European Data Protection Supervisor, in particular the measures envisaged to mitigate the risk to the rights and freedoms of natural persons.
(59)
The European Data Protection Supervisor should be informed of administrative measures and consulted on internal rules adopted by Union institutions and bodies in matters relating to their operation when they provide for the processing of personal data, lay down conditions for restricting the rights of data subjects or provide appropriate safeguards for data subject rights, in order to ensure that the intended processing complies with this Regulation, in particular as regards mitigating the risks involved for the data subject.
(60)
Regulation (EU) 2016/679 established the European Data Protection Board as an independent body of the Union with legal personality. The Board should contribute to the consistent application of Regulation (EU) 2016/679 and Directive (EU) 2016/680 throughout the Union, including by advising the Commission. At the same time, the European Data Protection Supervisor should continue to exercise his or her supervisory and advisory functions in respect of all Union institutions and bodies, on his or her own initiative or upon request. In order to ensure consistency of data protection rules throughout the Union, when preparing proposals or recommendations, the Commission should endeavour to consult the European Data Protection Supervisor. A consultation by the Commission should be obligatory following the adoption of legislative acts or during the preparation of delegated acts and implementing acts as defined in Article 289, 290 and 291 TFEU and following the adoption of recommendations and proposals relating to agreements with third countries and international organisations as provided for in Article 218 TFEU which have an impact on the right to protection of personal data. In such cases, the Commission should be obliged to consult the European Data Protection Supervisor, except where the Regulation (EU) 2016/679 provides for mandatory consultation of the European Data Protection Board, for example on adequacy decisions or delegated acts on standardised icons and requirements for certification mechanisms. Where the act in question is of particular importance for the protection of rights and freedoms of natural persons with regard to the processing of personal data, the Commission should be able, in addition, to consult the European Data Protection Board. In those cases, the European Data Protection Supervisor should, as a member of the European Data Protection Board, coordinate his or her work with the latter with a view to issuing a joint opinion. The European Data Protection Supervisor, and where applicable, the European Data Protection Board should provide their written advice within eight weeks. That time-frame should be shorter in urgent cases or where otherwise appropriate, for example when the Commission is preparing delegated and implementing acts.
(61)
In accordance with Article 75 of Regulation (EU) 2016/679, the European Data Protection Supervisor should provide the secretariat of the European Data Protection Board.
(62)
In all Union institutions and bodies a data protection officer should ensure that the provisions of this Regulation are applied and should advise controllers and processors on fulfilling their obligations. That officer should be a person with expert knowledge of data protection law and practices, which should be determined in particular according to the data processing operations carried out by the controller or the processor and the protection required for the personal data involved. Such data protection officers should be in a position to perform their duties and tasks in an independent manner.
(63)
When personal data are transferred from the Union institutions and bodies to controllers, processors or other recipients in third countries or to international organisations, the level of protection of natural persons ensured in the Union by this Regulation should be guaranteed. The same guarantees should apply in cases of onward transfers of personal data from the third country or international organisation to controllers, processors in the same or another third country or international organisation. In any event, transfers to third countries and international organisations may only be carried out in full compliance with this Regulation and respecting the fundamental rights and freedoms enshrined in the Charter. A transfer could take place only if, subject to the other provisions of this Regulation, the conditions laid down in the provisions of this Regulation relating to the transfer of personal data to third countries or international organisations are complied with by the controller or processor.
(64)
The Commission can decide, under Article 45 of Regulation (EU) 2016/679 or under Article 36 of Directive (EU) 2016/680, that a third country, a territory or specified sector within a third country or an international organisation offers an adequate level of data protection. In such cases, transfers of personal data to that third country or international organisation by a Union institution or body can take place without the need to obtain any further authorisation.
(65)
In the absence of an adequacy decision, the controller or processor should take measures to compensate for the lack of data protection in a third country by way of appropriate safeguards for the data subject. Such appropriate safeguards can consist of making use of standard data protection clauses adopted by the Commission, standard data protection clauses adopted by the European Data Protection Supervisor or contractual clauses authorised by the European Data Protection Supervisor. Where the processor is not a Union institution or body those appropriate safeguards can also consist of binding corporate rules, codes of conduct and certification mechanisms used for international transfers under Regulation (EU) 2016/679. Those safeguards should ensure compliance with data protection requirements and the rights of the data subjects appropriate to processing within the Union, including the availability of enforceable data subject rights and of effective legal remedies, including to obtain effective administrative or judicial redress and to claim compensation, in the Union or in a third country. They should relate in particular to compliance with the general principles relating to personal data processing, the principles of data protection by design and by default. Transfers may also be carried out by Union institutions and bodies to public authorities or bodies in third countries or to international organisations with corresponding duties or functions, including on the basis of provisions to be inserted into administrative arrangements, such as a memorandum of understanding, providing for enforceable and effective rights for data subjects. Authorisation by the European Data Protection Supervisor should be obtained when the safeguards are provided for in administrative arrangements that are not legally binding.
(66)
The possibility for the controller or processor to use standard data-protection clauses adopted by the Commission or by the European Data Protection Supervisor should prevent controllers or processors neither from including the standard data-protection clauses in a wider contract, such as a contract between the processor and another processor, nor from adding other clauses or additional safeguards provided that they do not contradict, directly or indirectly, the standard contractual clauses adopted by the Commission or by the European Data Protection Supervisor or prejudice the fundamental rights or freedoms of the data subjects. Controllers and processors should be encouraged to provide additional safeguards via contractual commitments that supplement standard data-protection clauses.
(67)
Some third countries adopt laws, regulations and other legal acts which purport to directly regulate the processing activities of Union institutions and bodies. This may include judgments of courts or tribunals or decisions of administrative authorities in third countries requiring a controller or processor to transfer or disclose personal data, and which are not based on an international agreement in force between the requesting third country and the Union. The extraterritorial application of those laws, regulations and other legal acts may be in breach of international law and may impede the attainment of the protection of natural persons ensured in the Union by this Regulation. Transfers should only be allowed where the conditions of this Regulation for a transfer to third countries are met. This may be the case, inter alia, where disclosure is necessary for an important ground of public interest recognised in Union law.
(68)
Provision should be made in specific situations for the possibility for transfers in certain circumstances where the data subject has given his or her explicit consent, where the transfer is occasional and necessary in relation to a contract or a legal claim, regardless of whether in a judicial procedure or whether in an administrative or any out-of-court procedure, including procedures before regulatory bodies. Provision should also be made for the possibility for transfers where important grounds of public interest laid down by Union law so require or where the transfer is made from a register established by law and intended for consultation by the public or persons having a legitimate interest. In the latter case, such a transfer should not involve the entirety of the personal data or entire categories of the data contained in the register, unless authorised by Union law, and, when the register is intended for consultation by persons having a legitimate interest, the transfer should be made only at the request of those persons or, if they are to be the recipients, taking into full account the interests and fundamental rights of the data subject.
(69)
Those derogations should in particular apply to data transfers required and necessary for important reasons of public interest, for example in cases of international data exchange between Union institutions and bodies and competition authorities, tax or customs administrations, financial supervisory authorities and services competent for social security matters or for public health, for example in the case of contact tracing for contagious diseases or in order to reduce and/or eliminate doping in sport. A transfer of personal data should also be regarded as lawful where it is necessary to protect an interest which is essential for the data subject’s or another person’s vital interests, including physical integrity or life, if the data subject is incapable of giving consent. In the absence of an adequacy decision, Union law may, for important reasons of public interest, expressly set limits to the transfer of specific categories of data to a third country or an international organisation. Any transfer to an international humanitarian organisation of personal data of a data subject who is physically or legally incapable of giving consent, with a view to accomplishing a task incumbent under the Geneva Conventions or to complying with international humanitarian law applicable in armed conflicts, could be considered to be necessary for an important reason of public interest or because it is in the vital interest of the data subject.
(70)
In any case, where the Commission has taken no decision on the adequate level of data protection in a third country, the controller or processor should make use of solutions that provide data subjects with enforceable and effective rights as regards the processing of their data in the Union once those data have been transferred so that that they will continue to benefit from fundamental rights and safeguards.
(71)
When personal data moves across borders outside the Union it may put at increased risk the ability of natural persons to exercise data protection rights, in particular to protect themselves from the unlawful use or disclosure of that information. At the same time, national supervisory authorities and the European Data Protection Supervisor can be unable to pursue complaints or conduct investigations relating to the activities outside their jurisdiction. Their efforts to work together in the cross-border context can also be hampered by insufficient preventive or remedial powers, inconsistent legal regimes, and practical obstacles like resource constraints. Therefore, closer cooperation between the European Data Protection Supervisor and national supervisory authorities should be promoted to help the exchange of information with their international counterparts.
(72)
The establishment in Regulation (EC) No 45/2001 of the European Data Protection Supervisor, who is empowered to perform his or her tasks and exercise his or her powers with complete independence, is an essential component of the protection of natural persons with regard to the processing of their personal data. This Regulation should further strengthen and clarify his or her role and independence. The European Data Protection Supervisor should be a person whose independence is beyond doubt and who is acknowledged as having the experience and skills required to perform the duties of European Data Protection Supervisor, for example because he or she has belonged to one of the supervisory authorities established under Article 51 of Regulation (EU) 2016/679.
(73)
In order to ensure consistent monitoring and enforcement of data protection rules throughout the Union, the European Data Protection Supervisor should have the same tasks and effective powers as the national supervisory authorities, including powers of investigation, corrective powers and sanctions, and authorisation and advisory powers, in particular in cases of complaints from natural persons, powers to bring infringements of this Regulation to the attention of the Court of Justice and powers to engage in legal proceedings in accordance with the primary law. Such powers should also include the power to impose a temporary or definitive limitation, including a ban, on processing. In order to avoid superfluous costs and excessive inconveniencies for the persons concerned who might be adversely affected, each measure of the European Data Protection Supervisor should be appropriate, necessary and proportionate in view of ensuring compliance with this Regulation, should take into account the circumstances of each individual case and respect the right of every person to be heard before any individual measure concerned is taken. Each legally binding measure of the European Data Protection Supervisor should be in writing, be clear and unambiguous, indicate the date of issue of the measure, bear the signature of the European Data Protection Supervisor, give the reasons for the measure, and refer to the right to an effective remedy.
(74)
The supervisory competence of the European Data Protection Supervisor should not cover the processing of personal data by the Court of Justice when acting in its judicial capacity, in order to safeguard the independence of the Court in the performance of its judicial tasks, including decision-making. For such processing operations, the Court should establish independent supervision, in accordance with Article 8(3) of the Charter, for example through an internal mechanism.
(75)
The decisions of the European Data Protection Supervisor regarding exemptions, guarantees, authorisations and conditions relating to data processing operations, as defined in this Regulation, should be published in the activities report. Independently of the publication of an annual activities report, the European Data Protection Supervisor can publish reports on specific subjects.
(76)
The European Data Protection Supervisor should comply with Regulation (EC) No 1049/2001 of the European Parliament and of the Council 
(
9
)
.
(77)
The national supervisory authorities monitor the application of Regulation (EU) 2016/679 and contribute to its consistent application throughout the Union, in order to protect natural persons in relation to the processing of their personal data and to facilitate the free flow of personal data within the internal market. In order to increase consistency in the application of data protection rules applicable in Member States and of data protection rules applicable to Union institutions and bodies, the European Data Protection Supervisor should cooperate effectively with the national supervisory authorities.
(78)
In certain instances, Union law provides for a model of coordinated supervision, shared between the European Data Protection Supervisor and the national supervisory authorities. The European Data Protection Supervisor is also the supervisory authority of Europol and for these purposes, a specific model of cooperation with the national supervisory authorities has been established through a cooperation board with an advisory function. In order to improve the effective supervision and enforcement of substantive data protection rules, a single, coherent model of coordinated supervision should be introduced in the Union. The Commission should therefore make legislative proposals where appropriate with a view to amending Union legal acts providing for a model of coordinated supervision, in order to align them with the coordinated supervision model of this Regulation. The European Data Protection Board should serve as a single forum for ensuring effective coordinated supervision in all areas.
(79)
Every data subject should have the right to lodge a complaint with the European Data Protection Supervisor, and the right to an effective judicial remedy before the Court of Justice in accordance with the Treaties, if the data subject considers that his or her rights under this Regulation are infringed or where the European Data Protection Supervisor does not act on a complaint, partially or wholly rejects or dismisses a complaint or does not act where such action is necessary to protect the rights of the data subject. The investigation following a complaint should be carried out, subject to judicial review, to the extent that is appropriate in the specific case. The European Data Protection Supervisor should inform the data subject of the progress and the outcome of the complaint within a reasonable period. If the case requires further coordination with a national supervisory authority, intermediate information should be given to the data subject. In order to facilitate the submission of complaints, the European Data Protection Supervisor should take measures such as providing a complaint submission form which can also be completed electronically, without excluding other means of communication.
(80)
Any person who has suffered material or non-material damage as a result of an infringement of this Regulation should have the right to receive compensation from the controller or processor for the damage suffered, subject to the conditions provided for in the Treaties.
(81)
In order to strengthen the supervisory role of the European Data Protection Supervisor and the effective enforcement of this Regulation, the European Data Protection Supervisor should, as a sanction of last resort, have the power to impose administrative fines. The fines should aim at sanctioning the Union institution or body — rather than individuals — for non-compliance with this Regulation, to deter future violations of this Regulation and to foster a culture of personal data protection within the Union institutions and bodies. This Regulation should indicate the infringements subject to administrative fines and the upper limits and criteria for setting the associated fines. The European Data Protection Supervisor should determine the amount of the fine in each individual case, by taking into account all relevant circumstances of the specific situation, with due regard to the nature, gravity and duration of the infringement, its consequences and the measures taken to ensure compliance with the obligations under this Regulation and to prevent or mitigate the consequences of the infringement. When imposing an administrative fine on a Union institution or body, the European Data Protection Supervisor should consider the proportionality of amount of the fine. The administrative procedure for the imposition of fines on Union institutions and bodies should respect the general principles of Union law as interpreted by the Court of Justice.
(82)
Where a data subject considers that his or her rights under this Regulation are infringed, he or she should have the right to mandate a not-for-profit body, organisation or association which is constituted in accordance with Union law or the law of a Member State, has statutory objectives which are in the public interest and is active in the field of the protection of personal data to lodge a complaint on his or her behalf with the European Data Protection Supervisor. Such a body, organisation or association should also be able to exercise the right to a judicial remedy on behalf of data subjects or exercise the right to receive compensation on behalf of data subjects.
(83)
An official or other servant of the Union who fails to comply with the obligations in this Regulation should be liable to disciplinary or other action, in accordance with the rules and procedures laid down in the Staff Regulations of Officials of the European Union and the Conditions of Employment of Other Servants of the Union, laid down in Council Regulation (EEC, Euratom, ECSC) No 259/68 
(
10
)
 (‘Staff Regulations’).
(84)
In order to ensure uniform conditions for the implementation of this Regulation, implementing powers should be conferred on the Commission. Those powers should be exercised in accordance with Regulation (EU) No 182/2011 of the European Parliament and the Council 
(
11
)
. The examination procedure should be used for the adoption of standard contractual clauses between controllers and processors and between processors, for the adoption of a list of processing operations requiring prior consultation of the European Data Protection Supervisor by controllers processing personal data for the performance of a task carried out in the public interest, and for the adoption of standard contractual clauses providing appropriate safeguards for international transfers.
(85)
The confidential information which the Union and national statistical authorities collect for the production of official European and official national statistics should be protected. European statistics should be developed, produced and disseminated in accordance with the statistical principles set out in Article 338(2) TFEU. Regulation (EC) No 223/2009 of the European Parliament and of the Council 
(
12
)
 provides further specifications on statistical confidentiality for European statistics.
(86)
Regulation (EC) No 45/2001 and Decision No 1247/2002/EC of the European Parliament, of the Council and of the Commission 
(
13
)
 should be repealed. The references to the repealed Regulation and Decision should be construed as references to this Regulation.
(87)
In order to safeguard the full independence of the members of the independent supervisory authority, the terms of office of the current European Data Protection Supervisor and the current Assistant Supervisor should not be affected by this Regulation. The current Assistant Supervisor should remain in place until the end of his term of office, unless one of the conditions for the premature end of term of the European Data Protection Supervisor laid down in this Regulation is met. The relevant provisions of this Regulation should apply to the Assistant Supervisor until the end of his term of office.
(88)
In accordance with the principle of proportionality, it is necessary and appropriate for the achievement of the basic objective of ensuring an equivalent level of protection of natural persons with regard to the processing of personal data and the free flow of personal data throughout the Union to lay down rules on processing of personal data in Union institutions and bodies. This Regulation does not go beyond what is necessary in order to achieve the objectives pursued in accordance with Article 5(4) of the TEU.
(89)
The European Data Protection Supervisor was consulted in accordance with Article 28(2) of Regulation (EC) No 45/2001 and delivered an opinion on 15 March 2017 
(
14
)
,
HAVE ADOPTED THIS REGULATION:
CHAPTER I
GENERAL PROVISIONS
Article 1
Subject matter and objectives
1.   This Regulation lays down rules relating to the protection of natural persons with regard to the processing of personal data by the Union institutions and bodies and rules relating to the free movement of personal data between them or to other recipients established in the Union.
2.   This Regulation protects fundamental rights and freedoms of natural persons and in particular their right to the protection of personal data.
3.   The European Data Protection Supervisor shall monitor the application of the provisions of this Regulation to all processing operations carried out by a Union institution or body.
Article 2
Scope
1.   This Regulation applies to the processing of personal data by all Union institutions and bodies.
2.   Only Article 3 and Chapter IX of this Regulation shall apply to the processing of operational personal data by Union bodies, offices and agencies when carrying out activities which fall within the scope of Chapter 4 or Chapter 5 of Title V of Part Three TFEU.
3.   This Regulation shall not apply to the processing of operational personal data by Europol and the European Public Prosecutor’s Office, until Regulation (EU) 2016/794 of the European Parliament and of the Council 
(
15
)
 and Council Regulation (EU) 2017/1939 
(
16
)
 are adapted in accordance with Article 98 of this Regulation.
4.   This Regulation shall not apply to the processing of personal data by missions referred to in Articles 42(1), 43 and 44 TEU.
5.   This Regulation applies to the processing of personal data wholly or partly by automated means and to the processing other than by automated means of personal data which form part of a filing system or are intended to form part of a filing system.
Article 3
Definitions
For the purposes of this Regulation, the following definitions apply:
(1)
‘personal data’ means any information relating to an identified or identifiable natural person (‘data subject’); an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person;
(2)
‘operational personal data’ means all personal data processed by Union bodies, offices or agencies when carrying out activities which fall within the scope of Chapter 4 or Chapter 5 of Title V of Part Three TFEU to meet the objectives and tasks laid down in the legal acts establishing those bodies, offices or agencies;
(3)
‘processing’ means any operation or set of operations which is performed on personal data or on sets of personal data, whether or not by automated means, such as collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction;
(4)
‘restriction of processing’ means the marking of stored personal data with the aim of limiting their processing in the future;
(5)
‘profiling’ means any form of automated processing of personal data consisting of the use of personal data to evaluate certain personal aspects relating to a natural person, in particular to analyse or predict aspects concerning that natural person’s performance at work, economic situation, health, personal preferences, interests, reliability, behaviour, location or movements;
(6)
‘pseudonymisation’ means the processing of personal data in such a manner that the personal data can no longer be attributed to a specific data subject without the use of additional information, provided that such additional information is kept separately and is subject to technical and organisational measures to ensure that the personal data are not attributed to an identified or identifiable natural person;
(7)
‘filing system’ means any structured set of personal data which are accessible according to specific criteria, whether centralised, decentralised or dispersed on a functional or geographical basis;
(8)
‘controller’ means the Union institution or body or the directorate-general or any other organisational entity which, alone or jointly with others, determines the purposes and means of the processing of personal data; where the purposes and means of such processing are determined by a specific Union act, the controller or the specific criteria for its nomination can be provided for by Union law;
(9)
‘controllers other than Union institutions and bodies’ means controllers within the meaning of point (7) of Article 4 of Regulation (EU) 2016/679 and controllers within the meaning of point (8) of Article 3 of Directive (EU) 2016/680;
(10)
‘Union institutions and bodies’ means the Union institutions, bodies, offices and agencies set up by, or on the basis of, the TEU, the TFEU or the Euratom Treaty;
(11)
‘competent authority’ means any public authority in a Member State competent for the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, including the safeguarding against and the prevention of threats to public security;
(12)
‘processor’ means a natural or legal person, public authority, agency or other body which processes personal data on behalf of the controller;
(13)
‘recipient’ means a natural or legal person, public authority, agency or another body, to which the personal data are disclosed, whether a third party or not. However, public authorities which may receive personal data in the framework of a particular inquiry in accordance with Union or Member State law shall not be regarded as recipients; the processing of those data by those public authorities shall be in compliance with the applicable data protection rules according to the purposes of the processing;
(14)
‘third party’ means a natural or legal person, public authority, agency or body other than the data subject, controller, processor and persons who, under the direct authority of the controller or processor, are authorised to process personal data;
(15)
‘consent’ of the data subject means any freely given, specific, informed and unambiguous indication of the data subject’s wishes by which he or she, by a statement or by a clear affirmative action, signifies agreement to the processing of personal data relating to him or her;
(16)
‘personal data breach’ means a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored or otherwise processed;
(17)
‘genetic data’ means personal data relating to the inherited or acquired genetic characteristics of a natural person which give unique information about the physiology or the health of that natural person and which result, in particular, from an analysis of a biological sample from the natural person in question;
(18)
‘biometric data’ means personal data resulting from specific technical processing relating to the physical, physiological or behavioural characteristics of a natural person, which allow or confirm the unique identification of that natural person, such as facial images or dactyloscopic data;
(19)
‘data concerning health’ means personal data related to the physical or mental health of a natural person, including the provision of healthcare services, which reveal information about his or her health status;
(20)
‘information society service’ means a service as defined in point (b) of Article 1(1) of Directive (EU) 2015/1535 of the European Parliament and of the Council 
(
17
)
;
(21)
‘international organisation’ means an organisation and its subordinate bodies governed by public international law, or any other body which is set up by, or on the basis of, an agreement between two or more countries;
(22)
‘national supervisory authority’ means an independent public authority which is established by a Member State pursuant to Article 51 of Regulation (EU) 2016/679 or pursuant to Article 41 of Directive (EU) 2016/680;
(23)
‘user’ means any natural person using a network or terminal equipment operated under the control of a Union institution or body;
(24)
‘directory’ means a publicly available directory of users or an internal directory of users available within a Union institution or body or shared between Union institutions and bodies, whether in printed or electronic form;
(25)
‘electronic communications network’ means a transmission system, whether or not based on a permanent infrastructure or centralised administration capacity, and, where applicable, switching or routing equipment and other resources, including network elements which are not active, which permit the conveyance of signals by wire, radio, optical or other electromagnetic means, including satellite networks, fixed (circuit- and packet-switched including internet) and mobile terrestrial networks, electricity cable systems, to the extent that they are used for the purpose of transmitting signals, networks used for radio and television broadcasting, and cable television networks, irrespective of the type of information conveyed;
(26)
‘terminal equipment’ means terminal equipment as defined in point (1) of Article 1 of Commission Directive 2008/63/EC 
(
18
)
.
CHAPTER II
GENERAL PRINCIPLES
Article 4
Principles relating to processing of personal data
1.   Personal data shall be:
(a)
processed lawfully, fairly and in a transparent manner in relation to the data subject (‘lawfulness, fairness and transparency’);
(b)
collected for specified, explicit and legitimate purposes and not further processed in a manner that is incompatible with those purposes; further processing for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes shall, in accordance with Article 13, not be considered to be incompatible with the initial purposes (‘purpose limitation’);
(c)
adequate, relevant and limited to what is necessary in relation to the purposes for which they are processed (‘data minimisation’);
(d)
accurate and, where necessary, kept up to date; every reasonable step must be taken to ensure that personal data that are inaccurate, having regard to the purposes for which they are processed, are erased or rectified without delay (‘accuracy’);
(e)
kept in a form which permits identification of data subjects for no longer than is necessary for the purposes for which the personal data are processed; personal data may be stored for longer periods insofar as the personal data will be processed solely for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes in accordance with Article 13 subject to implementation of the appropriate technical and organisational measures required by this Regulation in order to safeguard the rights and freedoms of the data subject (‘storage limitation’);
(f)
processed in a manner that ensures appropriate security of the personal data, including protection against unauthorised or unlawful processing and against accidental loss, destruction or damage, using appropriate technical or organisational measures (‘integrity and confidentiality’).
2.   The controller shall be responsible for, and be able to demonstrate compliance with, paragraph 1 (‘accountability’).
Article 5
Lawfulness of processing
1.   Processing shall be lawful only if and to the extent that at least one of the following applies:
(a)
processing is necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the Union institution or body;
(b)
processing is necessary for compliance with a legal obligation to which the controller is subject;
(c)
processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract;
(d)
the data subject has given consent to the processing of his or her personal data for one or more specific purposes;
(e)
processing is necessary in order to protect the vital interests of the data subject or of another natural person.
2.   The basis for the processing referred to in points (a) and (b) of paragraph 1 shall be laid down in Union law.
Article 6
Processing for another compatible purpose
Where the processing for a purpose other than that for which the personal data have been collected is not based on the data subject’s consent or on Union law which constitutes a necessary and proportionate measure in a democratic society to safeguard the objectives referred to in Article 25(1), the controller shall, in order to ascertain whether processing for another purpose is compatible with the purpose for which the personal data are initially collected, take into account, inter alia:
(a)
any link between the purposes for which the personal data have been collected and the purposes of the intended further processing;
(b)
the context in which the personal data have been collected, in particular regarding the relationship between data subjects and the controller;
(c)
the nature of the personal data, in particular whether special categories of personal data are processed, pursuant to Article 10, or whether personal data related to criminal convictions and offences are processed, pursuant to Article 11;
(d)
the possible consequences of the intended further processing for data subjects;
(e)
the existence of appropriate safeguards, which may include encryption or pseudonymisation.
Article 7
Conditions for consent
1.   Where processing is based on consent, the controller shall be able to demonstrate that the data subject has consented to processing of his or her personal data.
2.   If the data subject’s consent is given in the context of a written declaration which also concerns other matters, the request for consent shall be presented in a manner which is clearly distinguishable from the other matters, in an intelligible and easily accessible form, using clear and plain language. Any part of such a declaration which constitutes an infringement of this Regulation shall not be binding.
3.   The data subject shall have the right to withdraw his or her consent at any time. The withdrawal of consent shall not affect the lawfulness of processing based on consent before its withdrawal. Prior to giving consent, the data subject shall be informed thereof. It shall be as easy to withdraw as to give consent.
4.   When assessing whether consent is freely given, utmost account shall be taken of whether, inter alia, the performance of a contract, including the provision of a service, is conditional on consent to the processing of personal data that is not necessary for the performance of that contract.
Article 8
Conditions applicable to a child’s consent in relation to information society services
1.   Where point (d) of Article 5(1) applies, in relation to the offer of information society services directly to a child, the processing of the personal data of a child shall be lawful where the child is at least 13 years old. Where the child is below the age of 13 years, such processing shall be lawful only if and to the extent that consent is given or authorised by the holder of parental responsibility over the child.
2.   The controller shall make reasonable efforts to verify in such cases that consent is given or authorised by the holder of parental responsibility over the child, taking into consideration available technology.
3.   Paragraph 1 shall not affect the general contract law of Member States such as the rules on the validity, formation or effect of a contract in relation to a child.
Article 9
Transmissions of personal data to recipients established in the Union other than Union institutions and bodies
1.   Without prejudice to Articles 4 to 6 and 10, personal data shall only be transmitted to recipients established in the Union other than Union institutions and bodies if:
(a)
the recipient establishes that the data are necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the recipient; or
(b)
the recipient establishes that it is necessary to have the data transmitted for a specific purpose in the public interest and the controller, where there is any reason to assume that the data subject’s legitimate interests might be prejudiced, establishes that it is proportionate to transmit the personal data for that specific purpose after having demonstrably weighed the various competing interests.
2.   Where the controller initiates the transmission under this Article, it shall demonstrate that the transmission of personal data is necessary for and proportionate to the purposes of the transmission by applying the criteria laid down in points (a) or (b) of paragraph 1.
3.   Union institutions and bodies shall reconcile the right to the protection of personal data with the right of access to documents in accordance with Union law.
Article 10
Processing of special categories of personal data
1.   Processing of personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, and the processing of genetic data, biometric data for the purpose of uniquely identifying a natural person, data concerning health or data concerning a natural person’s sex life or sexual orientation shall be prohibited.
2.   Paragraph 1 shall not apply if one of the following applies:
(a)
the data subject has given explicit consent to the processing of those personal data for one or more specified purposes, except where Union law provides that the prohibition referred to in paragraph 1 may not be lifted by the data subject;
(b)
the processing is necessary for the purposes of carrying out the obligations and exercising specific rights of the controller or of the data subject in the field of employment and social security and social protection law insofar as it is authorised by Union law providing for appropriate safeguards for the fundamental rights and the interests of the data subject;
(c)
the processing is necessary to protect the vital interests of the data subject or of another person where the data subject is physically or legally incapable of giving consent;
(d)
the processing is carried out in the course of its legitimate activities with appropriate safeguards by a non-profit-seeking body which constitutes an entity integrated in a Union institution or body and with a political, philosophical, religious or trade union aim and on condition that the processing relates solely to the members or to former members of this body or to persons who have regular contact with it in connection with its purposes and that the data are not disclosed outside that body without the consent of the data subjects;
(e)
the processing relates to personal data which are manifestly made public by the data subject;
(f)
the processing is necessary for the establishment, exercise or defence of legal claims or whenever the Court of Justice is acting in its judicial capacity;
(g)
the processing is necessary for reasons of substantial public interest, on the basis of Union law which shall be proportionate to the aim pursued, respect the essence of the right to data protection and provide for suitable and specific measures to safeguard the fundamental rights and the interests of the data subject;
(h)
the processing is necessary for the purposes of preventive or occupational medicine, for the assessment of the working capacity of the employee, medical diagnosis, the provision of health or social care or treatment or the management of health or social care systems and services on the basis of Union law or pursuant to contract with a health professional and subject to the conditions and safeguards referred to in paragraph 3;
(i)
the processing is necessary for reasons of public interest in the area of public health, such as protecting against serious cross-border threats to health or ensuring high standards of quality and safety of healthcare and of medicinal products or medical devices, on the basis of Union law which provides for suitable and specific measures to safeguard the rights and freedoms of the data subject, in particular professional secrecy; or
(j)
the processing is necessary for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes based on Union law which shall be proportionate to the aim pursued, respect the essence of the right to data protection and provide for suitable and specific measures to safeguard the fundamental rights and the interests of the data subject.
3.   Personal data referred to in paragraph 1 may be processed for the purposes referred to in point (h) of paragraph 2 when those data are processed by, or under the responsibility of, a professional subject to the obligation of professional secrecy under Union or Member State law or rules established by national competent bodies, or by another person also subject to an obligation of secrecy under Union or Member State law or rules established by national competent bodies.
Article 11
Processing of personal data relating to criminal convictions and offences
Processing of personal data relating to criminal convictions and offences or related security measures based on Article 5(1) shall be carried out only under control of official authority or when the processing is authorised by Union law providing for appropriate safeguards for the rights and freedoms of data subjects.
Article 12
Processing which does not require identification
1.   If the purposes for which a controller processes personal data do not or do no longer require the identification of a data subject by the controller, the controller shall not be obliged to maintain, acquire or process additional information in order to identify the data subject for the sole purpose of complying with this Regulation.
2.   Where, in cases referred to in paragraph 1 of this Article, the controller is able to demonstrate that it is not in a position to identify the data subject, the controller shall inform the data subject accordingly, if possible. In such cases, Articles 17 to 22 shall not apply except where the data subject, for the purpose of exercising his or her rights under those articles, provides additional information enabling his or her identification.
Article 13
Safeguards relating to processing for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes
Processing for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes, shall be subject to appropriate safeguards, in accordance with this Regulation, for the rights and freedoms of the data subject. Those safeguards shall ensure that technical and organisational measures are in place in particular in order to ensure respect for the principle of data minimisation. Those measures may include pseudonymisation provided that those purposes can be fulfilled in that manner. Where those purposes can be fulfilled by further processing which does not permit or no longer permits the identification of data subjects, those purposes shall be fulfilled in that manner.
CHAPTER III
RIGHTS OF THE DATA SUBJECT
SECTION 1
Transparency and modalities
Article 14
Transparent information, communication and modalities for the exercise of the rights of the data subject
1.   The controller shall take appropriate measures to provide any information referred to in Articles 15 and 16 and any communication under Articles 17 to 24 and 35 relating to processing to the data subject in a concise, transparent, intelligible and easily accessible form, using clear and plain language, in particular for any information addressed specifically to a child. The information shall be provided in writing, or by other means, including, where appropriate, by electronic means. When requested by the data subject, the information may be provided orally, provided that the identity of the data subject is proven by other means.
2.   The controller shall facilitate the exercise of data subject rights under Articles 17 to 24. In the cases referred to in Article 12(2), the controller shall not refuse to act on the request of the data subject for exercising his or her rights under Articles 17 to 24, unless the controller demonstrates that it is not in a position to identify the data subject.
3.   The controller shall provide information on action taken on a request under Articles 17 to 24 to the data subject without undue delay and in any event within one month of receipt of the request. That period may be extended by two further months where necessary, taking into account the complexity and number of the requests. The controller shall inform the data subject of any such extension within one month of receipt of the request, together with the reasons for the delay. Where the data subject makes the request by electronic form means, the information shall be provided by electronic means where possible, unless otherwise requested by the data subject.
4.   If the controller does not take action on the request of the data subject, the controller shall inform the data subject without delay and at the latest within one month of receipt of the request of the reasons for not taking action and on the possibility of lodging a complaint with the European Data Protection Supervisor and seeking a judicial remedy.
5.   Information provided under Articles 15 and 16 and any communication and any actions taken under Articles 17 to 24 and 35 shall be provided free of charge. Where requests from a data subject are manifestly unfounded or excessive, in particular because of their repetitive character, the controller may refuse to act on the request. The controller shall bear the burden of demonstrating the manifestly unfounded or excessive character of the request.
6.   Without prejudice to Article 12, where the controller has reasonable doubts concerning the identity of the natural person making the request referred to in Articles 17 to 23, the controller may request the provision of additional information necessary to confirm the identity of the data subject.
7.   The information to be provided to data subjects pursuant to Articles 15 and 16 may be provided in combination with standardised icons in order to give in an easily visible, intelligible and clearly legible manner a meaningful overview of the intended processing. Where the icons are presented electronically they shall be machine-readable.
8.   Where the Commission adopts delegated acts pursuant to Article 12(8) of Regulation (EU) 2016/679 determining the information to be presented by the icons and the procedures for providing standardised icons, Union institutions and bodies shall, where appropriate, provide the information pursuant to Articles 15 and 16 of this Regulation in combination with such standardised icons.
SECTION 2
Information and access to personal data
Article 15
Information to be provided where personal data are collected from the data subject
1.   Where personal data relating to a data subject are collected from the data subject, the controller shall, at the time when personal data are obtained, provide the data subject with all of the following information:
(a)
the identity and the contact details of the controller;
(b)
the contact details of the data protection officer;
(c)
the purposes of the processing for which the personal data are intended as well as the legal basis for the processing;
(d)
the recipients or categories of recipients of the personal data, if any;
(e)
where applicable, the fact that the controller intends to transfer personal data to a third country or international organisation and the existence or absence of an adequacy decision by the Commission, or in the case of transfers referred to in Article 48, reference to the appropriate or suitable safeguards and the means by which to obtain a copy of them or where they have been made available.
2.   In addition to the information referred to in paragraph 1, the controller shall, at the time when personal data are obtained, provide the data subject with the following further information necessary to ensure fair and transparent processing:
(a)
the period for which the personal data will be stored, or if that is not possible, the criteria used to determine that period;
(b)
the existence of the right to request from the controller access to and rectification or erasure of personal data or restriction of processing concerning the data subject or, where applicable, the right to object to processing or the right to data portability;
(c)
where the processing is based on point (d) of Article 5(1) or point (a) of Article 10(2), the existence of the right to withdraw consent at any time, without affecting the lawfulness of processing based on consent before its withdrawal;
(d)
the right to lodge a complaint with the European Data Protection Supervisor;
(e)
whether the provision of personal data is a statutory or contractual requirement, or a requirement necessary to enter into a contract, as well as whether the data subject is obliged to provide the personal data and of the possible consequences of failure to provide such data;
(f)
the existence of automated decision-making, including profiling, referred to in Article 24(1) and (4) and, at least in those cases, meaningful information about the logic involved, as well as the significance and the envisaged consequences of such processing for the data subject.
3.   Where the controller intends to further process the personal data for a purpose other than that for which the personal data were collected, the controller shall provide the data subject prior to that further processing with information on that other purpose and with any relevant further information as referred to in paragraph 2.
4.   Paragraphs 1, 2 and 3 shall not apply where and insofar as the data subject already has the information.
Article 16
Information to be provided where personal data have not been obtained from the data subject
1.   Where personal data have not been obtained from the data subject, the controller shall provide the data subject with the following information:
(a)
the identity and the contact details of the controller;
(b)
the contact details of the data protection officer;
(c)
the purposes of the processing for which the personal data are intended as well as the legal basis for the processing;
(d)
the categories of personal data concerned;
(e)
the recipients or categories of recipients of the personal data, if any;
(f)
where applicable, that the controller intends to transfer personal data to a recipient in a third country or international organisation and the existence or absence of an adequacy decision by the Commission, or in the case of transfers referred to in Article 48, reference to the appropriate or suitable safeguards and the means to obtain a copy of them or where they have been made available.
2.   In addition to the information referred to in paragraph 1, the controller shall provide the data subject with the following further information necessary to ensure fair and transparent processing in respect of the data subject:
(a)
the period for which the personal data will be stored, or if that is not possible, the criteria used to determine that period;
(b)
the existence of the right to request from the controller access to and rectification or erasure of personal data or restriction of processing concerning the data subject or, where applicable, the right to object to processing or the right to data portability;
(c)
where the processing is based on point (d) of Article 5(1) or point (a) of Article 10(2), the existence of the right to withdraw consent at any time, without affecting the lawfulness of processing based on consent before its withdrawal;
(d)
the right to lodge a complaint with the European Data Protection Supervisor;
(e)
from which source the personal data originate, and if applicable, whether it came from publicly accessible sources;
(f)
the existence of automated decision-making, including profiling, referred to in Article 24(1) and (4) and, at least in those cases, meaningful information about the logic involved, as well as the significance and the envisaged consequences of such processing for the data subject.
3.   The controller shall provide the information referred to in paragraphs 1 and 2:
(a)
within a reasonable period after obtaining the personal data, but at the latest within one month, having regard to the specific circumstances in which the personal data are processed;
(b)
if the personal data are to be used for communication with the data subject, at the latest at the time of the first communication to that data subject; or
(c)
if a disclosure to another recipient is envisaged, at the latest when the personal data are first disclosed.
4.   Where the controller intends to further process the personal data for a purpose other than that for which the personal data were obtained, the controller shall provide the data subject prior to that further processing with information on that other purpose and with any relevant further information as referred to in paragraph 2.
5.   Paragraphs 1 to 4 shall not apply where and insofar as:
(a)
the data subject already has the information;
(b)
the provision of such information proves impossible or would involve a disproportionate effort, in particular for processing for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes or in so far as the obligation referred to in paragraph 1 of this Article is likely to render impossible or seriously impair the achievement of the objectives of that processing;
(c)
obtaining or disclosure is expressly laid down by Union law, which provides appropriate measures to protect the data subject’s legitimate interests; or
(d)
where the personal data must remain confidential subject to an obligation of professional secrecy regulated by Union law, including a statutory obligation of secrecy.
6.   In the cases referred to in point (b) of paragraph 5 the controller shall take appropriate measures to protect the data subject’s rights and freedoms and legitimate interests, including making the information publicly available.
Article 17
Right of access by the data subject
1.   The data subject shall have the right to obtain from the controller confirmation as to whether or not personal data concerning him or her are being processed, and, where that is the case, access to the personal data and the following information:
(a)
the purposes of the processing;
(b)
the categories of personal data concerned;
(c)
the recipients or categories of recipient to whom the personal data have been or will be disclosed, in particular recipients in third countries or international organisations;
(d)
where possible, the envisaged period for which the personal data will be stored, or, if not possible, the criteria used to determine that period;
(e)
the existence of the right to request from the controller rectification or erasure of personal data or restriction of processing of personal data concerning the data subject or to object to such processing;
(f)
the right to lodge a complaint with the European Data Protection Supervisor;
(g)
where the personal data are not collected from the data subject, any available information as to their source;
(h)
the existence of automated decision-making, including profiling, referred to in Article 24(1) and (4) and, at least in those cases, meaningful information about the logic involved, as well as the significance and the envisaged consequences of such processing for the data subject.
2.   Where personal data are transferred to a third country or to an international organisation, the data subject shall have the right to be informed of the appropriate safeguards pursuant to Article 48 relating to the transfer.
3.   The controller shall provide a copy of the personal data undergoing processing. Where the data subject makes the request by electronic means, and unless otherwise requested by the data subject, the information shall be provided in a commonly used electronic form.
4.   The right to obtain a copy referred to in paragraph 3 shall not adversely affect the rights and freedoms of others.
SECTION 3
Rectification and erasure
Article 18
Right to rectification
The data subject shall have the right to obtain from the controller without undue delay the rectification of inaccurate personal data concerning him or her. Taking into account the purposes of the processing, the data subject shall have the right to have incomplete personal data completed, including by means of providing a supplementary statement.
Article 19
Right to erasure (‘right to be forgotten’)
1.   The data subject shall have the right to obtain from the controller the erasure of personal data concerning him or her without undue delay and the controller shall have the obligation to erase personal data without undue delay where one of the following grounds applies:
(a)
the personal data are no longer necessary in relation to the purposes for which they were collected or otherwise processed;
(b)
the data subject withdraws consent on which the processing is based according to point (d) of Article 5(1), or point (a) of Article 10(2), and where there is no other legal ground for the processing;
(c)
the data subject objects to the processing pursuant to Article 23(1) and there are no overriding legitimate grounds for the processing;
(d)
the personal data have been unlawfully processed;
(e)
the personal data have to be erased for compliance with a legal obligation to which the controller is subject;
(f)
the personal data have been collected in relation to the offer of information society services referred to in Article 8(1).
2.   Where the controller has made the personal data public and is obliged pursuant to paragraph 1 to erase the personal data, the controller, taking account of available technology and the cost of implementation, shall take reasonable steps, including technical measures, to inform controllers, or controllers other than Union institutions and bodies, which are processing the personal data that the data subject has requested the erasure by such controllers of any links to, or copy or replication of, those personal data.
3.   Paragraphs 1 and 2 shall not apply to the extent that processing is necessary:
(a)
for exercising the right of freedom of expression and information;
(b)
for compliance with a legal obligation to which the controller is subject or for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller;
(c)
for reasons of public interest in the area of public health in accordance with points (h) and (i) of Article 10(2) as well as Article 10(3);
(d)
for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes, in so far as the right referred to in paragraph 1 is likely to render impossible or seriously impair the achievement of the objectives of that processing; or
(e)
for the establishment, exercise or defence of legal claims.
Article 20
Right to restriction of processing
1.   The data subject shall have the right to obtain from the controller restriction of processing where one of the following applies:
(a)
the accuracy of the personal data is contested by the data subject, for a period enabling the controller to verify the accuracy, including the completeness, of the personal data;
(b)
the processing is unlawful and the data subject opposes the erasure of the personal data and requests the restriction of their use instead;
(c)
the controller no longer needs the personal data for the purposes of the processing, but they are required by the data subject for the establishment, exercise or defence of legal claims;
(d)
the data subject has objected to processing pursuant to Article 23(1) pending the verification whether the legitimate grounds of the controller override those of the data subject.
2.   Where processing has been restricted under paragraph 1, such personal data shall, with the exception of storage, only be processed with the data subject’s consent or for the establishment, exercise or defence of legal claims or for the protection of the rights of another natural or legal person or for reasons of important public interest of the Union or of a Member State.
3.   A data subject who has obtained restriction of processing pursuant to paragraph 1 shall be informed by the controller before the restriction of processing is lifted.
4.   In automated filing systems restriction of processing shall in principle be ensured by technical means. The fact that the personal data are restricted shall be indicated in the system in such a way that it becomes clear that the personal data may not be used.
Article 21
Notification obligation regarding rectification or erasure of personal data or restriction of processing
The controller shall communicate any rectification or erasure of personal data or restriction of processing carried out in accordance with Article 18, Article 19(1) and Article 20 to each recipient to whom the personal data have been disclosed, unless this proves impossible or involves disproportionate effort. The controller shall inform the data subject about those recipients if the data subject requests it.
Article 22
Right to data portability
1.   The data subject shall have the right to receive the personal data concerning him or her, which he or she has provided to a controller, in a structured, commonly used and machine-readable format and have the right to transmit those data to another controller without hindrance from the controller to which the personal data have been provided, where:
(a)
the processing is based on consent pursuant to point (d) of Article 5(1) or point (a) of Article 10(2) or on a contract pursuant to point (c) of Article 5(1); and
(b)
the processing is carried out by automated means.
2.   In exercising his or her right to data portability pursuant to paragraph 1, the data subject shall have the right to have the personal data transmitted directly from one controller to another or to controllers other than Union institutions and bodies, where technically feasible.
3.   The exercise of the right referred to in paragraph 1 of this Article shall be without prejudice to Article 19. That right shall not apply to processing necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller.
4.   The right referred to in paragraph 1 shall not adversely affect the rights and freedoms of others.
SECTION 4
Right to object and automated individual decision-making
Article 23
Right to object
1.   The data subject shall have the right to object, on grounds relating to his or her particular situation, at any time to processing of personal data concerning him or her which is based on point (a) of Article 5(1), including profiling based on that provision. The controller shall no longer process the personal data unless the controller demonstrates compelling legitimate grounds for the processing which override the interests, rights and freedoms of the data subject or for the establishment, exercise or defence of legal claims.
2.   At the latest at the time of the first communication with the data subject, the right referred to in paragraph 1 shall be explicitly brought to the attention of the data subject and shall be presented clearly and separately from any other information.
3.   Without prejudice to Articles 36 and 37, in the context of the use of information society services the data subject may exercise his or her right to object by automated means using technical specifications.
4.   Where personal data are processed for scientific or historical research purposes or statistical purposes, the data subject, on grounds relating to his or her particular situation, shall have the right to object to processing of personal data concerning him or her, unless the processing is necessary for the performance of a task carried out for reasons of public interest.
Article 24
Automated individual decision-making, including profiling
1.   The data subject shall have the right not to be subject to a decision based solely on automated processing, including profiling, which produces legal effects concerning him or her or similarly significantly affects him or her.
2.   Paragraph 1 shall not apply if the decision:
(a)
is necessary for entering into, or performance of, a contract between the data subject and the controller;
(b)
is authorised by Union law, which also lays down suitable measures to safeguard the data subject’s rights and freedoms and legitimate interests; or
(c)
is based on the data subject’s explicit consent.
3.   In the cases referred to in points (a) and (c) of paragraph 2, the controller shall implement suitable measures to safeguard the data subject’s rights and freedoms and legitimate interests, at least the right to obtain human intervention on the part of the controller, to express his or her point of view and to contest the decision.
4.   Decisions referred to in paragraph 2 of this Article shall not be based on special categories of personal data referred to in Article 10(1), unless point (a) or (g) of Article 10(2) applies and suitable measures to safeguard the data subject’s rights and freedoms and legitimate interests are in place.
SECTION 5
Restrictions
Article 25
Restrictions
1.   Legal acts adopted on the basis of the Treaties or, in matters relating to the operation of the Union institutions and bodies, internal rules laid down by the latter may restrict the application of Articles 14 to 22, 35, and 36, as well as Article 4 in so far as its provisions correspond to the rights and obligations provided for in Articles 14 to 22, when such a restriction respects the essence of the fundamental rights and freedoms and is a necessary and proportionate measure in a democratic society to safeguard:
(a)
the national security, public security or defence of the Member States;
(b)
the prevention, investigation, detection and prosecution of criminal offences or the execution of criminal penalties, including the safeguarding against and the prevention of threats to public security;
(c)
other important objectives of general public interest of the Union or of a Member State, in particular the objectives of the common foreign and security policy of the Union or an important economic or financial interest of the Union or of a Member State, including monetary, budgetary and taxation matters, public health and social security;
(d)
the internal security of Union institutions and bodies, including of their electronic communications networks;
(e)
the protection of judicial independence and judicial proceedings;
(f)
the prevention, investigation, detection and prosecution of breaches of ethics for regulated professions;
(g)
a monitoring, inspection or regulatory function connected, even occasionally, to the exercise of official authority in the cases referred to in points (a) to (c);
(h)
the protection of the data subject or the rights and freedoms of others;
(i)
the enforcement of civil law claims.
2.   In particular, any legal act or internal rule referred to in paragraph 1 shall contain specific provisions, where relevant, as to:
(a)
the purposes of the processing or categories of processing;
(b)
the categories of personal data;
(c)
the scope of the restrictions introduced;
(d)
the safeguards to prevent abuse or unlawful access or transfer;
(e)
the specification of the controller or categories of controllers;
(f)
the storage periods and the applicable safeguards taking into account the nature, scope and purposes of the processing or categories of processing; and
(g)
the risks to the rights and freedoms of data subjects.
3.   Where personal data are processed for scientific or historical research purposes or statistical purposes, Union law, which may include internal rules adopted by Union institutions and bodies in matters relating to their operation, may provide for derogations from the rights referred to in Articles 17, 18, 20 and 23 subject to the conditions and safeguards referred to in Article 13 in so far as such rights are likely to render impossible or seriously impair the achievement of the specific purposes, and such derogations are necessary for the fulfilment of those purposes.
4.   Where personal data are processed for archiving purposes in the public interest, Union law, which may include internal rules adopted by Union institutions and bodies in matters relating to their operation, may provide for derogations from the rights referred to in Articles 17, 18, 20, 21, 22 and 23 subject to the conditions and safeguards referred to in Article 13 in so far as such rights are likely to render impossible or seriously impair the achievement of the specific purposes, and such derogations are necessary for the fulfilment of those purposes.
5.   Internal rules referred to in paragraphs 1, 3 and 4 shall be clear and precise acts of general application, intended to produce legal effects vis-à-vis data subjects, adopted at the highest level of management of the Union institutions and bodies and subject to publication in the 
Official Journal of the European Union
.
6.   If a restriction is imposed pursuant to paragraph 1, the data subject shall be informed in accordance with Union law of the principal reasons on which the application of the restriction is based and of his or her right to lodge a complaint with the European Data Protection Supervisor.
7.   If a restriction imposed pursuant to paragraph 1 is relied upon to deny access to the data subject, the European Data Protection Supervisor shall, when investigating the complaint, only inform him or her of whether the data have been processed correctly and, if not, whether any necessary corrections have been made.
8.   Provision of the information referred to in paragraphs 6 and 7 of this Article and in Article 45(2) may be deferred, omitted or denied if it would cancel the effect of the restriction imposed pursuant to paragraph 1 of this Article.
CHAPTER IV
CONTROLLER AND PROCESSOR
SECTION 1
General obligations
Article 26
Responsibility of the controller
1.   Taking into account the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for the rights and freedoms of natural persons, the controller shall implement appropriate technical and organisational measures to ensure and to be able to demonstrate that processing is performed in accordance with this Regulation. Those measures shall be reviewed and updated where necessary.
2.   Where proportionate in relation to processing activities, the measures referred to in paragraph 1 shall include the implementation of appropriate data protection policies by the controller.
3.   Adherence to approved certification mechanisms as referred to in Article 42 of Regulation (EU) 2016/679 may be used as an element by which to demonstrate compliance with the obligations of the controller.
Article 27
Data protection by design and by default
1.   Taking into account the state of the art, the cost of implementation and the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for rights and freedoms of natural persons posed by the processing, the controller shall, both at the time of the determination of the means for processing and at the time of the processing itself, implement appropriate technical and organisational measures, such as pseudonymisation, which are designed to implement data protection principles, such as data minimisation, in an effective manner and to integrate the necessary safeguards into the processing in order to meet the requirements of this Regulation and protect the rights of data subjects.
2.   The controller shall implement appropriate technical and organisational measures for ensuring that, by default, only personal data which are necessary for each specific purpose of the processing are processed. That obligation applies to the amount of personal data collected, the extent of their processing, the period of their storage and their accessibility. In particular, such measures shall ensure that by default personal data are not made accessible without the individual’s intervention to an indefinite number of natural persons.
3.   An approved certification mechanism pursuant to Article 42 of Regulation (EU) 2016/679 may be used as an element to demonstrate compliance with the requirements set out in paragraphs 1 and 2 of this Article.
Article 28
Joint controllers
1.   Where two or more controllers or one or more controllers together with one or more controllers other than Union institutions and bodies jointly determine the purposes and means of processing, they shall be joint controllers. They shall in a transparent manner determine their respective responsibilities for compliance with their data protection obligations, in particular as regards the exercising of the rights of the data subject and their respective duties to provide the information referred to in Articles 15 and 16, by means of an arrangement between them unless, and in so far as, the respective responsibilities of the joint controllers are determined by Union or Member State law to which the joint controllers are subject. The arrangement may designate a contact point for data subjects.
2.   The arrangement referred to in paragraph 1 shall duly reflect the respective roles and relationships of the joint controllers vis-à-vis the data subjects. The essence of the arrangement shall be made available to the data subject.
3.   Irrespective of the terms of the arrangement referred to in paragraph 1, the data subject may exercise his or her rights under this Regulation in respect of and against each of the controllers.
Article 29
Processor
1.   Where processing is to be carried out on behalf of a controller, the controller shall use only processors providing sufficient guarantees to implement appropriate technical and organisational measures in such a manner that processing will meet the requirements of this Regulation and ensure the protection of the rights of the data subject.
2.   The processor shall not engage another processor without prior specific or general written authorisation of the controller. In the case of general written authorisation, the processor shall inform the controller of any intended changes concerning the addition or replacement of other processors, thereby giving the controller the opportunity to object to such changes.
3.   Processing by a processor shall be governed by a contract or other legal act under Union or Member State law, that is binding on the processor with regard to the controller and that sets out the subject matter and duration of the processing, the nature and purpose of the processing, the type of personal data and categories of data subjects and the obligations and rights of the controller. That contract or other legal act shall stipulate, in particular, that the processor:
(a)
processes the personal data only on documented instructions from the controller, including with regard to transfers of personal data to a third country or an international organisation, unless required to do so by Union or Member State law to which the processor is subject; in such a case, the processor shall inform the controller of that legal requirement before processing, unless that law prohibits such information on important grounds of public interest;
(b)
ensures that persons authorised to process the personal data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality;
(c)
takes all measures required pursuant to Article 33;
(d)
respects the conditions referred to in paragraphs 2 and 4 for engaging another processor;
(e)
taking into account the nature of the processing, assists the controller by appropriate technical and organisational measures, insofar as this is possible, for the fulfilment of the controller’s obligation to respond to requests for exercising the data subject’s rights laid down in Chapter III;
(f)
assists the controller in ensuring compliance with the obligations pursuant to Articles 33 to 41 taking into account the nature of processing and the information available to the processor;
(g)
at the choice of the controller, deletes or returns all the personal data to the controller after the end of the provision of services relating to processing, and deletes existing copies unless Union or Member State law requires storage of the personal data;
(h)
makes available to the controller all information necessary to demonstrate compliance with the obligations laid down in this Article and allow for and contribute to audits, including inspections, conducted by the controller or another auditor mandated by the controller.
With regard to point (h) of the first subparagraph, the processor shall immediately inform the controller if, in its opinion, an instruction infringes this Regulation or other Union or Member State data protection provisions.
4.   Where a processor engages another processor for carrying out specific processing activities on behalf of the controller, the same data protection obligations as set out in the contract or other legal act between the controller and the processor as referred to in paragraph 3 shall be imposed on that other processor by way of a contract or other legal act under Union or Member State law, in particular providing sufficient guarantees to implement appropriate technical and organisational measures in such a manner that the processing will meet the requirements of this Regulation. Where that other processor fails to fulfil its data protection obligations, the initial processor shall remain fully liable to the controller for the performance of that other processor’s obligations.
5.   When a processor is not a Union institution or body, its adherence to an approved code of conduct referred to in Article 40(5) of Regulation (EU) 2016/679 or an approved certification mechanism referred to in Article 42 of Regulation (EU) 2016/679 may be used as an element by which to demonstrate sufficient guarantees as referred to in paragraphs 1 and 4 of this Article.
6.   Without prejudice to any individual contract between the controller and the processor, the contract or the other legal act referred to in paragraphs 3 and 4 of this Article may be based, in whole or in part, on standard contractual clauses referred to in paragraphs 7 and 8 of this Article, including when they are part of a certification granted to the processor other than a Union institution or body pursuant to Article 42 of Regulation (EU) 2016/679.
7.   The Commission may lay down standard contractual clauses for the matters referred to in paragraph 3 and 4 of this Article and in accordance with the examination procedure referred to in Article 96(2).
8.   The European Data Protection Supervisor may adopt standard contractual clauses for the matters referred to in paragraphs 3 and 4.
9.   The contract or the other legal act referred to in paragraphs 3 and 4 shall be in writing, including in electronic form.
10.   Without prejudice to Articles 65 and 66, if a processor infringes this Regulation by determining the purposes and means of processing, the processor shall be considered to be a controller in respect of that processing.
Article 30
Processing under the authority of the controller or processor
The processor and any person acting under the authority of the controller or of the processor, who has access to personal data, shall not process those data except on instructions from the controller, unless required to do so by Union or Member State law.
Article 31
Records of processing activities
1.   Each controller shall maintain a record of processing activities under its responsibility. That record shall contain all of the following information:
(a)
the name and contact details of the controller, the data protection officer and, where applicable, the processor and the joint controller;
(b)
the purposes of the processing;
(c)
a description of the categories of data subjects and of the categories of personal data;
(d)
the categories of recipients to whom the personal data have been or will be disclosed including recipients in Member States, third countries or international organisations;
(e)
where applicable, transfers of personal data to a third country or an international organisation, including the identification of that third country or international organisation and the documentation of suitable safeguards;
(f)
where possible, the envisaged time limits for erasure of the different categories of data;
(g)
where possible, a general description of the technical and organisational security measures referred to in Article 33.
2.   Each processor shall maintain a record of all categories of processing activities carried out on behalf of a controller, containing:
(a)
the name and contact details of the processor or processors and of each controller on behalf of which the processor is acting, and of the data protection officer;
(b)
the categories of processing carried out on behalf of each controller;
(c)
where applicable, transfers of personal data to a third country or an international organisation, including the identification of that third country or international organisation and the documentation of suitable safeguards;
(d)
where possible, a general description of the technical and organisational security measures referred to in Article 33.
3.   The records referred to in paragraphs 1 and 2 shall be in writing, including in electronic form.
4.   Union institutions and bodies shall make the record available to the European Data Protection Supervisor on request.
5.   Unless it is not appropriate taking into account the size of the Union institution or body, Union institutions and bodies shall keep their records of processing activities in a central register. They shall make the register publicly accessible.
Article 32
Cooperation with the European Data Protection Supervisor
Union institutions and bodies shall cooperate, on request, with the European Data Protection Supervisor in the performance of his or her tasks.
SECTION 2
Security of personal data
Article 33
Security of processing
1.   Taking into account the state of the art, the costs of implementation and the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for the rights and freedoms of natural persons, the controller and the processor shall implement appropriate technical and organisational measures to ensure a level of security appropriate to the risk, including, inter alia, as appropriate:
(a)
the pseudonymisation and encryption of personal data;
(b)
the ability to ensure the ongoing confidentiality, integrity, availability and resilience of processing systems and services;
(c)
the ability to restore the availability and access to personal data in a timely manner in the event of a physical or technical incident;
(d)
a process for regularly testing, assessing and evaluating the effectiveness of technical and organisational measures for ensuring the security of the processing.
2.   In assessing the appropriate level of security account shall be taken in particular of the risks that are presented by processing, in particular from accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to personal data transmitted, stored or otherwise processed.
3.   The controller and processor shall take steps to ensure that any natural person acting under the authority of the controller or the processor who has access to personal data does not process them except on instructions from the controller, unless he or she is required to do so by Union law.
4.   Adherence to an approved certification mechanism as referred to in Article 42 of Regulation (EU) 2016/679 may be used as an element by which to demonstrate compliance with the requirements set out in paragraph 1 of this Article.
Article 34
Notification of a personal data breach to the European Data Protection Supervisor
1.   In the case of a personal data breach, the controller shall without undue delay and, where feasible, not later than 72 hours after having become aware of it, notify the personal data breach to the European Data Protection Supervisor, unless the personal data breach is unlikely to result in a risk to the rights and freedoms of natural persons. Where the notification to the European Data Protection Supervisor is not made within 72 hours, it shall be accompanied by reasons for the delay.
2.   The processor shall notify the controller without undue delay after becoming aware of a personal data breach.
3.   The notification referred to in paragraph 1 shall at least:
(a)
describe the nature of the personal data breach including where possible, the categories and approximate number of data subjects concerned and the categories and approximate number of personal data records concerned;
(b)
communicate the name and contact details of the data protection officer;
(c)
describe the likely consequences of the personal data breach;
(d)
describe the measures taken or proposed to be taken by the controller to address the personal data breach, including, where appropriate, measures to mitigate its possible adverse effects.
4.   Where, and in so far as, it is not possible to provide the information at the same time, the information may be provided in phases without undue further delay.
5.   The controller shall inform the data protection officer about the personal data breach.
6.   The controller shall document any personal data breaches, comprising the facts relating to the personal data breach, its effects and the remedial action taken. That documentation shall enable the European Data Protection Supervisor to verify compliance with this Article.
Article 35
Communication of a personal data breach to the data subject
1.   When the personal data breach is likely to result in a high risk to the rights and freedoms of natural persons, the controller shall communicate the personal data breach to the data subject without undue delay.
2.   The communication to the data subject referred to in paragraph 1 of this Article shall describe in clear and plain language the nature of the personal data breach and contain at least the information and measures referred to in points (b), (c) and (d) of Article 34(3).
3.   The communication to the data subject referred to in paragraph 1 shall not be required if any of the following conditions are met:
(a)
the controller has implemented appropriate technical and organisational protection measures, and those measures were applied to the personal data affected by the personal data breach, in particular those that render the personal data unintelligible to any person who is not authorised to access it, such as encryption;
(b)
the controller has taken subsequent measures which ensure that the high risk to the rights and freedoms of data subjects referred to in paragraph 1 is no longer likely to materialise;
(c)
it would involve disproportionate effort. In such a case, there shall instead be a public communication or similar measure whereby the data subjects are informed in an equally effective manner.
4.   If the controller has not already communicated the personal data breach to the data subject, the European Data Protection Supervisor, having considered the likelihood of the personal data breach resulting in a high risk, may require it to do so or may decide that any of the conditions referred to in paragraph 3 are met.
SECTION 3
Confidentiality of electronic communications
Article 36
Confidentiality of electronic communications
Union institutions and bodies shall ensure the confidentiality of electronic communications, in particular by securing their electronic communications networks.
Article 37
Protection of information transmitted to, stored in, related to, processed by and collected from users’ terminal equipment
Union institutions and bodies shall protect the information transmitted to, stored in, related to, processed by and collected from the terminal equipment of users accessing their publicly available websites and mobile applications, in accordance with Article 5(3) of Directive 2002/58/EC.
Article 38
Directories of users
1.   Personal data contained in directories of users and access to such directories shall be limited to what is strictly necessary for the specific purposes of the directory.
2.   Union institutions and bodies shall take all the necessary measures to prevent personal data contained in those directories from being used for direct marketing purposes regardless of whether they are accessible to the public or not.
SECTION 4
Data protection impact assessment and prior consultation
Article 39
Data protection impact assessment
1.   Where a type of processing in particular using new technologies, and taking into account the nature, scope, context and purposes of the processing, is likely to result in a high risk to the rights and freedoms of natural persons, the controller shall, prior to the processing, carry out an assessment of the impact of the envisaged processing operations on the protection of personal data. A single assessment may address a set of similar processing operations that present similar high risks.
2.   The controller shall seek the advice of the data protection officer when carrying out a data protection impact assessment.
3.   A data protection impact assessment referred to in paragraph 1 shall in particular be required in the case of:
(a)
a systematic and extensive evaluation of personal aspects relating to natural persons which is based on automated processing, including profiling, and on which decisions are based that produce legal effects concerning the natural person or similarly significantly affect the natural person;
(b)
processing on a large scale of special categories of data referred to in Article 10, or of personal data relating to criminal convictions and offences referred to in Article 11; or
(c)
a systematic monitoring of a publicly accessible area on a large scale.
4.   The European Data Protection Supervisor shall establish and make public a list of the kind of processing operations which are subject to the requirement for a data protection impact assessment pursuant to paragraph 1.
5.   The European Data Protection Supervisor may also establish and make public a list of the kind of processing operations for which no data protection impact assessment is required.
6.   Prior to the adoption of the lists referred to in paragraphs 4 and 5 of this Article, the European Data Protection Supervisor shall request that the European Data Protection Board set up by Article 68 of Regulation (EU) 2016/679 examine such lists in accordance with point (e) of Article 70(1) of that Regulation where they refer to processing operations by a controller acting jointly with one or more controllers other than Union institutions and bodies.
7.   The assessment shall contain at least:
(a)
a systematic description of the envisaged processing operations and the purposes of the processing;
(b)
an assessment of the necessity and proportionality of the processing operations in relation to the purposes;
(c)
an assessment of the risks to the rights and freedoms of data subjects referred to in paragraph 1; and
(d)
the measures envisaged to address the risks, including safeguards, security measures and mechanisms to ensure the protection of personal data and to demonstrate compliance with this Regulation taking into account the rights and legitimate interests of data subjects and other persons concerned.
8.   Compliance with approved codes of conduct referred to in Article 40 of the Regulation (EU) 2016/679 by the relevant processors other than Union institutions and bodies shall be taken into due account in assessing the impact of the processing operations performed by such processors, in particular for the purposes of a data protection impact assessment.
9.   Where appropriate, the controller shall seek the views of data subjects or their representatives on the intended processing, without prejudice to the protection of public interests or the security of processing operations.
10.   Where processing pursuant to point (a) or (b) of Article 5(1) has a legal basis in a legal act adopted on the basis of the Treaties, which regulates the specific processing operation or set of operations in question, and where a data protection impact assessment has already been carried out as part of a general impact assessment preceding the adoption of that legal act, paragraphs 1 to 6 of this Article shall not apply unless that legal act provides otherwise.
11.   Where necessary, the controller shall carry out a review to assess if processing is performed in accordance with the data protection impact assessment at least when there is a change of the risk represented by processing operations.
Article 40
Prior consultation
1.   The controller shall consult the European Data Protection Supervisor prior to processing where a data protection impact assessment under Article 39 indicates that the processing would, in the absence of safeguards, security measures and mechanisms to mitigate the risk, result in a high risk to the rights and freedoms of natural persons and the controller is of the opinion that the risk cannot be mitigated by reasonable means in view of the available technologies and costs of implementation. The controller shall seek the advice of the data protection officer on the need for prior consultation.
2.   Where the European Data Protection Supervisor is of the opinion that the intended processing referred to in paragraph 1 would infringe this Regulation, in particular where the controller has insufficiently identified or mitigated the risk, the European Data Protection Supervisor shall, within period of up to eight weeks of receipt of the request for consultation, provide written advice to the controller and, where applicable to the processor, and may use any of his or her powers referred to in Article 58. That period may be extended by six weeks, taking into account the complexity of the intended processing. The European Data Protection Supervisor shall inform the controller and, where applicable, the processor, of any such extension within one month of receipt of the request for consultation together with the reasons for the delay. Those periods may be suspended until the European Data Protection Supervisor has obtained information it has requested for the purposes of the consultation.
3.   When consulting the European Data Protection Supervisor pursuant to paragraph 1, the controller shall provide the European Data Protection Supervisor with:
(a)
where applicable, the respective responsibilities of the controller, joint controllers and processors involved in the processing;
(b)
the purposes and means of the intended processing;
(c)
the measures and safeguards provided to protect the rights and freedoms of data subjects pursuant to this Regulation;
(d)
the contact details of the data protection officer;
(e)
the data protection impact assessment provided for in Article 39; and
(f)
any other information requested by the European Data Protection Supervisor.
4.   The Commission may, by means of an implementing act, determine a list of cases in which the controllers shall consult with, and obtain prior authorisation from, the European Data Protection Supervisor in relation to processing of personal data for the performance of a task carried out by the controller in the public interest, including the processing of such data in relation to social protection and public health.
SECTION 5
Information and legislative consultation
Article 41
Information and consultation
1.   The Union institutions and bodies shall inform the European Data Protection Supervisor when drawing up administrative measures and internal rules relating to the processing of personal data by a Union institution or body, whether alone or jointly with others.
2.   The Union institutions and bodies shall consult the European Data Protection Supervisor when drawing up the internal rules referred to in Article 25.
Article 42
Legislative consultation
1.   The Commission shall, following the adoption of proposals for a legislative act, of recommendations or of proposals to the Council pursuant to Article 218 TFEU or when preparing delegated acts or implementing acts, consult the European Data Protection Supervisor where there is an impact on the protection of individuals’ rights and freedoms with regard to the processing of personal data.
2.   Where an act referred to in paragraph 1 is of particular importance for the protection of individuals’ rights and freedoms with regard to the processing of personal data, the Commission may also consult the European Data Protection Board. In such cases the European Data Protection Supervisor and the European Data Protection Board shall coordinate their work with a view to issuing a joint opinion.
3.   The advice referred to in paragraphs 1 and 2 shall be provided in writing within a period of up to eight weeks of receipt of the request for consultation referred to in paragraphs 1 and 2. In urgent cases, or if otherwise appropriate, the Commission may shorten the deadline.
4.   This Article shall not apply where the Commission is required, pursuant to Regulation (EU) 2016/679, to consult the European Data Protection Board.
SECTION 6
Data protection officer
Article 43
Designation of the data protection officer
1.   Each Union institution or body shall designate a data protection officer.
2.   Union institutions and bodies may designate a single data protection officer for several of them, taking into account their organisational structure and size.
3.   The data protection officer shall be designated on the basis of professional qualities and, in particular, expert knowledge of data protection law and practices and the ability to fulfil the tasks referred to in Article 45.
4.   The data protection officer shall be a staff member of the Union institution or body. Taking into account their size and if the option under paragraph 2 is not exercised, Union institutions and bodies may designate a data protection officer who fulfils his or her tasks on the basis of a service contract.
5.   The Union institutions and bodies shall publish the contact details of the data protection officer and communicate them to the European Data Protection Supervisor.
Article 44
Position of the data protection officer
1.   The Union institutions and bodies shall ensure that the data protection officer is involved, properly and in a timely manner, in all issues which relate to the protection of personal data.
2.   The Union institutions and bodies shall support the data protection officer in performing the tasks referred to in Article 45 by providing resources necessary to carry out those tasks and access to personal data and processing operations, and to maintain his or her expert knowledge.
3.   The Union institutions and bodies shall ensure that the data protection officer does not receive any instructions regarding the exercise of those tasks. He or she shall not be dismissed or penalised by the controller or the processor for performing his or her tasks. The data protection officer shall directly report to the highest management level of the controller or the processor.
4.   Data subjects may contact the data protection officer with regard to all issues related to processing of their personal data and to the exercise of their rights under this Regulation.
5.   The data protection officer and his or her staff shall be bound by secrecy or confidentiality concerning the performance of their tasks, in accordance with Union law.
6.   The data protection officer may fulfil other tasks and duties. The controller or processor shall ensure that any such tasks and duties do not result in a conflict of interests.
7.   The data protection officer may be consulted by the controller and the processor, by the staff committee concerned and by any individual on any matter concerning the interpretation or application of this Regulation, without them going through the official channels. No one shall suffer prejudice on account of a matter brought to the attention of the competent data protection officer alleging that a breach of the provisions of this Regulation has taken place.
8.   The data protection officer shall be designated for a term of three to five years and shall be eligible for reappointment. The data protection officer may be dismissed from the post by the Union institution or body which designated him or her if he or she no longer fulfils the conditions required for the performance of his or her duties and only with the consent of the European Data Protection Supervisor.
9.   After his or her designation the data protection officer shall be registered with the European Data Protection Supervisor by the Union institution or body which designated him or her.
Article 45
Tasks of the data protection officer
1.   The data protection officer shall have the following tasks:
(a)
to inform and advise the controller or the processor and the employees who carry out processing of their obligations pursuant to this Regulation and to other Union data protection provisions;
(b)
to ensure in an independent manner the internal application of this Regulation; to monitor compliance with this Regulation, with other applicable Union law containing data protection provisions and with the policies of the controller or processor in relation to the protection of personal data, including the assignment of responsibilities, the raising of awareness and training of staff involved in processing operations, and the related audits;
(c)
to ensure that data subjects are informed of their rights and obligations pursuant to this Regulation;
(d)
to provide advice where requested as regards the necessity for a notification or a communication of a personal data breach pursuant to Articles 34 and 35;
(e)
to provide advice where requested as regards the data protection impact assessment and monitor its performance pursuant to Article 39 and to consult the European Data Protection Supervisor in case of doubt as to the need for a data protection impact assessment;
(f)
to provide advice where requested as regards the need for prior consultation of the European Data Protection Supervisor pursuant to Article 40; to consult the European Data Protection Supervisor in case of doubt as to the need for a prior consultation;
(g)
to respond to requests from the European Data Protection Supervisor; within the sphere of his or her competence, to cooperate and consult with the European Data Protection Supervisor at the latter’s request or on his or her own initiative;
(h)
to ensure that the rights and freedoms of data subjects are not adversely affected by processing operations.
2.   The data protection officer may make recommendations to the controller and the processor for the practical improvement of data protection and advise them on matters concerning the application of data protection provisions. Furthermore he or she may, on his or her own initiative or at the request of the controller or the processor, the staff committee concerned or any individual, investigate matters and occurrences directly relating to his or her tasks which come to his or her notice, and report back to the person who commissioned the investigation or to the controller or the processor.
3.   Further implementing rules concerning the data protection officer shall be adopted by each Union institution or body. The implementing rules shall in particular concern the tasks, duties and powers of the data protection officer.
CHAPTER V
TRANSFERS OF PERSONAL DATA TO THIRD COUNTRIES OR INTERNATIONAL ORGANISATIONS
Article 46
General principle for transfers
Any transfer of personal data which are undergoing processing or are intended for processing after transfer to a third country or to an international organisation shall take place only if, subject to the other provisions of this Regulation, the conditions laid down in this Chapter are complied with by the controller and processor, including for onward transfers of personal data from the third country or an international organisation to another third country or to another international organisation. All provisions in this Chapter shall be applied in order to ensure that the level of protection of natural persons guaranteed by this Regulation is not undermined.
Article 47
Transfers on the basis of an adequacy decision
1.   A transfer of personal data to a third country or international organisation may take place where the Commission has decided pursuant to Article 45(3) of Regulation (EU) 2016/679 or to Article 36(3) of Directive (EU) 2016/680 that the third country, a territory or one or more specified sectors within that third country, or the international organisation in question ensures an adequate level of protection and where the personal data are transferred solely to allow tasks within the competence of the controller to be carried out.
2.   The Union institutions and bodies shall inform the Commission and the European Data Protection Supervisor of cases where they consider that a third country, a territory or one or more specified sectors within a third country, or an international organisation in question does not ensure an adequate level of protection within the meaning of paragraph 1.
3.   The Union institutions and bodies shall take the necessary measures to comply with decisions taken by the Commission where it establishes, pursuant to Article 45(3) or (5) of Regulation (EU) 2016/679 or to Article 36(3) or (5) of Directive (EU) 2016/680, that a third country, a territory or one or more specified sectors within a third country, or an international organisation ensures or no longer ensures an adequate level of protection.
Article 48
Transfers subject to appropriate safeguards
1.   In the absence of a decision pursuant to Article 45(3) of Regulation (EU) 2016/679 or to Article 36(3) of Directive (EU) 2016/680, a controller or processor may transfer personal data to a third country or to an international organisation only if the controller or processor has provided appropriate safeguards, and on condition that enforceable data subject rights and effective legal remedies for data subjects are available.
2.   The appropriate safeguards referred to in paragraph 1 may be provided for, without requiring any specific authorisation from the European Data Protection Supervisor, by:
(a)
a legally binding and enforceable instrument between public authorities or bodies;
(b)
standard data protection clauses adopted by the Commission in accordance with the examination procedure referred to in Article 96(2);
(c)
standard data protection clauses adopted by the European Data Protection Supervisor and approved by the Commission pursuant to the examination procedure referred to in Article 96(2);
(d)
where the processor is not a Union institution or body, binding corporate rules, codes of conduct or certification mechanisms pursuant to points (b), (e) and (f) of Article 46(2) of Regulation (EU) 2016/679.
3.   Subject to the authorisation from the European Data Protection Supervisor, the appropriate safeguards referred to in paragraph 1 may also be provided for, in particular, by:
(a)
contractual clauses between the controller or processor and the controller, processor or the recipient of the personal data in the third country or international organisation; or
(b)
provisions to be inserted into administrative arrangements between public authorities or bodies which include enforceable and effective data subject rights.
4.   Authorisations by the European Data Protection Supervisor on the basis of Article 9(7) of Regulation (EC) No 45/2001 shall remain valid until amended, replaced or repealed, if necessary, by the European Data Protection Supervisor.
5.   The Union institutions and bodies shall inform the European Data Protection Supervisor of the categories of cases in which this Article has been applied.
Article 49
Transfers or disclosures not authorised by Union law
Any judgment of a court or tribunal and any decision of an administrative authority of a third country requiring a controller or processor to transfer or disclose personal data may only be recognised or enforceable in any manner if based on an international agreement, such as a mutual legal assistance treaty, in force between the requesting third country and the Union, without prejudice to other grounds for transfer pursuant to this Chapter.
Article 50
Derogations for specific situations
1.   In the absence of an adequacy decision pursuant to Article 45(3) of Regulation (EU) 2016/679 or to Article 36(3) of Directive (EU) 2016/680, or of appropriate safeguards pursuant to Article 48 of this Regulation, a transfer or a set of transfers of personal data to a third country or an international organisation shall take place only on one of the following conditions:
(a)
the data subject has explicitly consented to the proposed transfer, after having been informed of the possible risks of such transfers for the data subject due to the absence of an adequacy decision and appropriate safeguards;
(b)
the transfer is necessary for the performance of a contract between the data subject and the controller or the implementation of pre-contractual measures taken at the data subject’s request;
(c)
the transfer is necessary for the conclusion or performance of a contract concluded in the interest of the data subject between the controller and another natural or legal person;
(d)
the transfer is necessary for important reasons of public interest;
(e)
the transfer is necessary for the establishment, exercise or defence of legal claims;
(f)
the transfer is necessary in order to protect the vital interests of the data subject or of other persons, where the data subject is physically or legally incapable of giving consent; or
(g)
the transfer is made from a register which, according to Union law, is intended to provide information to the public and which is open to consultation either by the public in general or by any person who can demonstrate a legitimate interest, but only to the extent that the conditions laid down in Union law for consultation are fulfilled in the particular case.
2.   Points (a), (b) and (c) of paragraph 1 shall not apply to activities carried out by Union institutions and bodies in the exercise of their public powers.
3.   The public interest referred to in point (d) of paragraph 1 shall be recognised in Union law.
4.   A transfer pursuant to point (g) of paragraph 1 shall not involve the entirety of the personal data or entire categories of the personal data contained in the register, unless authorised by Union law. Where the register is intended for consultation by persons having a legitimate interest, the transfer shall be made only at the request of those persons or if they are to be the recipients.
5.   In the absence of an adequacy decision, Union law may, for important reasons of public interest, expressly set limits to the transfer of specific categories of personal data to a third country or an international organisation.
6.   The Union institutions and bodies shall inform the European Data Protection Supervisor of the categories of cases in which this Article has been applied.
Article 51
International cooperation for the protection of personal data
In relation to third countries and international organisations, the European Data Protection Supervisor, in cooperation with the Commission and the European Data Protection Board, shall take appropriate steps to:
(a)
develop international cooperation mechanisms to facilitate the effective enforcement of legislation for the protection of personal data;
(b)
provide international mutual assistance in the enforcement of legislation for the protection of personal data, including through notification, complaint referral, investigative assistance and information exchange, subject to appropriate safeguards for the protection of personal data and other fundamental rights and freedoms;
(c)
engage relevant stakeholders in discussion and activities aimed at furthering international cooperation in the enforcement of legislation for the protection of personal data;
(d)
promote the exchange and documentation of personal data protection legislation and practice, including on jurisdictional conflicts with third countries.
CHAPTER VI
EUROPEAN DATA PROTECTION SUPERVISOR
Article 52
European Data Protection Supervisor
1.   The European Data Protection Supervisor is hereby established.
2.   With respect to the processing of personal data, the European Data Protection Supervisor shall be responsible for ensuring that the fundamental rights and freedoms of natural persons, and in particular their right to data protection, are respected by Union institutions and bodies.
3.   The European Data Protection Supervisor shall be responsible for monitoring and ensuring the application of the provisions of this Regulation and of any other Union act relating to the protection of the fundamental rights and freedoms of natural persons with regard to the processing of personal data by a Union institution or body, and for advising Union institutions and bodies and data subjects on all matters concerning the processing of personal data. To those ends, the European Data Protection Supervisor shall fulfil the tasks set out in Article 57 and exercise the powers granted in Article 58.
4.   Regulation (EC) No 1049/2001 shall apply to documents held by the European Data Protection Supervisor. The European Data Protection Supervisor shall adopt detailed rules for applying Regulation (EC) No 1049/2001 with regard to those documents.
Article 53
Appointment of the European Data Protection Supervisor
1.   The European Parliament and the Council shall appoint the European Data Protection Supervisor by common accord for a term of five years, on the basis of a list drawn up by the Commission following a public call for candidates. The call for candidates shall enable all interested parties throughout the Union to submit their applications. The list of candidates drawn up by the Commission shall be public and shall consist of at least three candidates. On the basis of the list drawn up by the Commission, the competent committee of the European Parliament may decide to hold a hearing in order to enable it to express a preference.
2.   The list of candidates referred to in paragraph 1 shall be made up of persons whose independence is beyond doubt and who are acknowledged as having expert knowledge in data protection as well as the experience and skills required to perform the duties of European Data Protection Supervisor.
3.   The term of office of the European Data Protection Supervisor shall be renewable once.
4.   The duties of the European Data Protection Supervisor shall cease in the following circumstances:
(a)
if the European Data Protection Supervisor is replaced;
(b)
if the European Data Protection Supervisor resigns;
(c)
if the European Data Protection Supervisor is dismissed or required to take compulsory retirement.
5.   The European Data Protection Supervisor may be dismissed or deprived of his or her right to a pension or other benefits in his or her stead by the Court of Justice at the request of the European Parliament, the Council or the Commission, if he or she no longer fulfils the conditions required for the performance of his or her duties or if he or she is guilty of serious misconduct.
6.   In the event of normal replacement or voluntary resignation, the European Data Protection Supervisor shall nevertheless remain in office until he or she has been replaced.
7.   Articles 11 to 14 and 17 of the Protocol on the Privileges and Immunities of the European Union shall apply to the European Data Protection Supervisor.
Article 54
Regulations and general conditions governing the performance of the European Data Protection Supervisor’s duties, staff and financial resources
1.   The European Data Protection Supervisor shall be considered equivalent to a judge of the Court of Justice as regards the determination of remuneration, allowances, retirement pension and any other benefit in lieu of remuneration.
2.   The budgetary authority shall ensure that the European Data Protection Supervisor is provided with the human and financial resources necessary for the performance of his or her tasks.
3.   The budget of the European Data Protection Supervisor shall be shown in a separate budgetary heading in the section related to administrative expenditure of the general budget of the Union.
4.   The European Data Protection Supervisor shall be assisted by a secretariat. The officials and other staff members of the secretariat shall be appointed by the European Data Protection Supervisor and their superior shall be the European Data Protection Supervisor. They shall be subject exclusively to his or her direction. Their numbers shall be decided each year as part of the budgetary procedure. Article 75(2) of Regulation (EU) 2016/679 shall apply to the staff of the European Data Protection Supervisor involved in carrying out the tasks conferred on the European Data Protection Board by Union law.
5.   The officials and the other staff members of the secretariat of the European Data Protection Supervisor shall be subject to the rules and regulations applicable to officials and other servants of the Union.
6.   The seat of the European Data Protection Supervisor shall be in Brussels.
Article 55
Independence
1.   The European Data Protection Supervisor shall act with complete independence in performing his or her tasks and exercising his or her powers in accordance with this Regulation.
2.   The European Data Protection Supervisor shall, in the performance of his or her tasks and exercise of his or her powers in accordance with this Regulation, remain free from external influence, whether direct or indirect, and shall neither seek nor take instructions from anybody.
3.   The European Data Protection Supervisor shall refrain from any action incompatible with his or her duties and shall not, during his or her term of office, engage in any other occupation, whether gainful or not.
4.   After his or her term of office, the European Data Protection Supervisor shall behave with integrity and discretion as regards the acceptance of appointments and benefits.
Article 56
Professional secrecy
The European Data Protection Supervisor and his or her staff shall, both during and after their term of office, be subject to a duty of professional secrecy with regard to any confidential information which has come to their knowledge in the course of the performance of their official duties.
Article 57
Tasks
1.   Without prejudice to other tasks set out under this Regulation, the European Data Protection Supervisor shall:
(a)
monitor and enforce the application of this Regulation by Union institutions and bodies, with the exception of the processing of personal data by the Court of Justice acting in its judicial capacity;
(b)
promote public awareness and understanding of the risks, rules, safeguards and rights in relation to processing. Activities addressed specifically to children shall receive specific attention;
(c)
promote the awareness of controllers and processors of their obligations under this Regulation;
(d)
upon request, provide information to any data subject concerning the exercise of their rights under this Regulation and, if appropriate, cooperate with the national supervisory authorities to that end;
(e)
handle complaints lodged by a data subject, or by a body, organisation or association in accordance with Article 67, and investigate, to the extent appropriate, the subject matter of the complaint and inform the complainant of the progress and the outcome of the investigation within a reasonable period, in particular if further investigation or coordination with another supervisory authority is necessary;
(f)
conduct investigations on the application of this Regulation, including on the basis of information received from another supervisory authority or other public authority;
(g)
advise, on his or her own initiative or on request, all Union institutions and bodies on legislative and administrative measures relating to the protection of natural persons’ rights and freedoms with regard to the processing of personal data;
(h)
monitor relevant developments, insofar as they have an impact on the protection of personal data, in particular the development of information and communication technologies;
(i)
adopt standard contractual clauses referred to in Article 29(8) and in point (c) of Article 48(2);
(j)
establish and maintain a list in relation to the requirement for data protection impact assessment pursuant to Article 39(4);
(k)
participate in the activities of the European Data Protection Board;
(l)
provide the secretariat for the European Data Protection Board, in accordance with Article 75 of Regulation (EU) 2016/679;
(m)
give advice on the processing referred to in Article 40(2);
(n)
authorise contractual clauses and provisions referred to in Article 48(3);
(o)
keep internal records of infringements of this Regulation and of measures taken in accordance with Article 58(2);
(p)
fulfil any other tasks related to the protection of personal data; and
(q)
establish his or her Rules of Procedure.
2.   The European Data Protection Supervisor shall facilitate the submission of complaints referred to in point (e) of paragraph 1 by a complaint submission form which can also be completed electronically, without excluding other means of communication.
3.   The performance of the tasks of the European Data Protection Supervisor shall be free of charge for the data subject.
4.   Where requests are manifestly unfounded or excessive, in particular because of their repetitive character, the European Data Protection Supervisor may refuse to act on the request. The European Data Protection Supervisor shall bear the burden of demonstrating the manifestly unfounded or excessive character of the request.
Article 58
Powers
1.   The European Data Protection Supervisor shall have the following investigative powers:
(a)
to order the controller and the processor to provide any information it requires for the performance of his or her tasks;
(b)
to carry out investigations in the form of data protection audits;
(c)
to notify the controller or the processor of an alleged infringement of this Regulation;
(d)
to obtain, from the controller and the processor, access to all personal data and to all information necessary for the performance of his or her tasks;
(e)
to obtain access to any premises of the controller and the processor, including to any data processing equipment and means, in accordance with Union law.
2.   The European Data Protection Supervisor shall have the following corrective powers:
(a)
to issue warnings to a controller or processor that intended processing operations are likely to infringe provisions of this Regulation;
(b)
to issue reprimands to a controller or a processor where processing operations have infringed provisions of this Regulation;
(c)
to refer matters to the controller or processor concerned and, if necessary, to the European Parliament, the Council and the Commission;
(d)
to order the controller or the processor to comply with the data subject’s requests to exercise his or her rights pursuant to this Regulation;
(e)
to order the controller or processor to bring processing operations into compliance with the provisions of this Regulation, where appropriate, in a specified manner and within a specified period;
(f)
to order the controller to communicate a personal data breach to the data subject;
(g)
to impose a temporary or definitive limitation including a ban on processing;
(h)
to order the rectification or erasure of personal data or restriction of processing pursuant to Articles 18, 19 and 20 and the notification of such actions to recipients to whom the personal data have been disclosed pursuant to Article 19(2) and Article 21;
(i)
to impose an administrative fine pursuant to Article 66 in the case of non-compliance by a Union institution or body with one of the measures referred to in points (d) to (h) and (j) of this paragraph, depending on the circumstances of each individual case;
(j)
to order the suspension of data flows to a recipient in a Member State, a third country or to an international organisation.
3.   The European Data Protection Supervisor shall have the following authorisation and advisory powers:
(a)
to advise data subjects in the exercise of their rights;
(b)
to advise the controller in accordance with the prior consultation procedure referred to in Article 40, and in accordance with Article 41(2);
(c)
to issue, on his or her own initiative or on request, opinions to Union institutions and bodies and to the public on any issue related to the protection of personal data;
(d)
to adopt standard data protection clauses referred to in Article 29(8) and in point (c) of Article 48(2);
(e)
to authorise contractual clauses referred to in point (a) of Article 48(3);
(f)
to authorise administrative arrangements referred to in point (b) of Article 48(3);
(g)
to authorise processing operations pursuant to implementing acts adopted under Article 40(4).
4.   The European Data Protection Supervisor shall have the power to refer the matter to the Court of Justice under the conditions provided for in the Treaties and to intervene in actions brought before the Court of Justice.
5.   The exercise of the powers conferred on the European Data Protection Supervisor pursuant to this Article shall be subject to appropriate safeguards, including effective judicial remedies and due process, set out in Union law.
Article 59
Obligation of controllers and processors to react to allegations
Where the European Data Protection Supervisor exercises the powers provided for in points (a), (b) and (c) of Article 58(2), the controller or processor concerned shall inform the European Data Protection Supervisor of its views within a reasonable period to be specified by the European Data Protection Supervisor, taking into account the circumstances of each case. The reply shall also include a description of the measures taken, if any, in response to the remarks of the European Data Protection Supervisor.
Article 60
Activities report
1.   The European Data Protection Supervisor shall submit an annual report on his or her activities to the European Parliament, to the Council and to the Commission and at the same time make it public.
2.   The European Data Protection Supervisor shall forward the report referred to in paragraph 1 to the other Union institutions and bodies, which may submit comments with a view to possible examination of the report by the European Parliament.
CHAPTER VII
COOPERATION AND CONSISTENCY
Article 61
Cooperation between the European Data Protection Supervisor and national supervisory authorities
The European Data Protection Supervisor shall cooperate with national supervisory authorities and with the joint supervisory authority established under Article 25 of Council Decision 2009/917/JHA 
(
19
)
 to the extent necessary for the performance of their respective duties, in particular by providing each other with relevant information, asking each other to exercise their powers and responding to each other’s requests.
Article 62
Coordinated supervision by the European Data Protection Supervisor and national supervisory authorities
1.   Where a Union act refers to this Article, the European Data Protection Supervisor and the national supervisory authorities, each acting within the scope of their respective competences, shall cooperate actively within the framework of their responsibilities to ensure effective supervision of large-scale IT systems and of Union bodies, offices and agencies.
2.   They shall, as necessary, each acting within the scope of their respective competences and within the framework of their responsibilities, exchange relevant information, assist each other in carrying out audits and inspections, examine difficulties of interpretation or application of this Regulation and other applicable Union acts, study problems with the exercise of independent supervision or with the exercise of the rights of data subjects, draw up harmonised proposals for solutions to any problems and promote awareness of data protection rights.
3.   For the purposes laid down in paragraph 2, the European Data Protection Supervisor and the national supervisory authorities shall meet at least twice a year within the framework of the European Data Protection Board. For these purposes, the European Data Protection Board may develop further working methods as necessary.
4.   The European Data Protection Board shall submit a joint report of coordinated supervision activities to the European Parliament, to the Council, and to the Commission every two years.
CHAPTER VIII
REMEDIES, LIABILITY AND PENALTIES
Article 63
Right to lodge a complaint with the European Data Protection Supervisor
1.   Without prejudice to any judicial, administrative or non-judicial remedy, every data subject shall have the right to lodge a complaint with the European Data Protection Supervisor if the data subject considers that the processing of personal data relating to him or her infringes this Regulation.
2.   The European Data Protection Supervisor shall inform the complainant of the progress and the outcome of the complaint, including of the possibility of a judicial remedy pursuant to Article 64.
3.   If the European Data Protection Supervisor does not handle the complaint or does not inform the data subject within three months on the progress or outcome of the complaint, the European Data Protection Supervisor shall be deemed to have adopted a negative decision.
Article 64
Right to an effective judicial remedy
1.   The Court of Justice shall have jurisdiction to hear all disputes relating to the provisions of this Regulation, including claims for damages.
2.   Actions against decisions of the European Data Protection Supervisor, including decisions under Article 63(3), shall be brought before the Court of Justice.
3.   The Court of Justice shall have unlimited jurisdiction to review administrative fines referred to in Article 66. It may cancel, reduce or increase those fines within the limits of Article 66.
Article 65
Right to compensation
Any person who has suffered material or non-material damage as a result of an infringement of this Regulation shall have the right to receive compensation from the Union institution or body for the damage suffered, subject to the conditions provided for in the Treaties.
Article 66
Administrative fines
1.   The European Data Protection Supervisor may impose administrative fines on Union institutions and bodies, depending on the circumstances of each individual case, where a Union institution or body fails to comply with an order by the European Data Protection Supervisor pursuant to points (d) to (h) and (j) of Article 58(2). When deciding whether to impose an administrative fine and deciding on the amount of the administrative fine in each individual case, due regard shall be given to the following:
(a)
the nature, gravity and duration of the infringement, taking into account the nature, scope or purpose of the processing concerned as well as the number of data subjects affected and the level of damage suffered by them;
(b)
any action taken by the Union institution or body to mitigate the damage suffered by data subjects;
(c)
the degree of responsibility of the Union institution or body, taking into account technical and organisational measures implemented by them pursuant to Articles 27 and 33;
(d)
any similar previous infringements by the Union institution or body;
(e)
the degree of cooperation with the European Data Protection Supervisor in order to remedy the infringement and mitigate the possible adverse effects of the infringement;
(f)
the categories of personal data affected by the infringement;
(g)
the manner in which the infringement became known to the European Data Protection Supervisor, in particular whether, and if so to what extent, the Union institution or body notified the infringement;
(h)
compliance with any of the measures referred to in Article 58 previously ordered against the Union institution or body concerned with regard to the same subject matter. The proceedings leading to the imposition of those fines shall be carried out in a reasonable timeframe according to the circumstances of the case and taking into account the relevant actions and proceedings referred to in Article 69.
2.   Infringements of the obligations of the Union institution or body pursuant to Articles 8, 12, 27 to 35, 39, 40, 43, 44 and 45 shall, in accordance with paragraph 1 of this Article, be subject to administrative fines of up to 25 000 EUR per infringement and up to a total of 250 000 EUR per year.
3.   Infringements of the following provisions by the Union institution or body shall, in accordance with paragraph 1, be subject to administrative fines of up to 50 000 EUR per infringement and up to a total of 500 000 EUR per year:
(a)
the basic principles for processing, including conditions for consent, pursuant to Articles 4, 5, 7 and 10;
(b)
the data subjects’ rights pursuant to Articles 14 to 24;
(c)
the transfers of personal data to a recipient in a third country or an international organisation pursuant to Articles 46 to 50.
4.   If a Union institution or body, for the same or linked or continuous processing operations, infringes several provisions of this Regulation or the same provision of this Regulation several times, the total amount of the administrative fine shall not exceed the amount specified for the gravest infringement.
5.   Before taking decisions pursuant to this Article, the European Data Protection Supervisor shall give the Union institution or body which is the subject of the proceedings conducted by the European Data Protection Supervisor the opportunity of being heard on the matters to which the European Data Protection Supervisor has taken objection. The European Data Protection Supervisor shall base his or her decisions only on objections on which the parties concerned have been able to comment. Complainants shall be associated closely with the proceedings.
6.   The rights of defence of the parties concerned shall be fully respected in the proceedings. They shall be entitled to have access to the European Data Protection Supervisor’s file, subject to the legitimate interest of individuals or undertakings in the protection of their personal data or business secrets.
7.   Funds collected by imposition of fines in this Article shall be the income of the general budget of the Union.
Article 67
Representation of data subjects
The data subject shall have the right to mandate a not-for-profit body, organisation or association which has been properly constituted in accordance with Union law or the law of a Member State, has statutory objectives which are in the public interest, and is active in the field of the protection of data subjects’ rights and freedoms with regard to the protection of their personal data to lodge the complaint with the European Data Protection Supervisor on his or her behalf, to exercise the rights referred to in Articles 63 and 64 on his or her behalf, and to exercise the right to receive compensation referred to in Article 65 on his or her behalf.
Article 68
Complaints by Union staff
Any person employed by a Union institution or body may lodge a complaint with the European Data Protection Supervisor regarding an alleged infringement of the provisions of this Regulation, including without acting through official channels. No one shall suffer prejudice by reason of having submitted a complaint with the European Data Protection Supervisor alleging such an infringement.
Article 69
Sanctions
Where an official or other servant of the Union fails to comply with the obligations laid down in this Regulation, whether intentionally or through negligence on his or her part, the official or other servant concerned shall be liable to disciplinary or other action, in accordance with the rules and procedures laid down in the Staff Regulations.
CHAPTER IX
PROCESSING OF OPERATIONAL PERSONAL DATA BY UNION BODIES, OFFICES AND AGENCIES WHEN CARRYING OUT ACTIVITIES WHICH FALL WITHIN THE SCOPE OF CHAPTER 4 OR CHAPTER 5 OF TITLE V OF PART THREE TFEU
Article 70
Scope of the Chapter
This Chapter applies only to the processing of operational personal data by Union bodies, offices and agencies when carrying out activities which fall within the scope of Chapter 4 or Chapter 5 of Title V of Part Three TFEU, without prejudice to specific data protection rules applicable to such a Union body, office or agency.
Article 71
Principles relating to processing of operational personal data
1.   Operational personal data shall be:
(a)
processed lawfully and fairly (‘lawfulness and fairness’);
(b)
collected for specified, explicit and legitimate purposes and not processed in a manner that is incompatible with those purposes (‘purpose limitation’);
(c)
adequate, relevant, and not excessive in relation to the purposes for which they are processed (‘data minimisation’);
(d)
accurate and, where necessary, kept up to date; every reasonable step must be taken to ensure that operational personal data that are inaccurate, having regard to the purposes for which they are processed, are erased or rectified without delay (‘accuracy’);
(e)
kept in a form which permits identification of data subjects for no longer than is necessary for the purposes for which the operational personal data are processed (‘storage limitation’);
(f)
processed in a manner that ensures appropriate security of the operational personal data, including protection against unauthorised or unlawful processing and against accidental loss, destruction or damage, using appropriate technical or organisational measures (‘integrity and confidentiality’).
2.   Processing by the same or another controller for any of the purposes set out in the legal act establishing the Union body, office or agency other than that for which the operational personal data are collected shall be permitted in so far as:
(a)
the controller is authorised to process such operational personal data for such a purpose in accordance with Union law; and
(b)
processing is necessary and proportionate to that other purpose in accordance with Union law.
3.   Processing by the same or another controller may include archiving in the public interest, scientific, statistical or historical use, for the purposes set out in the legal act establishing the Union body, office or agency, subject to appropriate safeguards for the rights and freedoms of data subjects.
4.   The controller shall be responsible for, and be able to demonstrate compliance with, paragraphs 1, 2 and 3.
Article 72
Lawfulness of processing of operational personal data
1.   Processing of operational personal data shall be lawful only if and to the extent that processing is necessary for the performance of a task carried out by Union bodies, offices and agencies when carrying out activities which fall within the scope of Chapter 4 or Chapter 5 of Title V of Part Three TFEU and that it is based on Union law.
2.   Specific Union legal acts regulating processing within the scope of this Chapter shall specify at least the objectives of processing, the operational personal data to be processed, the purposes of the processing and the time limits for storage of the operational personal data or for periodic review of the need for further storage of the operational personal data.
Article 73
Distinction between different categories of data subjects
The controller shall, where applicable and as far as possible, make a clear distinction between the operational personal data of different categories of data subjects, such as the categories listed in the legal acts establishing Union bodies, offices and agencies.
Article 74
Distinction between operational personal data and verification of the quality of operational personal data
1.   The controller shall distinguish, as far as possible, operational personal data based on facts from operational personal data based on personal assessments.
2.   The controller shall take all reasonable steps to ensure that operational personal data which are inaccurate, incomplete or no longer up to date are not transmitted or made available. To that end, the controller shall, as far as practicable and where relevant, verify the quality of operational personal data before they are transmitted or made available, for example by consulting the competent authority from which the data originates. As far as possible, in all transmissions of operational personal data, the controller shall add the necessary information enabling the recipient to assess the degree to which the operational personal data are accurate, complete and reliable, and the extent to which they are up to date.
3.   If it emerges that incorrect operational personal data have been transmitted or that operational personal data have been unlawfully transmitted, the recipient shall be notified without delay. In such a case, the operational personal data concerned shall be rectified or erased or their processing shall be restricted in accordance with Article 82.
Article 75
Specific processing conditions
1.   When Union law applicable to the transmitting controller provides for specific conditions for processing, the controller shall inform the recipient of the operational personal data of those conditions and the requirement to comply with them.
2.   The controller shall comply with specific processing conditions for processing provided by a transmitting competent authority in accordance with Article 9(3) and (4) of Directive (EU) 2016/680.
Article 76
Processing of special categories of operational personal data
1.   Processing of operational personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, and the processing of genetic data, biometric data for the purpose of uniquely identifying a natural person, operational personal data concerning health or concerning a natural person’s sex life or sexual orientation shall be allowed only where strictly necessary for operational purposes, within the mandate of the Union body, office or agency concerned and subject to appropriate safeguards for the rights and freedoms of the data subject. Discrimination against natural persons on the basis of such personal data shall be prohibited.
2.   The data protection officer shall be informed without undue delay of recourse to this Article.
Article 77
Automated individual decision-making, including profiling
1.   A decision based solely on automated processing, including profiling, which produces an adverse legal effect concerning the data subject or significantly affects him or her shall be prohibited unless authorised by Union law to which the controller is subject and which provides appropriate safeguards for the rights and freedoms of the data subject, at least the right to obtain human intervention on the part of the controller.
2.   Decisions referred to in paragraph 1 of this Article shall not be based on the special categories of personal data referred to in Article 76 unless suitable measures to safeguard the data subject’s rights, freedoms and legitimate interests are in place.
3.   Profiling that results in discrimination against natural persons on the basis of special categories of personal data referred to in Article 76 shall be prohibited, in accordance with Union law.
Article 78
Communication and modalities for exercising the rights of the data subject
1.   The controller shall take reasonable steps to provide any information referred to in Article 79 and make any communication with regard to Articles 80 to 84 and 92 relating to processing to the data subject in a concise, intelligible and easily accessible form, using clear and plain language. The information shall be provided by any appropriate means, including by electronic means. As a general rule, the controller shall provide the information in the same form as the request.
2.   The controller shall facilitate the exercise of the rights of the data subject under Articles 79 to 84.
3.   The controller shall inform the data subject in writing about the follow-up to his or her request without undue delay and in any case at the latest within three months after receipt of the request by the data subject.
4.   The controller shall provide the information under Article 79 and any communication made or action taken pursuant to Articles 80 to 84 and 92 free of charge. Where requests from a data subject are manifestly unfounded or excessive, in particular because of their repetitive character, the controller may refuse to act on the request. The controller shall bear the burden of demonstrating the manifestly unfounded or excessive character of the request.
5.   Where the controller has reasonable doubts concerning the identity of the natural person making a request referred to in Article 80 or 82, the controller may request the provision of additional information necessary to confirm the identity of the data subject.
Article 79
Information to be made available or given to the data subject
1.   The controller shall make available to the data subject at least the following information:
(a)
the identity and the contact details of the Union body, office or agency;
(b)
the contact details of the data protection officer;
(c)
the purposes of the processing for which the operational personal data are intended;
(d)
the right to lodge a complaint with the European Data Protection Supervisor and his or her contact details;
(e)
the existence of the right to request from the controller access to and rectification or erasure of operational personal data and restriction of processing of the operational personal data concerning the data subject.
2.   In addition to the information referred to in paragraph 1, the controller shall give to the data subject, in the specific cases foreseen by Union law, the following further information to enable the exercise of his or her rights:
(a)
the legal basis for the processing;
(b)
the period for which the operational personal data will be stored, or, where that is not possible, the criteria used to determine that period;
(c)
where applicable, the categories of recipients of the operational personal data, including in third countries or international organisations;
(d)
where necessary, further information, in particular where the operational personal data are collected without the knowledge of the data subject.
3.   The controller may delay, restrict or omit the provision of the information to the data subject pursuant to paragraph 2 to the extent that, and for as long as, such a measure constitutes a necessary and proportionate measure in a democratic society with due regard for the fundamental rights and the legitimate interests of the natural person concerned, in order to:
(a)
avoid obstructing official or legal inquiries, investigations or procedures;
(b)
avoid prejudicing the prevention, detection, investigation or prosecution of criminal offences or the execution of criminal penalties;
(c)
protect the public security of Member States;
(d)
protect the national security of Member States;
(e)
protect the rights and freedoms of others, such as victims and witnesses.
Article 80
Right of access by the data subject
The data subject shall have the right to obtain from the controller confirmation as to whether or not operational personal data concerning him or her are processed, and where that is the case, have the right to access operational personal data and the following information:
(a)
the purposes of and legal basis for the processing;
(b)
the categories of operational personal data concerned;
(c)
the recipients or categories of recipients to whom the operational personal data have been disclosed, in particular recipients in third countries or international organisations;
(d)
where possible, the envisaged period for which the operational personal data will be stored, or, if not possible, the criteria used to determine that period;
(e)
the existence of the right to request from the controller rectification or erasure of operational personal data or restriction of processing of operational personal data concerning the data subject;
(f)
the right to lodge a complaint with the European Data Protection Supervisor and his or her contact details;
(g)
communication of the operational personal data undergoing processing and of any available information as to their origin.
Article 81
Limitations to the right of access
1.   The controller may restrict, wholly or partly, the data subject’s right of access to the extent that, and for as long as, such a partial or complete restriction constitutes a necessary and proportionate measure in a democratic society with due regard for the fundamental rights and legitimate interests of the natural person concerned, in order to:
(a)
avoid obstructing official or legal inquiries, investigations or procedures;
(b)
avoid prejudicing the prevention, detection, investigation or prosecution of criminal offences or the execution of criminal penalties;
(c)
protect the public security of Member States;
(d)
protect the national security of Member States;
(e)
protect the rights and freedoms of others, such as victims and witnesses.
2.   In the cases referred to in paragraph 1, the controller shall inform the data subject, without undue delay, in writing of any refusal or restriction of access and of the reasons for the refusal or the restriction. Such information may be omitted where the provision thereof would undermine a purpose under paragraph 1. The controller shall inform the data subject of the possibility of lodging a complaint with the European Data Protection Supervisor or of seeking a judicial remedy before the Court of Justice. The controller shall document the factual or legal reasons on which the decision is based. That information shall be made available to the European Data Protection Supervisor on request.
Article 82
Right to rectification or erasure of operational personal data and restriction of processing
1.   Any data subject shall have the right to obtain from the controller without undue delay the rectification of inaccurate operational personal data relating to him or her. Taking into account the purposes of the processing, the data subject shall have the right to have incomplete operational personal data completed, including by means of providing a supplementary statement.
2.   The controller shall erase operational personal data without undue delay and the data subject shall have the right to obtain from the controller the erasure of operational personal data concerning him or her without undue delay where processing infringes Articles 71, 72(1) or 76, or where operational personal data must be erased in order to comply with a legal obligation to which the controller is subject.
3.   Instead of erasure, the controller shall restrict processing where:
(a)
the accuracy of the personal data is contested by the data subject and their accuracy or inaccuracy cannot be ascertained; or
(b)
the personal data must be maintained for the purposes of evidence.
Where processing is restricted pursuant to point (a) of the first subparagraph, the controller shall inform the data subject before lifting the restriction of processing.
Restricted data shall be processed only for the purpose that prevented their erasure.
4.   The controller shall inform the data subject in writing of any refusal of rectification or erasure of operational personal data or restrict processing and of the reasons for the refusal. The controller may restrict, wholly or partly, the provision of such information to the extent that such a restriction constitutes a necessary and proportionate measure in a democratic society with due regard for the fundamental rights and legitimate interests of the natural person concerned in order to:
(a)
avoid obstructing official or legal inquiries, investigations or procedures;
(b)
avoid prejudicing the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties;
(c)
protect the public security of Member States;
(d)
protect the national security of Member States;
(e)
protect the rights and freedoms of others, such as victims and witnesses.
The controller shall inform the data subject of the possibility of lodging a complaint with the European Data Protection Supervisor or seeking a judicial remedy from the Court of Justice.
5.   The controller shall communicate the rectification of inaccurate operational personal data to the competent authority from which the inaccurate operational personal data originate.
6.   The controller shall, where operational personal data has been rectified or erased or processing has been restricted pursuant to paragraphs 1, 2 or 3, notify the recipients and inform them that they have to rectify or erase the operational personal data or restrict processing of the operational personal data under their responsibility.
Article 83
Right of access in criminal investigations and proceedings
Where operational personal data originates from a competent authority, Union bodies, offices and agencies shall, prior to deciding on a data subject’s right of access, verify with the competent authority concerned whether such personal data are contained in a judicial decision or record or a case file processed in the course of criminal investigations and proceedings in the Member State of that competent authority. Where this is the case, a decision on the right of access shall be taken in consultation and in close cooperation with the competent authority concerned.
Article 84
Exercise of rights by the data subject and verification by the European Data Protection Supervisor
1.   In the cases referred to in Articles 79(3), 81 and 82(4), the rights of the data subject may also be exercised through the European Data Protection Supervisor.
2.   The controller shall inform the data subject of the possibility of exercising his or her rights through the European Data Protection Supervisor pursuant to paragraph 1.
3.   Where the right referred to in paragraph 1 is exercised, the European Data Protection Supervisor shall at least inform the data subject that all necessary verifications or a review by him or her have taken place. The European Data Protection Supervisor shall also inform the data subject of his or her right to seek a judicial remedy before the Court of Justice.
Article 85
Data protection by design and by default
1.   Taking into account the state of the art, the cost of implementation and the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for rights and freedoms of natural persons posed by the processing, the controller shall, both at the time of the determination of the means for processing and at the time of the processing itself, implement appropriate technical and organisational measures, such as pseudonymisation, which are designed to implement data protection principles, such as data minimisation, in an effective manner and to integrate the necessary safeguards into the processing, in order to meet the requirements of this Regulation and the legal act establishing it, and protect the rights of the data subjects.
2.   The controller shall implement appropriate technical and organisational measures ensuring that, by default, only operational personal data which are adequate, relevant and not excessive in relation to the purpose of the processing are processed. That obligation applies to the amount of operational personal data collected, the extent of their processing, the period of their storage and their accessibility. In particular, such measures shall ensure that by default operational personal data are not made accessible without the individual’s intervention to an indefinite number of natural persons.
Article 86
Joint controllers
1.   Where two or more controllers or one or more controllers together with one or more controllers other than Union institutions and bodies jointly determine the purposes and means of processing, they shall be joint controllers. They shall in a transparent manner determine their respective responsibilities for compliance with their data protection obligations, in particular as regards the exercise of the rights of the data subject and their respective duties to provide the information referred to in Article 79, by means of an arrangement between them, unless and in so far as the respective responsibilities of the joint controllers are determined by Union or Member State law to which the joint controllers are subject. The arrangement may designate a contact point for data subjects.
2.   The arrangement referred to in paragraph 1 shall duly reflect the respective roles and relationships of the joint controllers vis-à-vis the data subject. The essence of the arrangement shall be made available to the data subject.
3.   Irrespective of the terms of the arrangement referred to in paragraph 1, the data subject may exercise his or her rights under this Regulation in respect of and against each of the controllers.
Article 87
Processor
1.   Where processing is to be carried out on behalf of a controller, the controller shall use only processors providing sufficient guarantees to implement appropriate technical and organisational measures in such a manner that processing will meet the requirements of this Regulation and the legal act establishing the controller and ensure the protection of the rights of the data subject.
2.   The processor shall not engage another processor without prior specific or general written authorisation by the controller. In the case of general written authorisation, the processor shall inform the controller of any intended changes concerning the addition or replacement of other processors, thereby giving the controller the opportunity to object to such changes.
3.   Processing by a processor shall be governed by a contract or other legal act under Union or Member State law, that is binding on the processor with regard to the controller and that sets out the subject matter and duration of the processing, the nature and purpose of the processing, the type of operational personal data and categories of data subjects and the obligations and rights of the controller. That contract or other legal act shall stipulate, in particular, that the processor:
(a)
acts only on instructions from the controller;
(b)
ensures that persons authorised to process the operational personal data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality;
(c)
assists the controller by any appropriate means to ensure compliance with the provisions on the data subject’s rights;
(d)
at the choice of the controller, deletes or returns all the operational personal data to the controller after the end of the provision of services relating to processing, and deletes existing copies unless Union law or Member State law requires storage of the operational personal data;
(e)
makes available to the controller all information necessary to demonstrate compliance with the obligations laid down in this Article;
(f)
complies with the conditions referred to in paragraph 2 and in this paragraph for engaging another processor.
4.   The contract or the other legal act referred to in paragraph 3 shall be in writing, including in electronic form.
5.   If a processor infringes this Regulation or the legal act establishing the controller by determining the purposes and means of processing, the processor shall be considered to be a controller in respect of that processing.
Article 88
Logging
1.   The controller shall keep logs for any of the following processing operations in automated processing systems: the collection, alteration, access, consultation, disclosure, including transfers, combination and erasure of operational personal data. The logs of consultation and disclosure shall make it possible to establish the justification for, and the date and time of, such operations, the identification of the person who consulted or disclosed operational personal data, and, as far as possible, the identity of the recipients of such operational personal data.
2.   The logs shall be used solely for verification of the lawfulness of processing, self-monitoring, ensuring the integrity and security of the operational personal data, and for criminal proceedings. Such logs shall be deleted after three years, unless they are required for ongoing control.
3.   The controller shall make the logs available to its data protection officer and to the European Data Protection Supervisor on request.
Article 89
Data protection impact assessment
1.   Where a type of processing, in particular using new technologies, and taking into account the nature, scope, context and purposes of the processing, is likely to result in a high risk to the rights and freedoms of natural persons, the controller shall carry out, prior to the processing, an assessment of the impact of the envisaged processing operations on the protection of operational personal data.
2.   The assessment referred to in paragraph 1 shall contain at least a general description of the envisaged processing operations, an assessment of the risks to the rights and freedoms of data subjects, the measures envisaged to address those risks, safeguards, security measures and mechanisms to ensure the protection of operational personal data and to demonstrate compliance with data protection rules, taking into account the rights and legitimate interests of the data subjects and other persons concerned.
Article 90
Prior consultation of the European Data Protection Supervisor
1.   The controller shall consult the European Data Protection Supervisor prior to processing which will form part of a new filing system to be created, where:
(a)
a data protection impact assessment under Article 89 indicates that the processing would result in a high risk in the absence of measures taken by the controller to mitigate the risk; or
(b)
the type of processing, in particular, where using new technologies, mechanisms or procedures, involves a high risk to the rights and freedoms of data subjects.
2.   The European Data Protection Supervisor may establish a list of the processing operations which are subject to prior consultation pursuant to paragraph 1.
3.   The controller shall provide the European Data Protection Supervisor with the data protection impact assessment referred to Article 89 and, on request, with any other information to allow the European Data Protection Supervisor to make an assessment of the compliance of the processing and in particular of the risks for the protection of operational personal data of the data subject and of the related safeguards.
4.   Where the European Data Protection Supervisor is of the opinion that the intended processing referred to in paragraph 1 would infringe this Regulation or the legal act establishing the Union body, office or agency, in particular where the controller has insufficiently identified or mitigated the risk, the European Data Protection Supervisor shall provide written advice to the controller within a period of up to six weeks of receipt of the request for consultation. That period may be extended by a month, taking into account the complexity of the intended processing. The European Data Protection Supervisor shall inform the controller of any such extension within one month of receipt of the request for consultation, together with the reasons for the delay.
Article 91
Security of processing of operational personal data
1.   The controller and the processor shall, taking into account the state of the art, the costs of implementation and the nature, scope, context and purposes of the processing as well as the risks of varying likelihood and severity for the rights and freedoms of natural persons, implement appropriate technical and organisational measures to ensure a level of security appropriate to the risks, in particular as regards the processing of special categories of operational personal data.
2.   In respect of automated processing, the controller and the processor shall, following an evaluation of the risks, implement measures designed to:
(a)
deny unauthorised persons access to data processing equipment used for processing (‘equipment access control’);
(b)
prevent the unauthorised reading, copying, modification or removal of data media (‘data media control’);
(c)
prevent the unauthorised input of operational personal data and the unauthorised inspection, modification or deletion of stored operational personal data (‘storage control’);
(d)
prevent the use of automated processing systems by unauthorised persons using data communication equipment (‘user control’);
(e)
ensure that persons authorised to use an automated processing system have access only to the operational personal data covered by their access authorisation (‘data access control’);
(f)
ensure that it is possible to verify and establish the bodies to which operational personal data have been or may be transmitted or made available using data communication (‘communication control’);
(g)
ensure that it is subsequently possible to verify and establish which operational personal data have been input into automated data processing systems, and when and by whom the operational personal data were input (‘input control’);
(h)
prevent unauthorised reading, copying, modification or deletion of operational personal data during transfers of operational personal data or during transportation of data media (‘transport control’);
(i)
ensure that installed systems may, in the case of interruption, be restored (‘recovery’);
(j)
ensure that the functions of the system perform, that the appearance of faults in the functions is reported (‘reliability’) and that stored operational personal data cannot be corrupted by means of a malfunctioning of the system (‘integrity’).
Article 92
Notification of a personal data breach to the European Data Protection Supervisor
1.   In the case of a personal data breach, the controller shall notify without undue delay and, where feasible, not later than 72 hours after having become aware of it, the personal data breach to the European Data Protection Supervisor, unless the personal data breach is unlikely to result in a risk to the rights and freedoms of natural persons. Where the notification to the European Data Protection Supervisor is not made within 72 hours, it shall be accompanied by reasons for the delay.
2.   The notification referred to in paragraph 1 shall at least:
(a)
describe the nature of the personal data breach including, where possible, the categories and approximate number of data subjects concerned and the categories and approximate number of operational personal data records concerned;
(b)
communicate the name and contact details of the Data Protection Officer;
(c)
describe the likely consequences of the personal data breach;
(d)
describe the measures taken or proposed to be taken by the controller to address the personal data breach, including, where appropriate, measures to mitigate its possible adverse effects.
3.   Where, and in so far as, it is not possible to provide the information referred to in paragraph 2 at the same time, the information may be provided in phases without undue further delay.
4.   The controller shall document any personal data breaches referred to in paragraph 1, comprising the facts relating to the personal data breach, its effects and the remedial action taken. That documentation shall enable the European Data Protection Supervisor to verify compliance with this Article.
5.   Where the personal data breach involves operational personal data that have been transmitted by or to the competent authorities, the controller shall communicate the information referred to in paragraph 2 to the competent authorities concerned without undue delay.
Article 93
Communication of a personal data breach to the data subject
1.   Where the personal data breach is likely to result in a high risk to the rights and freedoms of natural persons, the controller shall communicate the personal data breach to the data subject without undue delay.
2.   The communication to the data subject referred to in paragraph 1 of this Article shall describe in clear and plain language the nature of the personal data breach and shall contain at least the information and the recommendations provided for in points (b), (c) and (d) of Article 92(2).
3.   The communication to the data subject referred to in paragraph 1 shall not be required if any of the following conditions are met:
(a)
the controller has implemented appropriate technological and organisational protection measures, and those measures were applied to the operational personal data affected by the personal data breach, in particular those that render the operational personal data unintelligible to any person who is not authorised to access it, such as encryption;
(b)
the controller has taken subsequent measures which ensure that the high risk to the rights and freedoms of data subjects referred to in paragraph 1 is no longer likely to materialise;
(c)
it would involve a disproportionate effort. In such a case, there shall instead be a public communication or a similar measure whereby the data subjects are informed in an equally effective manner.
4.   If the controller has not already communicated the personal data breach to the data subject, the European Data Protection Supervisor, having considered the likelihood of the personal data breach resulting in a high risk, may require it to do so, or may decide that any of the conditions referred to in paragraph 3 are met.
5.   The communication to the data subject referred to in paragraph 1 of this Article may be delayed, restricted or omitted subject to the conditions and on the grounds referred to in Article 79(3).
Article 94
Transfer of operational personal data to third countries and international organisations
1.   Subject to restrictions and conditions laid down in the legal acts establishing the Union body, office or agency, the controller may transfer operational personal data to an authority of a third country or to an international organisation insofar as such transfer is necessary for the performance of controller’s tasks and only where the conditions laid down in this Article are met, namely:
(a)
the Commission has adopted an adequacy decision in accordance with Article 36(3) of Directive (EU) 2016/680, finding that the third country or a territory or a processing sector within that third country or the international organisation in question ensures an adequate level of protection;
(b)
in the absence of a Commission adequacy decision under point (a), an international agreement has been concluded between the Union and that third country or international organisation pursuant to Article 218 TFEU adducing adequate safeguards with respect to the protection of privacy and fundamental rights and freedoms of individuals;
(c)
in the absence of a Commission adequacy decision under point (a) or an international agreement under point (b), a cooperation agreement has been concluded allowing for the exchange of operational personal data before the date of application of the legal act establishing the Union body, office or agency concerned, between that Union body, office or agency and the third country in question.
2.   The legal acts establishing the Union bodies, offices and agencies may maintain or introduce more specific provisions on the conditions for international transfers of operational personal data, in particular on the transfers by way of appropriate safeguards and derogations for specific situations..
3.   The controller shall publish on its website and keep up to date a list of adequacy decisions referred to in point (a) of paragraph 1, agreements, administrative arrangements and other instruments relating to the transfer of operational personal data in accordance with paragraph 1.
4.   The controller shall keep detailed records of all transfers made pursuant to this Article.
Article 95
Secrecy of judicial inquiries and criminal proceedings
The legal acts establishing the Union bodies, offices or agencies carrying out the activities which fall within the scope of Chapter 4 or Chapter 5 of Title V of Part Three TFEU may oblige the European Data Protection Supervisor, in the exercise of his or her supervision powers, to take utmost account of the secrecy of judicial inquiries and criminal proceedings, in accordance with Union or Member State law.
CHAPTER X
IMPLEMENTING ACTS
Article 96
Committee procedure
1.   The Commission shall be assisted by the committee established by Article 93 of Regulation (EU) 2016/679. That committee shall be a committee within the meaning of Regulation (EU) No 182/2011.
2.   Where reference is made to this paragraph, Article 5 of Regulation (EU) No 182/2011 shall apply.
CHAPTER XI
REVIEW
Article 97
Review clause
No later than 30 April 2022, and every five years thereafter, the Commission shall present to the European Parliament and to the Council a report on the application of this Regulation, accompanied, if necessary, by appropriate legislative proposals.
Article 98
Review of Union legal acts
1.   By 30 April 2022, the Commission shall review legal acts adopted on the basis of the Treaties which regulate the processing of operational personal data by Union bodies, offices or agencies when carrying out activities which fall within the scope of Chapter 4 or Chapter 5 of Title V of Part Three TFEU, in order to:
(a)
assess their consistency with Directive (EU) 2016/680 and Chapter IX of this Regulation;
(b)
identify any divergences that may hamper the exchange of operational personal data between Union bodies, offices or agencies when carrying out activities in those fields and competent authorities; and
(c)
identify any divergences that may create legal fragmentation of the data protection legislation in the Union.
2.   On the basis of the review, in order to ensure uniform and consistent protection of natural persons with regard to processing, the Commission may submit appropriate legislative proposals, in particular with a view to applying Chapter IX of this Regulation to Europol and the European Public Prosecutor’s Office and including adaptations of Chapter IX of this Regulation, if necessary.
CHAPTER XII
FINAL PROVISIONS
Article 99
Repeal of Regulation (EC) No 45/2001 and of Decision No 1247/2002/EC
Regulation (EC) No 45/2001 and Decision No 1247/2002/EC are repealed with effect from 11 December 2018. References to the repealed Regulation and Decision shall be construed as references to this Regulation.
Article 100
Transitional measures
1.   The Decision 2014/886/EU of the European Parliament and of the Council 
(
20
)
 and the current terms of office of the European Data Protection Supervisor and the Assistant Supervisor shall not be affected by this Regulation.
2.   The Assistant Supervisor shall be considered equivalent to the Registrar of the Court of Justice as regards the determination of remuneration, allowances, retirement pension and any other benefit in lieu of remuneration.
3.   Article 53(4), (5) and (7), and Articles 55 and 56 of this Regulation shall apply to the current Assistant Supervisor until the end of his term of office.
4.   The Assistant Supervisor shall assist the European Data Protection Supervisor in fulfilling the latter’s duties and act as a replacement when the European Data Protection Supervisor is absent or prevented from attending to those duties until the end of the current Assistant Supervisor’s term of office.
Article 101
Entry into force and application
1.   This Regulation shall enter into force on the twentieth day following that of its publication in the 
Official Journal of the European Union
.
2.   However, this Regulation shall apply to processing of personal data by Eurojust from 12 December 2019.
This Regulation shall be binding in its entirety and directly applicable in all Member States.
Done at Strasbourg, 23 October 2018.
For the European Parliament
The President
A. TAJANI
For the Council
The President
K. EDTSTADLER
(
1
)
  
            
OJ C 288, 31.8.2017, p. 107
.
(
2
)
  Position of the European Parliament of 13 September 2018 (not yet published in the Official Journal) and decision of the Council of 11 October 2018.
(
3
)
  Regulation (EC) No 45/2001 of the European Parliament and the Council of 18 December 2000 on the protection of individuals with regard to the processing of personal data by the Community institutions and bodies and on the free movement of such data (
OJ L 8, 12.1.2001, p. 1
).
(
4
)
  Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (
OJ L 119, 4.5.2016, p. 1
).
(
5
)
  Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (
OJ L 119, 4.5.2016, p. 89
).
(
6
)
  Council Directive 93/13/EEC of 5 April 1993 on unfair terms in consumer contracts (
OJ L 95, 21.4.1993, p. 29
).
(
7
)
  Regulation (EC) No 1338/2008 of the European Parliament and of the Council of 16 December 2008 on Community statistics on public health and health and safety at work (
OJ L 354, 31.12.2008, p. 70
).
(
8
)
  Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) (
OJ L 201, 31.7.2002, p. 37
).
(
9
)
  Regulation (EC) No 1049/2001 of the European Parliament and of the Council of 30 May 2001 regarding public access to European Parliament, Council and Commission documents (
OJ L 145, 31.5.2001, p. 43
).
(
10
)
  
            
OJ L 56, 4.3.1968, p. 1
.
(
11
)
  Regulation (EU) No 182/2011 of the European Parliament and of the Council of 16 February 2011 laying down the rules and general principles concerning mechanisms for control by Member States of the Commission’s exercise of implementing powers (
OJ L 55, 28.2.2011, p. 13
).
(
12
)
  Regulation (EC) No 223/2009 of the European Parliament and of the Council of 11 March 2009 on European statistics and repealing Regulation (EC, Euratom) No 1101/2008 of the European Parliament and of the Council on the transmission of data subject to statistical confidentiality to the Statistical Office of the European Communities, Council Regulation (EC) No 322/97 on Community Statistics, and Council Decision 89/382/EEC, Euratom establishing a Committee on the Statistical Programmes of the European Communities (
OJ L 87, 31.3.2009, p. 164
).
(
13
)
  Decision No 1247/2002/EC of the European Parliament, of the Council and of the Commission of 1 July 2002 on the regulations and general conditions governing the performance of the European Data protection Supervisor’s duties (
OJ L 183, 12.7.2002, p. 1
).
(
14
)
  
            
OJ C 164, 24.5.2017, p. 2
.
(
15
)
  Regulation (EU) 2016/794 of the European Parliament and of the Council of 11 May 2016 on the European Union Agency for Law Enforcement Cooperation (Europol) and replacing and repealing Council Decisions 2009/371/JHA, 2009/934/JHA, 2009/935/JHA, 2009/936/JHA and 2009/968/JHA (
OJ L 135, 24.5.2016, p. 53
).
(
16
)
  Council Regulation (EU) 2017/1939 of 12 October 2017 implementing enhanced cooperation on the establishment of the European Public Prosecutor’s Office (‘the EPPO’) (
OJ L 283, 31.10.2017, p. 1
).
(
17
)
  Directive (EU) 2015/1535 of the European Parliament and of the Council of 9 September 2015 laying down a procedure for the provision of information in the field of technical regulations and of rules on Information Society services (
OJ L 241, 17.9.2015, p. 1
).
(
18
)
  Commission Directive 2008/63/EC of 20 June 2008 on competition in the markets in telecommunications terminal equipment (
OJ L 162, 21.6.2008, p. 20
).
(
19
)
  Council Decision 2009/917/JHA of 30 November 2009 on the use of information technology for customs purposes (
OJ L 323, 10.12.2009, p. 20
).
(
20
)
  Decision 2014/886/EU of the European Parliament and of the Council of 4 December 2014 appointing the European Data Protection Supervisor and the Assistant Supervisor (
OJ L 351, 9.12.2014, p. 9
).

Summary:
Protection of individuals with regard to the processing of personal data by EU institutions, bodies, offices and agencies
SUMMARY OF:
Regulation (EU) 2018/1725 on the protection of natural persons with regard to the processing of personal data by the EU institutions, bodies, offices and agencies and on the free movement of such data
WHAT IS THE AIM OF THE REGULATION?
The regulation:
lays down rules on how 
EU institutions, bodies
, offices and agencies should treat the 
personal data
1
 they hold on individuals;
upholds an individual’s 
fundamental rights
 and freedoms, especially the right to 
protection of personal data
 and the right to privacy;
aligns the rules for EU institutions, bodies, offices and agencies with those of the 
general data protection regulation (GDPR)
 and of Directive (EU) 
2016/680
, known as the data protection law enforcement directive (LED), which have applied since May 2018;
repeals Regulation (EC) 
No 
45/2001
, which previously contained the rules on personal data processing by EU institutions, bodies, offices and agencies, and ensures that these comply with the same strict standards as set out in the GDPR;
repeals Decision 
No 
1247/2002/EC
 regarding the 
European Data Protection Supervisor
 (EDPS).
KEY POINTS
Personal data
 must be:
processed in a lawful, fair and transparent way;
collected for specific, explicit and legitimate purposes;
adequate, relevant and limited to what is necessary;
accurate and, where necessary, kept up to date;
stored in a way that identification of the individuals concerned is possible for no longer than necessary;
processed with appropriate confidentiality.
The 
controller
2
 is responsible for, and must be able to demonstrate compliance with, all the abovementioned data-processing principles.
In addition, 
personal data
:
may be transmitted to a recipient in the EU that is not an EU institution, body, office or agency 
only subject to additional safeguards
;
may be transferred outside of the EU 
only under strict conditions
;
revealing a person’s racial or ethnic origin, political opinions, religious or philosophical beliefs, trade union membership, and the processing of genetic data, biometric data for the purpose of uniquely identifying a natural person, data concerning health or data concerning a natural person’s sex life or sexual orientation 
must not be processed
 except under special circumstances;
need appropriate safeguards
 if archived in the public interest or for scientific, historical or statistical purposes.
Requests for an individual’s consent
 to the use of their data must be in an intelligible and easily accessible form using clear and plain language. The consent must be a clear affirmative action by the individual.
Individuals
 (known as ‘data subjects’ in the legislation) have the right to:
withdraw their consent at any time, which should be as easy as giving it;
know whether or not their personal data is being processed and to have access to it;
obtain the correction of any inaccurate personal data;
remove or restrict any personal data from processing provided that certain conditions are met;
receive their personal data provided to the controller in a structured, commonly used and machine-readable format and transmit it to another controller;
object to the use of their personal data for public-interest purposes, because of their particular situation;
not be subject to a decision based solely on automated processing, which has legal consequences for them;
complain to the EDPS if they feel their personal data is being processed in a way that violates the regulation;
be compensated for any material or non-material damage they suffer because of the actions of an EU institution, body, office or agency;
mandate a not-for-profit organisation to lodge a complaint with the EDPS.
Controllers
:
have to inform data subjects, in plain language and with factual information, such as contact details of the data controller and the purpose of the personal data processing, when such data is collected;
must reply to any requests from data subjects, such as requests to access or correct their personal data, as soon as possible and no later than 1 month;
apply appropriate technical and organisational measures, including 
pseudonymisation
3
, to ensure that processing of personal data complies with the regulation;
must only use data processors that meet EU requirements;
keep a detailed record of data processing under their responsibility;
cooperate with the EDPS;
notify the EDPS and, in some cases, also the individual concerned, as soon as possible of any personal data breach;
carry out data protection impact assessment for certain high-risk processing of personal data;
ensure the confidentiality and security of their electronic communication networks;
inform the EDPS when drawing up administrative measures or internal rules on the processing of personal data.
The legislation creates the post of the EDPS, appointed for a once-renewable 5-year term of office. Based in Brussels, the holder of the post:
acts with complete independence;
treats all confidential information with professional secrecy;
monitors how EU institutions, bodies, offices and agencies apply the legislation;
promotes public understanding and awareness of the processing of personal data;
handles complaints and conducts investigations;
warns and sanctions data controllers;
refers issues to the Court of Justice, which handles any disputes over the legislation;
submits an annual report to the 
European Parliament
, the 
Council
 and the 
European Commission
;
cooperates with national data protection supervisory authorities.
EDPS rules of procedure
A 
decision
 of 
15 May 2020
 adopts the rules of procedure of the EDPS. It lays down in detail:
the EDPS’s mission, guiding principles and organisation;
how it will monitor and ensure the application of the regulation;
procedures for its legislative consultation, technology monitoring, research projects and court proceedings; and
procedures for cooperation with national supervisory authorities and international cooperation.
Special rules for EU bodies, offices and agencies
Special rules apply to EU bodies, offices and agencies that process 
operational personal data
4
 for the purposes of law enforcement (e.g. 
Eurojust
). They are covered by a specific chapter in the regulation. The rules in this chapter are aligned with the LED. Moreover, in the founding acts of these bodies, offices and agencies, more specific rules can be laid down to take into account their particular characteristics.
The processing of operational personal data by 
Europol
 and the 
European Public Prosecutor’s Office
 is excluded from the scope of the regulation and is instead governed by specific provisions in the legal acts establishing them. However, their administrative processing of personal data (e.g. for staff management) is subject to the regulation.
Data protection officers
Controllers also appoint a 
data protection officer
 for a 3- to 5-year term to:
give independent advice on personal data processing;
monitor compliance with the data protection rules.
Reports
The European Commission must submit its first report on the application of the regulation by 
30 April 2022
.
FROM WHEN DOES THE REGULATION APPLY?
It has applied since 
11 December 2018
, except with regard to the processing of personal data by Eurojust, where it has applied since 
12 December 2019
.
BACKGROUND
Article 8
 of the 
Charter of Fundamental Rights
 states that everyone has the right to personal data protection. 
Article 16
 of the Treaty on the Functioning of the EU further develops that right. This article is the legal basis for any EU legislation on data protection.
For further information, see:
Data protection in the EU
 (European Commission).
KEY TERMS
Personal data.
 Any information on an identified or identifiable individual.
Controller.
 Any EU institution, body, office or agency, or its organisational entity, that determines the means and purposes of processing personal data.
Pseudonymisation.
 Processing personal data so that an individual cannot be identified without the use of additional information kept elsewhere.
Operational personal data.
 All personal data processed for the purposes of carrying out law-enforcement tasks.
MAIN DOCUMENT
Regulation (EU) 
2018/1725
 of the European Parliament and of the Council of 
23 October 2018
 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) 
No 45/2001
 and Decision 
No 1247/2002/EC
 (OJ L 295, 
21.11.2018
, 
pp. 39–98
).
RELATED DOCUMENTS
Commission Decision (EU) 
2020/969
 of 
3 July 2020
 laying down implementing rules concerning the Data Protection Officer, restrictions of data subjects’ rights and the application of Regulation (EU) 2018/1725 of the European Parliament and of the Council, and repealing Commission Decision 2008/597/EC (OJ L 213, 
6.7.2020
, 
pp. 12–22
).
Decision
 of the European Data Protection Supervisor of 
15 May 2020
 adopting the Rules of Procedure of the EDPS (OJ L 204, 
26.6.2020
, 
pp. 49–59
).
European Data Protection Supervisor 
Decision
 of 
2 April 2019
 on internal rules concerning restrictions of certain rights of data subjects in relation to the processing of personal data in the framework of activities carried out by the European Data Protection Supervisor (OJ L 99I, 
10.4.2019
, 
pp. 1–7
).
Regulation (EU) 
2016/679
 of the European Parliament and of the Council of 
27 April 2016
 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (OJ L 119, 
4.5.2016
, 
pp. 1–88
).
Successive amendments to Regulation (EU) 2016/679 have been incorporated into the original text. This 
consolidated version
 is of documentary value only.
Directive (EU) 
2016/680
 of the European Parliament and of the Council of 
27 April 2016
 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (OJ L 119, 
4.5.2016
, 
pp. 89–131
).
See 
consolidated version
.
last update 
14.1.2022

--- DANISH ---

Document:
21.11.2018
DA
Den Europæiske Unions Tidende
L 295/39
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2018/1725
af 23. oktober 2018
om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF
(EØS-relevant tekst)
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 16, stk. 2,
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg 
(
1
)
,
efter den almindelige lovgivningsprocedure 
(
2
)
, og
ud fra følgende betragtninger:
(1)
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger er en grundlæggende rettighed. I artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder (»chartret«) og i artikel 16, stk. 1, i traktaten om Den Europæiske Unions funktionsmåde (TEUF) fastsættes det, at enhver har ret til beskyttelse af personoplysninger, der vedrører den pågældende. Denne ret sikres også i artikel 8 i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder.
(2)
Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 
(
3
)
 sikrer fysiske personer rettigheder, der kan håndhæves, fastlægger de forpligtelser, som de dataansvarlige i fællesskabsinstitutionerne og -organerne har, og indfører en uafhængig tilsynsmyndighed, Den Europæiske Tilsynsførende for Databeskyttelse, der er ansvarlig for tilsynet med behandlingen af personoplysninger i Unionens institutioner og organer. Den gælder dog ikke for behandling af personoplysninger under udøvelsen af en aktivitet i Unionens institutioner og organer, der falder uden for EU-rettens anvendelsesområde.
(3)
Europa-Parlamentets og Rådets forordning (EU) 2016/679 
(
4
)
 og Europa-Parlamentets og Rådets direktiv (EU) 2016/680 
(
5
)
 blev vedtaget den 27. april 2016. Mens forordningen fastsætter generelle regler med henblik på at beskytte fysiske personer i forbindelse med behandlingen af personoplysninger og sikre fri udveksling af personoplysninger i Unionen, fastsætter direktivet særlige regler med henblik på at beskytte fysiske personer i forbindelse med behandlingen af personoplysninger og at sikre fri udveksling af personoplysninger i Unionen inden for retligt samarbejde i straffesager og politisamarbejde.
(4)
I henhold til forordning (EU) 2016/679 skal forordning (EF) nr. 45/2001 tilpasses med henblik på sikre en stærk og sammenhængende databeskyttelsesramme i Unionen og muliggøre dennes anvendelse parallelt med forordning (EU) 2016/679.
(5)
Af hensyn til en sammenhængende tilgang til beskyttelse af personoplysninger i hele Unionen og den fri udveksling af personoplysninger i Unionen bør databeskyttelsesreglerne for Unionens institutioner, organer, kontorer og agenturer så vidt muligt tilpasses til de databeskyttelsesregler, der er vedtaget for den offentlige sektor i medlemsstaterne. Når bestemmelserne i nærværende forordning følger de samme principper som bestemmelserne i forordning (EU) 2016/679, bør disse to sæt bestemmelser i overensstemmelse med retspraksis fra Den Europæiske Unions Domstol (»EU-Domstolen«) fortolkes ensartet, navnlig fordi ordningen i nærværende forordning skal betragtes som svarende til ordningen i forordning (EU) 2016/679.
(6)
Personer, hvis personoplysninger behandles af Unionens institutioner og organer, uanset i hvilken sammenhæng, f.eks. fordi de er ansat af disse institutioner og organer, bør beskyttes. Denne forordning bør ikke finde anvendelse på behandlingen af personoplysninger om afdøde personer. Denne forordning finder ikke anvendelse på behandling af personoplysninger, der vedrører juridiske personer, navnlig virksomheder, der er etableret som juridiske personer, herunder den juridiske persons navn, form og kontaktoplysninger.
(7)
For at undgå at skabe en alvorlig risiko for omgåelse bør beskyttelsen af fysiske personer være teknologineutral og ikke afhænge af de anvendte teknikker.
(8)
Denne forordning bør finde anvendelse på behandling af personoplysninger i alle Unionens institutioner, organer, kontorer og agenturer. Den bør finde anvendelse på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikkeautomatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register. Sagsmapper eller samlinger af sagsmapper samt deres forsider, som ikke er struktureret efter bestemte kriterier, bør ikke være omfattet af denne forordnings anvendelsesområde.
(9)
I erklæring nr. 21 om beskyttelse af personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde, der er knyttet som bilag til slutakten fra den regeringskonference, der vedtog Lissabontraktaten, erkendte konferencen, at det kan blive nødvendigt med specifikke regler om beskyttelse af personoplysninger og om fri udveksling af personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde baseret på artikel 16 i TEUF som følge af disse områders specifikke karakter. Et særskilt kapitel i denne forordning med generelle regler bør derfor finde anvendelse på behandling af operationelle personoplysninger, såsom personoplysninger, der behandles med henblik på strafferetlig efterforskning i Unionens organer, kontorer eller agenturer ved udførelsen af aktiviteter inden for retligt samarbejde i straffesager og politisamarbejde.
(10)
Direktiv (EU) 2016/680 fastsætter harmoniserede regler om beskyttelse og fri udveksling af personoplysninger, der behandles med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed. For at sikre det samme beskyttelsesniveau for fysiske personer gennem rettigheder, der kan håndhæves i hele Unionen, og forhindre forskelle, der hæmmer udvekslingen af personoplysninger mellem Unionens organer, kontorer eller agenturer ved udførelsen af aktiviteter, der henhører under tredje del, afsnit V, kapitel 4 eller kapitel 5, i TEUF, og kompetente myndigheder, bør reglerne om beskyttelse og fri udveksling af operationelle personoplysninger, der behandles af sådanne af Unionens organer, kontorer eller agenturer, stemme overens med direktiv (EU) 2016/680.
(11)
De generelle regler i denne forordnings kapitel vedrørende behandling af operationelle personoplysninger bør finde anvendelse med forbehold af de særlige regler, der gælder for behandling af operationelle personoplysninger i Unionens organer, kontorer og agenturer ved udførelsen af aktiviteter, der henhører under tredje del, afsnit V, kapitel 4 eller kapitel 5, i TEUF. Sådanne særlige regler bør betragtes som lex specialis i forhold til bestemmelserne i denne forordnings kapitel om behandling af operationelle personoplysninger (lex specialis derogat legi generali). Med henblik på at begrænse retlig fragmentering bør specifikke databeskyttelsesregler, der finder anvendelse på behandling af operationelle personoplysninger i Unionens organer, kontorer eller agenturer ved udførelsen af aktiviteter, der henhører under tredje del, afsnit V, kapitel 4 eller kapitel 5, i TEUF, stemme overens med de principper, der ligger til grund for denne forordnings kapitel om behandling af operationelle personoplysninger, samt med denne forordnings bestemmelser vedrørende uafhængigt tilsyn, retsmidler, ansvar og sanktioner.
(12)
Denne forordnings kapitel i om behandling af operationelle personoplysninger bør finde anvendelse på Unionens organer, kontorer og agenturer ved udførelse af aktiviteter, der henhører under tredje del, afsnit V, kapitel 4 eller kapitel 5, i TEUF, uanset om de udøver sådanne aktiviteter som deres primære eller accessoriske opgave, med henblik på at forebygge, afsløre, efterforske eller retsforfølge strafbare handlinger. Det bør dog ikke finde anvendelse på Europol eller på Den Europæiske Anklagemyndighed, førend retsakterne vedrørende oprettelsen af Europol og Den Europæiske Anklagemyndighed er blevet ændret, således at denne forordnings kapitel om behandling af operationelle personoplysninger, som tilpasset, finder anvendelse på dem.
(13)
Kommissionen bør foretage en evaluering af denne forordning, navnlig denne forordnings kapitel om behandling af operationelle personoplysninger. Kommissionen bør også foretage en evaluering af andre retsakter, som er vedtaget på grundlag af traktaterne, og som regulerer behandlingen af operationelle personoplysninger i Unionens organer, kontorer eller agenturer ved udførelsen af aktiviteter, der henhører under tredje del, afsnit V, kapitel 4 eller kapitel 5, i TEUF. Efter en sådan evaluering bør Kommissionen have mulighed for at forelægge hensigtsmæssige lovgivningsforslag, herunder om nødvendige tilpasninger af denne forordnings kapitel om behandling af operationelle personoplysninger, for at sikre en ensartet og konsekvent beskyttelse af fysiske personer med hensyn til behandling af personoplysninger og med henblik på at anvende nævnte kapitel på Europol og Den Europæiske Anklagemyndighed. Tilpasningerne bør tage hensyn til bestemmelserne om uafhængigt tilsyn, retsmidler, ansvar og sanktioner.
(14)
Behandlingen af administrative personoplysninger, såsom personaleoplysninger, i Unionens organer, kontorer eller agenturer ved udførelsen af aktiviteter, der henhører under tredje del, afsnit V, kapitel 4 eller kapitel 5, i TEUF, bør være omfattet af denne forordning.
(15)
Denne forordning bør finde anvendelse på behandling af personoplysninger i Unionens institutioner, organer, kontorer eller agenturer ved udførelsen af aktiviteter, der henhører under afsnit V, kapitel 2, i traktaten om Den Europæiske Union (TEU). Denne forordning bør ikke finde anvendelse på behandling af personoplysninger i de missioner, der er omhandlet i artikel 42, stk. 1, og artikel 43 og 44 i TEU, der gennemfører den fælles sikkerheds- og forsvarspolitik. Om nødvendigt bør der fremsættes relevante forslag med henblik på yderligere regulering af behandlingen af personoplysninger inden for den fælles sikkerheds- og forsvarspolitik.
(16)
Principperne om databeskyttelse bør gælde for alle oplysninger om en identificeret eller identificerbar fysisk person. Personoplysninger, der har været genstand for pseudonymisering, og som kan henføres til en fysisk person ved brug af supplerende oplysninger, bør anses for at være oplysninger om en identificerbar fysisk person. For at afgøre, om en fysisk person er identificerbar, bør alle midler tages i betragtning, der med rimelighed kan tænkes bragt i anvendelse af den dataansvarlige eller en anden person til direkte eller indirekte at identificere, herunder udpege, den pågældende. For at fastslå, om midler med rimelighed kan tænkes bragt i anvendelse til at identificere en fysisk person, bør alle objektive forhold tages i betragtning, såsom de omkostninger og den tid, der er nødvendig til identifikation, under hensyntagen til den tilgængelige teknologi på behandlingstidspunktet og den teknologiske udvikling. Principperne om databeskyttelse bør derfor ikke gælde for anonyme oplysninger, dvs. oplysninger der ikke vedrører en identificeret eller identificerbar fysisk person, eller for personoplysninger, som er gjort anonyme på en sådan måde, at den registrerede ikke eller ikke længere kan identificeres. Denne forordning vedrører derfor ikke behandling af sådanne anonyme oplysninger, herunder til statistiske eller forskningsmæssige formål.
(17)
Anvendelsen af pseudonymisering af personoplysninger kan mindske risikoen for de berørte registrerede og gøre det lettere for dataansvarlige og databehandlere at opfylde deres databeskyttelsesforpligtelser. Det er ikke tanken med den udtrykkelige indførelse af »pseudonymisering« i denne forordning at udelukke andre databeskyttelsesforanstaltninger.
(18)
Fysiske personer kan tilknyttes onlineidentifikatorer, som tilvejebringes af deres enheder, applikationer, værktøjer og protokoller, såsom IP-adresser og cookieidentifikatorer, eller andre identifikatorer, såsom radiofrekvensidentifikationsmærker. Dette kan efterlade spor, der, navnlig når de kombineres med unikke identifikatorer og andre oplysninger, som serverne modtager, kan bruges til at oprette profiler om fysiske personer og identificere dem.
(19)
Samtykke bør gives i form af en klar bekræftelse, der indebærer en frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved vedkommende accepterer, at personoplysninger om vedkommende behandles, f.eks. ved en skriftlig erklæring, herunder elektronisk, eller en mundtlig erklæring. Dette kan f.eks. foregå ved at sætte kryds i et felt ved besøg på et websted, ved valg af tekniske indstillinger til informationssamfundstjenester eller en anden erklæring eller handling, der i denne forbindelse tydeligt tilkendegiver den registreredes accept af den foreslåede behandling af vedkommendes personoplysninger. Tavshed, forudafkrydsede felter eller inaktivitet bør derfor ikke udgøre samtykke. Samtykke bør dække alle behandlingsaktiviteter, der udføres til det eller de samme formål. Når behandling tjener flere formål, bør der gives samtykke til dem alle. Hvis den registreredes samtykke skal gives efter en elektronisk anmodning, skal anmodningen være klar, kortfattet og ikke unødigt forstyrre brugen af den tjeneste, som samtykke gives til. Samtidig bør den registrerede til enhver tid kunne trække samtykket tilbage, uden at dette berører lovligheden af den behandling, der er baseret på samtykke inden tilbagetrækning heraf. Med henblik på at sikre, at der frivilligt er givet samtykke, bør samtykke ikke udgøre et gyldigt retsgrundlag for behandling af personoplysninger i et specifikt tilfælde, hvis der er en klar skævhed mellem den registrerede og den dataansvarlige, og det derfor er usandsynligt, at samtykket er givet frivilligt under hensyntagen til alle de omstændigheder, der kendetegner den specifikke situation. Det er ofte ikke muligt fuldt ud at fastlægge formålet med behandling af personoplysninger til videnskabelige forskningsformål, når oplysninger indsamles. De registrerede bør derfor kunne give deres samtykke til bestemte videnskabelige forskningsområder, når dette er i overensstemmelse med anerkendte etiske standarder for videnskabelig forskning. Registrerede bør have mulighed for kun at give deres samtykke til bestemte forskningsområder eller dele af forskningsprojekter i det omfang, det tilsigtede formål tillader det.
(20)
Enhver behandling af personoplysninger bør være lovlig og rimelig. Det bør være gennemsigtigt for de pågældende fysiske personer, at personoplysninger, der vedrører dem, indsamles, anvendes, tilgås eller på anden vis behandles, og i hvilket omfang personoplysningerne behandles eller vil blive behandlet. Princippet om gennemsigtighed tilsiger, at enhver information og kommunikation vedrørende behandling af disse personoplysninger er lettilgængelig og letforståelig, og at der benyttes et klart og enkelt sprog. Dette princip vedrører navnlig oplysningen til de registrerede om den dataansvarliges identitet og formålene med den pågældende behandling samt yderligere oplysninger for at sikre en rimelig og gennemsigtig behandling for de berørte fysiske personer og deres ret til at få bekræftelse og meddelelse om de personoplysninger vedrørende dem, der behandles. Fysiske personer bør gøres bekendt med risici, regler, garantier og rettigheder i forbindelse med behandling af personoplysninger og med, hvordan de skal udøve deres rettigheder i forbindelse med en sådan behandling. Især bør de specifikke formål med behandlingen af personoplysninger være udtrykkelige og legitime og fastlagt, når personoplysningerne indsamles. Personoplysningerne bør være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til formålene med deres behandling. Dette kræver navnlig, at det sikres, at perioden for opbevaring af personoplysningerne ikke er længere end strengt nødvendigt. Personoplysninger bør kun behandles, hvis formålet med behandlingen ikke med rimelighed kan opfyldes på anden måde. For at sikre, at personoplysninger ikke opbevares i længere tid end nødvendigt, bør den dataansvarlige indføre tidsfrister for sletning eller periodisk gennemgang. Der bør træffes enhver rimelig foranstaltning for at sikre, at personoplysninger, som er urigtige, berigtiges eller slettes. Personoplysninger bør behandles på en måde, der garanterer tilstrækkelig sikkerhed og fortrolighed, herunder for at hindre uautoriseret adgang til eller anvendelse af personoplysninger eller af det udstyr, der anvendes til behandlingen, og for at hindre offentliggørelse under deres fremsendelse.
(21)
I overensstemmelse med princippet om ansvarlighed bør Unionens institutioner og organer, når de fremsender personoplysninger inden for den eller det samme af Unionens institutioner eller organer, og når modtageren ikke er en del af den dataansvarlige, eller til andre af Unionens institutioner eller organer, kontrollere, om sådanne personoplysninger kræves for den lovlige udførelse af opgaver, der henhører under modtagerens kompetence. Efter at en modtager har anmodet om fremsendelse af personoplysninger, bør den dataansvarlige navnlig kontrollere, om der foreligger en relevant begrundelse for lovlig behandling af personoplysninger, samt modtagerens kompetence. Den dataansvarlige bør også foretage en foreløbig vurdering af nødvendigheden af fremsendelsen af oplysningerne. Hvis der opstår tvivl om nødvendigheden, bør den dataansvarlige indhente yderligere oplysninger hos modtageren. Modtageren bør sikre, at nødvendigheden af fremsendelsen af oplysningerne efterfølgende kan kontrolleres.
(22)
For at behandling kan betragtes som lovlig, bør personoplysninger behandles på grundlag af nødvendigheden af at udføre en opgave, som udføres i samfundets interesse af Unionens institutioner og organer eller under deres offentlige myndighedsudøvelse, nødvendigheden af at overholde en retlig forpligtelse, som påhviler den dataansvarlige, eller et andet legitimt grundlag i henhold til denne forordning, herunder den registreredes samtykke, nødvendigheden af at opfylde en kontrakt, som den registrerede er part i, eller af hensyn til foranstaltninger, der træffes på dennes anmodning forud for indgåelse af en sådan kontrakt. Behandling af personoplysninger, som finder sted med henblik på udførelse af de opgaver, som Unionens institutioner og organer udfører i samfundets interesse, omfatter behandling af personoplysninger, der er nødvendig for disse institutioners og organers forvaltning og funktion. Behandling af personoplysninger, der er nødvendig for at beskytte en interesse af fundamental betydning for den registreredes eller en anden fysisk persons liv, bør ligeledes anses for lovlig. Behandling af personoplysninger på grundlag af en anden fysisk persons vitale interesser bør i princippet kun finde sted, hvis behandlingen tydeligvis ikke kan baseres på et andet retsgrundlag. Nogle typer behandling kan tjene både vigtige samfundsmæssige interesser og den registreredes vitale interesser, f.eks. når behandling er nødvendig af humanitære årsager, herunder med henblik på at overvåge epidemier og deres spredning eller i humanitære nødsituationer, navnlig i tilfælde af naturkatastrofer og menneskeskabte katastrofer.
(23)
Den EU-ret, der er omhandlet i denne forordning, bør være klar og præcis, og dens anvendelse bør være forudsigelig for personer, der er omfattet af den, jf. kravene i chartret og den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder.
(24)
De interne regler, der er omhandlet i denne forordning, bør have form af klare og præcise almengyldige retsakter med retsvirkning over for registrerede. De bør vedtages på højeste forvaltningsniveau i Unionens institutioner og organer inden for rammerne af disses beføjelser og i spørgsmål vedrørende disses funktion. De bør offentliggøres i 
Den Europæiske Unions Tidende
. Anvendelsen af disse regler bør være forudsigelig for personer, der er omfattet af dem, i overensstemmelse med kravene i chartret og den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder. Interne regler kan have form af afgørelser, navnlig når de vedtages af Unionens institutioner.
(25)
Behandling af personoplysninger til andre formål end de formål, som personoplysningerne oprindelig blev indsamlet til, bør kun tillades, hvis behandlingen er forenelig med de formål, som personoplysningerne oprindelig blev indsamlet til. I dette tilfælde kræves der ikke andet retsgrundlag end det, der begrundede indsamlingen af personoplysningerne. Hvis behandling er nødvendig for at udføre en opgave i samfundets interesse eller henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt, kan EU-retten fastsætte og præcisere de opgaver og formål, hvortil det bør være foreneligt og lovligt at foretage viderebehandling. Viderebehandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål bør anses for at være forenelige lovlige behandlingsaktiviteter. Retsgrundlaget i EU-retten for behandling af personoplysninger kan også udgøre et retsgrundlag for viderebehandling. For at fastslå, om et formål med viderebehandling er foreneligt med det formål, som personoplysningerne oprindelig blev indsamlet til, bør den dataansvarlige efter at have opfyldt alle kravene til lovligheden af den oprindelige behandling bl.a. tage hensyn til enhver forbindelse mellem disse formål og formålet med den påtænkte viderebehandling, den sammenhæng, som personoplysningerne er blevet indsamlet i, navnlig de registreredes rimelige forventninger til den videre anvendelse heraf på grundlag af deres forhold til den dataansvarlige, personoplysningernes art, konsekvenserne af den påtænkte viderebehandling for de registrerede og tilstedeværelse af fornødne garantier i forbindelse med både de oprindelige og de påtænkte yderligere behandlingsaktiviteter.
(26)
Hvis behandling er baseret på den registreredes samtykke, bør den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandlingen. Navnlig i forbindelse med skriftlige erklæringer om andre forhold bør garantier sikre, at den registrerede er bekendt med, at og i hvilket omfang der er givet samtykke. I overensstemmelse med Rådets direktiv 93/13/EØF 
(
6
)
 bør der stilles en samtykkeerklæring, som er udformet af den dataansvarlige, til rådighed i en letforståelig og lettilgængelig form og i et klart og enkelt sprog, og den bør ikke indeholde urimelige vilkår. For at sikre, at samtykket er informeret, bør den registrerede som minimum være bekendt med den dataansvarliges identitet og formålene med den behandling, som personoplysningerne skal bruges til. Samtykke bør ikke anses for at være givet frivilligt, hvis den registrerede ikke har et reelt eller frit valg eller ikke kan afvise eller trække sit samtykke tilbage, uden at det er til skade for den pågældende.
(27)
Børn bør nyde særlig beskyttelse af deres personoplysninger, eftersom de ofte er mindre bevidste om de pågældende risici, konsekvenser og garantier og deres rettigheder for så vidt angår behandling af personoplysninger. En sådan særlig beskyttelse bør navnlig gælde for oprettelse af personlighedsprofiler og indsamling af personoplysninger vedrørende børn, når der anvendes tjenester, der tilbydes direkte til et barn på websteder tilhørende Unionens institutioner og organer såsom kommunikationstjenester direkte mellem mennesker eller onlinesalg af billetter, og behandlingen af personoplysninger er baseret på samtykke.
(28)
Når andre modtagere etableret i Unionen end Unionens institutioner og organer ønsker at få fremsendt personoplysninger til dem fra Unionens institutioner og organer, bør disse modtagere påvise, at det er nødvendigt at få oplysningerne fremsendt enten af hensyn til udførelsen af en opgave, der udføres i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som de har fået pålagt. Alternativt bør disse modtagere påvise, at fremsendelsen er nødvendig for et specifikt formål i samfundets interesse, og den dataansvarlige bør fastslå, om der er nogen grund til at formode, at det vil skade den registreredes legitime interesser. I sådanne tilfælde bør den dataansvarlige påviseligt afveje de forskellige foreliggende interesser med henblik på at vurdere forholdsmæssigheden af den anmodede fremsendelse af personoplysninger. Det specifikke formål i samfundets interesse kan vedrøre gennemsigtigheden i Unionens institutioner og organer. Unionens institutioner og organer bør endvidere i overensstemmelse med princippet om gennemsigtighed og god forvaltningsskik godtgøre, at dette er nødvendigt, når de selv indleder en fremsendelse. Kravene i denne forordning til fremsendelse til andre modtagere etableret i Unionen end Unionens institutioner og organer bør betragtes som et supplement til betingelserne for lovlig behandling.
(29)
Personoplysninger, der i kraft af deres karakter er særligt følsomme i forhold til grundlæggende rettigheder og frihedsrettigheder, bør nyde specifik beskyttelse, da den sammenhæng, som behandlingen af dem indgår i, kunne indebære betydelige risici for grundlæggende rettigheder og frihedsrettigheder. Sådanne personoplysninger bør ikke behandles, medmindre de særlige betingelser fastsat i denne forordning er opfyldt. Disse personoplysninger bør omfatte personoplysninger om race eller etnisk oprindelse, idet anvendelsen af udtrykket »race« i denne forordning ikke betyder, at Unionen accepterer teorier, der søger at fastslå, at der findes forskellige menneskeracer. Behandling af fotografier bør ikke systematisk anses for at være behandling af særlige kategorier af personoplysninger, eftersom de kun vil være omfattet af definitionen af biometriske data, når de behandles ved en specifik teknisk fremgangsmåde, der muliggør entydig identifikation eller autentifikation af en fysisk person. Foruden de specifikke krav til behandling af følsomme oplysninger bør de generelle principper og andre regler i denne forordning finde anvendelse, navnlig for så vidt angår betingelserne for lovlig behandling. Der bør udtrykkeligt gives mulighed for undtagelser fra det generelle forbud mod behandling af sådanne særlige kategorier af personoplysninger, bl.a. hvis den registrerede giver sit udtrykkelige samtykke eller for så vidt angår specifikke behov, navnlig hvis behandling foretages i forbindelse med visse sammenslutningers eller stiftelsers legitime aktiviteter, hvis formål er at muliggøre udøvelse af grundlæggende frihedsrettigheder.
(30)
Særlige kategorier af personoplysninger, som bør nyde højere beskyttelse, bør kun behandles til sundhedsmæssige formål, hvor det er nødvendigt for at opfylde disse formål til gavn for fysiske personer og samfundet som helhed, navnlig i forbindelse med forvaltning af sundheds- eller socialydelser og -systemer. Denne forordning bør derfor fastsætte harmoniserede betingelser for behandling af særlige kategorier af personoplysninger om helbredsforhold for så vidt angår specifikke behov, navnlig hvis behandlingen af sådanne oplysninger foretages til visse sundhedsmæssige formål af personer, der er underlagt tavshedspligt. EU-retten bør omfatte specifikke og passende foranstaltninger til at beskytte fysiske personers grundlæggende rettigheder og personoplysninger.
(31)
Behandling af særlige kategorier af personoplysninger kan være nødvendig af hensyn til samfundsinteresser hvad angår folkesundhed uden den registreredes samtykke. En sådan behandling bør være underlagt passende og specifikke foranstaltninger med henblik på at beskytte fysiske personers rettigheder og frihedsrettigheder. I denne sammenhæng fortolkes »folkesundhed« som defineret i Europa-Parlamentets og Rådets forordning (EF) nr. 1338/2008 
(
7
)
, dvs. alle elementer vedrørende sundhed, nemlig helbredstilstand, herunder sygelighed og invaliditet, determinanter med en indvirkning på helbredstilstanden, behov for sundhedspleje, ressourcer tildelt sundhedsplejen, ydelse af og almen adgang til sundhedspleje, udgifter til og finansiering af sundhedspleje samt dødsårsager. Sådan behandling af helbredsoplysninger af hensyn til samfundsinteresser bør ikke medføre, at personoplysninger behandles til andre formål.
(32)
Hvis de personoplysninger, der behandles af en dataansvarlig, ikke sætter den dataansvarlige i stand til at identificere en fysisk person, bør den dataansvarlige ikke være forpligtet til at indhente yderligere oplysninger for at identificere den registrerede udelukkende med det formål at overholde bestemmelserne i denne forordning. Den dataansvarlige bør dog ikke nægte at tage imod yderligere oplysninger fra den registrerede, som den pågældende giver med henblik på udøvelsen af sine rettigheder. Identifikation bør omfatte digital identifikation af en registreret, f.eks. gennem en autentifikationsmekanisme, såsom de samme legitimationsoplysninger som dem, den registrerede anvender til at logge på den onlinetjeneste, der tilbydes af den dataansvarlige.
(33)
Behandling af personoplysninger til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål bør være omfattet af fornødne garantier for den registreredes rettigheder og frihedsrettigheder i henhold til denne forordning. Disse garantier bør sikre, at der er truffet tekniske og organisatoriske foranstaltninger til især at sikre princippet om dataminimering. Viderebehandling af personoplysninger til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål skal foretages, når den dataansvarlige har vurderet muligheden for at opfylde disse formål ved at behandle oplysninger, som ikke gør det muligt eller ikke længere gør det muligt at identificere de registrerede, forudsat at de fornødne garantier foreligger (som f.eks. pseudonymisering af oplysninger). Unionens institutioner og organer bør sikre de fornødne garantier for behandling af personoplysninger til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i EU-retten, der kan omfatte interne regler vedtaget af Unionens institutioner og organer i spørgsmål vedrørende deres funktion.
(34)
Der bør fastsættes nærmere regler, som kan lette udøvelsen af de registreredes rettigheder i henhold til denne forordning, herunder mekanismer til at anmode om og i givet fald opnå navnlig gratis indsigt i og berigtigelse eller sletning af personoplysninger og udøvelsen af retten til indsigelse. Den dataansvarlige bør også give mulighed for elektroniske anmodninger, navnlig hvis personoplysninger behandles elektronisk. Den dataansvarlige bør være forpligtet til at besvare sådanne anmodninger fra en registreret uden unødig forsinkelse og senest inden for en måned og begrunde det, hvis vedkommende ikke agter at imødekomme sådanne anmodninger.
(35)
Principperne om rimelig og gennemsigtig behandling kræver, at den registrerede underrettes om behandlingsaktiviteters eksistens og deres formål. Den dataansvarlige bør give den registrerede eventuelle yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling, under hensyntagen til de specifikke omstændigheder og forhold, som personoplysningerne behandles under. Den registrerede bør desuden underrettes om tilstedeværelse af profilering og konsekvenserne heraf. Hvis personoplysninger indsamles fra den registrerede, bør den registrerede også underrettes om, hvorvidt den pågældende er forpligtet til at meddele personoplysningerne, og om konsekvenserne, hvis vedkommende ikke meddeler sådanne oplysninger. Denne information kan gives sammen med standardiserede ikoner med henblik på at give et meningsfuldt overblik over den planlagte behandling på en klart synlig, letlæselig og letforståelig måde. Hvis ikonerne præsenteres elektronisk, bør de være maskinlæsbare.
(36)
Oplysninger om behandling af personoplysninger bør gives til den registrerede på tidspunktet for indsamlingen fra den registrerede, eller hvis personoplysningerne indhentes fra en anden kilde, inden for en rimelig periode afhængigt af de konkrete omstændigheder. Hvis personoplysninger lovligt kan videregives til en anden modtager, bør den registrerede underrettes, når personoplysningerne første gang videregives til modtageren. Hvis den dataansvarlige agter at behandle personoplysningerne til et andet formål end det, hvortil de er indsamlet, bør den dataansvarlige forud for denne viderebehandling give den registrerede oplysninger om dette andet formål og andre nødvendige oplysninger. Hvis den registrerede ikke kan informeres om personoplysningernes oprindelse, fordi der er anvendt forskellige kilder, bør der gives generelle oplysninger.
(37)
En registreret bør have ret til indsigt i personoplysninger, der er indsamlet om vedkommende, og til let og med rimelige mellemrum at udøve denne ret med henblik på at forvisse sig om og kontrollere behandlingens lovlighed. Dette omfatter de registreredes ret til indsigt i deres helbredsoplysninger, f.eks. data i deres lægejournaler om diagnoser, undersøgelsesresultater, lægelige vurderinger samt enhver behandling og ethvert indgreb, der er foretaget. Enhver registreret bør derfor have ret til at kende og blive underrettet om navnlig de formål, hvortil personoplysningerne behandles, om muligt perioden, hvor personoplysningerne behandles, modtagerne af personoplysningerne, logikken bag en automatisk behandling af personoplysninger, og om konsekvenserne af sådan behandling, i det mindste når den er baseret på profilering. Denne ret bør ikke krænke andres rettigheder eller frihedsrettigheder, herunder forretningshemmeligheder eller intellektuel ejendomsret, navnlig den ophavsret, som programmerne er beskyttet af. Denne vurdering bør dog ikke resultere i en afvisning af at give al information til den registrerede. Hvis den dataansvarlige behandler en stor mængde oplysninger om den registrerede, bør den dataansvarlige kunne anmode om, at den registrerede, inden informationen gives, præciserer den information eller de behandlingsaktiviteter, som anmodningen vedrører.
(38)
En registreret bør have ret til at få berigtiget sine personoplysninger og »ret til at blive glemt«, hvis opbevaringen af sådanne oplysninger overtræder denne forordning eller EU-ret, som den dataansvarlige er underlagt. En registreret bør have ret til at få sine personoplysninger slettet og ikke længere behandlet, hvis personoplysningerne ikke længere er nødvendige til de formål, hvortil de er blevet indsamlet eller på anden måde behandlet, hvis en registreret har trukket sit samtykke tilbage eller gør indsigelse mod behandling af personoplysninger om vedkommende, eller hvis behandlingen af vedkommendes personoplysninger i øvrigt ikke er i overensstemmelse med denne forordning. Denne ret er navnlig relevant, når den registrerede har givet sit samtykke som barn og ikke fuldt ud var bekendt med risiciene i forbindelse med behandlingen og senere ønsker at fjerne sådanne personoplysninger, særligt på internettet. Den registrerede bør kunne udøve denne ret, selv om vedkommende ikke længere er et barn. Yderligere opbevaring af personoplysningerne bør dog være lovlig, hvis det er nødvendigt for at udøve retten til ytrings- og informationsfrihed, for at overholde en retlig forpligtelse, for udførelsen af en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt, af hensyn til samfundsinteresser på folkesundhedsområdet, til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller statistiske formål, eller for at retskrav kan fastlægges, gøres gældende eller forsvares.
(39)
For at styrke retten til at blive glemt i onlinemiljøet bør retten til sletning udvides, så en dataansvarlig, der har offentliggjort personoplysninger, forpligtes til at underrette de dataansvarlige, der behandler sådanne personoplysninger, med henblik på at få slettet alle link til, kopier af eller gengivelser af disse personoplysninger. I den forbindelse bør den dataansvarlige tage rimelige skridt under hensyntagen til den tilgængelige teknologi og de midler, som den dataansvarlige har til sin rådighed, herunder tekniske foranstaltninger, til at informere de dataansvarlige, der behandler personoplysningerne, om den registreredes anmodning.
(40)
Metoder til at begrænse behandlingen af personoplysninger kan bl.a. indebære, at udvalgte oplysninger midlertidig flyttes til et andet behandlingssystem, at udvalgte personoplysninger gøres utilgængelige for brugere, eller at offentliggjorte oplysninger midlertidig fjernes fra et websted. I automatiske registre bør begrænsning af behandling i princippet sikres ved hjælp af tekniske midler på en sådan måde, at personoplysningerne ikke kan viderebehandles og ikke kan ændres. Det forhold, at behandling af personoplysninger er begrænset, bør angives tydeligt i systemet.
(41)
For at give den registrerede øget kontrol over sine personoplysninger bør vedkommende, når behandling af personoplysninger foretages automatisk, også kunne modtage personoplysninger om sig selv, som vedkommende har givet til en dataansvarlig, i et struktureret, almindeligt anvendt, maskinlæsbart og indbyrdes kompatibelt format og kunne fremsende dem til en anden dataansvarlig. Dataansvarlige bør opfordres til at udvikle indbyrdes kompatible formater, der muliggør dataportabilitet. Denne ret bør gælde, hvis den registrerede har givet personoplysningerne på grundlag af sit samtykke, eller hvis behandlingen er nødvendig for opfyldelsen af en kontrakt. Derfor bør den ikke gælde, hvis behandlingen af personoplysninger er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige, eller for at udføre en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. Den registreredes ret til at fremsende eller modtage personoplysninger vedrørende sig selv bør ikke skabe en forpligtelse for de dataansvarlige til at indføre eller opretholde behandlingssystemer, som er teknisk kompatible. Såfremt et sæt personoplysninger vedrører mere end én registreret, bør retten til at modtage personoplysningerne ikke berøre andre registreredes rettigheder og frihedsrettigheder i overensstemmelse med denne forordning. Denne ret bør endvidere ikke berøre den registreredes ret til at få slettet personoplysninger og begrænsningerne i denne ret som fastsat i denne forordning og bør navnlig ikke indebære, at personoplysninger, som den registrerede har givet til opfyldelse af en kontrakt, slettes, i det omfang og så længe personoplysningerne er nødvendige for opfyldelse af kontrakten. Hvis det er teknisk muligt, bør den registrerede have ret til at få personoplysningerne fremsendt direkte fra en dataansvarlig til en anden.
(42)
Hvis personoplysninger kan behandles lovligt, fordi behandling er nødvendig for at udføre en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt, bør en registreret ikke desto mindre have ret til at gøre indsigelse mod behandling af personoplysninger på baggrund af den pågældendes særlige situation. Det bør være op til den dataansvarlige at påvise, at dennes vægtige legitime interesse går forud for den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder.
(43)
Den registrerede bør have ret til ikke at blive gjort til genstand for en afgørelse, der kan omfatte en foranstaltning, som evaluerer personlige forhold vedrørende vedkommende, og som alene bygger på automatisk behandling, og som har retsvirkning eller som på tilsvarende vis i betydelig grad påvirker den pågældende, såsom e-rekrutteringsprocedurer uden nogen menneskelig indgriben. En sådan behandling omfatter »profilering«, der består af enhver form for automatisk behandling af personoplysninger, der evaluerer de personlige forhold vedrørende en fysisk person, navnlig for at analysere eller forudsige forhold vedrørende den registreredes arbejdsindsats, økonomiske situation, helbred, personlige præferencer eller interesser, pålidelighed eller adfærd eller geografiske position eller bevægelser, når den har retsvirkning for den pågældende eller på tilsvarende vis i betydelig grad påvirker den pågældende.
Afgørelser baseret på en sådan behandling, herunder profilering, bør dog være tilladt, når EU-retten udtrykkeligt tillader det. En sådan behandling bør under alle omstændigheder være omfattet af de fornødne garantier, herunder specifik underretning af den registrerede og retten til menneskelig indgriben, til at fremkomme med synspunkter, til at få en forklaring på den afgørelse, der er truffet efter en sådan evaluering, og til at bestride afgørelsen. En sådan foranstaltning bør ikke omfatte et barn. For at sikre en rimelig og gennemsigtig behandling for så vidt angår den registrerede under hensyntagen til de specifikke omstændigheder og forhold, som personoplysningerne behandles under, bør den dataansvarlige anvende passende matematiske eller statistiske procedurer til profileringen, gennemføre tekniske og organisatoriske foranstaltninger, der navnlig kan sikre, at faktorer, der resulterer i unøjagtige personoplysninger, bliver rettet, og at risikoen for fejl minimeres, samt sikre personoplysninger på en måde, der tager højde for de potentielle risici for den registreredes interesser og rettigheder og hindrer bl.a. forskelsbehandling af fysiske personer på grund af race eller etnisk oprindelse, politisk eller religiøs overbevisning, fagforeningsmæssigt tilhørsforhold, genetisk status eller helbredstilstand eller seksuel orientering, eller behandling som resulterer i foranstaltninger, der har en sådan virkning. Automatiske afgørelser og profilering baseret på særlige kategorier af personoplysninger bør kun tillades under særlige omstændigheder.
(44)
Retsakter vedtaget på grundlag af traktaterne eller interne regler vedtaget af Unionens institutioner og organer i spørgsmål vedrørende deres funktion kan pålægge restriktioner vedrørende specifikke principper og retten til oplysninger, indsigt i og berigtigelse eller sletning af personoplysninger, retten til dataportabilitet, fortroligheden af elektroniske kommunikationsdata samt underretning om et brud på persondatasikkerheden til en registreret og visse tilknyttede forpligtelser for de dataansvarlige, for så vidt det er nødvendigt og forholdsmæssigt i et demokratisk samfund af hensyn til den offentlige sikkerhed, og til forebyggelse, efterforskning og retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner. Dette omfatter beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed, beskyttelse af menneskeliv, især som reaktion på naturkatastrofer eller menneskeskabte katastrofer, intern sikkerhed i Unionens institutioner og organer, andre af Unionens eller en medlemsstats samfundsinteresser, navnlig målene med Unionens fælles udenrigs- og sikkerhedspolitik eller Unionens eller en medlemsstats vigtige økonomiske eller finansielle interesser, og føring af offentlige registre i offentlighedens interesse eller beskyttelse af den registrerede eller andres rettigheder og frihedsrettigheder, herunder social sikring, folkesundhed og humanitære formål.
(45)
Der bør fastsættes bestemmelser om den dataansvarliges ansvar, herunder erstatningsansvar, for enhver behandling af personoplysninger, der foretages af den dataansvarlige eller på den dataansvarliges vegne. Den dataansvarlige bør navnlig have pligt til at gennemføre passende og effektive foranstaltninger og til at påvise, at behandlingsaktiviteter overholder denne forordning, herunder foranstaltningernes effektivitet. Disse foranstaltninger bør tage højde for behandlingens karakter, omfang, sammenhæng og formål og risikoen for fysiske personers rettigheder og frihedsrettigheder.
(46)
Risiciene for fysiske personers rettigheder og frihedsrettigheder af varierende sandsynlighed og alvor kan opstå som følge af behandling af personoplysninger, der kan føre til fysisk, materiel eller immateriel skade, navnlig hvis behandlingen kan give anledning til forskelsbehandling, identitetstyveri eller -svig, finansielle tab, skade på omdømme, tab af fortrolighed for personoplysninger, der er omfattet af tavshedspligt, uautoriseret ophævelse af pseudonymisering eller andre betydelige økonomiske eller sociale konsekvenser, hvis de registrerede kan blive berøvet deres rettigheder og frihedsrettigheder eller forhindret i at udøve kontrol med deres personoplysninger, hvis der behandles personoplysninger, der viser race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, og behandling af genetiske data, helbredsoplysninger eller oplysninger om seksuelle forhold eller straffedomme og lovovertrædelser eller tilknyttede sikkerhedsforanstaltninger, hvis personlige forhold evalueres, navnlig analyse eller forudsigelse af forhold vedrørende indsats på arbejdspladsen, økonomisk situation, helbred, personlige præferencer eller interesser, pålidelighed eller adfærd eller geografisk position eller bevægelser, med henblik på at oprette eller anvende personlige profiler, hvis der behandles personoplysninger om sårbare fysiske personer, navnlig børn, eller hvis behandlingen omfatter en stor mængde personoplysninger og berører et stort antal registrerede.
(47)
Risikoens sandsynlighed og alvor for så vidt angår den registreredes rettigheder og frihedsrettigheder bør bestemmes med henvisning til behandlingens karakter, omfang, sammenhæng og formål. Risikoen bør evalueres på grundlag af en objektiv vurdering, hvorved det fastslås, om databehandlingsaktiviteter indebærer en risiko eller en høj risiko.
(48)
Beskyttelse af fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger kræver, at der træffes passende tekniske og organisatoriske foranstaltninger for at sikre, at denne forordnings krav er opfyldt. For at kunne påvise overholdelse af denne forordning bør den dataansvarlige vedtage interne politikker og gennemføre foranstaltninger, som især lever op til principperne om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger. Sådanne foranstaltninger kan bl.a. bestå i minimering af behandlingen af personoplysninger, pseudonymisering af personoplysninger så hurtigt som muligt og gennemsigtighed for så vidt angår personoplysningers funktion og behandling, således at den registrerede kan føre tilsyn med databehandlingen, og den dataansvarlige kan tilvejebringe og forbedre sikkerhedselementer. Der bør også tages hensyn til principperne om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger i forbindelse med offentlige udbud.
(49)
Forordning (EU) 2016/679 giver dataansvarlige mulighed for at påvise overholdelse ved at overholde godkendte certificeringsmekanismer. Tilsvarende bør Unionens institutioner og organer kunne påvise overholdelse af nærværende forordning ved at opnå certificering i henhold til artikel 42 i forordning (EU) 2016/679.
(50)
Beskyttelse af registreredes rettigheder og frihedsrettigheder samt de dataansvarliges og databehandlernes ansvar og erstatningsansvar kræver en klar fordeling af ansvarsområderne i medfør af denne forordning, herunder når en dataansvarlig fastlægger formålene med og hjælpemidlerne til behandling sammen med andre dataansvarlige, eller når en behandlingsaktivitet foretages på vegne af en dataansvarlig.
(51)
Med henblik på at sikre overholdelse af kravene i denne forordning i forbindelse med behandling, der foretages af en databehandler på vegne af den dataansvarlige, når databehandleren overdrages behandlingsaktiviteter, bør den dataansvarlige udelukkende benytte sig af databehandlere, der giver tilstrækkelige garantier, navnlig i form af ekspertise, pålidelighed og ressourcer, for implementering af tekniske og organisatoriske foranstaltninger, der opfylder kravene i denne forordning, herunder med hensyn til behandlingssikkerhed. Databehandleres, bortset fra Unionens institutioners og organers, overholdelse af en godkendt adfærdskodeks eller en godkendt certificeringsmekanisme kan bruges som et element til at påvise, at den dataansvarlige overholder sine forpligtelser. Bestemmelserne om behandling ved andre databehandlere end Unionens institutioner eller organer bør fastsættes i en kontrakt eller, hvis Unionens institutioner eller organer fungerer som databehandlere, i en kontrakt eller et andet retligt dokument i henhold til EU-retten, der binder databehandleren til den dataansvarlige, og hvori behandlingens genstand og varighed, behandlingens karakter og formål, typen af personoplysninger og kategorierne af registrerede er fastsat, idet der tages hensyn til databehandleres specifikke opgaver og ansvar i forbindelse med den behandling, der skal foretages, og risikoen for den registreredes rettigheder og frihedsrettigheder. Den dataansvarlige og databehandleren bør være i stand til at vælge at anvende en individuel kontrakt eller standardkontraktbestemmelser, der er vedtaget enten direkte af Kommissionen eller af Den Europæiske Tilsynsførende for Databeskyttelse og derefter vedtaget af Kommissionen. Databehandleren bør efter den dataansvarliges valg tilbagelevere eller slette de pågældende personoplysninger efter afslutning af den behandling, der er foretaget på vegne af den dataansvarlige, medmindre EU-retten eller medlemsstaternes nationale ret, som databehandleren er underlagt, indeholder et krav om opbevaring af disse personoplysninger.
(52)
For at påvise overholdelse af denne forordning bør de dataansvarlige føre fortegnelser over behandlingsaktiviteter, der henhører under deres ansvar, og databehandlerne bør føre fortegnelser over de kategorier af behandlingsaktiviteter, der henhører under deres ansvar. Unionens institutioner og organer bør have pligt til at samarbejde med Den Europæiske Tilsynsførende for Databeskyttelse og efter anmodning stille disse fortegnelser til rådighed for denne, så de kan bruges til at føre tilsyn med sådanne behandlingsaktiviteter. Medmindre dette ikke er hensigtsmæssigt under hensyntagen til den eller det pågældende af Unionens institutioners eller agenturers størrelse, bør Unionens -institutioner og organer kunne oprette en central fortegnelse over deres behandlingsaktiviteter. Af hensyn til gennemsigtigheden bør de også kunne offentliggøre en sådan fortegnelse.
(53)
For at opretholde sikkerheden og hindre behandling i strid med denne forordning bør den dataansvarlige eller databehandleren vurdere de risici, som en behandling indebærer, og gennemføre foranstaltninger, der kan begrænse disse risici, som f.eks. kryptering. Disse foranstaltninger bør under hensyntagen til det aktuelle tekniske niveau og implementeringsomkostningerne sikre et tilstrækkeligt sikkerhedsniveau, herunder fortrolighed, i forhold til risiciene og karakteren af de personoplysninger, der skal beskyttes. Ved vurderingen af datasikkerhedsrisikoen bør der tages hensyn til de risici, som behandling af personoplysninger indebærer, såsom hændelig eller ulovlig tilintetgørelse, tab, ændring eller uautoriseret fremsendelse af eller adgang til personoplysninger, der er fremsendt, opbevaret eller på anden måde behandlet, og som navnlig kan føre til fysisk, materiel eller immateriel skade.
(54)
Unionens institutioner og organer bør sikre fortroligheden af elektronisk kommunikation i overensstemmelse med artikel 7 i chartret. Unionens institutioner og organer bør navnlig garantere sikkerheden i forbindelse med deres elektroniske kommunikationsnetværk. De bør beskytte oplysninger vedrørende brugeres terminaludstyr med adgang til deres offentligt tilgængelige websteder og mobilapplikationer i overensstemmelse med Europa-Parlamentets og Rådets direktiv 2002/58/EF 
(
8
)
. De bør også beskytte brugernes personoplysninger opbevaret i brugerfortegnelser.
(55)
Et brud på persondatasikkerheden kan, hvis det ikke håndteres på en passende og rettidig måde, påføre fysiske personer fysisk, materiel eller immateriel skade. Så snart den dataansvarlige bliver bekendt med, at der er sket et brud på persondatasikkerheden, bør vedkommende derfor anmelde bruddet på persondatasikkerheden til Den Europæiske Tilsynsførende for Datasikkerhed uden unødig forsinkelse og om muligt senest 72 timer efter, at denne er blevet bekendt med det, medmindre den dataansvarlige i overensstemmelse med ansvarlighedsprincippet kan påvise, at bruddet på persondatasikkerheden sandsynligvis ikke indebærer risiko for fysiske personers rettigheder eller frihedsrettigheder. Hvis en sådan anmeldelse ikke kan ske inden for 72 timer, bør den ledsages af en begrundelse for forsinkelsen, og oplysningerne kan indgives trinvis uden unødig yderligere forsinkelse. Hvis en sådan forsinkelse er berettiget, bør mindre følsomme eller mindre specifikke oplysninger om bruddet offentliggøres snarest muligt, frem for at vente med at foretage anmeldelse, indtil den underliggende hændelse er løst fuldt og helt.
(56)
Den dataansvarlige bør underrette den registrerede om et brud på persondatasikkerheden uden unødig forsinkelse, når dette brud på persondatasikkerheden sandsynligvis vil indebære en høj risiko for den fysiske persons rettigheder og frihedsrettigheder, med henblik på at give vedkommende mulighed for at træffe de fornødne forholdsregler. Underretningen bør beskrive karakteren af bruddet på persondatasikkerheden og indeholde anbefalinger til den berørte fysiske person med henblik på at begrænse de mulige skadevirkninger. Sådanne underretninger til registrerede bør gives, så snart det med rimelighed er muligt, og i tæt samarbejde med Den Europæiske Tilsynsførende for Databeskyttelse i overensstemmelse med retningslinjer, der er udstukket af denne eller af andre relevante myndigheder, såsom retshåndhævende myndigheder.
(57)
Forordning (EF) nr. 45/2001 pålægger den dataansvarlige en generel forpligtelse til at anmelde behandlingen af personoplysninger til databeskyttelsesrådgiveren. Medmindre dette ikke er hensigtsmæssigt under hensyntagen til den eller det pågældende af Unionens institutioners eller agenturers størrelse skal databeskyttelsesrådgiveren føre en fortegnelse over anmeldte behandlingsaktiviteter. Ud over denne generelle forpligtelse bør der opstilles effektive procedurer og mekanismer til at overvåge behandlingsaktiviteter, der sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder som følge af deres karakter, omfang, sammenhæng og formål. Der bør navnlig også etableres sådanne procedurer, når typerne af behandlingsaktiviteter indebærer brug af ny teknologi eller er en ny form for aktivitet, hvor den dataansvarlige endnu ikke har foretaget en konsekvensanalyse vedrørende databeskyttelse, eller som er blevet nødvendige på grund af den tid, der er gået siden den oprindelige behandling. I sådanne tilfælde bør den dataansvarlige inden behandlingen foretage en konsekvensanalyse vedrørende databeskyttelse med henblik på at vurdere den høje risikos specifikke sandsynlighed og alvor under hensyntagen til behandlingens karakter, omfang, sammenhæng og formål samt risikokilderne. Konsekvensanalysen bør navnlig omfatte de foranstaltninger, garantier og mekanismer, der er planlagt til begrænsning af denne risiko, til sikring af beskyttelsen af personoplysninger og påvisning af overholdelse af denne forordning.
(58)
Såfremt en konsekvensanalyse vedrørende databeskyttelse viser, at en behandling uden garantier, sikkerhedsforanstaltninger og mekanismer til at begrænse risikoen vil føre til en høj risiko for fysiske personers rettigheder og frihedsrettigheder, og den dataansvarlige mener, at risikoen ikke kan begrænses gennem rimelige midler for så vidt angår tilgængelig teknologi og gennemførelsesomkostninger, bør Den Europæiske Tilsynsførende for Databeskyttelse høres inden indledning af behandlingsaktiviteterne. En sådan høj risiko vil sandsynligvis være en følge af visse typer behandling og omfanget og hyppigheden af behandlingen, der også kunne føre til skade for eller indgreb i fysiske personers rettigheder og frihedsrettigheder. Den Europæiske Tilsynsførende for Databeskyttelse bør reagere på en høringsanmodning inden for et fastsat tidsrum. Den Europæiske Tilsynsførende for Databeskyttelses manglende reaktion inden for dette tidsrum bør dog ikke berøre Den Europæiske Tilsynsførende for Databeskyttelses mulighed for at gribe ind i overensstemmelse med vedkommendes opgaver og beføjelser i henhold til denne forordning, herunder beføjelsen til at forbyde behandlingsaktiviteter. Som led i denne høringsproces bør det være muligt at forelægge resultatet af en konsekvensanalyse vedrørende databeskyttelse, der foretages for den pågældende behandling, for Den Europæiske Tilsynsførende for Databeskyttelse, navnlig de foranstaltninger, der påtænkes for at begrænse risikoen for fysiske personers rettigheder og frihedsrettigheder.
(59)
Den Europæiske Tilsynsførende for Databeskyttelse bør underrettes om administrative foranstaltninger og høres om interne regler vedtaget af Unionens institutioner og organer i spørgsmål vedrørende deres funktion, når disse muliggør behandlingen af personoplysninger, fastsætter betingelser for begrænsninger af de registreredes rettigheder eller tilvejebringer passende garantier for de registreredes rettigheder, for at sikre, at den planlagte behandling er i overensstemmelse med denne forordning, navnlig for så vidt angår begrænsning af risiciene for den registrerede.
(60)
Med forordning (EU) 2016/679 blev Det Europæiske Databeskyttelsesråd oprettet som et uafhængigt EU-organ med status som juridisk person. Databeskyttelsesrådet bør bidrage til en konsekvent anvendelse af forordning (EU) 2016/679 og direktiv (EU) 2016/680 i hele Unionen, herunder ved at rådgive Kommissionen. Samtidig bør Den Europæiske Tilsynsførende for Databeskyttelse fortsat udføre sine tilsyns- og rådgivningsfunktioner over for alle Unionens institutioner og organer, på eget initiativ eller efter anmodning. Med henblik på at sikre sammenhæng mellem databeskyttelsesreglerne i hele Unionen bør Kommissionen, når den udarbejder forslag eller henstillinger, bestræbe sig på at høre Den Europæiske Tilsynsførende for Databeskyttelse. Det bør være obligatorisk at høre Kommissionen efter vedtagelsen af lovgivningsmæssige retsakter eller under udarbejdelsen af delegerede retsakter og gennemførelsesretsakter som defineret i artikel 289, 290 og 291 i TEUF og efter vedtagelsen af henstillinger og forslag vedrørende aftaler med tredjelande og internationale organisationer som omhandlet i artikel 218 i TEUF, der har konsekvenser for retten til beskyttelse af personoplysninger. I sådanne tilfælde bør Kommissionen have pligt til at høre Den Europæiske Tilsynsførende for Databeskyttelse, undtagen hvor forordning (EU) 2016/679 foreskriver obligatorisk høring af Det Europæiske Databeskyttelsesråd, f.eks. om afgørelser om tilstrækkeligheden af beskyttelsesniveauet eller delegerede retsakter om standardiserede ikoner og krav til certificeringsmekanismer. Når den pågældende retsakt har særlig betydning for beskyttelsen af fysiske personers rettigheder og frihedsrettigheder med hensyn til behandlingen af personoplysninger, bør Kommissionen derudover have mulighed for at høre Det Europæiske Databeskyttelsesråd. I disse tilfælde bør Den Europæiske Tilsynsførende for Databeskyttelse som medlem af Det Europæiske Databeskyttelsesråd koordinere sit arbejde med sidstnævnte med henblik på at afgive en fælles udtalelse. Den Europæiske Tilsynsførende for Databeskyttelse og, hvor det er hensigtsmæssigt, Det Europæiske Databeskyttelsesråd bør yde deres skriftlige rådgivning inden otte uger. Denne tidsramme bør være kortere i hastende tilfælde, eller hvor det i øvrigt er hensigtsmæssigt, f.eks. når Kommissionen udarbejder delegerede retsakter og gennemførelsesretsakter.
(61)
I overensstemmelse med artikel 75 i forordning (EU) 2016/679 bør Den Europæiske Tilsynsførende for Databeskyttelse fungere som sekretariat for Det Europæiske Databeskyttelsesråd.
(62)
I alle Unionens institutioner og organer bør en databeskyttelsesrådgiver sikre, at bestemmelserne i denne forordning finder anvendelse, og bør rådgive de dataansvarlige og databehandlerne under opfyldelsen af deres forpligtelser. Denne rådgiver børe være en person med ekspertviden om databeskyttelseslovgivning og -praksis, der navnlig bør fastlægges i forhold til de databehandlingsaktiviteter, der foretages af den dataansvarlige eller databehandleren, og den beskyttelse, der kræves for de omhandlede personoplysninger. Sådanne databeskyttelsesrådgivere bør være i stand til at udøve deres hverv på uafhængig vis.
(63)
Når personoplysninger overføres fra Unionens institutioner og organer til dataansvarlige, databehandlere eller andre modtagere i tredjelande eller til internationale organisationer, bør det beskyttelsesniveau, som fysiske personer sikres i Unionen i medfør af denne forordning, garanteres. De samme garantier bør gælde i tilfælde af videreoverførsel af personoplysninger fra et tredjeland eller en international organisation til dataansvarlige, databehandlere i det samme eller et andet tredjeland eller en anden international organisation. Overførsel til tredjelande og internationale organisationer må under alle omstændigheder kun finde sted under fuld overholdelse af denne forordning og med respekt for de grundlæggende rettigheder og frihedsrettigheder, der er fastsat i chartret. En overførsel vil kun kunne finde sted, hvis den dataansvarlige eller databehandleren opfylder betingelserne i denne forordning vedrørende overførsel af personoplysninger til tredjelande eller internationale organisationer, jf. dog de øvrige bestemmelser i denne forordning.
(64)
Kommissionen kan i henhold til artikel 45 i forordning (EU) 2016/679 eller artikel 36 i direktiv (EU) 2016/680 beslutte, at et tredjeland, et område eller en specifik sektor i et tredjeland, eller en international organisation sikrer et tilstrækkeligt databeskyttelsesniveau. I sådanne tilfælde kan personoplysninger overføres til det pågældende tredjeland eller den pågældende internationale organisation af en af Unionens institutioner eller et af Unionens organer uden yderligere godkendelse.
(65)
I mangel af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet bør den dataansvarlige eller databehandleren træffe foranstaltninger for at kompensere for den manglende databeskyttelse i et tredjeland i form af fornødne garantier for den registrerede. Sådanne fornødne garantier kan bestå i anvendelse af standardbestemmelser om databeskyttelse vedtaget af Kommissionen, standardbestemmelser om databeskyttelse vedtaget af en Den Europæiske Tilsynsførende for Databeskyttelse eller kontraktbestemmelser godkendt af Den Europæiske Tilsynsførende for Databeskyttelse. Når databehandleren ikke er en eller et af Unionens institutioner eller organer, kan disse fornødne garantier også bestå i bindende virksomhedsregler, adfærdskodekser og certificeringsmekanismer, der anvendes til internationale overførsler i henhold til forordning (EU) 2016/679. Disse garantier bør sikre overholdelse af databeskyttelseskravene og de registreredes rettigheder i forbindelse med intern behandling i Unionen, herunder tilgængelighed af rettigheder, som kan håndhæves, for registrerede og effektive retsmidler, herunder til at opnå effektiv administrativ eller retslig prøvelse og til at kræve erstatning, i Unionen eller et tredjeland. Garantierne bør navnlig vedrøre overholdelse af de generelle principper for behandling af personoplysninger og principperne om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger. Overførsler kan også foretages af Unionens institutioner eller organer til offentlige myndigheder eller organer i tredjelande eller til internationale organisationer med tilsvarende opgaver eller funktioner, herunder på grundlag af bestemmelser, der medtages i administrative ordninger, f.eks. et aftalememorandum, hvorved de registrerede sikres effektive rettigheder, som kan håndhæves. Godkendelse fra Den Europæiske Tilsynsførende for Databeskyttelse bør indhentes, når garantierne indgår i administrative ordninger, der ikke er juridisk bindende.
(66)
Den dataansvarliges eller databehandlerens mulighed for at bruge standardbestemmelser om databeskyttelse vedtaget af Kommissionen eller Den Europæiske Tilsynsførende for Databeskyttelse bør hverken udelukke muligheden for, at den dataansvarlige eller databehandleren medtager standardbestemmelser om databeskyttelse i en bredere kontrakt, såsom en kontrakt mellem databehandleren og en anden databehandler, eller medtager andre bestemmelser eller yderligere garantier, såfremt de hverken direkte eller indirekte er i strid med de standardkontraktbestemmelser, der er vedtaget af Kommissionen eller en tilsynsmyndighed, eller berører de registreredes grundlæggende rettigheder eller frihedsrettigheder. Dataansvarlige og databehandlere bør tilskyndes til at give yderligere garantier gennem kontraktmæssige forpligtelser, der supplerer standardbestemmelser om databeskyttelse.
(67)
Visse tredjelande vedtager love, forskrifter og andre retsakter med det formål direkte at regulere behandlingsaktiviteter, som udføres af Unionens institutioner og organer. Dette kan omfatte retsafgørelser eller administrative myndigheders afgørelser i tredjelande, der kræver, at en dataansvarlig eller en databehandler overfører eller videregiver personoplysninger, og som ikke er baseret på en gældende international aftale mellem det anmodende tredjeland og Unionen. Ekstraterritorial anvendelse af sådanne love, forskrifter og andre retsakter kan være i strid med folkeretten og hindre opnåelse af den beskyttelse af fysiske personer, der sikres i Unionen ved denne forordning. Overførsel af oplysninger bør kun tillades, hvis denne forordnings betingelser for overførsel til tredjelande er opfyldt. Det kan være tilfældet, bl.a. hvis videregivelse er nødvendig af hensyn til vigtige samfundsinteresser, der anerkendes i EU-retten.
(68)
Der bør i specifikke situationer åbnes mulighed for overførsel, når den registrerede har givet sit udtrykkelige samtykke, og hvor overførsel er lejlighedsvis og nødvendig i forbindelse med en kontrakt eller et retskrav, uanset om det sker i forbindelse med en retssag eller en administrativ eller udenretslig procedure, herunder procedurer ved reguleringsorganer. Overførsel bør også tillades, når vigtige samfundsinteresser i henhold til EU-retten kræver det, eller når overførsel sker fra et register, der er oprettet ved lov, og som er tilgængeligt for offentligheden eller personer med en legitim interesse. I sidstnævnte tilfælde bør sådan overførsel ikke omfatte alle personoplysningerne eller alle kategorier af oplysninger i registeret, medmindre det er tilladt ifølge EU-retten, og når registeret er beregnet til at blive konsulteret af personer, der har en legitim interesse, bør overførsel kun ske på anmodning af disse personer eller, hvis de selv er modtagere, under fuld hensyntagen til den registreredes interesser og grundlæggende rettigheder.
(69)
Disse undtagelser bør navnlig gælde for overførsel af oplysninger, der foretages af hensyn til vigtige samfundsinteresser, f.eks. international udveksling af oplysninger mellem Unionens institutioner og organer og konkurrencemyndigheder, skatte- eller toldforvaltninger, finansielle tilsynsmyndigheder eller social- og sundhedsmyndigheder, f.eks. i tilfælde af kontaktopsporing i forbindelse med smitsomme sygdomme eller for at nedbringe og/eller afskaffe doping inden for sport. Overførsel af personoplysninger, der er nødvendig for at beskytte et hensyn af fundamental betydning for den registreredes eller en anden persons vitale interesser, herunder fysisk integritet eller liv, bør ligeledes anses for lovlig, hvis den registrerede er ude af stand til at give sit samtykke. I mangel af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet kan EU-retten af hensyn til vigtige samfundsinteresser udtrykkelig fastsætte grænser for overførsel af særlige kategorier af oplysninger til et tredjeland eller en international organisation. Enhver overførsel til en international humanitær organisation af personoplysninger om en registreret, der ikke fysisk eller juridisk er i stand til at give sit samtykke, med henblik på udførelse af en opgave i henhold til Genèvekonventionerne eller for at overholde international humanitær ret, som finder anvendelse i væbnede konflikter, kan anses for at være nødvendig af hensyn til vigtige samfundsinteresser, eller fordi det er af vital interesse for den registrerede.
(70)
Hvis Kommissionen ikke har truffet afgørelse om tilstrækkeligheden af databeskyttelsesniveauet i et tredjeland, bør den dataansvarlige eller databehandleren under alle omstændigheder benytte løsninger, der giver de registrerede effektive rettigheder, som kan håndhæves, hvad angår behandlingen af deres personoplysninger i Unionen, når disse oplysninger er blevet overført, så de fortsat vil nyde godt af grundlæggende rettigheder og garantier.
(71)
Når personoplysninger overføres på tværs af grænser uden for Unionen, kan det medføre yderligere risici for fysiske personers mulighed for at udøve deres databeskyttelsesrettigheder og beskytte sig mod ulovlig brug eller videregivelse af disse oplysninger. Samtidig kan de nationale tilsynsmyndigheder og Den Europæiske Tilsynsførende for Databeskyttelse være ude af stand til at følge op på klager eller foretage undersøgelser vedrørende aktiviteter uden for deres jurisdiktion. Samarbejdet på tværs af grænserne kan også hæmmes af utilstrækkelige forebyggende eller afhjælpende beføjelser, uensartede retlige ordninger og praktiske hindringer som f.eks. ressourcebegrænsninger. Derfor bør et tættere samarbejde mellem Den Europæiske Tilsynsførende for Databeskyttelse og de nationale tilsynsmyndigheder fremmes for at forbedre udvekslingen af oplysninger med deres internationale ligestillede.
(72)
Den ved forordning (EF) nr. 45/2001 fastsatte oprettelse af Den Europæiske Tilsynsførende for Databeskyttelse, der har beføjelser til at udføre sine opgaver og udøve sine beføjelser i fuld uafhængighed, har afgørende betydning for beskyttelsen af fysiske personer i forbindelse med behandling af personoplysninger. Nærværende forordning bør yderligere styrke og præcisere vedkommendes rolle og uafhængighed. Den Europæiske Tilsynsførende for Databeskyttelse bør være en person, hvis uafhængighed er uomtvistelig, og som er anerkendt som havende den erfaring og kompetence, der kræves for at varetage de opgaver, der henhører under Den Europæiske Tilsynsførende for Databeskyttelse, f.eks. fordi vedkommende har tilhørt en af de tilsynsmyndigheder, der er oprettet ved artikel 51 i forordning (EU) 2016/679.
(73)
For at sikre ensartet tilsyn med og håndhævelse af databeskyttelsesreglerne i hele Unionen bør Den Europæiske Tilsynsførende for Databeskyttelse have de samme opgaver og effektive beføjelser som de nationale tilsynsmyndigheder, herunder undersøgelsesbeføjelser og beføjelser til at fastsætte korrigerende foranstaltninger og sanktioner samt godkendelses- og rådgivningsbeføjelser, navnlig i tilfælde af klager fra fysiske personer, beføjelser til at indbringe overtrædelser af denne forordning for EU-Domstolen, og beføjelser til at deltage i retssager i overensstemmelse med den primære ret. Disse beføjelser bør også omfatte beføjelse til midlertidigt eller definitivt at begrænse, herunder forbyde, behandling. For at undgå overflødige omkostninger og urimelige ulemper for de pågældende personer, der kunne blive berørt negativt, bør hver foranstaltning, som træffes af Den Europæiske Tilsynsførende for Databeskyttelse, være passende, nødvendig og forholdsmæssig for at sikre overholdelsen af denne forordning, tage hensyn til omstændighederne i hver enkelt sag og respektere enhver persons ret til at blive hørt, inden der træffes en individuel foranstaltning vedrørende denne person. Hver juridisk bindende foranstaltning, der træffes af Den Europæiske Tilsynsførende for Databeskyttelse, bør være skriftlig, klar og utvetydig, angive datoen for iværksættelsen af foranstaltningen, være underskrevet af Den Europæiske Tilsynsførende for Databeskyttelse, angive begrundelsen for foranstaltningen og indeholde en henvisning til adgangen til effektive retsmidler.
(74)
Den Europæiske Tilsynsførende for Databeskyttelses tilsynskompetence bør af hensyn til EU-Domstolens uafhængighed under udførelsen af dens judicielle opgaver, herunder beslutningstagning, ikke omfatte EU-Domstolens behandling af personoplysninger, når den handler i sin egenskab af domstol, herunder træffer afgørelser. For sådanne behandlingsaktiviteter bør EU-Domstolen etablere et uafhængigt tilsyn i overensstemmelse med artikel 8, stk. 3, i chartret, f.eks. gennem en intern mekanisme.
(75)
Afgørelser truffet af Den Europæiske Tilsynsførende for Databeskyttelse vedrørende undtagelser fra, garantier for, godkendelse af eller betingelser for behandling af personoplysninger, således som de er defineret i denne forordning, bør offentliggøres i årsberetningen. Uafhængigt af offentliggørelsen af årsberetningen kan Den Europæiske Tilsynsførende for Databeskyttelse offentliggøre rapporter om specifikke emner.
(76)
Den Europæiske Tilsynsførende for Databeskyttelse bør overholde Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 
(
9
)
.
(77)
De nationale tilsynsmyndigheder fører tilsyn med anvendelsen af forordning (EU) 2016/679 og bidrager til ensartet anvendelse heraf i hele Unionen for at beskytte fysiske personer i forbindelse med behandling af deres personoplysninger og lette fri udveksling af personoplysninger inden for indre marked. For at skabe mere ensartethed i anvendelsen af de gældende databeskyttelsesregler i medlemsstaterne og de databeskyttelsesregler, der gælder for Unionens institutioner og organer, bør Den Europæiske Tilsynsførende for Databeskyttelse samarbejde effektivt med de nationale tilsynsmyndigheder.
(78)
Under visse omstændigheder omfatter EU-retten en model for koordineret tilsyn mellem Den Europæiske Tilsynsførende for Databeskyttelse og de nationale tilsynsmyndigheder. Den Europæiske Tilsynsførende for Databeskyttelse er også tilsynsmyndighed for Europol, og med henblik herpå er der udarbejdet en særlig model for samarbejde med de nationale tilsynsmyndigheder gennem et samarbejdsråd med rådgivende funktion. For at forbedre det effektive tilsyn med og den effektive håndhævelse af væsentlige databeskyttelsesregler bør der indføres en fælles, sammenhængende model for koordineret tilsyn i Unionen. Kommissionen bør derfor fremsætte lovgivningsforslag, hvor det er hensigtsmæssigt, med henblik på at ændre de EU-retsakter, der indeholder en model for koordineret tilsyn, for at tilpasse dem til den koordinerede tilsynsmodel i denne forordning. Det Europæiske Databeskyttelsesråd bør fungere som et fælles forum for sikring af effektivt koordineret tilsyn på alle områder.
(79)
Enhver registreret bør have ret til at indgive klage til Den Europæiske Tilsynsførende for Databeskyttelse og have adgang til effektive retsmidler ved EU-Domstolen i overensstemmelse med traktaterne, hvis den registrerede finder, at vedkommendes rettigheder i henhold til denne forordning er blevet krænket, eller hvis Den Europæiske Tilsynsførende for Databeskyttelse ikke reagerer på en klage, delvist eller helt afslår eller afviser en klage eller ikke handler, hvis handling er nødvendig for at beskytte den registreredes rettigheder. Undersøgelse af en klage bør foretages i det omfang, det er passende i det specifikke tilfælde, med forbehold af domstolsprøvelse. Den Europæiske Tilsynsførende for Databeskyttelse bør underrette den registrerede om behandlingen og resultatet af klagen inden en rimelig frist. Hvis sagen kræver yderligere koordinering med en national tilsynsmyndighed, bør den registrerede undervejs underrettes herom. For at lette indgivelsen af klager bør Den Europæiske Tilsynsførende for Databeskyttelse træffe foranstaltninger såsom at tilbyde en klageformular, der også kan udfyldes elektronisk, uden at udelukke andre kommunikationsmidler.
(80)
Enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, bør have ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren på de betingelser, der er fastsat i traktaterne.
(81)
For at styrke Den Europæiske Tilsynsførende for Databeskyttelses tilsynsrolle og den effektive håndhævelse af denne forordning bør Den Europæiske Tilsynsførende for Databeskyttelse som en sanktion, der kan anvendes som sidste udvej, have beføjelse til at pålægge administrative bøder. Bøderne bør have til formål at pålægge den eller det pågældende af Unionens institutioner eller organer — snarere end fysiske personer — sanktioner for manglende overholdelse af denne forordning med henblik på at forebygge fremtidige overtrædelser af denne forordning og fremme en persondatabeskyttelseskultur i Unionens institutioner og organer. Denne forordning bør angive de overtrædelser, der kan medføre administrative bøder, og maksimumsbeløb og kriterier for fastsættelse af de tilknyttede bøder. Den Europæiske Tilsynsførende for Databeskyttelse bør fastsætte størrelsen af bøden i hvert enkelt tilfælde under hensyntagen til alle relevante omstændigheder i den specifikke situation og med behørig hensyntagen til karakteren, alvoren og varigheden af overtrædelsen, dens konsekvenser og de foranstaltninger, der er truffet for at sikre overholdelse af forpligtelserne i henhold til denne forordning og for at forebygge eller begrænse følgerne af overtrædelsen. Når en eller et af Unionens institutioner eller organer pålægges en administrativ bøde, bør Den Europæiske Tilsynsførende for Databeskyttelse overveje, om bødens størrelse står i et rimeligt forhold til overtrædelsen. Den administrative procedure for at pålægge Unionens institutioner og organer bøder bør overholde EU-rettens generelle principper som fortolket af EU-Domstolen.
(82)
Hvis en registreret finder, at vedkommendes rettigheder i henhold til denne forordning er blevet krænket, bør den pågældende have ret til at give et organ, en organisation eller en sammenslutning, der ikke arbejder med gevinst for øje, som er etableret i overensstemmelse med EU-retten eller en medlemsstats ret, og hvis vedtægtsmæssige formål er i samfundets interesse, og som beskæftiger sig med beskyttelse af personoplysninger, bemyndigelse til på vedkommendes vegne at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse. Et sådant organ eller en sådan sammenslutning bør også kunne udøve retten til adgang til retsmidler eller retten til erstatning på registreredes vegne.
(83)
Der bør kunne iværksættes disciplinære eller andre sanktioner over for en tjenestemand eller anden ansat i Unionen, som undlader at opfylde forpligtelserne i denne forordning i overensstemmelse med de regler og procedurer, der er fastlagt i vedtægten for tjenestemænd i Den Europæiske Union og ansættelsesvilkårene for de øvrige ansatte i Unionen, fastsat ved Rådets forordning (EØF, Euratom, EKSF) nr. 259/68 
(
10
)
 (»vedtægten for tjenestemænd«).
(84)
For at sikre ensartede betingelser for gennemførelsen af denne forordning bør Kommissionen tillægges gennemførelsesbeføjelser. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 
(
11
)
. Undersøgelsesproceduren bør anvendes med henblik på vedtagelse af standardkontraktbestemmelser mellem dataansvarlige og databehandlere og mellem dataansvarlige indbyrdes, med henblik på vedtagelse af en liste over behandlingsaktiviteter, for hvilke det kræves, at databehandlere, der behandler personoplysninger som led i udførelsen af opgaver i samfundets interesse, foretager forudgående høring af Den Europæiske Tilsynsførende for Databeskyttelse, og med henblik på vedtagelse af standardkontraktbestemmelser, der giver passende garantier for internationale overførsler.
(85)
De fortrolige oplysninger, som Unionen og de nationale statistikmyndigheder indsamler til udarbejdelse af officielle europæiske og officielle nationale statistikker, bør beskyttes. Europæiske statistikker bør udvikles, udarbejdes og formidles i overensstemmelse med de statistiske principper, der er omhandlet i artikel 338, stk. 2, i TEUF. Europa-Parlamentets og Rådets forordning (EF) nr. 223/2009 
(
12
)
 indeholder yderligere præciseringer om statistisk fortrolighed for europæiske statistikker.
(86)
Forordning (EF) nr. 45/2001 og Europa-Parlamentets, Rådets og Kommissionens afgørelse nr. 1247/2002/EF 
(
13
)
 bør ophæves. Henvisninger til den ophævede forordning og den ophævede afgørelse bør betragtes som henvisninger til nærværende forordning.
(87)
For at sikre, at medlemmerne af den uafhængige tilsynsmyndighed er helt uafhængige, bør embedsperioden for Den Europæiske Tilsynsførende for Databehandling og den nuværende assisterende tilsynsførende ikke berøres af denne forordning. Den nuværende assisterende tilsynsførende bør forblive i sin stilling indtil udløbet af sin mandatperiode, medmindre en af betingelserne for førtidig afslutning af embedsperioden for Den Europæiske Tilsynsførende for Databeskyttelse i denne forordning er opfyldt. De relevante bestemmelser bør finde anvendelse på den assisterende tilsynsførende indtil udløbet af vedkommendes embedsperiode.
(88)
I overensstemmelse med proportionalitetsprincippet er det for at virkeliggøre det grundlæggende mål om at sikre et ensartet niveau for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og fri udveksling af personoplysninger i hele Unionen nødvendigt og hensigtsmæssigt at fastsætte bestemmelser om behandlingen af personoplysninger i Unionens institutioner og organer. Denne forordning går ikke videre, end hvad der er nødvendigt for at nå de tilstræbte mål i overensstemmelse med artikel 5, stk. 4, i TEU.
(89)
Den Europæiske Tilsynsførende for Databeskyttelse blev hørt i overensstemmelse med artikel 28, stk. 2, i forordning (EF) nr. 45/2001, og afgav udtalelse den 15. marts 2017 
(
14
)
 —
VEDTAGET DENNE FORORDNING:
KAPITEL I
ALMINDELIGE BESTEMMELSER
Artikel 1
Genstand og formål
1.   I denne forordning fastsættes regler om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner og organer og regler om fri udveksling af personoplysninger mellem disse eller med andre modtagere, der er etableret i Unionen.
2.   Denne forordning beskytter fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger.
3.   Den Europæiske Tilsynsførende for Databeskyttelse fører tilsyn med anvendelsen af bestemmelserne i denne forordning på alle behandlingsaktiviteter, der udføres af en af Unionens institutioner eller et af Unionens organer.
Artikel 2
Anvendelsesområde
1.   Denne forordning finder anvendelse på behandling af personoplysninger i alle Unionens institutioner og organer.
2.   Kun denne forordnings artikel 3 og kapitel IX finder anvendelse på behandling af operationelle personoplysninger i Unionens organer, kontorer og agenturer ved udførelsen af aktiviteter, der henhører under tredje del, afsnit V, kapitel 4 eller kapitel 5, i TEUF.
3.   Nærværende forordning finder ikke anvendelse på Europols og Den Europæiske Anklagemyndigheds behandling af operationelle personoplysninger, førend Europa-Parlamentets og Rådets forordning (EU) 2016/794 
(
15
)
 og Rådets forordning (EU) 2017/1939 
(
16
)
 er tilpasset i overensstemmelse med nærværende forordnings artikel 98.
4.   Denne forordning finder ikke anvendelse på behandling af personoplysninger i de missioner, der er omhandlet i artikel 42, stk. 1, og artikel 43 og 44 i TEU.
5.   Denne forordning finder anvendelse på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikkeautomatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.
Artikel 3
Definitioner
I denne forordning forstås ved:
1)
»personoplysninger«: enhver form for information om en identificeret eller identificérbar fysisk person (»den registrerede«); ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en onlineidentifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet
2)
»operationelle personoplysninger«: alle personoplysninger, der behandles i Unionens organer, kontorer eller agenturer ved udførelsen af aktiviteter, der henhører under tredje del, afsnit V, kapitel 4 eller kapitel 5, i TEUF, med henblik på at opfylde de mål og udføre de opgaver, der er fastsat i de retsakter, hvorved disse organer, kontorer eller agenturer oprettes
3)
»behandling«: enhver aktivitet eller række af aktiviteter — med eller uden brug af automatisk behandling — som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved fremsendelse, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse
4)
»begrænsning af behandling«: mærkning af opbevarede personoplysninger med den hensigt at begrænse fremtidig behandling af disse oplysninger
5)
»profilering«: enhver form for automatisk behandling af personoplysninger, der består i at anvende personoplysninger til at evaluere bestemte personlige forhold vedrørende en fysisk person, navnlig for at analysere eller forudsige forhold vedrørende den fysiske persons arbejdsindsats, økonomiske situation, helbred, personlige præferencer, interesser, pålidelighed, adfærd, geografisk position eller bevægelser
6)
»pseudonymisering«: behandling af personoplysninger på en sådan måde, at personoplysningerne ikke længere kan henføres til en bestemt registreret uden brug af supplerende oplysninger, forudsat at sådanne supplerende oplysninger opbevares separat og er underlagt tekniske og organisatoriske foranstaltninger for at sikre, at personoplysningerne ikke henføres til en identificeret eller identificerbar fysisk person
7)
»register«: enhver struktureret samling af personoplysninger, der er tilgængelig efter bestemte kriterier, hvad enten denne samling er placeret centralt eller decentralt eller er fordelt på funktionsbestemt eller geografisk grundlag
8)
»dataansvarlig«: den af Unionens institutioner eller det af Unionens organer eller det generaldirektorat eller enhver anden organisatorisk enhed, som alene eller sammen med andre afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger; hvis formålene med og hjælpemidlerne til en sådan behandling er fastlagt i en bestemt EU-retsakt, kan den dataansvarlige eller de specifikke kriterier for udpegelse af denne fastlægges i EU-retten
9)
»andre dataansvarlige end Unionens institutioner og organer«: dataansvarlige som omhandlet i artikel 4, nr. 7), i forordning (EU) 2016/679 og dataansvarlige som omhandlet i artikel 3, nr. 8), i direktiv (EU) 2016/680
10)
»Unionens institutioner og organer«: Unionens institutioner, organer, kontorer og agenturer, der er oprettet ved eller på grundlag af TEU, TEUF eller Euratomtraktaten
11)
»kompetent myndighed«: enhver offentlig myndighed i en medlemsstat, der er kompetent med hensyn til at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed
12)
»databehandler«: en fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet organ, der behandler personoplysninger på den dataansvarliges vegne
13)
»modtager«: en fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet organ, hvortil personoplysninger videregives, uanset om det er en tredjemand eller ej. Offentlige myndigheder, som vil kunne få meddelt personoplysninger som led i en isoleret forespørgsel i henhold til EU-retten eller medlemsstaternes nationale ret, anses dog ikke for modtagere; de offentlige myndigheders behandling af disse oplysninger skal overholde de gældende databeskyttelsesregler afhængigt af formålet med behandlingen
14)
»tredjemand«: en anden fysisk eller juridisk person, offentlig myndighed eller institution eller ethvert andet organ end den registrerede, den dataansvarlige, databehandleren og de personer under den dataansvarliges eller databehandlerens direkte myndighed, der er beføjet til at behandle personoplysninger
15)
»samtykke« fra den registrerede: enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling
16)
»brud på persondatasikkerheden«: et brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, ubeføjet videregivelse af eller adgang til personoplysninger, der er videresendt, opbevaret eller på anden måde behandlet
17)
»genetiske data«: personoplysninger vedrørende en fysisk persons arvede eller erhvervede genetiske karakteristika, som giver entydig information om den fysiske persons fysiologi eller helbred, og som navnlig foreligger efter en analyse af en biologisk prøve fra den pågældende fysiske person
18)
»biometriske data«: personoplysninger, der som følge af specifik teknisk behandling vedrørende en fysisk persons fysiske, fysiologiske eller adfærdsmæssige karakteristika muliggør eller bekræfter en entydig identifikation af vedkommende, f.eks. ansigtsbillede eller fingeraftryksoplysninger
19)
»helbredsoplysninger«: personoplysninger, der vedrører en fysisk persons fysiske eller mentale helbred, herunder levering af sundhedsydelser, og som giver information om vedkommendes helbredstilstand
20)
»informationssamfundstjeneste«: en tjeneste som defineret i artikel 1, stk. 1, litra b), i Europa-Parlamentets og Rådets direktiv (EU) 2015/1535 
(
17
)
21)
»international organisation«: en folkeretlig organisation og organer, der er underordnet den, eller ethvert andet organ, der er oprettet ved eller med hjemmel i en aftale mellem to eller flere lande
22)
»national tilsynsmyndighed«: en uafhængig offentlig myndighed, der er etableret i en medlemsstat i henhold til artikel 51 i forordning (EU) 2016/679 eller i henhold til artikel 41 i direktiv (EU) 2016/680
23)
»bruger«: en fysisk person, der anvender et netværk eller terminaludstyr, som drives under tilsyn af en af Unionens institutioner eller et af Unionens organer
24)
»fortegnelse«: en offentligt tilgængelig fortegnelse over brugere eller en intern fortegnelse over brugere, der er til rådighed i en af Unionens institutioner eller et af Unionens organer, eller som deles mellem Unionens institutioner og organer, enten i trykt eller elektronisk form
25)
»elektronisk kommunikationsnet«: transmissionssystemer, uanset om de er baseret på en permanent infrastruktur eller centraliseret administrationsfunktion og, hvor det er relevant, koblings- og dirigeringsudstyr og andre ressourcer, herunder netelementer, som ikke er aktive, og som overfører signaler ved hjælp af trådforbindelse, radiobølger, lyslederteknik eller andre elektromagnetiske midler, herunder satellitnet, jordbaserede fastnet (kredsløbs- og pakkekoblede, herunder i internettet) og mobilnet, elkabelsystemer, i det omfang de benyttes til transmission af signaler, net, som anvendes til radio- og TV-spredning, samt kabel-TV-net, uanset hvilken type information, der overføres
26)
»terminaludstyr«: terminaludstyr som defineret i artikel 1, nr. 1), i Kommissionens direktiv 2008/63/EF 
(
18
)
.
KAPITEL II
GENERELLE PRINCIPPER
Artikel 4
Principper for behandling af personoplysninger
1.   Personoplysninger skal:
a)
behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede (»lovlighed, rimelighed og gennemsigtighed«)
b)
indsamles til udtrykkeligt angivne og legitime formål og må ikke viderebehandles på en måde, der er uforenelig med disse formål; viderebehandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 13 anses ikke for at være uforenelig med de oprindelige formål (»formålsbegrænsning«)
c)
være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles (»dataminimering«)
d)
være korrekte og om nødvendigt ajourførte; der skal tages ethvert rimeligt skridt til at sikre, at personoplysninger, der er ukorrekte i forhold til de formål, hvortil de behandles, straks slettes eller berigtiges (»rigtighed«)
e)
opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil personoplysningerne behandles. Personoplysninger kan opbevares i et længere tidsrum, hvis personoplysningerne alene behandles til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 13, under forudsætning af, at der gennemføres passende tekniske og organisatoriske foranstaltninger, som denne forordning kræver for at sikre den registreredes rettigheder og frihedsrettigheder (»opbevaringsbegrænsning«)
f)
behandles på en måde, der sikrer tilstrækkelig sikkerhed for de pågældende personoplysninger, herunder beskyttelse mod uautoriseret eller ulovlig behandling og mod hændeligt tab, tilintetgørelse eller beskadigelse, under anvendelse af passende tekniske eller organisatoriske foranstaltninger (»integritet og fortrolighed«).
2.   Den dataansvarlige er ansvarlig for og skal kunne påvise, at stk. 1 overholdes (»ansvarlighed«).
Artikel 5
Lovlig behandling
1.   Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:
a)
Behandling er nødvendig af hensyn til udførelse af en opgave, der udføres i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den eller det pågældende af Unionens institutioner eller organer har fået pålagt.
b)
Behandling er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige.
c)
Behandling er nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelse af en kontrakt.
d)
Den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål.
e)
Behandling er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser.
2.   Grundlaget for behandlingen i stk. 1, litra a) og b), fastsættes i EU-retten.
Artikel 6
Behandling til et andet foreneligt formål
Når behandling til et andet formål end det, som personoplysningerne er indsamlet til, ikke er baseret på den registreredes samtykke eller EU-retten, som udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund af hensyn til de mål, der er omhandlet i artikel 25, stk. 1, tager den dataansvarlige, for at afgøre, om behandling til et andet formål er forenelig med det formål, som personoplysningerne oprindelig blev indsamlet til, bl.a. hensyn til følgende:
a)
enhver forbindelse mellem det formål, som personoplysningerne er indsamlet til, og formålet med den påtænkte viderebehandling
b)
den sammenhæng, hvori personoplysningerne er blevet indsamlet, navnlig med hensyn til forholdet mellem den registrerede og den dataansvarlige
c)
personoplysningernes art, navnlig om særlige kategorier af personoplysninger behandles, jf. artikel 10, eller om personoplysninger vedrørende straffedomme og lovovertrædelser behandles, jf. artikel 11
d)
den påtænkte viderebehandlings mulige konsekvenser for de registrerede
e)
tilstedeværelsen af fornødne garantier, som kan omfatte kryptering eller pseudonymisering.
Artikel 7
Betingelser for samtykke
1.   Hvis behandling er baseret på samtykke, skal den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger.
2.   Hvis den registreredes samtykke gives i form af en skriftlig erklæring, der også vedrører andre forhold, skal en anmodning om samtykke forelægges på en måde, som klart kan skelnes fra de andre forhold, i en letforståelig og lettilgængelig form og i et klart og enkelt sprog. Enhver del af en sådan erklæring, som udgør en overtrædelse af denne forordning, er ikke bindende.
3.   Den registrerede har til enhver tid ret til at trække sit samtykke tilbage. Tilbagetrækning af samtykke berører ikke lovligheden af den behandling, der er baseret på samtykke inden tilbagetrækningen. Inden der gives samtykke, skal den registrerede underrettes om, at samtykket kan trækkes tilbage. Det skal være lige så let at trække sit samtykke tilbage som at give det.
4.   Ved vurderingen af, om samtykke er givet frit, tages der størst muligt hensyn til, bl.a. om opfyldelsen af en kontrakt, herunder om en tjenesteydelse, er gjort betinget af samtykke til behandling af personoplysninger, som ikke er nødvendig for opfyldelse af denne kontrakt.
Artikel 8
Betingelser for et barns samtykke i forbindelse med informationssamfundstjenester
1.   Hvis artikel 5, stk. 1, litra d), finder anvendelse i forbindelse med udbud af informationssamfundstjenester direkte til børn, er behandling af personoplysninger om et barn lovlig, hvis barnet er mindst 13 år. Er barnet under 13 år, er sådan behandling kun lovlig, hvis og i det omfang samtykke gives eller godkendes af indehaveren af forældremyndigheden over barnet.
2.   Under hensyntagen til den tilgængelige teknologi skal den dataansvarlige gøre sig rimelige bestræbelser på i sådanne tilfælde at kontrollere, at indehaveren af forældremyndigheden over barnet har givet eller godkendt samtykket.
3.   Stk. 1 berører ikke medlemsstaternes generelle aftaleret, som f.eks. bestemmelser om gyldighed, indgåelse eller virkning af en kontrakt, når der er tale om et barn.
Artikel 9
Fremsendelse af personoplysninger til andre modtagere, der er etableret i Unionen, end Unionens institutioner og organer
1.   Uden at det berører artikel 4-6 og 10, fremsendes personoplysninger kun til andre modtagere, der er etableret i Unionen, end Unionens institutioner og organer, hvis:
a)
modtageren godtgør, at oplysningerne er nødvendige af hensyn til udførelse af en opgave, der udføres i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som modtageren har fået pålagt, eller
b)
modtageren godtgør, at fremsendelsen af oplysningerne er nødvendig til et specifikt formål i samfundets interesse, og den dataansvarlige, hvis der er nogen grund til at formode, at oplysningerne vil skade den registreredes legitime interesser, efter påviseligt at have afvejet de forskellige berørte interesser mod hinanden, fastslår, at fremsendelsen af personoplysningerne står i et rimeligt forhold til det specifikke mål.
2.   Hvis den dataansvarlige tager initiativ til fremsendelsen efter denne artikel, påviser denne, at fremsendelsen af personoplysninger er nødvendig og står i et rimeligt forhold til formålene med fremsendelsen, på grundlag af kriterierne i stk. 1, litra a) eller b).
3.   Unionens institutioner og organer skal forene retten til beskyttelse af personoplysninger med retten til aktindsigt i overensstemmelse med EU-retten.
Artikel 10
Behandling af særlige kategorier af personoplysninger
1.   Behandling af personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering er forbudt.
2.   Stk. 1 finder ikke anvendelse, hvis et af følgende forhold gør sig gældende:
a)
den registrerede har givet udtrykkeligt samtykke til behandling af disse personoplysninger til et eller flere specifikke formål, medmindre det i EU-retten er fastsat, at det i stk. 1 omhandlede forbud ikke kan hæves med den registreredes samtykke
b)
behandlingen er nødvendig for at overholde den dataansvarliges eller den registreredes arbejds-, sundheds- og socialretlige forpligtelser og specifikke rettigheder, for så vidt den har hjemmel i EU-retten, som giver fornødne garantier for den registreredes grundlæggende rettigheder og interesser
c)
behandlingen er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser i tilfælde, hvor den registrerede fysisk eller juridisk ikke er i stand til at give samtykke
d)
behandlingen foretages af et organ, der ikke arbejder med gevinst for øje, og som udgør en enhed, der er integreret i en af Unionens institutioner eller et af Unionens organer, og hvis sigte er af politisk, filosofisk, religiøs eller faglig art, som led i organets legitime aktiviteter og med de fornødne garantier, og på betingelse af at behandlingen alene vedrører organets medlemmer eller tidligere medlemmer eller personer, der på grund af organets formål er i regelmæssig kontakt hermed, og at oplysningerne ikke videregives uden for organet uden den registreredes samtykke
e)
behandlingen vedrører personoplysninger, som tydeligvis er offentliggjort af den registrerede
f)
behandlingen er nødvendig, for at retskrav kan fastlægges, gøres gældende eller forsvares, eller når EU-Domstolen handler under udførelsen af sine judicielle opgaver
g)
behandlingen er nødvendig af hensyn til væsentlige samfundsinteresser på grundlag af EU-retten og står i rimeligt forhold til det mål, der forfølges, respekterer det væsentligste indhold af retten til databeskyttelse og sikrer passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser
h)
behandlingen er nødvendig med henblik på forebyggende medicin eller arbejdsmedicin til vurdering af arbejdstagerens erhvervsevne, medicinsk diagnose, ydelse af social- og sundhedsomsorg eller -behandling eller forvaltning af social- og sundhedsomsorg og -tjenester på grundlag af EU-retten eller i henhold til en kontrakt med en sundhedsperson og underlagt de betingelser og garantier, der er omhandlet i stk. 3
i)
behandlingen er nødvendig af hensyn til samfundsinteresser på folkesundhedsområdet, f.eks. beskyttelse mod alvorlige grænseoverskridende sundhedsrisici eller sikring af høje kvalitets- og sikkerhedsstandarder for sundhedspleje og lægemidler eller medicinsk udstyr på grundlag af EU-retten, som fastsætter passende og specifikke foranstaltninger til beskyttelse af den registreredes rettigheder og frihedsrettigheder, navnlig tavshedspligt, eller
j)
behandlingen er nødvendig til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål på grundlag af EU-retten og står i rimeligt forhold til det mål, der forfølges, respekterer det væsentligste indhold af retten til databeskyttelse og sikrer passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser.
3.   Personoplysninger som omhandlet i stk. 1 kan behandles til de formål, der er omhandlet i stk. 2, litra h), hvis disse oplysninger behandles af en fagperson, der har tavshedspligt i henhold til EU-retten eller medlemsstaternes nationale ret eller regler, der er fastsat af nationale kompetente organer, eller under en sådan persons ansvar, eller af en anden person, der også har tavshedspligt i henhold til EU-retten eller medlemsstaternes nationale ret eller regler, der er fastsat af kompetente nationale organer.
Artikel 11
Behandling af personoplysninger vedrørende straffedomme og lovovertrædelser
Behandling af personoplysninger vedrørende straffedomme og lovovertrædelser eller tilknyttede sikkerhedsforanstaltninger på grundlag af artikel 5, stk. 1, må kun foretages under kontrol af en offentlig myndighed, eller hvis behandlingen har hjemmel i EU-retten, som giver passende garantier for registreredes rettigheder og frihedsrettigheder.
Artikel 12
Behandling, der ikke kræver identifikation
1.   Hvis formålene med en dataansvarligs behandling af personoplysninger ikke kræver eller ikke længere kræver, at den registrerede kan identificeres af den dataansvarlige, er den dataansvarlige ikke forpligtet til at beholde, indhente eller behandle yderligere oplysninger for at kunne identificere den registrerede alene med det formål at overholde denne forordning.
2.   Hvis den dataansvarlige i de tilfælde, der er omhandlet i denne artikels stk. 1, kan påvise, at vedkommende ikke kan identificere den registrerede, underretter den dataansvarlige den registrerede herom, hvis det er muligt. I sådanne tilfælde finder artikel 17-22 ikke anvendelse, medmindre den registrerede for at udøve sine rettigheder i henhold til disse artikler giver yderligere oplysninger, der gør det muligt at identificere den pågældende.
Artikel 13
Garantier i forbindelse med behandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål
Behandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål skal være underlagt fornødne garantier for registreredes rettigheder og frihedsrettigheder i overensstemmelse med denne forordning. Disse garantier skal sikre, at der er truffet tekniske og organisatoriske foranstaltninger, især for at sikre overholdelse af princippet om dataminimering. Disse foranstaltninger kan omfatte pseudonymisering, forudsat at disse formål kan opfyldes på denne måde. Når disse formål kan opfyldes ved viderebehandling, som ikke gør det muligt eller ikke længere gør det muligt at identificere de registrerede, skal formålene opfyldes på denne måde.
KAPITEL III
DEN REGISTREREDES RETTIGHEDER
AFDELING 1
Gennemsigtighed og nærmere regler
Artikel 14
Gennemsigtig oplysning, meddelelser og nærmere regler for udøvelsen af den registreredes rettigheder
1.   Den dataansvarlige træffer passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 15 og 16 og enhver meddelelse i henhold til artikel 17-24 og artikel 35 om behandling til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, navnlig når oplysninger specifikt er rettet mod et barn. Oplysningerne gives skriftligt eller med andre midler, herunder, hvis det er hensigtsmæssigt, elektronisk. Når den registrerede anmoder om det, kan oplysningerne gives mundtligt, forudsat at den registreredes identitet påvises med andre midler.
2.   Den dataansvarlige letter udøvelsen af den registreredes rettigheder i henhold til artikel 17-24. I de tilfælde, der er omhandlet i artikel 12, stk. 2, må den dataansvarlige ikke afvise at efterkomme den registreredes anmodning om at udøve sine rettigheder i henhold til artikel 17-24, medmindre den dataansvarlige påviser, at vedkommende ikke er i stand til at identificere den registrerede.
3.   Den dataansvarlige oplyser uden unødig forsinkelse og i alle tilfælde senest en måned efter modtagelsen af anmodningen den registrerede om foranstaltninger, der træffes på baggrund af en anmodning i henhold til artikel 17-24. Denne periode kan om nødvendigt forlænges med to måneder under hensyntagen til anmodningernes kompleksitet og antal. Den dataansvarlige underretter den registrerede om enhver sådan forlængelse senest en måned efter modtagelsen af anmodningen sammen med begrundelsen for forsinkelsen. Hvis den registrerede indgiver en anmodning elektronisk, meddeles oplysningerne så vidt muligt elektronisk, medmindre den registrerede anmoder om andet.
4.   Hvis den dataansvarlige ikke træffer foranstaltninger i anledning af den registreredes anmodning, underretter den dataansvarlige straks og senest en måned efter modtagelsen af anmodningen den registrerede om årsagen hertil og om muligheden for at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse og indbringe sagen for en retsinstans.
5.   Oplysninger, der gives i henhold til artikel 15 og 16, og enhver meddelelse og enhver foranstaltning, der træffes i henhold til artikel 17-24 og artikel 35, er gratis. Hvis anmodninger fra en registreret er åbenbart grundløse eller overdrevne, især fordi de gentages, kan den dataansvarlige afvise at efterkomme anmodningen. Bevisbyrden for, at anmodningen er åbenbart grundløs eller overdreven, påhviler den dataansvarlige.
6.   Uden at det berører artikel 12 kan den dataansvarlige, hvis der hersker rimelig tvivl om identiteten af den fysiske person, der fremsætter en anmodning som omhandlet i artikel 17-23, anmode om yderligere oplysninger, der er nødvendige for at bekræfte den registreredes identitet.
7.   De oplysninger, der skal gives til registrerede i henhold til artikel 15 og 16, kan gives sammen med standardiserede ikoner for at give et meningsfuldt overblik over den planlagte behandling på en klart synlig, letforståelig og letlæselig måde. Hvis ikonerne præsenteres elektronisk, skal de være maskinlæsbare.
8.   Hvis Kommissionen vedtager delegerede retsakter i henhold til artikel 12, stk. 8, i forordning (EU) 2016/679, der fastlægger de oplysninger, som skal fremgå af ikonerne og procedurerne for tilvejebringelse af standardiserede ikoner, tilvejebringer Unionens institutioner og organer, hvor det er relevant, de oplysninger, der er omhandlet i nærværende forordnings artikel 15 og 16, sammen med sådanne standardiserede ikoner.
AFDELING 2
Oplysning og indsigt i personoplysninger
Artikel 15
Oplysningspligt ved indsamling af personoplysninger hos den registrerede
1.   Hvis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede alle følgende oplysninger:
a)
identitet på og kontaktoplysninger for den dataansvarlige
b)
kontaktoplysninger for databeskyttelsesrådgiveren
c)
formålene med den behandling, som personoplysningerne skal bruges til, og retsgrundlaget for behandlingen
d)
eventuelle modtagere eller kategorier af modtagere af personoplysningerne
e)
hvor det er relevant, at den dataansvarlige agter at overføre personoplysninger til et tredjeland eller en international organisation, og om hvorvidt Kommissionen har truffet afgørelse om tilstrækkeligheden af beskyttelsesniveauet, eller i tilfælde af overførsler i henhold til artikel 48, henvisning til de fornødne eller passende garantier, og hvordan der kan fås en kopi heraf, eller hvor de er blevet gjort tilgængelige.
2.   Ud over de oplysninger, der er omhandlet i stk. 1, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede følgende yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling:
a)
det tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum
b)
retten til at anmode den dataansvarlige om indsigt i og berigtigelse eller sletning af personoplysninger eller begrænsning af behandling vedrørende den registrerede eller, hvor det er relevant, retten til at gøre indsigelse mod behandling samt retten til dataportabilitet
c)
når behandling er baseret på artikel 5, stk. 1, litra d), eller artikel 10, stk. 2, litra a), retten til at trække samtykke tilbage på ethvert tidspunkt, uden at dette berører lovligheden af behandling, der er baseret på samtykke, inden tilbagetrækning heraf
d)
retten til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse
e)
om meddelelse af personoplysninger er lovpligtigt eller et krav i henhold til en kontrakt eller et krav, der skal være opfyldt for at indgå en kontrakt, samt om den registrerede har pligt til at give personoplysningerne og de eventuelle konsekvenser af ikke at give sådanne oplysninger
f)
forekomsten af automatiske afgørelser, herunder profilering, som omhandlet i artikel 24, stk. 1 og 4, og i disse tilfælde som minimum meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede.
3.   Hvis den dataansvarlige agter at viderebehandle personoplysningerne til et andet formål end det, hvortil de er indsamlet, giver den dataansvarlige forud for denne viderebehandling den registrerede oplysninger om dette andet formål og andre relevante yderligere oplysninger, jf. stk. 2.
4.   Stk. 1, 2 og 3 finder ikke anvendelse, hvis og i det omfang den registrerede allerede er bekendt med oplysningerne.
Artikel 16
Oplysningspligt, hvis personoplysninger ikke er indsamlet hos den registrerede
1.   Hvis personoplysningerne ikke er indsamlet hos den registrerede, giver den dataansvarlige den registrerede følgende oplysninger:
a)
identitet på og kontaktoplysninger for den dataansvarlige
b)
kontaktoplysninger for databeskyttelsesrådgiveren
c)
formålene med den behandling, som personoplysningerne skal bruges til, samt retsgrundlaget for behandlingen
d)
de berørte kategorier af personoplysninger
e)
eventuelle modtagere eller kategorier af modtagere af personoplysningerne
f)
hvor det er relevant, at den dataansvarlige agter at overføre personoplysninger til en modtager i et tredjeland eller en international organisation, og om hvorvidt Kommissionen har truffet afgørelse om tilstrækkeligheden af beskyttelsesniveauet, eller i tilfælde af overførsler i henhold til artikel 48, henvisning til de fornødne eller passende garantier, og hvordan der kan fås en kopi heraf, eller hvor de er blevet gjort tilgængelige.
2.   Ud over de oplysninger, der er omhandlet i stk. 1, giver den dataansvarlige den registrerede følgende yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling for så vidt angår den registrerede:
a)
det tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum
b)
retten til at anmode den dataansvarlige om indsigt i og berigtigelse eller sletning af personoplysninger eller begrænsning af behandling vedrørende den registrerede eller, hvor det er relevant, retten til at gøre indsigelse mod behandling eller retten til dataportabilitet
c)
når behandling er baseret på artikel 5, stk. 1, litra d), eller artikel 10, stk. 2, litra a), retten til at trække samtykke tilbage på ethvert tidspunkt, uden at dette berører lovligheden af behandling, der er baseret på samtykke, inden tilbagetrækning heraf
d)
retten til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse
e)
hvilken kilde personoplysningerne hidrører fra, og eventuelt hvorvidt de stammer fra offentligt tilgængelige kilder
f)
forekomsten af automatiske afgørelser, herunder profilering, som omhandlet i artikel 24, stk. 1 og 4, og i disse tilfælde som minimum meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede.
3.   Den dataansvarlige giver de oplysninger, der er omhandlet i stk. 1 og 2:
a)
inden for en rimelig frist efter indsamlingen af personoplysningerne, men senest inden for en måned under hensyn til de specifikke forhold, som personoplysningerne er behandlet under,
b)
hvis personoplysningerne skal bruges til at kommunikere med den registrerede, senest på tidspunktet for den første kommunikation med den registrerede, eller
c)
hvis personoplysningerne er bestemt til videregivelse til en anden modtager, senest når personoplysningerne videregives første gang.
4.   Hvis den dataansvarlige agter at viderebehandle personoplysningerne til et andet formål end det, hvortil de er indsamlet, giver den dataansvarlige forud for denne viderebehandling den registrerede oplysninger om dette andet formål samt andre relevante yderligere oplysninger, jf. stk. 2.
5.   Stk. 1-4 finder ikke anvendelse, hvis og i det omfang:
a)
den registrerede allerede er bekendt med oplysningerne
b)
meddelelse af sådanne oplysninger viser sig umulig eller vil kræve en uforholdsmæssigt stor indsats, navnlig i forbindelse med behandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål, eller i det omfang den forpligtelse, der er omhandlet i denne artikels stk. 1, sandsynligvis vil gøre det umuligt eller i alvorlig grad vil hindre opfyldelse af formålene med denne behandling
c)
indsamling eller videregivelse udtrykkeligt er fastsat i EU-retten, som fastsætter passende foranstaltninger til beskyttelse af den registreredes legitime interesser, eller
d)
personoplysningerne skal forblive fortrolige som følge af tavshedspligt i henhold til EU-retten, herunder lovbestemt tavshedspligt.
6.   I de tilfælde, der er omhandlet i stk. 5, litra b), træffer den dataansvarlige passende foranstaltninger til at beskytte den registreredes rettigheder og frihedsrettigheder og legitime interesser, herunder gøre oplysningerne offentligt tilgængelige.
Artikel 17
Den registreredes indsigtsret
1.   Den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne og følgende information:
a)
formålene med behandlingen
b)
de berørte kategorier af personoplysninger
c)
de modtagere eller kategorier af modtagere, som personoplysningerne er eller vil blive videregivet til, navnlig modtagere i tredjelande eller internationale organisationer
d)
om muligt, det påtænkte tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til fastlæggelse af dette tidsrum
e)
retten til at anmode den dataansvarlige om berigtigelse eller sletning af personoplysninger eller begrænsning af behandling af personoplysninger vedrørende den registrerede eller til at gøre indsigelse mod en sådan behandling
f)
retten til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse
g)
enhver tilgængelig information om, hvorfra personoplysningerne stammer, hvis de ikke indsamles hos den registrerede
h)
forekomsten af automatiske afgørelser, herunder profilering, som omhandlet i artikel 24, stk. 1 og 4, og i disse tilfælde som minimum meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede.
2.   Hvis personoplysningerne overføres til et tredjeland eller en international organisation, har den registrerede ret til at blive underrettet om de fornødne garantier i medfør af artikel 48 i forbindelse med overførslen.
3.   Den dataansvarlige udleverer en kopi af de personoplysninger, der behandles. Hvis den registrerede indgiver anmodningen elektronisk, og medmindre den registrerede anmoder om andet, udleveres oplysningerne i en almindeligt anvendt elektronisk form.
4.   Retten til at modtage en kopi som omhandlet i stk. 3 må ikke krænke andres rettigheder og frihedsrettigheder.
AFDELING 3
Berigtigelse og sletning
Artikel 18
Ret til berigtigelse
Den registrerede har ret til at få urigtige personoplysninger om sig selv berigtiget af den dataansvarlige uden unødig forsinkelse. Den registrerede har under hensyntagen til formålene med behandlingen ret til få fuldstændiggjort ufuldstændige personoplysninger, bl.a. ved at fremlægge en supplerende erklæring.
Artikel 19
Ret til sletning (»ret til at blive glemt«)
1.   Den registrerede har ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, hvis et af følgende forhold gør sig gældende:
a)
Personoplysningerne er ikke længere nødvendige til at opfylde de formål, hvortil de blev indsamlet eller på anden vis behandlet.
b)
Den registrerede trækker det samtykke, der er grundlaget for behandlingen, jf. artikel 5, stk. 1, litra d), eller artikel 10, stk. 2, litra a), tilbage, og der er ikke et andet retsgrundlag for behandlingen.
c)
Den registrerede gør indsigelse mod behandlingen i henhold til artikel 23, stk. 1, og der foreligger ikke legitime grunde til behandlingen.
d)
Personoplysningerne er blevet behandlet ulovligt.
e)
Personoplysningerne skal slettes for at overholde en retlig forpligtelse, som den dataansvarlige er underlagt.
f)
Personoplysningerne er blevet indsamlet i forbindelse med udbud af informationssamfundstjenester som omhandlet i artikel 8, stk. 1.
2.   Hvis den dataansvarlige har offentliggjort personoplysningerne og i henhold til stk. 1 er forpligtet til at slette personoplysningerne, træffer den dataansvarlige under hensyntagen til den teknologi, der er tilgængelig, og omkostningerne ved implementeringen, rimelige foranstaltninger, herunder tekniske foranstaltninger, til at underrette de dataansvarlige, eller andre dataansvarlige end Unionens institutioner og organer, som behandler personoplysningerne, om, at den registrerede har anmodet disse dataansvarlige om at slette alle link til eller kopier eller gengivelser af de pågældende personoplysninger.
3.   Stk. 1 og 2 finder ikke anvendelse, i det omfang denne behandling er nødvendig:
a)
for at udøve retten til ytrings- og informationsfrihed
b)
for at overholde en retlig forpligtelse, som den dataansvarlige er underlagt, eller for at udføre en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt
c)
af hensyn til samfundsinteresser på folkesundhedsområdet i overensstemmelse med artikel 10, stk. 2, litra h) og i), samt artikel 10, stk. 3
d)
til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål, i det omfang den rettighed, der er omhandlet i stk. 1, sandsynligvis vil gøre det umuligt eller i alvorlig grad hindre opfyldelse af denne behandling, eller
e)
for at retskrav kan fastlægges, gøres gældende eller forsvares.
Artikel 20
Ret til begrænsning af behandling
1.   Den registrerede har ret til fra den dataansvarlige at opnå begrænsning af behandling, hvis et af følgende forhold gør sig gældende:
a)
rigtigheden af personoplysningerne bestrides af den registrerede, i perioden indtil den dataansvarlige har haft mulighed for at fastslå, om personoplysningerne er korrekte, herunder om de er fuldstændige
b)
behandlingen er ulovlig, og den registrerede modsætter sig sletning af personoplysningerne og i stedet anmoder om, at anvendelse heraf begrænses
c)
den dataansvarlige har ikke længere brug for personoplysningerne til behandlingen, men de er nødvendige for, at et retskrav kan fastlægges, gøres gældende eller forsvares
d)
den registrerede har gjort indsigelse mod behandlingen i medfør af artikel 23, stk. 1, i perioden, mens det kontrolleres, om den dataansvarliges legitime interesser går forud for den registreredes legitime interesser.
2.   Hvis behandling er blevet begrænset i medfør af stk. 1, må sådanne personoplysninger, bortset fra opbevaring, kun behandles med den registreredes samtykke eller med henblik på, at et retskrav kan fastlægges, gøres gældende eller forsvares eller for at beskytte en anden fysisk eller juridisk person eller af hensyn til Unionens eller en medlemsstats vigtige samfundsinteresser.
3.   En registreret, der har opnået begrænsning af behandling i medfør af stk. 1, underrettes af den dataansvarlige, inden begrænsningen af behandlingen ophæves.
4.   I automatiske registre begrænses behandling i princippet ved hjælp af tekniske hjælpemidler. Det forhold, at personoplysninger er begrænset, angives i registret på en sådan måde, at det klart fremgår, at personoplysningerne ikke må benyttes.
Artikel 21
Underretningspligt i forbindelse med berigtigelse eller sletning af personoplysninger eller begrænsning af behandling
Den dataansvarlige underretter hver modtager, som personoplysningerne er videregivet til, om enhver berigtigelse eller sletning af personoplysninger eller begrænsning af behandling, der er udført i henhold til artikel 18, artikel 19, stk. 1, og artikel 20, medmindre dette viser sig umuligt eller er uforholdsmæssigt vanskeligt. Den dataansvarlige oplyser den registrerede om disse modtagere, hvis den registrerede anmoder herom.
Artikel 22
Ret til dataportabilitet
1.   Den registrerede har ret til i et struktureret, almindeligt anvendt og maskinlæsbart format at modtage personoplysninger om sig selv, som vedkommende har givet til en dataansvarlig, og har ret til at fremsende disse oplysninger til en anden dataansvarlig uden hindring fra den dataansvarlige, som personoplysningerne er blevet givet til, når:
a)
behandlingen er baseret på samtykke, jf. artikel 5, stk. 1, litra d), eller artikel 10, stk. 2, litra a), eller på en kontrakt, jf. artikel 5, stk. 1, litra c), og
b)
behandlingen foretages automatisk.
2.   Når den registrerede udøver sin ret til dataportabilitet i henhold til stk. 1, har den registrerede ret til at få fremsendt personoplysningerne direkte fra en dataansvarlig til en anden eller til andre dataansvarlige end Unionens institutioner og organer, hvis det er teknisk muligt.
3.   Udøvelsen af den ret, der er omhandlet i stk. 1 i denne artikel, berører ikke artikel 19. Den nævnte ret finder ikke anvendelse på behandling, der er nødvendig for udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.
4.   Den ret, der er omhandlet i stk. 1, må ikke krænke andres rettigheder eller frihedsrettigheder.
AFDELING 4
Ret til indsigelse og automatiske individuelle afgørelser
Artikel 23
Indsigelsesret
1.   Den registrerede har til enhver tid ret til af grunde, der vedrører den pågældendes særlige situation, at gøre indsigelse mod behandling af sine personoplysninger baseret på artikel 5, stk. 1, litra a), herunder profilering baseret på denne bestemmelse. Den dataansvarlige må ikke længere behandle personoplysningerne, medmindre den dataansvarlige påviser vægtige legitime grunde til behandlingen, der går forud for registreredes interesser, rettigheder og frihedsrettigheder, eller behandlingen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares.
2.   Senest på tidspunktet for den første kommunikation med den registrerede skal denne udtrykkeligt gøres opmærksom på den ret, der er omhandlet i stk. 1, og oplysninger herom skal meddeles klart og adskilt fra alle andre oplysninger.
3.   I forbindelse med anvendelse af informationssamfundstjenester kan den registrerede udøve sin ret til indsigelse gennem automatiske midler ved brug af tekniske specifikationer, jf. dog artikel 36 og 37.
4.   Hvis personoplysninger behandles med henblik på videnskabelige eller historiske forskningsformål eller statistiske formål, har den registrerede ret til af grunde, der vedrører den pågældendes særlige situation, at gøre indsigelse mod behandling af personoplysninger vedrørende den pågældende, medmindre behandlingen er nødvendig for at udføre en opgave i samfundets interesse.
Artikel 24
Automatiske individuelle afgørelser, herunder profilering
1.   Den registrerede har ret til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, herunder profilering, som har retsvirkning eller på tilsvarende vis betydeligt påvirker den pågældende.
2.   Stk. 1 finder ikke anvendelse, hvis afgørelsen:
a)
er nødvendig for indgåelse eller opfyldelse af en kontrakt mellem den registrerede og den dataansvarlige
b)
er hjemlet i EU-retten, som også fastsætter passende foranstaltninger til beskyttelse af den registreredes rettigheder og frihedsrettigheder samt legitime interesser, eller
c)
er baseret på den registreredes udtrykkelige samtykke.
3.   I de tilfælde, der er omhandlet i stk. 2, litra a) og c), gennemfører den dataansvarlige passende foranstaltninger til at beskytte den registreredes rettigheder og frihedsrettigheder samt legitime interesser, i det mindste den registreredes ret til menneskelig indgriben fra den dataansvarliges side, til at tilkendegive sine synspunkter og til at bestride afgørelsen.
4.   De afgørelser, der er omhandlet i denne artikels stk. 2, må ikke baseres på særlige kategorier af personoplysninger, jf. artikel 10, stk. 1, medmindre artikel 10, stk. 2, litra a) eller g), finder anvendelse, og der er indført passende foranstaltninger til beskyttelse af den registreredes rettigheder og frihedsrettigheder samt legitime interesser.
AFDELING 5
Begrænsninger
Artikel 25
Begrænsninger
1.   Retsakter vedtaget på grundlag af traktaterne eller, i spørgsmål vedrørende Unionens institutioner og organer, interne regler, som disse har fastsat, kan begrænse anvendelsen af artikel 14-22, 35 og 36, samt artikel 4, for så vidt bestemmelserne heri svarer til rettighederne og forpligtelserne i artikel 14-22, når en sådan begrænsning respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund af hensyn til:
a)
medlemsstaternes nationale sikkerhed, offentlige sikkerhed og forsvar
b)
forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed
c)
andre vigtige målsætninger i forbindelse med beskyttelse af Unionens eller en medlemsstats generelle samfundsinteresser, navnlig målene med Unionens fælles udenrigs- og sikkerhedspolitik eller Unionens eller en medlemsstats væsentlige økonomiske eller finansielle interesser, herunder valuta-, budget- og skatteanliggender, folkesundhed og social sikkerhed
d)
Unionens institutioners og organers interne sikkerhed, herunder deres elektroniske kommunikationsnetværk
e)
beskyttelse af retsvæsenets uafhængighed og retssager
f)
forebyggelse, efterforskning, afsløring og retsforfølgning i forbindelse med brud på etiske regler for lovregulerede erhverv
g)
kontrol-, tilsyns- eller reguleringsfunktioner, herunder opgaver af midlertidig karakter, der er forbundet med offentlig myndighedsudøvelse i de tilfælde, der er omhandlet i litra a)-c)
h)
beskyttelse af den registreredes eller andres rettigheder og frihedsrettigheder
i)
håndhævelse af civilretlige krav.
2.   Navnlig skal enhver retsakt eller intern regel, der er omhandlet i stk. 1, hvor det er relevant, indeholde specifikke bestemmelser vedrørende:
a)
formålene med behandlingen eller kategorierne af behandling
b)
kategorierne af personoplysninger
c)
rækkevidden af de indførte begrænsninger
d)
garantierne for at undgå misbrug eller ulovlig adgang eller overførsel
e)
specifikation af den dataansvarlige eller kategorierne af dataansvarlige
f)
opbevaringsperioderne og de gældende garantier under hensyntagen til karakteren, omfanget og formålet med behandlingen eller med kategorierne af behandling og
g)
risiciene for de registreredes rettigheder og frihedsrettigheder.
3.   Når personoplysninger behandles til videnskabelige eller historiske forskningsformål eller til statistiske formål, kan EU-retten, der kan omfatte interne regler vedtaget af Unionens institutioner og organer i spørgsmål vedrørende deres funktion, fastsætte undtagelser fra de rettigheder, der er omhandlet i artikel 17, 18, 20 og 23, under iagttagelse af de betingelser og garantier, der er omhandlet i artikel 13, såfremt sådanne rettigheder sandsynligvis vil umuliggøre eller i alvorlig grad hindre opfyldelse af de specifikke formål, og sådanne undtagelser er nødvendige for at opfylde formålene.
4.   Når personoplysninger behandles til arkivformål i samfundets interesse, kan EU-retten, der kan omfatte interne regler vedtaget af Unionens institutioner og organer i spørgsmål vedrørende deres funktion, fastsætte undtagelser fra de rettigheder, der er omhandlet i artikel 17, 18, 20, 21, 22 og 23, under iagttagelse af de betingelser og garantier, der er omhandlet i artikel 13, såfremt sådanne rettigheder sandsynligvis vil umuliggøre eller i alvorlig grad hindre opfyldelse af de specifikke formål, og sådanne undtagelser er nødvendige for at opfylde formålene.
5.   De interne regler, der er omhandlet i stk. 1, 3 og 4, skal have form af klare og præcise almengyldige retsakter med retsvirkning over for registrerede og vedtaget på højeste forvaltningsniveau i Unionens institutioner og organer og skal offentliggøres i 
Den Europæiske Unions Tidende
.
6.   Hvis der pålægges en begrænsning som omhandlet i stk. 1, underrettes den registrerede i overensstemmelse med EU-retten om de vigtigste bevæggrunde, der ligger til grund for anvendelsen af begrænsningen, og om sin ret til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse.
7.   Hvis en begrænsning, der er pålagt i henhold til stk. 1, påberåbes for at nægte den registrerede adgang til indsigt, underretter Den Europæiske Tilsynsførende for Databeskyttelse, når vedkommende undersøger klagen, kun den registrerede om, hvorvidt oplysningerne er behandlet korrekt, og, hvis dette ikke er tilfældet, hvorvidt de nødvendige korrektioner er foretaget.
8.   Den bestemmelse om underretning, der er omhandlet i nærværende artikels stk. 6 og 7 og i artikel 45, stk. 2, kan udsættes, udelades eller afvises, hvis den ville ophæve virkningen af den pålagte begrænsning, jf. nærværende artikels stk. 1.
KAPITEL IV
DATAANSVARLIG OG DATABEHANDLER
AFDELING 1
Generelle forpligtelser
Artikel 26
Den dataansvarliges ansvar
1.   Under hensyntagen til den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder gennemfører den dataansvarlige passende tekniske og organisatoriske foranstaltninger for at sikre og for at være i stand til at påvise, at behandling er i overensstemmelse med denne forordning. Disse foranstaltninger skal om nødvendigt revideres og ajourføres.
2.   Hvis det står i rimeligt forhold til behandlingsaktiviteter, skal de foranstaltninger, der er omhandlet i stk. 1, omfatte den dataansvarliges implementering af passende databeskyttelsespolitikker.
3.   Overholdelse af godkendte certificeringsmekanismer som omhandlet i artikel 42 i forordning (EU) 2016/679 kan bruges som et element til at påvise overholdelse af den dataansvarliges forpligtelser.
Artikel 27
Databeskyttelse gennem design og databeskyttelse gennem standardindstillinger
1.   Under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder, som behandlingen indebærer, gennemfører den dataansvarlige både på tidspunktet for fastlæggelse af midlerne til behandling og på tidspunktet for selve behandlingen passende tekniske og organisatoriske foranstaltninger, såsom pseudonymisering, som er designet med henblik på effektiv implementering af databeskyttelsesprincipper, såsom dataminimering, og med henblik på integrering af de fornødne garantier i behandlingen for at opfylde kravene i denne forordning og beskytte de registreredes rettigheder.
2.   Den dataansvarlige gennemfører passende tekniske og organisatoriske foranstaltninger med henblik på gennem standardindstillinger at sikre, at kun personoplysninger, der er nødvendige til hvert specifikt formål med behandlingen, behandles. Denne forpligtelse gælder for den mængde personoplysninger, der indsamles, og omfanget af deres behandling samt deres opbevaringsperiode og tilgængelighed. Sådanne foranstaltninger skal navnlig gennem standardindstillinger sikre, at personoplysninger ikke uden den pågældende fysiske persons indgriben stilles til rådighed for et ubegrænset antal fysiske personer.
3.   En godkendt certificeringsmekanisme i medfør af artikel 42 i forordning (EU) 2016/679 kan bruges som et element til at påvise overholdelse af kravene i nærværende artikels stk. 1 og 2.
Artikel 28
Fælles dataansvarlige
1.   Når to eller flere dataansvarlige eller en eller flere dataansvarlige sammen med en eller flere andre dataansvarlige end Unionens institutioner og organer, i fællesskab afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling, er de fælles dataansvarlige. De fastlægger på en gennemsigtig måde deres respektive ansvar for overholdelse af deres databeskyttelsesforpligtelser, navnlig hvad angår udøvelse af den registreredes rettigheder og deres respektive forpligtelser til at fremlægge de oplysninger, der er omhandlet i artikel 15 og 16, ved hjælp af en ordning mellem dem, medmindre og i det omfang de fælles dataansvarliges respektive ansvar er fastlagt i EU-retten eller medlemsstaternes nationale ret, som de fælles dataansvarlige er underlagt. I ordningen kan der udpeges et kontaktpunkt for registrerede.
2.   Ordningen, der er omhandlet i stk. 1, skal på behørig vis afspejle de fælles dataansvarliges respektive roller og forhold til de registrerede. Det væsentligste indhold af ordningen skal gøres tilgængeligt for de registrerede.
3.   Uanset udformningen af den ordning, der er omhandlet i stk. 1, kan den registrerede udøve sine rettigheder i medfør af denne forordning med hensyn til og over for den enkelte dataansvarlige.
Artikel 29
Databehandler
1.   Hvis en behandling skal foretages på vegne af en dataansvarlig, benytter den dataansvarlige udelukkende databehandlere, der kan stille de fornødne garantier for, at de vil gennemføre de passende tekniske og organisatoriske foranstaltninger på en sådan måde, at behandling opfylder kravene i denne forordning og sikrer beskyttelse af den registreredes rettigheder.
2.   Databehandleren må ikke gøre brug af en anden databehandler uden forudgående specifik eller generel skriftligt godkendelse fra den dataansvarlige. I tilfælde af generel skriftlig godkendelse skal databehandleren underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af andre databehandlere og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer.
3.   En databehandlers behandling skal være reguleret af en kontrakt eller et andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, der er bindende for databehandleren med hensyn til den dataansvarlige, og som fastsætter genstanden for og varigheden af behandlingen, behandlingens karakter og formål, typen af personoplysninger og kategorierne af registrerede samt den dataansvarliges forpligtelser og rettigheder. Denne kontrakt eller dette andet retlige dokument fastsætter navnlig, at databehandleren:
a)
kun må behandle personoplysninger efter dokumenterede instrukser fra den dataansvarlige, herunder for så vidt angår overførsel af personoplysninger til et tredjeland eller en international organisation, medmindre det kræves i henhold til EU-retten eller medlemsstaternes nationale ret, som databehandleren er underlagt. I så fald underretter databehandleren den dataansvarlige om dette retlige krav inden behandlingen, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser
b)
sikrer, at de personer, der er autoriseret til at behandle personoplysninger, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt
c)
iværksætter alle foranstaltninger, som kræves i henhold til artikel 33
d)
opfylder de betingelser, der er omhandlet i stk. 2 og 4, for at gøre brug af en anden databehandler
e)
under hensyntagen til behandlingens karakter, så vidt muligt bistår den dataansvarlige ved hjælp af passende tekniske og organisatoriske foranstaltninger, med opfyldelse af den dataansvarliges forpligtelse til at besvare anmodninger om udøvelse af de registreredes rettigheder som fastlagt i kapitel III
f)
bistår den dataansvarlige med at sikre overholdelse af forpligtelserne i medfør af artikel 33-41 under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for databehandleren
g)
efter den dataansvarliges valg sletter eller tilbageleverer alle personoplysninger til den dataansvarlige, efter at tjenesterne vedrørende behandling er ophørt, og sletter eksisterende kopier, medmindre EU-retten eller medlemsstaternes nationale ret foreskriver opbevaring af personoplysningerne
h)
stiller alle oplysninger, der er nødvendige for at påvise overholdelse af kravene i denne artikel, til rådighed for den dataansvarlige og giver mulighed for og bidrager til revisioner, herunder inspektioner, der foretages af den dataansvarlige eller en anden revisor, som er bemyndiget af den dataansvarlige.
For så vidt angår første afsnits litra h) underretter databehandleren omgående den dataansvarlige, hvis en instruks efter vedkommendes mening er i strid med denne forordning eller databeskyttelsesbestemmelser i anden EU-ret eller medlemsstaternes nationale ret.
4.   Gør en databehandler brug af en anden databehandler i forbindelse med udførelse af specifikke behandlingsaktiviteter på vegne af den dataansvarlige, pålægges denne anden databehandler de samme databeskyttelsesforpligtelser som dem, der er fastsat i kontrakten eller et andet retligt dokument mellem den dataansvarlige og databehandleren som omhandlet i stk. 3, gennem en kontrakt eller et andet retligt dokument i henhold til EU-retten eller medlemsstaternes nationale ret, hvorved der navnlig stilles de fornødne garantier for, at de vil gennemføre de passende tekniske og organisatoriske foranstaltninger på en sådan måde, at behandlingen opfylder kravene i denne forordning. Hvis denne anden databehandler ikke opfylder sine databeskyttelsesforpligtelser, forbliver den oprindelige databehandler fuldt ansvarlig over for den dataansvarlige med hensyn til opfyldelsen af denne anden databehandlers forpligtelser.
5.   Når en databehandler ikke er en af Unionens institutioner eller et af Unionens organer, kan denne databehandlers overholdelse af en godkendt adfærdskodeks som omhandlet i artikel 40, stk. 5, i forordning (EU) 2016/679 eller en godkendt certificeringsmekanisme som omhandlet i artikel 42 i forordning (EU) 2016/679 bruges som et element til at påvise fornødne garantier som omhandlet i nærværende artikels stk. 1 og 4.
6.   Uden at det berører en eventuel individuel kontrakt mellem den dataansvarlige og databehandleren, kan kontrakten eller det andet retlige dokument, der er omhandlet i denne artikels stk. 3 og 4, helt eller delvis baseres på de standardkontraktbestemmelser, der er omhandlet i denne artikels stk. 7 og 8, herunder når de indgår i en certificering, der er meddelt den dataansvarlige bortset fra en af Unionens institutioner eller et af Unionens organer, jf. artikel 42 i forordning (EU) 2016/679.
7.   Kommissionen kan fastsætte standardkontraktbestemmelser i de tilfælde, der er omhandlet i denne artikels stk. 3 og 4, og i overensstemmelse med undersøgelsesproceduren, der er omhandlet i artikel 96, stk. 2.
8.   Den Europæiske Tilsynsførende for Databeskyttelse kan vedtage standardkontraktbestemmelser for de tilfælde, der er omhandlet i denne artikels stk. 3 og 4.
9.   Kontrakten eller det andet retlige dokument, der er omhandlet i stk. 3 og 4, skal foreligge skriftligt, herunder elektronisk.
10.   Hvis en databehandler overtræder denne forordning ved at fastlægge formålene med og hjælpemidlerne til behandling, anses databehandleren for at være en dataansvarlig for så vidt angår den pågældende behandling, uden at dette berører artikel 65 og 66.
Artikel 30
Behandling, der udføres for den dataansvarlige eller databehandleren
Databehandleren og enhver, der udfører arbejde for den dataansvarlige eller databehandleren, og som har adgang til personoplysninger, behandler kun disse oplysninger efter instruks fra den dataansvarlige, medmindre det kræves i henhold til EU-retten eller medlemsstaternes nationale ret.
Artikel 31
Fortegnelser over behandlingsaktiviteter
1.   Hver dataansvarlig fører fortegnelser over de behandlingsaktiviteter, der udføres under vedkommendes ansvar. Disse fortegnelser skal omfatte alle følgende oplysninger:
a)
navn på og kontaktoplysninger for den dataansvarlige, databeskyttelsesrådgiveren og, hvis det er relevant, databehandleren og den fælles dataansvarlige
b)
formålene med behandlingen
c)
en beskrivelse af kategorierne af registrerede og kategorierne af personoplysninger
d)
de kategorier af modtagere, som personoplysningerne er eller vil blive videregivet til, herunder modtagere i medlemsstater, tredjelande eller internationale organisationer
e)
hvor det er relevant, overførsler af personoplysninger til et tredjeland eller en international organisation, herunder angivelse af dette tredjeland eller denne internationale organisation og dokumentation for passende garantier
f)
hvis det er muligt, de forventede tidsfrister for sletning af de forskellige kategorier af oplysninger
g)
hvis det er muligt, en generel beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger omhandlet i artikel 33.
2.   Hver databehandler fører fortegnelser over alle kategorier af behandlingsaktiviteter, der foretages på vegne af en dataansvarlig, idet fortegnelsen skal indeholde:
a)
navn på og kontaktoplysninger for databehandleren eller databehandlerne og for hver dataansvarlig, på hvis vegne databehandleren handler, samt databeskyttelsesrådgiveren
b)
de kategorier af behandling, der foretages på vegne af den enkelte dataansvarlige
c)
hvor det er relevant, overførsler af personoplysninger til et tredjeland eller en international organisation, herunder angivelse af dette tredjeland eller denne internationale organisation og dokumentation for passende garantier
d)
hvis det er muligt, en generel beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger omhandlet i artikel 33.
3.   De fortegnelser, der er omhandlet i stk. 1 og 2, skal foreligge skriftligt, herunder elektronisk.
4.   Unionens institutioner og organer stiller fortegnelserne til rådighed for Den Europæiske Tilsynsførende for Databeskyttelse efter anmodning.
5.   Medmindre det ikke er hensigtsmæssigt under hensyntagen til den eller det pågældende af Unionens institutioners eller organers størrelse, fører Unionens institutioner og organer deres fortegnelser over behandlingsaktiviteter i et centralt register. De gør registret offentligt tilgængeligt.
Artikel 32
Samarbejde med Den Europæiske Tilsynsførende for Databeskyttelse
Unionens institutioner og organer samarbejder efter anmodning med Den Europæiske Tilsynsførende for Databeskyttelse om udførelsen af dennes opgaver.
AFDELING 2
Sikkerhed i forbindelse med personoplysninger
Artikel 33
Sikkerhed i forbindelse med behandling
1.   Under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder gennemfører den dataansvarlige og databehandleren passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici, herunder bl.a. alt efter hvad der er relevant:
a)
pseudonymisering og kryptering af personoplysninger
b)
evne til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer og -tjenester
c)
evne til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger i tilfælde af en fysisk eller teknisk hændelse
d)
en procedure for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger til sikring af behandlingssikkerhed.
2.   Ved vurderingen af, hvilket sikkerhedsniveau der er passende, tages der navnlig hensyn til de risici, som behandlingen udgør, navnlig ved hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er fremsendt, opbevaret eller på anden måde behandlet.
3.   Den dataansvarlige og databehandleren tager skridt til at sikre, at enhver fysisk person, der udfører arbejde for den dataansvarlige eller databehandleren, og som får adgang til personoplysninger, kun behandler disse efter instruks fra den dataansvarlige, medmindre behandling kræves i henhold til EU-retten.
4.   Overholdelse af en godkendt certificeringsmekanisme som omhandlet i artikel 42 i forordning (EU) 2016/679 kan bruges som et element til at påvise overholdelse af kravene i nærværende artikels stk. 1.
Artikel 34
Anmeldelse af brud på persondatasikkerheden til Den Europæiske Tilsynsførende for Databeskyttelse
1.   Ved brud på persondatasikkerheden anmelder den dataansvarlige uden unødig forsinkelse og om muligt senest 72 timer, efter at denne er blevet bekendt med det, bruddet på persondatasikkerheden til Den Europæiske Tilsynsførende for Databeskyttelse, medmindre det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder. Foretages anmeldelsen til Den Europæiske Tilsynsførende for Databeskyttelse ikke inden for 72 timer, ledsages den af en begrundelse for forsinkelsen.
2.   Databehandleren underretter uden unødig forsinkelse den dataansvarlige efter at være blevet opmærksom på, at der er sket brud på persondatasikkerheden.
3.   Den i stk. 1 omhandlede anmeldelse skal mindst:
a)
beskrive karakteren af bruddet på persondatasikkerheden, herunder, hvis det er muligt, kategorierne og det omtrentlige antal berørte registrerede samt kategorierne af og det omtrentlige antal berørte registreringer af personoplysninger
b)
angive navn og kontaktoplysninger for databeskyttelsesrådgiveren
c)
beskrive de sandsynlige konsekvenser af bruddet på persondatasikkerheden
d)
beskrive de foranstaltninger, som den dataansvarlige har truffet eller foreslår truffet for at håndtere bruddet på persondatasikkerheden, herunder, hvis det er relevant, foranstaltninger for at begrænse dets mulige skadevirkninger.
4.   Når og for så vidt som det ikke er muligt at give oplysningerne samlet, kan oplysningerne meddeles trinvist uden unødig yderligere forsinkelse.
5.   Den dataansvarlige underretter databeskyttelsesrådgiveren om bruddet på persondatasikkerheden.
6.   Den dataansvarlige dokumenterer alle brud på persondatasikkerheden, herunder de faktiske omstændigheder ved bruddet på persondatasikkerheden, dets virkninger og de trufne afhjælpende foranstaltninger. Denne dokumentation skal kunne sætte Den Europæiske Tilsynsførende for Databeskyttelse i stand til at kontrollere, at denne artikel er overholdt.
Artikel 35
Underretning om brud på persondatasikkerheden til den registrerede
1.   Når et brud på persondatasikkerheden sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, underretter den dataansvarlige uden unødig forsinkelse den registrerede om bruddet på persondatasikkerheden.
2.   Underretningen af den registrerede i henhold til i denne artikels stk. 1 skal i et klart og forståeligt sprog beskrive karakteren af bruddet på persondatasikkerheden og mindst indeholde de oplysninger og foranstaltninger, der er omhandlet i artikel 34, stk. 3, litra b), c) og d).
3.   Det er ikke nødvendigt at underrette den registrerede som omhandlet i stk. 1, hvis en af følgende betingelser er opfyldt:
a)
den dataansvarlige har gennemført passende tekniske og organisatoriske beskyttelsesforanstaltninger, og disse foranstaltninger er blevet anvendt på de personoplysninger, som er berørt af bruddet på persondatasikkerheden, navnlig foranstaltninger, der gør personoplysningerne uforståelige for enhver, der ikke har autoriseret adgang hertil, som f.eks. kryptering
b)
den dataansvarlige har truffet efterfølgende foranstaltninger, der sikrer, at den høje risiko for de registreredes rettigheder og frihedsrettigheder som omhandlet i stk. 1 sandsynligvis ikke længere er reel
c)
det vil kræve en uforholdsmæssig stor indsats. I så fald skal der i stedet foretages en offentlig meddelelse eller tilsvarende foranstaltning, hvorved de registrerede underrettes på en tilsvarende effektiv måde.
4.   Hvis den dataansvarlige ikke allerede har underrettet den registrerede om bruddet på persondatasikkerheden, kan Den Europæiske Tilsynsførende for Databeskyttelse efter at have overvejet sandsynligheden for, at bruddet på persondatasikkerheden indebærer en høj risiko, kræve, at den dataansvarlige gør dette, eller beslutte, at en af betingelserne i stk. 3 er opfyldt.
AFDELING 3
Fortrolighed af elektronisk kommunikation
Artikel 36
Fortrolighed af elektronisk kommunikation
Unionens institutioner og organer sikrer fortrolighed af elektronisk kommunikation, navnlig ved at sikre deres elektroniske kommunikationsnetværk.
Artikel 37
Beskyttelse af oplysninger, der er videresendt til, opbevares på, vedrører, er behandlet af og indsamlet fra slutbrugerens terminaludstyr
Unionens institutioner og organer beskytter oplysninger, der er videresendt til, opbevares på, vedrører, er behandlet af og indsamlet fra slutbrugeres terminaludstyr ved disses adgang til Unionens institutioners og organers offentligt tilgængelige websteder og mobilapplikationer i overensstemmelse med artikel 5, stk. 3, i direktiv 2002/58/EF.
Artikel 38
Brugerfortegnelser
1.   Personoplysninger i brugerfortegnelser og adgangen til sådanne fortegnelser begrænses til, hvad der er absolut nødvendigt for fortegnelsens særlige formål.
2.   Unionens institutioner og organer træffer alle nødvendige foranstaltninger til at sikre, at personoplysninger i disse fortegnelser, uanset om de er offentligt tilgængelige eller ej, ikke benyttes til direkte markedsføring.
AFDELING 4
Konsekvensanalyse vedrørende databeskyttelse og forudgående høring
Artikel 39
Konsekvensanalyse vedrørende databeskyttelse
1.   Hvis en type behandling, navnlig ved brug af nye teknologier, og i medfør af sin karakter, omfang, sammenhæng og formål, sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, foretager den dataansvarlige forud for behandlingen en analyse af de påtænkte behandlingsaktiviteters konsekvenser for beskyttelse af personoplysninger. En enkelt analyse kan omfatte flere lignende behandlingsaktiviteter, der indebærer lignende høje risici.
2.   Den dataansvarlige rådfører sig med databeskyttelsesrådgiveren, når der foretages en konsekvensanalyse vedrørende databeskyttelse.
3.   En konsekvensanalyse vedrørende databeskyttelse som omhandlet i stk. 1 er navnlig påkrævet i følgende tilfælde:
a)
en systematisk og omfattende vurdering af personlige forhold vedrørende fysiske personer, der er baseret på automatisk behandling, herunder profilering, og som er grundlag for afgørelser, der har retsvirkning for den fysiske person eller på tilsvarende vis betydeligt påvirker den fysiske person
b)
behandling i stort omfang af særlige kategorier af oplysninger, jf. artikel 10, eller af personoplysninger vedrørende straffedomme og lovovertrædelser, jf. artikel 11, eller
c)
systematisk overvågning af et offentligt tilgængeligt område i stort omfang.
4.   Den Europæiske Tilsynsførende for Databeskyttelse udarbejder og offentliggør en liste over de typer af behandlingsaktiviteter, der er underlagt kravet om en konsekvensanalyse vedrørende databeskyttelse i henhold til stk. 1.
5.   Den Europæiske Tilsynsførende for Databeskyttelse kan også udarbejde og offentliggøre en liste over de typer af behandlingsaktiviteter, for hvilke der ikke kræves nogen konsekvensanalyse vedrørende databeskyttelse.
6.   Inden vedtagelsen af de lister, der er omhandlet i nærværende artikels stk. 4 og 5, anmoder Den Europæiske Tilsynsførende for Databeskyttelse Det Europæiske Databeskyttelsesråd, der er oprettet ved artikel 68 i forordning (EU) 2016/679, om at undersøge disse lister i overensstemmelse med artikel 70, stk. 1, litra e), i nævnte forordning, hvis de omhandler behandlingsaktiviteter udført af en dataansvarlig, der handler sammen med en eller flere andre dataansvarlige end Unionens institutioner og organer.
7.   Analysen skal mindst omfatte:
a)
en systematisk beskrivelse af de planlagte behandlingsaktiviteter og formålene med behandlingen
b)
en vurdering af, om behandlingsaktiviteterne er nødvendige og står i rimeligt forhold til formålene
c)
en vurdering af risiciene for de registreredes rettigheder og frihedsrettigheder som omhandlet i stk. 1, og
d)
de foranstaltninger, der påtænkes for at imødegå disse risici, herunder garantier, sikkerhedsforanstaltninger og mekanismer, som kan sikre beskyttelse af personoplysninger og påvise overholdelse af denne forordning, under hensyntagen til de registreredes og andre berørte personers rettigheder og legitime interesser.
8.   Der tages behørigt hensyn til, at de relevante dataansvarlige, bortset fra Unionens institutioner og organer, overholder godkendte adfærdskodekser, jf. artikel 40 i forordning (EU) 2016/679, ved vurderingen af konsekvenserne af de behandlingsaktiviteter, der udføres af de pågældende dataansvarlige, navnlig i forbindelse med en konsekvensanalyse vedrørende databeskyttelse.
9.   Den dataansvarlige indhenter, hvis det er relevant, de registreredes eller deres repræsentanters synspunkter vedrørende den planlagte behandling, uden at det berører beskyttelse af samfundsmæssige interesser eller behandlingsaktiviteternes sikkerhed.
10.   Hvis behandling i henhold til artikel 5, stk. 1, litra a) eller b), har hjemmel i en retsakt vedtaget på grundlag af traktaterne, der regulerer den eller de pågældende specifikke behandlingsaktiviteter, og der allerede er foretaget en konsekvensanalyse vedrørende databeskyttelse som led i en generel konsekvensanalyse inden vedtagelsen af denne retsakt, finder nærværende artikels stk. 1-6 ikke anvendelse, medmindre andet er fastsat i denne retsakt.
11.   Den dataansvarlige foretager, hvis det er nødvendigt, en fornyet gennemgang for at vurdere, hvorvidt behandling er foretaget i overensstemmelse med konsekvensanalysen vedrørende databeskyttelse, i det mindste når der er en ændring af den risiko, som behandlingsaktiviteterne udgør.
Artikel 40
Forudgående høring
1.   Den dataansvarlige hører Den Europæiske Tilsynsførende for Databeskyttelse inden behandlingen, såfremt en konsekvensanalyse vedrørende databeskyttelse efter artikel 39 viser, at en behandling uden garantier, sikkerhedsforanstaltninger og mekanismer til at begrænse risikoen vil føre til en høj risiko for fysiske personers rettigheder og frihedsrettigheder, og den dataansvarlige mener, at risikoen ikke kan begrænses ved rimelige midler i lyset af den tilgængelig teknologi og gennemførelsesomkostningerne. Den dataansvarlige rådfører sig med databeskyttelsesrådgiveren om behovet for forudgående høring.
2.   Hvis Den Europæiske Tilsynsførende for Databeskyttelse finder, at den planlagte behandling som omhandlet i stk. 1 ville overtræde denne forordning, navnlig hvis den dataansvarlige ikke i tilstrækkelig grad har identificeret eller begrænset risikoen, giver Den Europæiske Tilsynsførende for Databeskyttelse inden for en periode på op til otte uger efter modtagelse af anmodningen om høring den dataansvarlige og, hvor det er relevant, databehandleren skriftlig rådgivning og kan i den forbindelse anvende enhver af sine beføjelser, jf. artikel 58. Denne periode kan forlænges med seks uger under hensyntagen til den påtænkte behandlings kompleksitet. Den Europæiske Tilsynsførende for Databeskyttelse underretter den dataansvarlige og, hvor det er relevant, databehandleren om enhver sådan forlængelse senest en måned efter modtagelse af anmodningen om høring sammen med begrundelsen for forsinkelsen. Disse perioder kan suspenderes, indtil Den Europæiske Tilsynsførende for Databeskyttelse har modtaget de oplysninger, som denne har anmodet om med henblik på høringen.
3.   Når Den Europæiske Tilsynsførende for Databeskyttelse skal høres, jf. stk. 1, oplyser den dataansvarlige Den Europæiske Tilsynsførende for Databeskyttelse om følgende:
a)
hvor det er relevant, ansvarsområderne for henholdsvis den dataansvarlige, de fælles dataansvarlige og de databehandlere, der er involveret i behandlingen
b)
den planlagte behandlings formål og hjælpemidler
c)
foranstaltninger og garantier til beskyttelse af de registreredes rettigheder og frihedsrettigheder i henhold til denne forordning
d)
kontaktoplysninger for databeskyttelsesrådgiveren
e)
konsekvensanalysen vedrørende databeskyttelse som omhandlet i artikel 39, og
f)
eventuelle andre oplysninger, som Den Europæiske Tilsynsførende for Databeskyttelse anmoder om.
4.   Kommissionen kan ved hjælp af en gennemførelsesretsakt fastlægge en liste over tilfælde, hvor de dataansvarlige skal høre og indhente forudgående tilladelse fra Den Europæiske Tilsynsførende for Databeskyttelse i forbindelse med behandling af personoplysninger som led i den dataansvarliges udførelse af en opgave i samfundets interesse, herunder behandling af sådanne oplysninger i sager vedrørende social sikring og folkesundhed.
AFDELING 5
Underretning og høring som led i lovgivningsproceduren
Artikel 41
Underretning og høring
1.   Unionens institutioner og organer underretter Den Europæiske Tilsynsførende For Databeskyttelse om udarbejdelsen af administrative foranstaltninger og interne regler vedrørende en af Unionens institutioner eller et af Unionens organers behandling af personoplysninger, hvad enten dette sker alene eller sammen med andre.
2.   Unionens institutioner og organer hører Den Europæiske Tilsynsførende for Databeskyttelse om udarbejdelsen af de interne regler omhandlet i artikel 25.
Artikel 42
Høring som led i lovgivningsproceduren
1.   Efter vedtagelsen af forslag til en lovgivningsmæssig retsakt, af henstillinger eller af forslag til Rådet i henhold til artikel 218 i TEUF eller ved udarbejdelsen af delegerede retsakter eller gennemførelsesretsakter hører Kommissionen Den Europæiske Tilsynsførende for Databeskyttelse, hvis der sker en påvirkning af beskyttelsen af fysiske personers rettigheder og frihedsrettigheder med hensyn til behandlingen af personoplysninger.
2.   Når en retsakt som omhandlet i stk. 1 har særlig betydning for beskyttelsen af fysiske personers rettigheder og frihedsrettigheder med hensyn til behandlingen af personoplysninger, kan Kommissionen høre Det Europæiske Databeskyttelsesråd. I sådanne tilfælde koordinerer Den Europæiske Tilsynsførende for Databeskyttelse og Det Europæiske Databeskyttelsesråd deres arbejde med henblik på at afgive en fælles udtalelse.
3.   Den rådgivning, der er omhandlet i stk. 1 og 2, ydes skriftligt inden for en periode på op til otte uger efter modtagelse af anmodningen om høring, jf. stk. 1 og 2. I hastende tilfælde, eller når det ellers er hensigtsmæssigt, kan Kommissionen afkorte fristen.
4.   Denne artikel finder ikke anvendelse, når Kommissionen i medfør af forordning (EU) 2016/679 skal høre Det Europæiske Databeskyttelsesråd.
AFDELING 6
Databeskyttelsesrådgiver
Artikel 43
Udpegelse af databeskyttelsesrådgiveren
1.   Hver af Unionens institutioner og hvert af Unionens organer udpeger en databeskyttelsesrådgiver.
2.   Unionens institutioner og organer kan udpege en fælles databeskyttelsesrådgiver for flere af dem under hensyntagen til deres organisatoriske struktur og størrelse.
3.   Databeskyttelsesrådgiveren udpeges på grundlag af sine faglige kvalifikationer, navnlig ekspertise inden for databeskyttelsesret og -praksis samt evne til at udføre de opgaver, der er omhandlet i artikel 45.
4.   Databeskyttelsesrådgiveren er en medarbejder i den eller det pågældende af Unionens institutioner eller organer. Unionens institutioner og organer kan, idet der tages hensyn til deres størrelse, og såfremt der ikke er gjort brug af muligheden i henhold til stk. 2, udpege en databeskyttelsesrådgiver, der opfylder sit hverv på grundlag af en tjenesteydelseskontrakt.
5.   Unionens institutioner og organer offentliggør kontaktoplysningerne for databeskyttelsesrådgiveren og meddeler disse til Den Europæiske Tilsynsførende for Databeskyttelse.
Artikel 44
Databeskyttelsesrådgiverens stilling
1.   Unionens institutioner og organer sikrer, at databeskyttelsesrådgiveren inddrages tilstrækkeligt og rettidigt i alle spørgsmål vedrørende beskyttelse af personoplysninger.
2.   Unionens institutioner og organer støtter databeskyttelsesrådgiveren i forbindelse med udførelsen af de i artikel 45 omhandlede opgaver ved at tilvejebringe de ressourcer, der er nødvendige for at udføre disse opgaver og få adgang til personoplysninger og behandlingsaktiviteter, samt vedligeholde databeskyttelsesrådgiverens ekspertise.
3.   Unionens institutioner og organer sikrer, at databeskyttelsesrådgiveren ikke modtager instrukser vedrørende udførelsen af disse opgaver. Den pågældende må ikke afskediges eller straffes af den dataansvarlige eller databehandleren for at udføre sine opgaver. Databeskyttelsesrådgiveren rapporterer direkte til det øverste ledelsesniveau hos den dataansvarlige eller databehandleren.
4.   Registrerede kan kontakte databeskyttelsesrådgiveren angående alle spørgsmål om behandling af deres oplysninger og om udøvelse af deres rettigheder i henhold til denne forordning.
5.   Databeskyttelsesrådgiveren og dennes personale er underlagt tavshedspligt eller fortrolighed vedrørende udførelsen af deres opgaver i overensstemmelse med EU-retten.
6.   Databeskyttelsesrådgiveren kan udføre andre opgaver og have andre pligter. Den dataansvarlige eller databehandleren sikrer, at sådanne opgaver og pligter ikke medfører en interessekonflikt.
7.   Databeskyttelsesrådgiveren kan høres af den dataansvarlige og databehandleren, af det relevante personaleudvalg og af enhver fysisk person om ethvert spørgsmål, der vedrører fortolkningen eller anvendelsen af denne forordning, uden at nogen af disse skal gå gennem de officielle kanaler. Ingen må lide skade som følge af at have gjort den kompetente databeskyttelsesrådgiver opmærksom på en sag om påstået overtrædelse af bestemmelserne i denne forordning.
8.   Databeskyttelsesrådgiveren udpeges for en periode på tre til fem år og kan genudnævnes. Databeskyttelsesrådgiveren kan kun afskediges af den eller det af Unionens institutioner eller organer, som udpegede vedkommende, hvis den pågældende ikke længere opfylder de krav, der stilles for udførelsen af vedkommendes opgaver, og kun med samtykke fra Den Europæiske Tilsynsførende for Databeskyttelse.
9.   Efter vedkommendes udpegelse registreres databeskyttelsesrådgiveren hos Den Europæiske Tilsynsførende for Databeskyttelse af den eller det af Unionens institutioner eller organer, der udpegede vedkommende.
Artikel 45
Databeskyttelsesrådgiverens opgaver
1.   Databeskyttelsesrådgiveren har følgende opgaver:
a)
at underrette og rådgive den dataansvarlige eller databehandleren og de ansatte, der behandler personoplysninger, om deres forpligtelser i henhold til denne forordning og andre EU-bestemmelser om databeskyttelse
b)
på en uafhængig måde at sikre den interne anvendelse af denne forordning; at føre tilsyn med overholdelsen af denne forordning, af anden gældende EU-ret, der indeholder bestemmelser om databeskyttelse og af den dataansvarliges eller databehandlerens politikker for beskyttelse af personoplysninger, herunder fordeling af ansvar, oplysningskampagner og uddannelse af det personale, der medvirker ved behandlingsaktiviteter, og de tilhørende revisioner
c)
at sikre, at de registrerede underrettes om deres rettigheder og forpligtelser i medfør af denne forordning
d)
på anmodning at rådgive om nødvendigheden af en anmeldelse eller underretning om et brud på persondatabeskyttelsen i henhold til artikel 34 og 35
e)
på anmodning at rådgive om konsekvensanalysen vedrørende databeskyttelse og føre tilsyn med gennemførelsen heraf i henhold til artikel 39 og at høre Den Europæiske Tilsynsførende for Databeskyttelse i tilfælde af tvivl om nødvendigheden af en sådan konsekvensanalyse
f)
på anmodning at rådgive om nødvendigheden af forudgående høring af Den Europæiske Tilsynsførende for Databeskyttelse i henhold til artikel 40; at høre Den Europæiske Tilsynsførende for Databeskyttelse i tilfælde af tvivl om nødvendigheden af en forudgående høring
g)
at besvare anmodninger fra Den Europæiske Tilsynsførende for Databeskyttelse; inden for rammerne af sine beføjelser at samarbejde med og høre Den Europæiske Tilsynsførende for Databeskyttelse på dennes anmodning eller på eget initiativ
h)
at sikre, at de registreredes rettigheder og frihedsrettigheder ikke krænkes som følge af behandlingsaktiviteter.
2.   Databeskyttelsesrådgiveren kan komme med anbefalinger til den dataansvarlige og databehandleren om, hvordan databeskyttelsen kan forbedres i praksis, og rådgive dem om spørgsmål vedrørende anvendelsen af bestemmelserne om databeskyttelse. Desuden kan vedkommende på eget initiativ eller efter anmodning fra den dataansvarlige eller databehandleren, det relevante personaleudvalg eller enhver fysisk person iværksætte undersøgelser om anliggender og forhold, der har direkte tilknytning til vedkommendes opgaver, og som kommer til vedkommendes kendskab, og aflægge rapport til den person, der har anmodet om undersøgelsen, eller til den dataansvarlige eller databehandleren.
3.   Yderligere gennemførelsesbestemmelser vedrørende databeskyttelsesrådgiveren vedtages af hver af Unionens institutioner og hvert af Unionens organer. Gennemførelsesbestemmelserne skal navnlig vedrøre databeskyttelsesrådgiverens hverv, opgaver og beføjelser.
KAPITEL V
OVERFØRSLER AF PERSONOPLYSNINGER TIL TREDJELANDE ELLER INTERNATIONALE ORGANISATIONER
Artikel 46
Generelt princip for overførsler
Enhver overførsel af personoplysninger, som underkastes behandling eller planlægges behandlet efter overførsel til et tredjeland eller en international organisation, må kun finde sted, hvis betingelserne i dette kapitel med forbehold af de øvrige bestemmelser i denne forordning opfyldes af den dataansvarlige og databehandleren, herunder ved videreoverførsel af personoplysninger fra det pågældende tredjeland eller den pågældende internationale organisation til et andet tredjeland eller en anden international organisation. Alle bestemmelserne i dette kapitel anvendes for at sikre, at det beskyttelsesniveau, som fysiske personer garanteres i medfør af denne forordning, ikke undermineres.
Artikel 47
Overførsler baseret på en afgørelse om tilstrækkeligheden af beskyttelsesniveauet
1.   En overførsel af personoplysninger fra et tredjeland eller en international organisation kan finde sted, hvis Kommissionen i henhold til artikel 45, stk. 3, i forordning (EU) 2016/679 eller artikel 36, stk. 3, i direktiv (EU) 2016/680 har fastslået, at det pågældende tredjeland, et område eller en eller flere specifikke sektorer i det pågældende tredjeland eller den pågældende internationale organisation sikrer et tilstrækkeligt beskyttelsesniveau, og hvis personoplysningerne kun overføres, for at der kan udføres opgaver, som henhører under den dataansvarliges kompetence.
2.   Unionens institutioner og organer underretter Kommissionen og Den Europæiske Tilsynsførende for Databeskyttelse om tilfælde, hvor de finder, at et tredjeland, et område eller en eller flere specifikke sektorer i et tredjeland, eller en international organisation ikke sikrer et tilstrækkeligt beskyttelsesniveau som omhandlet i stk. 1.
3.   Unionens institutioner og organer træffer de foranstaltninger, der er nødvendige for at efterkomme de afgørelser, som Kommissionen træffer, når den i medfør af artikel 45, stk. 3 eller 5, i forordning (EU) 2016/679 eller af artikel 36, stk. 3 eller 5, i direktiv (EU) 2016/680 konstaterer, at et tredjeland, et område eller en eller flere specifikke sektorer i et tredjeland, eller en international organisation sikrer eller ikke længere sikrer et tilstrækkeligt beskyttelsesniveau.
Artikel 48
Overførsler omfattet af fornødne garantier
1.   Hvis der ikke er vedtaget en afgørelse i henhold til artikel 45, stk. 3, i forordning (EU) 2016/679 eller artikel 36, stk. 3, i direktiv (EU) 2016/680, må en dataansvarlig eller databehandler kun overføre personoplysninger til et tredjeland eller en international organisation, hvis vedkommende har givet de fornødne garantier, og på betingelse af, at rettigheder, som kan håndhæves, og effektive retsmidler for registrerede er tilgængelige.
2.   De fornødne garantier som omhandlet i stk. 1 kan uden krav om specifik godkendelse fra Den Europæiske Tilsynsførende for Databeskyttelse sikres gennem:
a)
et retligt bindende instrument, som kan håndhæves, mellem offentlige myndigheder eller organer
b)
standardbestemmelser om databeskyttelse vedtaget af Kommissionen efter undersøgelsesproceduren i artikel 96, stk. 2
c)
standardbestemmelser om databeskyttelse vedtaget af Den Europæiske Tilsynsførende for Databeskyttelse og godkendt af Kommissionen efter undersøgelsesproceduren i artikel 96, stk. 2
d)
når databehandleren ikke er en af Unionens institutioner eller et af Unionens organer, bindende virksomhedsregler, adfærdskodekser eller certificeringsmekanismer i henhold til artikel 46, stk. 2, litra b), e) og f), i forordning (EU) 2016/679.
3.   Med forbehold af godkendelse fra Den Europæiske Tilsynsførende for Databeskyttelse kan de fornødne garantier, der er omhandlet i stk. 1, også sikres gennem navnlig:
a)
kontraktbestemmelser mellem den dataansvarlige eller databehandleren og den dataansvarlige, databehandleren eller modtageren af personoplysninger i tredjelandet eller den internationale organisation, eller
b)
bestemmelser, der medtages i administrative ordninger mellem offentlige myndigheder eller organer, og som omfatter effektive rettigheder, som kan håndhæves, for registrerede.
4.   Godkendelser fra Den Europæiske Tilsynsførende for Databeskyttelse på grundlag af artikel 9, stk. 7, i forordning (EF) nr. 45/2001 er gyldige, indtil de om nødvendigt ændres, erstattes eller ophæves af Den Europæiske Tilsynsførende for Databeskyttelse.
5.   Unionens institutioner og organer underretter Den Europæiske Tilsynsførende for Databeskyttelse om de kategorier af tilfælde, hvor denne artikel er blevet anvendt.
Artikel 49
Overførsel eller videregivelse uden hjemmel i EU-retten
Enhver dom afsagt af en domstol eller ret og enhver afgørelse truffet af en administrativ myndighed i et tredjeland, der kræver, at en dataansvarlig eller en databehandler overfører eller videregiver personoplysninger, kan kun anerkendes eller håndhæves på nogen måde, hvis den bygger på en international aftale såsom en traktat om gensidig retshjælp mellem det anmodende tredjeland og Unionen, uden at dette berører andre grunde til overførsel i henhold til dette kapitel.
Artikel 50
Undtagelser i særlige situationer
1.   I mangel af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet i henhold til artikel 45, stk. 3, i forordning (EU) 2016/679 eller artikel 36, stk. 3, i direktiv (EU) 2016/680 eller fornødne garantier i henhold til nærværende forordnings artikel 48, må en overførsel eller flere overførsler af personoplysninger til et tredjeland eller en international organisation kun finde sted på en af følgende betingelser:
a)
den registrerede har udtrykkeligt givet samtykke til den foreslåede overførsel efter at være blevet informeret om de mulige risici, som sådanne overførsler kan medføre for den registrerede på grund af den manglende afgørelse om tilstrækkeligheden af beskyttelsesniveauet eller fornødne garantier
b)
overførslen er nødvendig af hensyn til opfyldelse af en kontrakt mellem den registrerede og den dataansvarlige eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelsen af en sådan kontrakt
c)
overførslen er nødvendig af hensyn til indgåelse eller opfyldelse af en kontrakt, der i den registreredes interesse indgås mellem den dataansvarlige og en anden fysisk eller juridisk person
d)
overførslen er nødvendig af hensyn til vigtige samfundsinteresser
e)
overførslen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares
f)
overførslen er nødvendig for at beskytte den registreredes eller andre personers vitale interesser, hvis den registrerede ikke fysisk eller juridisk er i stand til at give samtykke eller
g)
overførslen finder sted fra et register, der ifølge EU-retten er beregnet til at informere offentligheden, og som er tilgængeligt for offentligheden generelt eller for personer, der kan godtgøre at have en legitim interesse heri, men kun i det omfang de ved EU-retten fastsatte betingelser for offentlig tilgængelighed er opfyldt i det konkrete tilfælde.
2.   Stk. 1, litra a), b) og c), finder ikke anvendelse på aktiviteter, der udføres af Unionens institutioner og organer som led i udøvelsen af deres offentligretlige beføjelser.
3.   De samfundsinteresser, der er omhandlet i stk. 1, litra d), skal være anerkendt i EU-retten.
4.   En overførsel i henhold til stk. 1, litra g), må ikke omfatte alle personoplysninger eller hele kategorier af personoplysninger i et register, medmindre det er tilladt ifølge EU-retten. Når et register er beregnet til at blive konsulteret af personer, der har en legitim interesse heri, må overførsel kun ske på anmodning af disse personer, eller hvis de skal være modtagerne.
5.   Hvis der ikke er vedtaget en afgørelse om tilstrækkeligheden af beskyttelsesniveauet, kan EU-retten af hensyn til vigtige samfundsinteresser udtrykkeligt fastsætte grænser for overførsel af særlige kategorier af personoplysninger til et tredjeland eller en international organisation.
6.   Unionens institutioner og organer underretter Den Europæiske Tilsynsførende for Databeskyttelse om de kategorier af tilfælde, hvor denne artikel er blevet anvendt.
Artikel 51
Internationalt samarbejde om beskyttelse af personoplysninger
I forhold til tredjelande og internationale organisationer tager Den Europæiske Tilsynsførende for Databeskyttelse i samarbejde med Kommissionen og Det Europæiske Databeskyttelsesråd passende skridt til at:
a)
udvikle internationale samarbejdsmekanismer med henblik på at lette effektiv håndhævelse af lovgivningen om beskyttelse af personoplysninger
b)
yde international gensidig bistand i forbindelse med håndhævelsen af lovgivningen om beskyttelse af personoplysninger, herunder gennem anmeldelse, indbringelse af klager, efterforskningsbistand og informationsudveksling, under iagttagelse af de fornødne garantier for beskyttelse af personoplysninger og andre grundlæggende rettigheder og frihedsrettigheder
c)
inddrage relevante interessenter i drøftelser og aktiviteter, der har til formål at fremme det internationale samarbejde om håndhævelse af lovgivningen om beskyttelse af personoplysninger
d)
fremme udveksling af og dokumentation for lovgivning og praksis om beskyttelse af personoplysninger, herunder om kompetencekonflikter med tredjelande.
KAPITEL VI
DEN EUROPÆISKE TILSYNSFØRENDE FOR DATABESKYTTELSE
Artikel 52
Den Europæiske Tilsynsførende for Databeskyttelse
1.   Den Europæiske Tilsynsførende for Databeskyttelse etableres herved.
2.   Med hensyn til behandling af personoplysninger er Den Europæiske Tilsynsførende for Databeskyttelse ansvarlig for at sikre, at fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til databeskyttelse, respekteres af Unionens institutioner og organer.
3.   Den Europæiske Tilsynsførende for Databeskyttelse er ansvarlig for at føre tilsyn med og sikre anvendelsen af de bestemmelser i denne forordning og i enhver anden EU-retsakt, der vedrører beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med en af Unionens institutioners eller et af Unionens organers behandling af personoplysninger, og at rådgive Unionens institutioner og organer og de registrerede om alle spørgsmål vedrørende behandling af personoplysninger. Med henblik herpå udfører Den Europæiske Tilsynsførende for Databeskyttelse de opgaver, der er fastsat i artikel 57, og udøver de beføjelser, der er tillagt vedkommende ved artikel 58.
4.   Forordning (EF) nr. 1049/2001 finder anvendelse på dokumenter, der opbevares af Den Europæiske Tilsynsførende for Databeskyttelse. Den Europæiske Tilsynsførende for Databeskyttelse vedtager nærmere regler for anvendelsen af forordning (EF) nr. 1049/2001 for så vidt angår disse dokumenter.
Artikel 53
Udnævnelse af Den Europæiske Tilsynsførende for Databeskyttelse
1.   Europa-Parlamentet og Rådet udnævner efter fælles overenskomst Den Europæiske Tilsynsførende for Databeskyttelse for en periode på fem år på grundlag af en liste, som Kommissionen udarbejder efter et offentligt stillingsopslag. Stillingsopslaget skal give alle interesserede parter i hele Unionen mulighed for at indgive deres ansøgninger. Den liste over ansøgere, som Kommissionen udarbejder, er offentlig og består af mindst tre kandidater. På grundlag af den liste, som Kommissionen udarbejder, kan det kompetente udvalg i Europa-Parlamentet beslutte at afholde en høring, for at det kan tilkendegive en præference.
2.   Den i stk. 1 omhandlede liste skal bestå af personer, hvis uafhængighed er uomtvistelig, og som er anerkendt som havende ekspertviden inden for databeskyttelse samt den erfaring og kompetence, der kræves for at varetage de opgaver, der henhører under Den Europæiske Tilsynsførende for Databeskyttelse.
3.   Embedsperioden for Den Europæiske Tilsynsførende for Databeskyttelse kan fornyes én gang.
4.   De opgaver, der henhører under Den Europæiske Tilsynsførende for Databeskyttelse, ophører i følgende tilfælde:
a)
hvis Den Europæiske Tilsynsførende for Databeskyttelse udskiftes
b)
hvis Den Europæiske Tilsynsførende for Databeskyttelse fratræder sin stilling
c)
hvis Den Europæiske Tilsynsførende for Databeskyttelse afskediges eller går på pligtmæssig pension.
5.   Den Europæiske Tilsynsførende for Databeskyttelse kan af EU-Domstolen på begæring af Europa-Parlamentet, Rådet eller Kommissionen afskediges eller fratages sine pensionsrettigheder eller lignende goder, hvis vedkommende ikke længere opfylder de nødvendige betingelser for at udøve sit hverv, eller hvis vedkommende har begået alvorligt embedsmisbrug.
6.   I tilfælde af ordinær nybesættelse og frivillig fratræden fortsætter Den Europæiske Tilsynsførende for Databeskyttelse imidlertid med at udøve sit hverv, indtil der er udnævnt en efterfølger.
7.   Artikel 11-14 og artikel 17 i protokollen vedrørende Den Europæiske Unions privilegier og immuniteter finder anvendelse på Den Europæiske Tilsynsførende for Databeskyttelse.
Artikel 54
Statutten og de almindelige betingelser for udøvelse af hvervet som Europæisk Tilsynsførende for Databeskyttelse samt dennes personale og finansielle ressourcer
1.   Den Europæiske Tilsynsførende for Databeskyttelse sidestilles med en dommer ved EU-Domstolen for så vidt angår fastsættelsen af vederlag, tillæg, alderspension og eventuelle andre goder end vederlag.
2.   Budgetmyndigheden sørger for, at Den Europæiske Tilsynsførende for Databeskyttelse råder over de nødvendige menneskelige og finansielle ressourcer for at kunne udøve sit hverv.
3.   Budgettet for Den Europæiske Tilsynsførende for Databeskyttelse vises i et separat udgiftsområde i sektion vedrørende administrative udgifter i Unionens almindelige budget.
4.   Den Europæiske Tilsynsførende for Databeskyttelse bistås af et sekretariat. Tjenestemænd og øvrige ansatte i sekretariatet udnævnes af Den Europæiske Tilsynsførende for Databeskyttelse, og deres overordnede er Den Europæiske Tilsynsførende for Databeskyttelse. De er udelukkende underlagt dennes ledelse. Antallet af tjenestemænd og øvrige ansatte fastsættes hvert år som led i budgetproceduren. Artikel 75, stk. 2, i forordning (EU) 2016/679 finder anvendelse på det af Den Europæiske Tilsynsførende for Databeskyttelses personale, der er involveret i udførelsen af opgaver, som i henhold til EU-retten er overdraget til Det Europæiske Databeskyttelsesråd.
5.   For tjenestemænd og øvrige ansatte i sekretariatet for Den Europæiske Tilsynsførende for Databeskyttelse gælder de regler og bestemmelser, der gælder for tjenestemænd og øvrige ansatte i Unionen.
6.   Hjemstedet for Den Europæiske Tilsynsførende er Bruxelles.
Artikel 55
Uafhængighed
1.   Den Europæiske Tilsynsførende for Databeskyttelse udfører sine opgaver og udøver sine beføjelser i henhold til denne forordning i fuld uafhængighed.
2.   Den Europæiske Tilsynsførende for Databeskyttelse skal i forbindelse med udførelsen af sine opgaver og udøvelsen af sine beføjelser i henhold til denne forordning være fri for udefrakommende indflydelse, det være sig direkte eller indirekte, og må hverken søge eller modtage instrukser fra andre.
3.   Den Europæiske Tilsynsførende for Databeskyttelse skal afholde sig fra enhver handling, der er uforenelig med karakteren af vedkommendes hverv, og må ikke, så længe vedkommendes embedsperiode varer, udøve nogen anden lønnet eller ulønnet beskæftigelse.
4.   Efter vedkommendes embedsperiode er ophørt, skal Den Europæiske Tilsynsførende for Databeskyttelse udvise hæderlighed og tilbageholdenhed med hensyn til at påtage sig visse hverv eller acceptere visse fordele.
Artikel 56
Tavshedspligt
Den Europæiske Tilsynsførende for Databeskyttelse og dennes medarbejdere har såvel under som efter deres embedsperiode tavshedspligt for så vidt angår alle fortrolige oplysninger, der er kommet til deres kendskab under udøvelsen af deres hverv.
Artikel 57
Opgaver
1.   Uden at dette berører andre opgaver, der er fastsat i denne forordning, skal Den Europæiske Tilsynsførende for Databeskyttelse:
a)
føre tilsyn med og håndhæve Unionens institutioners og organers anvendelse af denne forordning med undtagelse af EU-Domstolens behandling af personoplysninger, når den handler i sin egenskab af domstol
b)
fremme offentlighedens kendskab til og forståelse af risici, regler, garantier og rettigheder i forbindelse med behandling. Der skal sættes særlig fokus på aktiviteter, der er direkte rettet mod børn
c)
fremme dataansvarliges og databehandleres kendskab til deres forpligtelser i henhold til denne forordning
d)
efter anmodning informere registrerede om udøvelsen af deres rettigheder i henhold til denne forordning og med henblik herpå samarbejde med de nationale tilsynsmyndigheder, hvis det er relevant
e)
behandle klager, der indgives af en registreret eller af et organ, en organisation eller en sammenslutning i overensstemmelse med artikel 67, og, for så vidt det er hensigtsmæssigt, undersøge genstanden for klagen og underrette klageren om forløbet og resultatet af undersøgelsen inden for en rimelig frist, navnlig hvis yderligere undersøgelse eller koordinering med en anden tilsynsmyndighed er nødvendig
f)
gennemføre undersøgelser om anvendelsen af denne forordning, herunder på grundlag af oplysninger, der er modtaget fra en anden tilsynsmyndighed eller en anden offentlig myndighed
g)
på eget initiativ eller efter anmodning rådgive alle Unionens institutioner og organer om lovgivningsmæssige og administrative foranstaltninger til beskyttelse af fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysning
h)
holde øje med den relevante udvikling, i det omfang den har indvirkning på beskyttelsen af personoplysninger, navnlig udviklingen i informations- og kommunikationsteknologier
i)
vedtage standardkontraktbestemmelser som omhandlet i artikel 29, stk. 8, og i artikel 48, stk. 2, litra c)
j)
opstille og føre en liste i forbindelse med kravet om en konsekvensanalyse vedrørende databeskyttelse i medfør af artikel 39, stk. 4
k)
deltage i aktiviteterne i Det Europæiske Databeskyttelsesråd
l)
fungere som sekretariat for Det Europæiske Databeskyttelsesråd i overensstemmelse med artikel 75 i forordning (EU) 2016/679
m)
rådgive om behandling som omhandlet i artikel 40, stk. 2
n)
godkende kontraktbestemmelser og bestemmelser som omhandlet i artikel 48, stk. 3
o)
føre interne fortegnelser over overtrædelser af denne forordning og over foranstaltninger, der er truffet i medfør af artikel 58, stk. 2
p)
udføre enhver anden opgave i forbindelse med beskyttelse af personoplysninger og
q)
vedtage sin forretningsorden.
2.   Den Europæiske Tilsynsførende for Databeskyttelse letter indgivelse af klager, jf. stk. 1, litra e), gennem en klageformular, der også kan udfyldes elektronisk, uden at udelukke andre kommunikationsmidler.
3.   Den Europæiske Tilsynsførende for Databeskyttelse varetager sine opgaver uden udgifter for den registrerede.
4.   Hvis anmodninger er åbenbart grundløse eller overdrevne, især fordi de gentages, kan Den Europæiske Tilsynsførende for Databeskyttelse afvise at efterkomme anmodningen. Bevisbyrden for, at anmodningen er åbenbart grundløs eller uforholdsmæssig, påhviler Den Europæiske Tilsynsførende for Databeskyttelse.
Artikel 58
Beføjelser
1.   Den Europæiske Tilsynsførende for Databeskyttelse har følgende undersøgelsesbeføjelser:
a)
at give den dataansvarlige og databehandleren påbud om at give alle oplysninger, der kræves for udførelsen af vedkommendes opgaver
b)
at foretage undersøgelser i form af databeskyttelsesrevisioner
c)
at underrette den dataansvarlige eller databehandleren om en påstået overtrædelse af denne forordning
d)
fra den dataansvarlige eller databehandleren at få adgang til alle personoplysninger og oplysninger, der er nødvendige for at varetage vedkommendes opgaver
e)
at få adgang til alle lokaler hos den dataansvarlige og databehandleren, herunder til databehandlingsudstyr og -midler, i overensstemmelse med EU-retten.
2.   Den Europæiske Tilsynsførende for Databeskyttelse har følgende sanktionsbeføjelser:
a)
at udstede advarsler til en dataansvarlig eller en databehandler om, at de planlagte behandlingsaktiviteter sandsynligvis vil være i strid med denne forordning
b)
at udtale kritik af en dataansvarlig eller en databehandler, hvis behandlingsaktiviteter har været i strid med denne forordning
c)
at forelægge sager for den dataansvarlige eller databehandleren og om nødvendigt for Europa-Parlamentet, Rådet og Kommissionen
d)
at give den dataansvarlige eller databehandleren påbud om at imødekomme den registreredes anmodninger om at udøve sine rettigheder i henhold til denne forordning
e)
at give den dataansvarlige eller databehandleren påbud om at bringe behandlingsaktiviteter i overensstemmelse med bestemmelserne i denne forordning og, hvis det er hensigtsmæssigt, på en nærmere angivet måde og inden for en nærmere angivet frist
f)
at give den dataansvarlige påbud om at underrette den registrerede om et brud på persondatasikkerheden
g)
midlertidigt eller definitivt at begrænse, herunder forbyde, behandling
h)
at give påbud om berigtigelse eller sletning af personoplysninger eller begrænsning af behandling i henhold til artikel 18, 19 og 20 og give meddelelse om sådanne handlinger til de modtagere, som personoplysningerne er videregivet til i henhold til artikel 19, stk. 2, og artikel 21
i)
at pålægge en administrativ bøde i henhold til artikel 66 i tilfælde af en af Unionens institutioners eller et af Unionens organers manglende overholdelse af en af de foranstaltninger, der er omhandlet i litra d)-h) og j) i dette stykke, afhængigt af omstændighederne i hvert enkelt tilfælde
j)
at påbyde suspension af overførsel af oplysninger til en modtager i en medlemsstat, et tredjeland eller til en international organisation.
3.   Den Europæiske Tilsynsførende for Databeskyttelse har følgende godkendelses- og rådgivningsbeføjelser:
a)
at rådgive de registrerede i forbindelse med udøvelsen af deres rettigheder
b)
at rådgive den dataansvarlige efter den i artikel 40 omhandlede procedure for forudgående høring, og i overensstemmelse med artikel 41, stk. 2
c)
på eget initiativ eller på anmodning at afgive udtalelser til Unionens institutioner og organer samt offentligheden om ethvert spørgsmål om beskyttelse af personoplysninger
d)
at vedtage standardbestemmelser om databeskyttelse som omhandlet i artikel 29, stk. 8, og i artikel 48, stk. 2, litra c)
e)
at godkende kontraktbestemmelser som omhandlet i artikel 48, stk. 3, litra a)
f)
at godkende administrative ordninger som omhandlet i artikel 48, stk. 3, litra b)
g)
at godkende eller undlade at godkende behandlingsaktiviteter i henhold til gennemførelsesretsakter vedtaget i henhold til artikel 40, stk. 4.
4.   Den Europæiske Tilsynsførende for Databeskyttelse har beføjelse til at indbringe sager for EU-Domstolen på de betingelser, der er fastsat i traktaterne, og til at intervenere i retssager ved EU-Domstolen.
5.   Udøvelsen af de beføjelser, der tillægges Den Europæiske Tilsynsførende for Databeskyttelse i medfør af denne artikel, er underlagt passende garantier, herunder effektive retsmidler og retfærdig procedure som fastsat i EU-retten.
Artikel 59
Forpligtelse for dataansvarlige og databehandlere til at reagere på påståede overtrædelser
Når Den Europæiske Tilsynsførende for Databeskyttelse udøver de beføjelser, der er fastsat i artikel 58, stk. 2, litra a), b) og c), underretter den dataansvarlige eller databehandleren Den Europæiske Tilsynsførende for Databeskyttelse om sine synspunkter inden en rimelig frist, der skal fastsættes af Den Europæiske Tilsynsførende for Databeskyttelse under hensyntagen til omstændighederne i hvert enkelt tilfælde. Svaret skal også omfatte en redegørelse for, hvilke foranstaltninger der i givet fald er truffet som reaktion på bemærkningerne fra Den Europæiske Tilsynsførende for Databeskyttelse.
Artikel 60
Årsberetning
1.   Den Europæiske Tilsynsførende for Databeskyttelse forelægger hvert år en årsberetning for Europa-Parlamentet, Rådet og Kommissionen og offentliggør den samtidig hermed.
2.   Den Europæiske Tilsynsførende for Databeskyttelse fremsender beretningen omhandlet i stk. 1 til de andre af Unionens institutioner og organer, der kan fremsætte bemærkninger med henblik på Europa-Parlamentets eventuelle gennemgang af beretningen.
KAPITEL VII
SAMARBEJDE OG SAMMENHÆNG
Artikel 61
Samarbejde mellem Den Europæiske Tilsynsførende for Databeskyttelse og nationale tilsynsmyndigheder
Den Europæiske Tilsynsførende for Databeskyttelse samarbejder med de nationale tilsynsmyndigheder og med Den Fælles Tilsynsmyndighed, der er oprettet ved artikel 25 i Rådets afgørelse 2009/917/RIA 
(
19
)
, i det omfang, det er nødvendigt for udførelsen af deres respektive opgaver, navnlig ved at stille relevante oplysninger til rådighed for hinanden, anmode hinanden om at udøve deres beføjelser og besvare hinandens henvendelser.
Artikel 62
Koordineret tilsyn mellem Den Europæiske Tilsynsførende for Databeskyttelse og nationale tilsynsmyndigheder
1.   Når der i en EU-retsakt henvises til denne artikel, samarbejder Den Europæiske Tilsynsførende for Databeskyttelse og nationale tilsynsmyndigheder, der hver især handler inden for deres respektive beføjelser, aktivt inden for rammerne af deres ansvarsområder med henblik på at sikre effektivt tilsyn med store IT-systemer og med Unionens organer, kontorer og agenturer.
2.   I det omfang det er nødvendigt, udveksler de inden for rammerne af deres respektive beføjelser og ansvarsområder relevante oplysninger, bistår hinanden med udførelsen af revisioner og inspektioner, undersøger vanskeligheder med fortolkningen eller anvendelsen af denne forordning og andre gældende EU-retsakter, undersøger problemer med udøvelsen af uafhængigt tilsyn eller med udøvelsen af den registreredes rettigheder, udarbejder harmoniserede forslag til løsninger på eventuelle problemer og fremmer bevidstheden om databeskyttelsesrettigheder.
3.   For så vidt angår de formål, der er fastsat i stk. 2, mødes Den Europæiske Tilsynsførende for Databeskyttelse og de nationale tilsynsmyndigheder mindst to gange om året inden for rammerne af Det Europæiske Databeskyttelsesråd. Med henblik herpå kan Det Europæiske Databeskyttelsesråd udvikle øvrige arbejdsmetoder efter behov.
4.   Det Europæiske Databeskyttelsesråd fremsender en fælles rapport om koordinerede tilsynsaktiviteter til Europa-Parlamentet, til Rådet og til Kommissionen hvert andet år.
KAPITEL VIII
RETSMIDLER, ANSVAR OG SANKTIONER
Artikel 63
Klageadgang til Den Europæiske Tilsynsførende for Databeskyttelse
1.   Uden at det berører et eventuelt retsmiddel eller en eventuel administrativ eller udenretslig klageadgang, har enhver registreret ret til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse, hvis den registrerede finder, at behandlingen af personoplysninger om vedkommende overtræder denne forordning.
2.   Den Europæiske Tilsynsførende for Databeskyttelse underretter klageren om behandlingen og resultatet af klagen, herunder muligheden for retsmidler som omhandlet i artikel 64.
3.   Hvis Den Europæiske Tilsynsførende for Databeskyttelse ikke behandler klagen eller undlader at underrette den registrerede om forløbet eller resultatet af en klage inden tre måneder, anses Den Europæiske Tilsynsførende for Databeskyttelse for at have truffet en negativ afgørelse.
Artikel 64
Ret til effektive retsmidler
1.   EU-Domstolen har kompetence til at afgøre alle tvister vedrørende bestemmelserne i denne forordning, herunder erstatningssøgsmål.
2.   Afgørelser truffet af Den Europæiske Tilsynsførende for Databeskyttelse, herunder afgørelser i henhold til artikel 63, stk. 3, kan indbringes for EU-Domstolen.
3.   EU-Domstolen har fuld prøvelsesret vedrørende de administrative bøder, der er omhandlet i artikel 66. Den kan ophæve, nedsætte eller forhøje disse bøder inden for rammerne af artikel 66.
Artikel 65
Ret til erstatning
Enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning for den forvoldte skade fra den eller det pågældende af Unionens institutioner eller organer på de betingelser, der er fastsat i traktaterne.
Artikel 66
Administrative bøder
1.   Den Europæiske Tilsynsførende for Databeskyttelse kan pålægge Unionens institutioner og organer administrative bøder afhængigt af omstændigheder i hvert enkelt tilfælde, når en eller et af Unionens institutioner eller organer har undladt at efterkomme et påbud fra Den Europæiske Tilsynsførende for Databeskyttelse, jf. artikel 58, stk. 2, litra d)-h) og j). Når der træffes afgørelse om, hvorvidt der skal pålægges en administrativ bøde, og om den administrative bødes størrelse i hver enkelt tilfælde, tages der behørigt hensyn til følgende:
a)
overtrædelsens karakter, alvor og varighed under hensyntagen til den pågældende behandlings karakter, omfang eller formål samt antal registrerede, der er berørt, og omfanget af den skade, som de har lidt
b)
eventuelle foranstaltninger, der er truffet af den eller det pågældende af Unionens institutioner eller organer for at begrænse den skade, som den registrerede har lidt
c)
den eller det pågældende af Unionens institutioners eller organers grad af ansvar under hensyntagen til tekniske og organisatoriske foranstaltninger, som de har gennemført i henhold til artikel 27 og 33
d)
eventuelle lignende overtrædelser, som den eller det pågældende af Unionens institutioner eller organer tidligere har begået
e)
graden af samarbejde med Den Europæiske Tilsynsførende for Databeskyttelse for at afhjælpe overtrædelsen og begrænse de negative konsekvenser, som overtrædelsen måtte have givet anledning til
f)
de kategorier af personoplysninger, der er berørt af overtrædelsen
g)
den måde, hvorpå Den Europæiske Tilsynsførende for Databeskyttelse fik kendskab til overtrædelsen, navnlig om den eller det pågældende af Unionens institutioner eller organer gav underretning om overtrædelsen, og i givet fald i hvilket omfang
h)
overholdelsen af enhver af de foranstaltninger, der er omhandlet i artikel 58, der tidligere over for den eller det pågældende af Unionens institutioner eller organer er blevet truffet med hensyn til samme genstand. De procedurer, der førte til pålæggelsen af sådanne bøder, gennemføres inden for en rimelig tidshorisont afhængigt af sagens omstændigheder og under hensyntagen til de relevante foranstaltninger og procedurer, der er omhandlet i artikel 69.
2.   Overtrædelser af den eller det pågældende af Unionens institutioners eller organers forpligtelser som omhandlet i artikel 8, 12, 27-35, 39, 40, 43, 44 og 45 straffes i overensstemmelse med nærværende artikels stk. 1 med bøder på op til 25 000 EUR pr. overtrædelse og op til 250 000 EUR pr. år.
3.   Den eller det pågældende af Unionens institutioners eller organers overtrædelser af følgende bestemmelser straffes i overensstemmelse med stk. 1 med bøder på op til 50 000 EUR pr. overtrædelse og op til 500 000 EUR pr. år:
a)
de grundlæggende principper for behandling, herunder betingelserne for samtykke, i artikel 4, 5, 7 og 10
b)
de registreredes rettigheder i henhold til artikel 14-24
c)
overførsler af personoplysninger til en modtager i et tredjeland eller en international organisation i henhold til artikel 46-50.
4.   Hvis en af Unionens institutioner eller et af Unionens organer i forbindelse med de samme eller forbundne eller kontinuerlige behandlingsaktiviteter overtræder flere bestemmelser i denne forordning eller den samme bestemmelse i denne forordning flere gange, må den administrative bødes samlede størrelse ikke overstige beløbet for den alvorligste overtrædelse.
5.   Inden der træffes afgørelse i henhold til denne artikel, giver Den Europæiske Tilsynsførende for Databeskyttelse den eller det af Unionens institutioner eller organer, der er genstand for de procedurer, som gennemføres af Den Europæiske Tilsynsførende for Databeskyttelse, muligheden for at blive hørt om de spørgsmål, som Den Europæiske Tilsynsførende for Databeskyttelse har gjort indsigelse mod. Den Europæiske Tilsynsførende for Databeskyttelse baserer udelukkende sine afgørelser på indsigelser, som de berørte parter har haft mulighed for at fremsætte bemærkninger til. Klagerne inddrages i vid udstrækning i proceduren.
6.   De deltagende parters ret til forsvar skal sikres fuldt ud i procedureforløbet. De har ret til aktindsigt i Den Europæiske Tilsynsførende for Databeskyttelses sagsakter med forbehold af fysiske personers eller virksomheders berettigede interesse i at beskytte deres personoplysninger eller forretningshemmeligheder.
7.   Midler, der er indsamlet ved pålæggelse af bøder som omhandlet i denne artikel, tilfalder Unionens almindelige budget.
Artikel 67
Repræsentation af registrerede
Den registrerede har ret til at bemyndige et organ, en organisation eller en sammenslutning, der er etableret i overensstemmelse med EU-retten eller en medlemsstats nationale ret, som ikke arbejder med gevinst for øje, hvis vedtægtsmæssige formål er af almen interesse, og som er aktiv på området for beskyttelse af registreredes rettigheder og frihedsrettigheder med hensyn til beskyttelse af deres personoplysninger, til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse på sine vegne, til at udøve de rettigheder, der er omhandlet i artikel 63 og 64, på sine vegne og til at udøve retten til at modtage erstatning som omhandlet i artikel 65 på sine vegne.
Artikel 68
Klager fra EU-ansatte
Enhver person, der er ansat af en af Unionens institutioner eller et af Unionens organer, kan indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse vedrørende en påstået overtrædelse af bestemmelserne i denne forordning, herunder uden om de officielle kanaler. Ingen må lide skade som følge af at have indgivet en klage til Den Europæiske Tilsynsførende for Databeskyttelse vedrørende en sådan påstået overtrædelse.
Artikel 69
Sanktioner
Undlader en tjenestemand eller en anden ansat i Unionen forsætligt eller uagtsomt at opfylde de forpligtelser, som er fastsat i denne forordning, kan der iværksættes disciplinære sanktioner over for den pågældende tjenestemand eller ansatte, i overensstemmelse med de regler og procedurer, der er fastlagt i vedtægten for tjenestemænd.
KAPITEL IX
BEHANDLING AF OPERATIONELLE PERSONOPLYSNINGER I UNIONENS ORGANER, KONTORER OG AGENTURER VED UDFØRELSEN AF AKTIVITETER, SOM HENHØRER UNDER TREDJE DEL, AFSNIT V, KAPITEL 4 ELLER KAPITEL 5, I TEUF
Artikel 70
Kapitlets anvendelsesområde
Dette kapitel finder kun anvendelse på behandlingen af operationelle personoplysninger i Unionens organer, kontorer og agenturer ved udførelsen af aktiviteter, der henhører under tredje del, afsnit V, kapitel 4 eller kapitel 5, i TEUF, uden at dette berører specifikke databeskyttelsesregler, der finder anvendelse på et sådant organ, kontor eller agentur.
Artikel 71
Principper for behandling af operationelle personoplysninger
1.   Operationelle personoplysninger skal:
a)
behandles lovligt og rimeligt (»lovlighed og rimelighed«)
b)
indsamles til udtrykkeligt angivne og legitime formål og ikke behandles på en måde, der er uforenelig med disse formål (»formålsbegrænsning«)
c)
være tilstrækkelige, relevante og ikke for omfattende i forhold til de formål, hvortil de behandles (»dataminimering«)
d)
være korrekte og om nødvendigt ajourførte; der skal tages ethvert rimeligt skridt til at sikre, at operationelle personoplysninger, der er urigtige i forhold til de formål, hvortil de behandles, omgående slettes eller berigtiges (»rigtighed«)
e)
opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i længere tid end nødvendigt af hensyn til de formål, hvortil de operationelle personoplysninger behandles (»opbevaringsbegrænsning«)
f)
behandles på en måde, der sikrer tilstrækkelig sikkerhed for de pågældende operationelle personoplysninger, herunder beskyttelse mod uautoriseret eller ulovlig behandling og mod hændeligt tab, tilintetgørelse eller beskadigelse, under anvendelse af passende tekniske eller organisatoriske foranstaltninger (»integritet og fortrolighed«).
2.   Behandling, der foretages af den samme eller en anden dataansvarlig til et andet formål, der er fastsat i retsakten om oprettelse af det pågældende af Unionens organer, kontorer eller agenturer, end det formål, hvortil de operationelle personoplysninger er indsamlet, er tilladt i det omfang:
a)
den dataansvarlige er bemyndiget til at behandle sådanne operationelle personoplysninger til et sådant formål i overensstemmelse med EU-retten, og
b)
behandlingen er nødvendig for og forholdsmæssig i forhold til dette andet formål i overensstemmelse med EU-retten.
3.   Behandling, der foretages af den samme eller en anden dataansvarlig, kan omfatte behandling til arkivformål i samfundets interesse eller til videnskabelig, statistisk eller historisk brug, til de formål, der er fastsat i retsakten om oprettelse af det pågældende af Unionens organer, kontorer eller agenturer, forudsat at behandlingen er omfattet af de fornødne garantier for den registreredes rettigheder og frihedsrettigheder.
4.   Den dataansvarlige er ansvarlig for og skal kunne påvise, at stk. 1, 2 og 3 overholdes.
Artikel 72
Lovlighed af behandling af operationelle personoplysninger
1.   Behandling af operationelle personoplysninger er kun lovlig, hvis og i det omfang behandling er nødvendig af hensyn til varetagelsen af en opgave, der udføres af Unionens organer, kontorer og agenturer ved udførelsen af aktiviteter, der er omfattet af tredje del, afsnit V, kapitel 4 eller kapitel 5, i TEUF, og den er baseret på EU-retten.
2.   Specifikke EU-retsakter, der regulerer behandling inden for rammerne af dette kapitel, skal som minimum angive målene for behandlingen, de operationelle personoplysninger, der skal behandles, formålet med behandlingen og tidsfristerne for opbevaring af de operationelle personoplysninger eller for regelmæssig evaluering af behovet for fortsat opbevaring af de operationelle personoplysninger.
Artikel 73
Sondring mellem forskellige kategorier af registrerede
Den dataansvarlige skal, hvor det er relevant og så vidt muligt, klart sondre mellem de operationelle personoplysninger om forskellige kategorier af registrerede, såsom de kategorier, der er anført i retsakterne om oprettelse af Unionens organer, kontorer og agenturer.
Artikel 74
Sondring mellem operationelle personoplysninger og kontrol med kvaliteten af operationelle personoplysninger
1.   Den dataansvarlige sondrer så vidt muligt mellem operationelle personoplysninger, der bygger på faktiske omstændigheder, og operationelle personoplysninger, der bygger på personlige vurderinger.
2.   Den dataansvarlige træffer alle rimelige foranstaltninger for at sikre, at operationelle personoplysninger, som er urigtige, ufuldstændige eller ikke ajourførte, ikke videregives eller stilles til rådighed. Med henblik herpå skal den dataansvarlige, så vidt muligt og hvor det lader sig gøre, kontrollere kvaliteten af operationelle personoplysninger, før de videregives eller stilles til rådighed, f.eks. ved at konsultere den kompetente myndighed, hvorfra oplysningerne stammer. I forbindelse med al videregivelse af operationelle personoplysninger skal den dataansvarlige så vidt muligt tilføje de nødvendige oplysninger for at gøre det muligt for modtageren at vurdere, i hvor høj grad de operationelle personoplysninger er rigtige, fuldstændige og pålidelige, og i hvilket omfang de er ajourførte.
3.   Hvis det konstateres, at der er videregivet urigtige operationelle personoplysninger, eller at operationelle personoplysninger er videregivet ulovligt, skal dette straks meddeles modtageren. I så fald skal de pågældende operationelle personoplysninger berigtiges eller slettes, eller deres behandling skal begrænses i overensstemmelse med artikel 82.
Artikel 75
Særlige betingelser for behandling
1.   Når EU-retten, der finder anvendelse på den videregivende dataansvarlige, fastsætter særlige betingelser for behandlingen, underretter den dataansvarlige modtageren af de operationelle personoplysninger om disse betingelser og kravet om at overholde dem.
2.   Den dataansvarlige skal overholde de særlige betingelser for behandling, som er fastsat af en videregivende kompetent myndighed i overensstemmelse med artikel 9, stk. 3 og 4, i direktiv (EU) 2016/680.
Artikel 76
Behandling af særlige kategorier af operationelle personoplysninger
1.   Behandling af operationelle personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller operationelle personoplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering må kun tillades, når det er strengt nødvendigt til operationelle formål, inden for det pågældende af Unionens organers, kontorers eller agenturers mandat, og forudsat at behandlingen er omfattet af de fornødne garantier for den registreredes rettigheder og frihedsrettigheder. Forskelsbehandling af fysiske personer på grundlag af sådanne personoplysninger er forbudt.
2.   Databeskyttelsesrådgiveren underrettes uden unødig forsinkelse, hvis denne artikel bringes i anvendelse.
Artikel 77
Automatiske individuelle afgørelser, herunder profilering
1.   En afgørelse, der alene er baseret på automatisk behandling, herunder profilering, som har negativ retsvirkning for den registrerede eller betydelige konsekvenser for den pågældende, er forbudt, medmindre den er hjemlet i EU-retten, som den dataansvarlige er underlagt, og som fastsætter de fornødne garantier for den registreredes rettigheder og frihedsrettigheder i det mindste den registreredes ret til menneskelig indgriben fra den dataansvarliges side.
2.   De afgørelser, der er omhandlet i nærværende artikels stk. 1, må ikke baseres på de særlige kategorier af personoplysninger, der er omhandlet i artikel 76, medmindre der er indført passende foranstaltninger til beskyttelse af den registreredes rettigheder, frihedsrettigheder og legitime interesser.
3.   Profilering, der fører til forskelsbehandling af fysiske personer på grundlag af særlige kategorier af personoplysninger som omhandlet i artikel 76, er forbudt i henhold til EU-retten.
Artikel 78
Meddelelser og nærmere regler for udøvelse af den registreredes rettigheder
1.   Den dataansvarlige træffer passende foranstaltninger for at give enhver oplysning som omhandlet i artikel 79 og enhver meddelelse som omhandlet i artikel 80-84 og 92 om behandling til den registrerede i en kortfattet, letforståelig og lettilgængelig form og i et klart og enkelt sprog. Oplysningerne gives på enhver hensigtsmæssig måde, herunder ved hjælp af elektroniske midler. Som hovedregel skal den dataansvarlige give oplysningerne i samme form som anmodningen.
2.   Den dataansvarlige letter udøvelsen af den registreredes rettigheder i henhold til artikel 79-84.
3.   Den dataansvarlige giver den registrerede skriftlig meddelelse om opfølgningen af vedkommendes anmodning uden unødig forsinkelse og i alle tilfælde senest tre måneder efter modtagelsen af den registreredes anmodning.
4.   Den dataansvarlige giver oplysningerne i medfør af artikel 79 og enhver meddelelse og enhver foranstaltning, der træffes i henhold til artikel 80-84 og 92, gratis. Hvis anmodninger fra en registreret er åbenbart grundløse eller overdrevne, især fordi de gentages, kan den dataansvarlige afvise at efterkomme anmodningen. Bevisbyrden for, at anmodningen er åbenbart grundløs eller overdreven, påhviler den dataansvarlige.
5.   Den dataansvarlige kan, hvis der hersker rimelig tvivl om identiteten af den fysiske person, der fremsætter en anmodning som omhandlet i artikel 80 eller 82, anmode om yderligere oplysninger, der er nødvendige for at bekræfte den registreredes identitet.
Artikel 79
Oplysninger, der skal stilles til rådighed for eller gives til den registrerede
1.   Den dataansvarlige stiller som minimum følgende oplysninger til rådighed for den registrerede:
a)
identitet på og kontaktoplysninger for det pågældende af Unionens organer, kontorer eller agenturer
b)
kontaktoplysninger for databeskyttelsesrådgiveren
c)
formålene med den behandling, som de operationelle personoplysninger skal bruges til
d)
retten til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse og dennes kontaktoplysninger
e)
retten til at anmode den dataansvarlige om indsigt i og berigtigelse eller sletning af operationelle personoplysninger og begrænsning af behandling af operationelle personoplysninger vedrørende den registrerede.
2.   Ud over de oplysninger, der er omhandlet i stk. 1, skal den dataansvarlige i de særlige tilfælde, der er forudset i EU-retten, give den registrerede følgende yderligere oplysninger, for at vedkommende kan udøve sine rettigheder:
a)
retsgrundlaget for behandlingen
b)
det tidsrum, hvor de operationelle personoplysninger vil blive opbevaret, eller, hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum
c)
hvor det er relevant, kategorierne af modtagere af de operationelle personoplysninger, herunder i tredjelande eller internationale organisationer
d)
hvis det er nødvendigt, yderligere oplysninger, navnlig hvis de operationelle personoplysninger indsamles uden den registreredes vidende.
3.   Den dataansvarlige kan udsætte, begrænse eller afskære meddelelse af oplysninger til de registrerede, jf. stk. 2, i det omfang og så længe en sådan foranstaltning udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under behørigt hensyn til den berørte fysiske persons grundlæggende rettigheder og legitime interesser for at:
a)
undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer
b)
undgå at skade forebyggelsen, afsløringen, efterforskningen eller retsforfølgningen af strafbare handlinger eller fuldbyrdelsen af strafferetlige sanktioner
c)
beskytte medlemsstaternes offentlige sikkerhed
d)
beskytte medlemsstaternes nationale sikkerhed
e)
beskytte andres, f.eks. ofres og vidners, rettigheder og frihedsrettigheder.
Artikel 80
Den registreredes indsigtsret
Den registrerede har ret til at få den dataansvarliges bekræftelse på, om operationelle personoplysninger vedrørende vedkommende behandles, og har, hvor dette er tilfældet, ret til adgang til de operationelle personoplysninger og følgende information:
a)
formålene med og retsgrundlaget for behandlingen
b)
de berørte kategorier af operationelle personoplysninger
c)
de modtagere eller kategorier af modtagere, som de operationelle personoplysninger er videregivet til, navnlig modtagere i tredjelande eller internationale organisationer
d)
om muligt, det påtænkte tidsrum, hvor de operationelle personoplysninger vil blive opbevaret, eller, hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum
e)
eksistensen af retten til at anmode den dataansvarlige om berigtigelse eller sletning af operationelle personoplysninger eller begrænsning af behandling af operationelle personoplysninger vedrørende den registrerede
f)
retten til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse og dennes kontaktoplysninger
g)
meddelelse af, hvilke operationelle personoplysninger der er omfattet af behandlingen, og enhver tilgængelig oplysning om, hvorfra de stammer.
Artikel 81
Begrænsninger af indsigtsretten
1.   Den dataansvarlige kan helt eller delvis begrænse den registreredes ret til indsigt, i det omfang og så længe en sådan delvis eller fuldstændig begrænsning udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under behørigt hensyn til den berørte fysiske persons grundlæggende rettigheder og legitime interesser for at:
a)
undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer
b)
undgå at skade forebyggelsen, afsløringen, efterforskningen eller retsforfølgningen af strafbare handlinger eller fuldbyrdelsen af strafferetlige sanktioner
c)
beskytte medlemsstaternes offentlige sikkerhed
d)
beskytte medlemsstaternes nationale sikkerhed
e)
beskytte andres, f.eks. ofres og vidners, rettigheder og frihedsrettigheder.
2.   I de i stk. 1 omhandlede tilfælde giver den dataansvarlige uden unødig forsinkelse den registrerede skriftlig meddelelse om ethvert afslag på indsigt eller begrænsning af indsigten og om begrundelsen for afslaget eller begrænsningen. En sådan meddelelse kan udelades, hvis sådanne oplysninger ville være til skade for et af formålene i stk. 1. Den dataansvarlige giver den registrerede meddelelse om muligheden for at klage til Den Europæiske Tilsynsførende for Databeskyttelse eller at indbringe sagen for EU-Domstolen. Den dataansvarlige dokumenterer de faktuelle eller retlige årsager til afgørelsen. Disse oplysninger stilles efter anmodning til rådighed for Den Europæiske Tilsynsførende for Databeskyttelse.
Artikel 82
Ret til berigtigelse eller sletning af operationelle personoplysninger og begrænsning af behandling
1.   Den registrerede har ret til at få urigtige operationelle personoplysninger om sig selv berigtiget af den dataansvarlige uden unødig forsinkelse. Den registrerede har under hensyntagen til formålene med behandlingen ret til få fuldstændiggjort ufuldstændige operationelle personoplysninger, bl.a. ved at fremlægge en supplerende erklæring.
2.   Den dataansvarlige skal slette operationelle personoplysninger uden unødig forsinkelse, og den registrerede har ret til at få operationelle personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, hvis behandlingen strider mod artikel 71, artikel 72, stk. 1, eller artikel 76, eller hvis operationelle personoplysninger skal slettes for at overholde en retlig forpligtelse, som den dataansvarlige er underlagt.
3.   I stedet for sletning begrænser den dataansvarlige behandling, hvis:
a)
rigtigheden af personoplysningerne bestrides af den registrerede, og deres rigtighed eller urigtighed ikke kan konstateres, eller
b)
personoplysningerne skal bevares som bevismiddel.
Hvis behandling er begrænset i henhold til første afsnit, litra a), underretter den dataansvarlige den registrerede herom, inden begrænsningen af behandling ophæves.
Begrænsede oplysninger behandles kun til det formål, der gjorde, at de ikke blev slettet.
4.   Den dataansvarlige giver den registrerede skriftlig meddelelse om ethvert afslag på berigtigelse eller sletning af operationelle personoplysninger eller begrænsning af deres behandling og om begrundelsen for afslaget. Den dataansvarlige kan helt eller delvis begrænse meddelelsen af sådanne oplysninger, i det omfang en sådan begrænsning udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under behørigt hensyn til den berørte fysiske persons grundlæggende rettigheder og legitime interesser for at:
a)
undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer
b)
undgå at skade forebyggelsen, efterforskningen, afsløringen eller retsforfølgningen af strafbare handlinger eller fuldbyrdelsen af strafferetlige sanktioner
c)
beskytte medlemsstaternes offentlige sikkerhed
d)
beskytte medlemsstaternes nationale sikkerhed
e)
beskytte andres, f.eks. ofres eller vidners, rettigheder og frihedsrettigheder.
Den dataansvarlige giver den registrerede meddelelse om muligheden for at klage til Den Europæiske Tilsynsførende for Databeskyttelse eller at indbringe sagen for EU-Domstolen.
5.   Den dataansvarlige meddeler berigtigelse af urigtige operationelle personoplysninger til den kompetente myndighed, hvorfra de urigtige operationelle personoplysninger stammer.
6.   Hvis operationelle personoplysninger er blevet berigtiget eller slettet, eller behandlingen er blevet begrænset i henhold til stk. 1, 2 eller 3, underretter den dataansvarlige modtagerne og meddeler dem, at de skal berigtige eller slette de operationelle personoplysninger eller begrænse behandling af de operationelle personoplysninger, som de har ansvaret for.
Artikel 83
Indsigtsret i strafferetlige efterforskninger og straffesager
Hvis operationelle personoplysninger stammer fra en kompetent myndighed, kontrollerer Unionens organer, kontorer og agenturer, inden der træffes afgørelse om den registreredes ret til indsigt, med den pågældende kompetente myndighed, om personoplysningerne er indeholdt i en retsafgørelse eller et register eller en sagsakt, der behandles i forbindelse med strafferetlige efterforskninger og straffesager i den pågældende kompetente myndigheds medlemsstat. Hvis dette er tilfældet, træffes der en afgørelse om indsigtsret i samråd og tæt samarbejde med den pågældende kompetente myndighed.
Artikel 84
Den registreredes udøvelse af rettigheder og Den Europæiske Tilsynsførende for Databeskyttelses kontrol
1.   I de tilfælde, der er omhandlet i artikel 79, stk. 3, artikel 81 og artikel 82, stk. 4, kan den registreredes rettigheder også udøves gennem Den Europæiske Tilsynsførende for Databeskyttelse.
2.   Den dataansvarlige underretter den registrerede om dennes mulighed for at udøve sine rettigheder gennem Den Europæiske Tilsynsførende for Databeskyttelse i henhold til stk. 1.
3.   Hvis retten som omhandlet i stk. 1 udøves, underretter Den Europæiske Tilsynsførende for Databeskyttelse som minimum den registrerede om, at Den Europæiske Tilsynsførende for Databeskyttelse har foretaget den nødvendige kontrol eller undersøgelse. Den Europæiske Tilsynsførende for Databeskyttelse underretter også den registrerede om vedkommendes ret til at indbringe sagen for EU-Domstolen.
Artikel 85
Databeskyttelse gennem design og databeskyttelse gennem standardindstillinger
1.   Under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder, som behandlingen indebærer, gennemfører den dataansvarlige, både på tidspunktet for fastlæggelse af midlerne til behandling og på tidspunktet for selve behandlingen, passende tekniske og organisatoriske foranstaltninger, såsom pseudonymisering, som er designet med henblik på effektiv implementering af databeskyttelsesprincipper, såsom dataminimering, og med henblik på integrering af de fornødne garantier i behandlingen for at opfylde kravene i denne forordning og i retsakten om den dataansvarliges oprettelse og beskytte de registreredes rettigheder.
2.   Den dataansvarlige gennemfører passende tekniske og organisatoriske foranstaltninger, der gennem standardindstillinger sikrer, at kun operationelle personoplysninger, der er tilstrækkelige, relevante og ikke uforholdsmæssige i forhold til formålet med behandlingen, behandles. Denne forpligtelse gælder den mængde operationelle personoplysninger, der indsamles, og omfanget af deres behandling samt deres opbevaringsperiode og tilgængelighed. Sådanne foranstaltninger skal navnlig gennem standardindstillinger sikre, at operationelle personoplysninger ikke uden den pågældende fysiske persons indgriben stilles til rådighed for et ubegrænset antal fysiske personer.
Artikel 86
Fælles dataansvarlige
1.   Når to eller flere dataansvarlige eller en eller flere dataansvarlige sammen med en eller flere andre dataansvarlige end Unionens institutioner og organer, i fællesskab afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling, er de fælles dataansvarlige. De fastlægger på en gennemsigtig måde deres respektive ansvar for overholdelse af deres databeskyttelsesforpligtelser, navnlig hvad angår udøvelse af den registreredes rettigheder og deres respektive forpligtelser til at fremlægge de oplysninger, der er omhandlet i artikel 79, ved hjælp af en ordning mellem dem, medmindre og i det omfang de fælles dataansvarliges respektive ansvar er fastlagt i EU-retten eller medlemsstaternes nationale ret, som de fælles dataansvarlige er underlagt. Der kan som led i ordningen udpeges et kontaktpunkt for registrerede.
2.   Ordningen, der er omhandlet i stk. 1, skal på behørig vis afspejle de fælles dataansvarliges respektive roller og forhold til den registrerede. Det væsentligste indhold af ordningen skal gøres tilgængeligt for den registrerede.
3.   Uanset udformningen af den ordning, der er omhandlet i stk. 1, kan den registrerede udøve sine rettigheder i medfør af denne forordning med hensyn til og over for den enkelte dataansvarlige.
Artikel 87
Databehandler
1.   Hvis en behandling skal foretages på vegne af en dataansvarlig, benytter den dataansvarlige udelukkende databehandlere, der kan stille de fornødne garantier for, at de vil gennemføre de passende tekniske og organisatoriske foranstaltninger på en sådan måde, at behandling opfylder kravene i denne forordning og retsakten om oprettelse af den dataansvarlige og sikrer beskyttelse af den registreredes rettigheder.
2.   Databehandleren må ikke gøre brug af en anden databehandler uden forudgående specifik eller generel skriftligt godkendelse fra den dataansvarlige. I tilfælde af generel skriftlig godkendelse skal databehandleren underrette den dataansvarlige om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af andre databehandlere og derved give den dataansvarlige mulighed for at gøre indsigelse mod sådanne ændringer.
3.   En databehandlers behandling skal være reguleret af en kontrakt eller et andet retligt dokument i henhold til EU-retten eller en medlemsstats nationale ret, der er bindende for databehandleren med hensyn til den dataansvarlige, og som fastsætter genstanden for og varigheden af behandlingen, behandlingens karakter og formål, typen af operationelle personoplysninger og kategorierne af registrerede samt den dataansvarliges forpligtelser og rettigheder. Denne kontrakt eller dette andet retlige dokument fastsætter navnlig, at databehandleren:
a)
kun må handle efter instruks fra den dataansvarlige
b)
sikrer, at de personer, der er autoriseret til at behandle operationelle personoplysninger, har forpligtet sig til fortrolighed eller er underlagt et passende lovbestemt krav om fortrolighed
c)
bistår den dataansvarlige på enhver hensigtsmæssig måde med at sikre overholdelse af bestemmelserne om den registreredes rettigheder
d)
efter den dataansvarliges valg sletter eller tilbageleverer alle operationelle personoplysninger til den dataansvarlige, efter at tjenesterne vedrørende behandling er ophørt, og sletter eksisterende kopier, medmindre EU-retten eller en medlemsstats nationale ret foreskriver opbevaring af de operationelle personoplysninger
e)
stiller alle informationer, der er nødvendige for at påvise opfyldelse af kravene i denne artikel, til rådighed for den dataansvarlige
f)
overholder de betingelser, der er omhandlet i stk. 2 og i nærværende stykke, med henblik på at gøre brug af en anden databehandler.
4.   Kontrakten eller det andet retlige dokument, der er omhandlet i stk. 3, skal foreligge skriftligt, herunder elektronisk.
5.   Hvis en databehandler overtræder denne forordning eller retsakten om oprettelse af den dataansvarlige ved at fastlægge formålene med og hjælpemidlerne til behandling, anses denne databehandler for at være en dataansvarlig, for så vidt angår den pågældende behandling.
Artikel 88
Logning
1.   Den dataansvarlige fører logs for alle de følgende behandlingsaktiviteter i automatiske databehandlingssystemer: indsamling, ændring, adgang, søgning, videregivelse, herunder overførsel, samkøring og sletning af operationelle personoplysninger. Logning af søgning og videregivelse skal gøre det muligt at fastlægge begrundelsen, datoen og tidspunktet for sådanne aktiviteter, identifikation af den person, som har søgt eller videregivet operationelle personoplysninger, og så vidt muligt identiteten på modtagerne af sådanne operationelle personoplysninger.
2.   Loggene anvendes udelukkende til at kontrollere, om behandling er lovlig, til egenkontrol, til at sikre integriteten og sikkerheden af de operationelle personoplysninger og i forbindelse med straffesager. Disse logs slettes efter tre år, medmindre de skal bruges til løbende kontrol.
3.   Den dataansvarlige stiller efter anmodning loggene til rådighed for sin databeskyttelsesrådgiver og for Den Europæiske Tilsynsførende for Databeskyttelse.
Artikel 89
Konsekvensanalyse vedrørende databeskyttelse
1.   Hvis en type behandling, navnlig ved brug af nye teknologier og i medfør af sin karakter, omfang, sammenhæng og formål, sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, foretager den dataansvarlige forud for behandlingen en analyse af de påtænkte behandlingsaktiviteters konsekvenser for beskyttelse af operationelle personoplysninger.
2.   Den i stk. 1 omhandlede analyse skal mindst omfatte en generel beskrivelse af de planlagte behandlingsaktiviteter, en vurdering af risiciene for de registreredes rettigheder og frihedsrettigheder, de foranstaltninger, der påtænkes for at imødegå disse risici, garantier, sikkerhedsforanstaltninger og mekanismer, som kan sikre beskyttelse af operationelle personoplysninger og påvise overholdelse af databeskyttelsesregler, under hensyntagen til de registreredes og andre berørte personers rettigheder og legitime interesser.
Artikel 90
Forudgående høring af Den Europæiske Tilsynsførende for Databeskyttelse
1.   Den dataansvarlige hører Den Europæiske Tilsynsførende for Databeskyttelse inden behandling, der vil indgå som en del af et nyt register, der skal oprettes, når:
a)
en konsekvensanalyse vedrørende databeskyttelse i henhold til artikel 89 viser, at behandlingen vil føre til en høj risiko i mangel af foranstaltninger truffet af den dataansvarlige for at mindske risikoen, eller
b)
den type behandling, navnlig ved brug af nye teknologier, mekanismer eller procedurer, indebærer en høj risiko for de registreredes rettigheder og frihedsrettigheder.
2.   Den Europæiske Tilsynsførende for Databeskyttelse kan fastsætte en liste over de behandlingsaktiviteter, hvor der i henhold til stk. 1 skal foretages en forudgående høring.
3.   Den dataansvarlige forelægger Den Europæiske Tilsynsførende for Databeskyttelse konsekvensanalysen vedrørende databeskyttelse omhandlet i artikel 89 og efter anmodning andre oplysninger, der sætter Den Europæiske Tilsynsførende for Databeskyttelse i stand til at vurdere behandlingens overensstemmelse, og navnlig risiciene for beskyttelsen af registreredes operationelle personoplysninger og de tilknyttede garantier.
4.   Hvis Den Europæiske Tilsynsførende for Databeskyttelse finder, at den planlagte behandling omhandlet i stk. 1 vil overtræde denne forordning eller retsakten om oprettelse af det pågældende af Unionens organer, kontorer eller agenturer, navnlig hvis den dataansvarlige ikke tilstrækkeligt har identificeret eller begrænset risikoen, skal Den Europæiske Tilsynsførende for Databeskyttelse give den dataansvarlige skriftlig rådgivning inden for en periode på op til seks uger efter modtagelse af anmodningen om høring. Denne periode kan forlænges med en måned under hensyntagen til den påtænkte behandlings kompleksitet. Den Europæiske Tilsynsførende for Databeskyttelse underretter den dataansvarlige om enhver sådan forlængelse senest en måned efter modtagelse af anmodningen om høring sammen med begrundelsen for forsinkelsen.
Artikel 91
Behandlingssikkerhed for operationelle personoplysninger
1.   Den dataansvarlige og databehandleren gennemfører under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og behandlingens karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici, navnlig for så vidt angår behandlingen af de særlige kategorier af personoplysninger.
2.   For så vidt angår automatisk behandling gennemfører den dataansvarlige og databehandleren på grundlag af en risikovurdering foranstaltninger til at sikre, at:
a)
uautoriserede personer ikke kan få adgang til det databehandlingsudstyr, der benyttes til behandling (»kontrol med fysisk adgang til udstyret«)
b)
der ikke sker uautoriseret læsning, kopiering, ændring eller sletning af datamedier (»kontrol med datamedier«)
c)
der ikke sker uautoriseret indlæsning af operationelle personoplysninger samt uautoriseret læsning, ændring eller sletning af opbevarede operationelle personoplysninger (»kontrol med opbevaring«)
d)
automatiske behandlingssystemer ikke via datakommunikationsudstyr kan benyttes af uautoriserede personer (»brugerkontrol«)
e)
personer med bemyndigelse til at anvende et automatisk behandlingssystem kun har adgang til de operationelle personoplysninger, der er omfattet af deres adgangstilladelse (»kontrol med dataadgangen«)
f)
det er muligt at kontrollere og fastslå de organer, til hvilke operationelle personoplysninger er blevet eller kan blive fremsendt eller stillet til rådighed ved hjælp af datakommunikation (»kommunikationskontrol«)
g)
det er muligt efterfølgende at undersøge og fastslå, hvilke operationelle personoplysninger der er indlæst i automatiske behandlingssystemer, og hvornår og af hvem de operationelle personoplysninger blev indlæst (»kontrol med indlæsning«)
h)
der ikke sker uautoriseret læsning, kopiering, ændring eller sletning af operationelle personoplysninger i forbindelse med overførsler af disse eller under transport af datamedier (»transportkontrol«)
i)
de anvendte systemer i tilfælde af afbrydelse kan genetableres (»genopretning«)
j)
systemet fungerer, at indtrufne fejl meldes (»pålidelighed«), og at opbevarede operationelle personoplysninger ikke kan ødelægges som følge af fejlfunktioner i systemet (»integritet«)
Artikel 92
Anmeldelse af brud på persondatasikkerheden til Den Europæiske Tilsynsførende for Databeskyttelse
1.   Ved brud på persondatasikkerheden anmelder den dataansvarlige uden unødig forsinkelse og om muligt senest 72 timer, efter at denne er blevet bekendt med det, bruddet på persondatasikkerheden til Den Europæiske Tilsynsførende for Databeskyttelse, medmindre det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder og frihedsrettigheder. Foretages anmeldelsen til Den Europæiske Tilsynsførende for Databeskyttelse ikke inden for 72 timer, ledsages den af en begrundelse for forsinkelsen.
2.   Den i stk. 1 omhandlede anmeldelse skal mindst:
a)
beskrive karakteren af bruddet på persondatasikkerheden, herunder, hvis det er muligt, kategorierne og det omtrentlige antal berørte registrerede samt kategorierne og det omtrentlige antal berørte registreringer af operationelle personoplysninger
b)
angive navn og kontaktoplysninger for databeskyttelsesrådgiveren
c)
beskrive de sandsynlige konsekvenser af bruddet på persondatasikkerheden
d)
beskrive de foranstaltninger, som den dataansvarlige har truffet eller foreslår truffet for at håndtere bruddet på persondatasikkerheden, herunder, hvis det er relevant, foranstaltninger for at begrænse dets mulige skadevirkninger.
3.   Når og for så vidt som det ikke er muligt at give oplysningerne i stk. 2 samlet, kan oplysningerne meddeles trinvist uden unødig yderligere forsinkelse.
4.   Den dataansvarlige dokumenterer alle brud på persondatasikkerheden omhandlet i stk. 1, herunder de faktiske omstændigheder ved bruddet på persondatasikkerheden, dets virkninger og de trufne afhjælpende foranstaltninger. Denne dokumentation skal sætte Den Europæiske Tilsynsførende for Databeskyttelse i stand til at kontrollere, at denne artikel er overholdt.
5.   Hvis bruddet på persondatasikkerheden omfatter operationelle personoplysninger, der er fremsendt af eller til de kompetente myndigheder, meddeler den dataansvarlige de i stk. 2 omhandlede oplysninger uden unødig forsinkelse til de pågældende kompetente myndigheder.
Artikel 93
Underretning om brud på persondatasikkerheden til den registrerede
1.   Når et brud på persondatasikkerheden sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, underretter den dataansvarlige uden unødig forsinkelse den registrerede om bruddet på persondatasikkerheden.
2.   Underretningen af den registrerede i henhold til denne artikels stk. 1 skal i et klart og forståeligt sprog beskrive karakteren af bruddet på persondatasikkerheden og mindst indeholde de oplysninger og henstillinger, der er fastsat i artikel 92, stk. 2, litra b), c) og d).
3.   Det er ikke nødvendigt at underrette den registrerede som omhandlet i stk. 1, hvis nogen af følgende betingelser er opfyldt:
a)
den dataansvarlige har gennemført passende tekniske og organisatoriske beskyttelsesforanstaltninger, og disse foranstaltninger er blevet anvendt på de operationelle personoplysninger, som er berørt af bruddet på persondatasikkerheden, navnlig foranstaltninger, der gør de operationelle personoplysninger uforståelige for enhver, der ikke har autoriseret adgang hertil, såsom kryptering
b)
den dataansvarlige har truffet efterfølgende foranstaltninger, der sikrer, at den høje risiko for de registreredes rettigheder og frihedsrettigheder som omhandlet i stk. 1 sandsynligvis ikke længere er reel
c)
det vil kræve en uforholdsmæssig indsats. I et sådant tilfælde skal der i stedet foretages en offentlig meddelelse eller tilsvarende foranstaltning, hvorved de registrerede underrettes på en tilsvarende effektiv måde.
4.   Hvis den dataansvarlige ikke allerede har underrettet den registrerede om bruddet på persondatasikkerheden, kan Den Europæiske Tilsynsførende for Databeskyttelse efter at have overvejet sandsynligheden for, at bruddet på persondatasikkerheden indebærer en høj risiko, kræve, at den dataansvarlige gør dette, eller beslutte, at en af betingelserne i stk. 3 er opfyldt.
5.   Den i nærværende artikels stk. 1 omhandlede underretning af den registrerede kan udsættes, begrænses eller afskæres på de betingelser og af de årsager, der er omhandlet i artikel 79, stk. 3.
Artikel 94
Videregivelse af operationelle personoplysninger til tredjelande og internationale organisationer
1.   Med forbehold af begrænsninger og betingelser, der er fastsat i retsakterne om oprettelse af det pågældende af Unionens organer, kontorer eller agenturer, kan den dataansvarlige videregive operationelle personoplysninger til en myndighed i et tredjeland eller til en international organisation, i det omfang en sådan videregivelse er nødvendig for at dataansvarlige kan udføre deres opgaver, og kun hvis betingelserne i denne artikel er opfyldt, navnlig at:
a)
Kommissionen har vedtaget en afgørelse om tilstrækkeligheden af beskyttelsesniveauet i overensstemmelse med artikel 36, stk. 3, i direktiv (EU) 2016/680, der fastslår, at det pågældende tredjeland eller et territorium eller en behandlingssektor i det pågældende tredjeland eller den pågældende internationale organisation sikrer et tilstrækkeligt niveau for databeskyttelse
b)
der, hvis der ikke er vedtaget en afgørelse fra Kommissionen om tilstrækkeligt beskyttelsesniveau i henhold til litra a), er indgået en international aftale mellem Unionen og dette tredjeland eller denne internationale organisation i medfør af artikel 218 i TEUF, og som frembyder tilstrækkelige garantier med hensyn til beskyttelsen af privatlivets fred og fysiske personers grundlæggende rettigheder og friheder
c)
der, hvis der ikke er vedtaget en afgørelse fra Kommissionen om tilstrækkeligheden af beskyttelsesniveauet i henhold til litra a) eller ikke er indgået en international aftale i henhold til litra b), er indgået en samarbejdsaftale, der muliggør udveksling af operationelle personoplysninger før datoen for anvendelsen af retsakten om oprettelsen af det pågældende af Unionens organer, kontorer eller agenturer, mellem dette organ, kontor eller agentur og det pågældende tredjeland.
2.   Retsakterne om oprettelse af Unionens organer, kontorer og agenturer kan opretholde eller indføre mere specifikke bestemmelser om betingelserne for international videregivelse af operationelle personoplysninger, navnlig om videregivelser ved anvendelse af fornødne garantier og undtagelser i særlige situationer.
3.   Den dataansvarlige offentliggør og ajourfører på sit websted en liste over afgørelser om tilstrækkeligt beskyttelsesniveau omhandlet i stk. 1, litra a), aftaler, administrative ordninger og andre instrumenter vedrørende videregivelse af operationelle personoplysninger i henhold til stk. 1.
4.   Den dataansvarlige fører et detaljeret register over alle videregivelser foretaget i henhold til denne artikel.
Artikel 95
Tavshedspligt i forbindelse med forundersøgelse og straffesager
Retsakterne om oprettelse af Unionens organer, kontorer eller agenturer, der udfører aktiviteter henhørende under tredje del, afsnit V, kapitel 4 eller kapitel 5, i TEUF kan pålægge Den Europæiske Tilsynsførende for Databeskyttelse til i forbindelse med udøvelsen af vedkommendes tilsynsbeføjelser at tage videst muligt hensyn til tavshedspligt i forbindelse med forundersøgelse og straffesager i overensstemmelse med EU-retten eller medlemsstaternes nationale ret.
KAPITEL X
GENNEMFØRELSESRETSAKTER
Artikel 96
Udvalgsprocedure
1.   Kommissionen bistås af udvalget nedsat ved artikel 93 i forordning (EU) 2016/679. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.
2.   Når der henvises til dette stykke, anvendes artikel 5 i forordning (EU) nr. 182/2011.
KAPITEL XI
EVALUERING
Artikel 97
Evalueringsklausul
Senest den 30. april 2022 og hvert femte år derefter forelægger Kommissionen en rapport for Europa-Parlamentet og Rådet om anvendelsen af denne forordning, ledsaget, om nødvendigt, af passende lovgivningsmæssige forslag.
Artikel 98
Evaluering af EU-retsakter
1.   Senest den 30. april 2022 evaluerer Kommissionen de retsakter, der er vedtaget på grundlag af traktaterne, og som regulerer behandling af operationelle personoplysninger i Unionens organer, kontorer eller agenturer ved udførelsen af aktiviteter, der henhører under tredje del, afsnit V, kapitel 4 eller kapitel 5, i TEUF, med henblik på at:
a)
vurdere deres overensstemmelse med direktiv (EU) 2016/680 og nærværende forordnings kapitel IX
b)
identificere eventuelle forskelle, der kan hæmme udvekslingen af operationelle personoplysninger mellem Unionens organer, kontorer og agenturer ved udførelsen af aktiviteter på disse områder og kompetente myndigheder, og
c)
identificere eventuelle forskelle, som kan skabe retlig fragmentering af databeskyttelseslovgivningen i Unionen.
2.   På grundlag af evalueringen kan Kommissionen for at sikre en ensartet og konsekvent beskyttelse af fysiske personer, hvad angår behandling, forelægge hensigtsmæssige lovgivningsmæssige forslag, navnlig med henblik på at anvende denne forordnings kapitel IX på Europol og Den Europæiske Anklagemyndighed, herunder om nødvendigt tilpasninger af denne forordnings kapitel IX.
KAPITEL XII
AFSLUTTENDE BESTEMMELSER
Artikel 99
Ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF
Forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF ophæves herved med virkning fra den 11. december 2018. Henvisninger til den ophævede forordning og den ophævede afgørelse betragtes som henvisninger til nærværende forordning.
Artikel 100
Overgangsforanstaltninger
1.   Europa-Parlamentet og Rådets afgørelse 2014/886/EU 
(
20
)
 og Den Europæiske Tilsynsførende for Databeskyttelses og den assisterende tilsynsførendes indeværende embedsperiode berøres ikke af denne forordning.
2.   Den assisterende tilsynsførende sidestilles med justitssekretæren for EU-Domstolen for så vidt angår fastsættelsen af vederlag, tillæg, alderspension og eventuelle andre goder end vederlag.
3.   Artikel 53, stk. 4, 5 og 7, og artikel 55 og 56 i denne forordning finder anvendelse på den nuværende assisterende tilsynsførende indtil udløbet af dennes embedsperiode.
4.   Den assisterende tilsynsførende bistår Den Europæiske Tilsynsførende for Databeskyttelse ved opfyldelsen af dennes pligter og fungerer som stedfortræder, når Den Europæiske Tilsynsførende for Databeskyttelse er fraværende eller forhindret i at deltage i disse pligter indtil udløbet af den nuværende assisterende tilsynsførendes embedsperiode.
Artikel 101
Ikrafttræden og anvendelse
1.   Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
2.   Denne forordning finder dog anvendelse på Eurojusts behandling af personoplysninger fra den 12. december 2019.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Strasbourg, den 23. oktober 2018.
På Europa-Parlamentets vegne
Formand
A. TAJANI
På Rådets vegne
Formand
K. EDTSTADLER
(
1
)
  
            
EUT C 288 af 31.8.2017, s. 107
.
(
2
)
  Europa-Parlamentets holdning af 13.9.2018 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 11.10.2018.
(
3
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (
EFT L 8 af 12.1.2001, s. 1
).
(
4
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
EUT L 119 af 4.5.2016, s. 1
).
(
5
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (
EUT L 119 af 4.5.2016, s. 89
).
(
6
)
  Rådets direktiv 93/13/EØF af 5. april 1993 om urimelige kontraktvilkår i forbrugeraftaler (
EFT L 95 af 21.4.1993, s. 29
).
(
7
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 1338/2008 af 16. december 2008 om fællesskabsstatistikker over folkesundhed og arbejdsmiljø (
EUT L 354 af 31.12.2008, s. 70
).
(
8
)
  Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktiv om databeskyttelse inden for elektronisk kommunikation) (
EFT L 201 af 31.7.2002, s. 37
).
(
9
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 af 30. maj 2001 om aktindsigt i Europa-Parlamentets, Rådets og Kommissionens dokumenter (
EFT L 145 af 31.5.2001, s. 43
).
(
10
)
  
            
EFT L 56 af 4.3.1968, s. 1
.
(
11
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (
EUT L 55 af 28.2.2011, s. 13
).
(
12
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 223/2009 af 11. marts 2009 om europæiske statistikker og om ophævelse af forordning (EF, Euratom) nr. 1101/2008 om fremsendelse af fortrolige statistiske oplysninger til De Europæiske Fællesskabers Statistiske Kontor, Rådets forordning (EF) nr. 322/97 om EF-statistikker og Rådets afgørelse 89/382/EØF, Euratom om nedsættelse af et udvalg for De Europæiske Fællesskabers statistiske program (
EUT L 87 af 31.3.2009, s. 164
).
(
13
)
  Europa-Parlamentets, Rådets og Kommissionens afgørelse nr. 1247/2002/EF af 1. juli 2002 om statutten og de almindelige betingelser for udøvelse af hvervet som Europæisk Tilsynsførende for Databeskyttelse (
EFT L 183 af 12.7.2002, s. 1
).
(
14
)
  
            
EUT C 164 af 24.5.2017, s. 2
.
(
15
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/794 af 11. maj 2016 om Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og om erstatning og ophævelse af Rådets afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA (
EUT L 135 af 24.5.2016, s. 53
).
(
16
)
  Rådets forordning (EU) 2017/1939 af 12. oktober 2017 om gennemførelse af et forstærket samarbejde om oprettelse af Den Europæiske Anklagemyndighed (»EPPO«) (
EUT L 283 af 31.10.2017, s. 1
).
(
17
)
  Europa-Parlamentets og Rådets direktiv (EU) 2015/1535 af 9. september 2015 om en informationsprocedure med hensyn til tekniske forskrifter samt forskrifter for informationssamfundets tjenester (
EUT L 241 af 17.9.2015, s. 1
).
(
18
)
  Kommissionens direktiv 2008/63/EF af 20. juni 2008 om konkurrence på markederne for teleterminaludstyr (
EUT L 162 af 21.6.2008, s. 20
).
(
19
)
  Rådets afgørelse 2009/917/RIA af 30. november 2009 om brug af informationsteknologi på toldområdet (
EUT L 323 af 10.12.2009, s. 20
).
(
20
)
  Europa-Parlamentets og Rådets afgørelse 2014/886/EU af 4. december 2014 om udnævnelse af den europæiske tilsynsførende for databeskyttelse og den assisterende tilsynsførende (
EUT L 351 af 9.12.2014, s. 9
).

Summary:
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i EU’s institutioner, organer, kontorer og agenturer
RESUMÉ AF:
Forordning (EU) 2018/1725 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i EU’s institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger
HVAD ER FORMÅLET MED FORORDNINGEN?
Forordningen:
fastsætter regler for, hvordan 
EU’s institutioner, organer
, kontorer og agenturer bør behandle 
personoplysninger
1
, som de ligger inde med om fysiske personer
beskytter fysiske personers 
grundlæggende rettigheder
 og frihedsrettigheder, navnlig deres ret til 
beskyttelse af personoplysninger
 og beskyttelse af privatlivets fred
harmoniserer reglerne for EU’s institutioner, organer, kontorer og agenturer med reglerne i 
den generelle forordning om databeskyttelse (GDPR)
 og direktiv (EU) 
2016/680
, kendt som retshåndhævelsesdirektivet, der trådte i kraft i maj 2018
ophæver forordning (EF) 
nr. 
45/2001
, som tidligere omfattede regler for behandling af personoplysninger i EU’s institutioner, organer, kontorer og agenturer, og sikrer, at disse overholder de samme strenge standarder som fastsat i GDPR
ophæver afgørelse 
nr. 
1247/2002/EF
 vedrørende 
Den Europæiske Tilsynsførende for Databeskyttelse
.
HOVEDPUNKTER
Personoplysninger
 skal:
behandles lovligt, rimeligt og på en gennemsigtig måde
indsamles til udtrykkeligt angivne og legitime formål
være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt
være korrekte og om nødvendigt ajourførte
opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt
behandles på en måde, der sikrer tilstrækkelig fortrolighed.
Den 
dataansvarlige
2
 er ansvarlig for og skal kunne påvise overholdelsen af alle ovennævnte principper for databehandling.
For 
personoplysninger
 gælder desuden, at de:
kun må fremsendes til andre modtagere i EU end EU’s institutioner, organer, kontorer eller agenturer 
på betingelse af yderligere garantier
kun må overføres til modtagere uden for EU 
på visse strenge betingelser
ikke må behandles
, bortset fra under særlige omstændigheder, hvis de afslører en persons race eller etniske oprindelse, politiske, religiøse eller filosofiske overbevisning eller fagforeningsmæssige tilhørsforhold; det samme gælder behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering
skal være omfattet af de fornødne garantier
, hvis de bruges til arkivformål i samfundets interesse eller til videnskabelige, historiske eller statistiske formål.
Anmodninger om en fysisk persons samtykke
 til at bruge vedkommendes personoplysninger skal være i en letforståelig og lettilgængelig form og i et klart og enkelt sprog. Samtykket skal gives i form af en klar bekræftelse fra den fysiske person.
En fysisk person
 (i lovgivningen omtalt som den »registrerede«) har ret til:
at trække sit samtykke tilbage til enhver tid, og det skal være lige så let at trække samtykket tilbage som at give det
at vide, hvorvidt vedkommendes egne personoplysninger behandles, samt ret til at få adgang til disse
at få urigtige personoplysninger berigtiget
at få personoplysninger om sig selv slettet eller begrænset med hensyn til behandling, hvis visse forhold gør sig gældende
at modtage sine personoplysninger, som vedkommende har givet til den dataansvarlige, i et struktureret, almindeligt anvendt og maskinlæsbart format og fremsende disse oplysninger til en anden dataansvarlig
at gøre indsigelse mod anvendelse af sine personoplysninger til et formål, der er i samfundets interesse, på baggrund af sin særlige situation
ikke at blive gjort til genstand for en afgørelse, der alene bygger på automatisk behandling, og som har negative retsvirkninger for vedkommende
at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse, hvis vedkommende mener, at dennes personoplysninger bliver behandlet i strid med forordningen
at få erstatning i tilfælde af materiel eller immateriel skade som følge af ulovlige handlinger i EU’s institutioner, organer, kontorer eller agenturer
at bemyndige et organ eller en organisation til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse på vedkommendes vegne.
Dataansvarlige
:
skal underrette registrerede i et klart og forståeligt sprog og med faktuelle oplysninger såsom den dataansvarliges kontaktoplysninger og formålet med databehandlingen, når sådanne oplysninger indsamles
skal besvare enhver anmodning fra registrerede, for eksempel anmodninger om adgang til at berigtige personoplysninger, så hurtigt som muligt og senest en måned efter modtagelse af anmodningen
gennemfører passende tekniske og organisatoriske foranstaltninger, herunder 
pseudonymisering
3
, for at sikre, at behandlingen af personoplysninger overholder forordningen
må kun bruge databehandlere, der opfylder EU-kravene
fører fortegnelser over alle databehandlingsaktiviteter under deres ansvar
samarbejder med Den Europæiske Tilsynsførende for Databeskyttelse
underretter hurtigst muligt Den Europæiske Tilsynsførende for Databeskyttelse og i visse tilfælde også den berørte fysiske person om et eventuelt brud på persondatasikkerheden
gennemfører konsekvensanalyser vedrørende databeskyttelse for visse former for højrisikobehandling af personoplysninger
sikrer, at personoplysninger håndteres fortroligt og sikkert i deres elektroniske kommunikationsnetværk
underretter Den Europæiske Tilsynsførende for Databeskyttelse om udarbejdelsen af administrative foranstaltninger og interne regler vedrørende behandling af personoplysninger.
Forordningen opretter stillingen som Europæisk Tilsynsførende for Databeskyttelse, der udpeges med en embedsperiode på fem år, der kan fornyes én gang. Indehaveren af embedet har hjemsted i Bruxelles og:
udfører sine opgaver i fuld uafhængighed
har tavshedspligt for så vidt angår alle fortrolige oplysninger
fører tilsyn med, hvordan EU’s institutioner, organer, kontorer og agenturer anvender forordningen
fremmer offentlighedens kendskab til og forståelse af behandling af personoplysninger
behandler klager og gennemfører undersøgelser
udsteder advarsler til dataansvarlige og pålægger dem sanktioner
indbringer sager for EU-Domstolen, der håndterer tvister i forhold til lovgivningen
forelægger regelmæssigt rapporter for 
Europa-Parlamentet
, 
Rådet
 og 
Europa-Kommissionen
samarbejder med de nationale tilsynsmyndigheder.
Den tilsynsførendes forretningsorden
En 
afgørelse
 af 
15. maj 2020
 vedtager den tilsynsførendes forretningsorden. Den fastsætter nærmere:
den tilsynsførendes opgave, vejledende principper og organisation
hvordan den tilsynsførende overvåger og sikrer forordningens anvendelse
procedurer for høring af den tilsynsførende som led i lovgivningsproceduren, teknologiovervågning, forskningsprojekter og retssager samt
procedurer for samarbejde med nationale tilsynsmyndigheder og internationalt samarbejde.
Særlige regler for EU-organer, kontorer og agenturer
Særlige regler finder anvendelse for EU’s organer, kontorer og agenturer, der behandler 
operationelle personoplysninger
4
 med henblik på retshåndhævelse (f.eks. 
Eurojust
). De er omfattet af et særligt kapitel i forordningen. Reglerne i dette kapitel er i overensstemmelse med retshåndhævelsesdirektivet. Endvidere kan der i de stiftende retsakter for disse organer, kontorer og agenturer fastlægges mere specifikke regler for at tage højde for særlige karakteristika.
Europols
 og 
Den Europæiske Anklagemyndigheds
 behandling af operationelle personoplysninger er ikke omfattet af denne forordnings anvendelsesområde, men i stedet af specifikke bestemmelser i de retsakter, der etablerer dem. Deres administrative behandling af personoplysninger (f.eks. i forbindelse med personaleadministration) er dog underlagt forordningen.
Databeskyttelsesrådgivere
Dataansvarlige udpeger også en 
databeskyttelsesrådgiver
 for en periode på tre til fem år, som skal:
rådgive om behandling af personoplysninger på en uafhængig måde
føre tilsyn med overholdelsen af reglerne for beskyttelse af personoplysninger.
Rapporter
Europa-Kommissionen skal aflægge sin første rapport om anvendelse af forordningen senest den 
30. april 2022
.
HVORNÅR GÆLDER FORORDNINGEN FRA?
Den trådte i kraft den 
11. december 2018
, med undtagelse af delen om Eurojusts behandling af personoplysninger, som trådte i kraft den 
12. december 2019
.
BAGGRUND
Artikel 8
 i 
Den Europæiske Unions charter om grundlæggende rettigheder
 fastslår, at enhver har ret til beskyttelse af personoplysninger. 
Artikel 16
 i traktaten om Den Europæiske Unions funktionsmåde videreudvikler denne ret. Denne artikel udgør det juridiske grundlag for al EU-lovgivning om databeskyttelse.
For yderligere oplysninger henvises til:
Databeskyttelse i EU
 (Europa-Kommissionen).
VIGTIGE BEGREBER
Personoplysninger.
 Enhver form for information om en identificeret eller identificérbar fysisk person.
Dataansvarlig.
 Enhver af EU’s institutioner, organer, kontorer eller agenturer eller anden organisatorisk enhed, som afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger.
Pseudonymisering.
 Behandling af personoplysninger på en sådan måde, at en fysisk person ikke længere kan identificeres uden brug af supplerende oplysninger, der opbevares andetsteds.
Operationelle personoplysninger.
 Alle personoplysninger, der behandles med henblik på udførelse af retshåndhævelsesaktiviteter.
HOVEDDOKUMENT
Europa-Parlamentets og Rådets forordning (EU) 
2018/1725
 af 
23. oktober 2018
 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) 
nr. 45/2001
 og afgørelse 
nr. 1247/2002/EF
 (EUT L 295 af 
21.11.2018
, 
s. 39-98
).
TILHØRENDE DOKUMENTER
Kommissionens afgørelse (EU) 
2020/969
 af 
3. juli 2020
 om gennemførelsesbestemmelser vedrørende databeskyttelsesrådgiveren, begrænsning af registreredes rettigheder, anvendelse af Europa-Parlamentets og Rådets forordning (EU) 2018/1725 og om ophævelse af Kommissionens afgørelse 2008/597/EF (EUT L 213 af 
6.7.2020
, 
s. 12-22
).
Afgørelse
 fra Den Europæiske Tilsynsførende for Databeskyttelse af 
15. maj 2020
 om vedtagelse af den tilsynsførendes forretningsorden (EUT L 204 af 
26.6.2020
, 
s. 49-59
).
Afgørelse
 fra Den Europæiske Tilsynsførende for Databeskyttelse (EDPS) af 
2. april 2019
 om interne regler for anvendelse af begrænsninger på visse af de registreredes rettigheder i forbindelse med behandling af personoplysninger som led i aktiviteter, der udføres af Den Europæiske Tilsynsførende for Databeskyttelse (EUT L 99I af 
10.4.2019
, 
s. 1-7
).
Europa-Parlamentets og Rådets forordning (EU) 
2016/679
 af 
27. april 2016
 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 
4.5.2016
, 
s. 1-88
).
Efterfølgende ændringer af forordning (EU) 2016/679 er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
Europa-Parlamentets og Rådets direktiv (EU) 
2016/680
 af 
27. april 2016
 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 
4.5.2016
, 
s. 89-131
).
Se den 
konsoliderede udgave
.
seneste ajourføring 
14.1.2022