CELEX ID: 32022R0868

--- ENGLISH ---

Document:
3.6.2022
EN
Official Journal of the European Union
L 152/1
REGULATION (EU) 2022/868 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 30 May 2022
on European data governance and amending Regulation (EU) 2018/1724 (Data Governance Act)
(Text with EEA relevance)
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on the Functioning of the European Union, and in particular Article 114 thereof,
Having regard to the proposal from the European Commission,
After transmission of the draft legislative act to the national parliaments,
Having regard to the opinion of the European Economic and Social Committee 
(
1
)
,
After consulting the Committee of the Regions,
Acting in accordance with the ordinary legislative procedure 
(
2
)
,
Whereas:
(1)
The Treaty on the Functioning of the European Union (TFEU) provides for the establishment of an internal market and the institution of a system ensuring that competition in the internal market is not distorted. The establishment of common rules and practices in the Member States relating to the development of a framework for data governance should contribute to the achievement of those objectives, while fully respecting fundamental rights. It should also guarantee the strengthening of the open strategic autonomy of the Union while fostering international free flow of data.
(2)
Over the last decade, digital technologies have transformed the economy and society, affecting all sectors of activity and daily life. Data is at the centre of that transformation: data-driven innovation will bring enormous benefits to both Union citizens and the economy, for example by improving and personalising medicine, providing new mobility, and contributing to the communication of the Commission of 11 December 2019 on the European Green Deal. In order to make the data-driven economy inclusive for all Union citizens, particular attention must be paid to reducing the digital divide, boosting the participation of women in the data economy and fostering cutting-edge European expertise in the technology sector. The data economy has to be built in a way that enables undertakings, in particular micro, small and medium-sized enterprises (SMEs), as defined in the Annex to Commission Recommendation 2003/361/EC 
(
3
)
, and start-ups to thrive, ensuring data access neutrality and data portability and interoperability, and avoiding lock-in effects. In its communication of 19 February 2020 on a European strategy for data (the ‘European strategy for data’), the Commission described the vision of a common European data space, meaning an internal market for data in which data could be used irrespective of its physical storage location in the Union in compliance with applicable law, which, 
inter alia
, could be pivotal for the rapid development of artificial intelligence technologies.
The Commission also called for the free and safe flow of data with third countries, subject to exceptions and restrictions for public security, public order and other legitimate public policy objectives of the Union, in line with international obligations, including on fundamental rights. In order to turn that vision into reality, the Commission proposed establishing domain-specific common European data spaces for data sharing and data pooling. As proposed in the European strategy for data, such common European data spaces could cover areas such as health, mobility, manufacturing, financial services, energy or agriculture, or a combination of such areas, for example energy and climate, as well as thematic areas such as the European Green Deal or European data spaces for public administration or skills. Common European data spaces should make data findable, accessible, interoperable and re-usable (the ‘FAIR data principles’), while ensuring a high level of cybersecurity. Where there is a level playing field in the data economy, undertakings compete on quality of services, and not on the amount of data they control. For the purposes of the design, creation and maintenance of the level playing field in the data economy, sound governance is needed in which relevant stakeholders of a common European data space need to participate and be represented.
(3)
It is necessary to improve the conditions for data sharing in the internal market, by creating a harmonised framework for data exchanges and laying down certain basic requirements for data governance, paying specific attention to facilitating cooperation between Member States. This Regulation should aim to develop further the borderless digital internal market and a human-centric, trustworthy and secure data society and economy. Sector-specific Union law can develop, adapt and propose new and complementary elements, depending on the specificities of the sector, such as the Union law envisaged on the European health data space and on access to vehicle data. Moreover, certain sectors of the economy are already regulated by sector-specific Union law, which includes rules relating to the sharing of or access to data across borders or across the Union, for example Directive 2011/24/EU of the European Parliament and of the Council 
(
4
)
 in the context of the European health data space, and relevant legislative acts in the field of transport, such as Regulations (EU) 2019/1239 
(
5
)
 and (EU) 2020/1056 
(
6
)
 and Directive 2010/40/EU 
(
7
)
 of the European Parliament and of the Council in the context of the European mobility data space.
This Regulation should therefore be without prejudice to Regulations (EC) No 223/2009 
(
8
)
, (EU) 2018/858 
(
9
)
 and (EU) 2018/1807 
(
10
)
 as well as Directives 2000/31/EC 
(
11
)
, 2001/29/EC 
(
12
)
, 2004/48/EC 
(
13
)
, 2007/2/EC 
(
14
)
, 2010/40/EU, (EU) 2015/849 
(
15
)
, (EU) 2016/943 
(
16
)
, (EU) 2017/1132 
(
17
)
, (EU) 2019/790 
(
18
)
 and (EU) 2019/1024 
(
19
)
 of the European Parliament and of the Council and any other sector-specific Union law that regulates access to and re-use of data. This Regulation should be without prejudice to Union and national law on the access to and use of data for the purpose of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, as well as international cooperation in that context.
This Regulation should be without prejudice to the competences of the Member States with regard to their activities concerning public security, defence and national security. The re-use of data protected for such reasons and held by public sector bodies, including data from procurement procedures falling within the scope of Directive 2009/81/EC of the European Parliament and of the Council 
(
20
)
, should not be covered by this Regulation. A horizontal regime for the re-use of certain categories of protected data held by public sector bodies, the provision of data intermediation services and of services based on data altruism in the Union should be established. Specific characteristics of different sectors may require the design of sectoral data-based systems, while building on the requirements of this Regulation. Data intermediation services providers that meet the requirements laid down in this Regulation should be able to use the label ‘data intermediation services provider recognised in the Union’. Legal persons that seek to support objectives of general interest by making available relevant data based on data altruism at scale and that meet the requirements laid down in this Regulation should be able to register as and use the label ‘data altruism organisation recognised in the Union’. Where sector-specific Union or national law requires public sector bodies, such data intermediation services providers or such legal persons (recognised data altruism organisations) to comply with specific additional technical, administrative or organisational requirements, including through an authorisation or certification regime, those provisions of that sector-specific Union or national law should also apply.
(4)
This Regulation should be without prejudice to Regulations (EU) 2016/679 
(
21
)
 and (EU) 2018/1725 
(
22
)
 of the European Parliament and of the Council and to Directives 2002/58/EC 
(
23
)
 and (EU) 2016/680 
(
24
)
 of the European Parliament and of the Council and the corresponding provisions of national law, including where personal and non-personal data in a data set are inextricably linked. In particular, this Regulation should not be read as creating a new legal basis for the processing of personal data for any of the regulated activities, or as amending the information requirements laid down in Regulation (EU) 2016/679. The implementation of this Regulation should not prevent cross-border transfers of data in accordance with Chapter V of Regulation (EU) 2016/679. In the event of a conflict between this Regulation and Union law on the protection of personal data or national law adopted in accordance with such Union law, the relevant Union or national law on the protection of personal data should prevail. It should be possible to consider data protection authorities to be competent authorities under this Regulation. Where other authorities function as competent authorities under this Regulation, they should do so without prejudice to the supervisory powers and competences of data protection authorities under Regulation (EU) 2016/679.
(5)
Action at Union level is necessary to increase trust in data sharing by establishing appropriate mechanisms for control by data subjects and data holders over data that relates to them, and in order to address other barriers to a well-functioning and competitive data-driven economy. That action should be without prejudice to obligations and commitments in the international trade agreements concluded by the Union. A Union-wide governance framework should have the objective of building trust among individuals and undertakings in relation to data access, control, sharing, use and re-use, in particular by establishing appropriate mechanisms for data subjects to know and meaningfully exercise their rights, as well as with regard to the re-use of certain types of data held by the public sector bodies, the provision of services by data intermediation services providers to data subjects, data holders and data users, as well as the collection and processing of data made available for altruistic purposes by natural and legal persons. In particular, more transparency regarding the purpose of data use and conditions under which data is stored by undertakings can help increase trust.
(6)
The idea that data that has been generated or collected by public sector bodies or other entities at the expense of public budgets should benefit society has been part of Union policy for a long time. Directive (EU) 2019/1024 and sector-specific Union law ensure that the public sector bodies make more of the data they produce easily available for use and re-use. However, certain categories of data, such as commercially confidential data, data that are subject to statistical confidentiality and data protected by intellectual property rights of third parties, including trade secrets and personal data, in public databases are often not made available, not even for research or innovative activities in the public interest, despite such availability being possible in accordance with the applicable Union law, in particular Regulation (EU) 2016/679 and Directives 2002/58/EC and (EU) 2016/680. Due to the sensitivity of such data, certain technical and legal procedural requirements must be met before they are made available, not least in order to ensure the respect of rights others have over such data or to limit the negative impact on fundamental rights, the principle of non-discrimination and data protection. The fulfilment of such requirements is usually time- and knowledge-intensive. This has led to the insufficient use of such data. While some Member States are establishing structures, processes or legislation to facilitate that type of re-use, this is not the case across the Union. In order to facilitate the use of data for European research and innovation by private and public entities, clear conditions for access to and use of such data are needed across the Union.
(7)
There are techniques enabling analyses on databases that contain personal data, such as anonymisation, differential privacy, generalisation, suppression and randomisation, the use of synthetic data or similar methods and other state-of-the-art privacy-preserving methods that could contribute to a more privacy-friendly processing of data. Member States should provide support to public sector bodies to make optimal use of such techniques, thus making as much data as possible available for sharing. The application of such techniques, together with comprehensive data protection impact assessments and other safeguards, can contribute to more safety in the use and re-use of personal data and should ensure the safe re-use of commercially confidential business data for research, innovation and statistical purposes. In many cases the application of such techniques, impact assessments and other safeguards implies that data can be used and re-used only in a secure processing environment that is provided or controlled by the public sector body. There is experience at Union level with such secure processing environments that are used for research on statistical microdata on the basis of Commission Regulation (EU) No 557/2013 
(
25
)
. In general, insofar as personal data are concerned, the processing of personal data should be based upon one or more of the legal bases for processing provided in Articles 6 and 9 of Regulation (EU) 2016/679.
(8)
In accordance with Regulation (EU) 2016/679, the principles of data protection should not apply to anonymous information, namely information which does not relate to an identified or identifiable natural person, or to personal data rendered anonymous in such a manner that the data subject is not or no longer identifiable. Re-identification of data subjects from anonymised datasets should be prohibited. This should not prejudice the possibility to conduct research into anonymisation techniques, in particular for the purpose of ensuring information security, improving existing anonymisation techniques and contributing to the overall robustness of anonymisation, undertaken in accordance with Regulation (EU) 2016/679.
(9)
In order to facilitate the protection of personal data and confidential data and to speed up the process of making such data available for re-use under this Regulation, Member States should encourage public sector bodies to create and make available data in accordance with the principle of ‘open by design and by default’ referred to in Article 5(2) of Directive (EU) 2019/1024 and to promote the creation and the procurement of data in formats and structures that facilitate anonymisation in that regard.
(10)
The categories of data held by public sector bodies which should be subject to re-use under this Regulation fall outside the scope of Directive (EU) 2019/1024 that excludes data which is not accessible due to commercial and statistical confidentiality and data that is included in works or other subject matter over which third parties have intellectual property rights. Commercially confidential data includes data protected by trade secrets, protected know-how and any other information the undue disclosure of which would have an impact on the market position or financial health of the undertaking. This Regulation should apply to personal data that fall outside the scope of Directive (EU) 2019/1024 insofar as the access regime excludes or restricts access to such data for reasons of data protection, privacy and the integrity of the individual, in particular in accordance with data protection rules. The re-use of data, which may contain trade secrets, should take place without prejudice to Directive (EU) 2016/943, which sets out the framework for the lawful acquisition, use or disclosure of trade secrets.
(11)
This Regulation should not create an obligation to allow the re-use of data held by public sector bodies. In particular, each Member State should therefore be able to decide whether data is made accessible for re-use, also in terms of the purposes and scope of such access. This Regulation should complement and be without prejudice to more specific obligations on public sector bodies to allow re-use of data laid down in sector-specific Union or national law. Public access to official documents may be considered to be in the public interest. Taking into account the role of public access to official documents and transparency in a democratic society, this Regulation should also be without prejudice to Union or national law on granting access to and disclosing official documents. Access to official documents may in particular be granted in accordance with national law without imposing specific conditions or by imposing specific conditions that are not provided by this Regulation.
(12)
The re-use regime provided for in this Regulation should apply to data the supply of which forms part of the public tasks of the public sector bodies concerned under law or other binding rules in the Member States. In the absence of such rules, the public tasks should be defined in accordance with common administrative practice in the Member States, provided that the scope of the public tasks is transparent and subject to review. The public tasks could be defined generally or on a case-by-case basis for individual public sector bodies. As public undertakings are not covered by the definition of public sector body, the data held by public undertakings should not be covered by this Regulation. Data held by cultural establishments, such as libraries, archives and museums as well as orchestras, operas, ballets and theatres, and by educational establishments should not be covered by this Regulation since the works and other documents they hold are predominantly covered by third party intellectual property rights. Research-performing organisations and research-funding organisations could also be organised as public sector bodies or bodies governed by public law.
This Regulation should apply to such hybrid organisations only in their capacity as research-performing organisations. If a research-performing organisation holds data as a part of a specific public-private association with private sector organisations or other public sector bodies, bodies governed by public law or hybrid research-performing organisations, i.e. organised as either public sector bodies or public undertakings, with the main purpose of pursuing research, those data should also not be covered by this Regulation. Where relevant, Member States should be able to apply this Regulation to public undertakings or private undertakings that exercise public sector duties or provide services of general interest. The exchange of data, purely in pursuit of their public tasks, among public sector bodies in the Union or between public sector bodies in the Union and public sector bodies in third countries or international organisations, as well as the exchange of data between researchers for non-commercial scientific research purposes, should not be subject to the provisions of this Regulation concerning the re-use of certain categories of protected data held by public sector bodies.
(13)
Public sector bodies should comply with competition law when establishing the principles for re-use of data they hold, avoiding the conclusion of agreements which might have as their objective or effect the creation of exclusive rights for the re-use of certain data. Such agreements should be possible only where justified and necessary for the provision of a service or the supply of a product in the general interest. This may be the case where the exclusive use of the data is the only way to maximise the societal benefits of the data in question, for example where there is only one entity (which has specialised in the processing of a specific dataset) capable of providing the service or supplying the product which allows the public sector body to provide a service or supply a product in the general interest. Such arrangements should, however, be concluded in accordance with applicable Union or national law and be subject to regular review based on a market analysis in order to ascertain whether such exclusivity continues to be necessary. In addition, such arrangements should comply with the relevant State aid rules, as appropriate, and should be concluded for a limited duration which should not exceed 12 months. In order to ensure transparency, such exclusive agreements should be published online, in a form that complies with relevant Union law on public procurement. Where an exclusive right to re-use data does not comply with this Regulation, that exclusive right should be invalid.
(14)
Prohibited exclusive agreements and other practices or arrangements pertaining to the re-use of data held by public sector bodies which do not expressly grant exclusive rights but which can reasonably be expected to restrict the availability of data for re-use that have been concluded or were already in place before the date of entry into force of this Regulation should not be renewed after the expiry of their term. In the case of indefinite or longer-term agreements, they should be terminated within 30 months of the date of entry into force of this Regulation.
(15)
This Regulation should lay down conditions for re-use of protected data that apply to public sector bodies designated as competent under national law to grant or refuse access for re-use, and which are without prejudice to rights or obligations concerning access to such data. Those conditions should be non-discriminatory, transparent, proportionate and objectively justified, while not restricting competition, with a specific focus on promoting access to such data by SMEs and start-ups. The conditions for re-use should be designed in a manner promoting scientific research so that, for example, privileging scientific research should, as a rule, be considered to be non-discriminatory. Public sector bodies allowing re-use should have in place the technical means necessary to ensure the protection of rights and interests of third parties and should be empowered to request the necessary information from the re-user. Conditions attached to the re-use of data should be limited to what is necessary to preserve the rights and interests of third parties in the data and the integrity of the information technology and communication systems of the public sector bodies. Public sector bodies should apply conditions which best serve the interests of the re-user without leading to a disproportionate burden on the public sector bodies. Conditions attached to the re-use of data should be designed to ensure effective safeguards with regard to the protection of personal data. Before transmission, personal data should be anonymised, in order not to allow the identification of the data subjects, and data containing commercially confidential information should be modified in such a way that no confidential information is disclosed. Where the provision of anonymised or modified data would not respond to the needs of the re-user, subject to fulfilling any requirements to carry out a data protection impact assessment and consult the supervisory authority pursuant to Articles 35 and 36 of Regulation (EU) 2016/679 and where the risks to the rights and interests of data subjects have been found to be minimal, on-premise or remote re-use of the data within a secure processing environment could be allowed.
This could be a suitable arrangement for the re-use of pseudonymised data. Data analyses in such secure processing environments should be supervised by the public sector body, so as to protect the rights and interests of third parties. In particular, personal data should be transmitted to a third party for re-use only where a legal basis under data protection law allows such transmission. Non-personal data should be transmitted only where there is no reason to believe that the combination of non-personal data sets would lead to the identification of data subjects. This should also apply to pseudonymised data which retain their status as personal data. In the event of the reidentification of data subjects, an obligation to notify such a data breach to the public sector body should apply in addition to an obligation to notify such a data breach to a supervisory authority and to the data subject in accordance with Regulation (EU) 2016/679. Where relevant, the public sector bodies should facilitate the re-use of data on the basis of the consent of data subjects or the permission of data holders on the re-use of data pertaining to them through adequate technical means. In that respect, the public sector body should make best efforts to provide assistance to potential re-users in seeking such consent or permission by establishing technical mechanisms that permit transmitting requests for consent or permission from re-users, where practically feasible. No contact information should be given that allows re-users to contact data subjects or data holders directly. Where the public sector body transmits a request for consent or permission, it should ensure that the data subject or data holder is clearly informed of the possibility to refuse consent or permission.
(16)
In order to facilitate and encourage the use of data held by public sector bodies for the purposes of scientific research, public sector bodies are encouraged to develop a harmonised approach and harmonised processes to make that data easily accessible for the purposes of scientific research in the public interest. That could mean, 
inter alia
, creating streamlined administrative procedures, standardised data formatting, informative metadata on the methodological and data collection choices and standardised data fields that enable the easy joining of data sets from different public sector data sources where relevant for the purposes of analysis. The objective of those practices should be to promote the publicly funded and produced data for the purposes of scientific research in accordance with the principle of ‘as open as possible, as closed as necessary’.
(17)
The intellectual property rights of third parties should not be affected by this Regulation. This Regulation should neither affect the existence or ownership of intellectual property rights of public sector bodies nor limit the exercise of those rights in any way. The obligations imposed in accordance with this Regulation should apply only insofar as they are compatible with international agreements on the protection of intellectual property rights, in particular the Berne Convention for the Protection of Literary and Artistic Works (Berne Convention), the Agreement on Trade-related Aspects of Intellectual Property Rights (TRIPS Agreement) and the World Intellectual Property Organization Copyright Treaty (WCT), and Union or national intellectual property law. Public sector bodies should, however, exercise their copyright in a way that facilitates re-use.
(18)
Data subject to intellectual property rights as well as trade secrets should be transmitted to a third party only where such transmission is lawful by virtue of Union or national law or with the agreement of the rights holder. Where public sector bodies are holders of the right of the maker of a database provided for in Article 7(1) of Directive 96/9/EC of the European Parliament and of the Council 
(
26
)
 they should not exercise that right in order to prevent the re-use of data or to restrict re-use beyond the limits set by this Regulation.
(19)
Undertakings and data subjects should be able to have confidence in the fact that the re-use of certain categories of protected data which are held by the public sector bodies will take place in a manner that respects their rights and interests. Additional safeguards should therefore be put in place for situations in which the re-use of such public sector data takes place on the basis of a processing of the data outside the public sector, such as a requirement that public sector bodies ensure that the rights and interests of natural and legal persons are fully protected, in particular with regard to personal data, commercially sensitive data and intellectual property rights, in all cases, including where such data is transferred to third countries. Public sector bodies should not allow the re-use of information stored in e-health applications by insurance undertakings or any other service provider for the purpose of discriminating in the setting of prices, as this would run counter to the fundamental right of access to health.
(20)
Furthermore, in order to preserve fair competition and the open market economy it is of the utmost importance to safeguard protected data of non-personal nature, in particular trade secrets, but also non-personal data representing content protected by intellectual property rights from unlawful access that may lead to intellectual property theft or industrial espionage. In order to ensure the protection of the rights or interests of data holders, it should be possible to transfer non-personal data which is to be protected from unlawful or unauthorised access in accordance with Union or national law and which is held by public sector bodies to third countries, but only where appropriate safeguards for the use of data are provided. Such appropriate safeguards should include a requirement that the public sector body transmit protected data to a re-user only if that re-user makes contractual commitments in the interest of the protection of the data. A re-user that intends to transfer the protected data to a third country should comply with the obligations laid down in this Regulation even after the data has been transferred to the third country. To ensure the proper enforcement of such obligations, the re-user should also accept the jurisdiction of the Member State of the public sector body that allowed the re-use for the judicial settlement of disputes.
(21)
Appropriate safeguards should also be considered to be implemented where, in the third country to which non-personal data is being transferred, there are equivalent measures in place which ensure that data benefit from a level of protection similar to that applicable by means of Union law, in particular with regard to the protection of trade secrets and intellectual property rights. To that end, the Commission should be able to declare, by means of implementing acts, where justified because of the substantial number of requests across the Union concerning the re-use of non-personal data in specific third countries, that a third country provides a level of protection that is essentially equivalent to that provided by Union law. The Commission should assess the necessity of such implementing acts on the basis of information provided by the Member States through the European Data Innovation Board. Such implementing acts would reassure public sector bodies that re-use of data held by public sector bodies in the third country concerned would not compromise the protected nature of that data. The assessment of the level of protection afforded in the third country concerned should, in particular, take into consideration the relevant general and sectoral law, including on public security, defence, national security and criminal law, concerning access to and protection of non-personal data, any access by the public sector bodies of that third country to the data transferred, the existence and effective functioning of one or more independent supervisory authorities in the third country with responsibility for ensuring and enforcing compliance with the legal regime ensuring access to such data, the third country’s international commitments regarding the protection of data, or other obligations arising from legally binding conventions or instruments as well as from its participation in multilateral or regional systems.
The existence of effective legal remedies for data holders, public sector bodies or data intermediation services providers in the third country concerned is of particular importance in the context of the transfer of non-personal data to that third country. Such safeguards should therefore include the availability of enforceable rights and of effective legal remedies. Such implementing acts should be without prejudice to any legal obligation or contractual arrangements already undertaken by a re-user in the interest of the protection of non-personal data, in particular industrial data, and to the right of public sector bodies to oblige re-users to comply with conditions for re-use, in accordance with this Regulation.
(22)
Some third countries adopt laws, regulations and other legal acts which aim to directly transfer or provide governmental access to non-personal data in the Union under the control of natural and legal persons under the jurisdiction of the Member States. Decisions and judgments of third-country courts or tribunals or decisions of third-country administrative authorities requiring such transfer of or access to non-personal data should be enforceable where they are based on an international agreement, such as a mutual legal assistance treaty, in force between the requesting third country and the Union or a Member State. In some cases, situations may arise where the obligation to transfer or provide access to non-personal data arising from a third country law conflicts with a competing obligation to protect such data under Union or national law, in particular with regard to the protection of the fundamental rights of the individual or of the fundamental interests of a Member State related to national security or defence, as well as the protection of commercially sensitive data and the protection of intellectual property rights, including contractual undertakings regarding confidentiality in accordance with such law. In the absence of international agreements regulating such matters, the transfer of or access to non-personal data should be allowed only if, in particular, it has been verified that the third-country’s legal system requires the reasons and proportionality of the decision or judgment to be set out, that the decision or judgment is specific in character, and that the reasoned objection of the addressee is subject to a review by a competent third-country court or tribunal, which is empowered to take duly into account the relevant legal interests of the provider of such data.
Moreover, public sector bodies, natural or legal persons to which the right to re-use data was granted, data intermediation services providers and recognised data altruism organisations should ensure, where they sign contractual agreements with other private parties, that non-personal data held in the Union are accessed in or transferred to third countries only in accordance with Union law or the national law of the relevant Member State.
(23)
To foster further trust in the data economy of the Union, it is essential that the safeguards in relation to Union citizens, the public sector and undertakings that ensure control over their strategic and sensitive data are implemented and that Union law, values and standards are upheld in terms of, but not limited to, security, data protection and consumer protection. In order to prevent unlawful access to non-personal data, public sector bodies, natural or legal persons to which the right to re-use data was granted, data intermediation services providers and recognised data altruism organisations should take all reasonable measures to prevent access to the systems where non-personal data is stored, including encryption of data or corporate policies. To that end, it should be ensured that public sector bodies, natural or legal persons to which the right to re-use data was granted, data intermediation services providers and recognised data altruism organisations adhere to all relevant technical standards, codes of conduct and certifications at Union level.
(24)
In order to build trust in re-use mechanisms, it may be necessary to attach stricter conditions for certain types of non-personal data that may be identified as highly sensitive in future specific Union legislative acts, with regard to the transfer to third countries, if such transfer could jeopardise Union public policy objectives, in line with international commitments. For example, in the health domain, certain datasets held by actors in the public health system, such as public hospitals, could be identified as highly sensitive health data. Other relevant sectors include transport, energy, environment and finance. In order to ensure harmonised practices across the Union, such types of highly sensitive non-personal public data should be defined by Union law, for example in the context of the European health data space or other sectoral law. Those conditions attached to the transfer of such data to third countries should be laid down in delegated acts. Conditions should be proportionate, non-discriminatory and necessary to protect legitimate Union public policy objectives identified, such as the protection of public health, safety, the environment, public morality, consumer protection, privacy and personal data protection. The conditions should correspond to the risks identified in relation to the sensitivity of such data, including in terms of the risk of the re-identification of individuals. Such conditions could include terms applicable for the transfer or technical arrangements, such as the requirement to use a secure processing environment, limitations with regard to the re-use of data in third countries or categories of persons entitled to transfer such data to third countries or to access the data in the third country. In exceptional cases such conditions could also include restrictions to the transfer of the data to third countries to protect the public interest.
(25)
Public sector bodies should be able to charge fees for the re-use of data but should also be able to allow re-use at a discounted fee or free of charge, for example for certain categories of re-use such as non-commercial re-use for scientific research purposes, or re-use by SMEs and start-ups, civil society and educational establishments, so as to provide incentives for such re-use in order to stimulate research and innovation and support undertakings that are an important source of innovation and typically find it more difficult to collect relevant data themselves, in accordance with State aid rules. In that specific context, scientific research purposes should be understood to include any type of research-related purpose regardless of the organisational or financial structure of the research institution in question, with the exception of research that is being conducted by an undertaking with the aim of developing, enhancing or optimising products or services. Such fees should be transparent, non-discriminatory and limited to the necessary costs incurred and should not restrict competition. A list of categories of re-users to which a discounted fee or no charge applies, together with the criteria used to establish that list, should be made public.
(26)
In order to provide incentives for the re-use of specific categories of data held by public sector bodies, Member States should establish a single information point to act as an interface for re-users that seek to re-use that data. It should have a cross-sector remit, and should complement, if necessary, arrangements at the sectoral level. The single information point should be able to rely on automated means where it transmits enquiries or requests for re-use. Sufficient human oversight should be ensured in the transmission process. For that purpose existing practical arrangements such as open data portals could be used. The single information point should have an asset list containing an overview of all available data resources including, where relevant, those data resources that are available at sectoral, regional or local information points, with relevant information describing the available data. In addition, Member States should designate, establish or facilitate the establishment of competent bodies to support the activities of public sector bodies allowing re-use of certain categories of protected data. Their tasks may include granting access to data, where mandated under sectoral Union or national law. Those competent bodies should provide assistance to public sector bodies with state-of-the-art techniques, including on how to best structure and store data to make data easily accessible, in particular through application programming interfaces, as well as make data interoperable, transferable and searchable, taking into account best practices for data processing, as well as any existing regulatory and technical standards and secure data processing environments, which allow data analysis in a manner that preserves the privacy of the information.
The competent bodies should act in accordance with the instructions received from the public sector body. Such an assistance structure could assist the data subjects and data holders with management of the consent or permission for re-use, including consent and permission to certain areas of scientific research where in keeping with recognised ethical standards for scientific research. The competent bodies should not have a supervisory function, which is reserved for supervisory authorities under Regulation (EU) 2016/679. Without prejudice to the supervisory powers of data protection authorities, data processing should be carried out under the responsibility of the public sector body responsible for the register containing the data, which remains a data controller as defined in Regulation (EU) 2016/679 insofar as personal data are concerned. Member States should be able to have one or more competent bodies, which could act in different sectors. The internal services of public sector bodies could also act as competent bodies. A competent body could be a public sector body assisting other public sector bodies in allowing re-use of data, where relevant, or a public sector body allowing re-use itself. Assisting other public sector bodies should entail informing them, upon request, about best practices on how to fulfil the requirements laid down in this Regulation such as the technical means to make a secure processing environment available or the technical means to ensure privacy and confidentiality where access to re-use of data within the scope of this Regulation is provided.
(27)
Data intermediation services are expected to play a key role in the data economy, in particular in supporting and promoting voluntary data sharing practices between undertakings or facilitating data sharing in the context of obligations set by Union or national law. They could become a tool to facilitate the exchange of substantial amounts of relevant data. Data intermediation services providers, which may include public sector bodies, that offer services that connect the different actors have the potential to contribute to the efficient pooling of data as well as to the facilitation of bilateral data sharing. Specialised data intermediation services that are independent from data subjects, data holders and data users could have a facilitating role in the emergence of new data-driven ecosystems independent from any player with a significant degree of market power, while allowing non-discriminatory access to the data economy for undertakings of all sizes, in particular SMEs and start-ups with limited financial, legal or administrative means. This will be particularly important in the context of the establishment of common European data spaces, namely purpose- or sector-specific or cross-sectoral interoperable frameworks of common standards and practices to share or jointly process data for, 
inter alia
, the development of new products and services, scientific research or civil society initiatives. Data intermediation services could include bilateral or multilateral sharing of data or the creation of platforms or databases enabling the sharing or joint use of data, as well as the establishment of specific infrastructure for the interconnection of data subjects and data holders with data users.
(28)
This Regulation should cover services which aim to establish commercial relationships for the purposes of data sharing between an undetermined number of data subjects and data holders on the one hand and data users on the other, through technical, legal or other means, including for the purpose of exercising the rights of data subjects in relation to personal data. Where undertakings or other entities offer multiple data-related services, only the activities which directly concern the provision of data intermediation services should be covered by this Regulation. The provision of cloud storage, analytics, data sharing software, web browsers, browser plug-ins or email services should not be considered to be data intermediation services within the meaning of this Regulation, provided that such services only provide technical tools for data subjects or data holders to share data with others, but the provision of such tools neither aims to establish a commercial relationship between data holders and data users nor allows the data intermediation services provider to acquire information on the establishment of commercial relationships for the purposes of data sharing. Examples of data intermediation services include data marketplaces on which undertakings could make data available to others, orchestrators of data sharing ecosystems that are open to all interested parties, for instance in the context of common European data spaces, as well as data pools established jointly by several legal or natural persons with the intention to license the use of such data pools to all interested parties in a manner that all participants that contribute to the data pools would receive a reward for their contribution.
This would exclude services that obtain data from data holders and aggregate, enrich or transform the data for the purpose of adding substantial value to it and license the use of the resulting data to data users, without establishing a commercial relationship between data holders and data users. This would also exclude services that are exclusively used by one data holder in order to enable the use of the data held by that data holder, or that are used by multiple legal persons in a closed group, including supplier or customer relationships or collaborations established by contract, in particular those that have as a main objective to ensure the functionalities of objects and devices connected to the Internet of Things.
(29)
Services that focus on the intermediation of copyright-protected content, such as online content-sharing service providers as defined in Article 2, point (6), of Directive (EU) 2019/790, should not be covered by this Regulation. Consolidated tape providers as defined in Article 2(1), point (35), of Regulation (EU) No 600/2014 of the European Parliament and of the Council 
(
27
)
 and account information service providers as defined in Article 4, point (19), of Directive (EU) 2015/2366 of the European Parliament and of the Council 
(
28
)
 should not be considered to be data intermediation services providers for the purposes of this Regulation. This Regulation should not apply to services offered by public sector bodies in order to facilitate either the re-use of protected data held by public sector bodies in accordance with this Regulation or the use of any other data, insofar as those services do not aim to establish commercial relationships. Data altruism organisations regulated by this Regulation should not be considered to be offering data intermediation services provided that those services do not establish a commercial relationship between potential data users, on the one hand, and data subjects and data holders who make data available for altruistic purposes, on the other. Other services that do not aim to establish commercial relationships, such as repositories that aim to enable the re-use of scientific research data in accordance with open access principles should not be considered to be data intermediation services within the meaning of this Regulation.
(30)
A specific category of data intermediation services includes providers of services that offer their services to data subjects. Such data intermediation services providers seek to enhance the agency of data subjects, and in particular individuals’ control over data relating to them. Such providers would assist individuals in exercising their rights under Regulation (EU) 2016/679, in particular giving and withdrawing their consent to data processing, the right of access to their own data, the right to the rectification of inaccurate personal data, the right of erasure or right ‘to be forgotten’, the right to restrict processing and the right to data portability, which allows data subjects to move their personal data from one data controller to the other. In that context, it is important that the business model of such providers ensures that there are no misaligned incentives that encourage individuals to use such services to make more data relating to them available for processing than would be in their interest. This could include advising individuals on the possible uses of their data and making due diligence checks on data users before allowing them to contact data subjects, in order to avoid fraudulent practices. In certain situations, it could be desirable to collate actual data within a personal data space so that processing can happen within that space without personal data being transmitted to third parties in order to maximise the protection of personal data and privacy. Such personal data spaces could contain static personal data such as name, address or date of birth as well as dynamic data that an individual generates through, for example, the use of an online service or an object connected to the Internet of Things. They could also be used to store verified identity information such as passport numbers or social security information, as well as credentials such as driving licences, diplomas or bank account information.
(31)
Data cooperatives seek to achieve a number of objectives, in particular to strengthen the position of individuals in making informed choices before consenting to data use, influencing the terms and conditions of data user organisations attached to data use in a manner that gives better choices to the individual members of the group or potentially finding solutions to conflicting positions of individual members of a group on how data can be used where such data relates to several data subjects within that group. In that context it is important to acknowledge that the rights under Regulation (EU) 2016/679 are personal rights of the data subject and that data subjects cannot waive such rights. Data cooperatives could also provide a useful means for one-person undertakings and SMEs which, in terms of knowledge of data sharing, are often comparable to individuals.
(32)
In order to increase trust in such data intermediation services, in particular related to the use of data and compliance with the conditions imposed by data subjects and data holders, it is necessary to create a Union-level regulatory framework which establishes highly harmonised requirements related to the trustworthy provision of such data intermediation services, and which is implemented by the competent authorities. That framework will contribute to ensuring that data subjects and data holders, as well as data users, have better control over access to and use of their data, in accordance with Union law. The Commission could also encourage and facilitate the development of codes of conduct at Union level, involving relevant stakeholders, in particular on interoperability. Both in situations where data sharing occurs in a business-to-business context and where it occurs in a business-to-consumer context, data intermediation services providers should offer a novel, ‘European’ way of data governance, by providing a separation in the data economy between data provision, intermediation and use. Data intermediation services providers could also make available specific technical infrastructure for the interconnection of data subjects and data holders with data users. In that regard, it is of particular importance to shape that infrastructure in such a way that SMEs and start-ups encounter no technical or other barriers to their participation in the data economy.
Data intermediation services providers should be allowed to offer additional specific tools and services to data holders or data subjects for the specific purpose of facilitating the exchange of data, such as temporary storage, curation, conversion, anonymisation and pseudonymisation. Those tools and services should be used only at the explicit request or approval of the data holder or data subject and third-party tools offered in that context should not use data for other purposes. At the same time, data intermediation services providers should be allowed to adapt the data exchanged in order to improve the usability of the data by the data user where the data user so desires, or to improve interoperability by, for example, converting the data into specific formats.
(33)
It is important to enable a competitive environment for data sharing. A key element by which to increase the trust and control of data holders, data subjects and data users in data intermediation services is the neutrality of data intermediation services providers with regard to the data exchanged between data holders or data subjects and data users. It is therefore necessary that data intermediation services providers act only as intermediaries in the transactions, and do not use the data exchanged for any other purpose. The commercial terms, including pricing, for the provision of data intermediation services should not be dependent on whether a potential data holder or data user is using other services, including storage, analytics, artificial intelligence or other data-based applications, provided by the same data intermediation services provider or by a related entity, and if so to what degree the data holder or data user uses such other services. This will also require structural separation between the data intermediation service and any other services provided, so as to avoid conflicts of interest. This means that the data intermediation service should be provided through a legal person that is separate from the other activities of that data intermediation services provider. However, the data intermediation services providers should be able to use the data provided by the data holder for the improvement of their data intermediation services.
Data intermediation services providers should be able to put at the disposal of data holders, data subjects or data users their own or third-party tools for the purpose of facilitating the exchange of data, for example tools for the conversion or curation of data only at the explicit request or approval of the data subject or data holder. The third-party tools offered in that context should not use data for purposes other than those related to data intermediation services. Data intermediation services providers that intermediate the exchange of data between individuals as data subjects and legal persons as data users should, in addition, bear fiduciary duty towards the individuals, to ensure that they act in the best interest of the data subjects. Questions of liability for all material and immaterial damage and detriment resulting from any conduct of the data intermediation services provider could be addressed in the relevant contract, on the basis of national liability regimes.
(34)
Data intermediation services providers should take reasonable measures to ensure interoperability within a sector and between different sectors to ensure the proper functioning of the internal market. Reasonable measures could include following the existing, commonly-used standards in the sector where the data intermediation services providers operate. The European Data Innovation Board should facilitate the emergence of additional industry standards, where necessary. Data intermediation services providers should implement in due time the measures for interoperability between the data intermediation services adopted by the European Data Innovation Board.
(35)
This Regulation should be without prejudice to the obligation of data intermediation services providers to comply with Regulation (EU) 2016/679 and the responsibility of supervisory authorities to ensure compliance with that Regulation. Where data intermediation services providers process personal data, this Regulation should not affect the protection of personal data. Where the data intermediation services providers are data controllers or processors as defined in Regulation (EU) 2016/679 they are bound by the rules of that Regulation.
(36)
Data intermediation services providers are expected to have in place procedures and measures to impose penalties for fraudulent or abusive practices in relation to parties seeking access through their data intermediation services, including measures such as the exclusion of data users that breach the terms of service or infringe existing law.
(37)
Data intermediation services providers should also take measures to ensure compliance with competition law and have procedures in place to that effect. This applies in particular in situations where data sharing enables undertakings to become aware of market strategies of their actual or potential competitors. Competitively sensitive information typically includes information on customer data, future prices, production costs, quantities, turnovers, sales or capacities.
(38)
A notification procedure for data intermediation services should be established in order to ensure that data governance within the Union is based on trustworthy exchange of data. The benefits of a trustworthy environment would be best achieved by imposing a number of requirements for the provision of data intermediation services, but without requiring any explicit decision or administrative act by the competent authority for data intermediation services for the provision of such services. The notification procedure should not impose undue obstacles for SMEs, start-ups and civil society organisations and should comply with the principle of non-discrimination.
(39)
In order to support effective cross-border provision of services, the data intermediation services provider should be requested to send a notification only to the competent authority for data intermediation services from the Member State where its main establishment is located or where its legal representative is located. Such a notification should not entail more than a mere declaration of the intention to provide such services and should be completed only by providing the information set out in this Regulation. After the relevant notification the data intermediation services provider should be able to start operating in any Member State without further notification obligations.
(40)
The notification procedure laid down in this Regulation should be without prejudice to specific additional rules for the provision of data intermediation services applicable by means of sector-specific law.
(41)
The main establishment of a data intermediation services provider in the Union should be the place of its central administration in the Union. The main establishment of a data intermediation services provider in the Union should be determined in accordance with objective criteria and should imply the effective and real exercise of management activities. Activities of a data intermediation services provider should comply with the national law of the Member State in which it has its main establishment.
(42)
In order to ensure the compliance of data intermediation services providers with this Regulation, they should have their main establishment in the Union. Where a data intermediation services provider not established in the Union offers services within the Union, it should designate a legal representative. The designation of a legal representative in such cases is necessary, given that such data intermediation services providers handle personal data as well as commercially confidential data, which necessitates the close monitoring of the compliance of data intermediation services providers with this Regulation. In order to determine whether such a data intermediation services provider is offering services within the Union, it should be ascertained whether it is apparent that the data intermediation services provider is planning to offer services to persons in one or more Member States. The mere accessibility in the Union of the website or of an email address and other contact details of the data intermediation services provider, or the use of a language generally used in the third country where the data intermediation services provider is established, should be considered to be insufficient to ascertain such an intention. However, factors such as the use of a language or a currency generally used in one or more Member States with the possibility of ordering services in that language, or the mentioning of users who are in the Union, could make it apparent that the data intermediation services provider is planning to offer services within the Union.
A designated legal representative should act on behalf of the data intermediation services provider and it should be possible for competent authorities for data intermediation services to address the legal representative in addition to or instead of a data intermediation services provider, including in the case of an infringement, for the purpose of initiating enforcement proceedings against a non-compliant data intermediation services provider not established in the Union. The legal representative should be designated by a written mandate of the data intermediation services provider to act on the latter’s behalf with regard to the latter’s obligations under this Regulation.
(43)
In order to assist data subjects and data holders to easily identify, and thereby increase their trust in, data intermediation services providers recognised in the Union, a common logo recognisable throughout the Union should be established, in addition to the label ‘data intermediation services provider recognised in the Union’.
(44)
The competent authorities for data intermediation services designated to monitor compliance of data intermediation services providers with the requirements of this Regulation should be chosen on the basis of their capacity and expertise regarding horizontal or sectoral data sharing They should be independent of any data intermediation services provider as well as transparent and impartial in the exercise of their tasks. Member States should notify the Commission of the identity of those competent authorities for data intermediation services. The powers and competences of the competent authorities for data intermediation services should be without prejudice to the powers of the data protection authorities. In particular, for any question requiring an assessment of compliance with Regulation (EU) 2016/679, the competent authority for data intermediation services should seek, where relevant, an opinion or decision of the competent supervisory authority established pursuant to that Regulation.
(45)
There is a strong potential for objectives of general interest in the use of data made available voluntarily by data subjects on the basis of their informed consent or, where it concerns non-personal data, made available by data holders. Such objectives would include healthcare, combating climate change, improving mobility, facilitating the development, production and dissemination of official statistics, improving the provision of public services, or public policy making. Support to scientific research should also be considered to be an objective of general interest. This Regulation should aim to contribute to the emergence of sufficiently-sized data pools made available on the basis of data altruism in order to enable data analytics and machine learning, including across the Union. In order to achieve that objective, Member States should be able to have in place organisational or technical arrangements, or both, which would facilitate data altruism. Such arrangements could include the availability of easily useable tools for data subjects or data holders for giving consent or permission for the altruistic use of their data, the organisation of awareness campaigns, or a structured exchange between competent authorities on how public policies, such as improving traffic, public health and combating climate change, benefit from data altruism. To that end, Member States should be able to establish national policies for data altruism. Data subjects should be able to receive compensation related only to the costs they incur when making their data available for objectives of general interest.
(46)
The registration of recognised data altruism organisations and use of the label ‘data altruism organisation recognised in the Union’ is expected to lead to the establishment of data repositories. Registration in a Member State would be valid across the Union and is expected to facilitate cross-border data use within the Union and the emergence of data pools covering several Member States. Data holders could give permission to the processing of their non-personal data for a range of purposes not established at the moment of giving the permission. The compliance of such recognised data altruism organisations with a set of requirements as laid down in this Regulation should bring trust that the data made available for altruistic purposes is serving an objective of general interest. Such trust should result in particular from having a place of establishment or a legal representative within the Union, as well as from the requirement that recognised data altruism organisations are not-for-profit organisations, from transparency requirements and from specific safeguards in place to protect rights and interests of data subjects and undertakings.
Further safeguards should include making it possible to process relevant data within a secure processing environment operated by the recognised data altruism organisations, oversight mechanisms such as ethics councils or boards, including representatives from civil society to ensure that the data controller maintains high standards of scientific ethics and protection of fundamental rights, effective and clearly communicated technical means to withdraw or modify consent at any moment, on the basis of the information obligations of data processors under Regulation (EU) 2016/679, as well as means for data subjects to stay informed about the use of data they made available. Registration as a recognised data altruism organisation should not be a precondition for exercising data altruism activities. The Commission should, by means of delegated acts, prepare a rulebook in close cooperation with data altruism organisations and relevant stakeholders. Compliance with that rulebook should be a requirement for registration as a recognised data altruism organisation.
(47)
In order to assist data subjects and data holders to easily identify, and thereby to increase their trust in, recognised data altruism organisations, a common logo that is recognisable throughout the Union should be established. The common logo should be accompanied by a QR code with a link to the public Union register of recognised data altruism organisations.
(48)
This Regulation should be without prejudice to the establishment, organisation and functioning of entities that seek to engage in data altruism pursuant to national law and build on national law requirements to operate lawfully in a Member State as a not-for-profit organisation.
(49)
This Regulation should be without prejudice to the establishment, organisation and functioning of entities other than public sector bodies that engage in the sharing of data and content on the basis of open licenses, thereby contributing to the creation of common resources available to all. This should include open collaborative knowledge sharing platforms, open access scientific and academic repositories, open source software development platforms and open access content aggregation platforms.
(50)
Recognised data altruism organisations should be able to collect relevant data directly from natural and legal persons or to process data collected by others. Processing of collected data could be done by data altruism organisations for purposes which they establish themselves or, where relevant, they could allow the processing by third parties for those purposes. Where recognised data altruism organisations are data controllers or processors as defined in Regulation (EU) 2016/679, they should comply with that Regulation. Typically, data altruism would rely on consent of data subjects within the meaning of Article 6(1), point (a), and Article 9(2), point (a), of Regulation (EU) 2016/679 that should be in compliance with requirements for lawful consent in accordance with Articles 7 and 8 of that Regulation. In accordance with Regulation (EU) 2016/679, scientific research purposes could be supported by consent to certain areas of scientific research where in keeping with recognised ethical standards for scientific research or only to certain areas of research or parts of research projects. Article 5(1), point (b), of Regulation (EU) 2016/679 specifies that further processing for scientific or historical research purposes or statistical purposes should, in accordance with Article 89(1) of Regulation (EU) 2016/679, not be considered to be incompatible with the initial purposes. For non-personal data the usage limitations should be found in the permission given by the data holder.
(51)
The competent authorities for the registration of data altruism organisations designated to monitor compliance of recognised data altruism organisations with the requirements of this Regulation should be chosen on the basis of their capacity and expertise. They should be independent of any data altruism organisation as well as transparent and impartial in the exercise of their tasks. Member States should notify the Commission of the identity of those competent authorities for the registration of data altruism organisations. The powers and competences of the competent authorities for the registration of data altruism organisations should be without prejudice to the powers of the data protection authorities. In particular, for any question requiring an assessment of compliance with Regulation (EU) 2016/679, the competent authority for the registration of data altruism organisations should seek, where relevant, an opinion or decision of the competent supervisory authority established pursuant to that Regulation.
(52)
To promote trust and bring additional legal certainty and user-friendliness to the process of granting and withdrawing consent, in particular in the context of scientific research and statistical use of data made available on an altruistic basis, a European data altruism consent form should be developed and used in the context of altruistic data sharing. Such a form should contribute to additional transparency for data subjects that their data will be accessed and used in accordance with their consent and also in full compliance with the data protection rules. It should also facilitate the granting and withdrawing of consent and be used to streamline data altruism carried out by undertakings and provide a mechanism allowing such undertakings to withdraw their permission to use the data. In order to take into account the specificities of individual sectors, including from a data protection perspective, the European data altruism consent form should use a modular approach allowing customisation for specific sectors and for different purposes.
(53)
In order to successfully implement the data governance framework, a European Data Innovation Board should be established, in the form of an expert group. The European Data Innovation Board should consist of representatives of the competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations of all Member States, the European Data Protection Board, the European Data Protection Supervisor, the European Union Agency for Cybersecurity (ENISA), the Commission, the EU SME Envoy or a representative appointed by the network of SME envoys, and other representatives of relevant bodies in specific sectors as well as bodies with specific expertise. The European Data Innovation Board should consist of a number of subgroups, including a subgroup for stakeholder involvement composed of relevant representatives of industry, such as health, environment, agriculture, transport, energy, industrial manufacturing, media, cultural and creative sectors, and statistics, as well as of research, academia, civil society, standardisation organisations, relevant common European data spaces and other relevant stakeholders and third parties, 
inter alia
 bodies with specific expertise such as national statistical offices.
(54)
The European Data Innovation Board should assist the Commission in coordinating national practices and policies on the topics covered by this Regulation, and in supporting cross-sector data use by adhering to the European Interoperability Framework principles and through the use of European and international standards and specifications, including through the EU Multi-Stakeholder Platform for ICT Standardisation, the Core Vocabularies and the CEF Building Blocks, and should take into account standardisation work taking place in specific sectors or domains. Work on technical standardisation could include the identification of priorities for the development of standards and establishing and maintaining a set of technical and legal standards for transmitting data between two processing environments that allows data spaces to be organised, in particular clarifying and distinguishing which standards and practices are cross-sectoral and which are sectoral. The European Data Innovation Board should cooperate with sectoral bodies, networks or expert groups, or other cross-sectoral organisations dealing with the re-use of data. Regarding data altruism, the European Data Innovation Board should assist the Commission in the development of the data altruism consent form, after consulting the European Data Protection Board. By proposing guidelines on common European data spaces, the European Data Innovation Board should support the development of a functioning European data economy on the basis of those data spaces, as set out in the European strategy for data.
(55)
Member States should lay down rules on penalties applicable to infringements of this Regulation and should take all measures necessary to ensure that they are implemented. The penalties provided for should be effective, proportionate and dissuasive. Large discrepancies between rules on penalties could lead to distortion of competition in the digital single market. The harmonisation of such rules could be of benefit in that regard.
(56)
In order to provide for an efficient enforcement of this Regulation and to ensure that data intermediation services providers and entities that wish to register as recognised data altruism organisations are able to access and complete the procedures of notification and registration fully online and in a cross-border manner, such procedures should be offered through the single digital gateway established pursuant to Regulation (EU) 2018/1724 of the European Parliament and of the Council 
(
29
)
. Those procedures should be added to the list of procedures included in Annex II to Regulation (EU) 2018/1724.
(57)
Regulation (EU) 2018/1724 should therefore be amended accordingly.
(58)
In order to ensure the effectiveness of this Regulation, the power to adopt acts in accordance with Article 290 TFEU should be delegated to the Commission for the purpose of supplementing this Regulation by laying down special conditions applicable to transfers to third countries of certain non-personal data categories deemed to be highly sensitive in specific Union legislative acts and by establishing a rulebook for recognised data altruism organisations, with which those organisations are to comply, that provides for information, technical and security requirements as well as communication roadmaps and interoperability standards. It is of particular importance that the Commission carry out appropriate consultations during its preparatory work, including at expert level, and that those consultations be conducted in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making 
(
30
)
. In particular, to ensure equal participation in the preparation of delegated acts, the European Parliament and the Council receive all documents at the same time as Member States’ experts, and their experts systematically have access to meetings of Commission expert groups dealing with the preparation of delegated acts.
(59)
In order to ensure uniform conditions for the implementation of this Regulation, implementing powers should be conferred on the Commission to assist public sector bodies and re-users in their compliance with conditions for re-use set out in this Regulation by establishing model contractual clauses for the transfer by re-users of non-personal data to a third country, to declare that the legal, supervisory and enforcement arrangements of a third country are equivalent to the protection ensured under Union law, to develop the design of the common logo for data intermediation services providers and of the common logo for recognised data altruism organisations, and to establish and develop the European data altruism consent form. Those powers should be exercised in accordance with Regulation (EU) No 182/2011 of the European Parliament and of the Council 
(
31
)
.
(60)
This Regulation should not affect the application of the rules on competition, and in particular Articles 101 and 102 TFEU. The measures provided for in this Regulation should not be used to restrict competition in a manner contrary to the TFEU. This concerns in particular the rules on the exchange of competitively sensitive information between actual or potential competitors through data intermediation services.
(61)
The European Data Protection Supervisor and the European Data Protection Board were consulted in accordance with Article 42(1) of Regulation (EU) 2018/1725 and delivered their opinion on 10 March 2021.
(62)
This Regulation uses as its guiding principles the respect for the fundamental rights and principles recognised in particular by the Charter of Fundamental Rights of the European Union, including the right to privacy, the protection of personal data, the freedom to conduct a business, the right to property and the integration of persons with disabilities. In the context of the latter, the public service bodies and services under this Regulation should, where relevant, comply with Directives (EU) 2016/2102 
(
32
)
 and (EU) 2019/882 
(
33
)
 of the European Parliament and of the Council. Furthermore, Design for All in the context of information and communications technology, which is the conscious and systematic effort to proactively apply principles, methods and tools to promote universal design in computer-related technologies, including internet-based technologies, thus avoiding the need for a posteriori adaptations or specialised design, should be taken into account.
(63)
Since the objectives of this Regulation, namely the re-use, within the Union, of certain categories of data held by public sector bodies as well as the establishment of a notification and supervisory framework for the provision of data intermediation services, a framework for voluntary registration of entities which make data available for altruistic purposes and a framework for the establishment of a European Data Innovation Board, cannot be sufficiently achieved by the Member States, but can rather, by reason of its scale and effects, be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty on European Union. In accordance with the principle of proportionality as set out in that Article, this Regulation does not go beyond what is necessary in order to achieve those objectives,
HAVE ADOPTED THIS REGULATION:
CHAPTER I
General provisions
Article 1
Subject matter and scope
1.   This Regulation lays down:
(a)
conditions for the re-use, within the Union, of certain categories of data held by public sector bodies;
(b)
a notification and supervisory framework for the provision of data intermediation services;
(c)
a framework for voluntary registration of entities which collect and process data made available for altruistic purposes; and
(d)
a framework for the establishment of a European Data Innovation Board.
2.   This Regulation does not create any obligation on public sector bodies to allow the re-use of data, nor does it release public sector bodies from their confidentiality obligations under Union or national law.
This Regulation is without prejudice to:
(a)
specific provisions in Union or national law regarding the access to or re-use of certain categories of data, in particular with regard to the granting of access to and disclosure of official documents; and
(b)
the obligations of public sector bodies under Union or national law to allow the re-use of data or to requirements related to processing of non-personal data.
Where sector-specific Union or national law requires public sector bodies, data intermediation services providers or recognised data altruism organisations to comply with specific additional technical, administrative or organisational requirements, including through an authorisation or certification regime, those provisions of that sector-specific Union or national law shall also apply. Any such specific additional requirements shall be non-discriminatory, proportionate and objectively justified.
3.   Union and national law on the protection of personal data shall apply to any personal data processed in connection with this Regulation. In particular, this Regulation is without prejudice to Regulations (EU) 2016/679 and (EU) 2018/1725 and Directives 2002/58/EC and (EU) 2016/680, including with regard to the powers and competences of supervisory authorities. In the event of a conflict between this Regulation and Union law on the protection of personal data or national law adopted in accordance with such Union law, the relevant Union or national law on the protection of personal data shall prevail. This Regulation does not create a legal basis for the processing of personal data, nor does it affect any of the rights and obligations set out in Regulations (EU) 2016/679 or (EU) 2018/1725 or Directives 2002/58/EC or (EU) 2016/680.
4.   This Regulation is without prejudice to the application of competition law.
5.   This Regulation is without prejudice to the competences of the Member States with regard to their activities concerning public security, defence and national security.
Article 2
Definitions
For the purposes of this Regulation, the following definitions apply:
(1)
‘data’ means any digital representation of acts, facts or information and any compilation of such acts, facts or information, including in the form of sound, visual or audiovisual recording;
(2)
‘re-use’ means the use by natural or legal persons of data held by public sector bodies, for commercial or non-commercial purposes other than the initial purpose within the public task for which the data were produced, except for the exchange of data between public sector bodies purely in pursuit of their public tasks;
(3)
‘personal data’ means personal data as defined in Article 4, point (1), of Regulation (EU) 2016/679;
(4)
‘non-personal data’ means data other than personal data;
(5)
‘consent’ means consent as defined in Article 4, point (11), of Regulation (EU) 2016/679;
(6)
‘permission’ means giving data users the right to the processing of non-personal data;
(7)
‘data subject’ means data subject as referred to in Article 4, point (1), of Regulation (EU) 2016/679;
(8)
‘data holder’ means a legal person, including public sector bodies and international organisations, or a natural person who is not a data subject with respect to the specific data in question, which, in accordance with applicable Union or national law, has the right to grant access to or to share certain personal data or non-personal data;
(9)
‘data user’ means a natural or legal person who has lawful access to certain personal or non-personal data and has the right, including under Regulation (EU) 2016/679 in the case of personal data, to use that data for commercial or non-commercial purposes;
(10)
‘data sharing’ means the provision of data by a data subject or a data holder to a data user for the purpose of the joint or individual use of such data, based on voluntary agreements or Union or national law, directly or through an intermediary, for example under open or commercial licences subject to a fee or free of charge;
(11)
‘data intermediation service’ means a service which aims to establish commercial relationships for the purposes of data sharing between an undetermined number of data subjects and data holders on the one hand and data users on the other, through technical, legal or other means, including for the purpose of exercising the rights of data subjects in relation to personal data, excluding at least the following:
(a)
services that obtain data from data holders and aggregate, enrich or transform the data for the purpose of adding substantial value to it and license the use of the resulting data to data users, without establishing a commercial relationship between data holders and data users;
(b)
services that focus on the intermediation of copyright-protected content;
(c)
services that are exclusively used by one data holder in order to enable the use of the data held by that data holder, or that are used by multiple legal persons in a closed group, including supplier or customer relationships or collaborations established by contract, in particular those that have as a main objective to ensure the functionalities of objects and devices connected to the Internet of Things;
(d)
data sharing services offered by public sector bodies that do not aim to establish commercial relationships;
(12)
‘processing’ means processing as defined in Article 4, point (2), of Regulation (EU) 2016/679 with regard to personal data or Article 3, point (2), of Regulation (EU) 2018/1807 with regard to non-personal data;
(13)
‘access’ means data use, in accordance with specific technical, legal or organisational requirements, without necessarily implying the transmission or downloading of data;
(14)
‘main establishment’ of a legal person means the place of its central administration in the Union;
(15)
‘services of data cooperatives’ means data intermediation services offered by an organisational structure constituted by data subjects, one-person undertakings or SMEs who are members of that structure, having as its main objectives to support its members in the exercise of their rights with respect to certain data, including with regard to making informed choices before they consent to data processing, to exchange views on data processing purposes and conditions that would best represent the interests of its members in relation to their data, and to negotiate terms and conditions for data processing on behalf of its members before giving permission to the processing of non-personal data or before they consent to the processing of personal data;
(16)
‘data altruism’ means the voluntary sharing of data on the basis of the consent of data subjects to process personal data pertaining to them, or permissions of data holders to allow the use of their non-personal data without seeking or receiving a reward that goes beyond compensation related to the costs that they incur where they make their data available for objectives of general interest as provided for in national law, where applicable, such as healthcare, combating climate change, improving mobility, facilitating the development, production and dissemination of official statistics, improving the provision of public services, public policy making or scientific research purposes in the general interest;
(17)
‘public sector body’ means the State, regional or local authorities, bodies governed by public law or associations formed by one or more such authorities, or one or more such bodies governed by public law;
(18)
‘bodies governed by public law’ means bodies that have the following characteristics:
(a)
they are established for the specific purpose of meeting needs in the general interest, and do not have an industrial or commercial character;
(b)
they have legal personality;
(c)
they are financed, for the most part, by the State, regional or local authorities, or other bodies governed by public law, are subject to management supervision by those authorities or bodies, or have an administrative, managerial or supervisory board, more than half of whose members are appointed by the State, regional or local authorities, or by other bodies governed by public law;
(19)
‘public undertaking’ means any undertaking over which the public sector bodies may exercise directly or indirectly a dominant influence by virtue of their ownership of it, their financial participation therein, or the rules which govern it; for the purposes of this definition, a dominant influence on the part of the public sector bodies shall be presumed in any of the following cases in which those bodies, directly or indirectly:
(a)
hold the majority of the undertaking’s subscribed capital;
(b)
control the majority of the votes attaching to shares issued by the undertaking;
(c)
can appoint more than half of the undertaking’s administrative, management or supervisory body;
(20)
‘secure processing environment’ means the physical or virtual environment and organisational means to ensure compliance with Union law, such as Regulation (EU) 2016/679, in particular with regard to data subjects’ rights, intellectual property rights, and commercial and statistical confidentiality, integrity and accessibility, as well as with applicable national law, and to allow the entity providing the secure processing environment to determine and supervise all data processing actions, including the display, storage, download and export of data and the calculation of derivative data through computational algorithms;
(21)
‘legal representative’ means a natural or legal person established in the Union explicitly designated to act on behalf of a data intermediation services provider or an entity that collects data for objectives of general interest made available by natural or legal persons on the basis of data altruism not established in the Union, which may be addressed by the competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations in addition to or instead of the data intermediation services provider or entity with regard to the obligations under this Regulation, including with regard to initiating enforcement proceedings against a non-compliant data intermediation services provider or entity not established in the Union.
CHAPTER II
Re-use of certain categories of protected data held by public sector bodies
Article 3
Categories of data
1.   This Chapter applies to data held by public sector bodies which are protected on grounds of:
(a)
commercial confidentiality, including business, professional and company secrets;
(b)
statistical confidentiality;
(c)
the protection of intellectual property rights of third parties; or
(d)
the protection of personal data, insofar as such data fall outside the scope of Directive (EU) 2019/1024.
2.   This Chapter does not apply to:
(a)
data held by public undertakings;
(b)
data held by public service broadcasters and their subsidiaries, and by other bodies or their subsidiaries for the fulfilment of a public service broadcasting remit;
(c)
data held by cultural establishments and educational establishments;
(d)
data held by public sector bodies which are protected for reasons of public security, defence or national security; or
(e)
data the supply of which is an activity falling outside the scope of the public task of the public sector bodies concerned as defined by law or by other binding rules in the Member State concerned, or, in the absence of such rules, as defined in accordance with common administrative practice in that Member State, provided that the scope of the public tasks is transparent and subject to review.
3.   This Chapter is without prejudice to:
(a)
Union and national law and international agreements to which the Union or Member States are party on the protection of categories of data referred to in paragraph 1; and
(b)
Union and national law on access to documents.
Article 4
Prohibition of exclusive arrangements
1.   Agreements or other practices pertaining to the re-use of data held by public sector bodies containing categories of data referred to in Article 3(1) which grant exclusive rights or which have as their objective or effect to grant such exclusive rights or to restrict the availability of data for re-use by entities other than the parties to such agreements or other practices shall be prohibited.
2.   By way of derogation from paragraph 1, an exclusive right to re-use data referred to in that paragraph may be granted to the extent necessary for the provision of a service or the supply of a product in the general interest that would not otherwise be possible.
3.   An exclusive right as referred to in paragraph 2 shall be granted through an administrative act or contractual arrangement in accordance with applicable Union or national law and in compliance with the principles of transparency, equal treatment and non-discrimination.
4.   The duration of an exclusive right to re-use data shall not exceed 12 months. Where a contract is concluded, the duration of the contract shall be the same as the duration of the exclusive right.
5.   The grant of an exclusive right pursuant to paragraphs 2, 3 and 4, including the reasons as to why it is necessary to grant such a right, shall be transparent and be made publicly available online, in a form that complies with relevant Union law on public procurement.
6.   Agreements or other practices falling within the scope of the prohibition referred to in paragraph 1 which do not meet the conditions laid down in paragraphs 2 and 3 and which were concluded before 23 June 2022 shall be terminated at the end of the applicable contract and in any event by 24 December 2024.
Article 5
Conditions for re-use
1.   Public sector bodies which are competent under national law to grant or refuse access for the re-use of one or more of the categories of data referred to in Article 3(1) shall make publicly available the conditions for allowing such re-use and the procedure to request the re-use via the single information point referred to in Article 8. Where they grant or refuse access for re-use, they may be assisted by the competent bodies referred to in Article 7(1).
Member States shall ensure that public sector bodies are equipped with the necessary resources to comply with this Article.
2.   Conditions for re-use shall be non-discriminatory, transparent, proportionate and objectively justified with regard to the categories of data and the purposes of re-use and the nature of the data for which re-use is allowed. Those conditions shall not be used to restrict competition.
3.   Public sector bodies shall, in accordance with Union and national law, ensure that the protected nature of data is preserved. They may provide for the following requirements:
(a)
to grant access for the re-use of data only where the public sector body or the competent body, following the request for re-use, has ensured that data has been:
(i)
anonymised, in the case of personal data; and
(ii)
modified, aggregated or treated by any other method of disclosure control, in the case of commercially confidential information, including trade secrets or content protected by intellectual property rights;
(b)
to access and re-use the data remotely within a secure processing environment that is provided or controlled by the public sector body;
(c)
to access and re-use the data within the physical premises in which the secure processing environment is located in accordance with high security standards, provided that remote access cannot be allowed without jeopardising the rights and interests of third parties.
4.   In the case of re-use allowed in accordance with paragraph 3, points (b) and (c), the public sector bodies shall impose conditions that preserve the integrity of the functioning of the technical systems of the secure processing environment used. The public sector body shall reserve the right to verify the process, the means and any results of processing of data undertaken by the re-user to preserve the integrity of the protection of the data and reserve the right to prohibit the use of results that contain information jeopardising the rights and interests of third parties. The decision to prohibit the use of the results shall be comprehensible and transparent to the re-user.
5.   Unless national law provides for specific safeguards on applicable confidentiality obligations relating to the re-use of data referred to in Article 3(1), the public sector body shall make the re-use of data provided in accordance with paragraph 3 of this Article conditional on the adherence by the re-user to a confidentiality obligation that prohibits the disclosure of any information that jeopardises the rights and interests of third parties that the re-user may have acquired despite the safeguards put in place. Re-users shall be prohibited from re-identifying any data subject to whom the data relates and shall take technical and operational measures to prevent re-identification and to notify any data breach resulting in the re-identification of the data subjects concerned to the public sector body. In the event of the unauthorised re-use of non-personal data, the re-user shall, without delay, where appropriate with the assistance of the public sector body, inform the legal persons whose rights and interests may be affected.
6.   Where the re-use of data cannot be allowed in accordance with the obligations laid down in paragraphs 3 and 4 of this Article and there is no legal basis for transmitting the data under Regulation (EU) 2016/679, the public sector body shall make best efforts, in accordance with Union and national law, to provide assistance to potential re-users in seeking consent of the data subjects or permission from the data holders whose rights and interests may be affected by such re-use, where it is feasible without a disproportionate burden on the public sector body. Where it provides such assistance, the public sector body may be assisted by the competent bodies referred to in Article 7(1).
7.   Re-use of data shall be allowed only in compliance with intellectual property rights. The right of the maker of a database as provided for in Article 7(1) of Directive 96/9/EC shall not be exercised by public sector bodies in order to prevent the re-use of data or to restrict re-use beyond the limits set by this Regulation.
8.   Where data requested is considered to be confidential, in accordance with Union or national law on commercial or statistical confidentiality, the public sector bodies shall ensure that the confidential data is not disclosed as a result of allowing re-use, unless such re-use is allowed in accordance with paragraph 6.
9.   Where a re-user intends to transfer non-personal data protected on the grounds set out in Article 3(1) to a third country, it shall inform the public sector body of its intention to transfer such data and the purpose of such transfer at the time of requesting the re-use of such data. In the case of re-use in accordance with paragraph 6 of this Article, the re-user shall, where appropriate with the assistance of the public sector body, inform the legal person whose rights and interests may be affected of that intention, purpose and the appropriate safeguards. The public sector body shall not allow the re-use unless the legal person gives permission for the transfer.
10.   Public sector bodies shall transmit non-personal confidential data or data protected by intellectual property rights to a re-user which intends to transfer those data to a third country other than a country designated in accordance with paragraph 12 only if the re-user contractually commits to:
(a)
complying with the obligations imposed in accordance with paragraphs 7 and 8 even after the data is transferred to the third country; and
(b)
accepting the jurisdiction of the courts or tribunals of the Member State of the transmitting public sector body with regard to any dispute related to compliance with paragraphs 7 and 8.
11.   Public sector bodies shall, where relevant and to the extent of their capabilities, provide guidance and assistance to re-users in complying with the obligations referred to in paragraph 10 of this Article.
In order to assist public sector bodies and re-users, the Commission may adopt implementing acts establishing model contractual clauses for complying with the obligations referred to in paragraph 10 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 33(3).
12.   Where justified because of the substantial number of requests across the Union concerning the re-use of non-personal data in specific third countries, the Commission may adopt implementing acts declaring that the legal, supervisory and enforcement arrangements of a third country:
(a)
ensure protection of intellectual property and trade secrets in a way that is essentially equivalent to the protection ensured under Union law;
(b)
are being effectively applied and enforced; and
(c)
provide effective judicial redress.
Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 33(3).
13.   Specific Union legislative acts may deem certain non-personal data categories held by public sector bodies to be highly sensitive for the purposes of this Article where their transfer to third countries may put at risk Union public policy objectives, such as safety and public health or may lead to the risk of re-identification of non-personal, anonymised data. Where such an act is adopted, the Commission shall adopt delegated acts in accordance with Article 32 supplementing this Regulation by laying down special conditions applicable to the transfers of such data to third countries.
Those special conditions shall be based on the nature of the non-personal data categories identified in the specific Union legislative act and on the grounds for deeming those categories to be highly sensitive, taking into account the risks of re-identification of non-personal, anonymised data. They shall be non-discriminatory and limited to what is necessary to achieve the Union public policy objectives identified in that act, in accordance with the Union’s international obligations.
If required by specific Union legislative acts as referred to in the first subparagraph, such special conditions may include terms applicable for the transfer or technical arrangements in this regard, limitations with regard to the re-use of data in third countries or categories of persons entitled to transfer such data to third countries or, in exceptional cases, restrictions with regard to transfers to third countries.
14.   The natural or legal person to which the right to re-use non-personal data was granted may transfer the data only to those third countries for which the requirements in paragraphs 10, 12 and 13 are met.
Article 6
Fees
1.   Public sector bodies which allow re-use of the categories of data referred to in Article 3(1) may charge fees for allowing the re-use of such data.
2.   Any fees charged pursuant to paragraph 1 shall be transparent, non-discriminatory, proportionate and objectively justified and shall not restrict competition.
3.   Public sector bodies shall ensure that any fees can also be paid online through widely available cross-border payment services, without discrimination based on the place of establishment of the payment service provider, the place of issue of the payment instrument or the location of the payment account within the Union.
4.   Where public sector bodies charge fees, they shall take measures to provide incentives for the re-use of the categories of data referred to in Article 3(1) for non-commercial purposes, such as scientific research purposes, and by SMEs and start-ups in accordance with State aid rules. In that regard, public sector bodies may also make the data available at a discounted fee or free of charge, in particular to SMEs and start-ups, civil society and educational establishments. To that end, public sector bodies may establish a list of categories of re-users to which data for re-use is made available at a discounted fee or free of charge. That list, together with the criteria used to establish it, shall be made public.
5.   Any fees shall be derived from the costs related to conducting the procedure for requests for the re-use of the categories of data referred to in Article 3(1) and limited to the necessary costs in relation to:
(a)
the reproduction, provision and dissemination of data;
(b)
the clearance of rights;
(c)
anonymisation or other forms of preparation of personal data and commercially confidential data as provided for in Article 5(3);
(d)
the maintenance of the secure processing environment;
(e)
the acquisition of the right to allow re-use in accordance with this Chapter by third parties outside the public sector; and
(f)
assisting re-users in seeking consent from data subjects and permission from data holders whose rights and interests may be affected by such re-use.
6.   The criteria and methodology for calculating fees shall be laid down by the Member States and published. The public sector body shall publish a description of the main categories of costs and the rules used for the allocation of costs.
Article 7
Competent bodies
1.   For the purpose of carrying out the tasks referred to in this Article, each Member State shall designate one or more competent bodies, which may be competent for particular sectors, to assist the public sector bodies which grant or refuse access for the re-use of the categories of data referred to in Article 3(1). Member States may either establish one or more new competent bodies or rely on existing public sector bodies or on internal services of public sector bodies that fulfil the conditions laid down in this Regulation.
2.   The competent bodies may be empowered to grant access for the re-use of the categories of data referred to in Article 3(1) pursuant to Union or national law which provides for such access to be granted. Where they grant or refuse access for the re-use, Articles 4, 5, 6 and 9 shall apply to those competent bodies.
3.   The competent bodies shall have adequate legal, financial, technical and human resources to carry out the tasks assigned to them, including the necessary technical knowledge to be able to comply with relevant Union or national law concerning the access regimes for the categories of data referred to in Article 3(1).
4.   The assistance provided for in paragraph 1 shall include, where necessary:
(a)
providing technical support by making available a secure processing environment for providing access for the re-use of data;
(b)
providing guidance and technical support on how to best structure and store data to make that data easily accessible;
(c)
providing technical support for pseudonymisation and ensuring data processing in a manner that effectively preserves the privacy, confidentiality, integrity and accessibility of the information contained in the data for which re-use is allowed, including techniques for the anonymisation, generalisation, suppression and randomisation of personal data or other state-of-the-art privacy-preserving methods, and the deletion of commercially confidential information, including trade secrets or content protected by intellectual property rights;
(d)
assisting the public sector bodies, where relevant, to provide support to re-users in requesting consent for re-use from data subjects or permission from data holders in line with their specific decisions, including on the jurisdiction in which the data processing is intended to take place and assisting the public sector bodies in establishing technical mechanisms that allow the transmission of requests for consent or permission from re-users, where practically feasible;
(e)
providing public sector bodies with assistance in assessing the adequacy of contractual commitments made by a re-user pursuant to Article 5(10).
5.   Each Member State shall notify the Commission of the identity of the competent bodies designated pursuant to paragraph 1 by 24 September 2023. Each Member State shall also notify the Commission of any subsequent change to the identity of those competent bodies.
Article 8
Single information points
1.   Member States shall ensure that all relevant information concerning the application of Articles 5 and 6 is available and easily accessible through a single information point. Member States shall establish a new body or designate an existing body or structure as the single information point. The single information point may be linked to sectoral, regional or local information points. The functions of the single information point may be automated provided that the public sector body ensures adequate support.
2.   The single information point shall be competent to receive enquiries or requests for the re-use of the categories of data referred to in Article 3(1) and shall transmit them, where possible and appropriate by automated means, to the competent public sector bodies, or the competent bodies referred to in Article 7(1), where relevant. The single information point shall make available by electronic means a searchable asset list containing an overview of all available data resources including, where relevant, those data resources that are available at sectoral, regional or local information points, with relevant information describing the available data, including at least the data format and size and the conditions for their re-use.
3.   The single information point may establish a separate, simplified and well-documented information channel for SMEs and start-ups, addressing their needs and capabilities in requesting the re-use of the categories of data referred to in Article 3(1).
4.   The Commission shall establish a European single access point offering a searchable electronic register of data available in the national single information points and further information on how to request data via those national single information points.
Article 9
Procedure for requests for re-use
1.   Unless shorter time limits have been established in accordance with national law, the competent public sector bodies or the competent bodies referred to in Article 7(1) shall adopt a decision on the request for the re-use of the categories of data referred to in Article 3(1) within two months of the date of receipt of the request.
In the case of exceptionally extensive and complex requests for re-use, that two-month period may be extended by up to 30 days. In such cases the competent public sector bodies or the competent bodies referred to in Article 7(1) shall notify the applicant as soon as possible that more time is needed for conducting the procedure, together with the reasons for the delay.
2.   Any natural or legal person directly affected by a decision as referred to in paragraph 1 shall have an effective right of redress in the Member State where the relevant body is located. Such a right of redress shall be laid down in national law and shall include the possibility of review by an impartial body with the appropriate expertise, such as the national competition authority, the relevant access-to-documents authority, the supervisory authority established in accordance with Regulation (EU) 2016/679 or a national judicial authority, whose decisions are binding upon the public sector body or the competent body concerned.
CHAPTER III
Requirements applicable to data intermediation services
Article 10
Data intermediation services
The provision of the following data intermediation services shall comply with Article 12 and shall be subject to a notification procedure:
(a)
intermediation services between data holders and potential data users, including making available the technical or other means to enable such services; those services may include bilateral or multilateral exchanges of data or the creation of platforms or databases enabling the exchange or joint use of data, as well as the establishment of other specific infrastructure for the interconnection of data holders with data users;
(b)
intermediation services between data subjects that seek to make their personal data available or natural persons that seek to make non-personal data available, and potential data users, including making available the technical or other means to enable such services, and in particular enabling the exercise of the data subjects’ rights provided in Regulation (EU) 2016/679;
(c)
services of data cooperatives.
Article 11
Notification by data intermediation services providers
1.   Any data intermediation services provider who intends to provide the data intermediation services referred to in Article 10 shall submit a notification to the competent authority for data intermediation services.
2.   For the purposes of this Regulation, a data intermediation services provider with establishments in more than one Member State shall be deemed to be under the jurisdiction of the Member State in which it has its main establishment, without prejudice to Union law regulating cross-border actions for damages and related proceedings.
3.   A data intermediation services provider that is not established in the Union, but which offers the data intermediation services referred to in Article 10 within the Union, shall designate a legal representative in one of the Member States in which those services are offered.
For the purpose of ensuring compliance with this Regulation, the legal representative shall be mandated by the data intermediation services provider to be addressed in addition to or instead of it by competent authorities for data intermediation services or data subjects and data holders, with regard to all issues related to the data intermediation services provided. The legal representative shall cooperate with and comprehensively demonstrate to the competent authorities for data intermediation services, upon request, the actions taken and provisions put in place by the data intermediation services provider to ensure compliance with this Regulation.
The data intermediation services provider shall be deemed to be under the jurisdiction of the Member State in which the legal representative is located. The designation of a legal representative by the data intermediation services provider shall be without prejudice to any legal actions which could be initiated against the data intermediation services provider.
4.   After having submitted a notification in accordance with paragraph 1, the data intermediation services provider may start the activity subject to the conditions laid down in this Chapter.
5.   The notification referred to in paragraph 1 shall entitle the data intermediation services provider to provide data intermediation services in all Member States.
6.   The notification referred to in paragraph 1 shall include the following information:
(a)
the name of the data intermediation services provider;
(b)
the data intermediation services provider’s legal status, form, ownership structure, relevant subsidiaries and, where the data intermediation services provider is registered in a trade or other similar public national register, registration number;
(c)
the address of the data intermediation services provider’s main establishment in the Union, if any, and, where applicable, of any secondary branch in another Member State or that of the legal representative;
(d)
a public website where complete and up-to-date information on the data intermediation services provider and the activities can be found, including as a minimum the information referred to in points (a), (b), (c) and (f);
(e)
the data intermediation services provider’s contact persons and contact details;
(f)
a description of the data intermediation service the data intermediation services provider intends to provide, and an indication of the categories listed in Article 10 under which such data intermediation service falls;
(g)
the estimated date for starting the activity, if different from the date of the notification.
7.   The competent authority for data intermediation services shall ensure that the notification procedure is non-discriminatory and does not distort the competition.
8.   At the request of the data intermediation services provider, the competent authority for data intermediation services shall, within one week of a duly and fully completed notification, issue a standardised declaration, confirming that the data intermediation services provider has submitted the notification referred to in paragraph 1 and that the notification contains the information referred to in paragraph 6.
9.   At the request of the data intermediation services provider, the competent authority for data intermediation services shall confirm that the data intermediation services provider complies with this Article and Article 12. Upon receipt of such a confirmation, that data intermediation services provider may use the label ‘data intermediation services provider recognised in the Union’ in its written and spoken communication, as well as a common logo.
In order to ensure that data intermediation services providers recognised in the Union are easily identifiable throughout the Union, the Commission shall, by means of implementing acts, establish a design for the common logo. Data intermediation services providers recognised in the Union shall display the common logo clearly on every online and offline publication that relates to their data intermediation activities.
Those implementing acts shall be adopted in accordance with the advisory procedure referred to in Article 33(2).
10.   The competent authority for data intermediation services shall notify the Commission of each new notification by electronic means without delay. The Commission shall keep and regularly update a public register of all data intermediation services providers providing their services in the Union. The information referred to in paragraph 6, points (a), (b), (c), (d), (f) and (g), shall be published in the public register.
11.   The competent authority for data intermediation services may charge fees for the notification in accordance with national law. Such fees shall be proportionate and objective and be based on the administrative costs related to the monitoring of compliance and other market control activities of the competent authority for data intermediation services in relation to notifications of data intermediation services providers. In the case of SMEs and start-ups, the competent authority for data intermediation services may charge a discounted fee or waive the fee.
12.   Data intermediation services providers shall notify the competent authority for data intermediation services of any changes to the information provided pursuant to paragraph 6 within 14 days of the date of the change.
13.   Where a data intermediation services provider ceases its activities, it shall notify the relevant competent authority for data intermediation services determined pursuant to paragraphs 1, 2 and 3 within 15 days.
14.   The competent authority for data intermediation services shall notify the Commission of each notification referred to in paragraphs 12 and 13 by electronic means without delay. The Commission shall update the public register of the data intermediation services providers in the Union accordingly.
Article 12
Conditions for providing data intermediation services
The provision of data intermediation services referred in Article 10 shall be subject to the following conditions:
(a)
the data intermediation services provider shall not use the data for which it provides data intermediation services for purposes other than to put them at the disposal of data users and shall provide data intermediation services through a separate legal person;
(b)
the commercial terms, including pricing, for the provision of data intermediation services to a data holder or data user shall not be dependent upon whether the data holder or data user uses other services provided by the same data intermediation services provider or by a related entity, and if so to what degree the data holder or data user uses such other services;
(c)
the data collected with respect to any activity of a natural or legal person for the purpose of the provision of the data intermediation service, including the date, time and geolocation data, duration of activity and connections to other natural or legal persons established by the person who uses the data intermediation service, shall be used only for the development of that data intermediation service, which may entail the use of data for the detection of fraud or cybersecurity, and shall be made available to the data holders upon request;
(d)
the data intermediation services provider shall facilitate the exchange of the data in the format in which it receives it from a data subject or a data holder, shall convert the data into specific formats only to enhance interoperability within and across sectors or if requested by the data user or where mandated by Union law or to ensure harmonisation with international or European data standards and shall offer an opt-out possibility regarding those conversions to data subjects or data holders, unless the conversion is mandated by Union law;
(e)
data intermediation services may include offering additional specific tools and services to data holders or data subjects for the specific purpose of facilitating the exchange of data, such as temporary storage, curation, conversion, anonymisation and pseudonymisation, such tools being used only at the explicit request or approval of the data holder or data subject and third-party tools offered in that context not being used for other purposes;
(f)
the data intermediation services provider shall ensure that the procedure for access to its service is fair, transparent and non-discriminatory for both data subjects and data holders, as well as for data users, including with regard to prices and terms of service;
(g)
the data intermediation services provider shall have procedures in place to prevent fraudulent or abusive practices in relation to parties seeking access through its data intermediation services;
(h)
the data intermediation services provider shall, in the event of its insolvency, ensure a reasonable continuity of the provision of its data intermediation services and, where such data intermediation services ensure the storage of data, shall have mechanisms in place to allow data holders and data users to obtain access to, to transfer or to retrieve their data and, where such data intermediation services are provided between data subjects and data users, to allow data subjects to exercise their rights;
(i)
the data intermediation services provider shall take appropriate measures to ensure interoperability with other data intermediation services, 
inter alia
, by means of commonly used open standards in the sector in which the data intermediation services provider operates;
(j)
the data intermediation services provider shall put in place adequate technical, legal and organisational measures in order to prevent the transfer of or access to non-personal data that is unlawful under Union law or the national law of the relevant Member State;
(k)
the data intermediation services provider shall without delay inform data holders in the event of an unauthorised transfer, access or use of the non-personal data that it has shared;
(l)
the data intermediation services provider shall take necessary measures to ensure an appropriate level of security for the storage, processing and transmission of non-personal data, and the data intermediation services provider shall further ensure the highest level of security for the storage and transmission of competitively sensitive information;
(m)
the data intermediation services provider offering services to data subjects shall act in the data subjects’ best interest where it facilitates the exercise of their rights, in particular by informing and, where appropriate, advising data subjects in a concise, transparent, intelligible and easily accessible manner about intended data uses by data users and standard terms and conditions attached to such uses before data subjects give consent;
(n)
where a data intermediation services provider provides tools for obtaining consent from data subjects or permissions to process data made available by data holders, it shall, where relevant, specify the third-country jurisdiction in which the data use is intended to take place and provide data subjects with tools to both give and withdraw consent and data holders with tools to both give and withdraw permissions to process data;
(o)
the data intermediation services provider shall maintain a log record of the data intermediation activity.
Article 13
Competent authorities for data intermediation services
1.   Each Member State shall designate one or more competent authorities to carry out the tasks related to the notification procedure for data intermediation services and shall notify the Commission of the identity of those competent authorities by 24 September 2023. Each Member State shall also notify the Commission of any subsequent change to the identity of those competent authorities.
2.   The competent authorities for data intermediation services shall comply with the requirements set out in Article 26.
3.   The powers of the competent authorities for data intermediation services are without prejudice to the powers of the data protection authorities, national competition authorities, authorities in charge of cybersecurity and other relevant sectoral authorities. In accordance with their respective competences under Union and national law, those authorities shall establish strong cooperation and exchange information as is necessary for the exercise of their tasks in relation to data intermediation services providers, and shall aim to achieve consistency in the decisions taken in applying this Regulation.
Article 14
Monitoring of compliance
1.   The competent authorities for data intermediation services shall monitor and supervise compliance of data intermediation services providers with the requirements of this Chapter. The competent authorities for data intermediation services may also monitor and supervise the compliance of data intermediation services providers, on the basis of a request by a natural or legal person.
2.   The competent authorities for data intermediation services shall have the power to request from data intermediation services providers or their legal representatives all the information that is necessary to verify compliance with the requirements of this Chapter. Any request for information shall be proportionate to the performance of the task and shall be reasoned.
3.   Where the competent authority for data intermediation services finds that a data intermediation services provider does not comply with one or more of the requirements of this Chapter, it shall notify that data intermediation services provider of those findings and give it the opportunity to state its views, within 30 days of the receipt of the notification.
4.   The competent authority for data intermediation services shall have the power to require the cessation of the infringement referred to in paragraph 3 within a reasonable time limit or immediately in the case of a serious infringement and shall take appropriate and proportionate measures with the aim of ensuring compliance. In that regard, the competent authority for data intermediation services shall have the power, where appropriate:
(a)
to impose, through administrative procedures, dissuasive financial penalties, which may include periodic penalties and penalties with retroactive effect, to initiate legal proceedings for the imposition of fines, or both;
(b)
to require a postponement of the commencement or a suspension of the provision of the data intermediation service until any changes to the conditions requested by the competent authority for data intermediation services have been made; or
(c)
to require the cessation of the provision of the data intermediation service in the event that serious or repeated infringements have not been remedied despite prior notification in accordance with paragraph 3.
The competent authority for data intermediation services shall request the Commission to remove the data intermediation services provider from the register of data intermediation services providers once it has ordered the cessation of the provision of the data intermediation service in accordance with the first subparagraph, point (c).
If a data intermediation services provider remedies infringements, that data intermediation services provider shall re-notify the competent authority for data intermediation services. The competent authority for data intermediation services shall notify the Commission of each new re-notification.
5.   Where a data intermediation services provider that is not established in the Union fails to designate a legal representative or the legal representative fails, upon request of the competent authority for data intermediation services, to provide the necessary information that comprehensively demonstrates compliance with this Regulation, the competent authority for data intermediation services shall have the power to postpone the commencement of or to suspend the provision of the data intermediation service until the legal representative is designated or the necessary information is provided.
6.   The competent authorities for data intermediation services shall notify the data intermediation services provider concerned of the measures imposed pursuant to paragraphs 4 and 5 and the reasons on which they are based, as well as the necessary steps to be taken to rectify the relevant shortcomings, without delay, and shall stipulate a reasonable period, which shall not be longer than 30 days, for the data intermediation services provider to comply with those measures.
7.   If a data intermediation services provider has its main establishment or its legal representative in a Member State but provides services in other Member States, the competent authority for data intermediation services of the Member State of the main establishment or where the legal representative is located and the competent authorities for data intermediation services of those other Member States shall cooperate and assist each other. Such assistance and cooperation may cover information exchanges between the competent authorities for data intermediation services concerned for the purposes of their tasks under this Regulation and reasoned requests to take the measures referred to in this Article.
Where a competent authority for data intermediation services in one Member State requests assistance from a competent authority for data intermediation services in another Member State, it shall submit a reasoned request. The competent authority for data intermediation services shall, upon such a request, provide a response without delay and within a timeframe proportionate to the urgency of the request.
Any information exchanged in the context of assistance requested and provided under this paragraph shall be used only in respect of the matter for which it was requested.
Article 15
Exceptions
This Chapter shall not apply to recognised data altruism organisations or other not-for-profit entities insofar as their activities consist of seeking to collect data for objectives of general interest, made available by natural or legal persons on the basis of data altruism, unless those organisations and entities aim to establish commercial relationships between an undetermined number of data subjects and data holders on the one hand and data users on the other.
CHAPTER IV
Data altruism
Article 16
National arrangements for data altruism
Member States may have in place organisational or technical arrangements, or both, to facilitate data altruism. To that end, Member States may establish national policies for data altruism. Those national policies may, in particular, assist data subjects in making personal data related to them held by public sector bodies available voluntarily for data altruism, and set out the necessary information that is required to be provided to data subjects concerning the re-use of their data in the general interest.
If a Member State develops such national policies, it shall notify the Commission thereof.
Article 17
Public registers of recognised data altruism organisations
1.   Each competent authority for the registration of data altruism organisations shall keep and regularly update a public national register of recognised data altruism organisations.
2.   The Commission shall maintain a public Union register of recognised data altruism organisations for information purposes. Provided that an entity is registered in the public national register of recognised data altruism organisations in accordance with Article 18, it may use the label ‘data altruism organisation recognised in the Union’ in its written and spoken communication, as well as a common logo.
In order to ensure that recognised data altruism organisations are easily identifiable throughout the Union, the Commission shall, by means of implementing acts, establish a design for the common logo. Recognised data altruism organisations shall display the common logo clearly on every online and offline publication that relates to their data altruism activities. The common logo shall be accompanied by a QR code with a link to the public Union register of recognised data altruism organisations.
Those implementing acts shall be adopted in accordance with the advisory procedure referred to in Article 33(2).
Article 18
General requirements for registration
In order to qualify for registration in a public national register of recognised data altruism organisations, an entity shall:
(a)
carry out data altruism activities;
(b)
be a legal person established pursuant to national law to meet objectives of general interest as provided for in national law, where applicable;
(c)
operate on a not-for-profit basis and be legally independent from any entity that operates on a for-profit basis;
(d)
carry out its data altruism activities through a structure that is functionally separate from its other activities;
(e)
comply with the rulebook referred to Article 22(1), at the latest 18 months after the date of entry into force of the delegated acts referred to in that paragraph.
Article 19
Registration of recognised data altruism organisations
1.   An entity which meets the requirements of Article 18 may submit an application for registration in the public national register of recognised data altruism organisations in the Member State in which it is established.
2.   An entity which meets the requirements of Article 18 and has establishments in more than one Member State may submit an application for registration in the public national register of recognised data altruism organisations in the Member State in which it has its main establishment.
3.   An entity which meets the requirements of Article 18 but which is not established in the Union shall designate a legal representative in one of the Member States in which the data altruism services are offered.
For the purpose of ensuring compliance with this Regulation, the legal representative shall be mandated by the entity to be addressed in addition to or instead of it by competent authorities for the registration of data altruism organisations or data subjects and data holders, with regard to all issues related to that entity. The legal representative shall cooperate with and comprehensively demonstrate to the competent authorities for the registration of data altruism organisations, upon request, the actions taken and provisions put in place by the entity to ensure compliance with this Regulation.
The entity shall be deemed to be under the jurisdiction of the Member State in which the legal representative is located. Such an entity may submit an application for registration in the public national register of recognised data altruism organisations in that Member State. The designation of a legal representative by the entity shall be without prejudice to any legal actions which could be initiated against the entity.
4.   Applications for registration referred to in paragraphs 1, 2 and 3 shall contain the following information:
(a)
the name of the entity;
(b)
the entity’s legal status, form and, where the entity is registered in a public national register, registration number;
(c)
the statutes of the entity, where appropriate;
(d)
the entity’s sources of income;
(e)
the address of the entity’s main establishment in the Union, if any, and, where applicable, any secondary branch in another Member State or that of the legal representative;
(f)
a public website where complete and up-to-date information on the entity and the activities can be found, including as a minimum the information referred to in points (a), (b), (d), (e) and (h);
(g)
the entity’s contact persons and contact details;
(h)
the objectives of general interest it intends to promote when collecting data;
(i)
the nature of the data that the entity intends to control or process, and, in the case of personal data, an indication of the categories of personal data;
(j)
any other documents which demonstrate that the requirements of Article 18 are met.
5.   Where the entity has submitted all necessary information pursuant to paragraph 4 and after the competent authority for the registration of data altruism organisations has evaluated the application for registration and found that the entity complies with the requirements of Article 18, it shall register the entity in the public national register of recognised data altruism organisations within 12 weeks after the receipt of the application for registration. The registration shall be valid in all Member States.
The competent authority for the registration of data altruism organisations shall notify the Commission of any registration. The Commission shall include that registration in the public Union register of recognised data altruism organisations.
6.   The information referred to in paragraph 4, points (a), (b), (f), (g) and (h), shall be published in the relevant public national register of recognised data altruism organisations.
7.   A recognised data altruism organisation shall notify the relevant competent authority for the registration of data altruism organisations of any changes to the information provided pursuant to paragraph 4 within 14 days of the date of the change.
The competent authority for the registration of data altruism organisations shall notify the Commission of each such notification by electronic means without delay. Based on such a notification, the Commission shall update the public Union register of recognised data altruism organisations without delay.
Article 20
Transparency requirements
1.   A recognised data altruism organisation shall keep full and accurate records concerning:
(a)
all natural or legal persons that were given the possibility to process data held by that recognised data altruism organisation, and their contact details;
(b)
the date or duration of the processing of personal data or use of non-personal data;
(c)
the purpose of the processing as declared by the natural or legal person that was given the possibility of processing;
(d)
the fees paid by natural or legal persons processing the data, if any.
2.   A recognised data altruism organisation shall draw up and transmit to the relevant competent authority for the registration of data altruism organisations an annual activity report which shall contain at least the following:
(a)
information on the activities of the recognised data altruism organisation;
(b)
a description of the way in which the objectives of general interest for which data was collected have been promoted during the given financial year;
(c)
a list of all natural and legal persons that were allowed to process data it holds, including a summary description of the objectives of general interest pursued by such data processing and the description of the technical means used for it, including a description of the techniques used to preserve privacy and data protection;
(d)
a summary of the results of the data processing allowed by the recognised data altruism organisation, where applicable;
(e)
information on sources of revenue of the recognised data altruism organisation, in particular all revenue from allowing access to the data, and on expenditure.
Article 21
Specific requirements to safeguard rights and interests of data subjects and data holders with regard to their data
1.   A recognised data altruism organisation shall inform data subjects or data holders prior to any processing of their data in a clear and easily comprehensible manner of:
(a)
the objectives of general interest and, if applicable, the specified, explicit and legitimate purpose for which personal data is to be processed, and for which it permits the processing of their data by a data user;
(b)
the location of and the objectives of general interest for which it permits any processing carried out in a third country, where the processing is carried out by the recognised data altruism organisation.
2.   The recognised data altruism organisation shall not use the data for other objectives than those of general interest for which the data subject or data holder allows the processing. The recognised data altruism organisation shall not use misleading marketing practices to solicit the provision of data.
3.   The recognised data altruism organisation shall provide tools for obtaining consent from data subjects or permissions to process data made available by data holders. The recognised data altruism organisation shall also provide tools for easy withdrawal of such consent or permission.
4.   The recognised data altruism organisation shall take measures to ensure an appropriate level of security for the storage and processing of non-personal data that it has collected based on data altruism.
5.   The recognised data altruism organisation shall, without delay, inform data holders in the event of any unauthorised transfer, access or use of the non-personal data that it has shared.
6.   Where the recognised data altruism organisation facilitates data processing by third parties, including by providing tools for obtaining consent from data subjects or permissions to process data made available by data holders, it shall, where relevant, specify the third-country jurisdiction in which the data use is intended to take place.
Article 22
Rulebook
1.   The Commission shall adopt delegated acts in accordance with Article 32, supplementing this Regulation by establishing a rulebook laying down:
(a)
appropriate information requirements to ensure that data subjects and data holders are provided, before a consent or permission for data altruism is given, with sufficiently detailed, clear and transparent information regarding the use of data, the tools for giving and withdrawing consent or permission, and the measures taken to avoid misuse of the data shared with the data altruism organisation;
(b)
appropriate technical and security requirements to ensure the appropriate level of security for the storage and processing of data, as well as for the tools for giving and withdrawing consent or permission;
(c)
communication roadmaps taking a multi-disciplinary approach to raise awareness of data altruism, of the designation as a ‘data altruism organisation recognised in the Union’ and of the rulebook among relevant stakeholders, in particular data holders and data subjects that would potentially share their data;
(d)
recommendations on relevant interoperability standards.
2.   The rulebook referred to in paragraph 1 shall be prepared in close cooperation with data altruism organisations and relevant stakeholders.
Article 23
Competent authorities for the registration of data altruism organisations
1.   Each Member State shall designate one or more competent authorities responsible for its public national register of recognised data altruism organisations.
The competent authorities for the registration of data altruism organisations shall comply with the requirements set out in Article 26.
2.   Each Member State shall notify the Commission of the identity of their competent authorities for the registration of data altruism organisations by 24 September 2023. Each Member State shall also notify the Commission of any subsequent change to the identity of those competent authorities.
3.   The competent authority for the registration of data altruism organisations of a Member State shall undertake its tasks in cooperation with the relevant data protection authority, where such tasks are related to processing of personal data, and with relevant sectoral authorities of that Member State.
Article 24
Monitoring of compliance
1.   The competent authorities for the registration of data altruism organisations shall monitor and supervise compliance of recognised data altruism organisations with the requirements laid down in this Chapter. The competent authority for the registration of data altruism organisations may also monitor and supervise the compliance of such recognised data altruism organisations, on the basis of a request by a natural or legal person.
2.   The competent authorities for the registration of data altruism organisations shall have the power to request information from recognised data altruism organisations that is necessary to verify compliance with the requirements of this Chapter. Any request for information shall be proportionate to the performance of the task and shall be reasoned.
3.   Where the competent authority for the registration of data altruism organisations finds that a recognised data altruism organisation does not comply with one or more of the requirements of this Chapter, it shall notify the recognised data altruism organisation of those findings and give it the opportunity to state its views within 30 days of the receipt of the notification.
4.   The competent authority for the registration of data altruism organisations shall have the power to require the cessation of the infringement referred to in paragraph 3 either immediately or within a reasonable time limit and shall take appropriate and proportionate measures with the aim of ensuring compliance.
5.   If a recognised data altruism organisation does not comply with one or more of the requirements of this Chapter even after having been notified in accordance with paragraph 3 by the competent authority for the registration of data altruism organisations, that recognised data altruism organisation shall:
(a)
lose its right to use the label ‘data altruism organisation recognised in the Union’ in any written and spoken communication;
(b)
be removed from the relevant public national register of recognised data altruism organisations and the public Union register of recognised data altruism organisations.
Any decision revoking the right to use the label ‘data altruism organisation recognised in the Union’ under the first subparagraph, point (a), shall be made public by the competent authority for the registration of data altruism organisations.
6.   If a recognised data altruism organisation has its main establishment or its legal representative in a Member State but is active in other Member States, the competent authority for the registration of data altruism organisations of the Member State of the main establishment or where the legal representative is located and the competent authorities for the registration of data altruism organisations of those other Member States shall cooperate and assist each other. Such assistance and cooperation may cover information exchanges between the competent authorities for the registration of data altruism organisations concerned for the purposes of their tasks under this Regulation and reasoned requests to take the measures referred to in this Article.
Where a competent authority for the registration of data altruism organisations in one Member State requests assistance from a competent authority for the registration of data altruism organisations in another Member State, it shall submit a reasoned request. The competent authority for the registration of data altruism organisations shall, upon such a request, provide a response without delay and within a timeframe proportionate to the urgency of the request.
Any information exchanged in the context of assistance requested and provided under this paragraph shall be used only in respect of the matter for which it was requested.
Article 25
European data altruism consent form
1.   In order to facilitate the collection of data based on data altruism, the Commission shall adopt implementing acts establishing and developing a European data altruism consent form, after consulting the European Data Protection Board, taking into account the advice of the European Data Innovation Board and duly involving relevant stakeholders. The form shall allow the collection of consent or permission across Member States in a uniform format. Those implementing acts shall be adopted in accordance with the advisory procedure referred to in Article 33(2).
2.   The European data altruism consent form shall use a modular approach allowing customisation for specific sectors and for different purposes.
3.   Where personal data are provided, the European data altruism consent form shall ensure that data subjects are able to give consent to and withdraw consent from a specific data processing operation in compliance with the requirements of Regulation (EU) 2016/679.
4.   The form shall be available in a manner that can be printed on paper and is easily understandable as well as in an electronic, machine-readable form.
CHAPTER V
Competent authorities and procedural provisions
Article 26
Requirements relating to competent authorities
1.   The competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations shall be legally distinct from, and functionally independent of, any data intermediation services provider or recognised data altruism organisation. The functions of the competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations may be carried out by the same authority. Member States may either establish one or more new authorities for those purposes or rely on existing ones.
2.   Competent authorities for data intermediation services and competent authorities for the registration of data altruism organisations shall exercise their tasks in an impartial, transparent, consistent, reliable and timely manner. Where they exercise their tasks, they shall safeguard fair competition and non-discrimination.
3.   The top-level management and personnel responsible for carrying out the relevant tasks of the competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations shall not be the designer, manufacturer, supplier, installer, purchaser, owner, user or maintainer of the services which they evaluate, nor the authorised representative of any of those parties. This shall not preclude the use of evaluated services that are necessary for the operations of the competent authority for data intermediation services and the competent authority for the registration of data altruism organisations or the use of such services for personal purposes.
4.   The top-level management and personnel of the competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations shall not engage in any activity that may conflict with their independence of judgment or integrity in relation to evaluation activities assigned to them.
5.   The competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations shall have at their disposal the adequate financial and human resources to carry out the tasks assigned to them, including the necessary technical knowledge and resources.
6.   The competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations of a Member State shall provide the Commission and competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations from other Member States, on reasoned request and without delay, with the information necessary to carry out their tasks under this Regulation. Where a competent authority for data intermediation services or a competent authority for the registration of data altruism organisations considers the information requested to be confidential in accordance with Union and national law on commercial and professional confidentiality, the Commission and any other competent authorities for data intermediation services or competent authorities for the registration of data altruism organisations concerned shall ensure such confidentiality.
Article 27
Right to lodge a complaint
1.   Natural and legal persons shall have the right to lodge a complaint in relation to any matter falling within the scope of this Regulation, individually or, where relevant, collectively, with the relevant competent authority for data intermediation services against a data intermediation services provider or with the relevant competent authority for the registration of data altruism organisations against a recognised data altruism organisation.
2.   The competent authority for data intermediation services or the competent authority for the registration of data altruism organisations with which the complaint has been lodged shall inform the complainant of:
(a)
the progress of the proceedings and of the decision taken; and
(b)
the judicial remedies provided for in Article 28.
Article 28
Right to an effective judicial remedy
1.   Notwithstanding any administrative or other non-judicial remedies, any affected natural and legal persons shall have the right to an effective judicial remedy with regard to legally binding decisions referred to in Article 14 taken by the competent authorities for data intermediation services in the management, control and enforcement of the notification regime for data intermediation services providers and legally binding decisions referred to in Articles 19 and 24 taken by the competent authorities for the registration of data altruism organisations in the monitoring of recognised data altruism organisations.
2.   Proceedings pursuant to this Article shall be brought before the courts or tribunals of the Member State of the competent authority for data intermediation services or the competent authority for the registration of data altruism organisations against which the judicial remedy is sought individually or, where relevant, collectively by the representatives of one or more natural or legal persons.
3.   Where a competent authority for data intermediation services or a competent authority for the registration of data altruism organisations fails to act on a complaint, any affected natural and legal persons shall, in accordance with national law, either have the right to an effective judicial remedy or access to review by an impartial body with the appropriate expertise.
CHAPTER VI
European Data Innovation Board
Article 29
European Data Innovation Board
1.   The Commission shall establish a European Data Innovation Board in the form of an expert group, consisting of representatives of the competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations of all Member States, the European Data Protection Board, the European Data Protection Supervisor, ENISA, the Commission, the EU SME Envoy or a representative appointed by the network of SME envoys, and other representatives of relevant bodies in specific sectors as well as bodies with specific expertise. In its appointments of individual experts, the Commission shall aim to achieve gender and geographical balance among the members of the expert group.
2.   The European Data Innovation Board shall consist of at least the following three subgroups:
(a)
a subgroup composed of the competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations, with a view to carrying out the tasks pursuant to Article 30, points (a), (c), (j) and (k);
(b)
a subgroup for technical discussions on standardisation, portability and interoperability pursuant to Article 30, points (f) and (g);
(c)
a subgroup for stakeholder involvement composed of relevant representatives from industry, research, academia, civil society, standardisation organisations, relevant common European data spaces and other relevant stakeholders and third parties advising the European Data Innovation Board on tasks pursuant to Article 30, points (d), (e), (f), (g) and (h).
3.   The Commission shall chair the meetings of the European Data Innovation Board.
4.   The European Data Innovation Board shall be assisted by a secretariat provided by the Commission.
Article 30
Tasks of the European Data Innovation Board
The European Data Innovation Board shall have the following tasks:
(a)
to advise and assist the Commission with regard to developing a consistent practice of public sector bodies and competent bodies referred to in Article 7(1) in handling requests for the re-use of the categories of data referred to in Article 3(1);
(b)
to advise and assist the Commission with regard to developing a consistent practice for data altruism across the Union;
(c)
to advise and assist the Commission with regard to developing a consistent practice of the competent authorities for data intermediation services and the competent authorities for the registration of data altruism organisations in the application of requirements applicable to data intermediation services providers and recognised data altruism organisations;
(d)
to advise and assist the Commission with regard to developing consistent guidelines on how to best protect, in the context of this Regulation, commercially sensitive non-personal data, in particular trade secrets, but also non-personal data representing content protected by intellectual property rights from unlawful access that risks intellectual property theft or industrial espionage;
(e)
to advise and assist the Commission with regard to developing consistent guidelines for cybersecurity requirements for the exchange and storage of data;
(f)
to advise the Commission, in particular taking into account the input from standardisation organisations, on the prioritisation of cross-sector standards to be used and developed for data use and cross-sector data sharing between emerging common European data spaces, cross-sectoral comparison and exchange of best practices with regard to sectoral requirements for security and access procedures, taking into account sector-specific standardisation activities, in particular clarifying and distinguishing which standards and practices are cross-sectoral and which are sectoral;
(g)
to assist the Commission, in particular taking into account the input from standardisation organisations, in addressing fragmentation of the internal market and the data economy in the internal market by enhancing cross-border, cross-sector interoperability of data as well as data sharing services between different sectors and domains, building on existing European, international or national standards, 
inter alia
 with the aim of encouraging the creation of common European data spaces;
(h)
to propose guidelines for common European data spaces, namely purpose- or sector-specific or cross-sectoral interoperable frameworks of common standards and practices to share or jointly process data for, 
inter alia
, the development of new products and services, scientific research or civil society initiatives, such common standards and practices taking into account existing standards, complying with the competition rules and ensuring non-discriminatory access to all participants, for the purpose of facilitating data sharing in the Union and reaping the potential of existing and future data spaces, addressing, 
inter alia
:
(i)
cross-sectoral standards to be used and developed for data use and cross-sector data sharing, cross-sectoral comparison and exchange of best practices with regard to sectoral requirements for security and access procedures, taking into account sector-specific standardisation activities, in particular clarifying and distinguishing which standards and practices are cross-sectoral and which are sectoral;
(ii)
requirements to counter barriers to market entry and to avoid lock-in effects, for the purpose of ensuring fair competition and interoperability;
(iii)
adequate protection for lawful data transfers to third countries, including safeguards against any transfers prohibited by Union law;
(iv)
adequate and non-discriminatory representation of relevant stakeholders in the governance of common European data spaces;
(v)
adherence to cybersecurity requirements in accordance with Union law;
(i)
to facilitate cooperation between Member States with regard to setting harmonised conditions allowing for the re-use of the categories of data referred to in Article 3(1) held by public sector bodies across the internal market;
(j)
to facilitate cooperation between competent authorities for data intermediation services and competent authorities for the registration of data altruism organisations through capacity-building and the exchange of information, in particular by establishing methods for the efficient exchange of information relating to the notification procedure for data intermediation services providers and the registration and monitoring of recognised data altruism organisations, including coordination with regard to the setting of fees or penalties, as well as facilitate cooperation between competent authorities for data intermediation services and competent authorities for the registration of data altruism organisations with regard to international access and transfer of data;
(k)
to advise and assist the Commission with regard to evaluating whether the implementing acts referred to in Article 5(11) and (12) are to be adopted;
(l)
to advise and assist the Commission with regard to developing the European data altruism consent form in accordance with Article 25(1);
(m)
to advise the Commission on improving the international regulatory environment for non-personal data, including standardisation.
CHAPTER VII
International access and transfer
Article 31
International access and transfer
1.   The public sector body, the natural or legal person to which the right to re-use data was granted under Chapter II, the data intermediation services provider or the recognised data altruism organisation shall take all reasonable technical, legal and organisational measures, including contractual arrangements, in order to prevent international transfer or governmental access to non-personal data held in the Union where such transfer or access would create a conflict with Union law or the national law of the relevant Member State, without prejudice to paragraph 2 or 3.
2.   Any decision or judgment of a third-country court or tribunal and any decision of a third-country administrative authority requiring a public sector body, a natural or legal person to which the right to re-use data was granted under Chapter II, a data intermediation services provider or recognised data altruism organisation to transfer or give access to non-personal data within the scope of this Regulation held in the Union shall be recognised or enforceable in any manner only if based on an international agreement, such as a mutual legal assistance treaty, in force between the requesting third country and the Union or any such agreement between the requesting third country and a Member State.
3.   In the absence of an international agreement as referred to in paragraph 2 of this Article, where a public sector body, a natural or legal person to which the right to re-use data was granted under Chapter II, a data intermediation services provider or recognised data altruism organisation is the addressee of a decision or judgment of a third-country court or tribunal or a decision of a third-country administrative authority to transfer or give access to non-personal data within the scope of this Regulation held in the Union and compliance with such a decision would risk putting the addressee in conflict with Union law or with the national law of the relevant Member State, transfer to or access to such data by that third-country authority shall take place only where:
(a)
the third-country system requires the reasons and proportionality of such a decision or judgment to be set out and requires such a decision or judgment to be specific in character, for instance by establishing a sufficient link to certain suspected persons or infringements;
(b)
the reasoned objection of the addressee is subject to a review by a competent third-country court or tribunal; and
(c)
the competent third-country court or tribunal issuing the decision or judgment or reviewing the decision of an administrative authority is empowered under the law of that third country to take duly into account the relevant legal interests of the provider of the data protected under Union law or the national law of the relevant Member State.
4.   If the conditions laid down in paragraph 2 or 3 are met, the public sector body, the natural or legal person to which the right to re-use data was granted under Chapter II, the data intermediation services provider or the recognised data altruism organisation shall provide the minimum amount of data permissible in response to a request, based on a reasonable interpretation of the request.
5.   The public sector body, the natural or legal person to which the right to re-use data was granted under Chapter II, the data intermediation services provider and the recognised data altruism organisation shall inform the data holder about the existence of a request of a third-country administrative authority to access its data before complying with that request, except where the request serves law enforcement purposes and for as long as this is necessary to preserve the effectiveness of the law enforcement activity.
CHAPTER VIII
Delegation and committee procedure
Article 32
Exercise of the delegation
1.   The power to adopt delegated acts is conferred on the Commission subject to the conditions laid down in this Article.
2.   The power to adopt delegated acts referred to in Article 5(13) and Article 22(1) shall be conferred on the Commission for an indeterminate period of time from 23 June 2022.
3.   The delegation of power referred to in Article 5(13) and Article 22(1) may be revoked at any time by the European Parliament or by the Council. A decision to revoke shall put an end to the delegation of the power specified in that decision. It shall take effect the day following the publication of the decision in the 
Official Journal of the European Union
 or at a later date specified therein. It shall not affect the validity of any delegated acts already in force.
4.   Before adopting a delegated act, the Commission shall consult experts designated by each Member State in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making.
5.   As soon as it adopts a delegated act, the Commission shall notify it simultaneously to the European Parliament and to the Council.
6.   A delegated act adopted pursuant to Article 5(13) or Article 22(1) shall enter into force only if no objection has been expressed either by the European Parliament or by the Council within a period of three months of notification of that act to the European Parliament and to the Council or if, before the expiry of that period, the European Parliament and the Council have both informed the Commission that they will not object. That period shall be extended by three months at the initiative of the European Parliament or of the Council.
Article 33
Committee procedure
1.   The Commission shall be assisted by a committee. That committee shall be a committee within the meaning of Regulation (EU) No 182/2011.
2.   Where reference is made to this paragraph, Article 4 of Regulation (EU) No 182/2011 shall apply.
3.   Where reference is made to this paragraph, Article 5 of Regulation (EU) No 182/2011 shall apply.
CHAPTER IX
Final and transitional provisions
Article 34
Penalties
1.   Member States shall lay down the rules on penalties applicable to infringements of the obligations regarding transfers of non-personal data to third countries pursuant to Article 5(14) and Article 31, the notification obligation of data intermediation services providers pursuant to Article 11, the conditions for providing data intermediation services pursuant to Article 12 and the conditions for the registration as a recognised data altruism organisation pursuant to Articles 18, 20, 21 and 22, and shall take all measures necessary to ensure that they are implemented. The penalties provided for shall be effective, proportionate and dissuasive. In their rules on penalties, Member States shall take into account the recommendations of the European Data Innovation Board. Member States shall, by 24 September 2023, notify the Commission of those rules and of those measures and shall notify it, without delay, of any subsequent amendment affecting them.
2.   Member States shall take into account the following non-exhaustive and indicative criteria for the imposition of penalties on data intermediation services providers and recognised data altruism organisations for infringements of this Regulation, where appropriate:
(a)
the nature, gravity, scale and duration of the infringement;
(b)
any action taken by the data intermediation services provider or recognised data altruism organisation to mitigate or remedy the damage caused by the infringement;
(c)
any previous infringements by the data intermediation services provider or recognised data altruism organisation;
(d)
the financial benefits gained or losses avoided by the data intermediation services provider or recognised data altruism organisation due to the infringement, insofar as such benefits or losses can be reliably established;
(e)
any other aggravating or mitigating factors applicable to the circumstances of the case.
Article 35
Evaluation and review
By 24 September 2025, the Commission shall carry out an evaluation of this Regulation and submit a report on its main findings to the European Parliament and to the Council as well as to the European Economic and Social Committee. The report shall be accompanied, where necessary, by legislative proposals.
The report shall assess, in particular:
(a)
the application and functioning of the rules on penalties laid down by the Member States pursuant to Article 34;
(b)
the level of compliance of the legal representatives of data intermediation services providers and recognised data altruism organisations that are not established in the Union with this Regulation and the level of enforceability of penalties imposed on those providers and organisations;
(c)
the type of data altruism organisations registered under Chapter IV and an overview of the objectives of general interests for which data are shared in view of establishing clear criteria in that respect.
Member States shall provide the Commission with the information necessary for the preparation of that report.
Article 36
Amendment to Regulation (EU) 2018/1724
In the table in Annex II to Regulation (EU) 2018/1724, the entry ‘Starting, running and closing a business’ is replaced by the following:
Life events
Procedures
Expected output subject to an assessment of the application by the competent authority in accordance with national law, where relevant
Starting, running and closing a business
Notification of business activity, permission for exercising a business activity, changes of business activity and the termination of a business activity not involving insolvency or liquidation procedures, excluding the initial registration of a business activity with the business register and excluding procedures concerning the constitution of or any subsequent filing by companies or firms within the meaning of the second paragraph of Article 54 TFEU
Confirmation of the receipt of notification or change, or of the request for permission for business activity
Registration of an employer (a natural person) with compulsory pension and insurance schemes
Confirmation of registration or social security registration number
Registration of employees with compulsory pension and insurance schemes
Confirmation of registration or social security registration number
Submitting a corporate tax declaration
Confirmation of the receipt of the declaration
Notification to the social security schemes of the end of contract with an employee, excluding procedures for the collective termination of employee contracts
Confirmation of the receipt of the notification
Payment of social contributions for employees
Receipt or other form of confirmation of payment of social contributions for employees
Notification of a data intermediation services provider
Confirmation of the receipt of notification
Registration as a data altruism organisation recognised in the Union
Confirmation of the registration
Article 37
Transitional arrangements
Entities providing the data intermediation services referred to in Article 10 on 23 June 2022 shall comply with the obligations set out in Chapter III by 24 September 2025.
Article 38
Entry into force and application
This Regulation shall enter into force on the twentieth day following that of its publication in the 
Official Journal of the European Union
.
It shall apply from 24 September 2023.
This Regulation shall be binding in its entirety and directly applicable in all Member States.
Done at Brussels, 30 May 2022.
For the European Parliament
The President
R. METSOLA
For the Council
The President
B. LE MAIRE
(
1
)
  
            
OJ C 286, 16.7.2021, p. 38
.
(
2
)
  Position of the European Parliament of 6 April 2022 (not yet published in the Official Journal) and decision of the Council of 16 May 2022.
(
3
)
  Commission Recommendation 2003/361/EC of 6 May 2003 concerning the definition of micro, small and medium-sized enterprises (
OJ L 124, 20.5.2003, p. 36
).
(
4
)
  Directive 2011/24/EU of the European Parliament and of the Council of 9 March 2011 on the application of patients’ rights in cross-border healthcare (
OJ L 88, 4.4.2011, p. 45
).
(
5
)
  Regulation (EU) 2019/1239 of the European Parliament and of the Council of 20 June 2019 establishing a European Maritime Single Window environment and repealing Directive 2010/65/EU (
OJ L 198, 25.7.2019, p. 64
).
(
6
)
  Regulation (EU) 2020/1056 of the European Parliament and of the Council of 15 July 2020 on electronic freight transport information (
OJ L 249, 31.7.2020, p. 33
).
(
7
)
  Directive 2010/40/EU of the European Parliament and of the Council of 7 July 2010 on the framework for the deployment of Intelligent Transport Systems in the field of road transport and for interfaces with other modes of transport (
OJ L 207, 6.8.2010, p. 1
).
(
8
)
  Regulation (EC) No 223/2009 of the European Parliament and of the Council of 11 March 2009 on European statistics and repealing Regulation (EC, Euratom) No 1101/2008 of the European Parliament and of the Council on the transmission of data subject to statistical confidentiality to the Statistical Office of the European Communities, Council Regulation (EC) No 322/97 on Community Statistics, and Council Decision 89/382/EEC, Euratom establishing a Committee on the Statistical Programmes of the European Communities (
OJ L 87, 31.3.2009, p. 164
).
(
9
)
  Regulation (EU) 2018/858 of the European Parliament and of the Council of 30 May 2018 on the approval and market surveillance of motor vehicles and their trailers, and of systems, components and separate technical units intended for such vehicles, amending Regulations (EC) No 715/2007 and (EC) No 595/2009 and repealing Directive 2007/46/EC (
OJ L 151, 14.6.2018, p. 1
).
(
10
)
  Regulation (EU) 2018/1807 of the European Parliament and of the Council of 14 November 2018 on a framework for the free flow of non-personal data in the European Union (
OJ L 303, 28.11.2018, p. 59
).
(
11
)
  Directive 2000/31/EC of the European Parliament and of the Council of 8 June 2000 on certain legal aspects of information society services, in particular electronic commerce, in the Internal Market (‘Directive on electronic commerce’) (
OJ L 178, 17.7.2000, p. 1
).
(
12
)
  Directive 2001/29/EC of the European Parliament and of the Council of 22 May 2001 on the harmonisation of certain aspects of copyright and related rights in the information society (
OJ L 167, 22.6.2001, p. 10
).
(
13
)
  Directive 2004/48/EC of the European Parliament and of the Council of 29 April 2004 on the enforcement of intellectual property rights (
OJ L 157, 30.4.2004, p. 45
).
(
14
)
  Directive 2007/2/EC of the European Parliament and of the Council of 14 March 2007 establishing an Infrastructure for Spatial Information in the European Community (INSPIRE) (
OJ L 108, 25.4.2007, p. 1
).
(
15
)
  Directive (EU) 2015/849 of the European Parliament and of the Council of 20 May 2015 on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing, amending Regulation (EU) No 648/2012 of the European Parliament and of the Council, and repealing Directive 2005/60/EC of the European Parliament and of the Council and Commission Directive 2006/70/EC (
OJ L 141, 5.6.2015, p. 73
).
(
16
)
  Directive (EU) 2016/943 of the European Parliament and of the Council of 8 June 2016 on the protection of undisclosed know-how and business information (trade secrets) against their unlawful acquisition, use and disclosure (
OJ L 157, 15.6.2016, p. 1
).
(
17
)
  Directive (EU) 2017/1132 of the European Parliament and of the Council of 14 June 2017 relating to certain aspects of company law (
OJ L 169, 30.6.2017, p. 46
).
(
18
)
  Directive (EU) 2019/790 of the European Parliament and of the Council of 17 April 2019 on copyright and related rights in the Digital Single Market and amending Directives 96/9/EC and 2001/29/EC (
OJ L 130, 17.5.2019, p. 92
).
(
19
)
  Directive (EU) 2019/1024 of the European Parliament and of the Council of 20 June 2019 on open data and the re-use of public sector information (
OJ L 172, 26.6.2019, p. 56
).
(
20
)
  Directive 2009/81/EC of the European Parliament and of the Council of 13 July 2009 on the coordination of procedures for the award of certain works contracts, supply contracts and service contracts by contracting authorities or entities in the fields of defence and security, and amending Directives 2004/17/EC and 2004/18/EC (
OJ L 216, 20.8.2009, p. 76
).
(
21
)
  Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (
OJ L 119, 4.5.2016, p. 1
).
(
22
)
  Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (
OJ L 295, 21.11.2018, p. 39
).
(
23
)
  Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) (
OJ L 201, 31.7.2002, p. 37
).
(
24
)
  Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (
OJ L 119, 4.5.2016, p. 89
).
(
25
)
  Commission Regulation (EU) No 557/2013 of 17 June 2013 implementing Regulation (EC) No 223/2009 of the European Parliament and of the Council on European Statistics as regards access to confidential data for scientific purposes and repealing Commission Regulation (EC) No 831/2002 (
OJ L 164, 18.6.2013, p. 16
).
(
26
)
  Directive 96/9/EC of the European Parliament and of the Council of 11 March 1996 on the legal protection of databases (
OJ L 77, 27.3.1996, p. 20
).
(
27
)
  Regulation (EU) No 600/2014 of the European Parliament and of the Council of 15 May 2014 on markets in financial instruments and amending Regulation (EU) No 648/2012 (
OJ L 173, 12.6.2014, p. 84
).
(
28
)
  Directive (EU) 2015/2366 of the European Parliament and of the Council of 25 November 2015 on payment services in the internal market, amending Directives 2002/65/EC, 2009/110/EC and 2013/36/EU and Regulation (EU) No 1093/2010, and repealing Directive 2007/64/EC (
OJ L 337, 23.12.2015, p. 35
).
(
29
)
  Regulation (EU) 2018/1724 of the European Parliament and of the Council of 2 October 2018 establishing a single digital gateway to provide access to information, to procedures and to assistance and problem-solving services and amending Regulation (EU) No 1024/2012 (
OJ L 295, 21.11.2018, p. 1
).
(
30
)
  
            
OJ L 123, 12.5.2016, p. 1
.
(
31
)
  Regulation (EU) No 182/2011 of the European Parliament and of the Council of 16 February 2011 laying down the rules and general principles concerning mechanisms for control by the Member States of the Commission's exercise of implementing powers (
OJ L 55, 28.2.2011, p. 13
).
(
32
)
  Directive (EU) 2016/2102 of the European Parliament and of the Council of 26 October 2016 on the accessibility of the websites and mobile applications of public sector bodies (
OJ L 327, 2.12.2016, p. 1
).
(
33
)
  Directive (EU) 2019/882 of the European Parliament and of the Council of 17 April 2019 on the accessibility requirements for products and services (
OJ L 151, 7.6.2019, p. 70
).

Summary:
European data governance
SUMMARY OF:
Regulation (EU) 2022/868 on European data governance and amending Regulation (EU) 2018/1724 (Data Governance Act)
WHAT IS THE AIM OF THE REGULATION?
The 
Data Governance Act
 (DGA) aims to make more data
1
 available for reuse and facilitate data sharing across areas such as health, environment, energy, agriculture, mobility, finance, manufacturing, public administration and skills for the benefit of 
European Union
 (EU) citizens and businesses, creating jobs and stimulating innovation.
KEY POINTS
The 
regulation
 sets out:
conditions for reusing certain protected data
 held by public sector bodies;
rules
 for companies providing data intermediation services;
a framework for data altruism
 (the sharing of data voluntarily and for no reward);
a framework for the European Data Innovation Board (EDIB)
; and
measures to permit the 
secure flow of non-personal data
 outside the EU.
 Reuse of certain categories of publicly held data
Public sector bodies hold vast amounts of data protected by third-party rights (such as 
trade secrets
, personal data or 
intellectual property
) that cannot be used as open data but that could be reused under specific EU or national rules. Whenever such reuse is allowed, public sector bodies will have to comply with the reuse conditions laid down by the DGA. Notably, the reuse conditions should be non-discriminatory, transparent, proportionate, justified and made publicly available.
Data transfer to non-EU countries
A reuser intending to transfer protected, non-personal data to a non-EU country will have to comply with the specific rules in the DGA.
Fees
Fees for reuse should be transparent, proportionate, non-discriminatory and objectively justified. Public sector bodies granting reuse permits can apply reduced or zero fees, for example, for 
small and medium-sized enterprises
, start-ups, 
civil society organisations
 and educational establishments.
Single information point
To ensure data can be found (‘findability’), EU 
Member States
 will have to ensure that all relevant information on conditions for reuse and on charges is available and easily accessible through a single information point. The 
European Commission
 will, in turn, collate this information at 
data.europa.eu
.
 Data intermediation services
The DGA regulates the providers of data intermediation services, which are neutral third parties that connect individuals and companies that hold data with others that want to use data. The requirements for such services aim to ensure that such data intermediaries will function as trustworthy organisers of data sharing. To increase trust in data sharing, this approach lays down a model based on the neutrality and transparency of data intermediaries while putting individuals and companies in control of their data.
Entities wishing to provide data intermediation services must:
comply with strict requirements to ensure neutrality and avoid conflicts of interest;
have structural separation from any other value-added services provided;
have price terms independent of whether a potential data holder
2
 or data user
3
 is using other services; and
register with a competent authority.
 Data altruism
Data altruism arises when individuals and companies give their consent or permission to make data that they generate available for use in the public interest, voluntarily and without reward. Such data have enormous potential to advance research and to develop better products and services, including in the fields of health, climate action and mobility. Member States may develop national policies to encourage data altruism and an entity engaged in data altruism can apply to be registered as a ‘data altruism organisation recognised in the Union’. The Commission will maintain an EU-level register of these organisations.
 European Data Innovation Board
The Commission will set up the EDIB, which will consist of representatives of:
national authorities designated under the DGA;
the European Data Protection Board
;
the European Data Protection Supervisor
;
the European Union Agency for Cybersecurity
;
the EU SME envoy
; and
other specific sectors and bodies with specific expertise.
The EDIB’s tasks include advising and assisting the Commission in:
developing consistent practice in processing requests for data reuse;
enhancing the interoperability of data and data-sharing services;
developing consistent practice of competent authorities in enforcing requirements applicable to data intermediation service
4
 providers.
 International data flows
As non-personal data may be of considerable economic value, the DGA introduces safeguards to protect such data from unlawful access by non-EU countries’ authorities.
FROM WHEN DOES THE REGULATION APPLY?
It will apply from 
24 September 2023
.
BACKGROUND
The DGA also amends Regulation (EU) 
2018/1724
 on the 
single digital gateway
.
For further information, see:
European Data Governance Act
 (European Commission)
Data Governance Act explained
 (European Commission)
A European strategy for data
 (European Commission)
A digital future for Europe
 (Council of the European Union)
Data governance: why is the EU data sharing law important?
 (European Parliament).
KEY TERMS
Data.
 Any digital representation of acts, facts or information and any compilation of such acts, facts or information, including in the form of a sound, visual or audiovisual recording.
Data holder.
 A legal person, including public sector bodies and international organisations, or a natural person who is not a data subject with respect to the specific data in question, who, in accordance with applicable EU or national law, has the right to grant access to or share certain personal or non-personal data.
Data user.
 A natural or legal person who has lawful access to certain personal or non-personal data and has the right, including under Regulation (EU) 
2016/679
 (see 
summary
) in the case of personal data, to use that data for commercial or non-commercial purposes.
Data intermediation service.
 A service that aims to establish commercial relationships for the purposes of data sharing between an undetermined number of data subjects and data holders on the one hand and data users on the other, through technical, legal or other means, including for the purpose of exercising the rights of data subjects in relation to personal data.
MAIN DOCUMENT
Regulation (EU) 
2022/868
 of the European Parliament and of the Council of 
30 May 2022
 on European data governance and amending Regulation (EU) 2018/1724 (Data Governance Act) (OJ L 152, 
3.6.2022
, 
pp. 1–44
).
RELATED DOCUMENTS
Regulation (EU) 
2019/881
 of the European Parliament and of the Council of 
17 April 2019
 on ENISA (the European Union Agency for Cybersecurity) and on information and communications technology cybersecurity certification and repealing Regulation (EU) 
No 526/2013
 (Cybersecurity Act) (OJ L 151, 
7.6.2019
, 
pp. 15–69
).
Regulation (EU) 
2018/1724
 of the European Parliament and of the Council of 
2 October 2018
 establishing a single digital gateway to provide access to information, to procedures and to assistance and problem-solving services and amending Regulation (EU) 
No 1024/2012
 (OJ L 295, 
21.11.2018
, 
pp. 1–38
).
Regulation (EU) 
2018/1725
 of the European Parliament and of the Council of 
23 October 2018
 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) 
No 45/2001
 and Decision 
No 1247/2002/EC
 (OJ L 295, 
21.11.2018
, 
pp. 39–98
).
last update 
20.7.2022

--- DANISH ---

Document:
3.6.2022
DA
Den Europæiske Unions Tidende
L 152/1
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2022/868
af 30. maj 2022
om europæisk datastyring og om ændring af forordning (EU) 2018/1724 (forordning om datastyring)
(EØS-relevant tekst)
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 114,
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg 
(
1
)
,
efter høring af Regionsudvalget,
efter den almindelige lovgivningsprocedure 
(
2
)
, og
ud fra følgende betragtninger:
(1)
I traktaten om Den Europæiske Unions funktionsmåde (TEUF) fastslås det, at der skal oprettes et indre marked og indføres en ordning, der sikrer, at konkurrencen i det indre marked ikke fordrejes. Fastsættelsen af fælles regler og praksis i medlemsstaterne vedrørende udviklingen af en ramme for datastyring bør bidrage til opnåelsen af disse målsætninger under fuld overholdelse af de grundlæggende rettigheder. Det bør også garantere styrkelsen af Unionens åbne strategiske autonomi og samtidig fremme frie internationale datastrømme.
(2)
I løbet af det seneste årti har digitale teknologier forandret økonomien og samfundet og påvirket alle aktivitetsområder og dagliglivet. Kernen i denne omstilling er data: Datadreven innovation vil medføre enorme fordele for både Unionsborgerne og økonomien, f.eks. ved forbedring og personalisering af medicin, ved at frembringe ny mobilitet og gennem bidrag til Kommissionens meddelelse af 11. december 2019 om den europæiske grønne pagt. For at alle unionsborgere kan blive en del af den datadrevne økonomi, må der lægges særlig vægt på at udjævne den digitale kløft, styrke kvinders deltagelse i dataøkonomien og fremme avanceret europæisk ekspertise i teknologisektoren. Det er nødvendigt at opbygge dataøkonomien på en måde, som muliggør velfungerende virksomheder, navnlig mikrovirksomheder og små og mellemstore virksomheder (SMV'er) som defineret i bilaget til Kommissionens henstilling 2003/361/EF 
(
3
)
 og nyetablerede virksomheder, idet der sikres neutralitet i relation til dataadgang og dataportabilitet og interoperabilitet og undgås lock-in-effekter. I sin meddelelse af 19. februar 2020 om en europæisk strategi for data (»den europæiske datastrategi«) har Kommissionen beskrevet visionen om et fælles europæisk dataområde, dvs. et indre marked for data, hvor data kan anvendes, uanset hvor de fysisk opbevares i Unionen, i overensstemmelse med gældende ret, hvilket bl.a. kunne blive afgørende for den hurtige udvikling af teknologi inden for kunstig intelligens.
Kommissionen har også opfordret til frie og sikre datastrømme med tredjelande med forbehold af undtagelser og begrænsninger af hensyn til den offentlige sikkerhed, den offentlige orden og andre legitime offentlige politiske mål for Unionen i overensstemmelse med internationale forpligtelser, herunder vedrørende grundlæggende rettigheder. For at omsætte denne vision til virkelighed foreslog Kommissionen at oprette domænespecifikke fælles europæiske dataområder for datadeling og datasamling. Som foreslået i den europæiske datastrategi kunne sådanne fælles europæiske dataområder bl.a. omfatte områderne sundhed, mobilitet, produktion, finansielle tjenesteydelser, energi eller landbrug, eller en kombination af disse områder, f.eks. energi og klima, samt tematiske områder som den europæiske grønne pagt eller europæiske dataområder for offentlig forvaltning eller færdigheder. Fælles europæiske dataområder bør gøre data søgbare, tilgængelige, interoperable og genanvendelige (»FAIR dataprincipperne«), idet der samtidigt sikres et højt cybersikkerhedsniveau. Hvor der er lige konkurrencevilkår i dataøkonomien, konkurrerer virksomheder på kvaliteten af tjenester og ikke på mængden af data, som de kontrollerer. Med henblik på udformning, etablering og opretholdelse af lige konkurrencevilkår i dataøkonomien er der behov for en forsvarlig forvaltning, hvor relevante interessenter i et fælles europæisk dataområde deltager og er repræsenteret.
(3)
Det er nødvendigt at forbedre betingelserne for datadeling i det indre marked ved at skabe en harmoniseret ramme for dataudveksling og fastsætte visse grundlæggende krav til datastyring, idet der lægges særlig vægt på at lette samarbejdet mellem medlemsstaterne. Denne forordning bør sigte mod at videreudvikle det grænsefrie digitale indre marked og et datasamfund og en dataøkonomi, der sætter mennesket i centrum, og som er pålideligt og sikkert. Med sektorspecifik EU-ret kan nye og supplerende elementer udvikles, tilpasses og foreslås afhængigt af sektorernes særlige karakter såsom den planlagte EU-ret om det europæiske sundhedsdataområde og om adgangen til køretøjsdata. Desuden er visse økonomiske sektorer allerede reguleret ved sektorspecifik EU-ret, der omfatter regler om grænseoverskridende eller EU-dækkende deling af eller adgang til data, f.eks. Europa-Parlamentets og Rådets direktiv 2011/24/EU 
(
4
)
 i forbindelse med det europæiske sundhedsdataområde og relevante lovgivningsmæssige retsakter på transportområdet såsom Europa-Parlamentets og Rådets forordning (EU) 2019/1239 
(
5
)
 og (EU) 2020/1056 
(
6
)
 og direktiv 2010/40/EU 
(
7
)
 i forbindelse med det europæiske mobilitetsdataområde.
Denne forordning bør derfor ikke berøre Europa-Parlamentets og Rådets forordning (EF) nr. 223/2009 
(
8
)
, (EU) 2018/858 
(
9
)
 og (EU) 2018/1807 
(
10
)
 samt direktiv 2000/31/EF 
(
11
)
, 2001/29/EF 
(
12
)
, 2004/48/EF 
(
13
)
, 2007/2/EF 
(
14
)
, 2010/40/EU, (EU) 2015/849 
(
15
)
, (EU) 2016/943 
(
16
)
, (EU) 2017/1132 
(
17
)
, (EU) 2019/790 
(
18
)
 og (EU) 2019/1024 
(
19
)
 og anden sektorspecifik EU-ret om adgang til og videreanvendelse af data. Denne forordning bør ikke berøre EU-retten og national ret om adgangen til og anvendelsen af data med henblik på forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner samt det internationale samarbejde i den forbindelse.
Denne forordning bør ikke berøre medlemsstaternes kompetencer med hensyn til deres aktiviteter vedrørende offentlig sikkerhed, forsvar og national sikkerhed. Videreanvendelsen af data, der er beskyttet af hensyn hertil og er i de offentlige myndigheders besiddelse, herunder data fra udbudsprocedurer, som er omfattet af Europa-Parlamentets og Rådets direktiv 2009/81/EF 
(
20
)
, bør ikke være omfattet af denne forordning. Der bør indføres en horisontal ordning for videreanvendelse af bestemte kategorier af beskyttede data i de offentlige myndigheders besiddelse, udbud af dataformidlingstjenester og tjenester baseret på dataaltruisme i Unionen. De forskellige sektorers særlige kendetegn kan kræve, at der udvikles sektorielle databaserede systemer, samtidig med at der bygges videre på kravene i denne forordning. Dataformidlingstjenesteudbydere, der opfylder kravene i denne forordning, bør kunne anvende betegnelsen »dataformidlingstjenesteudbydere, der er anerkendt i Unionen«. Juridiske personer, der søger at støtte almennyttige formål ved at stille relevante data til rådighed på grundlag af dataaltruisme i stor skala, og som opfylder kravene i denne forordning, bør kunne registreres med og bruge betegnelsen »dataaltruistiske organisationer, der er anerkendt i Unionen«. Hvis sektorspecifik EU-ret eller national ret kræver, at offentlige myndigheder, sådanne dataformidlingstjenesteudbydere eller sådanne juridiske personer (anerkendte dataaltruistiske organisationer) skal opfylde specifikke supplerende tekniske, administrative eller organisatoriske krav, herunder gennem en tilladelses- eller certificeringsordning, finder bestemmelserne i den sektorspecifikke EU-ret eller nationale ret også anvendelse.
(4)
Nærværende forordning bør ikke berøre Europa-Parlamentets og Rådets forordning (EU) 2016/679 
(
21
)
 og (EU) 2018/1725 
(
22
)
 og Europa-Parlamentets og Rådets direktiv 2002/58/EF 
(
23
)
 og (EU) 2016/680 
(
24
)
 og de tilsvarende bestemmelser i national ret, herunder i tilfælde, hvor personoplysninger og andre data end personoplysninger i et datasæt er uløseligt forbundet. Navnlig bør nærværende forordning ikke fortolkes således, at den skaber et nyt retsgrundlag for behandlingen af personoplysninger for nogle af de regulerede aktiviteter, eller at den medfører en ændring af oplysningskravene, der er fastsat i forordning (EU) 2016/679. Gennemførelsen af nærværende forordning bør ikke forhindre grænseoverskridende overførsler af data i overensstemmelse med kapitel V i forordning (EU) 2016/679. I tilfælde af uoverensstemmelse mellem nærværende forordning og EU-retten om beskyttelse af personoplysninger eller national ret vedtaget i overensstemmelse med sådan EU-ret bør den relevante EU- eller nationale ret om beskyttelse af personoplysninger have forrang. Det bør være muligt at betragte databeskyttelsesmyndigheder som kompetente myndigheder i henhold til nærværende forordning. Hvis andre myndigheder fungerer som kompetente myndigheder i henhold til nærværende forordning, bør de gøre dette, uden at det berører databeskyttelsesmyndighedernes tilsynsbeføjelser og kompetencer i henhold til forordning (EU) 2016/679.
(5)
En indsats på EU-plan er nødvendig for at øge tilliden til datadeling ved at indføre passende mekanismer, så registrerede og dataindehavere kontrollerer de data, som vedrører dem, og for at afhjælpe andre hindringer for en velfungerende og konkurrencedygtig datadreven økonomi. Denne indsats bør ikke berøre pligter og tilsagn, som er indeholdt i internationale handelsaftaler indgået af Unionen. En EU-dækkende forvaltningsramme bør have som målsætning at skabe tillid blandt enkeltpersoner og virksomheder i relation til adgang til, kontrol, deling og anvendelse af data samt videreanvendelse af data, navnlig ved at indføre passende mekanismer, så de registrerede kender og kan udøve deres rettigheder på en meningsfuld måde, og med hensyn til videreanvendelsen af visse typer data, som de offentlige myndigheder er i besiddelse af, dataformidlingstjenesteudbyderes udbud af tjenester til registrerede, dataindehavere og databrugere samt indsamlingen og behandlingen af data, der af fysiske og juridiske personer stilles til rådighed til altruistiske formål. Navnlig kan større gennemsigtighed med hensyn til formålet med dataanvendelse og betingelserne for virksomhedernes lagring af data bidrage til at øge tilliden.
(6)
Idéen om, at data, der er genereret eller indsamlet af offentlige myndigheder eller andre enheder med udgifter for de offentlige budgetter, bør komme samfundet til gode, har længe været en del af Unionens politik. Ved direktiv (EU) 2019/1024 og sektorspecifik EU-ret er det sikret, at de offentlige myndigheder gør flere af de data, de genererer, let tilgængelige for anvendelse og videreanvendelse. Bestemte kategorier af data, såsom kommercielt fortrolige data, data der er statistisk fortrolige, og data, der er beskyttet af tredjeparters intellektuelle ejendomsrettigheder, herunder forretningshemmeligheder, og personoplysninger i offentlige databaser, stilles imidlertid ofte ikke til rådighed, end ikke til forskning eller innovative aktiviteter i offentlighedens interesse, selv om sådan tilgængelighed er mulig i henhold til gældende EU-ret, navnlig forordning (EU) 2016/679 og direktiv 2002/58/EF og (EU) 2016/680. På grund af sådanne datas følsomhed er det nødvendigt, at visse tekniske og juridiske procedurekrav er opfyldt, før de stilles til rådighed, ikke mindst for at sikre, at andres rettigheder over sådanne data respekteres, eller for at begrænse den negative indvirkning på grundlæggende rettigheder, princippet om ikkediskriminering og databeskyttelse. Opfyldelsen af sådanne krav kræver normalt omfattende tid og viden. Det har ført til en utilstrækkelig anvendelse af sådanne data. Nogle medlemsstater indfører strukturer, processer eller lovgivning for at lette denne form for videreanvendelse, men det er ikke tilfældet i hele Unionen. For at lette private og offentlige enheders dataanvendelse med henblik på europæisk forskning og innovation er der behov for klare betingelser for adgang til og anvendelse af sådanne data i hele Unionen.
(7)
Der findes teknikker, som muliggør analyser i databaser, der indeholder personoplysninger, som for eksempel anonymisering, differentiel beskyttelse af privatlivets fred, generalisering, undertrykkelse og randomisering, anvendelsen af syntetiske data eller lignende metoder og andre avancerede metoder til beskyttelse af privatlivets fred, som kan bidrage til en databehandling, der i højere grad sikrer beskyttelse af privatlivets fred. Medlemsstaterne bør yde støtte til, at offentlige myndigheder kan udnytte sådanne teknikker optimalt og dermed stille så store datamængder som muligt til rådighed for deling. Anvendelsen af sådanne teknikker sammen med omfattende konsekvensanalyser vedrørende databeskyttelse og andre beskyttelsesforanstaltninger kan bidrage til større sikkerhed i anvendelsen og videreanvendelsen af personoplysninger og bør garantere en sikker videreanvendelse af kommercielt fortrolige forretningsdata til forsknings- og innovationsformål samt statistiske formål. I mange tilfælde indebærer anvendelsen af sådanne teknikker, konsekvensanalyser og andre beskyttelsesforanstaltninger, at data kun kan anvendes og videreanvendes i et sikkert databehandlingsmiljø, der stilles til rådighed eller kontrolleres af den offentlige myndighed. Der er erfaringer på EU-plan med sådanne sikre behandlingsmiljøer, som anvendes til forskning i statistiske mikrodata på grundlag af Kommissionens forordning (EU) nr. 557/2013 
(
25
)
. For så vidt angår personoplysninger bør databehandlingen generelt basere sig på en eller flere af de retsgrundlag for behandling, der er fastsat i artikel 6 og 9 i forordning (EU) 2016/679.
(8)
I overensstemmelse med forordning (EU) 2016/679 bør principperne om databeskyttelse ikke gælde for anonyme oplysninger, dvs. oplysninger, der ikke vedrører en identificeret eller identificerbar fysisk person, eller for personoplysninger, som er anonymiseret på en sådan måde, at den registrerede ikke eller ikke længere kan identificeres. Genidentifikation af registrerede fra anonymiserede datasæt bør forbydes. Dette bør ikke berøre muligheden for at forske i anonymiseringsteknikker, navnlig med henblik på at garantere informationssikkerhed, forbedre eksisterende anonymiseringsteknikker og bidrage til den overordnede robusthed i den anonymisering, som foretages i overensstemmelse med forordning (EU) 2016/679.
(9)
Medlemsstaterne bør med henblik på at fremme beskyttelsen af personoplysninger og fortrolige data og fremskynde processen til at stille sådanne data til rådighed til videreanvendelse i henhold til denne forordning tilskynde de offentlige myndigheder til at oprette og stille data til rådighed i overensstemmelse med princippet om, at dataene er »åbne gennem design og standardindstillinger«, jf. artikel 5, stk. 2, i direktiv (EU) 2019/1024, og til at fremme oprettelsen og anskaffelsen af data i formater og strukturer, der muliggør anonymisering i denne henseende.
(10)
De kategorier af data, der er i de offentlige myndigheders besiddelse, og som bør kunne videreanvendes i henhold til denne forordning, falder uden for anvendelsesområdet for direktiv (EU) 2019/1024, som ikke omfatter data, der ikke er tilgængelige på grund af kommerciel eller statistisk fortrolighed, og data, som er indeholdt i værker eller andet indhold, som tredjeparter har intellektuelle ejendomsrettigheder til. Kommercielt fortrolige data omfatter data, der er beskyttet af forretningshemmeligheder, beskyttet knowhow og alle andre oplysninger, hvis uberettigede videregivelse ville have indvirkning på virksomhedens markedsposition eller finansielle soliditet. Denne forordning bør gælde for personoplysninger, som falder uden for anvendelsesområdet for direktiv (EU) 2019/1024, for så vidt som adgangsordningen udelukker eller begrænser adgangen til sådanne oplysninger af hensyn til databeskyttelsen, privatlivets fred og den enkeltes integritet, navnlig i henhold til databeskyttelsesregler. Videreanvendelse af data, der kan indeholde forretningshemmeligheder, bør ske, uden at det berører direktiv (EU) 2016/943, hvori rammen for lovlig erhvervelse, brug eller videregivelse af forretningshemmeligheder fastsættes.
(11)
Denne forordning bør ikke indføre en forpligtelse til at tillade videreanvendelse af data, der er i de offentlige myndigheders besiddelse. Hver medlemsstat bør derfor navnlig kunne beslutte, om data stilles til rådighed til videreanvendelse, også med hensyn til formålet med og omfanget af en sådan adgang. Denne forordning bør supplere og ikke berøre de mere specifikke forpligtelser for offentlige myndigheder til at tillade videreanvendelse af data, der er fastsat i sektorspecifik EU-ret eller national ret. Aktindsigt i officielle dokumenter kan anses for at være i samfundets interesse. Under hensyntagen til den rolle, som aktindsigt i officielle dokumenter og gennemsigtighed spiller i et demokratisk samfund, bør denne forordning heller ikke berøre EU-ret eller national ret om aktindsigt i og offentliggørelse af officielle dokumenter. Der kan navnlig gives aktindsigt i officielle dokumenter i henhold til national ret, uden at der fastsættes særlige betingelser, eller ved at der fastsættes særlige betingelser, som ikke fremgår af denne forordning.
(12)
Denne forordnings bestemmelser om videreanvendelse bør gælde for data, der stilles til rådighed som led i de berørte offentlige myndigheders opgaver som fastsat ved lov eller andre retsforskrifter i medlemsstaterne. Hvis der ikke findes sådanne forskrifter, bør de offentlige opgaver defineres i overensstemmelse med almindelig administrativ praksis i medlemsstaterne, forudsat at de offentlige opgavers rækkevidde er gennemsigtig og underlagt kontrol. De offentlige opgaver kan defineres generelt eller fra sag til sag for de enkelte offentlige myndigheder. Da offentlige virksomheder ikke er omfattet af definitionen af en offentlig myndighed, bør de data, som offentlige virksomheder er i besiddelse af, ikke være omfattet af denne forordning. Data, som kulturinstitutioner, f.eks. biblioteker, arkiver og museer samt orkestre, operaer, balletter og teatre, og uddannelsesinstitutioner er i besiddelse af, bør ikke være omfattet af denne forordning, eftersom de værker og andre dokumenter, som de er i besiddelse af, hovedsagelig er omfattet af tredjeparters intellektuelle ejendomsrettigheder. Forskningsorganisationer og forskningsfinansierende organisationer kan også organiseres som offentlige myndigheder eller offentligretlige organer.
Denne forordning bør kun gælde for sådanne hybride organisationer i deres egenskab af forskningsorganisationer. Hvis en forskningsorganisation er i besiddelse af data som led i en specifik offentlig-privat sammenslutning med organisationer i den private sektor eller andre offentlige myndigheder, offentligretlige organer eller hybride forskningsorganisationer, dvs. organiseret som enten offentlige myndigheder eller offentlige virksomheder, med det primære formål at drive forskning, bør disse data heller ikke være omfattet af denne forordning. Medlemsstaterne bør, hvor det er relevant, kunne anvende denne forordning på offentlige virksomheder eller private virksomheder, der udfører offentlige opgaver eller udbyder tjenester af almen interesse. Udvekslingen af data, som alene sker som led i varetagelsen af deres offentlige opgaver, mellem offentlige myndigheder i Unionen eller mellem offentlige myndigheder i Unionen og offentlige myndigheder i tredjelande eller internationale organisationer, samt udvekslingen af data mellem forskere til ikkekommercielle videnskabelige forskningsformål, bør ikke være omfattet af denne forordnings bestemmelser om videreanvendelse af bestemte kategorier af beskyttede data i offentlige myndigheders besiddelse.
(13)
Offentlige myndigheder bør overholde konkurrenceretten, når de fastlægger principperne for videreanvendelsen af de data, de er i besiddelse af, og undgå at indgå aftaler, der kan have til formål eller til følge at skabe eksklusive rettigheder til videreanvendelsen af visse data. Sådanne aftaler bør kun være mulige, hvor de er berettigede og nødvendige for udbuddet af en tjenesteydelse eller leveringen af et produkt af almen interesse. Dette kan være tilfældet, hvor den eksklusive anvendelse af data er den eneste måde, hvorpå dataenes samfundsmæssige fordele kan maksimeres, f.eks. hvis der kun er én enhed (som har specialiseret sig i behandlingen af et specifikt datasæt), der er i stand til at udbyde den tjenesteydelse eller levere det produkt, der gør det muligt for den offentlige myndighed at udbyde en tjeneste eller levere et produkt af almen interesse. Sådanne aftaler bør imidlertid indgås i overensstemmelse med gældende EU-ret eller national ret og regelmæssigt tages op til revision på grundlag af en markedsanalyse for at fastslå, om en sådan eksklusivitet fortsat er nødvendig. Desuden bør sådanne aftaler overholde de relevante statsstøtteregler, alt efter hvad der er relevant, og indgås med en begrænset varighed, der ikke bør overstige 12 måneder. For at sikre gennemsigtighed bør sådanne eneretsaftaler offentliggøres online i en form, der er i overensstemmelse med den relevante EU-ret om offentlige udbud. Hvis en eneret til videreanvendelse af data ikke er i overensstemmelse med denne forordning, bør denne eneret erklæres ugyldig.
(14)
Forbudte eneretsaftaler og anden praksis eller aftaler vedrørende videreanvendelse af data, som offentlige myndigheder er i besiddelse af, som ikke udtrykkeligt giver eksklusive rettigheder, men som med rimelighed kan forventes at begrænse tilgængeligheden af data til videreanvendelse, og som er indgået eller allerede trådt i kraft inden datoen for denne forordnings ikrafttræden, bør ikke forlænges efter udløbet af deres gyldighedsperiode. Hvis der er tale om tidsubegrænsede eller langsigtede aftaler, bør de bringes til ophør senest 30 måneder efter datoen for denne forordnings ikrafttræden.
(15)
Denne forordning bør fastsætte betingelser for videreanvendelsen af beskyttede data, som gælder for offentlige myndigheder, der i henhold til national ret er udpeget som kompetente til at give eller nægte adgang til videreanvendelse, og som ikke berører rettigheder eller forpligtelser vedrørende adgangen til sådanne data. Disse betingelser bør være ikkediskriminerende, gennemsigtige, stå i et rimeligt forhold til formålet og være objektivt begrundede og må ikke begrænse konkurrencen, idet der rettes særlig opmærksomhed mod at lette adgangen til sådanne data for SMV'er og nyetablerede virksomheder. Betingelserne for videreanvendelse bør udformes på en måde, der fremmer videnskabelig forskning således, at f.eks. prioritering af videnskabelig forskning som hovedregel bør betragtes som ikkediskriminerende. De offentlige myndigheder, der tillader videreanvendelse, bør råde over de nødvendige tekniske midler for at sikre beskyttelsen af tredjeparters rettigheder og interesser, og bør have bemyndigelse til at anmode videreanvenderen om de nødvendige oplysninger. Betingelser for videreanvendelsen af data bør være begrænsede til, hvad der er nødvendigt for at beskytte tredjeparters rettigheder til og interesser i dataene og integriteten af de offentlige myndigheders IT- og kommunikationssystemer. Offentlige myndigheder bør anvende betingelser, der bedst tjener videreanvenderens interesser, uden at dette fører til en uforholdsmæssig stor byrde for de offentlige myndigheder. Betingelser for videreanvendelsen af data bør udformes, så de sikrer effektive beskyttelsesforanstaltninger med hensyn til beskyttelsen af personoplysninger. Personoplysninger bør inden videregivelsen være anonymiserede, således at det ikke er muligt at identificere de registrerede, og data, der indeholder kommercielt fortrolige oplysninger, bør inden videregivelsen være ændret på en sådan måde, at der ikke videregives fortrolige oplysninger. Hvor leveringen af anonymiserede eller ændrede data ikke imødekommer videreanvenderens behov, forudsat at eventuelle krav om at gennemføre en konsekvensanalyse vedrørende databeskyttelse og høre tilsynsmyndigheden i henhold til artikel 35 og 36 i forordning (EU) 2016/679 er blevet opfyldt, og hvor det er påvist, at risiciene for de registreredes rettigheder og interesser er minimale, kan der gives tilladelse til lokal videreanvendelse eller fjernvidereanvendelse af dataene i et sikkert databehandlingsmiljø.
Dette kunne være en passende ordning for videreanvendelse af pseudonymiserede data. Dataanalyser i sådanne sikre databehandlingsmiljøer bør overvåges af den offentlige myndighed, således at tredjeparters rettigheder og interesser beskyttes. Navnlig bør personoplysninger kun videregives til tredjeparter med henblik på videreanvendelse, hvis et retsgrundlag i henhold til databeskyttelsesretten tillader en sådan videregivelse. Andre data end personoplysninger bør kun videregives, når der ikke er grund til at tro, at kombinationen af datasæt med andre data end personoplysninger vil føre til identifikation af registrerede. Dette bør også gælde for pseudonymiserede data, som bevarer deres status af personoplysninger. I tilfælde af genidentifikation af registrerede bør en forpligtelse til at anmelde et sådant brud på datasikkerheden til den offentlige myndighed finde anvendelse i tillæg til en forpligtelse til at anmelde et sådant brud på datasikkerheden til en tilsynsmyndighed og den registrerede i overensstemmelse med forordning (EU) 2016/679. Hvor det er relevant, bør de offentlige myndigheder lette videreanvendelsen af data på grundlag af de registreredes samtykke eller dataindehavernes tilladelse til videreanvendelse af data, der vedrører dem, ved hjælp af passende tekniske midler. I den forbindelse bør den offentlige myndighed bestræbe sig på at yde bistand til potentielle videreanvendere med henblik på at indhente et sådant samtykke eller en sådan tilladelse ved at indføre tekniske mekanismer, der gør det muligt at videresende anmodninger om samtykke eller tilladelse fra videreanvendere, hvor dette er praktisk muligt. Der bør ikke opgives kontaktoplysninger, der gør det muligt for videreanvendere at kontakte registrerede eller dataindehavere direkte. Hvor den offentlige myndighed fremsender en anmodning om samtykke eller tilladelse, bør den sikre, at den registrerede eller dataindehaveren tydeligt informeres om muligheden for at nægte samtykke eller tilladelse.
(16)
For at lette og fremme anvendelsen af data i de offentlige myndigheders besiddelse i videnskabelig forskning opfordres de offentlige myndigheder til at udvikle en harmoniseret tilgang og harmoniserede procedurer, så samfundsnyttig videnskabelig forskning får let adgang til disse data. Dette kunne bl.a. indebære, at der oprettes strømlinede administrative procedurer, et standardiseret dataformat, informative metadata om valg af metode og dataindsamling samt standardiserede datafelter, så datasæt fra forskellige datakilder i den offentlige sektor, hvis det er relevant, let kan sammenkobles i analyseøjemed. Formålet med denne praksis bør være at fremme offentligt finansierede og genererede data med henblik på videnskabelig forskning i overensstemmelse med princippet »så åbent som muligt, så lukket som nødvendigt«.
(17)
Tredjeparters intellektuelle ejendomsrettigheder bør ikke berøres af denne forordning. Denne forordning bør hverken berøre eksistensen af eller ejendomsretten til offentlige myndigheders intellektuelle ejendomsrettigheder eller begrænse udøvelsen af sådanne rettigheder på nogen måde. De forpligtelser, der pålægges i henhold til denne forordning, bør kun gælde, for så vidt som de er forenelige med internationale aftaler om beskyttelse af intellektuel ejendomsret, navnlig Bernerkonventionen til værn for litterære og kunstneriske værker (Bernerkonventionen), aftalen om handelsrelaterede intellektuelle ejendomsrettigheder (TRIPS-aftalen) og Verdensorganisationen for Intellektuel Ejendomsrets (WIPO's) traktat om ophavsret (WCT), og EU-ret eller national ret om intellektuel ejendomsret. Offentlige myndigheder bør dog udøve deres ophavsret på en måde, der letter videreanvendelse.
(18)
Data, der er omfattet af intellektuelle ejendomsrettigheder og forretningshemmeligheder, bør kun videregives til tredjeparter, hvis en sådan videregivelse er lovlig i henhold til EU-retten eller national ret, eller hvis rettighedshaveren giver sit samtykke hertil. Hvis offentlige myndigheder er rettighedshavere som en databases fremstiller som fastsat i artikel 7, stk. 1, i Europa-Parlamentets og Rådets direktiv 96/9/EF 
(
26
)
, bør de ikke udøve disse rettigheder for at forhindre videreanvendelse af data eller sætte grænser for videreanvendelsen, der er mere restriktive end dem, der er fastsat i denne forordning.
(19)
Virksomheder og registrerede bør kunne stole på, at videreanvendelsen af visse kategorier af beskyttede data, som de offentlige myndigheder er i besiddelse af, vil finde sted på en måde, der respekterer deres rettigheder og interesser. Der bør derfor indføres yderligere beskyttelsesforanstaltninger med henblik på situationer, hvor videreanvendelse af sådanne data fra den offentlige sektor finder sted på grundlag af en behandling af dataene uden for den offentlige sektor, såsom et krav om, at offentlige myndigheder i alle tilfælde sikrer, at fysiske og juridiske personers rettigheder og interesser fuldt ud beskyttes, navnlig hvad angår personoplysninger, kommercielt følsomme data og intellektuelle ejendomsrettigheder, herunder hvor sådanne data overføres til tredjelande. Offentlige myndigheder bør ikke tillade, at forsikringsselskaber eller andre tjenesteydere videreanvender oplysninger, der er lagret i e-sundhedsapplikationer, med henblik på forskelsbehandling i forbindelse med prisfastsættelse, eftersom dette ville stride mod den grundlæggende ret til adgang til sundhedspleje.
(20)
Desuden er det med henblik på at opretholde fair konkurrence og den åbne markedsøkonomi særdeles vigtigt at sikre beskyttede data af ikkepersonlig karakter, navnlig forretningshemmeligheder, men også andre data end personoplysninger, der udgør indhold, som er beskyttet af intellektuelle ejendomsrettigheder, mod ulovlig adgang, der kan føre til tyveri af intellektuel ejendom eller industrispionage. For at sikre beskyttelsen af dataindehavernes rettigheder eller interesser, bør det kun være muligt at overføre andre data end personoplysninger, der skal beskyttes mod ulovlig eller uautoriseret adgang i henhold til EU-retten eller national ret, og som er i offentlige myndigheders besiddelse, til tredjelande, hvor anvendelsen af data er omfattet af passende beskyttelsesforanstaltninger. Sådanne passende beskyttelsesforanstaltninger bør omfatte et krav om, at den offentlige myndighed kun videregiver beskyttede data til en videreanvender, hvis denne påtager sig kontraktlige forpligtelser med henblik på at beskytte dataene. En videreanvender, der har til hensigt at overføre de beskyttede data til et tredjeland, bør overholde de krav, der er fastsat i denne forordning, også efter at oplysningerne er blevet overført til tredjelandet. For at sikre en korrekt håndhævelse af sådanne krav bør videreanvenderen også anerkende, at kompetencen med henblik på retslig bilæggelse af tvister ligger hos domstolene i den medlemsstat, hvis offentlige myndighed har givet tilladelse til videreanvendelse.
(21)
Det bør ligeledes overvejes at gennemføre passende beskyttelsesforanstaltninger, hvor der i det tredjeland, hvortil andre data end personoplysninger overføres, gælder tilsvarende foranstaltninger, som sikrer, at der for data gælder et beskyttelsesniveau svarende til det, der gælder i henhold til EU-retten, navnlig med hensyn til beskyttelse af forretningshemmeligheder og intellektuelle ejendomsrettigheder. Med henblik herpå bør Kommissionen, hvor dette er begrundet på grund af det betydelige antal anmodninger i hele Unionen om videreanvendelse af andre data end personoplysninger i specifikke tredjelande, kunne erklære ved hjælp af gennemførelsesretsakter, at et tredjeland yder et beskyttelsesniveau, der i det væsentlige svarer til det beskyttelsesniveau, der er fastsat i EU-retten. Kommissionen bør vurdere, om sådanne gennemførelsesretsakter er nødvendige på grundlag af oplysninger, som medlemsstaterne indgiver gennem Det Europæiske Datainnovationsråd. Sådanne gennemførelsesretsakter vil forsikre offentlige myndigheder om, at videreanvendelse af data, som er i offentlige myndigheders besiddelse i det pågældende tredjeland, ikke vil bringe disse datas beskyttede karakter i fare. Ved vurderingen af beskyttelsesniveauet i det pågældende tredjeland bør navnlig følgende aspekter tages i betragtning: den relevante generelle og sektorspecifikke ret, herunder om offentlig sikkerhed, forsvar, national sikkerhed og strafferet vedrørende adgang til og beskyttelse af andre data end personoplysninger, hvorvidt de offentlige myndigheder i det pågældende tredjeland har adgang til de overførte data, hvorvidt der er en eller flere uafhængige tilsynsmyndigheder i tredjelandet med ansvar for at sikre og håndhæve overholdelsen af de retlige bestemmelser, der sikrer adgang til sådanne data, samt hvorvidt sådanne myndigheder fungerer effektivt, tredjelandets internationale forpligtelser vedrørende databeskyttelse, eller andre forpligtelser i forbindelse med retligt bindende konventioner eller instrumenter eller deltagelse i multilaterale eller regionale aftaler.
I forbindelse med overførsel af andre data end personoplysninger til et tredjeland er det navnlig vigtigt, at der findes effektive retsmidler for dataindehavere, offentlige myndigheder og dataformidlingstjenesteudbydere i det pågældende tredjeland. Sådanne beskyttelsesforanstaltninger bør derfor omfatte bestemmelser om rettigheder, der kan håndhæves, og effektive retsmidler. Sådanne gennemførelsesretsakter bør ikke berøre retlige forpligtelser eller kontraktlige ordninger, der allerede er indgået af en videreanvender af hensyn til beskyttelsen af andre data end personoplysninger, navnlig industrielle data, og offentlige myndigheders ret til at forpligte videreanvendere til at overholde betingelserne for videreanvendelse i overensstemmelse med denne forordning.
(22)
Visse tredjelande vedtager love, administrative bestemmelser og andre retsakter med sigte på direkte overførsel af eller statslig adgang til andre data end personoplysninger i Unionen, som fysiske og juridiske personer under medlemsstaternes jurisdiktion har kontrol over. Afgørelser og domme afsagt af en domstol eller ret i et tredjeland og afgørelser truffet af en administrativ myndighed i et tredjeland, ifølge hvilken der pålægges krav om overførsel af eller adgang til andre data end personoplysninger, bør kunne håndhæves, hvor de er baseret på en international aftale såsom en traktat om gensidig retshjælp mellem det anmodende tredjeland og Unionen eller en medlemsstat. I nogle tilfælde kan der opstå situationer, hvor krav om at overføre eller give adgang til andre data end personoplysninger, der følger af et tredjelands lovgivning, er i strid med en forpligtelse til at beskytte sådanne data i henhold til EU-retten eller national ret, navnlig hvad angår beskyttelse af den enkeltes grundlæggende rettigheder eller af en medlemsstats grundlæggende interesser i forbindelse med national sikkerhed eller forsvar, samt beskyttelse af forretningsmæssigt følsomme data og intellektuelle ejendomsrettigheder, og herunder kontraktlige forpligtelser vedrørende fortrolighed i overensstemmelse med denne ret. I mangel af internationale aftaler om sådanne spørgsmål bør overførsel eller adgang til andre data end personoplysninger kun tillades, hvis det navnlig er blevet verificeret, at tredjelandets retssystem kræver, at afgørelsen eller dommen begrundes, og at det godtgøres, at den står i et rimeligt forhold til formålet; endvidere skal afgørelsen eller dommen være af specifik karakter, og en begrundet indsigelse fra adressaten skal kunne prøves ved en kompetent domstol eller ret i tredjelandet, som har beføjelse til at tage behørigt hensyn til de relevante retlige interesser hos den, der stiller de pågældende data til rådighed.
Desuden bør offentlige myndigheder, fysiske eller juridiske personer, som har fået tildelt retten til at videreanvende data, dataformidlingstjenesteudbydere og anerkendte dataaltruistiske organisationer, hvor de indgår kontraktmæssige aftaler med andre private parter sikre, at andre data end personoplysninger, der opbevares i Unionen, kun tilgås eller overføres til tredjelande i overensstemmelse med EU-retten eller den relevante medlemsstats nationale ret.
(23)
Med henblik på yderligere at øge tilliden til Unionens dataøkonomi er det afgørende, at de sikkerhedsforanstaltninger i forhold til Unionens borgere, den offentlige sektor og virksomhederne, som sikrer, at kontrollen med deres strategiske og følsomme data gennemføres, og at EU-retten, EU-værdier og -standarder opretholdes med hensyn til, men ikke begrænset til, sikkerhed, databeskyttelse og forbrugerbeskyttelse. For at forhindre ulovlig adgang til andre data end personoplysninger bør offentlige myndigheder samt fysiske og juridiske personer, der er tildelt ret til at videreanvende data, dataformidlingstjenesteudbydere og anerkendte dataaltruistiske organisationer, træffe alle rimelige foranstaltninger for at forhindre adgang til de systemer, hvor andre data end personoplysninger er lagret, herunder gennem kryptering af data eller virksomhedspolitikker. Med henblik herpå bør det sikres, at offentlige myndigheder, fysiske og juridiske personer, som har fået tildelt ret til at videreanvende data, dataformidlingstjenesteudbydere og anerkendte dataaltruistiske organisationer, overholder alle relevante tekniske standarder, adfærdskodekser og certificeringer på EU-plan.
(24)
For at opbygge tillid til ordninger for videreanvendelse af data kan det være nødvendigt at fastsætte strengere betingelser for visse typer af andre data end personoplysninger, der kan blive kategoriseret som meget følsomme i fremtidige specifikke lovgivningsmæssige EU-retsakter, for så vidt angår overførsel til tredjelande, hvis en sådan overførsel kan sætte Unionens offentlige politiske mål på spil, i overensstemmelse med internationale forpligtelser. På sundhedsområdet for eksempel kan visse datasæt, som aktører i det offentlige sundhedssystem såsom offentlige hospitaler er i besiddelse af, kategoriseres som meget følsomme sundhedsdata. Andre relevante sektorer omfatter transport, energi, miljø og finans. For at sikre en ensartet praksis i hele Unionen bør sådanne typer af andre data end personoplysninger, der er meget følsomme, defineres i EU-retten, f.eks. inden for rammerne af lovgivningen om det europæiske sundhedsdataområde eller anden sektorspecifik ret. Betingelserne for overførsel af sådanne data til tredjelande bør fastsættes i delegerede retsakter. Betingelserne bør stå i et rimeligt forhold til formålet og være ikkediskriminerende og nødvendige for at beskytte Unionens legitime offentlige politiske mål såsom beskyttelse af folkesundheden, sikkerhed, miljøet, den offentlige moral, forbrugerbeskyttelse, beskyttelse af privatlivets fred og personoplysninger. Betingelserne bør stå i forhold til de risici, der er konstateret vedrørende sådanne datas følsomhed, herunder med hensyn til risikoen for genkendelse af enkeltpersoner. Sådanne betingelser kunne f.eks. omfatte betingelser for overførsler eller tekniske ordninger såsom krav om anvendelse af et sikkert databehandlingsmiljø, begrænsninger for videreanvendelsen af data i tredjelande eller for, hvilke kategorier af personer der har ret til at overføre sådanne oplysninger til tredjelande, eller hvilke kategorier der kan få adgang til oplysningerne i tredjelandet. I særlige tilfælde kunne sådanne betingelser også omfatte begrænsninger af overførsel af data til tredjelande med det formål at beskytte offentlighedens interesser.
(25)
Offentlige myndigheder bør kunne opkræve gebyrer for adgang til videreanvendelse af data, men de bør også kunne tillade videreanvendelse til et nedsat gebyr eller gratis, f.eks. for bestemte kategorier af videreanvendelse såsom ikkekommerciel videreanvendelse til videnskabelige forskningsformål eller videreanvendelse i SMV'er og nyetablerede virksomheder, civilsamfundet og uddannelsesinstitutioner, for at tilskynde til en sådan videreanvendelse og derved stimulere forskning og innovation og støtte virksomheder, der er en vigtig kilde til innovation, og som typisk har vanskeligere ved selv at indsamle relevante data, i overensstemmelse med statsstøttereglerne. I denne specifikke sammenhæng bør videnskabelige forskningsformål forstås som alle typer forskningsrelaterede formål, uanset den pågældende forskningsinstitutions organisatoriske eller finansielle struktur, med undtagelse af forskning, der udføres af en virksomhed, der har til formål at udvikle, forbedre eller optimere produkter eller tjenesteydelser. Sådanne gebyrer bør være gennemsigtige, ikkediskriminerende og begrænses til de påløbne nødvendige omkostninger og bør ikke hæmme konkurrencen. En liste over kategorier af videreanvendere, for hvilke der gælder et nedsat gebyr eller intet gebyr, samt de kriterier, der anvendes til at opstille denne liste, bør offentliggøres.
(26)
For at tilskynde til videreanvendelse af specifikke kategorier af data, som er i offentlige myndigheders besiddelse, bør medlemsstaterne oprette et centralt informationssted, der skal fungere som en kontaktflade for videreanvendere, der ønsker at videreanvende disse data. Informationsstedet bør have et tværsektorielt mandat og bør om nødvendigt supplere ordninger på sektorniveau. Det centrale informationssted bør automatisk kunne fremsende forespørgsler eller anmodninger om videreanvendelse. Der bør sikres tilstrækkelig menneskelig kontrol i fremsendelsesprocessen. Til dette formål kan eksisterende praktiske ordninger som f.eks. åbne dataportaler anvendes. Det centrale informationssted bør have en liste med en oversigt over alle tilgængelige dataressourcer til rådighed, herunder, hvis det er relevant, de dataressourcer, der er tilgængelige på sektorspecifikke, regionale eller lokale informationssteder, med relevante oplysninger, der beskriver de tilgængelige data. Desuden bør medlemsstaterne udpege, oprette eller lette oprettelsen af kompetente organer til støtte for offentlige myndigheder, der tillader videreanvendelse af bestemte kategorier af beskyttede data. Disse organers opgaver kan bl.a. bestå i at give adgang til data, når sektorspecifik EU-ret eller national ret pålægger dem denne opgave. De kompetente organer bør bistå offentlige myndigheder med de mest avancerede teknikker, herunder hvordan data bedst struktureres og lagres med henblik på at gøre data lettilgængelige, navnlig via applikationsprogrammeringsgrænseflader, samt at gøre data interoperable, overførbare og søgbare, under hensyntagen til bedste praksis for databehandling, samt alle eksisterende reguleringsmæssige og tekniske standarder, og sikre databehandlingsmiljøer, som muliggør dataanalyse på en måde, der beskytter privatlivets fred for så vidt angår oplysningerne.
De kompetente organer bør handle i overensstemmelse med de instrukser, der er modtaget fra den offentlige myndighed. En sådan bistandsstruktur kan bistå registrerede og dataindehavere med at håndtere samtykke eller tilladelse til videreanvendelse, herunder hvor der gives samtykke og tilladelse til brug af data inden for bestemte videnskabelige forskningsområder under forudsætning af, at anerkendte etiske standarder for videnskabelig forskning overholdes. De kompetente organer bør ikke have nogen tilsynsfunktion, da denne er forbeholdt tilsynsmyndigheder i henhold til forordning (EU) 2016/679. Uden at dette berører databeskyttelsesmyndighedernes tilsynsbeføjelser, bør databehandlingen udføres under ansvar af den offentlige myndighed, der er ansvarlig for registret med de pågældende data, og som forbliver dataansvarlig som defineret i forordning (EU) 2016/679 for så vidt angår personoplysninger. Medlemsstaterne bør kunne have et eller flere kompetente organer, der kan yde bistand inden for forskellige sektorer. Offentlige myndigheders interne tjenester kan også fungere som kompetente organer. Et kompetent organ kan være en offentlig myndighed, der bistår andre offentlige myndigheder i at tillade videreanvendelse af data, hvis det er relevant, eller en offentlig myndighed, der selv tillader videreanvendelse. Bistand til andre offentlige myndigheder bør indebære efter anmodning at informere dem om bedste praksis for, hvordan de opfylder kravene i nærværende forordning, såsom de tekniske midler til at gøre et sikkert databehandlingsmiljø tilgængeligt eller de tekniske midler til at sikre privatlivets fred og fortrolighed, hvor der gives adgang til videreanvendelse af data inden for nærværende forordnings anvendelsesområde.
(27)
Dataformidlingstjenester forventes at spille en central rolle i dataøkonomien, navnlig med hensyn til at støtte og fremme frivillig datadelingspraksis mellem virksomheder eller lette datadeling inden for rammerne af forpligtelser fastsat i EU-retten eller national ret. De kan blive et middel til at lette udveksling af betydelige mængder relevante data. Dataformidlingstjenesteudbydere, hvilket kan være offentlige myndigheder, der tilbyder tjenester, som forbinder de forskellige aktører, vil kunne bidrage til, at data samles på en effektiv måde, og at bilateral datadeling lettes. Specialiserede dataformidlingstjenester, der er uafhængige af registrerede, dataindehavere og databrugere, kan spille en formidlende rolle i fremvæksten af nye datadrevne økosystemer, der er uafhængige af aktører med en betydelig markedsstyrke, samtidig med at virksomheder i alle størrelser, navnlig SMV'er og nyetablerede virksomheder med begrænsede finansielle, retlige eller administrative midler, gives mulighed for at få ikkediskriminerende adgang til dataøkonomien. Dette bliver særlig vigtigt i forbindelse med oprettelsen af fælles europæiske dataområder, nemlig formåls- eller sektorspecifikke eller tværsektorielle interoperable rammer af fælles standarder og praksis med hensyn til deling eller fælles behandling af data til eksempelvis udvikling af nye produkter og tjenester, videnskabelig forskning eller civilsamfundsinitiativer. Dataformidlingstjenester kan omfatte bilateral eller multilateral datadeling eller oprettelse af platforme eller databaser, der muliggør deling eller fælles anvendelse af data, samt opbygning af særlig infrastruktur til sammenkobling af registrerede og dataindehavere med databrugere.
(28)
Denne forordning bør omfatte tjenester, der har til formål at etablere kommercielle forbindelser med henblik på dataudveksling mellem et ubestemt antal registrerede og dataindehavere på den ene side og databrugere på den anden side ved hjælp af tekniske, juridiske eller andre midler, herunder med henblik på udøvelse af registreredes rettigheder i forbindelse med personoplysninger. Hvor virksomheder eller andre enheder tilbyder flere datarelaterede tjenester, bør det kun være aktiviteter, der direkte vedrører udbud af dataformidlingstjenester, der er omfattet af denne forordning. Levering af cloudlagring, analyse, datadelingssoftware, webbrowsere, browserplug-ins eller e-mailtjenester bør ikke betragtes som dataformidlingstjenester som omhandlet i denne forordning, så længe sådanne tjenester kun giver registrerede eller dataindehavere tekniske værktøjer til at dele data med andre, men levering af sådanne værktøjer hverken anvendes til at etablere et kommercielt forhold mellem dataindehavere og databrugere eller giver dataformidlingstjenesteudbyderen mulighed for at indhente oplysninger om etablering af kommercielle forbindelser med henblik på datadeling. Eksempler på dataformidlingstjenester omfatter datamarkeder, hvor virksomheder kan stille data til rådighed for andre, initiativtagere til datadelingsøkosystemer, der er åbne for alle interesserede parter, f.eks. i forbindelse med fælles europæiske dataområder, samt datapuljer oprettet i fællesskab af flere juridiske eller fysiske personer med henblik på at give alle interesserede parter licens til at anvende sådanne datapuljer på en sådan måde, at alle deltagere, der bidrager til datapuljerne, modtager en belønning for deres bidrag.
Dette ville udelukke datatjenester, der indsamler data fra dataindehavere og aggregerer, beriger eller omdanner dataene med henblik på at tilføre dem en betydelig merværdi og udsteder licens til anvendelse af de deraf følgende data til databrugere, uden at de etablerer en kommerciel forbindelse mellem dataindehavere og databrugere. Det ville endvidere udelukke tjenester, der alene anvendes af én dataindehaver med det formål at muliggøre anvendelsen af de data, som den pågældende dataindehaver er i besiddelse af, eller som anvendes af flere juridiske personer i en lukket koncern, herunder leverandør- eller kundeforhold eller kontraktligt fastsatte samarbejdsforhold, navnlig dem, hvis hovedformål er at sikre funktionaliteten af genstande og enheder, der er forbundet med tingenes internet.
(29)
Tjenester, der fokuserer på formidling af ophavsretligt beskyttet indhold, såsom udbydere af onlinedelingstjenester som defineret i artikel 2, nr. 6), i direktiv (EU) 2019/790, bør ikke være omfattet af denne forordning. Udbydere af konsolideret løbende handelsinformation som defineret i artikel 2, stk. 1, nr. 35), i Europa-Parlamentets og Rådets forordning (EU) nr. 600/2014 
(
27
)
 og »kontooplysningstjenesteudbydere« som defineret i artikel 4, nr. 19), i Europa-Parlamentets og Rådets direktiv (EU) 2015/2366 
(
28
)
 bør ikke betragtes som dataformidlingstjenesteudbydere med henblik på nærværende forordning. Nærværende forordning bør ikke finde anvendelse på tjenester udbudt af den offentlige sektor med henblik på at lette videreanvendelse af beskyttede data, der opbevares af offentlige myndigheder i overensstemmelse med nærværende forordning, eller anvendelse af andre data, for så vidt som disse tjenester ikke har til formål at etablere kommercielle forbindelser. Dataaltruistiske organisationer, der er reguleret ved nærværende forordning, bør ikke anses for at tilbyde dataformidlingstjenester, så længe disse tjenester ikke etablerer et forretningsmæssigt forhold mellem potentielle databrugere på den ene side og registrerede og dataindehavere, der stiller data til rådighed med altruistiske motiver, på den anden side. Andre tjenester, der ikke har til formål at etablere kommercielle forbindelser, såsom datalagre, hvis formål er at muliggøre videreanvendelse af videnskabelige forskningsdata i overensstemmelse med principperne om fri adgang, bør ikke betragtes som dataformidlingstjenester som omhandlet i nærværende forordning.
(30)
En særlig kategori af dataformidlingstjenester omfatter udbydere af tjenester, der tilbyder deres tjenester til registrerede. Sådanne dataformidlingstjenesteudbydere søger at styrke registreredes handlingsevne og navnlig enkeltpersoners kontrol med data, der vedrører dem selv. Sådanne udbydere vil bistå enkeltpersoner med at udøve deres rettigheder i henhold til forordning (EU) 2016/679, navnlig vedrørende meddelelse og tilbagetrækning af deres samtykke til databehandling, retten til indsigt i deres egne data, retten til berigtigelse af ukorrekte personoplysninger, retten til sletning eller »retten til at blive glemt«, retten til begrænsning af behandlingen og retten til dataportabilitet, der gør det muligt for registrerede at flytte deres personoplysninger fra en dataansvarlig til en anden. I denne forbindelse er det vigtigt, at sådanne udbyderes forretningsmodel sikrer, at der ikke er uhensigtsmæssige incitamenter, der tilskynder enkeltpersoner til at gøre brug af sådanne tjenester til at stille flere data, der vedrører dem, til rådighed for behandling, end hvad der ville være i deres interesse. Dette kunne f.eks. omfatte rådgivning til enkeltpersoner om de mulige former for anvendelse af deres data og kontrol af databrugernes indsats for at udvise fornøden omhu, inden disse får mulighed for at kontakte de registrerede, med det formål at undgå misbrug. For at sikre maksimal beskyttelse af personoplysninger og privatlivets fred kan det i visse situationer være ønskeligt at samle konkrete data inden for et persondataområde, så behandlingen kan finde sted inden for dette område, uden at der videregives nogen personoplysninger til tredjeparter. Sådanne persondataområder kunne indeholde statiske personoplysninger såsom navn, adresse eller fødselsdato samt dynamiske data, som en enkeltperson genererer, f.eks. gennem brug af en onlinetjeneste eller en genstand, der er forbundet med tingenes internet. De kunne også anvendes til at lagre verificerede identitetsoplysninger, såsom pasnumre eller socialsikringsoplysninger, samt beviser, såsom kørekort, eksamensbeviser eller bankkontooplysninger.
(31)
Datakooperativer søger at nå en række mål, navnlig at bistå enkeltpersoner med at træffe informerede valg, inden de giver deres samtykke til dataanvendelse, at påvirke beslutninger om, hvilke vilkår og betingelser for databrugerorganisationer der knyttes til dataanvendelse, således at de enkelte medlemmer af gruppen får bedre valgmuligheder og kan bilægge eventuelle tvister mellem de enkelte medlemmer af en gruppe om, hvordan data må anvendes, hvor dataene vedrører flere registrerede inden for denne gruppe. I denne sammenhæng det vigtigt at erkende, at rettighederne i henhold til forordning (EU) 2016/679 er den registreredes personlige rettigheder, og at de registrerede ikke kan give afkald på sådanne rettigheder. Datakooperativer kan også være til nytte for enmandsvirksomheder og SMV'er, der med hensyn til viden om datadeling ofte kan sammenlignes med enkeltpersoner.
(32)
For at øge tilliden til sådanne dataformidlingstjenester, navnlig hvad angår anvendelsen af data og overholdelsen af de betingelser, der pålægges af de registrerede og dataindehaverne, er det nødvendigt at skabe en reguleringsramme på EU-plan, som fastsætter stærkt harmoniserede krav til pålideligheden af sådanne dataformidlingstjenester, og som gennemføres af de kompetente myndigheder. Denne ramme vil bidrage til at sikre, at registrerede og dataindehavere samt databrugere har bedre kontrol over adgangen til og anvendelsen af deres data i overensstemmelse med EU-retten. Kommissionen kunne også tilskynde til og lette udviklingen af adfærdskodekser på EU-plan med inddragelse af relevante interessenter, navnlig om interoperabilitet. Både i forbindelse med datadeling mellem virksomheder indbyrdes og mellem virksomheder og forbrugere bør dataformidlingstjenesteudbydere tilbyde en ny »europæisk« form for datastyring ved i dataøkonomien at adskille datalevering, -formidling og anvendelse af data. Dataformidlingstjenesteudbydere kunne også stille særlig teknisk infrastruktur til rådighed med henblik på at sammenkoble registrerede og dataindehavere med databrugere. I den forbindelse er det særlig vigtigt at udforme denne infrastruktur på en sådan måde, at SMV'er og nyetablerede virksomheder ikke støder på tekniske eller andre hindringer for deres deltagelse i dataøkonomien.
Dataformidlingstjenesteudbydere bør have lov til at tilbyde yderligere specifikke værktøjer og tjenester til dataindehavere eller registrerede med det specifikke formål at lette udvekslingen af data, såsom midlertidig lagring, kuratering, konvertering, anonymisering og pseudonymisering. Sådanne værktøjer og tjenester bør kun anvendes efter udtrykkelig anmodning eller godkendelse fra dataindehaveren eller den registrerede, og tredjepartsværktøjer, der tilbydes i den forbindelse, bør ikke anvende data til andre formål. Dataformidlingstjenesteudbydere bør dog have mulighed for at tilpasse de data, der udveksles, for at øge dataenes anvendelighed for databrugeren efter dennes ønske, eller øge interoperabiliteten, f.eks. gennem konvertering af dataene til bestemte formater.
(33)
Det er vigtigt at skabe et konkurrencedygtigt miljø for datadeling. En vigtig forudsætning for at styrke dataindehaveres, registreredes og databrugeres tillid og kontrol i forbindelse med brug af dataformidlingstjenester er, at dataformidlingstjenesteudbyderne forholder sig neutralt til de data, der udveksles mellem dataindehavere eller registrerede og databrugere. Det er derfor nødvendigt, at dataformidlingstjenesteudbydere kun fungerer som formidlere af transaktionerne og ikke anvender de udvekslede data til andre formål. De kommercielle betingelser, herunder prisfastsættelse, for udbud af dataformidlingstjenester bør ikke afhænge af, om en potentiel dataindehaver eller databruger anvender andre tjenester, herunder lagring, analyse, kunstig intelligens eller andre databaserede applikationer, der leveres af den samme dataformidlingstjenesteudbyder eller af en tilknyttet enhed, og i givet fald i hvilket omfang dataindehaveren eller databrugeren anvender sådanne andre tjenester. Dette vil også kræve strukturel adskillelse mellem dataformidlingstjenesten og eventuelle andre tjenester, der udbydes, så interessekonflikter undgås. Det betyder, at dataformidlingstjenesten bør leveres gennem en juridisk person, der er adskilt fra samme dataformidlingstjenesteudbyders andre aktiviteter. Dataformidlingstjenesteudbydere bør dog kunne anvende de data, der leveres af dataindehaveren, til at forbedre deres dataformidlingstjenester.
Dataformidlingstjenesteudbydere bør dog kun kunne stille deres egne værktøjer eller tredjepartsværktøjer til rådighed for dataindehavere, registrerede eller databrugere med henblik på at lette udvekslingen af data, f.eks. værktøjer til konvertering eller kuratering af data, efter udtrykkelig anmodning eller godkendelse fra den registrerede eller dataindehaveren. Tredjepartsværktøjer, der tilbydes i denne forbindelse, bør ikke anvende data til andre formål end dem, der vedrører dataformidlingstjenester. Dataformidlingstjenesteudbydere, der formidler udveksling af data mellem enkeltpersoner, der handler som registrerede, og juridiske personer, der handler som dataindehavere, bør desuden have en tillidsforpligtelse over for enkeltpersonerne, så det sikres, at de handler i de registreredes bedste interesse. Spørgsmål om ansvar for alle materielle og immaterielle skader og ulemper som følge af dataformidlingstjenesteudbyderens adfærd kan behandles i den relevante kontrakt på grundlag af de nationale erstatningsansvarsordninger.
(34)
Dataformidlingstjenesteudbydere bør træffe rimelige foranstaltninger til at sikre interoperabilitet inden for en sektor og mellem forskellige sektorer for at sikre et velfungerende indre marked. Rimelige foranstaltninger kan omfatte at følge de eksisterende, almindeligt anvendte standarder i den sektor, hvor dataformidlingstjenesteudbyderne opererer. Det Europæiske Datainnovationsråd bør efter behov fremme udarbejdelsen af yderligere standarder. Dataformidlingstjenesteudbydere bør rettidigt gennemføre de foranstaltninger med henblik på interoperabilitet mellem dataformidlingstjenesterne, som Det Europæiske Datainnovationsråd har vedtaget.
(35)
Denne forordning bør ikke berøre forpligtelsen for dataformidlingstjenesteudbydere til at overholde forordning (EU) 2016/679 og tilsynsmyndighedernes ansvar for at sikre overholdelse af nævnte forordning. Hvor dataformidlingstjenesteudbydere behandler personoplysninger, bør nærværende forordning ikke påvirke beskyttelsen af personoplysninger. Hvis dataformidlingstjenesteudbydere er dataansvarlige eller databehandlere som defineret i forordning (EU) 2016/679, er de bundet af reglerne i nævnte forordning.
(36)
Dataformidlingstjenesteudbydere forventes at have indført procedurer og foranstaltninger til at pålægge sanktioner for svigagtig praksis eller misbrug i forbindelse med parter, der søger adgang gennem deres dataformidlingstjenester, herunder gennem foranstaltninger såsom udelukkelse af databrugere, der overtræder tjenestebetingelserne eller overtræder eksisterende ret.
(37)
Dataformidlingstjenesteudbydere bør også træffe foranstaltninger til at sikre overholdelse af konkurrenceretten og have fastlagt procedurer med henblik herpå. Dette gælder især i situationer, hvor datadeling sætter virksomhederne i stand til at få kendskab til deres nuværende eller potentielle konkurrenters markedsstrategier. Konkurrencemæssigt følsomme oplysninger omfatter typisk oplysninger om kunder, fremtidige priser, produktionsomkostninger, mængder, omsætning, salg eller kapacitet.
(38)
Der bør indføres en anmeldelsesprocedure for dataformidlingstjenester for at sikre, at datastyring i Unionen er baseret på en pålidelig udveksling af data. Fordelene ved et pålideligt miljø opnås bedst ved at fastsætte en række krav til udbud af dataformidlingstjenester, men uden at der kræves nogen udtrykkelig afgørelse eller administrativ handling fra den kompetente myndighed for dataformidlingstjenesters side for udbud af sådanne tjenester. Anmeldelsesproceduren bør ikke skabe unødige hindringer for SMV'er, nystartede virksomheder og civilsamfundsorganisationer og bør overholde princippet om ikkeforskelsbehandling.
(39)
For at støtte et effektivt udbud af tjenester på tværs af grænserne bør dataformidlingstjenesteudbydere kun forpligtes til at sende en anmeldelse til den kompetente myndighed for dataformidlingstjenester i den medlemsstat, hvor udbyderen har sit hovedsæde, eller hvor dennes retlige repræsentant befinder sig. En sådan anmeldelse bør blot bestå i en erklæring om, at udbyderen har til hensigt at udbyde sådanne tjenester, og bør kun suppleres ved at stille de oplysninger, der er fastsat i denne forordning, til rådighed. Efter den relevante anmeldelse bør dataformidlingstjenesteudbyderen kunne operere i enhver medlemsstat uden yderligere anmeldelsespligter.
(40)
Den anmeldelsesprocedure, der fastsættes i denne forordning, bør ikke berøre specifikke yderligere regler for udbud af dataformidlingstjenester, der finder anvendelse gennem sektorspecifik ret.
(41)
En dataformidlingstjenesteudbyders hovedsæde i Unionen bør være stedet, hvor udbyderen har sin centrale administration i Unionen. En dataformidlingstjenesteudbyders hovedsæde i Unionen bør fastslås ud fra objektive kriterier og bør indebære en effektiv og faktisk udøvelse af ledelsesaktiviteter. Aktiviteter, der udføres af en dataformidlingstjenesteudbyder, bør også overholde national ret i den medlemsstat, hvor den pågældende har sit hovedsæde.
(42)
For at sikre, at dataformidlingstjenesteudbydere overholder denne forordning, bør de have deres hovedsæde i Unionen. Når en dataformidlingstjenesteudbyder, der ikke er etableret i Unionen, udbyder tjenester i Unionen, bør denne udpege en retlig repræsentant. Det er nødvendigt at udpege en retlig repræsentant i sådanne tilfælde, da dataformidlingstjenesteudbydere behandler personoplysninger og kommercielt fortrolige data, hvilket kræver nøje overvågning af, om dataformidlingstjenesteudbyderne overholder denne forordning. Med henblik på at afgøre, om en dataformidlingstjenesteudbyder udbyder tjenester i Unionen, bør det fastslås, om dataformidlingstjenesteudbyderen har til klar hensigt at tilbyde tjenester til personer i en eller flere medlemsstater. Alene det forhold, at der i Unionen er adgang til dataformidlingstjenesteudbyderens websted eller til en e-mailadresse og andre kontaktoplysninger, eller at der anvendes et sprog, som almindeligvis anvendes i det tredjeland, hvor dataformidlingstjenesteudbyderen er etableret, bør anses som værende utilstrækkeligt til at fastslå en sådan hensigt. Imidlertid kan faktorer såsom anvendelse af et sprog eller en valuta, der almindeligvis anvendes i en eller flere medlemsstater, med mulighed for at bestille tjenester på det pågældende sprog, eller omtale af brugere i Unionen gøre det åbenbart, at dataformidlingstjenesteudbyderen har til hensigt at tilbyde tjenester i Unionen.
En udpeget retlig repræsentant bør handle på vegne af dataformidlingstjenesteudbyderen, og de kompetente myndigheder for dataformidlingstjenester bør kunne henvende sig til den retlige repræsentant i tillæg til eller i stedet for en dataformidlingstjenesteudbyder, herunder i tilfælde af en overtrædelse, med henblik på at indlede en håndhævelsesprocedure mod en dataformidlingstjenesteudbyder, der ikke overholder bestemmelserne, og som ikke er etableret i Unionen. Den retlige repræsentant bør udpeges ved et skriftligt mandat fra dataformidlingstjenesteudbyderen til at handle på dennes vegne for så vidt angår dennes forpligtelser i medfør af denne forordning.
(43)
For at hjælpe registrerede og dataindehavere med let at identificere — og derved øge deres tillid til — dataformidlingstjenesteudbydere, der er anerkendt i Unionen, bør der, i tillæg til betegnelsen »dataformidlingstjenesteudbydere, der er anerkendt i Unionen«, fastlægges et fælles logo, som er genkendeligt i hele Unionen.
(44)
De kompetente myndigheder for dataformidlingstjenester, der udpeges til at overvåge, at dataformidlingstjenesteudbydere opfylder kravene i denne forordning, bør vælges på grundlag af deres kapacitet og ekspertise inden for horisontal eller sektorspecifik datadeling. De bør være uafhængige af enhver dataformidlingstjenesteudbyder og varetage deres opgaver på en gennemsigtig og upartisk måde. Medlemsstaterne bør underrette Kommissionen om identiteten af disse kompetente myndigheder for dataformidlingstjenester. De kompetente myndigheder for dataformidlingstjenesters beføjelser og kompetencer bør ikke berøre databeskyttelsesmyndighedernes beføjelser. Navnlig med hensyn til eventuelle spørgsmål, der kræver en vurdering af, om forordning (EU) 2016/679 overholdes, bør den kompetente myndighed for dataformidlingstjenester, hvis det er relevant, indhente en udtalelse eller afgørelse fra den kompetente tilsynsmyndighed, der er etableret i henhold til nævnte forordning.
(45)
Der er et stort potentiale med henblik på almennyttige formål i anvendelsen af data, som registrerede frivilligt stiller til rådighed på grundlag af deres informerede samtykke eller, når det drejer sig om andre data end personoplysninger, som dataindehavere stiller til rådighed. Sådanne formål omfatter bl.a. sundhedspleje, bekæmpelse af klimaændringer, forbedring af mobiliteten, lettelse af udviklingen, udarbejdelsen og formidlingen af officielle statistikker, forbedring af udbuddet af offentlige tjenesteydelser eller offentlig beslutningstagning. Støtte til videnskabelig forskning bør også betragtes som et almennyttigt formål. Denne forordning bør have til formål at bidrage til, at der skabes samlinger af data, der stilles til rådighed på grundlag af dataaltruisme, som har en tilstrækkelig størrelse til at muliggøre dataanalyse og maskinlæring, herunder på tværs af grænserne i Unionen. For at nå dette mål bør medlemsstaterne etablere organisatoriske eller tekniske ordninger, eller begge, som befordrer dataaltruisme. Sådanne ordninger kan omfatte adgang til letanvendelige værktøjer for registrerede eller registrerede til at give samtykke eller tilladelse til altruistisk brug af deres data, tilrettelæggelse af oplysningskampagner eller en struktureret udveksling mellem kompetente myndigheder af, hvordan offentlige politikker, f.eks. forbedring af trafikken, folkesundheden, bekæmpelse af klimaændringer, drager fordel af dataaltruisme. Til støtte herfor bør medlemsstaterne også kunne fastlægge nationale politikker for dataaltruisme. Registrerede bør kun kunne modtage kompensation i forbindelse med de omkostninger, de pådrager sig ved at stille deres oplysninger til rådighed med henblik på almennyttige formål.
(46)
Det forventes, at registreringen af anerkendte dataaltruistiske organisationer og brugen af betegnelsen »dataaltruistiske organisationer, der er anerkendt i Unionen« fører til, at der etableres datalagre. Registrering i en medlemsstat vil være gyldig i hele Unionen og forventes at lette anvendelsen af data på tværs af grænserne i Unionen og fremvæksten af datasamlinger, der dækker flere medlemsstater. Dataindehavere kan give tilladelse til behandling af andre data end personoplysninger, som de er i besiddelse af, til en række formål, der ikke ligger fast på det tidspunkt, hvor tilladelsen gives. Anerkendte dataaltruistiske organisationers overholdelse af et sæt krav som fastsat i denne forordning bør skabe tillid til, at de data, der stilles til rådighed til altruistiske formål, tjener et almennyttigt formål. Tilliden bør navnlig være en følge af, at de anerkendte dataaltruistiske organisationer er etableret i eller har en retlig repræsentant i Unionen, samt af kravet om, at de er nonprofitorganisationer, af krav om gennemsigtighed og af specifikke foranstaltninger til beskyttelse af registreredes og virksomheders rettigheder og interesser.
Desuden bør der indføres yderligere beskyttelsesforanstaltninger såsom mulighed for at behandle relevante data i et sikkert databehandlingsmiljø, der drives af de anerkendte dataaltruistiske organisationer, tilsynsmekanismer såsom etiske råd eller råd, herunder repræsentanter for civilsamfundet, der skal sikre, at dataansvarlige opretholder høje standarder for videnskabelig etik og beskyttelse af grundlæggende rettigheder, effektive og tydeligt meddelte tekniske midler til at trække et samtykke tilbage eller ændre det på et hvilket som helst tidspunkt på grundlag af databehandleres oplysningsforpligtelser i henhold til forordning (EU) 2016/679 samt midler, der sætter de registrerede i stand til at holde sig ajour om anvendelsen af de data, de har stillet til rådighed. Registrering som en anerkendt dataaltruistisk organisation bør ikke være en forudsætning for at kunne udøve dataaltruistisk virksomhed. Kommissionen bør ved hjælp af delegerede retsakter udarbejde et regelsæt, der skal udarbejdes i tæt samarbejde med dataaltruistiske organisationer og relevante interessenter. Overholdelse af dette regelsæt bør være et krav for registrering som anerkendt dataaltruistisk organisation.
(47)
For at hjælpe registrerede og dataindehavere med let at identificere — og derved øge deres tillid til — anerkendte dataaltruistiske organisationer bør der fastlægges et fælles logo, der er genkendeligt i hele Unionen. Det fælles logo bør ledsages af en QR-kode med et link til det offentlige EU-register over anerkendte dataaltruistiske organisationer.
(48)
Denne forordning bør ikke berøre oprettelse, organisation og drift af enheder, der engagerer sig i dataaltruisme i henhold til national ret og bygger på krav i national ret til lovligt virke som nonprofitorganisation i en medlemsstat.
(49)
Denne forordning bør ikke berøre oprettelsen af, organiseringen af og funktionsmåden for andre enheder end offentlige myndigheder, som deltager i delingen af data og indhold på grundlag af åbne licenser og derved bidrager til oprettelsen af fælles ressourcer, der er tilgængelige for alle. Dette bør omfatte åbne platforme for kollaborativ vidensdeling, fri adgang til videnskabelige og akademiske databaser, platforme for udvikling af open source software og fri adgang til platforme for dataaggregering.
(50)
Anerkendte dataaltruistiske organisationer bør kunne indsamle relevante data direkte fra fysiske og juridiske personer eller behandle data, der er indsamlet af andre. Behandling af indsamlede data kan foretages af dataaltruistiske organisationer til formål, som de selv fastsætter, eller de kan, hvis det er relevant, tillade tredjeparters behandling til disse formål. Hvis anerkendte dataaltruistiske organisationer er dataansvarlige eller databehandlere som defineret i forordning (EU) 2016/679, bør de overholde nævnte forordning. Dataaltruisme vil typisk være baseret på de registreredes samtykke som omhandlet i artikel 6, stk. 1, litra a), og artikel 9, stk. 2, litra a), i forordning (EU) 2016/679, som bør være i overensstemmelse med kravene om lovligt samtykke i samme forordnings artikel 7 og 8. I overensstemmelse med forordning (EU) 2016/679 kan videnskabelige forskningsformål understøttes af samtykke til bestemte videnskabelige forskningsområder, hvor dette er i overensstemmelse med anerkendte etiske standarder for videnskabelig forskning, eller udelukkende til nærmere afgrænsede forskningsområder eller dele af forskningsprojekter. I artikel 5, stk. 1, litra b), i forordning (EU) 2016/679 præciseres det, at viderebehandling til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med nævnte forordnings artikel 89, stk. 1, ikke anses for at være uforenelig med de oprindelige formål. For andre data end personoplysninger bør begrænsninger for så vidt angår anvendelse fremgå af den tilladelse, som dataindehaveren har givet.
(51)
De kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, og som udpeges til at overvåge, at anerkendte dataaltruistiske organisationer opfylder kravene i denne forordning, bør vælges på grundlag af deres kapacitet og ekspertise. De bør være uafhængige af enhver dataaltruistisk organisation og varetage deres opgaver på en gennemsigtig og upartisk måde. Medlemsstaterne bør underrette Kommissionen om identiteten af disse kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer. Beføjelserne og kompetencerne for de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, bør ikke berøre databeskyttelsesmyndighedernes beføjelser. Navnlig med hensyn til eventuelle spørgsmål, der kræver en vurdering af, om forordning (EU) 2016/679 overholdes, bør den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, hvis det er relevant, indhente en udtalelse eller afgørelse fra den kompetente tilsynsmyndighed, der er etableret i henhold til nævnte forordning.
(52)
For at øge tilliden og skabe yderligere retssikkerhed og brugervenlighed i forbindelse med proceduren for meddelelse og tilbagetrækning af samtykke, navnlig i forbindelse med videnskabelig forskning og statistisk anvendelse af data, der stilles til rådighed på et altruistisk grundlag, bør der udvikles en europæisk samtykkeformular for dataaltruisme til brug i forbindelse med altruistisk datadeling. En sådan formular bør bidrage til at tydeliggøre for de registrerede, at deres oplysninger vil blive tilgået og anvendt i overensstemmelse med deres samtykke og også i fuld overensstemmelse med databeskyttelsesreglerne. Den bør også lette afgivelse og tilbagetrækning af samtykke og anvendes til at strømline dataaltruisme udført af virksomheder og skabe en mekanisme, der gør det muligt for virksomheder at trække deres tilladelse til at anvende dataene tilbage. For at tage hensyn til særlige forhold i de enkelte sektorer, herunder ud fra et databeskyttelsesperspektiv, bør den europæiske samtykkeformular for dataaltruisme følge en modulær tilgang, der gør det muligt at tilpasse den til specifikke sektorer og forskellige formål.
(53)
For at sikre en vellykket gennemførelse af rammen for datastyring bør der oprettes et europæisk datainnovationsråd i form af en ekspertgruppe. Det Europæiske Datainnovationsråd bør bestå af repræsentanter for de kompetente myndigheder for dataformidlingstjenester og de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, i alle medlemsstater, Det Europæiske Databeskyttelsesråd, Den Europæiske Tilsynsførende for Databeskyttelse, Den Europæiske Unions Agentur for Cybersikkerhed (ENISA), Kommissionen, EU's SMV-repræsentant eller en repræsentant, der er udpeget af et SMV-repræsentantnetværk, og andre repræsentanter for relevante organer i specifikke sektorer samt organer med særlig ekspertise. Det Europæiske Datainnovationsråd bør bestå af en række undergrupper, herunder en undergruppe til inddragelse af interessenter bestående af relevante repræsentanter for industrien, f.eks. sundhed, miljø, landbrug, transport, energi, industriproduktion, medier, kulturelle og kreative sektorer og statistik, samt for forskning, den akademiske verden, civilsamfundet, standardiseringsorganisationer, relevante fælles europæiske dataområder og andre relevante interessenter og tredjeparter, bl.a. organer med særlig ekspertise såsom nationale statistiske kontorer.
(54)
Det Europæiske Datainnovationsråd bør bistå Kommissionen med at koordinere nationale praksisser og politikker vedrørende de emner, der er omfattet af denne forordning, og med at støtte tværsektoriel dataanvendelse ved hjælp af principperne i den europæiske interoperabilitetsramme og gennem brug af europæiske og internationale standarder og specifikationer, herunder ved at anvende Den Europæiske Multistakeholderplatform for IKT-standardisering, de centrale glossarer og CEF-byggestenene, og bør tage hensyn til standardiseringsarbejdet inden for specifikke sektorer eller områder. Arbejdet med teknisk standardisering kan omfatte opstilling af prioriteter for udvikling af standarder og fastlæggelse og vedligeholdelse af et sæt tekniske og juridiske standarder for videregivelse af data mellem to databehandlingsmiljøer, som gør det muligt at organisere dataområder, navnlig med hensyn til at præcisere og skelne mellem, hvilke standarder og praksisser der er tværsektorielle, og hvilke der er sektorspecifikke. Det Europæiske Datainnovationsråd bør samarbejde med sektorspecifikke organer, netværk eller ekspertgrupper eller andre tværsektorielle organisationer, der beskæftiger sig med videreanvendelse af data. Hvad angår dataaltruisme bør Det Europæiske Datainnovationsråd bistå Kommissionen med at udarbejde samtykkeformularen for dataaltruisme efter høring af Det Europæiske Databeskyttelsesråd. Ved at foreslå retningslinjer for fælles europæiske dataområder bør Det Europæiske Datainnovationsråd støtte udviklingen af en velfungerende europæisk dataøkonomi baseret på disse dataområder som fastsat i den europæiske datastrategi.
(55)
Medlemsstaterne bør fastsætte bestemmelser om sanktioner for overtrædelser af denne forordning og bør træffe alle nødvendige foranstaltninger for at sikre, at de gennemføres. Sanktionerne bør være effektive, stå i et rimeligt forhold til overtrædelserne og have afskrækkende virkning. Store forskelle mellem bestemmelserne om sanktioner kan føre til konkurrenceforvridning på det digitale indre marked. Harmoniseringen af sådanne bestemmelser kan være til gavn i denne henseende.
(56)
For at sørge for en effektiv håndhævelse af denne forordning og sikre, at dataformidlingstjenesteudbydere og enheder, der ønsker at blive registreret som anerkendte dataaltruistiske organisationer, kan få adgang til og gennemføre procedurerne for anmeldelse og registrering fuldt ud online og på tværs af grænserne, bør sådanne procedurer tilbydes via den fælles digitale portal, der er oprettet i henhold til Europa-Parlamentets og Rådets forordning (EU) 2018/1724 
(
29
)
. Disse procedurer bør føjes til listen over procedurer i bilag II til forordning (EU) 2018/1724.
(57)
Forordning (EU) 2018/1724 bør derfor ændres i overensstemmelse hermed.
(58)
For at sikre effektiviteten af denne forordning bør beføjelsen til at vedtage retsakter delegeres til Kommissionen i overensstemmelse med artikel 290 i traktaten om TEUF med henblik på at supplere denne forordning ved at fastsætte særlige betingelser for overførsel til tredjelande af bestemte kategorier af andre data end personoplysninger, der anses for at være meget følsomme i specifikke lovgivningsmæssige EU-retsakter, og ved at fastsætte et regelsæt for anerkendte dataaltruistiske organisationer, som disse organisationer skal overholde, og som indeholder oplysninger, tekniske og sikkerhedsmæssige krav samt kommunikationskøreplaner og interoperabilitetsstandarder. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau, og at disse høringer gennemføres i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning 
(
30
)
. For at sikre lige deltagelse i forberedelsen af delegerede retsakter modtager Europa-Parlamentet og Rådet navnlig alle dokumenter på samme tid som medlemsstaternes eksperter, og deres eksperter har systematisk adgang til møder i Kommissionens ekspertgrupper, der beskæftiger sig med forberedelse af delegerede retsakter.
(59)
For at sikre ensartede betingelser for gennemførelsen af denne forordning bør Kommissionen tillægges gennemførelsesbeføjelser til at hjælpe offentlige myndigheder og videreanvendere med at overholde de i denne forordning fastsatte betingelser for videreanvendelse ved at fastlægge standardkontraktbestemmelser for videreanvenderes overførsel af andre data end personoplysninger til et tredjeland, til at attestere, at et tredjelands retlige, tilsynsmæssige og håndhævelsesmæssige rammer svarer til den beskyttelse, der sikres i henhold til EU-retten, til at udarbejde designet for det fælles logo for dataformidlingstjenesteudbydere og for det fælles logo for anerkendte dataaltruistiske organisationer, og til at oprette og udarbejde en europæisk samtykkeformular for dataaltruisme. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 
(
31
)
.
(60)
Denne forordning bør ikke berøre anvendelsen af konkurrencereglerne, særlig artikel 101 og 102 i TEUF. Foranstaltningerne i denne forordning bør ikke anvendes til at begrænse konkurrencen på en måde, der er i strid med TEUF. Dette gælder navnlig reglerne for udveksling af konkurrencemæssigt følsomme oplysninger mellem faktiske eller potentielle konkurrenter gennem dataformidlingstjenester.
(61)
Den Europæiske Tilsynsførende for Databeskyttelse og Det Europæiske Databeskyttelsesråd er blevet hørt i overensstemmelse med artikel 42, stk. 1, i forordning (EU) 2018/1725 og afgav deres udtalelse den 10. marts 2021.
(62)
Denne forordning har som styrende principper respekten for de grundlæggende rettigheder og de principper, som navnlig er anerkendt i Den Europæiske Unions charter om grundlæggende rettigheder, herunder retten til privatlivets fred, beskyttelsen af personoplysninger, friheden til at oprette og drive egen virksomhed, ejendomsretten og integration af mennesker med handicap. I forbindelse med sidstnævnte bør public serviceorganer og tjenesteydelser i henhold til denne forordning, hvor det er relevant, overholde Europa-Parlamentets og Rådets direktiv (EU) 2016/2102 
(
32
)
 og (EU) 2019/882 
(
33
)
. Endvidere bør tages hensyn til design for alle i forbindelse med informations- og kommunikationsteknologi, som er en bevidst og systematisk indsats for proaktivt at anvende principper, metoder og værktøjer til fremme af universelt design i computerrelaterede teknologier, herunder internetbaserede teknologier, således at behovet for efterfølgende tilpasninger eller specialiseret design undgås.
(63)
Målene for denne forordning, nemlig videreanvendelse inden for Unionen af bestemte kategorier af data, som offentlige myndigheder er i besiddelse af, samt oprettelse af en anmeldelses- og tilsynsramme for udbud af dataformidlingstjenester, en ramme for frivillig registrering af enheder, der stiller data til rådighed til altruistiske formål, og en ramme for oprettelsen af et europæisk datainnovationsråd, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af deres omfang og virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå disse mål —
VEDTAGET DENNE FORORDNING:
KAPITEL I
Almindelige bestemmelser
Artikel 1
Genstand og anvendelsesområde
1.   Ved denne forordning fastsættes:
a)
betingelser for videreanvendelse inden for Unionen af bestemte kategorier af data, som offentlige myndigheder er i besiddelse af
b)
en anmeldelses- og tilsynsramme for udbud af dataformidlingstjenester
c)
en ramme for frivillig registrering af enheder, der indsamler og behandler data, som stilles til rådighed til altruistiske formål, og
d)
en ramme for oprettelsen af et europæisk datainnovationsråd.
2.   Denne forordning forpligter ikke offentlige myndigheder til at tillade videreanvendelse af data og fritager heller ikke offentlige myndigheder for deres fortrolighedsforpligtelser i henhold til EU-retten eller national ret.
Denne forordning berører ikke:
a)
specifikke bestemmelser i EU-retsakter eller national ret om adgang til eller videreanvendelse af bestemte kategorier af data, navnlig vedrørende aktindsigt i og offentliggørelse af officielle dokumenter, og
b)
offentlige myndigheders forpligtelser i henhold til EU-retten eller national ret til at tillade videreanvendelse af data eller krav i forbindelse med behandling af andre data end personoplysninger.
Hvis sektorspecifik EU-ret eller national ret kræver, at offentlige myndigheder, dataformidlingstjenesteudbydere eller anerkendte dataaltruistiske organisationer skal opfylde særlige supplerende tekniske, administrative eller organisatoriske krav, herunder gennem en tilladelses- eller certificeringsordning, finder disse bestemmelser i den sektorspecifikke EU-ret eller nationale ret også anvendelse. Ethvert sådant specifikt yderligere krav skal være ikkediskriminerende, stå i et rimeligt forhold til formålet og være objektivt begrundet.
3.   EU-retten og national ret om beskyttelse af personoplysninger finder anvendelse på alle personoplysninger, der behandles i forbindelse med nærværende forordning. Nærværende forordning berører navnlig ikke forordning (EU) 2016/679 og (EU) 2018/1725 og direktiv 2002/58/EF og (EU) 2016/680, herunder vedrørende tilsynsmyndighedernes beføjelser og kompetencer. I tilfælde af uoverensstemmelse mellem nærværende forordning og EU-retten om beskyttelse af personoplysninger eller national ret vedtaget i overensstemmelse med EU-retten har den relevante del af EU-retten eller national ret forrang. Nærværende forordning skaber ikke et retsgrundlag for behandlingen af personoplysninger og berører ikke nogen af de forpligtelser og rettigheder, der er fastsat i forordning (EU) 2016/679 eller (EU) 2018/1725 eller direktiv 2002/58/EF eller (EU) 2016/680.
4.   Denne forordning berører ikke anvendelsen af konkurrenceretten.
5.   Denne forordning berører ikke medlemsstaternes kompetencer med hensyn til deres aktiviteter vedrørende offentlig sikkerhed, forsvar og national sikkerhed.
Artikel 2
Definitioner
I denne forordning forstås ved:
1)
»data«: enhver digital repræsentation af handlinger, kendsgerninger eller oplysninger og enhver samling af sådanne handlinger, kendsgerninger eller oplysninger, herunder i form af lyd- eller videooptagelser eller audiovisuelle optagelser
2)
»videreanvendelse«: fysiske eller juridiske personers brug af data, som offentlige myndigheder er i besiddelse af, til andre kommercielle eller ikkekommercielle formål end det oprindelige formål i forbindelse med den offentlige opgave, som dataene blev frembragt til, bortset fra udveksling af data mellem offentlige myndigheder alene som led i varetagelse af deres offentlige opgaver
3)
»personoplysninger«: personoplysninger som defineret i artikel 4, nr. 1), i forordning (EU) 2016/679
4)
»andre data end personoplysninger«: data, der ikke er personoplysninger
5)
»samtykke«: samtykke som defineret i artikel 4, nr. 11), i forordning (EU) 2016/679
6)
»tilladelse«: at give databrugere ret til behandling af andre data end personoplysninger
7)
»den registrerede«: den registrerede som omhandlet i artikel 4, nr. 1), i forordning (EU) 2016/679
8)
»dataindehaver«: en juridisk person, herunder offentlige myndigheder og internationale organisationer, eller en fysisk person, som ikke er en registreret med hensyn til de pågældende specifikke data, og som i overensstemmelse med gældende EU-ret eller national ret har ret til at give indsigt i eller videregive bestemte personoplysninger eller andre data end personoplysninger
9)
»databruger«: en fysisk eller juridisk person, der har lovlig adgang til bestemte personoplysninger eller andre data end personoplysninger, og som, herunder i henhold til forordning (EU) 2016/679 i tilfælde af personoplysninger, har ret til at anvende disse oplysninger eller data til kommercielle eller ikkekommercielle formål
10)
»datadeling«: en registrerets eller en dataindehavers tilrådighedsstillelse af data for en databruger med henblik på fælles eller enkeltvis brug af sådanne data på grundlag af frivillige aftaler eller EU-ret eller national ret, enten direkte eller gennem en formidler, for eksempel under åbne eller kommercielle licenser, der udstedes mod et gebyr eller gratis
11)
»dataformidlingstjeneste«: tjeneste, der har til formål at etablere kommercielle forbindelser med henblik på dataudveksling mellem et ubestemt antal registrerede og dataindehavere på den ene side og databrugere på den anden side ved hjælp af tekniske, juridiske eller andre midler, herunder med henblik på udøvelse af registreredes rettigheder i forbindelse med personoplysninger, dog med undtagelse af mindst følgende:
a)
tjenester, der indsamler data fra dataindehavere og aggregerer, beriger eller omdanner dataene med henblik på at tilføre dem en betydelig merværdi og udsteder licens til anvendelse af de deraf følgende data til databrugere uden dermed at etablere en kommerciel forbindelse mellem dataindehavere og databrugere
b)
tjenester, der fokuserer på formidling af ophavsretligt beskyttet indhold
c)
tjenester, der udelukkende anvendes af én dataindehaver med det formål at muliggøre anvendelsen af de data, som den pågældende dataindehaver er i besiddelse af, eller som anvendes af flere juridiske personer i en lukket koncern, herunder leverandør- eller kundeforhold eller kontraktligt fastsatte samarbejdsforhold, navnlig dem, der som et hovedformål har at sikre funktionaliteten af genstande og enheder, der er forbundet med tingenes internet
d)
datadelingsformidlingstjenester, der tilbydes af offentlige myndigheder uden at sigte mod at etablere kommercielle forhold med henblik på dataudveksling
12)
»behandling«: behandling som defineret i artikel 4, nr. 2), i forordning (EU) 2016/679 hvad angår personoplysninger eller artikel 3, nr. 2), i forordning (EU) 2018/1807 hvad angår andre data end personoplysninger
13)
»adgang«: anvendelse af data i overensstemmelse med bestemte tekniske, juridiske eller organisatoriske krav, uden at dette nødvendigvis indebærer overførsel eller download af data
14)
»hovedsæde« for en juridisk person: stedet, hvor den juridiske person har sin centrale administration i Unionen
15)
»tjenester fra datakooperativer«: dataformidlingstjenester, der stilles til rådighed af en organisatorisk struktur, som består af registrerede, enkeltpersonvirksomheder eller SMV'er, der er medlemmer af denne struktur, og som har som sine hovedformål at støtte sine medlemmer i udøvelsen af deres rettigheder med hensyn til visse data, herunder med hensyn til at træffe informerede valg, inden de giver samtykke til databehandling, til at udveksle synspunkter om, hvilke formål med og betingelser for databehandling der bedst kan repræsentere medlemmernes interesser med hensyn til deres data, og at forhandle vilkår og betingelser for databehandling på vegne af sine medlemmer, inden de giver tilladelse til behandling af andre data end personoplysninger, eller inden de giver samtykke til behandling af personoplysninger
16)
»dataaltruisme«: frivillig deling af data på grundlag af registreredes samtykke til behandling af personoplysninger, der vedrører dem, eller dataindehaveres tilladelse til, at andre data end personoplysninger, som de er i besiddelse af, anvendes, uden at de søger eller modtager en modydelse, som går ud over kompensation i forbindelse med de omkostninger, de pådrager sig ved at stille deres data til rådighed med henblik på almennyttige formål som fastsat i national ret, hvor det er relevant, f.eks. sundhedspleje, bekæmpelse af klimaændringer, forbedring af mobiliteten, lettelse af udviklingen, udarbejdelsen og formidlingen af officielle statistikker, forbedring af udbuddet af offentlige tjenester, offentlig beslutningstagning eller almennyttige videnskabelige formål
17)
»offentlig myndighed«: staten, regionale eller lokale myndigheder, offentligretlige organer, sammenslutninger af en eller flere af sådanne myndigheder eller et eller flere af sådanne offentligretlige organer
18)
»offentligretlige organer«: organer med alle følgende karakteristika:
a)
de er oprettet specielt med henblik på at opfylde almennyttige formål og har ikke industriel eller kommerciel karakter
b)
de har status som juridisk person
c)
de finansieres for størstedelens vedkommende af staten, regionale eller lokale myndigheder eller af andre offentligretlige organer, er underlagt ledelsesmæssig kontrol af disse myndigheder eller organer, eller de har et administrations-, ledelses- eller tilsynsorgan, hvor mere end halvdelen af medlemmerne udpeges af staten, regionale eller lokale myndigheder eller andre offentligretlige organer
19)
»offentlig virksomhed«: enhver virksomhed, som de offentlige myndigheder direkte eller indirekte kan have bestemmende indflydelse på som følge af ejerforhold, kapitalindskud eller de regler, der gælder for virksomheden; der antages at foreligge bestemmende indflydelse fra de offentlige myndigheders side i alle de følgende tilfælde, hvor de pågældende myndigheder direkte eller indirekte:
a)
besidder majoriteten af virksomhedens tegnede kapital
b)
råder over flertallet af de stemmer, som er knyttet til de kapitalandele, som virksomheden har udstedt
c)
kan udpege mere end halvdelen af medlemmerne i virksomhedens administrations-, ledelses- eller tilsynsorgan »sikkert databehandlingsmiljø«:
20)
»sikkert databehandlingsmiljø«: et fysisk eller virtuelt miljø og organisatoriske midler til at sikre overensstemmelsen med EU-retten, såsom forordning (EU) 2016/679, navnlig med hensyn til registreredes rettigheder, intellektuelle ejendomsrettigheder og kommerciel og statistisk fortrolighed, integritet og tilgængelighed, samt med national ret, således at den enhed, der tilvejebringer det sikre databehandlingsmiljø, kan fastslå og overvåge alle databehandlingsaktiviteter, herunder visning, lagring, download og eksport af data samt beregning af afledte data ved hjælp af algoritmer
21)
»retlig repræsentant«: en fysisk eller juridisk person, der er etableret i Unionen, og som udtrykkeligt er udpeget til at handle på vegne af en dataformidlingstjenesteudbyder, der ikke er etableret i Unionen, eller på vegne af en enhed, der ikke er etableret i Unionen, og som med henblik på almennyttige formål indsamler data, der stilles til rådighed af fysiske eller juridiske personer på grundlag af dataaltruisme; de kompetente myndigheder for dataformidlingstjenester og de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, kan henvende sig til repræsentanten i tillæg til eller i stedet for til dataformidlingstjenesteudbyderen eller enheden for så vidt angår forpligtelserne i henhold til denne forordning, herunder for så vidt angår indledning af håndhævelsesforanstaltninger over for en dataformidlingstjenesteudbyder eller en enhed, der ikke overholder bestemmelserne, og som ikke er etableret i Unionen.
KAPITEL II
Videreanvendelse af bestemte kategorier af beskyttede data i offentlige myndigheders besiddelse
Artikel 3
Kategorier af oplysninger
1.   Dette kapitel finder anvendelse på data, som offentlige myndigheder er i besiddelse af, og som er beskyttet af hensyn til:
a)
kommerciel fortrolighed, herunder forretnings-, erhvervs- og virksomhedshemmeligheder
b)
statistisk fortrolighed
c)
beskyttelse af tredjeparters intellektuelle ejendomsret eller
d)
beskyttelse af personoplysninger, for så vidt som sådanne data falder uden for anvendelsesområdet for direktiv (EU) 2019/1024.
2.   Dette kapitel finder ikke anvendelse på:
a)
data, som offentlige virksomheder er i besiddelse af
b)
data, som public service-radio- og TV-virksomheder, deres datterselskaber og andre organer eller deres underorganer er i besiddelse af i forbindelse med opfyldelse af public service-radio- og TV-spredningsopgaver
c)
data, som kulturinstitutioner og uddannelsesinstitutioner er i besiddelse af
d)
data, der er i offentlige myndigheders besiddelse og er beskyttet af hensyn til den offentlige sikkerhed, forsvaret eller den nationale sikkerhed, eller
e)
data, hvis tilvejebringelse ikke er omfattet af de pågældende offentlige myndigheders offentlige opgaver som fastsat ved lov eller andre retsforskrifter i den berørte medlemsstat eller i mangel heraf som fastlagt i overensstemmelse med almindelig administrativ praksis i denne medlemsstat, forudsat at de offentlige opgavers rækkevidde er gennemsigtig og underlagt kontrol.
3.   Dette kapitel berører ikke:
a)
EU-retten og national ret og internationale aftaler, som Unionen eller medlemsstaterne er part i, om beskyttelse af de kategorier af data, der er omhandlet i stk. 1, og
b)
EU-retten og national ret om aktindsigt.
Artikel 4
Forbud mod eneretsaftaler
1.   Aftaler eller anden praksis vedrørende videreanvendelse af data, som offentlige myndigheder er i besiddelse af, og som omfatter de kategorier af data, der er omhandlet i artikel 3, stk. 1, må ikke tildele enerettigheder eller have til formål eller til følge at tildele sådanne enerettigheder eller begrænse tilgængeligheden af data til videreanvendelse for andre enheder end parterne i sådanne aftaler eller anden praksis.
2.   Uanset stk. 1 kan der tildeles eneret til at videreanvende de data, der er omhandlet i nævnte stykke, i det omfang det er nødvendigt for udbuddet af en tjenesteydelse eller leveringen af et produkt, der opfylder et almennyttigt formål, som ellers ikke ville kunne finde sted.
3.   En eneret som omhandlet i stk. 2 tildeles gennem en administrativ handling eller en kontraktlig ordning i overensstemmelse med gældende EU-ret eller national ret og i overensstemmelse med principperne om gennemsigtighed, ligebehandling og ikkediskriminering.
4.   Varigheden af en eneret til videreanvendelse af data må ikke overstige 12 måneder. Når der indgås kontrakt, skal varigheden af kontrakten svare til varigheden af eneretten.
5.   Tildelingen af eneret i henhold til stk. 2, 3 og 4, herunder begrundelsen for, at det er nødvendigt at tildele en sådan ret, skal være gennemsigtig og offentliggøres på internettet, i en form, der er i overensstemmelse med den relevante EU-ret om offentlige udbud.
6.   Aftaler eller anden praksis, der er omfattet af forbuddet i stk. 1, som ikke opfylder betingelserne i stk. 2 og 3, og som er indgået inden den 23. juni 2022, ophører ved den gældende kontrakts udløb og under alle omstændigheder senest den 24. december 2024.
Artikel 5
Betingelser for videreanvendelse
1.   Offentlige myndigheder, der i henhold til national ret har kompetence til at give eller nægte adgang til en eller flere af de kategorier af data, der er omhandlet i artikel 3, stk. 1, med henblik på videreanvendelse, offentliggør betingelserne for tilladelsen af en sådan videreanvendelse og proceduren for anmodning om videreanvendelse via det centrale informationssted, der er omhandlet i artikel 8. Når de giver eller nægter adgang til videreanvendelse, kan de bistås af de kompetente organer, der er omhandlet i artikel 7, stk. 1.
Medlemsstaterne sikrer, at offentlige myndigheder tilføres de nødvendige ressourcer for at overholde denne artikel.
2.   Betingelserne for videreanvendelse skal være ikkediskriminerende, gennemsigtige, stå i et rimeligt forhold til formålet og være objektivt begrundede med hensyn til kategorierne af data, formålene med videreanvendelsen og karakteren af de data, som det er tilladt at videreanvende. Disse betingelser må ikke benyttes til at begrænse konkurrencen.
3.   Offentlige myndigheder sikrer i overensstemmelse med EU-retten og national ret, at dataenes beskyttede karakter bevares. De kan fastsætte følgende krav:
a)
kun at give adgang til videreanvendelse af data, hvis den offentlige myndighed eller det kompetente organ har sikret, at dataene efter anmodningen om videreanvendelse er blevet:
i)
anonymiseret i tilfælde af personoplysninger og
ii)
ændret, samlet eller behandlet efter en anden metode til kontrol med fortrolighed i tilfælde af kommercielt fortrolige oplysninger, herunder forretningshemmeligheder eller indhold, der er beskyttet af intellektuelle ejendomsrettigheder
b)
at data tilgås og videreanvendes via fjernadgang i et sikkert databehandlingsmiljø, der stilles til rådighed eller kontrolleres af den offentlige myndighed
c)
at data i overensstemmelse med høje sikkerhedsstandarder tilgås og videreanvendes i de fysiske lokaler, hvor det sikre databehandlingsmiljø befinder sig, såfremt der ikke kan tillades fjernadgang uden at bringe tredjeparters rettigheder og interesser i fare.
4.   I tilfælde af tilladelse til videreanvendelse i overensstemmelse med stk. 3, litra b) og c), fastsætter de offentlige myndigheder betingelser, der bevarer integriteten af de tekniske systemers funktion i det anvendte sikre databehandlingsmiljø. Den offentlige myndighed forbeholder sig ret til at kontrollere processen, metoderne og alle resultaterne af videreanvenderens databehandling med henblik på at bevare integriteten af databeskyttelsen og forbeholder sig ret til at forbyde anvendelsen af resultater, der indeholder oplysninger, der bringer tredjeparters rettigheder og interesser i fare. Afgørelsen om forbud mod anvendelsen af resultater skal være forståelig og gennemsigtig for videreanvenderen.
5.   Medmindre national ret fastsætter specifikke beskyttelsesforanstaltninger om gældende fortrolighedsforpligtelser vedrørende videreanvendelse af data, jf. artikel 3, stk. 1, gør den offentlige myndighed videreanvendelsen af data som fastsat i nærværende artikels stk. 3 betinget af, at videreanvenderen overholder en fortrolighedsforpligtelse, der forbyder videregivelse af alle former for oplysninger, der bringer tredjeparters rettigheder og interesser i fare, og som videreanvenderen kan have indhentet på trods af de indførte beskyttelsesforanstaltninger. Videreanvendere har forbud mod at genidentificere en registreret, som dataene vedrører, og træffer tekniske og operationelle foranstaltninger med henblik på at forhindre genidentifikation og anmelde ethvert brud på datasikkerheden, der medfører genidentifikation af de berørte registrerede, til den offentlige myndighed. I tilfælde af uautoriseret videreanvendelse af andre data end personoplysninger underretter videreanvenderen straks, hvis det er relevant med bistand fra den offentlige myndighed, de juridiske personer, hvis rettigheder og interesser kan blive berørt.
6.   Hvis videreanvendelse af data ikke kan tillades i overensstemmelse med forpligtelserne i denne artikels stk. 3 og 4, og der ikke er retsgrundlag for at videregive data i henhold til forordning (EU) 2016/679, bestræber den offentlige myndighed, i overensstemmelse med EU-retten og national ret, sig på at yde bistand til potentielle videreanvendere i at indhente samtykke fra de registrerede eller tilladelse fra de dataindehavere, hvis rettigheder og interesser kan blive berørt af en sådan videreanvendelse, når det er muligt uden uforholdsmæssigt store byrder for den offentlige myndighed. Den offentlige myndighed kan i forbindelse med ydelsen af denne bistand bistås af de kompetente organer, der er omhandlet i artikel 7, stk. 1.
7.   Videreanvendelse af data er kun tilladt i overensstemmelse med intellektuelle ejendomsrettigheder. De rettigheder for en databases fremstiller, der er fastsat i artikel 7, stk. 1, i direktiv 96/9/EF, må ikke udøves af offentlige myndigheder for at forhindre videreanvendelsen af data eller sætte grænser for videreanvendelsen, der er mere restriktive end dem, der er fastsat i denne forordning.
8.   Hvor de data, der er anmodet om, betragtes som fortrolige i overensstemmelse med EU-retten eller national ret om kommerciel eller statistisk fortrolighed, sikrer de offentlige myndigheder, at de fortrolige data ikke videregives som følge af en tilladelse til videreanvendelse, medmindre en sådan videreanvendelse er tilladt i overensstemmelse med stk. 6.
9.   Hvis en videreanvender har til hensigt at overføre andre data end personoplysninger, der er beskyttet på grundlag af artikel 3, stk. 1, til et tredjeland, oplyser denne den offentlige myndighed om sin hensigt om at overføre sådanne data og om formålet med en sådan overførsel på tidspunktet for anmodningen om videreanvendelse. I tilfælde af videreanvendelse af sådanne data i overensstemmelse med nærværende artikels stk. 6 oplyser videreanvenderen, hvis det er relevant med bistand fra den offentlige myndighed, den juridiske person, hvis rettigheder og interesser kan blive berørt, om denne hensigt, dette formål og de passende beskyttelsesforanstaltninger. Den offentlige myndighed må ikke tillade videreanvendelsen, medmindre den juridiske person giver tilladelse til overførslen.
10.   Offentlige myndigheder må kun videregive fortrolige data, der ikke er personoplysninger, eller data, der er beskyttet af intellektuelle ejendomsrettigheder, til en videreanvender, som har til hensigt at overføre de pågældende data til et andet tredjeland end et land, der er udpeget i overensstemmelse med stk. 12, hvis videreanvenderen kontraktligt forpligter sig til:
a)
at overholde de forpligtelser, der er pålagt i henhold til stk. 7 og 8, også efter at oplysningerne er overført til tredjelandet, og
b)
at anerkende domstolenes eller retternes kompetence i den medlemsstat, hvor den videregivende offentlige myndighed er beliggende for så vidt angår enhver tvist vedrørende overholdelsen af stk. 7 og 8.
11.   Offentlige myndigheder yder, hvis det er relevant og inden for rammerne af deres kapacitet, vejledning og bistand til videreanvendere med henblik på overholdelsen af de forpligtelser, der er omhandlet i denne artikels stk. 10.
For at yde bistand til offentlige myndigheder og videreanvendere kan Kommissionen vedtage gennemførelsesretsakter, der fastlægger standardkontraktbestemmelser for overholdelsen af de forpligtelser, der er omhandlet i denne artikels stk. 10. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 33, stk. 3.
12.   Hvor det er begrundet på grund af det betydelige antal anmodninger i hele Unionen om videreanvendelse af andre data end personoplysninger i specifikke tredjelande, kan Kommissionen vedtage gennemførelsesretsakter, hvori det attesteres, at tredjelandes retlige, tilsynsmæssige og håndhævelsesmæssige rammer:
a)
sikrer beskyttelse af intellektuel ejendomsret og forretningshemmeligheder på en måde, som i det væsentlige svarer til den beskyttelse, der sikres i henhold til EU-retten
b)
anvendes og håndhæves effektivt og
c)
omfatter effektive retsmidler.
Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 33, stk. 3.
13.   I specifikke lovgivningsmæssige EU-retsakter kan visse kategorier af andre data end personoplysninger, som offentlige myndigheder er i besiddelse af, anses for at være meget følsomme med henblik på denne artikel, hvis overførslen heraf til tredjelande kan true Unionens offentlige politiske mål, f.eks. sikkerhed og folkesundhed, eller kan føre til en risiko for genidentifikation af anonymiserede data, der ikke er personoplysninger. Når en sådan retsakt vedtages, vedtager Kommissionen delegerede retsakter i overensstemmelse med artikel 32, der supplerer denne forordning ved at fastsætte særlige betingelser for overførsler af sådanne data til tredjelande.
Disse særlige betingelser skal baseres på karakteren af de kategorier af data, der ikke er personoplysninger, og som er fastlagt i den specifikke lovgivningsmæssige EU-retsakt, og på grundene til, at disse kategorier anses for at være meget følsomme, under hensyntagen til risikoen for genidentifikation af anonymiserede data, der ikke er personoplysninger. De skal være ikkediskriminerende og begrænsede til, hvad der er nødvendigt for at nå Unionens offentlige politiske mål, der er fastlagt i den pågældende retsakt, i overensstemmelse med Unionens internationale forpligtelser.
Hvis dette i henhold til specifikke lovgivningsmæssige EU-retsakter som omhandlet i første afsnit er et krav, kan sådanne særlige betingelser omfatte vilkårene for overførsler eller tekniske ordninger i den henseende, begrænsninger for videreanvendelsen af data i tredjelande eller for, hvilke kategorier af personer der har ret til at overføre sådanne oplysninger til tredjelande, eller i særlige tilfælde begrænsninger i forbindelse med overførsler til tredjelande.
14.   Den fysiske eller juridiske person, der har fået tildelt ret til at videreanvende andre data end personoplysninger, må kun overføre oplysningerne til de tredjelande, der opfylder kravene i stk. 10, 12 og 13.
Artikel 6
Gebyrer
1.   Offentlige myndigheder, der tillader videreanvendelse af de kategorier af data, der er omhandlet i artikel 3, stk. 1, kan opkræve gebyrer for tilladelsen til at videreanvende disse data.
2.   Eventuelle gebyrer, der opkræves i henhold til stk. 1, skal være gennemsigtige, ikkediskriminerende, stå i et rimeligt forhold til formålet og være objektivt begrundede, og de må ikke begrænse konkurrencen.
3.   De offentlige myndigheder sikrer, at eventuelle gebyrer også kan betales online via bredt tilgængelige grænseoverskridende betalingstjenester uden forskelsbehandling på grundlag af, hvor betalingstjenesteudbyderen er hjemmehørende, hvor betalingsinstrumentet er udstedt, eller hvor betalingskontoen er placeret i Unionen.
4.   Når offentlige myndigheder opkræver gebyrer, træffer de foranstaltninger til at tilskynde til videreanvendelse af de kategorier af data, der er omhandlet i artikel 3, stk. 1, til ikkekommercielle formål som f.eks. videnskabelige forskningsformål og af SMV'er og nyetablerede virksomheder i overensstemmelse med statsstøttereglerne. I den forbindelse kan offentlige myndigheder også stille dataene til rådighed for et nedsat gebyr eller gratis, navnlig for SMV'er og nyetablerede virksomheder, civilsamfundsorganisationer og uddannelsesinstitutioner. Offentlige myndigheder kan med henblik herpå udarbejde en liste over kategorier af videreanvendere, for hvilke data til videreanvendelse stilles til rådighed for et nedsat gebyr eller gratis. Denne liste offentliggøres sammen med de anvendte kriterier for udarbejdelsen heraf.
5.   Ethvert gebyr beregnes på grundlag af de omkostninger, der er forbundet med gennemførelsen af proceduren for anmodninger om videreanvendelse af de kategorier af data, der er omhandlet i artikel 3, stk. 1, og begrænses til de nødvendige omkostninger i forbindelse med:
a)
reproduktion, levering og formidling af data
b)
clearing af rettigheder
c)
anonymisering eller andre former for forberedelse af personoplysninger og kommercielt fortrolige data, jf. artikel 5, stk. 3
d)
opretholdelse af et sikkert databehandlingsmiljø
e)
erhvervelse af retten til at tillade videreanvendelse i overensstemmelse med dette kapitel for tredjeparter uden for den offentlige sektor, og
f)
bistand til videreanvendere med at indhente samtykke fra de registrerede og tilladelse fra de dataindehavere, hvis rettigheder og interesser kan blive berørt af en sådan videreanvendelse.
6.   Kriterierne og metoden til beregning af gebyrer fastsættes af medlemsstaterne og offentliggøres. Den offentlige myndighed offentliggør en beskrivelse af de vigtigste omkostningskategorier og de regler, der anvendes til fordeling af omkostningerne.
Artikel 7
Kompetente organer
1.   Med henblik på de i denne artikel omhandlede opgaver udpeger hver medlemsstat et eller flere kompetente organer, som kan have kompetence for bestemte sektorer, til at bistå de offentlige myndigheder, der giver eller nægter adgang til de kategorier af data, der er omhandlet i artikel 3, stk. 1, med henblik på videreanvendelse. Medlemsstaterne kan enten nedsætte et eller flere nye kompetente organer eller gøre brug af eksisterende offentlige myndigheder eller interne tjenester hos de offentlige myndigheder, som opfylder betingelserne i denne forordning.
2.   De kompetente organer kan tillægges beføjelse til at give adgang til de kategorier af data, der er omhandlet i artikel 3, stk. 1, med henblik på videreanvendelse i henhold til EU-ret eller national ret om en sådan adgang. Artikel 4, 5, 6 og 9 finder anvendelse på disse kompetente organer, når de giver eller nægter adgang til videreanvendelse.
3.   Det eller de kompetente organer skal have tilstrækkelige juridiske, finansielle, tekniske og menneskelige ressourcer til at udføre de opgaver, som de pålægges, herunder den nødvendige tekniske viden for at kunne overholde relevant EU-ret eller national ret vedrørende adgangsordninger for de kategorier af data, der er omhandlet i artikel 3, stk. 1.
4.   Den bistand, der er omhandlet i stk. 1, omfatter, hvor det er nødvendigt:
a)
teknisk støtte ved at tilvejebringe et sikkert databehandlingsmiljø for at give adgang til data med henblik på videreanvendelse
b)
vejledning og teknisk støtte til, hvordan man bedst strukturerer og lagrer data med henblik på at gøre disse data lettilgængelige
c)
teknisk støtte til pseudonymisering og sikring af, at databehandlingen foretages på en måde, der effektivt beskytter privatlivets fred og fortroligheden, integriteten og tilgængeligheden af de oplysninger, der er indeholdt i de data, som det er tilladt at videreanvende, herunder teknikker til anonymisering, generalisering, undertrykkelse og randomisering af personoplysninger eller andre avancerede metoder til beskyttelse af privatlivets fred samt sletning af kommercielt fortrolige oplysninger, herunder forretningshemmeligheder eller indhold, som er beskyttet af intellektuelle ejendomsrettigheder
d)
bistand til de offentlige myndigheder, hvor det er relevant, med henblik på at støtte videreanvendere med at anmode om samtykke til videreanvendelse fra de registrerede eller tilladelse fra dataindehavere i overensstemmelse med deres specifikke afgørelser, herunder vedrørende den jurisdiktion, hvor databehandlingen efter planen skal finde sted, og bistand til de offentlige myndigheder med henblik på at indføre tekniske mekanismer, der gør det muligt at videresende anmodninger om samtykke eller tilladelse fra videreanvendere, hvor dette er praktisk muligt
e)
bistand til offentlige myndigheder med henblik på at vurdere, om de kontraktlige forpligtelser, som en videreanvender har påtaget sig, er tilstrækkelige i henhold til artikel 5, stk. 10.
5.   Hver medlemsstat underretter senest den 24. september 2023 Kommissionen om identiteten af de kompetente organer, der er udpeget i henhold til stk. 1. Hver medlemsstat underretter også Kommissionen om eventuelle senere ændringer af disse kompetente organers identitet.
Artikel 8
Centrale informationssteder
1.   Medlemsstaterne sikrer, at alle relevante oplysninger om anvendelsen af artikel 5 og 6 er tilgængelige og let kan tilgås via et centralt informationssted. Medlemsstaterne opretter enten et nyt organ eller udpeger et eksisterende organ eller en eksisterende struktur som det centrale informationssted. Det centrale informationssted kan være forbundet med sektorspecifikke, regionale eller lokale informationssteder. Det centrale informationssteds funktioner kan automatiseres, såfremt den offentlige myndighed sikrer tilstrækkelig støtte.
2.   Det centrale informationssted er kompetent til at modtage forespørgsler eller anmodninger om videreanvendelse af de kategorier af data, der er omhandlet i artikel 3, stk. 1, og videregiver dem automatisk, så vidt det er muligt og hensigtsmæssigt, til de kompetente offentlige myndigheder eller til de kompetente organer, der er omhandlet i artikel 7, stk. 1, hvis det er relevant. Det centrale informationssted stiller en elektronisk søgbar liste med en oversigt over alle tilgængelige dataressourcer til rådighed, herunder, hvis det er relevant, de dataressourcer, der er tilgængelige på sektorspecifikke, regionale eller lokale informationssteder, med relevante oplysninger, der beskriver de tilgængelige data, herunder som minimum dataformatet og -størrelsen samt betingelserne for deres videreanvendelse.
3.   Det centrale informationssted kan oprette en særskilt, forenklet og veldokumenteret informationskanal for SMV'er og nyetablerede virksomheder, der tilgodeser deres behov og kapacitet med hensyn til at anmode om tilladelse til at videreanvende de kategorier af data, der er omhandlet i artikel 3, stk. 1.
4.   Kommissionen opretter et centralt europæisk adgangspunkt med et søgbart elektronisk register over tilgængelige data på de nationale centrale informationssteder og yderligere oplysninger om, hvordan man anmoder om data via disse nationale centrale informationssteder.
Artikel 9
Procedure for anmodninger om videreanvendelse
1.   Medmindre der er fastsat kortere frister i overensstemmelse med national ret, træffer de kompetente offentlige myndigheder eller de kompetente organer, der er omhandlet i artikel 7, stk. 1, afgørelse om anmodninger om videreanvendelse af de kategorier af data, der er omhandlet i artikel 3, stk. 1, inden for to måneder efter datoen for modtagelsen af anmodningen.
I tilfælde af usædvanligt omfattende og komplekse anmodninger om videreanvendelse kan denne frist forlænges med højst 30 dage. I sådanne tilfælde underretter de kompetente offentlige myndigheder eller de kompetente organer, der er omhandlet i artikel 7, stk. 1, ansøgeren hurtigst muligt om, at der er behov for mere tid til at gennemføre proceduren samt om årsagerne til forsinkelsen.
2.   Enhver fysisk eller juridisk person, der er direkte berørt af en afgørelse, jf. stk. 1, skal have en effektiv klageadgang i den medlemsstat, hvor det relevante organ er beliggende. En sådan klageadgang fastsættes i national ret og omfatter muligheden for prøvelse ved et uvildigt organ med den nødvendige ekspertise såsom den nationale konkurrencemyndighed, den relevante myndighed for aktindsigt, tilsynsmyndigheden oprettet i henhold til forordning (EU) 2016/679 eller en national judiciel myndighed, hvis afgørelser er bindende for den pågældende offentlige myndighed eller det pågældende kompetente organ.
KAPITEL III
Krav til dataformidlingstjenester
Artikel 10
Dataformidlingstjenester
Udbuddet af følgende dataformidlingstjenester skal være i overensstemmelse med artikel 12 og være underlagt en meddelelsesprocedure:
a)
formidlingstjenester mellem dataindehavere og potentielle databrugere, herunder tilrådighedsstillelse af de tekniske eller andre midler, der muliggør sådanne tjenester; disse tjenester kan omfatte bilateral eller multilateral dataudveksling eller oprettelse af platforme eller databaser, der muliggør udveksling eller fælles anvendelse af data, samt opbygning af anden særlig infrastruktur til sammenkobling af dataindehavere med databrugere
b)
formidlingstjenester mellem registrerede, der ønsker at stille deres personoplysninger til rådighed, eller fysiske personer, der ønsker at stille andre data end personoplysninger til rådighed, og potentielle databrugere, herunder tilrådighedsstillelse af de tekniske eller andre midler, der muliggør sådanne tjenester, og navnlig muliggørelse af udøvelsen af de registreredes rettigheder, der er fastsat i forordning (EU) 2016/679
c)
tjenester fra datakooperativer.
Artikel 11
Anmeldelse indgivet af dataformidlingstjenesteudbydere
1.   Enhver dataformidlingstjenesteudbyder, der har til hensigt at udbyde de dataformidlingstjenester, der er omhandlet i artikel 10, skal indgive en anmeldelse til den kompetente myndighed for dataformidlingstjenester.
2.   Med henblik på denne forordning anses en dataformidlingstjenesteudbyder, der er etableret i mere end én medlemsstat, for at høre under den medlemsstats jurisdiktion, hvor den har sit hovedsæde, uden at det berører EU-retten vedrørende grænseoverskridende erstatningssager og sagsanlæg i forbindelse hermed.
3.   En dataformidlingstjenesteudbyder, der ikke er etableret i Unionen, men udbyder de dataformidlingstjenester, der er omhandlet i artikel 10, i Unionen, udpeger en retlig repræsentant i en af de medlemsstater, hvor disse tjenester udbydes.
Med henblik på at sikre overholdelsen af denne forordning bemyndiges den retlige repræsentant af dataformidlingstjenesteudbyderen til at modtage henvendelser ud over eller i stedet for denne fra kompetente myndigheder for dataformidlingstjenester eller registrerede og dataindehavere, i alle spørgsmål vedrørende de udbudte dataformidlingstjenester. Den retlige repræsentant samarbejder med og dokumenterer udførligt efter anmodning over for de kompetente myndigheder for dataformidlingstjenester, hvilke foranstaltninger der er truffet, og hvilke foranstaltninger dataformidlingstjenesteudbyderen har truffet for at sikre, at denne forordning overholdes.
Dataformidlingstjenesteudbyderen anses for at høre under den medlemsstats jurisdiktion, hvor den retlige repræsentant befinder sig. Dataformidlingstjenesteudbyderens udpegelse af en retlig repræsentant berører ikke eventuelle retlige skridt, som måtte blive taget mod dataformidlingstjenesteudbyderen.
4.   Efter at have indgivet en anmeldelse i overensstemmelse med stk. 1 kan dataformidlingstjenesteudbyderen påbegynde aktiviteten på de betingelser, der er fastsat i dette kapitel.
5.   Anmeldelsen omhandlet i stk. 1 giver dataformidlingstjenesteudbyderen ret til at udbyde dataformidlingstjenester i alle medlemsstater.
6.   Anmeldelsen omhandlet i stk. 1 skal indeholde følgende oplysninger:
a)
navnet på dataformidlingstjenesteudbyderen
b)
dataformidlingstjenesteudbyderens retlige status, retlige form, ejerskabsstruktur, relevante datterselskaber og, hvis dataformidlingstjenesteudbyderen er optaget i et handelsregister eller et andet lignende offentligt nationalt register, registreringsnummer
c)
adressen på dataformidlingstjenesteudbyderens hovedsæde i Unionen, hvis et sådant findes, og, hvis det er relevant, på eventuelle filialer i en anden medlemsstat eller på den retlige repræsentant
d)
et offentligt websted med fuldstændige og ajourførte oplysninger om dataformidlingstjenesteudbyderen og aktiviteterne, herunder som minimum de oplysninger, der er omhandlet i litra a), b), c) og f)
e)
dataformidlingstjenesteudbyderens kontaktpersoner og kontaktoplysninger
f)
en beskrivelse af den dataformidlingstjeneste, som dataformidlingstjenesteudbyderen har til hensigt at udbyde, og en angivelse af, under hvilke af kategorierne anført i artikel 10 en sådan dataformidlingstjeneste hører
g)
den forventede dato for påbegyndelse af aktiviteten, hvis denne er forskellig fra datoen for anmeldelsen.
7.   Den kompetente myndighed for dataformidlingstjenester sikrer, at anmeldelsesproceduren er ikkediskriminerende og ikkekonkurrenceforvridende.
8.   Efter anmodning fra dataformidlingstjenesteudbyderen udsteder den kompetente myndighed for dataformidlingstjenester inden for en uge efter en behørigt udfyldt anmeldelse en standardiseret erklæring, der bekræfter, at dataformidlingstjenesteudbyderen har indgivet den i stk. 1 omhandlede anmeldelse, og at anmeldelsen indeholder de oplysninger, der er omhandlet i stk. 6.
9.   Efter anmodning fra dataformidlingstjenesteudbyderen bekræfter den kompetente myndighed for dataformidlingstjenester, at dataformidlingstjenesteudbyderen overholder denne artikel og artikel 12. Efter modtagelse af en sådan bekræftelse kan den pågældende dataformidlingstjenesteudbyder i sin skriftlige og mundtlige kommunikation benytte betegnelsen »dataformidlingstjenesteudbyder, der er anerkendt i Unionen«, samt et fælles logo.
For at sikre, at dataformidlingstjenesteudbydere, der er anerkendt i Unionen, let kan identificeres i hele Unionen, fastlægger Kommissionen ved hjælp af gennemførelsesretsakter et design for det fælles logo. Dataformidlingstjenesteudbydere, der er anerkendt i Unionen, skal tydeligt vise det fælles logo på alle online- og offlinepublikationer, der vedrører deres dataformidlingsaktiviteter.
Disse gennemførelsesretsakter vedtages efter rådgivningsproceduren, jf. artikel 33, stk. 2.
10.   Den kompetente myndighed for dataformidlingstjenester underretter uden ophold elektronisk Kommissionen om hver ny anmeldelse. Kommissionen fører og ajourfører regelmæssigt et offentligt register over alle dataformidlingstjenesteudbydere, der udbyder deres tjenester i Unionen. De oplysninger, der er omhandlet i stk. 6, litra a), b), c), d), f) og g), offentliggøres i det offentlige register.
11.   Den kompetente myndighed for dataformidlingstjenester kan opkræve gebyrer for anmeldelsen i overensstemmelse med national ret. Sådanne gebyrer skal stå i et rimeligt forhold til formålet, være objektive og være baseret på de administrative omkostninger, der er forbundet med den kompetente myndighed for dataformidlingstjenesters overvågning af overholdelsen af reglerne og andre markedskontrolaktiviteter i forbindelse med anmeldelser af dataformidlingstjenesteudbydere. I tilfælde af SMV'er og nyetablerede virksomheder kan den kompetente myndighed for dataformidlingstjenester opkræve et nedsat gebyr eller fritage for gebyret.
12.   Dataformidlingstjenesteudbydere underretter den kompetente myndighed for dataformidlingstjenester om enhver ændring af de oplysninger, der er indgivet i henhold til stk. 6, senest 14 dage efter datoen for ændringen.
13.   Hvis en dataformidlingstjenesteudbyder indstiller sine aktiviteter, underretter den inden for 15 dage den relevante kompetente myndighed for dataformidlingstjenester, der er fastlagt i henhold til stk. 1, 2 og 3.
14.   Den kompetente myndighed for dataformidlingstjenester underretter uden ophold elektronisk Kommissionen om hver underretning omhandlet i stk. 12 og 13. Kommissionen ajourfører det offentlige register over dataformidlingstjenesteudbydere i Unionen i overensstemmelse hermed.
Artikel 12
Betingelser for at udbyde dataformidlingstjenester
Udbud af dataformidlingstjenester som omhandlet i artikel 10, er underlagt følgende betingelser:
a)
dataformidlingstjenesteudbyderen må ikke anvende de data, som den udbyder dataformidlingstjenester for, til andre formål end at stille dem til rådighed for databrugere, og skal udbyde dataformidlingstjenester gennem en særskilt juridisk person
b)
de kommercielle betingelser for udbud af dataformidlingstjenester til en dataindehaver eller databruger, herunder prisfastsættelse, må ikke være afhængige af, hvorvidt dataindehaveren eller databrugeren benytter andre tjenester, som leveres af samme dataformidlingstjenesteudbyder eller af en tilknyttet enhed, og i givet fald i hvilken grad dataindehaveren eller databrugeren benytter sådanne andre tjenester
c)
de data, der indsamles om en fysisk eller juridisk persons aktiviteter med henblik på udbud af dataformidlingstjenester, herunder dato, tidspunkt og geolokaliseringsdata, aktivitetens varighed og forbindelser til andre fysiske eller juridiske personer, der etableres af den person, som anvender dataformidlingstjenesten, må kun anvendes til udvikling af denne dataformidlingstjeneste, hvilket kan indebære anvendelsen af data til afsløring af svig eller til cybersikkerhedsformål, og skal stilles til rådighed for dataindehaverne efter anmodning
d)
dataformidlingstjenesteudbyderen skal lette udveksling af data i det format, hvori de modtages fra en registreret eller en dataindehaver, må kun konvertere dataene til specifikke formater for at øge interoperabiliteten inden for og på tværs af sektorer, eller hvis databrugeren anmoder herom, eller hvis det er påkrævet i henhold til EU-retten, eller for at sikre harmonisering med internationale eller europæiske datastandarder, og skal tilbyde de registrerede eller dataindehaverne en opt-out-mulighed for så vidt angår disse konverteringer, medmindre konverteringen er påkrævet i henhold til EU-retten
e)
dataformidlingstjenester kan omfatte et tilbud af yderligere specifikke værktøjer og tjenester til dataindehavere eller registrerede med det specifikke formål at lette udvekslingen af data, såsom midlertidig lagring, kuratering, konvertering, anonymisering og pseudonymisering, idet sådanne værktøjer kun må anvendes efter udtrykkelig anmodning eller godkendelse fra dataindehaveren eller den registrerede, og tredjepartsværktøjer, der tilbydes i den forbindelse, ikke må anvendes til andre formål
f)
dataformidlingstjenesteudbyderen skal sikre, at proceduren for adgang til vedkommendes tjeneste er retfærdig, gennemsigtig og ikkediskriminerende for både registrerede og dataindehavere og databrugere, herunder med hensyn til priser og servicevilkår
g)
dataformidlingstjenesteudbyderen skal indføre procedurer, der forhindrer svigagtig praksis og misbrug i forbindelse med parter, der søger adgang gennem dens tjenester
h)
dataformidlingstjenesteudbyderen skal i tilfælde af insolvens sikre rimelig kontinuitet i udbuddet af sine dataformidlingstjenester og skal, hvor sådanne dataformidlingstjenester sikrer datalagring, have mekanismer, der gør det muligt for dataindehavere og databrugere at få adgang til, overføre eller hente deres data og, hvor sådanne dataformidlingstjenester udbydes mellem registrerede og databrugere, gøre det muligt for registrerede at udøve deres rettigheder
i)
dataformidlingstjenesteudbyderen skal træffe passende foranstaltninger til at sikre interoperabilitet med andre dataformidlingstjenester, bl.a. ved hjælp af almindeligt anvendte åbne standarder i den sektor, hvor dataformidlingstjenesteudbyderne opererer
j)
dataformidlingstjenesteudbyderen skal træffe tekniske, retlige og organisatoriske foranstaltninger, der er tilstrækkelige til at forhindre overførsel af eller adgang til andre data end personoplysninger, som er ulovlig i henhold til EU-retten eller den relevante medlemsstats nationale ret
k)
dataformidlingstjenesteudbyderen oplyser uden unødigt ophold dataindehaverne i tilfælde af uautoriseret videregivelse, adgang eller brug af de andre data end personoplysninger, som denne har delt
l)
dataformidlingstjenesteudbyderen skal træffe de nødvendige foranstaltninger til at sikre et passende sikkerhedsniveau for lagring, behandling og videregivelse af andre data end personoplysninger, og dataformidlingstjenesteudbyderen skal endvidere sikre det højest mulige sikkerhedsniveau for lagring og videregivelse af konkurrencemæssigt følsomme oplysninger
m)
dataformidlingstjenesteudbyderen af tjenester til registrerede skal handle i de registreredes bedste interesse, hvor den gør det lettere for dem at udøve deres rettigheder, navnlig ved at informere og, hvis det er relevant, rådgive de registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form om databrugeres påtænkte dataanvendelser og de standardvilkår og -betingelser, der knytter sig til sådanne anvendelser, inden de registrerede giver deres samtykke
n)
hvis en dataformidlingstjenesteudbyder stiller værktøjer til rådighed til at indhente samtykke fra registrerede eller tilladelser til at behandle data, der stilles til rådighed af dataindehavere, angiver udbyderen, hvis det er relevant, tredjelandsjurisdiktionen, hvor dataanvendelsen skal finde sted og giver registrerede værktøjer til både at give og tilbagetrække samtykke, og dataindehavere værktøjer til både at give og tilbagetrække tilladelser til at behandle data.
o)
dataformidlingstjenesteudbyderen skal føre logbog over dataformidlingsaktiviteten.
Artikel 13
Kompetente myndigheder for dataformidlingstjenester
1.   Hver medlemsstat udpeger en eller flere kompetente myndigheder til at udføre de opgaver, der er forbundet med anmeldelsesproceduren for dataformidlingstjenester, og underretter senest den 24. september 2023 Kommissionen om identiteten på disse kompetente myndigheder. Hver medlemsstat underretter også Kommissionen om eventuelle senere ændringer af disse kompetente myndigheders identitet.
2.   De kompetente myndigheder for dataformidlingstjenester skal opfylde kravene i artikel 26.
3.   De udpegede kompetente myndigheder for dataformidlingstjenesters beføjelser berører ikke beføjelserne hos databeskyttelsesmyndighederne, de nationale konkurrencemyndigheder, myndighederne med ansvar for cybersikkerhed og andre relevante sektormyndigheder. I overensstemmelse med deres respektive kompetencer i henhold til EU-retten og national ret etablerer disse myndigheder et stærkt samarbejde og udveksler oplysninger, der er nødvendige for, at de kan udføre deres opgaver i forbindelse med dataformidlingstjenesteudbydere, og søger at opnå konsekvens i de beslutninger, der træffes ved anvendelsen af denne forordning.
Artikel 14
Overvågning af overholdelse
1.   Den kompetente myndighed for dataformidlingstjenester overvåger og fører tilsyn med, at dataformidlingstjenesteudbydere opfylder kravene i dette kapitel. De kompetente myndigheder for dataformidlingstjenester kan også overvåge og føre tilsyn med, at sådanne dataformidlingstjenesteudbydere opfylder kravene, efter anmodning fra en fysisk eller juridisk person.
2.   De kompetente myndigheder for dataformidlingstjenester har beføjelse til at anmode dataformidlingstjenesteudbydere eller deres retlige repræsentant om alle de oplysninger, der er nødvendige for at kontrollere, at kravene i dette kapitel opfyldes. Enhver anmodning om oplysninger skal stå i et rimeligt forhold til, hvad opgaven kræver, og være begrundet.
3.   Hvis den kompetente myndighed for dataformidlingstjenester konstaterer, at en dataformidlingstjenesteudbyder ikke opfylder et eller flere af kravene i dette kapitel, underretter den dataformidlingstjenesteudbyderen herom og giver denne mulighed for at fremføre sine synspunkter inden for 30 dage efter modtagelsen af anmeldelsen.
4.   Den kompetente myndighed for dataformidlingstjenester har beføjelse til at kræve, at overtrædelsen, jf. stk. 3, ophører inden for en rimelig frist eller omgående i tilfælde af en alvorlig overtrædelse, og træffer passende foranstaltninger, der står i et rimeligt forhold til formålet, for at sikre, at kravene opfyldes. I den forbindelse skal den kompetente myndighed for dataformidlingstjenester, hvis det er relevant, have beføjelse til følgende:
a)
at pålægge afskrækkende økonomiske sanktioner gennem administrative procedurer, herunder periodiske sanktioner og sanktioner med tilbagevirkende kraft, at indlede retsforfølgning med henblik på pålæggelse af bøder eller begge dele
b)
at kræve, at igangsættelsen af udbuddet af dataformidlingstjenesten udsættes, eller udbuddet suspenderes, indtil enhver ændring af betingelserne, som den kompetente myndighed for dataformidlingstjenester har krævet, er foretaget, eller
c)
at kræve, at udbuddet af dataformidlingstjenesten ophører, hvis alvorlige eller gentagne overtrædelser ikke er blevet afhjulpet på trods af forudgående underretning i henhold til stk. 3.
Den kompetente myndighed for dataformidlingstjenester anmoder Kommissionen om at fjerne dataformidlingstjenesteudbyderen fra registret over dataformidlingstjenesteudbydere, når den har beordret, at udbuddet af dataformidlingstjenesten skal ophøre i overensstemmelse med første afsnit, litra c).
Hvis en dataformidlingstjenesteudbyder afhjælper overtrædelserne, underretter dataformidlingstjenesteudbyderen på ny den kompetente myndighed for dataformidlingstjenester. Den kompetente myndighed for dataformidlingstjenester underretter Kommissionen om hver ny anmeldelse.
5.   Hvis en dataformidlingstjenesteudbyder, der ikke er etableret i Unionen, undlader at udpege en retlig repræsentant, eller hvis den retlige repræsentant ikke leverer de nødvendige oplysninger, som den kompetente myndigheder for dataformidlingstjenester anmoder om, og som udførligt dokumenterer efterlevelsen af denne forordning, har den kompetente myndighed for dataformidlingstjenester beføjelse til at udsætte igangsættelsen eller suspendere udbuddet af dataformidlingstjenesten, indtil den retlige repræsentant er udpeget, eller de nødvendige oplysninger er leveret.
6.   De kompetente myndigheder for dataformidlingstjenester underretter uden ophold den pågældende dataformidlingstjenesteudbyder om de foranstaltninger, der er indført i henhold til stk. 4 og 5, og begrundelserne herfor samt de nødvendige skridt, der skal tages for at afhjælpe de relevante mangler, og fastsætter en rimelig frist, som ikke må være længere end 30 dage, inden for hvilken dataformidlingstjenesteudbyderen skal overholde disse foranstaltninger.
7.   Hvis en dataformidlingstjenesteudbyders hovedsæde eller retlige repræsentant befinder sig i en medlemsstat, men den udbyder tjenester i andre medlemsstater, samarbejder den kompetente myndighed for dataformidlingstjenester i den medlemsstat, hvor hovedsædet eller den retlige repræsentant befinder sig, og de kompetente myndigheder for dataformidlingstjenester i de andre medlemsstater og bistår hinanden. En sådan bistand og et sådant samarbejde kan omfatte udveksling af oplysninger mellem de berørte kompetente myndigheder for dataformidlingstjenester i forbindelse med deres opgaver i henhold til denne forordning og begrundede anmodninger om at gennemføre de foranstaltninger, der er omhandlet i denne artikel.
Hvis en kompetent myndighed for dataformidlingstjenester i én medlemsstat anmoder om bistand fra en kompetent myndighed for dataformidlingstjenester i en anden medlemsstat, indsender den en begrundet anmodning. Den således anmodede kompetente myndighed for dataformidlingstjenester afgiver svar på en sådan anmodning uden ophold og inden for en frist, der står i rimeligt forhold til anmodningens hastende karakter.
Alle oplysninger, der udveksles i forbindelse med bistand, som der anmodes om og ydes i henhold til dette stykke, må kun anvendes i forbindelse med den sag, hvortil der blev anmodet om oplysningerne.
Artikel 15
Undtagelser
Dette kapitel finder ikke anvendelse på anerkendte dataaltruistiske organisationer eller andre enheder uden fortjeneste for øje, for så vidt deres aktiviteter består i at indsamle data til almennyttige formål, som fysiske eller juridiske personer stiller til rådighed på grundlag af dataaltruisme, medmindre disse organisationer og enheder har til formål at etablere kommercielle forbindelser mellem et ubestemt antal registrerede og dataindehavere på den ene side og databrugere på den anden side.
KAPITEL IV
Dataaltruisme
Artikel 16
Nationale ordninger for dataaltruisme
Medlemsstaterne kan have organisatoriske eller tekniske ordninger, eller begge, til fremme af dataaltruisme. Til støtte herfor kan medlemsstaterne fastlægge nationale politikker for dataaltruisme. Disse nationale politikker kan navnlig bistå registrerede med at gøre personoplysninger vedrørende dem, som offentlige myndigheder er i besiddelse af, frivilligt tilgængelige til dataaltruisme og fastsætte de nødvendige oplysninger, der skal gives til registrerede om videreanvendelse af deres oplysninger i almenhedens interesse.
Hvis en medlemsstat udarbejder sådanne nationale politikker, underretter den Kommissionen herom.
Artikel 17
Offentlige registre over anerkendte dataaltruistiske organisationer
1.   Hver kompetent myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, fører og ajourfører løbende et offentligt nationalt register over anerkendte dataaltruistiske organisationer.
2.   Kommissionen fører til orientering et offentligt EU-register over anerkendte dataaltruistiske organisationer. Forudsat at en enhed er opført i det offentlige nationale register over anerkendte dataaltruistiske organisationer i overensstemmelse med artikel 18, kan den i sin skriftlige og mundtlige kommunikation anvende betegnelsen »dataaltruistisk organisation, der er anerkendt i Unionen« samt et fælles logo.
For at sikre, at anerkendte dataaltruistiske organisationer er lette at identificere i hele Unionen, fastlægger Kommissionen ved hjælp af gennemførelsesretsakter et design for det fælles logo. Anerkendte dataaltruistiske organisationer skal tydeligt vise det fælles logo på alle online- og offlinepublikationer, der vedrører deres dataaltruistiske aktiviteter. Det fælles logo ledsages af en QR-kode med et link til det offentlige EU-register over anerkendte dataaltruistiske organisationer.
Disse gennemførelsesretsakter vedtages efter rådgivningsproceduren, jf. artikel 33, stk. 2.
Artikel 18
Generelle krav til registrering
For at kunne blive registreret i et offentligt nationalt register over anerkendte dataaltruistiske organisationer skal en enhed:
a)
udføre dataaltruistiske aktiviteter
b)
være en juridisk person, der er oprettet i henhold til national ret med henblik på at opfylde almennyttige formål, som fastlagt i national ret, hvis det er relevant
c)
drives uden sigte på fortjeneste og være juridisk uafhængig af enheder, der drives med fortjeneste for øje
d)
udføre dataaltruistiske aktiviteter gennem en struktur, der er funktionelt adskilt fra dens andre aktiviteter
e)
overholde det regelsæt, der er omhandlet i artikel 22, stk. 1, senest 18 måneder efter datoen for ikrafttrædelsen af de delegerede retsakter, der er omhandlet i nævnte stykke.
Artikel 19
Registrering af anerkendte dataaltruistiske organisationer
1.   En enhed, der opfylder kravene i artikel 18, kan indgive en ansøgning om registrering i det offentlige nationale register over anerkendte dataaltruistiske organisationer i den medlemsstat, hvor den er etableret.
2.   En enhed, der opfylder kravene i artikel 18 og er etableret i mere end én medlemsstat, kan indgive en ansøgning om registrering i det offentlige nationale register over anerkendte dataaltruistiske organisationer i den medlemsstat, hvor den har sit hovedsæde.
3.   En enhed, der opfylder kravene i artikel 18, men som ikke er etableret i Unionen, udpeger en retlig repræsentant i en af de medlemsstater, hvor dataaltruismetjenesterne udbydes.
Med henblik på at sikre overholdelse af denne forordning bemyndiges den retlige repræsentant af enheden til i tillæg til eller i stedet for denne at modtage henvendelser fra kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, eller registrerede og dataindehavere om ethvert forhold vedrørende denne enhed. Den retlige repræsentant samarbejder med og dokumenterer udførligt på anmodning over for de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, hvilke tiltag der er taget, og hvilke foranstaltninger enheden har indført for at sikre, at denne forordning overholdes.
Enheden anses for at høre under den medlemsstats jurisdiktion, hvor den retlige repræsentant befinder sig. En sådan enhed kan indlevere en ansøgning om registrering i det offentlige nationale register over anerkendte dataaltruistiske organisationer i den pågældende medlemsstat. Enhedens udpegelse af en retlig repræsentant berører ikke eventuelle retlige skridt, som måtte blive taget over for enheden.
4.   Ansøgninger om registrering, jf. stk. 1, 2 og 3, skal indeholde følgende oplysninger:
a)
enhedens navn
b)
enhedens retlige status, retlige form og, hvis enheden er opført i et offentligt nationalt register, registreringsnummer
c)
enhedens vedtægter, hvis det er relevant
d)
enhedens indtægtskilder
e)
adressen på enhedens hovedsæde i Unionen, hvis et sådant findes, og, hvis det er relevant, på eventuelle filialer i en anden medlemsstat eller på den retlige repræsentant
f)
et offentligt websted med fuldstændige og ajourførte oplysninger om enheden og aktiviteterne, herunder som minimum de oplysninger, der er omhandlet i litra a), b), d), e) og h)
g)
enhedens kontaktpersoner og kontaktoplysninger
h)
de almennyttige formål, som den agter at fremme i forbindelse med indsamlingen af data
i)
arten af de data, som enheden har til hensigt at kontrollere eller behandle og, i tilfælde af personoplysninger, en angivelse af kategorierne af personoplysninger
j)
alle andre dokumenter, der dokumenterer, at kravene i artikel 18 er opfyldt.
5.   Hvis enheden har indsendt alle nødvendige oplysninger i henhold til stk. 4, og den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, efterfølgende har vurderet ansøgningen om registrering og fundet, at enheden opfylder kravene i artikel 18, optager den kompetente myndighed senest 12 uger efter modtagelsen af ansøgningen om registrering enheden i det offentlige nationale register over anerkendte dataaltruistiske organisationer. Registreringen er gyldig i alle medlemsstater.
Den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, underretter Kommissionen om alle registreringer. Kommissionen skal optage denne registrering i det offentlige EU-register over anerkendte dataaltruistiske organisationer.
6.   De oplysninger, der er omhandlet i stk. 4, litra a), b), f), g) og h), offentliggøres i det relevante offentlige nationale register over anerkendte dataaltruistiske organisationer.
7.   En enhed, der er opført i et offentligt nationalt register over anerkendte dataaltruistiske organisationer, underretter den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, om enhver ændring af de oplysninger, der er indgivet i henhold til stk. 4, senest 14 dage efter datoen for ændringen.
Den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, underretter elektronisk uden ophold Kommissionen om enhver sådan underretning. På grundlag af en sådan underretning ajourfører Kommissionen uden ophold det offentlige EU-register over anerkendte dataaltruistiske organisationer.
Artikel 20
Gennemsigtighedskrav
1.   En anerkendt dataaltruistisk organisation fører fuldstændige og nøjagtige registre over:
a)
alle fysiske eller juridiske personer, der har fået mulighed for at behandle data, som den pågældende anerkendte dataaltruistiske organisation er i besiddelse af, og deres kontaktoplysninger
b)
datoen for eller varigheden af behandlingen af personoplysninger eller anvendelsen af andre data end personoplysninger
c)
formålet med behandlingen som angivet af den fysiske eller juridiske person, der fik mulighed for foretage behandlingen
d)
eventuelle gebyrer, som er betalt af de fysiske eller juridiske personer, der behandler dataene.
2.   En anerkendt dataaltruistisk organisation udarbejder og indgiver en årlig aktivitetsrapport til den relevante kompetente myndighed for registreringen af dataaltruistiske organisationer, der som minimum skal indeholde følgende:
a)
oplysninger om den anerkendte dataaltruistiske organisations aktiviteter
b)
en beskrivelse af, hvordan de almennyttige formål, som dataene er indsamlet til, er blevet fremmet i løbet af det pågældende regnskabsår
c)
en liste over alle fysiske og juridiske personer, der har fået tilladelse til at behandle de data, som enheden er i besiddelse af, herunder en kortfattet beskrivelse af de almennyttige formål, der forfølges med denne databehandling, og en beskrivelse af de tekniske midler, der er anvendt, bl.a. en beskrivelse af de teknikker, der anvendes til beskyttelse af privatlivets fred og databeskyttelse
d)
en sammenfatning af resultaterne af den databehandling, som den anerkendte dataaltruistiske organisation har givet tilladelse til, hvis det er relevant
e)
oplysninger om den anerkendte dataaltruistiske organisations indtægtskilder, navnlig alle indtægter, der genereres af adgangen til data, og om udgifter.
Artikel 21
Særlige krav til beskyttelse af registreredes og dataindehaveres rettigheder og interesser for så vidt angår deres data
1.   Anerkendte dataaltruistiske organisationer, oplyser de registrerede eller dataindehaverne på en klar og letforståelig måde forud for enhver behandling af deres data om:
a)
de almennyttige formål og, hvis det er relevant, det specifikke, eksplicitte og legitime formål, hvortil personoplysninger skal behandles, og til hvilke den tillader, at en databruger behandler deres data,
b)
beliggenheden og de almennyttige formål, hvortil den tillader eventuel behandling foretaget i et tredjeland, hvis behandlingen foretages af den anerkendte dataaltruistiske organisation.
2.   Den anerkendte dataaltruistiske organisation anvender ikke dataene til andre formål end de almennyttige formål, til hvilke den registrerede eller dataindehaveren tillader behandlingen. Den anerkendte dataaltruistiske organisation anvender ikke vildledende markedsføringspraksis til at opfordre til at levere data.
3.   Den anerkendte dataaltruistiske organisation skal sørge for værktøjer til indhentning af samtykke fra registrerede eller tilladelser til at behandle data, der stilles til rådighed af dataindehavere. Den anerkendte dataaltruistiske organisation skal også sørge for værktøjer, der gør det let at trække et sådant samtykke eller en sådan tilladelse tilbage.
4.   Den anerkendte dataaltruistiske organisation træffer foranstaltninger til at sikre et passende sikkerhedsniveau for lagring og behandling af andre data end personoplysninger, som den har indsamlet baseret på dataaltruisme.
5.   Den anerkendte dataaltruistiske organisation oplyser uden ophold dataindehaverne i tilfælde af enhver uautoriseret videregivelse, adgang eller brug af de andre data end personoplysninger, som denne har delt.
6.   Hvis den anerkendte dataaltruistiske organisation fremmer tredjeparters databehandling herunder ved at sørge for værktøjer til indhentning af samtykke fra registrerede eller af tilladelser til at behandle data, der stilles til rådighed af dataindehavere, angiver enheden, hvis det er relevant, tredjelandsjurisdiktionen, hvor dataanvendelsen efter planen skal finde sted.
Artikel 22
Regelsæt
1.   Kommissionen vedtager delegerede retsakter i overensstemmelse med artikel 32 med henblik på at supplere denne forordning gennem fastlæggelse af et regelsæt, der fastsætter:
a)
passende oplysningskrav for at sikre, at registrerede og dataindehavere, inden der gives samtykke eller tilladelse til dataaltruisme, får tilstrækkeligt detaljerede, klare og gennemsigtige oplysninger om anvendelsen af data, værktøjerne til meddelelse og tilbagetrækning af samtykke eller tilladelse og de foranstaltninger, der er truffet for at undgå misbrug af de data, der deles med den dataaltruistiske organisation
b)
passende tekniske og sikkerhedsmæssige krav til at sikre et passende sikkerhedsniveau for lagring og behandling af data samt for værktøjerne til meddelelse og tilbagetrækning af samtykke eller tilladelse
c)
kommunikationskøreplaner med en tværfaglig tilgang for at øge bevidstheden om dataaltruisme, om udpegningen som en »dataaltruistisk organisation, der er anerkendt i Unionen«, og om regelsættet blandt relevante interessenter, navnlig dataindehavere og registrerede, som potentielt vil dele deres data
d)
anbefalinger vedrørende relevante interoperabilitetsstandarder.
2.   Det regelsæt, der er omhandlet i stk. 1, udarbejdes i tæt samarbejde med dataaltruistiske organisationer og relevante interessenter.
Artikel 23
Kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer
1.   Hver medlemsstat udpeger en eller flere kompetente myndigheder, der er ansvarlige for dens offentlige nationale register over anerkendte dataaltruistiske organisationer.
De kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, skal opfylde kravene i artikel 26.
2.   Hver medlemsstat underretter Kommissionen om identiteten af sine kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, senest den 24. september 2023. Hver medlemsstat underretter også Kommissionen om eventuelle senere ændringer af disse kompetente myndigheders identitet.
3.   Den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer i en medlemsstat, varetager sine opgaver i samarbejde med den relevante databeskyttelsesmyndighed, hvor sådanne opgaver vedrører behandling af personoplysninger, og med relevante sektorspecifikke myndigheder i den pågældende medlemsstat.
Artikel 24
Overvågning af overholdelse
1.   De kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, overvåger og fører tilsyn med, at anerkendte dataaltruistiske organisationer opfylder kravene i dette kapitel. Den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, kan også overvåge og føre tilsyn med, at sådanne anerkendte dataaltruistiske organisationer opfylder kravene, efter anmodning fra en fysisk eller juridisk person.
2.   De kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, har beføjelse til at anmode anerkendte dataaltruistiske organisationer om alle de oplysninger, der er nødvendige for at kontrollere, at kravene i dette kapitel opfyldes. Enhver anmodning om oplysninger skal stå i et rimeligt forhold til, hvad opgaven kræver, og være begrundet.
3.   Hvis den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, konstaterer, at en anerkendt dataaltruistisk organisation ikke opfylder et eller flere af kravene i dette kapitel, underretter den enheden herom og giver den mulighed for at fremføre sine synspunkter inden for 30 dage efter modtagelsen af anmeldelsen.
4.   Den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, har beføjelse til at kræve, at overtrædelsen, jf. stk. 3, ophører omgående eller inden for en rimelig frist, og træffer passende foranstaltninger, der står i et rimeligt forhold til formålet, for at sikre, at kravene opfyldes.
5.   Hvis en anerkendt dataaltruistisk organisation ikke opfylder et eller flere af kravene i dette kapitel, selv efter at den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, har underrettet den herom i overensstemmelse med stk. 3:
a)
mister den sin ret til at bruge betegnelsen »dataaltruistisk organisation, der er anerkendt i Unionen« i sin skriftlige og mundtlige kommunikation
b)
slettes den fra det relevante offentlige nationale register over anerkendte dataaltruistiske organisationer og det offentlige EU-register over anerkendte dataaltruistiske organisationer.
Enhver afgørelse om at tilbagekalde retten til at bruge betegnelsen »dataaltruistisk organisation, der er anerkendt i Unionen« efter første afsnit, litra a), offentliggøres af den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer.
6.   Hvis en anerkendt dataaltruistisk organisation har sit hovedsæde eller sin retlige repræsentant i en medlemsstat, men er aktiv i andre medlemsstater, samarbejder den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, i den medlemsstat, hvor hovedsædet eller den retlige repræsentant befinder sig, og de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, i de andre medlemsstater og bistår hinanden, hvis det er nødvendigt. En sådan bistand og et sådant samarbejde kan omfatte udveksling af oplysninger mellem de berørte kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer i forbindelse med deres opgaver i henhold til denne forordning, og begrundede anmodninger om at gennemføre de foranstaltninger, der er omhandlet i denne artikel.
Hvis en kompetent myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer i én medlemsstat, anmoder om bistand fra en kompetent myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer i en anden medlemsstat, indsender den en begrundet anmodning. Den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, afgiver svar på en sådan anmodning uden ophold og inden for en frist, der står i et rimeligt forhold til anmodningens hastende karakter.
Alle oplysninger, der udveksles i forbindelse med bistand, som der anmodes om og ydes i henhold til dette stykke, må kun anvendes i forbindelse med den sag, hvortil der blev anmodet om oplysningerne.
Artikel 25
Europæisk samtykkeformular for dataaltruisme
1.   For at lette indsamlingen af data baseret på dataaltruisme vedtager Kommissionen efter høring af Det Europæiske Databeskyttelsesråd og under hensyntagen til rådgivning fra Det Europæiske Datainnovationsråd og efter behørig inddragelse af relevante interessenter gennemførelsesretsakter om indførelse og udarbejdelse af en europæisk samtykkeformular for dataaltruisme. Formularen skal gøre det muligt at indhente samtykke eller tilladelse på tværs af medlemsstaterne i et ensartet format. Disse gennemførelsesretsakter vedtages efter rådgivningsproceduren, jf. artikel 33, stk. 2.
2.   Den europæiske samtykkeformular for dataaltruisme skal følge en modulær tilgang, der gør det muligt at tilpasse den til specifikke sektorer og forskellige formål.
3.   Hvis der anvendes personoplysninger, skal den europæiske samtykkeformular for dataaltruisme sikre, at de registrerede i overensstemmelse med kravene i forordning (EU) 2016/679 kan give samtykke til en bestemt databehandlingsaktivitet og trække deres samtykke tilbage.
4.   Formularen skal foreligge i et format, der kan trykkes på papir og er letforståeligt, samt i elektronisk, maskinlæsbar form.
KAPITEL V
Kompetente myndigheder og proceduremæssige bestemmelser
Artikel 26
Krav til kompetente myndigheder
1.   De kompetente myndigheder for dataformidlingstjenester og de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, skal være juridisk adskilt fra og funktionelt uafhængige af enhver dataformidlingstjenesteudbyder eller anerkendt dataaltruistisk organisation. Opgaverne for de kompetente myndigheder for dataformidlingstjenester og de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, kan udføres af den samme myndighed. Medlemsstaterne kan enten etablere en eller flere nye myndigheder med henblik herpå eller gøre brug af eksisterende myndigheder.
2.   De kompetente myndigheder for dataformidlingstjenester og de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, udfører deres opgaver upartisk, gennemsigtigt, konsekvent, pålideligt og rettidigt. De sikrer under udførelsen af deres opgaver fair konkurrence og ikkediskriminering.
3.   Den øverste ledelse og det personale, der er ansvarligt for at udføre de relevante opgaver for de kompetente myndigheder for dataformidlingstjenester og de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, må ikke være designer, producent, leverandør, installatør, køber, ejer, bruger eller reparatør af de tjenester, som de vurderer, eller bemyndiget repræsentant for nogen af disse parter. Dette udelukker ikke, at de anvender evaluerede tjenester, der er nødvendige for aktiviteterne hos den kompetente myndighed for dataformidlingstjenester og den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, eller anvender sådanne tjenester til personlige formål.
4.   Den øverste ledelse og personalet hos de kompetente myndigheder for dataformidlingstjenester og de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, må ikke deltage i aktiviteter, som kan være i strid med deres uafhængige dømmekraft og integritet i forbindelse med de evalueringsaktiviteter, som de har fået pålagt.
5.   De kompetente myndigheder for dataformidlingstjenester og de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, skal råde over tilstrækkelige finansielle og menneskelige ressourcer til at udføre de opgaver, som de pålægges, herunder den nødvendige tekniske viden og de nødvendige ressourcer.
6.   En medlemsstats kompetente myndigheder for dataformidlingstjenester og de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, giver efter begrundet anmodning og uden ophold Kommissionen og andre medlemsstaters kompetente myndigheder for dataformidlingstjenester og kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, de oplysninger, der er nødvendige for, at disse kan udføre deres opgaver i henhold til denne forordning. Hvis en kompetent myndighed for dataformidlingstjenester eller en kompetent myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, anser de oplysninger, der anmodes om, for at være fortrolige i overensstemmelse med EU-retten og national ret om forretningshemmeligheder og tavshedspligt, sikrer Kommissionen og alle andre berørte kompetente myndigheder for dataformidlingstjenester eller kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, en sådan fortrolighed.
Artikel 27
Ret til at indgive klage
1.   Fysiske og juridiske personer har ret til enkeltvis eller, hvis det er relevant, i fællesskab at indgive en klage i forbindelse med ethvert spørgsmål, der er omfattet af anvendelsesområdet for denne forordning, til den relevante kompetente myndighed for dataformidlingstjenester over en dataformidlingstjenesteudbyder eller til den relevante kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, over en anerkendt dataaltruistisk organisation.
2.   Den kompetente myndighed for dataformidlingstjenester eller den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, som klagen er indgivet til, oplyser klageren om:
a)
forløbet af sagen og om den trufne afgørelse og
b)
retsmidlerne omhandlet i artikel 28.
Artikel 28
Ret til effektive retsmidler
1.   Uanset eventuelle administrative eller andre udenretslige midler har alle berørte fysiske og juridiske personer ret til effektive retsmidler med hensyn til juridisk bindende afgørelser, jf. artikel 14, truffet af de kompetente myndigheder for dataformidlingstjenester, i forbindelse med forvaltning, kontrol og håndhævelse af anmeldelsesordningen for dataformidlingstjenesteudbydere og juridisk bindende afgørelser, jf. artikel 19 og 24, truffet af de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, i forbindelse med overvågning af anerkendte dataaltruistiske organisationer.
2.   En sag i medfør af denne artikel anlægges ved domstolene eller retterne i medlemsstaten for den kompetente myndighed for dataformidlingstjenester eller den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, mod hvem retsmidlet søges, enten enkeltvis eller, hvis det er relevant, i fællesskab af repræsentanter for en eller flere fysiske eller juridiske personer.
3.   Hvis en kompetent myndighed for dataformidlingstjenester eller en kompetent myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, undlader at reagere på en klage, har alle berørte fysiske og juridiske personer i overensstemmelse med national ret enten ret til effektive retsmidler eller adgang til prøvelse ved et uvildigt organ med passende ekspertise.
KAPITEL VI
Det Europæiske Datainnovationsråd
Artikel 29
Det Europæiske Datainnovationsråd
1.   Kommissionen nedsætter et råd, Det Europæiske Datainnovationsråd, i form af en ekspertgruppe bestående af repræsentanter for de kompetente myndigheder for dataformidlingstjenester og de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, i alle medlemsstaterne, Det Europæiske Databeskyttelsesråd, Den Europæiske Tilsynsførende for Databeskyttelse, ENISA, Kommissionen, EU's SMV-repræsentant eller en repræsentant, der er udpeget af SMV-repræsentantnetværket, og andre repræsentanter for relevante organer i specifikke sektorer samt organer med særlig ekspertise. Ved udpegelsen af individuelle eksperter tilstræber Kommissionen kønsmæssig og geografisk balance mellem ekspertgruppens medlemmer.
2.   Det Europæiske Datainnovationsråd består af mindst følgende tre undergrupper:
a)
en undergruppe bestående af de kompetente myndigheder for dataformidlingstjenester og de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, med henblik på at udføre de opgaver, der er omhandlet i artikel 30, litra a), c), j) og k)
b)
en undergruppe med henblik på tekniske drøftelser om standardisering, portabilitet og interoperabilitet i henhold til artikel 30, litra f) og g)
c)
en undergruppe til inddragelse af interessenter bestående af relevante repræsentanter for industrien, forskning, den akademiske verden, civilsamfundet, standardiseringsorganisationer, relevante fælles europæiske dataområder og andre relevante interessenter og tredjeparter, der rådgiver Det Europæiske Datainnovationsråd om opgaverne i henhold til artikel 30, litra d), e), f), g) og h).
3.   Kommissionen leder Det Europæiske Datainnovationsråds møder.
4.   Det Europæiske Datainnovationsråd bistås af et sekretariat, som varetages af Kommissionen.
Artikel 30
Det Europæiske Datainnovationsråds opgaver
Det Europæiske Datainnovationsråd har til opgave at:
a)
rådgive og bistå Kommissionen med hensyn til udviklingen af en fast praksis hos offentlige myndigheder og kompetente organer, jf. artikel 7, stk. 1, i behandlingen af anmodninger om videreanvendelse af de datakategorier, der er omhandlet i artikel 3, stk. 1
b)
rådgive og bistå Kommissionen med hensyn til udviklingen af en fast praksis for dataaltruisme i hele Unionen
c)
rådgive og bistå Kommissionen med hensyn til udviklingen af en fast praksis hos de kompetente myndigheder for dataformidlingstjenester og de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, i forbindelse med anvendelsen af de krav, der gælder for henholdsvis dataformidlingstjenesteudbydere og anerkendte dataaltruistiske organisationer
d)
rådgive og bistå Kommissionen med hensyn til udarbejdelsen af faste retningslinjer for en metode til inden for rammerne af denne forordning bedst at beskytte kommercielt følsomme data, der ikke er personoplysninger, navnlig forretningshemmeligheder, men også andre data end personoplysninger, der udgør indhold, som er beskyttet af intellektuelle ejendomsrettigheder, mod ulovlig adgang, som indebærer risiko for tyveri af intellektuel ejendom eller industrispionage
e)
rådgive og bistå Kommissionen med hensyn til udarbejdelsen af faste retningslinjer for cybersikkerhedskrav i forbindelse med udveksling og lagring af data
f)
rådgive Kommissionen, idet der navnlig tages hensyn til input fra standardiseringsorganer, i forbindelse med prioriteringen af de tværsektorielle standarder, der skal anvendes og udvikles med henblik på dataanvendelse og tværsektoriel datadeling mellem nye fælles europæiske dataområder, tværsektoriel sammenligning og udveksling af bedste praksis med hensyn til sektorspecifikke krav til sikkerhed og adgangsprocedurer, under hensyntagen til sektorspecifikke standardiseringsaktiviteter, navnlig med hensyn til at præcisere og skelne imellem, hvilke standarder og praksisser der er tværsektorielle, og hvilke der er sektorspecifikke
g)
bistå Kommissionen, idet der navnlig tages hensyn til input fra standardiseringsorganer, med at tackle fragmentering af det indre marked og af dataøkonomien i det indre marked ved at forbedre grænseoverskridende og tværsektoriel datainteroperabilitet samt datadelingstjenester mellem forskellige sektorer og områder på grundlag af eksisterende europæiske, internationale eller nationale standarder, bl.a. med det mål at tilskynde til oprettelse af fælles europæiske dataområder
h)
foreslå retningslinjer for fælles europæiske dataområder — dvs. formåls- eller sektorspecifikke eller tværsektorielle interoperable rammer for fælles standarder og praksis med hensyn til deling eller fælles behandling af data til eksempelvis udvikling af nye produkter og tjenester, videnskabelig forskning eller civilsamfundsinitiativer, idet sådanne fælles standarder og praksistager hensyn til eksisterende standarder, overholder konkurrencereglerne og sikrer ikkediskriminerende adgang for alle deltagere med henblik på at lette dataudvekslingen i Unionen og udnytte potentialet ved eksisterende og fremtidige dataområder — der bl.a. omfatter:
i)
tværsektorielle standarder, der skal anvendes og udvikles med henblik på dataanvendelse, tværsektoriel datadeling, tværsektoriel sammenligning og udveksling af bedste praksis med hensyn til sektorspecifikke krav til sikkerhed og adgangsprocedurer, samtidig med at der tages hensyn til sektorspecifikke standardiseringsaktiviteter, navnlig med hensyn til at præcisere og skelne imellem, hvilke standarder og praksisser der er tværsektorielle, og hvilke der er sektorspecifikke
ii)
krav til at imødegå hindringer for markedsadgang og undgå lock in-effekter med det formål at sikre fair konkurrence og interoperabilitet
iii)
tilstrækkelig beskyttelse af lovlige dataoverførsler til tredjelande, herunder beskyttelsesforanstaltninger mod enhver form for overførsel, der er forbudt i henhold til EU-retten
iv)
passende og ikkediskriminerende repræsentation af relevante interessenter i forvaltningen af fælles europæiske dataområder
v)
overholdelse af cybersikkerhedskrav i overensstemmelse med EU-retten
i)
lette samarbejdet mellem medlemsstaterne med hensyn til at fastsætte harmoniserede vilkår for videreanvendelse af kategorier af data, der er omhandlet i artikel 3, stk. 1, som offentlige myndigheder er i besiddelse af, på hele det indre marked
j)
lette samarbejdet mellem de kompetente myndigheder for dataformidlingstjenester og de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, gennem kapacitetsopbygning og udveksling af oplysninger, navnlig ved at fastlægge metoder til effektiv udveksling af oplysninger vedrørende anmeldelsesproceduren for dataformidlingstjenesteudbydere og registrering og overvågning af anerkendte dataaltruistiske organisationer, herunder koordinering med hensyn til at fastsætte gebyrer eller sanktioner samt lette samarbejdet mellem de kompetente myndigheder for dataformidlingstjenester og de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, med hensyn til international adgang til og overførsel af data
k)
rådgive og bistå Kommissionen med hensyn til at vurdere, om der skal vedtages gennemførelsesretsakter, jf. artikel 5, stk. 11 og 12
l)
rådgive og bistå Kommissionen med hensyn til at udvikle den europæiske samtykkeformular for dataaltruisme i overensstemmelse med artikel 25, stk. 1
m)
rådgive Kommissionen om forbedring af de internationale lovgivningsmæssige rammer for andre data end personoplysninger, herunder standardisering.
KAPITEL VII
International adgang og overførsel
Artikel 31
International adgang og overførsel
1.   Den offentlige myndighed, den fysiske eller juridiske person, som har fået tildelt ret til at videreanvende data i henhold til kapitel II, dataformidlingstjenesteudbyderen eller den anerkendte dataaltruistiske organisation, træffer alle rimelige tekniske, juridiske og organisatoriske foranstaltninger, herunder kontraktlige ordninger, for at forhindre international overførsel af eller international statslig adgang til andre data end personoplysninger, der opbevares i Unionen, hvis en sådan overførsel eller adgang er i strid med EU-retten eller den relevante medlemsstats nationale ret, uden at dette berører stk. 2 eller 3.
2.   Enhver afgørelse eller dom afsagt af en domstol eller ret i et tredjeland og enhver afgørelse truffet af en administrativ myndighed i et tredjeland, ifølge hvilken der anmodes om, at en offentlig myndighed eller en fysisk eller juridisk person, som har fået tildelt ret til at videreanvende data i henhold til kapitel II, en dataformidlingstjenesteudbyder eller en anerkendt dataaltruistisk organisation overfører eller giver adgang til andre data end personoplysninger, der er omfattet af denne forordning, og som opbevares i Unionen, må kun anerkendes eller håndhæves på nogen måde, hvis den er baseret på en international aftale såsom en traktat om gensidig retshjælp, der er i kraft mellem det anmodende tredjeland og Unionen eller en sådan aftale mellem det anmodende tredjeland og en medlemsstat.
3.   I mangel af en international aftale som omhandlet i denne artikels stk. 2, hvis en offentlig myndighed, en fysisk eller juridisk person, som har fået tildelt ret til at videreanvende data i henhold til kapitel II, en dataformidlingstjenesteudbyder eller en anerkendt dataaltruistisk organisation er adressat for en afgørelse eller dom afsagt af en domstol eller en ret eller en afgørelse truffet af en administrativ myndighed i et tredjeland om at overføre eller give adgang til andre data end personoplysninger, der er omfattet af denne forordning, og som opbevares i Unionen, eller give adgang til disse, og hvis overholdelsen af en sådan afgørelse risikerer at medføre, at adressaten handler i strid med EU-retten eller den nationale ret i den relevante medlemsstat, må overførslen af sådanne data til den pågældende tredjelandsmyndighed eller dennes adgang til sådanne data kun finde sted, hvis:
a)
tredjelandets system kræver, at en sådan afgørelse eller dom begrundes, og at det godtgøres, at den står i et rimeligt forhold til formålet, og at det kræves, at en sådan afgørelse eller dom, alt efter omstændighederne, skal være af specifik karakter, f.eks. ved at fastslå en tilstrækkelig forbindelse til visse mistænkte personer eller overtrædelser
b)
adressatens begrundede indsigelse kan prøves ved tredjelandets kompetente domstol eller ret og
c)
tredjelandets kompetente domstol eller ret, der udsteder afgørelsen eller dommen eller prøver en administrativ myndigheds afgørelse, i henhold til det pågældende tredjelands ret har beføjelse til at tage behørigt hensyn til de relevante retlige interesser hos den, der stiller de data til rådighed, der er beskyttet i henhold til EU-retten eller den nationale ret i den relevante medlemsstat.
4.   Hvis betingelserne i stk. 2 eller 3 er opfyldt, skal den offentlige myndighed, den fysiske eller juridiske person, som har fået tildelt ret til at videreanvende data i henhold til kapitel II, dataformidlingstjenesteudbyderen eller den anerkendte dataaltruistiske organisation fremlægge den mindste mængde data, der er tilladt som svar på en anmodning, på grundlag af en rimelig fortolkning af anmodningen.
5.   Den offentlige myndighed, den fysiske eller juridiske person, som har fået tildelt ret til at videreanvende data i henhold til kapitel II, dataformidlingstjenesteudbyderen og den anerkendte dataaltruistiske organisation oplyser dataindehaveren om, at der foreligger en anmodning fra en administrativ myndighed i et tredjeland om at få adgang til vedkommendes data, inden denne anmodning efterkommes, undtagen i tilfælde, hvor anmodningen tjener retshåndhævelsesformål, og så længe dette er nødvendigt for at bevare retshåndhævelsesaktivitetens effektivitet.
KAPITEL VIII
Udvalg og delegation
Artikel 32
Udøvelse af de delegerede beføjelser
1.   Beføjelsen til at vedtage delegerede retsakter tillægges Kommissionen på de i denne artikel fastlagte betingelser.
2.   Beføjelsen til at vedtage delegerede retsakter, jf. artikel 5, stk. 13, og artikel 22, stk. 1, tillægges Kommissionen for en ubegrænset periode fra den 23. juni 2022.
3.   Den i artikel 5, stk. 13, og artikel 22, stk. 1, omhandlede delegation af beføjelser kan til enhver tid tilbagekaldes af Europa-Parlamentet eller Rådet. En afgørelse om tilbagekaldelse bringer delegationen af de beføjelser, der er angivet i den pågældende afgørelse, til ophør. Den får virkning dagen efter offentliggørelsen af afgørelsen i 
Den Europæiske Unions Tidende
 eller på et senere tidspunkt, der angives i afgørelsen. Den berører ikke gyldigheden af delegerede retsakter, der allerede er i kraft.
4.   Inden vedtagelsen af en delegeret retsakt hører Kommissionen eksperter, som er udpeget af hver enkelt medlemsstat, i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning.
5.   Så snart Kommissionen vedtager en delegeret retsakt, giver den samtidigt Europa-Parlamentet og Rådet meddelelse herom.
6.   En delegeret retsakt vedtaget i henhold til artikel 5, stk. 13, eller artikel 22, stk. 1, træder kun i kraft, hvis hverken Europa-Parlamentet eller Rådet har gjort indsigelse inden for en frist på tre måneder fra meddelelsen af den pågældende retsakt til Europa-Parlamentet og Rådet, eller hvis Europa-Parlamentet og Rådet inden udløbet af denne frist begge har underrettet Kommissionen om, at de ikke agter at gøre indsigelse. Fristen forlænges med tre måneder på Europa-Parlamentets eller Rådets initiativ.
Artikel 33
Udvalgsprocedure
1.   Kommissionen bistås af et udvalg. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.
2.   Når der henvises til dette stykke, finder artikel 4 i forordning (EU) nr. 182/2011 anvendelse.
3.   Når der henvises til dette stykke, finder artikel 5 i forordning (EU) nr. 182/2011 anvendelse.
KAPITEL IX
Afsluttende bestemmelser og overgangsbestemmelser
Artikel 34
Sanktioner
1.   Medlemsstaterne fastsætter regler om sanktioner, der skal anvendes i tilfælde af overtrædelser af forpligtelserne vedrørende overførsel af andre data end personoplysninger til tredjelande i henhold til artikel 5, stk. 14, og artikel 31, anmeldelsesforpligtelsen for dataformidlingstjenesteudbydere i henhold til artikel 11, betingelserne for udbud af dataformidlingstjenester i henhold til artikel 12 og betingelserne for registrering som en anerkendt dataaltruistisk organisation i henhold til artikel 18, 20, 21 og 22, og træffer alle nødvendige foranstaltninger for at sikre, at de gennemføres. Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning. Medlemsstaterne tager i deres regler om sanktioner anbefalingerne fra Det Europæiske Datainnovationsråd i betragtning. Medlemsstaterne giver senest den 24. september 2023 Kommissionen meddelelse om disse regler og om disse foranstaltninger og meddeler den straks om alle senere ændringer, der berører dem.
2.   Medlemsstaterne tager, hvis det er relevant, hensyn til følgende ikkeudtømmende og vejledende kriterier, når dataformidlingstjenesteudbydere og anerkendte dataaltruistiske organisationer pålægges sanktioner for overtrædelser af denne forordning:
a)
overtrædelsens art, grovhed, omfang og varighed
b)
enhver foranstaltning, som dataformidlingstjenesteudbyderen eller den anerkendte dataaltruistiske organisation har truffet for at afbøde eller råde bod på den skade, som overtrædelsen har forårsaget
c)
eventuelle tidligere overtrædelser begået af dataformidlingstjenesteudbyderen eller den anerkendte dataaltruistiske organisation
d)
dataformidlingstjenesteudbyderens eller den anerkendte dataaltruistiske organisations opnåede økonomiske fordele eller undgåede tab som følge af overtrædelsen, for så vidt det er muligt at fastslå sådanne fordele og tab på pålidelig vis
e)
eventuelle andre skærpende eller formildende faktorer i lyset af sagens omstændigheder.
Artikel 35
Evaluering og revision
Senest den 24. september 2025 evaluerer Kommissionen denne forordning og fremlægger en rapport om de vigtigste resultater af evalueringen for Europa-Parlamentet, Rådet og Det Europæiske Økonomiske og Sociale Udvalg. Rapporten ledsages om nødvendigt af lovgivningsmæssige forslag.
I rapporten vurderes navnlig følgende:
a)
anvendelsen og funktionen af de regler om sanktioner, som medlemsstaterne har fastsat i henhold til artikel 34
b)
i hvilken grad de retlige repræsentanter for dataformidlingstjenesteudbydere og anerkendte dataaltruistiske organisationer, der ikke er etableret i Unionen, efterlever denne forordning, og i hvilken grad sanktioner pålagt disse udbydere og organisationer håndhæves
c)
typen af dataaltruistiske organisationer registreret i henhold til kapitel IV og en oversigt over de almennyttige formål, hvortil dataene deles, med henblik på at fastlægge klare kriterier herfor.
Medlemsstaterne forelægger Kommissionen alle de oplysninger, der er nødvendige for udarbejdelsen af denne rapport.
Artikel 36
Ændring af forordning (EU) 2018/1724
Den særlige livsbegivenhed »Opstart, drift og lukning af en virksomhed« i tabellen i bilag II til forordning (EU) 2018/1724 affattes således:
Særlige livsbegivenheder
Procedurer
Forventet resultat med forbehold af den kompetente myndigheds vurdering af anmodningen i overensstemmelse med national ret, såfremt det er relevant
Opstart, drift og lukning af en virksomhed
Indberetning af erhvervsaktivitet, tilladelser til udøvelse af en erhvervsaktivitet, ændringer i erhvervsaktivitet og ophør af erhvervsaktivitet uden insolvens eller konkursbehandling, dog ikke den første registrering af erhvervsaktivitet i erhvervsregistret og heller ikke procedurer vedrørende stiftelse af eller eventuelle efterfølgende registrering af virksomheder eller selskaber som nævnt i artikel 54, stk. 2, i TEUF
Bekræftelse af modtagelse af indberetning eller ændringer eller af anmodningen om tilladelse til at drive erhvervsvirksomhed
Registrering af en arbejdsgiver (en fysisk person) i obligatoriske pensions- og forsikringsordninger
Bekræftelse af registrering eller registreringsnummer i den sociale sikringsordning
Registrering af ansatte i obligatoriske pensions- og forsikringsordninger
Bekræftelse af registrering eller registreringsnummer i den sociale sikringsordning
Indgivelse af selskabsskatteangivelse
Bekræftelse af modtagelse af skatteangivelsen
Meddelelse til de sociale sikringsordninger om en ansættelseskontrakts ophør med undtagelse af procedurer for kollektiv opsigelse af ansættelseskontrakter
Bekræftelse af, at meddelelsen er modtaget
Betaling af sociale bidrag for ansatte
Kvittering eller anden form for bekræftelse af betaling af sociale bidrag for ansatte
Anmeldelse af en dataformidlingstjenesteudbyder
Bekræftelse af modtagelse af anmeldelsen
Registrering som en dataaltruistisk organisation, der er anerkendt i Unionen
Bekræftelse af registreringen
Artikel 37
Overgangsordninger
Enheder, der udbyder de dataformidlingstjenester, der er omhandlet i artikel 10, den 23. juni 2022 skal opfylde de forpligtelser, der er fastsat i kapitel III, senest 24. september 2025.
Artikel 38
Ikrafttræden og anvendelse
Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
Den finder anvendelse fra den 24. september 2023.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Bruxelles, den 30. maj 2022.
På Europa-Parlamentets vegne
R. METSOLA
Formand
På Rådets vegne
B. LE MAIRE
Formand
(
1
)
  
            
EUT C 286 af 16.7.2021, s. 38
.
(
2
)
  Europa-Parlamentets holdning af 6.4.2022 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 16.5.2022.
(
3
)
  Kommissionens henstilling 2003/361/EF af 6. maj 2003 om definitionen af mikrovirksomheder, små og mellemstore virksomheder (
EUT L 124 af 20.5.2003, s. 36
).
(
4
)
  Europa-Parlamentets og Rådets direktiv 2011/24/EU af 9. marts 2011 om patientrettigheder i forbindelse med grænseoverskridende sundhedsydelser (
EUT L 88 af 4.4.2011, s. 45
).
(
5
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/1239 af 20. juni 2019 om oprettelse af et europæisk søfartsmiljø med ét kontaktpunkt og om ophævelse af direktiv 2010/65/EU (
EUT L 198 af 25.7.2019, s. 64
).
(
6
)
  Europa-Parlamentets og Rådets forordning (EU) 2020/1056 af 15. juli 2020 om elektronisk godstransportinformation (
EUT L 249 af 31.7.2020, s. 33
).
(
7
)
  Europa-Parlamentets og Rådets direktiv 2010/40/EU af 7. juli 2010 om rammerne for indførelse af intelligente transportsystemer på vejtransportområdet og for grænsefladerne til andre transportformer (
EUT L 207 af 6.8.2010, s. 1
).
(
8
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 223/2009 af 11. marts 2009 om europæiske statistikker og om ophævelse af forordning (EF, Euratom) nr. 1101/2008 om fremsendelse af fortrolige statistiske oplysninger til De Europæiske Fællesskabers Statistiske Kontor, Rådets forordning (EF) nr. 322/97 om EF-statistikker og Rådets afgørelse 89/382/EØF, Euratom om nedsættelse af et udvalg for De Europæiske Fællesskabers statistiske program (
EUT L 87 af 31.3.2009, s. 164
).
(
9
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/858 af 30. maj 2018 om godkendelse og markedsovervågning af motorkøretøjer og påhængskøretøjer dertil samt af systemer, komponenter og separate tekniske enheder til sådanne køretøjer, om ændring af forordning (EF) nr. 715/2007 og (EF) nr. 595/2009 og om ophævelse af direktiv 2007/46/EF (
EUT L 151 af 14.6.2018, s. 1
).
(
10
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1807 af 14. november 2018 om en ramme for fri udveksling af andre data end personoplysninger i Den Europæiske Union (
EUT L 303 af 28.11.2018, s. 59
).
(
11
)
  Europa-Parlamentets og Rådets direktiv 2000/31/EF af 8. juni 2000 om visse retlige aspekter af informationssamfundstjenester, navnlig elektronisk handel, i det indre marked (»Direktivet om elektronisk handel«) (
EFT L 178 af 17.7.2000, s. 1
).
(
12
)
  Europa-Parlamentets og Rådets direktiv 2001/29/EF af 22. maj 2001 om harmonisering af visse aspekter af ophavsret og beslægtede rettigheder i informationssamfundet (
EFT L 167 af 22.6.2001, s. 10
).
(
13
)
  Europa-Parlamentets og Rådets direktiv 2004/48/EF af 29. april 2004 om håndhævelsen af intellektuelle ejendomsrettigheder (
EUT L 157 af 30.4.2004, s. 45
).
(
14
)
  Europa-Parlamentets og Rådets direktiv 2007/2/EF af 14. marts 2007 om opbygning af en infrastruktur for geografisk information i Det Europæiske Fællesskab (Inspire) (
EUT L 108 af 25.4.2007, s. 1
).
(
15
)
  Europa-Parlamentets og Rådets direktiv (EU) 2015/849 af 20. maj 2015 om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme, om ændring af Europa-Parlamentets og Rådets forordning (EU) nr. 648/2012 og om ophævelse af Europa-Parlamentets og Rådets direktiv 2005/60/EF samt Kommissionens direktiv 2006/70/EF (
EUT L 141 af 5.6.2015, s. 73
).
(
16
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/943 af 8. juni 2016 om beskyttelse af fortrolig knowhow og fortrolige forretningsoplysninger (forretningshemmeligheder) mod ulovlig erhvervelse, brug og videregivelse (
EUT L 157 af 15.6.2016, s. 1
).
(
17
)
  Europa-Parlamentets og Rådets direktiv (EU) 2017/1132 af 14. juni 2017 om visse aspekter af selskabsretten (
EUT L 169 af 30.6.2017, s. 46
).
(
18
)
  Europa-Parlamentets og Rådets direktiv (EU) 2019/790 af 17. april 2019 om ophavsret og beslægtede rettigheder på det digitale indre marked og om ændring af direktiv 96/9/EF og 2001/29/EF (
EUT L 130 af 17.5.2019, s. 92
).
(
19
)
  Europa-Parlamentets og Rådets direktiv (EU) 2019/1024 af 20. juni 2019 om åbne data og videreanvendelse af den offentlige sektors informationer (
EUT L 172 af 26.6.2019, s. 56
).
(
20
)
  Europa-Parlamentets og Rådets direktiv 2009/81/EF af 13. juli 2009 om samordning af fremgangsmåderne ved ordregivende myndigheders eller ordregiveres indgåelse af visse bygge- og anlægs-, vareindkøbs- og tjenesteydelseskontrakter på forsvars- og sikkerhedsområdet og om ændring af direktiv 2004/17/EF og 2004/18/EF (
EUT L 216 af 20.8.2009, s. 76
).
(
21
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
EUT L 119 af 4.5.2016, s. 1
).
(
22
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (
EUT L 295 af 21.11.2018, s. 39
).
(
23
)
  Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation) (
EFT L 201 af 31.7.2002, s. 37
).
(
24
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (
EUT L 119 af 4.5.2016, s. 89
).
(
25
)
  Kommissionens forordning (EU) nr. 557/2013 af 17. juni 2013 om gennemførelse af Europa-Parlamentets og Rådets forordning (EF) nr. 223/2009 om europæiske statistikker for så vidt angår adgang til fortrolige data til videnskabelige formål og om ophævelse af Kommissionens forordning (EF) nr. 831/2002 (
EUT L 164 af 18.6.2013, s. 16
).
(
26
)
  Europa-Parlamentet og Rådets direktiv 96/9/EF af 11. marts 1996 om retlig beskyttelse af databaser (
EFT L 77 af 27.3.1996, s. 20
).
(
27
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 600/2014 af 15. maj 2014 om markeder for finansielle instrumenter og om ændring af forordning (EU) nr. 648/2012 (
EUT L 173 af 12.6.2014, s. 84
).
(
28
)
  Europa-Parlamentets og Rådets direktiv (EU) 2015/2366 af 25. november 2015 om betalingstjenester i det indre marked, og om ændring af direktiv 2002/65/EF, 2009/110/EF og 2013/36/EU og forordning (EU) nr. 1093/2010 og om ophævelse af direktiv 2007/64/EF (
EUT L 337 af 23.12.2015, s. 35
).
(
29
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1724 af 2. oktober 2018 om oprettelse af en fælles digital portal, der giver adgang til oplysninger, procedurer og bistands- og problemløsningstjenester, og om ændring af forordning (EU) nr. 1024/2012 (
EUT L 295 af 21.11.2018, s. 1
).
(
30
)
  
            
EUT L 123 af 12.5.2016, s. 1
.
(
31
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (
EUT L 55 af 28.2.2011, s. 13
).
(
32
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/2102 af 26. oktober 2016 om tilgængeligheden af offentlige organers websteder og mobilapplikationer (
EUT L 327 af 2.12.2016, s. 1
).
(
33
)
  Europa-Parlamentets og Rådets direktiv (EU) 2019/882 af 17. april 2019 om tilgængelighedskrav for produkter og tjenester (
EUT L 151 af 7.6.2019, s. 70
).

Summary:
Europæisk datastyring
RESUMÉ AF:
Forordning (EU) 2022/868 om europæisk datastyring og om ændring af forordning (EU) 2018/1724 (forordningen om datastyring)
HVAD ER FORMÅLET MED FORORDNINGEN?
Forordningen om datastyring
 har til formål at stille flere data
1
 til rådighed til videreanvendelse og lette datadeling på tværs af områder som sundhed, miljø, energi, landbrug, mobilitet, finans, produktion, offentlig forvaltning og færdigheder til fordel for borgere og virksomheder i 
Den Europæiske Union
 (EU) med det formål at skabe job og stimulere innovation.
HOVEDPUNKTER
Forordningen
 fastsætter:
betingelser for videreanvendelse af visse beskyttede data
 i de offentlige myndigheders besiddelse
regler
 for virksomheder, der udbyder dataformidlingstjenester
en ramme for dataaltruisme
 (frivillig deling af data uden modydelse)
en ramme for Det Europæiske Datainnovationsråd
foranstaltninger, der tillader 
sikker udveksling af andre data end personoplysninger
 uden for EU.
 Videreanvendelse af bestemte kategorier af data i offentlige myndigheders besiddelse
Offentlige myndigheder er i besiddelse af enorme mængder data, der er beskyttet af tredjeparts rettigheder (såsom 
forretningshemmeligheder
, personoplysninger eller 
intellektuel ejendom
), der ikke kan anvendes som åbne data, men kan videreanvendes i henhold til specifikke EU-regler eller nationale regler. Når der gives tilladelse til en sådan videreanvendelse, skal offentlige myndigheder opfylde de betingelser for videreanvendelse, som er fastsat i forordningen om datastyring. Betingelserne for videreanvendelse skal være ikkediskriminerende, være gennemsigtige, stå i et rimeligt forhold til formålet, være begrundede og offentliggøres.
Dataoverførsel til ikke-EU-lande
En videreanvender, der har til hensigt at overføre beskyttede, ikkepersonlige data til et ikke-EU-land, skal overholde de specifikke regler i forordningen om datastyring.
Gebyrer
Gebyrer for videreanvendelse bør være gennemsigtige, stå i et rimeligt forhold til formålet, ikkediskriminerende og objektivt begrundede. Offentlige myndigheder, som udsteder videreanvendelsestilladelser, kan opkræve reducerede eller ingen gebyrer, for eksempel fra 
små og mellemstore virksomheder
, nyetablerede virksomheder, 
civilsamfundsorganisationer
 og uddannelsesinstitutioner.
Centralt informationssted
For at sikre at data kan findes (»søgbarhed«), skal EU’s 
medlemsstater
 sikre, at alle relevante oplysninger om betingelserne for videreanvendelse og om gebyrer er tilgængelige og let kan tilgås via et centralt informationssted. 
Europa-Kommissionen
 samler disse oplysninger på 
data.europa.eu
.
 Dataformidlingstjenester
Forordningen om datastyring regulerer udbydere af dataformidlingstjenester, som er neutrale tredjeparter, der forbinder enkeltpersoner og virksomheder i besiddelse af data med andre, der ønsker at anvende data. Kravene til sådanne tjenester har til formål at sikre, at sådanne dataformidlere fungerer som pålidelige organisatorer af datadeling. For at øge tilliden til datadeling fastsætter denne tilgang en model, der er baseret på dataformidleres neutralitet og gennemsigtighed, samtidig med at enkeltpersoner og virksomheder får kontrol over deres data.
Enheder, der ønsker at udbyde dataformidlingstjenester, skal:
overholde strenge krav for at sikre neutralitet og undgå interessekonflikter
være strukturelt adskilt fra andre tillægstjenester, de udbyder
have prisbetingelser, der er uafhængige af, hvorvidt en potentiel dataindehaver
2
 eller databruger
3
 benytter andre tjenester
lade sig registrere hos en kompetent myndighed.
 Dataaltruisme
Dataaltruisme opstår, når enkeltpersoner og virksomheder giver samtykke eller tilladelse til at gøre data, som de genererer, tilgængelige til brug i offentlighedens interesse, frivilligt og uden modydelse. Sådanne data har et enormt potentiale til at fremme forskning og udvikle bedre varer og tjenesteydelser, herunder på områderne sundhed, klimaindsats og mobilitet. Medlemsstaterne kan udvikle nationale politikker til fremme af dataaltruisme, og en enhed, der engagerer sig i dataaltruisme, kan ansøge om at blive opført som »dataaltruistisk organisation, der er anerkendt i Unionen«. Kommissionen fører et EU-register over disse organisationer.
 Det Europæiske Datainnovationsråd
Kommissionen nedsætter Det Europæiske Datainnovationsråd, som vil bestå af repræsentanter for:
nationale myndigheder udpeget i henhold til forordningen om datastyring
Det Europæiske Databeskyttelsesråd
Den Europæiske Tilsynsførende for Databeskyttelse
Den Europæiske Unions Agentur for Cybersikkerhed
EU’s SMV-repræsentant
andre specifikke sektorer og organer med særlig ekspertise.
Det Europæiske Datainnovationsråd har til opgave at rådgive og bistå Kommissionen i:
udviklingen af en fast praksis i behandlingen af anmodninger om videreanvendelse af data
forbedringen af datainteroperabilitet og datadelingstjenester
udviklingen af en fast praksis hos de kompetente myndigheder i forbindelse med anvendelsen af de krav, der gælder for udbydere af dataformidlingstjenester
4
.
 Internationale datastrømme
Eftersom andre data end personoplysninger kan have en betydelig økonomisk værdi, indfører forordningen om datastyring beskyttelsesforanstaltninger for at beskytte sådanne data mod ikke-EU-myndigheders ulovlige adgang til dem.
HVORNÅR GÆLDER FORORDNINGEN FRA?
Den træder i kraft den 
24. september 2023
.
BAGGRUND
Forordningen om datastyring ændrer også forordning (EU) 
2018/1724
 om den 
fælles digitale portal
.
For yderligere oplysninger henvises til:
Europæisk forordning om datastyring
 (Europa-Kommissionen)
Forordning om datastyring, forklaret
 (Europa-Kommissionen)
En europæisk strategi for data
 (Europa-Kommissionen)
En digital fremtid for Europa
 (Rådet for Den Europæiske Union)
Datastyring: Hvorfor er EU’s datadelingslov vigtig?
 (Europa-Parlamentet).
VIGTIGE BEGREBER
Data.
 Enhver digital repræsentation af handlinger, kendsgerninger eller oplysninger og enhver samling af sådanne handlinger, kendsgerninger eller oplysninger, herunder i form af lyd- eller videooptagelser eller audiovisuelle optagelser.
Dataindehaver.
 en juridisk person, herunder offentlige myndigheder og internationale organisationer, eller en fysisk person, som ikke er en registreret med hensyn til de pågældende specifikke data, og som i overensstemmelse med gældende EU-ret eller national ret har ret til at give indsigt i eller videregive bestemte personoplysninger eller andre data end personoplysninger.
Databruger.
 en fysisk eller juridisk person, der har lovlig adgang til bestemte personoplysninger eller andre data end personoplysninger, og som, herunder i henhold til forordning (EU) 
2016/679
 (se 
resumé
) i tilfælde af personoplysninger, har ret til at anvende disse oplysninger eller data til kommercielle eller ikkekommercielle formål.
Dataformidlingstjeneste.
 En tjeneste, der har til formål at etablere kommercielle forbindelser med henblik på dataudveksling mellem et ubestemt antal registrerede og dataindehavere på den ene side og databrugere på den anden side ved hjælp af tekniske, juridiske eller andre midler, herunder med henblik på udøvelse af registreredes rettigheder i forbindelse med personoplysninger.
HOVEDDOKUMENT
Europa-Parlamentets og Rådets forordning (EU) 
2022/868
 af 
30. maj 2022
 om europæisk datastyring og om ændring af forordning (EU) 2018/1724 (forordning om datastyring) (EUT L 152 af 
3.6.2022
, 
s. 1-44
).
TILHØRENDE DOKUMENTER
Europa-Parlamentets og Rådets forordning (EU) 
2019/881
 af 
17. april 2019
 om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), om cybersikkerhedscertificering af informations- og kommunikationsteknologi og om ophævelse af forordning (EU) 
nr. 526/2013
 (forordningen om cybersikkerhed) (EUT L 151 af 
7.6.2019
, 
s. 15-69
).
Europa-Parlamentets og Rådets forordning (EU) 
2018/1724
 af 
2. oktober 2018
 om oprettelse af en fælles digital portal, der giver adgang til oplysninger, procedurer og bistands- og problemløsningstjenester og om ændring af forordning (EU) 
nr. 1024/2012
 (EUT L 295 af 
21.11.2018
, 
s. 1-38
).
Europa-Parlamentets og Rådets forordning (EU) 
2018/1725
 af 
23. oktober 2018
 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) 
nr. 45/2001
 og afgørelse 
nr. 1247/2002/EF
 (EUT L 295 af 
21.11.2018
, 
s. 39-98
).
seneste ajourføring 
20.7.2022