Kapitel 6 – Beskyttelse af personoplysninger

§ 22. Datatilsynet er tilsynsmyndighed, for så vidt angår PNR-enhedens behandling af personoplysninger, jf. dog stk. 2.

Stk. 2. Tilsynet med Efterretningstjenesterne er tilsynsmyndighed, for så vidt angår PNR-enhedens behandling af personoplysninger for Politiets Efterretningstjeneste og Forsvarets Efterretningstjeneste.

§ 23. PNR-enheden opbevarer dokumentation vedrørende alle behandlingssystemer og procedurer. Dokumentationen skal mindst omfatte

1. navn og kontaktoplysninger på personalet i PNR-enheden, der behandler PNR-oplysninger, jf. bilag 1,

2. de forskellige niveauer af autorisationer vedrørende adgangen til oplysninger for personalet i PNR-enheden,

3. anmodninger indgivet af henholdsvis de kompetente myndigheder, der er angivet i bilag 3, eller Politiets Efterretningstjeneste eller Forsvarets Efterretningstjeneste og de kompetente myndigheder eller PNR-enheder i andre EU-medlemsstater og

4. anmodninger om og overførsler af PNR-oplysninger til tredjelande og internationale organisationer.

Stk. 2. PNR-enheden stiller efter anmodning dokumentation til rådighed for tilsynsmyndigheden.

§ 24. PNR-enheden skal foretage logning af mindst følgende behandlingsaktiviteter:

1. Indsamling.

2. Søgning.

3. Ændring.

4. Videregivelse.

5. Maskering og afmaskering.

6. Sletning.

Stk. 2. Logning af oplysninger efter stk. 1, nr. 1-5, skal gøre det muligt at fastlægge formålet med samt datoen og tidspunktet for behandlingsaktiviteterne. Derudover skal det i forhold til oplysningerne, der er nævnt i stk. 1, nr. 2 og 4, være muligt at identificere brugeren, der har foretaget behandlingsaktiviteten, samt modtageren af oplysningerne.

Stk. 3. Logning af oplysninger må udelukkende anvendes til kontrol og egenkontrol eller for at sikre dataintegriteten og datasikkerheden eller til revision.

Stk. 4. Logning af oplysninger opbevares i 5 år.

Stk. 5. PNR-enheden stiller efter anmodning logning af oplysninger til rådighed for tilsynsmyndigheden.

§ 25. Rigspolitiets databeskyttelsesrådgiver udpeget efter § 30 i lov om retshåndhævende myndigheders behandling af personoplysninger er ansvarlig for at føre tilsyn med PNR-enhedens behandling af PNR-oplysninger, jf. bilag 1, og for at gennemføre relevante beskyttelsesforanstaltninger.

Stk. 2. PNR-enheden giver databeskyttelsesrådgiveren adgang til alle oplysninger og behandlingsaktiviteter, der er nødvendige for, at databeskyttelsesrådgiveren kan udføre sine opgaver.

Stk. 3. Stk. 1 og 2 finder ikke anvendelse, for så vidt angår PNR-enhedens behandling af personoplysninger for Politiets Efterretningstjeneste og Forsvarets Efterretningstjeneste.

§ 26. I forhold til PNR-enhedens behandling af PNR-oplysninger, jf. bilag 1, er Rigspolitiets databeskyttelsesrådgiver ansvarlig for at udføre de opgaver, der er angivet i § 31 i lov om retshåndhævende myndigheders behandling af personoplysninger.

Stk. 2. Enhver har ret til at kontakte databeskyttelsesrådgiveren om alle spørgsmål i tilknytning til behandlingen af den pågældendes PNR-oplysninger efter denne lov.

Stk. 3. Stk. 1 og 2 finder ikke anvendelse, for så vidt angår PNR-enhedens behandling af personoplysninger for Politiets Efterretningstjeneste og Forsvarets Efterretningstjeneste.

§ 27. Finder Rigspolitiets databeskyttelsesrådgiver, at behandlingen af oplysninger ikke er sket lovligt, kan databeskyttelsesrådgiveren forelægge spørgsmålet for Datatilsynet.

Stk. 2. Stk. 1 finder ikke anvendelse, for så vidt angår PNR-enhedens behandling af personoplysninger for Politiets Efterretningstjeneste og Forsvarets Efterretningstjeneste.