KAPITEL IV – Dataaltruisme

Artikel 16

Nationale ordninger for dataaltruisme

Medlemsstaterne kan have organisatoriske eller tekniske ordninger, eller begge, til fremme af dataaltruisme. Til støtte herfor kan medlemsstaterne fastlægge nationale politikker for dataaltruisme. Disse nationale politikker kan navnlig bistå registrerede med at gøre personoplysninger vedrørende dem, som offentlige myndigheder er i besiddelse af, frivilligt tilgængelige til dataaltruisme og fastsætte de nødvendige oplysninger, der skal gives til registrerede om videreanvendelse af deres oplysninger i almenhedens interesse.

Hvis en medlemsstat udarbejder sådanne nationale politikker, underretter den Kommissionen herom.

Artikel 17

Offentlige registre over anerkendte dataaltruistiske organisationer

1. Hver kompetent myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, fører og ajourfører løbende et offentligt nationalt register over anerkendte dataaltruistiske organisationer.

2. Kommissionen fører til orientering et offentligt EU-register over anerkendte dataaltruistiske organisationer. Forudsat at en enhed er opført i det offentlige nationale register over anerkendte dataaltruistiske organisationer i overensstemmelse med artikel 18, kan den i sin skriftlige og mundtlige kommunikation anvende betegnelsen »dataaltruistisk organisation, der er anerkendt i Unionen« samt et fælles logo.

For at sikre, at anerkendte dataaltruistiske organisationer er lette at identificere i hele Unionen, fastlægger Kommissionen ved hjælp af gennemførelsesretsakter et design for det fælles logo. Anerkendte dataaltruistiske organisationer skal tydeligt vise det fælles logo på alle online- og offlinepublikationer, der vedrører deres dataaltruistiske aktiviteter. Det fælles logo ledsages af en QR-kode med et link til det offentlige EU-register over anerkendte dataaltruistiske organisationer.

Disse gennemførelsesretsakter vedtages efter rådgivningsproceduren, jf. artikel 33, stk. 2.

Artikel 18

Generelle krav til registrering

For at kunne blive registreret i et offentligt nationalt register over anerkendte dataaltruistiske organisationer skal en enhed:

a) udføre dataaltruistiske aktiviteter

b) være en juridisk person, der er oprettet i henhold til national ret med henblik på at opfylde almennyttige formål, som fastlagt i national ret, hvis det er relevant

c) drives uden sigte på fortjeneste og være juridisk uafhængig af enheder, der drives med fortjeneste for øje

d) udføre dataaltruistiske aktiviteter gennem en struktur, der er funktionelt adskilt fra dens andre aktiviteter

e) overholde det regelsæt, der er omhandlet i artikel 22, stk. 1, senest 18 måneder efter datoen for ikrafttrædelsen af de delegerede retsakter, der er omhandlet i nævnte stykke.

Artikel 19

Registrering af anerkendte dataaltruistiske organisationer

1. En enhed, der opfylder kravene i artikel 18, kan indgive en ansøgning om registrering i det offentlige nationale register over anerkendte dataaltruistiske organisationer i den medlemsstat, hvor den er etableret.

2. En enhed, der opfylder kravene i artikel 18 og er etableret i mere end én medlemsstat, kan indgive en ansøgning om registrering i det offentlige nationale register over anerkendte dataaltruistiske organisationer i den medlemsstat, hvor den har sit hovedsæde.

3. En enhed, der opfylder kravene i artikel 18, men som ikke er etableret i Unionen, udpeger en retlig repræsentant i en af de medlemsstater, hvor dataaltruismetjenesterne udbydes.

Med henblik på at sikre overholdelse af denne forordning bemyndiges den retlige repræsentant af enheden til i tillæg til eller i stedet for denne at modtage henvendelser fra kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, eller registrerede og dataindehavere om ethvert forhold vedrørende denne enhed. Den retlige repræsentant samarbejder med og dokumenterer udførligt på anmodning over for de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, hvilke tiltag der er taget, og hvilke foranstaltninger enheden har indført for at sikre, at denne forordning overholdes.

Enheden anses for at høre under den medlemsstats jurisdiktion, hvor den retlige repræsentant befinder sig. En sådan enhed kan indlevere en ansøgning om registrering i det offentlige nationale register over anerkendte dataaltruistiske organisationer i den pågældende medlemsstat. Enhedens udpegelse af en retlig repræsentant berører ikke eventuelle retlige skridt, som måtte blive taget over for enheden.

4. Ansøgninger om registrering, jf. stk. 1, 2 og 3, skal indeholde følgende oplysninger:

a) enhedens navn

b) enhedens retlige status, retlige form og, hvis enheden er opført i et offentligt nationalt register, registreringsnummer

c) enhedens vedtægter, hvis det er relevant

d) enhedens indtægtskilder

e) adressen på enhedens hovedsæde i Unionen, hvis et sådant findes, og, hvis det er relevant, på eventuelle filialer i en anden medlemsstat eller på den retlige repræsentant

f) et offentligt websted med fuldstændige og ajourførte oplysninger om enheden og aktiviteterne, herunder som minimum de oplysninger, der er omhandlet i litra a), b), d), e) og h)

g) enhedens kontaktpersoner og kontaktoplysninger

h) de almennyttige formål, som den agter at fremme i forbindelse med indsamlingen af data

i) arten af de data, som enheden har til hensigt at kontrollere eller behandle og, i tilfælde af personoplysninger, en angivelse af kategorierne af personoplysninger

j) alle andre dokumenter, der dokumenterer, at kravene i artikel 18 er opfyldt.

5. Hvis enheden har indsendt alle nødvendige oplysninger i henhold til stk. 4, og den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, efterfølgende har vurderet ansøgningen om registrering og fundet, at enheden opfylder kravene i artikel 18, optager den kompetente myndighed senest 12 uger efter modtagelsen af ansøgningen om registrering enheden i det offentlige nationale register over anerkendte dataaltruistiske organisationer. Registreringen er gyldig i alle medlemsstater.

Den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, underretter Kommissionen om alle registreringer. Kommissionen skal optage denne registrering i det offentlige EU-register over anerkendte dataaltruistiske organisationer.

6. De oplysninger, der er omhandlet i stk. 4, litra a), b), f), g) og h), offentliggøres i det relevante offentlige nationale register over anerkendte dataaltruistiske organisationer.

7. En enhed, der er opført i et offentligt nationalt register over anerkendte dataaltruistiske organisationer, underretter den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, om enhver ændring af de oplysninger, der er indgivet i henhold til stk. 4, senest 14 dage efter datoen for ændringen.

Den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, underretter elektronisk uden ophold Kommissionen om enhver sådan underretning. På grundlag af en sådan underretning ajourfører Kommissionen uden ophold det offentlige EU-register over anerkendte dataaltruistiske organisationer.

Artikel 20

Gennemsigtighedskrav

1. En anerkendt dataaltruistisk organisation fører fuldstændige og nøjagtige registre over:

a) alle fysiske eller juridiske personer, der har fået mulighed for at behandle data, som den pågældende anerkendte dataaltruistiske organisation er i besiddelse af, og deres kontaktoplysninger

b) datoen for eller varigheden af behandlingen af personoplysninger eller anvendelsen af andre data end personoplysninger

c) formålet med behandlingen som angivet af den fysiske eller juridiske person, der fik mulighed for foretage behandlingen

d) eventuelle gebyrer, som er betalt af de fysiske eller juridiske personer, der behandler dataene

2. En anerkendt dataaltruistisk organisation udarbejder og indgiver en årlig aktivitetsrapport til den relevante kompetente myndighed for registreringen af dataaltruistiske organisationer, der som minimum skal indeholde følgende:

a) oplysninger om den anerkendte dataaltruistiske organisations aktiviteter

b) en beskrivelse af, hvordan de almennyttige formål, som dataene er indsamlet til, er blevet fremmet i løbet af det pågældende regnskabsår

c) en liste over alle fysiske og juridiske personer, der har fået tilladelse til at behandle de data, som enheden er i besiddelse af, herunder en kortfattet beskrivelse af de almennyttige formål, der forfølges med denne databehandling, og en beskrivelse af de tekniske midler, der er anvendt, bl.a. en beskrivelse af de teknikker, der anvendes til beskyttelse af privatlivets fred og databeskyttelse

d) en sammenfatning af resultaterne af den databehandling, som den anerkendte dataaltruistiske organisation har givet tilladelse til, hvis det er relevant

e) oplysninger om den anerkendte dataaltruistiske organisations indtægtskilder, navnlig alle indtægter, der genereres af adgangen til data, og om udgifter.

Artikel 21

Særlige krav til beskyttelse af registreredes og dataindehaveres rettigheder og interesser for så vidt angår deres data

1. Anerkendte dataaltruistiske organisationer, oplyser de registrerede eller dataindehaverne på en klar og letforståelig måde forud for enhver behandling af deres data om:

a) de almennyttige formål og, hvis det er relevant, det specifikke, eksplicitte og legitime formål, hvortil personoplysninger skal behandles, og til hvilke den tillader, at en databruger behandler deres data,

b) beliggenheden og de almennyttige formål, hvortil den tillader eventuel behandling foretaget i et tredjeland, hvis behandlingen foretages af den anerkendte dataaltruistiske organisation.

2. Den anerkendte dataaltruistiske organisation anvender ikke dataene til andre formål end de almennyttige formål, til hvilke den registrerede eller dataindehaveren tillader behandlingen. Den anerkendte dataaltruistiske organisation anvender ikke vildledende markedsføringspraksis til at opfordre til at levere data.

3. Den anerkendte dataaltruistiske organisation skal sørge for værktøjer til indhentning af samtykke fra registrerede eller tilladelser til at behandle data, der stilles til rådighed af dataindehavere. Den anerkendte dataaltruistiske organisation skal også sørge for værktøjer, der gør det let at trække et sådant samtykke eller en sådan tilladelse tilbage.

4. Den anerkendte dataaltruistiske organisation træffer foranstaltninger til at sikre et passende sikkerhedsniveau for lagring og behandling af andre data end personoplysninger, som den har indsamlet baseret på dataaltruisme.

5. Den anerkendte dataaltruistiske organisation oplyser uden ophold dataindehaverne i tilfælde af enhver uautoriseret videregivelse, adgang eller brug af de andre data end personoplysninger, som denne har delt.

6. Hvis den anerkendte dataaltruistiske organisation fremmer tredjeparters databehandling herunder ved at sørge for værktøjer til indhentning af samtykke fra registrerede eller af tilladelser til at behandle data, der stilles til rådighed af dataindehavere, angiver enheden, hvis det er relevant, tredjelandsjurisdiktionen, hvor dataanvendelsen efter planen skal finde sted.

Artikel 22

Regelsæt

1. Kommissionen vedtager delegerede retsakter i overensstemmelse med artikel 32 med henblik på at supplere denne forordning gennem fastlæggelse af et regelsæt, der fastsætter:

a) passende oplysningskrav for at sikre, at registrerede og dataindehavere, inden der gives samtykke eller tilladelse til dataaltruisme, får tilstrækkeligt detaljerede, klare og gennemsigtige oplysninger om anvendelsen af data, værktøjerne til meddelelse og tilbagetrækning af samtykke eller tilladelse og de foranstaltninger, der er truffet for at undgå misbrug af de data, der deles med den dataaltruistiske organisation

b) passende tekniske og sikkerhedsmæssige krav til at sikre et passende sikkerhedsniveau for lagring og behandling af data samt for værktøjerne til meddelelse og tilbagetrækning af samtykke eller tilladelse

c) kommunikationskøreplaner med en tværfaglig tilgang for at øge bevidstheden om dataaltruisme, om udpegningen som en »dataaltruistisk organisation, der er anerkendt i Unionen«, og om regelsættet blandt relevante interessenter, navnlig dataindehavere og registrerede, som potentielt vil dele deres data

d) anbefalinger vedrørende relevante interoperabilitetsstandarder

2. Det regelsæt, der er omhandlet i stk. 1, udarbejdes i tæt samarbejde med dataaltruistiske organisationer og relevante interessenter.

Artikel 23

Kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer

1. Hver medlemsstat udpeger en eller flere kompetente myndigheder, der er ansvarlige for dens offentlige nationale register over anerkendte dataaltruistiske organisationer.

De kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, skal opfylde kravene i artikel 26.

2. Hver medlemsstat underretter Kommissionen om identiteten af sine kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, senest den 24. september 2023. Hver medlemsstat underretter også Kommissionen om eventuelle senere ændringer af disse kompetente myndigheders identitet.

3. Den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer i en medlemsstat, varetager sine opgaver i samarbejde med den relevante databeskyttelsesmyndighed, hvor sådanne opgaver vedrører behandling af personoplysninger, og med relevante sektorspecifikke myndigheder i den pågældende medlemsstat.

Artikel 24

Overvågning af overholdelse

1. De kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, overvåger og fører tilsyn med, at anerkendte dataaltruistiske organisationer opfylder kravene i dette kapitel. Den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, kan også overvåge og føre tilsyn med, at sådanne anerkendte dataaltruistiske organisationer opfylder kravene, efter anmodning fra en fysisk eller juridisk person.

2. De kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, har beføjelse til at anmode anerkendte dataaltruistiske organisationer om alle de oplysninger, der er nødvendige for at kontrollere, at kravene i dette kapitel opfyldes. Enhver anmodning om oplysninger skal stå i et rimeligt forhold til, hvad opgaven kræver, og være begrundet.

3. Hvis den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, konstaterer, at en anerkendt dataaltruistisk organisation ikke opfylder et eller flere af kravene i dette kapitel, underretter den enheden herom og giver den mulighed for at fremføre sine synspunkter inden for 30 dage efter modtagelsen af anmeldelsen.

4. Den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, har beføjelse til at kræve, at overtrædelsen, jf. stk. 3, ophører omgående eller inden for en rimelig frist, og træffer passende foranstaltninger, der står i et rimeligt forhold til formålet, for at sikre, at kravene opfyldes.

5. Hvis en anerkendt dataaltruistisk organisation ikke opfylder et eller flere af kravene i dette kapitel, selv efter at den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, har underrettet den herom i overensstemmelse med stk. 3:

a) mister den sin ret til at bruge betegnelsen »dataaltruistisk organisation, der er anerkendt i Unionen« i sin skriftlige og mundtlige kommunikation

b) slettes den fra det relevante offentlige nationale register over anerkendte dataaltruistiske organisationer og det offentlige EU-register over anerkendte dataaltruistiske organisationer.

Enhver afgørelse om at tilbagekalde retten til at bruge betegnelsen »dataaltruistisk organisation, der er anerkendt i Unionen« efter første afsnit, litra a), offentliggøres af den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer.

6. Hvis en anerkendt dataaltruistisk organisation har sit hovedsæde eller sin retlige repræsentant i en medlemsstat, men er aktiv i andre medlemsstater, samarbejder den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, i den medlemsstat, hvor hovedsædet eller den retlige repræsentant befinder sig, og de kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer, i de andre medlemsstater og bistår hinanden, hvis det er nødvendigt. En sådan bistand og et sådant samarbejde kan omfatte udveksling af oplysninger mellem de berørte kompetente myndigheder, der er ansvarlige for registrering af dataaltruistiske organisationer i forbindelse med deres opgaver i henhold til denne forordning, og begrundede anmodninger om at gennemføre de foranstaltninger, der er omhandlet i denne artikel.

Hvis en kompetent myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer i én medlemsstat, anmoder om bistand fra en kompetent myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer i en anden medlemsstat, indsender den en begrundet anmodning. Den kompetente myndighed, der er ansvarlig for registrering af dataaltruistiske organisationer, afgiver svar på en sådan anmodning uden ophold og inden for en frist, der står i et rimeligt forhold til anmodningens hastende karakter.

Alle oplysninger, der udveksles i forbindelse med bistand, som der anmodes om og ydes i henhold til dette stykke, må kun anvendes i forbindelse med den sag, hvortil der blev anmodet om oplysningerne.

Artikel 25

Europæisk samtykkeformular for dataaltruisme

1. For at lette indsamlingen af data baseret på dataaltruisme vedtager Kommissionen efter høring af Det Europæiske Databeskyttelsesråd og under hensyntagen til rådgivning fra Det Europæiske Datainnovationsråd og efter behørig inddragelse af relevante interessenter gennemførelsesretsakter om indførelse og udarbejdelse af en europæisk samtykkeformular for dataaltruisme. Formularen skal gøre det muligt at indhente samtykke eller tilladelse på tværs af medlemsstaterne i et ensartet format. Disse gennemførelsesretsakter vedtages efter rådgivningsproceduren, jf. artikel 33, stk. 2.

2. Den europæiske samtykkeformular for dataaltruisme skal følge en modulær tilgang, der gør det muligt at tilpasse den til specifikke sektorer og forskellige formål.

3. Hvis der anvendes personoplysninger, skal den europæiske samtykkeformular for dataaltruisme sikre, at de registrerede i overensstemmelse med kravene i forordning (EU) 2016/679 kan give samtykke til en bestemt databehandlingsaktivitet og trække deres samtykke tilbage.

4. Formularen skal foreligge i et format, der kan trykkes på papir og er letforståeligt, samt i elektronisk, maskinlæsbar form.