§ 1
Personopplysningsloven
Lov om behandling av personopplysninger (personopplysningsloven)
Sanksjonert/Vedtatt: 15.06.2018
I kraft: 20.07.2018
Departement: Justis- og beredskapsdepartementet
Merknader: Jf. tidligere lov 14. april 2000 nr. 31. Jf. personvernforordningen, også omtalt som GDPR og PVF.
Endringshistorikk
9 endringer, 2018-2022
18
19
20
21
22
Kapittel 1. Personvernforordningen
Kapittel 2. Lovens saklige og geografiske virkeområde
§ 2
Saklig virkeområde og forholdet til andre lover
ved behandling av personopplysninger som utføres av en fysisk person som ledd i rent personlige eller familiemessige aktiviteter for saker som behandles eller avgjøres i medhold av rettspleielovene (domstolloven, straffeprosessloven, tvisteloven og tvangsfullbyrdelsesloven mv.).
§ 3
Forholdet til ytrings- og informasjonsfriheten
samfunnets interesse i behandlingen eller ytringer den leder frem til atferdsnormer, etiske retningslinjer og selvdømmeordninger eller lignende som bidrar til å ivareta den registrertes personvern ved behandlingen negative konsekvenser en anvendelse av bestemmelser i personvernforordningen eller loven her kan få for utøvelsen av ytrings- og informasjonsfriheten konsekvensene behandlingen kan få for den registrerte, og om den registrerte har et særskilt behov for vern.
§ 4
Geografisk virkeområde
tilbud av varer eller tjenester til slike registrerte i Norge, uavhengig av om det kreves betaling fra den registrerte eller ikke, eller monitorering av deres atferd, i den grad deres atferd finner sted i Norge.
Kapittel 3. Utfyllende regler om behandling av personopplysninger
§ 5
Barns samtykke i forbindelse med informasjonssamfunnstjenester
§ 6
Behandling av særlige kategorier av personopplysninger i arbeidsforhold
§ 7
Behandling av særlige kategorier av personopplysninger etter tillatelse eller forskrift
§ 8
Behandling av personopplysninger for arkivformål i allmennhetens interesse, formål knyttet til vitenskapelig eller historisk forskning eller statistiske formål
§ 9
Behandling av særlige kategorier av personopplysninger uten samtykke for arkivformål i allmennhetens interesse, formål knyttet til vitenskapelig eller historisk forskning eller statistiske formål
§ 10
Rådføringsplikt før behandling av særlige kategorier av personopplysninger for forskningsformål på grunnlag av samtykke
§ 11
Behandling av personopplysninger om straffedommer og lovovertredelser mv.
den registrertes samtykke, uten hensyn til om behandlingen utføres under en offentlig myndighets kontroll eller ikke § 8 i loven her, dersom behandlingen utføres under en offentlig myndighets kontroll.
§ 12
Bruk av fødselsnummer og andre entydige identifikasjonsmidler
§ 12 a
Adgang for offentlige myndigheter til å utlevere personopplysninger i arbeidet mot arbeidslivskriminalitet
§ 13
Forskrifter om overføring av personopplysninger til tredjestater eller internasjonale organisasjoner
§ 14
Forskrifter om forhåndsdrøfting og forhåndsgodkjenning
§ 15
Forskrifter om gjennomføring av delegerte rettsakter og gjennomføringsrettsakter
Kapittel 4. Unntak fra den registrertes rettigheter
§ 16
Unntak fra retten til informasjon og innsyn og plikten til underretning om brudd på personopplysningssikkerheten
er av betydning for Norges utenrikspolitiske interesser eller nasjonale forsvars- og sikkerhetsinteresser, når den behandlingsansvarlige kan unnta opplysningene etter offentleglova §§ 20 eller 21 det er påkrevd å hemmeligholde av hensyn til forebygging, etterforskning, avsløring og rettslig forfølgning av straffbare handlinger det må anses utilrådelig at den registrerte får kjennskap til av hensyn til vedkommendes helse eller forholdet til personer som står vedkommende nær i lov eller med hjemmel i lov er underlagt taushetsplikt utelukkende finnes i tekst som er utarbeidet for intern saksforberedelse, og som heller ikke er utlevert til andre, så langt det er nødvendig å nekte innsyn for å sikre forsvarlige interne avgjørelsesprosesser det vil være i strid med åpenbare og grunnleggende private eller offentlige interesser å informere om.
§ 17
Unntak fra den registrertes rettigheter ved behandling av personopplysninger for arkivformål i allmennhetens interesse, vitenskapelige eller historiske forskningsformål og statistiske formål
det vil kreve en uforholdsmessig stor innsats å gi innsyn eller innsynsrett sannsynligvis vil gjøre det umulig eller i alvorlig grad hindre at målene med behandlingen nås.
Kapittel 5. Personvernombud
§ 18
Personvernombudets taushetsplikt
noens personlige forhold tekniske innretninger, produksjonsmetoder, forretningsmessige analyser og beregninger og forretningshemmeligheter ellers når opplysningene er av en slik art at andre kan utnytte dem i sin egen næringsvirksomhet sikkerhetstiltak etter personvernforordningen artikkel 32 enkeltpersoners varsling om overtredelser av loven her.
§ 19
Forskrifter om plikt til å utpeke personvernombud
Kapittel 6. Tilsyn og klage
§ 20
Datatilsynet
bestemmelser i loven her og i forskrifter gitt med hjemmel i loven her bestemmelser om behandling av personopplysninger i andre lover og forskrifter, så langt behandlingen faller innenfor lovens og personvernforordningens virkeområde etter § 2.
§ 21
Årsrapport fra Datatilsynet
§ 22
Personvernnemnda
§ 23
Tilgang til opplysninger
§ 24
Taushetsplikt
§ 25
Partsstilling
Kapittel 7. Sanksjoner og tvangsmulkt
§ 26
Overtredelsesgebyr
§ 27
Oppfyllelsesfrist og domstolsprøving i saker om overtredelsesgebyr
§ 28
Foreldelse
§ 29
Tvangsmulkt
§ 30
Erstatning for ikke-økonomisk skade
Kapittel 8. Uekte kameraovervåkingsutstyr mv.
§ 31
Uekte kameraovervåkingsutstyr mv.
Kapittel 9. Ikrafttredelse. Overgangsregler. Endringer i andre lover
§ 32
Ikrafttredelse
§ 33
Overgangsregler
§ 34
Endringer i andre lover
EUROPAPARLAMENTS- OG RÅDSFORORDNING (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger samt om oppheving av direktiv 95/46/EF (generell personvernforordning) [PVF, GDPR]
§ Artikkel 1
Formål og mål
Artikkel 1. Formål og mål
§ Artikkel 2
Saklig virkeområde
Artikkel 2. Saklig virkeområde
i forbindelse med utøvelse av en aktivitet som ikke omfattes av unionsretten, av medlemsstatene når de utøver aktiviteter som omfattes av avdeling V kapittel 2 i TEU, av en fysisk person som ledd i rent personlige eller familiemessige aktiviteter, av vedkommende myndigheter med henblikk på å forebygge, etterforske, avsløre eller straffeforfølge straffbare forhold eller iverksette strafferettslige sanksjoner, herunder vern mot og forebygging av trusler mot den offentlige sikkerhet.
§ Artikkel 3
Geografisk virkeområde
Artikkel 3. Geografisk virkeområde
tilbud av varer eller tjenester til slike registrerte i Unionen, uavhengig av om det kreves betaling fra den registrerte eller ikke, eller monitorering av deres atferd, i den grad deres atferd finner sted i Unionen.
§ Artikkel 4
Definisjoner
Artikkel 4. Definisjoner
«personopplysninger» enhver opplysning om en identifisert eller identifiserbar fysisk person («den registrerte»); en identifiserbar fysisk person er en person som direkte eller indirekte kan identifiseres, særlig ved hjelp av en identifikator, f.eks. et navn, et identifikasjonsnummer, lokaliseringsopplysninger, en nettidentifikator eller ett eller flere elementer som er spesifikke for nevnte fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sosiale identitet, «behandling» enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger, enten automatisert eller ikke, f.eks. innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring, «begrensning av behandling» merking av lagrede personopplysninger med det som mål å begrense behandlingen av disse i framtiden, «profilering» enhver form for automatisert behandling av personopplysninger som innebærer å bruke personopplysninger for å vurdere visse personlige aspekter knyttet til en fysisk person, særlig for å analysere eller forutsi aspekter som gjelder nevnte fysiske persons arbeidsprestasjoner, økonomiske situasjon, helse, personlige preferanser, interesser, pålitelighet, atferd, plassering eller bevegelser, «pseudonymisering» behandling av personopplysninger på en slik måte at personopplysningene ikke lenger kan knyttes til en bestemt registrert uten bruk av tilleggsopplysninger, forutsatt at nevnte tilleggsopplysninger lagres atskilt og omfattes av tekniske og organisatoriske tiltak som sikrer at personopplysningene ikke kan knyttes til en identifisert eller identifiserbar fysisk person, «register» enhver strukturert samling av personopplysninger som er tilgjengelig etter særlige kriterier, enten samlingen er plassert sentralt, er desentralisert eller spredt på et funksjonelt eller geografisk grunnlag, «behandlingsansvarlig» en fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert annet organ som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes; når formålet med og midlene for behandlingen er fastsatt i unionsretten eller i medlemsstatenes nasjonale rett, kan den behandlingsansvarlige, eller de særlige kriteriene for utpeking av vedkommende, fastsettes i unionsretten eller i medlemsstatenes nasjonale rett, «databehandler» en fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ som behandler personopplysninger på vegne av den behandlingsansvarlige, «mottaker» en fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ som personopplysninger utleveres til, enten det dreier seg om en tredjepart eller ikke. Offentlige myndigheter som kan motta personopplysninger innenfor rammen av en særskilt undersøkelse i samsvar med unionsretten eller medlemsstatenes nasjonale rett, skal imidlertid ikke anses som mottakere; nevnte offentlige myndigheters behandling av slike opplysninger skal være i samsvar med gjeldende regler om vern av personopplysninger i henhold til formålet med behandlingen, «tredjepart» enhver annen fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ enn den registrerte, den behandlingsansvarlige, databehandleren og de personer som under den behandlingsansvarlige eller databehandlerens direkte myndighet har fullmakt til å behandle personopplysninger, «samtykke» fra den registrerte enhver frivillig, spesifikk, informert og utvetydig viljesytring fra den registrerte der vedkommende ved en erklæring eller en tydelig bekreftelse gir sitt samtykke til behandling av personopplysninger som gjelder vedkommende, «brudd på personopplysningssikkerheten» et brudd på sikkerheten som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, ulovlig spredning av eller tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet, «genetiske opplysninger» personopplysninger om en fysisk persons nedarvede eller ervervede genetiske egenskaper som gir unik informasjon om den aktuelle fysiske personens fysiologi eller helse, og som særlig er framkommet etter analysering av en biologisk prøve fra den aktuelle fysiske personen, «biometriske opplysninger» personopplysninger som stammer fra en særskilt teknisk behandling knyttet til en fysisk persons fysiske, fysiologiske eller atferdsmessige egenskaper, og som muliggjør eller bekrefter en entydig identifikasjon av nevnte fysiske person, f.eks. ansiktsbilder eller fingeravtrykksopplysninger, «helseopplysninger» personopplysninger om en fysisk persons fysiske eller psykiske helse, herunder om ytelse av helsetjenester, som gir informasjon om vedkommendes helsetilstand, «hovedvirksomhet»: når det gjelder en behandlingsansvarlig med virksomheter i mer enn én medlemsstat, stedet for dennes hovedadministrasjon i Unionen, med mindre avgjørelser om formål og midler i forbindelse med behandlingen av personopplysninger treffes i en annen av den behandlingsansvarliges virksomheter i Unionen, og sistnevnte virksomhet har myndighet til å få gjennomført nevnte avgjørelser, i dette tilfellet skal virksomheten som har truffet slike avgjørelser, anses for å være hovedvirksomheten, når det gjelder en databehandler med virksomheter i mer enn én medlemsstat, stedet for dennes hovedadministrasjon i Unionen eller, dersom databehandleren ikke har noen hovedadministrasjon i Unionen, databehandlerens virksomhet i Unionen der hoveddelen av behandlingsaktivitetene i forbindelse med aktivitetene ved en databehandlers virksomhet finner sted, i den grad databehandleren er underlagt særlige forpliktelser i henhold til denne forordning,
«representant» en fysisk eller juridisk person som er etablert i Unionen, som den behandlingsansvarlige eller databehandleren har utpekt skriftlig i henhold til artikkel 27, og som representerer den behandlingsansvarlige eller databehandleren med hensyn til de forpliktelser de har i henhold til denne forordning, «foretak» en fysisk eller juridisk person som utøver økonomisk virksomhet, uavhengig av foretakets rettslige form, herunder partnerskap eller sammenslutninger som regelmessig utøver økonomisk virksomhet, «konsern» et foretak som utøver kontroll, og dets kontrollerte foretak, «bindende virksomhetsregler» retningslinjer for vern av personopplysninger som en behandlingsansvarlig eller databehandler som er etablert på en medlemsstats territorium, følger i forbindelse med en overføring eller en rekke overføringer av personopplysninger til en behandlingsansvarlig eller databehandler i én eller flere tredjestater internt i et konsern eller gruppe av foretak som utøver en felles økonomisk virksomhet, «tilsynsmyndighet» en uavhengig offentlig myndighet som er opprettet av en medlemsstat i henhold til artikkel 51, «berørt tilsynsmyndighet» en tilsynsmyndighet som er berørt av en behandling av personopplysninger, fordi den behandlingsansvarlige eller databehandleren er etablert på territoriet til nevnte tilsynsmyndighets medlemsstat, registrerte som er bosatt i nevnte tilsynsmyndighets medlemsstat, i vesentlig grad påvirkes eller sannsynligvis vil bli påvirket av behandlingen, eller det er klaget til nevnte tilsynsmyndighet,
«grenseoverskridende behandling» behandling av personopplysninger som finner sted i forbindelse med aktiviteter i en behandlingsansvarligs eller databehandlers virksomheter i mer enn én medlemsstat, dersom den behandlingsansvarlige eller databehandleren er etablert i mer enn én medlemsstat, eller behandling av personopplysninger som finner sted i forbindelse med aktiviteter i en behandlingsansvarligs eller databehandlers eneste virksomhet i Unionen, men som i betydelig grad påvirker eller sannsynligvis vil påvirke registrerte i mer enn én medlemsstat.
«relevant og begrunnet innsigelse» en innsigelse mot et utkast til avgjørelse om hvorvidt det foreligger en overtredelse av denne forordning eller om hvorvidt et planlagt tiltak som gjelder den behandlingsansvarlige eller databehandleren, er i samsvar med denne forordning, og som tydelig viser betydningen av risikoene som utkastet til avgjørelse utgjør med hensyn til de registrertes grunnleggende rettigheter og friheter og, dersom det er relevant, den frie flyten av personopplysninger i Unionen, «informasjonssamfunnstjeneste» en tjeneste som definert i artikkel 1 nr. 1 bokstav b) i europaparlaments- og rådsdirektiv (EU) 2015/1535,1 «internasjonal organisasjon» en organisasjon og dens underordnede organer som er underlagt folkeretten, eller ethvert annet organ opprettet ved eller på grunnlag av en avtale mellom to eller flere stater.
§ Artikkel 5
Prinsipper for behandling av personopplysninger
Artikkel 5. Prinsipper for behandling av personopplysninger
behandles på en lovlig, rettferdig og åpen måte med hensyn til den registrerte («lovlighet, rettferdighet og åpenhet»), samles inn for spesifikke, uttrykkelig angitte og berettigede formål og ikke viderebehandles på en måte som er uforenlig med disse formålene; viderebehandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål skal, i samsvar med artikkel 89 nr. 1, ikke anses som uforenlig med de opprinnelige formålene («formålsbegrensning»), være adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for («dataminimering»), være korrekte og om nødvendig oppdaterte; det må treffes ethvert rimelig tiltak for å sikre at personopplysninger som er uriktige med hensyn til formålene de behandles for, uten opphold slettes eller rettes («riktighet»), lagres slik at det ikke er mulig å identifisere de registrerte i lengre perioder enn det som er nødvendig for formålene som personopplysningene behandles for; personopplysninger kan lagres i lengre perioder dersom de utelukkende vil bli behandlet for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1, forutsatt at det gjennomføres egnede tekniske og organisatoriske tiltak som kreves i henhold til denne forordning for å sikre de registrertes rettigheter og friheter («lagringsbegrensning»), behandles på en måte som sikrer tilstrekkelig sikkerhet for personopplysningene, herunder vern mot uautorisert eller ulovlig behandling og mot utilsiktet tap, ødeleggelse eller skade, ved bruk av egnede tekniske eller organisatoriske tiltak («integritet og konfidensialitet»).
§ Artikkel 6
Behandlingens lovlighet
Artikkel 6. Behandlingens lovlighet
den registrerte har samtykket til behandling av sine personopplysninger for ett eller flere spesifikke formål, behandlingen er nødvendig for å oppfylle en avtale som den registrerte er part i, eller for å gjennomføre tiltak på den registrertes anmodning før en avtaleinngåelse, behandlingen er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige, behandlingen er nødvendig for å verne den registrertes eller en annen fysisk persons vitale interesser, behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt, behandlingen er nødvendig for formål knyttet til de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, med mindre den registrertes interesser eller grunnleggende rettigheter og friheter går foran og krever vern av personopplysninger, særlig dersom den registrerte er et barn.
unionsretten eller medlemsstatens nasjonale rett som den behandlingsansvarlige er underlagt.
enhver forbindelse mellom formålene som personopplysningene er blitt samlet inn for, og formålene med den tiltenkte viderebehandlingen, i hvilken sammenheng personopplysningene er blitt samlet inn, særlig med hensyn til forholdet mellom de registrerte og den behandlingsansvarlige, personopplysningenes art, især om særlige kategorier av personopplysninger behandles, i henhold til artikkel 9, eller om personopplysninger om straffedommer og lovovertredelser behandles, i henhold til artikkel 10, de mulige konsekvensene av den tiltenkte viderebehandlingen for de registrerte, om det foreligger nødvendige garantier, som kan omfatte kryptering eller pseudonymisering.
§ Artikkel 7
Vilkår for samtykke
Artikkel 7. Vilkår for samtykke
§ Artikkel 8
Vilkår for barns samtykke i forbindelse med informasjonssamfunnstjenester
Artikkel 8. Vilkår for barns samtykke i forbindelse med informasjonssamfunnstjenester
§ Artikkel 9
Behandling av særlige kategorier av personopplysninger
Artikkel 9. Behandling av særlige kategorier av personopplysninger
Den registrerte har gitt uttrykkelig samtykke til behandling av slike personopplysninger for ett eller flere spesifikke formål, unntatt dersom det i unionsretten eller medlemsstatenes nasjonale rett er fastsatt at den registrerte ikke kan oppheve forbudet nevnt i nr. 1. Behandlingen er nødvendig for at den behandlingsansvarlige eller den registrerte skal kunne oppfylle sine forpliktelser og utøve sine særlige rettigheter på området arbeidsrett, trygderett og sosialrett i den grad dette er tillatt i henhold til unionsretten eller medlemsstatenes nasjonale rett, eller en tariffavtale i henhold til medlemsstatenes nasjonale rett som gir nødvendige garantier for den registrertes grunnleggende rettigheter og interesser. Behandlingen er nødvendig for å verne den registrertes eller en annen fysisk persons vitale interesser dersom den registrerte fysisk eller juridisk ikke er i stand til å gi samtykke. Behandlingen utføres av en stiftelse, sammenslutning eller et annet ideelt organ hvis mål er av politisk, religiøs eller fagforeningsmessig art, som ledd i organets berettigede aktiviteter og med nødvendige garantier, forutsatt at behandlingen bare gjelder organets medlemmer eller tidligere medlemmer eller personer som på grunn av organets mål har regelmessig kontakt med det, og at personopplysningene ikke utleveres til andre enn nevnte organ uten de registrertes samtykke. Behandlingen gjelder personopplysninger som det er åpenbart at den registrerte har offentliggjort. Behandlingen er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav eller når domstolene handler innenfor rammen av sin domsmyndighet. Behandlingen er nødvendig av hensyn til viktige allmenne interesser, på grunnlag av unionsretten eller medlemsstatenes nasjonale rett som skal stå i et rimelig forhold til det mål som søkes oppnådd, være forenlig med det grunnleggende innholdet i retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser. Behandlingen er nødvendig i forbindelse med forebyggende medisin eller arbeidsmedisin for å vurdere en arbeidstakers arbeidskapasitet, i forbindelse med medisinsk diagnostikk, yting av helse- eller sosialtjenester, behandling eller forvaltning av helse- eller sosialtjenester og -systemer på grunnlag av unionsretten eller medlemsstatenes nasjonale rett eller i henhold til en avtale med helsepersonell og med forbehold for vilkårene og garantiene nevnt i nr. 3. Behandlingen er nødvendig av allmenne folkehelsehensyn, f.eks. vern mot alvorlige grenseoverskridende helsetrusler eller for å sikre høye kvalitets- og sikkerhetsstandarder for helsetjenester og legemidler eller medisinsk utstyr, på grunnlag av unionsretten eller medlemsstatenes nasjonale rett der det fastsettes egnede og særlige tiltak for å verne den registrertes rettigheter og friheter, særlig taushetsplikt. Behandlingen er nødvendig for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1 på grunnlag av unionsretten eller medlemsstatenes nasjonale rett som skal stå i et rimelig forhold til det mål som søkes oppnådd, være forenlig med det grunnleggende innholdet i retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser.
§ Artikkel 10
Behandling av personopplysninger om straffedommer og lovovertredelser
Artikkel 10. Behandling av personopplysninger om straffedommer og lovovertredelser
§ Artikkel 11
Behandling som ikke krever identifikasjon
Artikkel 11. Behandling som ikke krever identifikasjon
§ Artikkel 12
Klar og tydelig informasjon, kommunikasjon og nærmere regler om utøvelse av den registrertes rettigheter
Artikkel 12. Klar og tydelig informasjon, kommunikasjon og nærmere regler om utøvelse av den registrertes rettigheter
kreve et rimelig gebyr, idet det tas hensyn til administrasjonskostnadene for å gi informasjonen eller treffe de tiltak det anmodes om, eller nekte å etterkomme anmodningen.
§ Artikkel 13
Informasjon som skal gis ved innsamling av personopplysninger fra den registrerte
Artikkel 13. Informasjon som skal gis ved innsamling av personopplysninger fra den registrerte
identiteten og kontaktopplysningene til den behandlingsansvarlige og eventuelt den behandlingsansvarliges representant, kontaktopplysningene til personvernombudet, dersom dette er relevant, formålene med den tiltenkte behandlingen av personopplysningene samt det rettslige grunnlaget for behandlingen, dersom behandlingen er basert på artikkel 6 nr. 1 bokstav f), de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, eventuelle mottakere eller kategorier av mottakere av personopplysningene, dersom det er relevant, det faktum at den behandlingsansvarlige akter å overføre personopplysninger til en tredjestat eller en internasjonal organisasjon og om hvorvidt Kommisjonen har truffet en beslutning om tilstrekkelig beskyttelsesnivå eller ikke, eller når det gjelder overføringene nevnt i artikkel 46 eller 47 eller artikkel 49 nr. 1 annet ledd, en henvisning til nødvendige eller passende garantier, hvordan man får tak i et eksemplar av dem, eller hvor de er gjort tilgjengelig.
det tidsrom personopplysningene vil bli lagret, eller dersom dette ikke er mulig, kriteriene som brukes for å fastsette dette tidsrommet, retten til å anmode den behandlingsansvarlige om innsyn i og retting eller sletting av personopplysninger eller begrensning av behandlingen som gjelder den registrerte, eller til å protestere mot behandlingen samt retten til dataportabilitet, dersom behandlingen er basert på artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a), retten til når som helst å trekke tilbake et samtykke uten at det påvirker lovligheten av en behandling basert på et samtykke før samtykket trekkes tilbake, retten til å klage til en tilsynsmyndighet, om det foreligger et lovfestet eller avtalefestet krav om å gi personopplysninger eller et krav som er nødvendig for å inngå en avtale, samt om den registrerte har plikt til å gi personopplysningene og om mulige konsekvenser dersom vedkommende ikke gjør det, forekomsten av automatiserte avgjørelser, herunder profilering, som nevnt i artikkel 22 nr. 1 og 4, og, i det minste i nevnte tilfeller, relevant informasjon om den underliggende logikken samt om betydningen og de forventede konsekvensene av en slik behandling for den registrerte.
§ Artikkel 14
Informasjon som skal gis dersom personopplysninger ikke er blitt samlet inn fra den registrerte
Artikkel 14. Informasjon som skal gis dersom personopplysninger ikke er blitt samlet inn fra den registrerte
identiteten og kontaktopplysningene til den behandlingsansvarlige og eventuelt den behandlingsansvarliges representant, kontaktopplysningene til personvernombudet, dersom dette er relevant, formålene med den tiltenkte behandlingen av personopplysningene samt det rettslige grunnlaget for behandlingen, de berørte kategoriene av personopplysninger, eventuelle mottakere eller kategorier av mottakere av personopplysningene, dersom det er relevant, at den behandlingsansvarlige har til hensikt å overføre personopplysninger til en mottaker i en tredjestat eller en internasjonal organisasjon og om hvorvidt Kommisjonen har truffet en beslutning om tilstrekkelig beskyttelsesnivå eller ikke, eller, når det gjelder overføringene nevnt i artikkel 46 eller 47 eller artikkel 49 nr. 1 annet ledd, en henvisning til nødvendige eller passende garantier, hvordan man får tak i et eksemplar av dem eller hvor de er gjort tilgjengelig.
det tidsrom personopplysningene vil bli lagret, eller dersom dette ikke er mulig, kriteriene som brukes for å fastsette dette tidsrommet, dersom behandlingen er basert på artikkel 6 nr. 1 bokstav f), de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, retten til å anmode den behandlingsansvarlige om innsyn i og retting eller sletting av personopplysninger eller begrensning av behandlingen som gjelder den registrerte, og til å protestere mot behandlingen samt retten til dataportabilitet, dersom behandlingen er basert på artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a), retten til når som helst å trekke tilbake et samtykke uten at det påvirker lovligheten av en behandling basert på et samtykke før samtykket trekkes tilbake, retten til å klage til en tilsynsmyndighet, fra hvilken kilde personopplysningene stammer fra, og, dersom det er relevant, om de stammer fra offentlig tilgjengelige kilder, forekomsten av automatiserte avgjørelser, herunder profilering, som nevnt i artikkel 22 nr. 1 og 4, og, i det minste i nevnte tilfeller, relevant informasjon om den underliggende logikken samt om betydningen og de forventede konsekvensene av en slik behandling for den registrerte.
innen en rimelig frist etter at personopplysningene er samlet inn, men senest innen én måned, idet det tas hensyn til de særlige forholdene som personopplysningene er behandlet under, dersom personopplysningene skal brukes til å kommunisere med den registrerte, senest på tidspunktet for den første kommunikasjonen med vedkommende, eller dersom det er planlagt at personopplysningene skal utleveres til en annen mottaker, senest når personopplysningene første gang utleveres.
den registrerte allerede har informasjonen, det viser seg umulig å gi nevnte informasjon eller det vil innebære en uforholdsmessig stor innsats, særlig i forbindelse med behandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i henhold til vilkårene og garantiene nevnt i artikkel 89 nr. 1, eller i den grad forpliktelsen nevnt i nr. 1 i denne artikkel sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås. I slike tilfeller skal den behandlingsansvarlige treffe egnede tiltak for å verne den registrertes rettigheter og friheter og berettigede interesser, herunder gjøre informasjonen offentlig tilgjengelig, innsamling eller utlevering er uttrykkelig fastsatt i unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, og som inneholder egnede tiltak for å verne den registrertes berettigede interesser, eller dersom personopplysningene må holdes konfidensielle som følge av taushetsplikt i henhold til unionsretten eller medlemsstatenes nasjonale rett, herunder en lovfestet taushetsplikt.
§ Artikkel 15
Den registrertes rett til innsyn
Artikkel 15. Den registrertes rett til innsyn
formålene med behandlingen, de berørte kategoriene av personopplysninger, mottakerne eller kategoriene av mottakere som personopplysningene er blitt eller vil bli utlevert til, særlig mottakere i tredjestater eller internasjonale organisasjoner, dersom det er mulig, hvor lenge det forventes at personopplysningene vil bli lagret, eller, dersom dette ikke er mulig, kriteriene som brukes for å fastsette denne perioden, retten til å anmode den behandlingsansvarlige om retting eller sletting av personopplysninger eller begrensning av behandlingen av personopplysninger som gjelder den registrerte, eller til å protestere mot nevnte behandling, retten til å klage til en tilsynsmyndighet, dersom personopplysningene ikke er samlet inn fra den registrerte, all tilgjengelig informasjon om hvor personopplysningene stammer fra, forekomsten av automatiserte avgjørelser, herunder profilering, som nevnt i artikkel 22 nr. 1 og 4, og, i det minste i nevnte tilfeller, relevant informasjon om den underliggende logikken samt om betydningen og de forventede konsekvensene av en slik behandling for den registrerte.
§ Artikkel 16
Rett til retting
Artikkel 16. Rett til retting
§ Artikkel 17
Rett til sletting («rett til å bli glemt»)
Artikkel 17. Rett til sletting («rett til å bli glemt»)
personopplysningene er ikke lenger nødvendige for formålet som de ble samlet inn eller behandlet for, den registrerte trekker tilbake samtykket som ligger til grunn for behandlingen, i henhold til artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a), og det ikke finnes noe annet rettslig grunnlag for behandlingen, den registrerte protesterer mot behandlingen i henhold til artikkel 21 nr. 1, og det ikke finnes mer tungtveiende berettigede grunner til behandlingen, eller den registrerte protesterer mot behandlingen i henhold til artikkel 21 nr. 2, personopplysningene er blitt behandlet ulovlig, personopplysningene må slettes for å oppfylle en rettslig forpliktelse i unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, personopplysningene er blitt samlet inn i forbindelse med tilbud om informasjonssamfunnstjenester som nevnt i artikkel 8 nr. 1.
for å utøve retten til ytrings- og informasjonsfrihet, for å oppfylle en rettslig forpliktelse som krever behandling i henhold til unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, eller for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt, av hensyn til allmennhetens interesse på området folkehelse i samsvar med artikkel 9 nr. 2 bokstav h) og i) og artikkel 9 nr. 3, for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1 i den grad rettigheten nevnt i nr. 1 sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås, eller for å fastsette, gjøre gjeldende eller forsvare rettskrav.
§ Artikkel 18
Rett til begrensning av behandling
Artikkel 18. Rett til begrensning av behandling
den registrerte bestrider riktigheten av personopplysningene, i en periode som gjør det mulig for den behandlingsansvarlige å kontrollere riktigheten av personopplysningene, behandlingen er ulovlig og den registrerte motsetter seg sletting av personopplysningene og isteden anmoder om at bruken av personopplysningene begrenses, den behandlingsansvarlige ikke lenger trenger personopplysningene til formålet med behandlingen, men den registrerte har behov for disse for å fastsette, gjøre gjeldende eller forsvare rettskrav, den registrerte har protestert mot behandling i henhold til artikkel 21 nr. 1 i påvente av kontrollen av om hvorvidt den behandlingsansvarliges berettigede grunner går foran den registrertes.
§ Artikkel 19
Underretningsplikt i forbindelse med retting eller sletting av personopplysninger eller begrensning av behandling
Artikkel 19. Underretningsplikt i forbindelse med retting eller sletting av personopplysninger eller begrensning av behandling
§ Artikkel 20
Rett til dataportabilitet
Artikkel 20. Rett til dataportabilitet
behandlingen er basert på samtykke i henhold til artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a) eller en avtale i henhold til artikkel 6 nr. 1 bokstav b), og behandlingen utføres automatisk.
§ Artikkel 21
Rett til å protestere
Artikkel 21. Rett til å protestere
§ Artikkel 22
Automatiserte individuelle avgjørelser, herunder profilering
Artikkel 22. Automatiserte individuelle avgjørelser, herunder profilering
er nødvendig for å inngå eller oppfylle en avtale mellom den registrerte og en behandlingsansvarlig, er tillatt i henhold til unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, og der det også er fastsatt egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser, eller er basert på den registrertes uttrykkelige samtykke.
§ Artikkel 23
Begrensninger
Artikkel 23. Begrensninger
den nasjonale sikkerhet, forsvaret, den offentlige sikkerhet, forebygging, etterforskning, avsløring eller straffeforfølging av straffbare forhold eller iverksettelse av strafferettslige sanksjoner, herunder vern mot og forebygging av trusler mot den offentlige sikkerhet, andre viktige mål av generell allmenn interesse for Unionen eller en medlemsstat, særlig Unionens eller en medlemsstats viktige økonomiske eller finansielle interesser, herunder valuta-, budsjett- og skattesaker, folkehelse og trygdespørsmål, beskyttelse av rettsvesenets uavhengighet samt retterganger, forebygging, etterforskning, avsløring og straffeforfølging av brudd på yrkesetiske regler i lovregulerte yrker, en kontroll-, tilsyns- eller reguleringsfunksjon som, også midlertidig, er knyttet til utøvelse av offentlig myndighet i tilfellene nevnt i bokstav a)-e) og g), vern av den registrertes interesser eller andres rettigheter og friheter, håndheving av sivilrettslige krav.
formålene med behandlingen eller kategorier av behandling, kategoriene av personopplysninger, omfanget av begrensningene som er innført, garantiene for å unngå misbruk eller ulovlig tilgang eller overføring, spesifisering av den behandlingsansvarlige eller kategoriene av behandlingsansvarlige, lagringsperioder og gjeldende garantier, idet det tas hensyn til arten, omfanget av og formålene med behandlingen eller kategoriene av behandling, risikoene for de registrertes rettigheter og friheter og de registrertes rett til å bli underrettet om begrensningen, med mindre dette kan skade formålet med begrensningen.
§ Artikkel 24
Den behandlingsansvarliges ansvar
Artikkel 24. Den behandlingsansvarliges ansvar
§ Artikkel 25
Innebygd personvern og personvern som standardinnstilling
Artikkel 25. Innebygd personvern og personvern som standardinnstilling
§ Artikkel 26
Felles behandlingsansvarlige
Artikkel 26. Felles behandlingsansvarlige
§ Artikkel 27
Representanter for behandlingsansvarlige eller databehandlere som ikke er etablert i Unionen
Artikkel 27. Representanter for behandlingsansvarlige eller databehandlere som ikke er etablert i Unionen
behandling som skjer leilighetsvis, som ikke omfatter behandling i stor skala av særlige kategorier av opplysninger som nevnt i artikkel 9 nr. 1, eller behandling av personopplysninger om straffedommer eller lovovertredelser som nevnt i artikkel 10, og som sannsynligvis ikke vil medføre en risiko for fysiske personers rettigheter og friheter, idet det tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i, eller en offentlig myndighet eller et offentlig organ.
§ Artikkel 28
Databehandler
Artikkel 28. Databehandler
behandler personopplysningene bare på dokumenterte instrukser fra den behandlingsansvarlige, herunder med hensyn til overføring av personopplysninger til en tredjestat eller en internasjonal organisasjon, med mindre det kreves i henhold til unionsretten eller medlemsstatenes nasjonale rett som databehandleren er underlagt; i så fall skal databehandleren underrette den behandlingsansvarlige om nevnte rettslige krav før behandlingen, men mindre denne rett av hensyn til viktige allmenne interesser forbyr en slik underretning, sikrer at personer som er autorisert til å behandle personopplysningene, har forpliktet seg til å behandle opplysningene konfidensielt eller er underlagt en egnet lovfestet taushetsplikt, treffer alle tiltak som er nødvendig i henhold til artikkel 32, overholder vilkårene nevnt i nr. 2 og 4 når det gjelder å engasjere en annen databehandler, idet det tas hensyn til behandlingens art og i den grad det er mulig, bistår, ved hjelp av egnede tekniske og organisatoriske tiltak, den behandlingsansvarlige med å oppfylle vedkommendes plikt til å svare på anmodninger som den registrerte inngir med henblikk på å utøve sine rettigheter fastsatt i kapittel III, bistår den behandlingsansvarlige med å sikre overholdelse av forpliktelsene i henhold til artikkel 32-36, idet det tas hensyn til behandlingens art og den informasjonen som er tilgjengelig for databehandleren, etter den behandlingsansvarliges valg, sletter eller tilbakeleverer alle personopplysninger til den behandlingsansvarlige etter at tjenestene knyttet til behandlingen er levert, og sletter eksisterende kopier, med mindre unionsretten eller medlemsstatenes nasjonale rett krever at personopplysningene lagres, gjør tilgjengelig for den behandlingsansvarlige all informasjon som er nødvendig for å påvise at forpliktelsene fastsatt i denne artikkel er oppfylt, samt muliggjør og bidrar til revisjoner, herunder inspeksjoner, som gjennomføres av den behandlingsansvarlige eller en annen revisor på fullmakt fra den behandlingsansvarlige.
§ Artikkel 29
Behandling som utføres for den behandlingsansvarlige eller databehandleren
Artikkel 29. Behandling som utføres for den behandlingsansvarlige eller databehandleren
§ Artikkel 30
Protokoller over behandlingsaktiviteter
Artikkel 30. Protokoller over behandlingsaktiviteter
navnet på og kontaktopplysningene til den behandlingsansvarlige og, dersom det er relevant, den felles behandlingsansvarlige, den behandlingsansvarliges representant og personvernombudet, formålene med behandlingen, en beskrivelse av kategoriene av registrerte og kategoriene av personopplysninger, kategoriene av mottakere som personopplysningene er blitt eller vil bli utlevert til, herunder mottakere i tredjestater eller internasjonale organisasjoner, dersom det er relevant, overføringer av personopplysninger til en tredjestat eller en internasjonal organisasjon, herunder identifikasjon av nevnte tredjestat eller internasjonale organisasjon og, ved overføringer nevnt i artikkel 49 nr. 1 annet ledd, dokumentasjon på nødvendige garantier, dersom det er mulig, de planlagte tidsfristene for sletting av de forskjellige kategoriene av opplysninger, dersom det er mulig, en generell beskrivelse av de tekniske og organisatoriske sikkerhetstiltakene nevnt i artikkel 32 nr. 1.
navnet på og kontaktopplysningene til databehandleren eller databehandlerne og til hver behandlingsansvarlig som databehandleren opptrer på vegne av, samt, dersom det er relevant, den behandlingsansvarliges eller databehandlerens representant og personvernombudet, kategoriene av behandling utført på vegne av hver behandlingsansvarlig, dersom det er relevant, overføringer av personopplysninger til en tredjestat eller en internasjonal organisasjon, herunder identifikasjon av nevnte tredjestat eller internasjonale organisasjon og, ved overføringer nevnt i artikkel 49 nr. 1 annet ledd, dokumentasjon på nødvendige garantier, dersom det er mulig, en generell beskrivelse av de tekniske og organisatoriske sikkerhetstiltakene nevnt i artikkel 32 nr. 1.
§ Artikkel 31
Samarbeid med tilsynsmyndigheten
Artikkel 31. Samarbeid med tilsynsmyndigheten
§ Artikkel 32
Sikkerhet ved behandlingen
Artikkel 32. Sikkerhet ved behandlingen
pseudonymisering og kryptering av personopplysninger, evne til å sikre vedvarende konfidensialitet, integritet, tilgjengelighet og robusthet i behandlingssystemene og -tjenestene, evne til å gjenopprette tilgjengeligheten og tilgangen til personopplysninger i rett tid dersom det oppstår en fysisk eller teknisk hendelse, en prosess for regelmessig testing, analysering og vurdering av hvor effektive behandlingens tekniske og organisatoriske sikkerhetstiltak er.
§ Artikkel 33
Melding til tilsynsmyndigheten om brudd på personopplysningssikkerheten
Artikkel 33. Melding til tilsynsmyndigheten om brudd på personopplysningssikkerheten
beskrive arten av bruddet på personopplysningssikkerheten, herunder, når det er mulig, kategoriene av og omtrentlig antall registrerte som er berørt, og kategoriene av og omtrentlig antall registreringer av personopplysninger som er berørt, inneholde navnet på og kontaktopplysningene til personvernombudet eller et annet kontaktpunkt der mer informasjon kan innhentes, beskrive de sannsynlige konsekvensene av bruddet på personopplysningssikkerheten, beskrive de tiltak som den behandlingsansvarlige har truffet eller foreslår å treffe for å håndtere bruddet på personopplysningssikkerheten, herunder, dersom det er relevant, tiltak for å redusere eventuelle skadevirkninger som følge av bruddet.
§ Artikkel 34
Underretning av den registrerte om brudd på personopplysningssikkerheten
Artikkel 34. Underretning av den registrerte om brudd på personopplysningssikkerheten
den behandlingsansvarlige har gjennomført egnede tekniske og organisatoriske sikkerhetstiltak, og disse tiltakene er blitt anvendt på personopplysningene som er berørt av bruddet på personopplysningssikkerheten, særlig tiltak som gjør personopplysningene uleselige for enhver person som ikke har autorisert tilgang til dem, f.eks. kryptering, den behandlingsansvarlige har truffet etterfølgende tiltak som sikrer at det ikke lenger er sannsynlig at den høye risikoen for de registrertes rettigheter og friheter nevnt i nr. 1 vil oppstå, det vil innebære en uforholdsmessig stor innsats. Dersom dette er tilfellet, skal allmennheten isteden underrettes, eller det skal treffes et lignende tiltak som sikrer at de registrerte underrettes på en like effektiv måte.
§ Artikkel 35
Vurdering av personvernkonsekvenser
Artikkel 35. Vurdering av personvernkonsekvenser
en systematisk og omfattende vurdering av personlige aspekter ved fysiske personer som er basert på automatisert behandling, herunder profilering, og som danner grunnlag for avgjørelser som har rettsvirkning for den fysiske personen eller på lignende måte i betydelig grad påvirker den fysiske personen, behandling i stor skala av særlige kategorier av opplysninger som nevnt i artikkel 9 nr. 1, eller av personopplysninger om straffedommer og lovovertredelser som nevnt i artikkel 10, eller en systematisk overvåking i stor skala av et offentlig tilgjengelig område.
en systematisk beskrivelse av de planlagte behandlingsaktivitetene og formålene med behandlingen, herunder, dersom det er relevant, den berettigede interessen som forfølges av den behandlingsansvarlige, en vurdering av om behandlingsaktivitetene er nødvendige og står i et rimelig forhold til formålene, en vurdering av risikoene for de registrertes rettigheter og friheter som nevnt i nr. 1, og de planlagte tiltakene for å håndtere risikoene, herunder garantier, sikkerhetstiltak og mekanismer for å sikre vern av personopplysninger og for å påvise at denne forordning overholdes, idet det tas hensyn til de registrertes og andre berørte personers rettigheter og berettigede interesser.
§ Artikkel 36
Forhåndsdrøftinger
Artikkel 36. Forhåndsdrøftinger
dersom det er relevant, ansvarsfordelingen mellom den behandlingsansvarlige, de felles behandlingsansvarlige og databehandlerne som er involvert i behandlingen, særlig ved behandling i et konsern, formålene med og midlene for den planlagte behandlingen, tiltakene og garantiene som er fastsatt for å verne de registrertes rettigheter og friheter i henhold til denne forordning, dersom det er relevant, kontaktopplysningene til personvernombudet, vurderingen av personvernkonsekvenser fastsatt i artikkel 35 og all annen informasjon som tilsynsmyndigheten anmoder om.
§ Artikkel 37
Utpeking av et personvernombud
Artikkel 37. Utpeking av et personvernombud
behandlingen utføres av en offentlig myndighet eller et offentlig organ, bortsett fra domstoler som opptrer innenfor rammen av sin domsmyndighet, den behandlingsansvarliges eller databehandlerens kjernevirksomhet består av behandlingsaktiviteter som på grunn av sin art, sitt omfang og/eller formål krever regelmessig og systematisk monitorering i stor skala av registrerte, eller den behandlingsansvarliges eller databehandlerens kjernevirksomhet består av behandling i stor skala av særlige kategorier av opplysninger i henhold til artikkel 9 eller personopplysninger om straffedommer og lovovertredelser som nevnt i artikkel 10.
§ Artikkel 38
Personvernombudets stilling
Artikkel 38. Personvernombudets stilling
§ Artikkel 39
Personvernombudets oppgaver
Artikkel 39. Personvernombudets oppgaver
informere og gi råd til den behandlingsansvarlige eller databehandleren og de ansatte som utfører behandlingen, om de forpliktelsene de har i henhold til denne forordning, og i henhold til andre av Unionens eller medlemsstatenes bestemmelser om vern av personopplysninger, kontrollere overholdelsen av denne forordning, av andre av Unionens eller medlemsstatenes personvernregler og den behandlingsansvarliges eller databehandlerens personvernretningslinjer, herunder fordeling av ansvar, holdningsskapende tiltak og opplæring av personellet som er involvert i behandlingsaktivitetene, og tilhørende revisjoner, på anmodning gi råd om vurderingen av personvernkonsekvenser og kontrollere gjennomføringen av den i henhold til artikkel 35, samarbeide med tilsynsmyndigheten, fungere som kontaktpunkt for tilsynsmyndigheten ved spørsmål om behandlingen, herunder forhåndsdrøftingene nevnt i artikkel 36, og ved behov rådføre seg med tilsynsmyndigheten om eventuelle andre spørsmål.
§ Artikkel 40
Atferdsnormer
Artikkel 40. Atferdsnormer
rettferdig og åpen behandling, de berettigede interessene som forfølges av behandlingsansvarlige i bestemte sammenhenger, innsamling av personopplysninger, pseudonymisering av personopplysninger, informasjonen som gis allmennheten og de registrerte, utøvelsen av registrertes rettigheter, informasjonen som gis til barn, og vern av barn, samt måten samtykke fra de personer som har foreldreansvar for barn, innhentes på, tiltakene og framgangsmåtene nevnt i artikkel 24 og 25 og tiltakene for å ivareta sikkerheten ved behandlingen nevnt i artikkel 32, melding av brudd på personopplysningssikkerheten til tilsynsmyndigheter og underretning av registrerte om nevnte brudd, overføring av personopplysninger til tredjestater eller internasjonale organisasjoner eller utenrettslige prosesser og andre mekanismer for tvisteløsning mellom behandlingsansvarlige og registrerte med hensyn til behandling, uten at det berører de registrertes rettigheter i henhold til artikkel 77 og 79.
§ Artikkel 41
Kontroll av godkjente atferdsnormer
Artikkel 41. Kontroll av godkjente atferdsnormer
vist at det er uavhengig og har dybdekunnskap om temaet for atferdsnormene på en måte som oppfyller vedkommende tilsynsmyndighets krav, fastsatt framgangsmåter som gjør det mulig å vurdere om berørte behandlingsansvarlige og databehandlere oppfyller vilkårene for anvendelse av atferdsnormene, føre tilsyn med at de overholdes og foreta regelmessige gjennomgåelser av atferdsnormenes virkemåte, fastsatt framgangsmåter og rutiner for behandling av klager på overtredelser av atferdsnormene eller måten de er blitt eller blir gjennomført på av den behandlingsansvarlige eller databehandleren, og gjøre nevnte framgangsmåter og rutiner åpne for de registrerte og allmennheten, og vist, på en måte som oppfyller vedkommende tilsynsmyndighets krav, at oppgavene eller pliktene ikke fører til en interessekonflikt.
§ Artikkel 42
Sertifisering
Artikkel 42. Sertifisering
§ Artikkel 43
Sertifiseringsorganer
Artikkel 43. Sertifiseringsorganer
tilsynsmyndigheten som har kompetanse i henhold til artikkel 55 eller 56, det nasjonale akkrediteringsorganet som er utpekt i samsvar med europaparlaments- og rådsforordning (EF) nr. 765/20081 i samsvar med EN-ISO/IEC 17065/2012, og med tilleggskravene fastsatt av tilsynsmyndigheten som har kompetanse i henhold til artikkel 55 eller 56.
vist at de er uavhengige og har dybdekunnskap om sertifiseringens innhold på en måte som oppfyller vedkommende tilsynsmyndighets krav, forpliktet seg til å overholde kriteriene nevnt i artikkel 42 nr. 5 og som er godkjent av tilsynsmyndigheten som har kompetanse i henhold til artikkel 55 eller 56, eller av Personvernrådet i henhold til artikkel 63, fastsatt framgangsmåter for utstedelse, regelmessig gjennomgåelse og tilbakekalling av en personvernsertifisering og personvernsegl og -merker, fastsatt framgangsmåter og rutiner for behandling av klager på overtredelser av sertifiseringen eller måten sertifiseringen er blitt eller blir gjennomført på av den behandlingsansvarlige eller databehandleren, og gjøre nevnte framgangsmåter og rutiner åpne for de registrerte og allmennheten, og vist, på en måte som oppfyller vedkommende tilsynsmyndighets krav, at deres oppgaver og plikter ikke fører til en interessekonflikt.
§ Artikkel 44
Generelt prinsipp for overføring
Artikkel 44. Generelt prinsipp for overføring
§ Artikkel 45
Overføringer på grunnlag av en beslutning om tilstrekkelig beskyttelsesnivå
Artikkel 45. Overføringer på grunnlag av en beslutning om tilstrekkelig beskyttelsesnivå
prinsippet om rettsstaten, respekt for menneskerettighetene og grunnleggende friheter, relevant lovgivning, både generell og sektorbestemt, herunder om offentlig sikkerhet, forsvar, nasjonal sikkerhet og strafferett og offentlige myndigheters tilgang til personopplysninger samt gjennomføring av nevnte lovgivning, regler om vern av personopplysninger, regler om yrkesutøvelse og sikkerhetstiltak, herunder regler om videreoverføring av personopplysninger til en annen tredjestat eller internasjonal organisasjon som gjelder i nevnte stat eller internasjonale organisasjon, rettspraksis samt effektive og håndhevbare rettigheter for de registrerte og rett til effektiv administrativ og rettslig prøving for de registrerte hvis personopplysninger overføres, om det finnes en eller flere velfungerende, uavhengige tilsynsmyndigheter i tredjestaten eller som en internasjonal organisasjon er underlagt, med ansvar for å sikre og håndheve at reglene for vern av personopplysninger overholdes, herunder tilstrekkelig håndhevingsmyndighet, for å bistå og gi råd til de registrerte når de utøver sine rettigheter, og for samarbeid med tilsynsmyndighetene i medlemsstatene, og de internasjonale forpliktelsene som den berørte tredjestaten eller den internasjonale organisasjonen har påtatt seg, eller andre forpliktelser som følger av rettslig bindende konvensjoner eller instrumenter og av tredjestatens eller organisasjonens deltaking i multilaterale eller regionale systemer, særlig i forbindelse med vern av personopplysninger.
§ Artikkel 46
Overføringer som omfattes av nødvendige garantier
Artikkel 46. Overføringer som omfattes av nødvendige garantier
et rettslig bindende og håndhevbart instrument mellom offentlige myndigheter eller organer, bindende virksomhetsregler i samsvar med artikkel 47, standard personvernbestemmelser vedtatt av Kommisjonen i samsvar med undersøkelsesprosedyren nevnt i artikkel 93 nr. 2, standard personvernbestemmelser vedtatt av en tilsynsmyndighet og godkjent av Kommisjonen i samsvar med undersøkelsesprosedyren nevnt i artikkel 93 nr. 2, godkjente atferdsnormer i henhold til artikkel 40 sammen med bindende og håndhevbare forpliktelser for den behandlingsansvarlige eller databehandleren i tredjestaten om å anvende nødvendige garantier, herunder med hensyn til de registrertes rettigheter, eller en godkjent sertifiseringsmekanisme i henhold til artikkel 42 sammen med bindende og håndhevbare forpliktelser for den behandlingsansvarlige eller databehandleren i tredjestaten om å anvende nødvendige garantier, herunder med hensyn til de registrertes rettigheter.
avtalevilkår mellom den behandlingsansvarlige eller databehandleren og den behandlingsansvarlige, databehandleren eller mottakeren av personopplysninger i tredjestaten eller den internasjonale organisasjonen, eller bestemmelser som skal innføres i administrative ordninger mellom offentlige myndigheter eller organer, og som omfatter håndhevbare og effektive rettigheter for de registrerte.
§ Artikkel 47
Bindende virksomhetsregler
Artikkel 47. Bindende virksomhetsregler
er rettslig bindende og får anvendelse på og håndheves av hvert berørte foretak i konsernet eller gruppen av foretak som utøver en felles økonomisk virksomhet, herunder deres ansatte, uttrykkelig gir de registrerte håndhevbare rettigheter med hensyn til behandling av deres personopplysninger og oppfyller kravene fastsatt i nr. 2.
strukturen og kontaktopplysninger til konsernet eller gruppen av foretak som utøver en felles økonomisk virksomhet, og hvert av dets/dens medlemmer, overføringene eller rekken av overføringer av opplysninger, herunder kategorier av personopplysninger, behandlingstype og -formål, typen av berørte registrerte samt angivelse av den aktuelle tredjestaten eller de aktuelle tredjestatene, reglenes rettslig bindende art, både internt og eksternt, anvendelsen av de allmenne prinsippene for vern av personopplysninger, særlig formålsbegrensning, dataminimering, begrenset lagringstid, datakvalitet, innebygd personvern og personvern som standardinnstilling, rettslig grunnlag for behandlingen, behandling av særlige kategorier av personopplysninger, tiltak for å ivareta datasikkerheten og krav med hensyn til videreoverføring til organer som ikke er bundet av de bindende virksomhetsreglene, rettighetene til registrerte i forbindelse med behandlingen samt midler for å utøve nevnte rettigheter, herunder retten til ikke å være gjenstand for avgjørelser som utelukkende er truffet på grunnlag av automatisert behandling, herunder profilering i samsvar med artikkel 22, retten til å klage til vedkommende tilsynsmyndighet og til vedkommende domstoler i medlemsstatene i samsvar med artikkel 79 samt til å motta erstatning og, dersom det er relevant, godtgjøring for brudd på de bindende virksomhetsreglene, at den behandlingsansvarlige eller databehandleren som er etablert på territoriet til en medlemsstat, påtar seg ansvaret dersom et berørt foretak som ikke er etablert i Unionen, bryter de bindende virksomhetsreglene; den behandlingsansvarlige eller databehandleren skal fritas for nevnte ansvar, helt eller delvis, bare dersom vedkommende beviser at nevnte foretak ikke er ansvarlig for hendelsen som forvoldte skaden, hvordan informasjonen om de bindende virksomhetsreglene, særlig om bestemmelsene nevnt i bokstav d), e) og f) i dette nummer, gis til de registrerte i tillegg til informasjonen nevnt i artikkel 13 og 14, oppgavene til et personvernombud som er utpekt i samsvar med artikkel 37, eller enhver annen person eller enhet med ansvar for å kontrollere at de bindende virksomhetsreglene overholdes i konsernet eller gruppen av foretak som utøver en felles økonomisk virksomhet, samt oppfølging av opplæring og håndtering av klager, framgangsmåtene for å inngi klage, mekanismene i konsernet eller gruppen av foretak som utøver en felles økonomisk virksomhet, for å kontrollere at de bindende virksomhetsreglene overholdes. Nevnte mekanismer skal omfatte personvernrevisjoner og metoder for å sikre korrigerende tiltak for å verne de registrertes rettigheter. Resultatene av en slik kontroll bør meddeles personen eller enheten nevnt i bokstav h) og styret i foretaket som utøver kontroll i et konsern, eller i gruppen av foretak som utøver en felles økonomisk virksomhet, og bør på anmodning være tilgjengelig for vedkommende tilsynsmyndighet, mekanismene for rapportering og registrering av endringer i reglene og for rapportering av nevnte endringer til tilsynsmyndigheten, mekanismene for samarbeid med tilsynsmyndigheten for å sikre at alle foretak i konsernet eller gruppen av foretak som utøver en felles økonomisk virksomhet, overholder reglene, særlig ved å gjøre resultatene av kontrollen av tiltakene nevnt i bokstav j) tilgjengelig for tilsynsmyndigheten, mekanismene for rapportering til vedkommende tilsynsmyndighet av eventuelle lovfestede krav som et foretak i konsernet eller gruppen av foretak som utøver en felles økonomisk virksomhet, er underlagt i en tredjestat, og som sannsynligvis vil ha en betydelig negativ virkning på garantiene fastsatt i de bindende virksomhetsreglene, og egnet opplæring om personvern for personell som har permanent eller regelmessig tilgang til personopplysninger.
§ Artikkel 48
Overføring eller utlevering som ikke er tillatt i henhold til unionsretten
Artikkel 48. Overføring eller utlevering som ikke er tillatt i henhold til unionsretten
§ Artikkel 49
Unntak for særlige situasjoner
Artikkel 49. Unntak for særlige situasjoner
den registrerte uttrykkelig har samtykket til den foreslåtte overføringen etter å ha blitt informert om de mulige risikoene nevnte overføringer kan innebære for vedkommende når det ikke foreligger en beslutning om tilstrekkelig beskyttelsesnivå og nødvendige garantier, overføringen er nødvendig for å oppfylle en avtale mellom den registrerte og den behandlingsansvarlige eller for å gjennomføre tiltak som treffes før avtaleinngåelse på den registrertes anmodning, overføringen er nødvendig for å inngå eller oppfylle en avtale inngått i den registrertes interesse mellom den behandlingsansvarlige og en annen fysisk eller juridisk person, overføringen er nødvendig av hensyn til viktige allmenne interesser, overføringen er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav, overføringen er nødvendig for å verne den registrertes eller andre personers vitale interesser i tilfeller der den registrerte fysisk eller juridisk ikke er i stand til å gi samtykke, overføringen finner sted fra et register som i henhold til unionsretten eller medlemsstatenes nasjonale rett er beregnet på å gi informasjon til allmennheten, og som er tilgjengelig for allmennheten eller for enhver person som kan gjøre gjeldende en berettiget interesse, men bare i den utstrekning vilkårene for offentlig tilgjengelighet fastsatt i unionsretten eller medlemsstatenes nasjonale rett er oppfylt i det særskilte tilfellet.
§ Artikkel 50
Internasjonalt samarbeid om vern av personopplysninger
Artikkel 50. Internasjonalt samarbeid om vern av personopplysninger
utvikle mekanismer for internasjonalt samarbeid for å fremme en effektiv håndheving av regelverket for vern av personopplysninger, yte internasjonal gjensidig bistand ved håndheving av regelverket for vern av personopplysninger, herunder ved underretning, oversending av klager, etterforskningsbistand og informasjonsutveksling, tatt i betraktning nødvendige garantier for vern av personopplysninger og andre grunnleggende rettigheter og friheter, trekke inn relevante berørte parter i drøftinger og aktiviteter som har som mål å fremme internasjonalt samarbeid om håndheving av regelverket for vern av personopplysninger, fremme utveksling av og dokumentasjon på regelverket for vern av personopplysninger og praksis på området, herunder om kompetansekonflikter med tredjestater.
§ Artikkel 51
Tilsynsmyndighet
Artikkel 51. Tilsynsmyndighet
§ Artikkel 52
Uavhengighet
Artikkel 52. Uavhengighet
§ Artikkel 53
Generelle vilkår for medlemmer av tilsynsmyndigheten
Artikkel 53. Generelle vilkår for medlemmer av tilsynsmyndigheten
deres parlament, deres regjering, deres statsoverhode eller et uavhengig organ som har fått ansvar for utnevnelsen i henhold til medlemsstatens nasjonale rett.
§ Artikkel 54
Regler om opprettelse av tilsynsmyndigheten
Artikkel 54. Regler om opprettelse av tilsynsmyndigheten
opprettelse av hver tilsynsmyndighet, de nødvendige kvalifikasjonene og utvelgelseskriteriene for å kunne bli utnevnt som medlem av en tilsynsmyndighet, reglene om og framgangsmåtene for utnevnelse av medlemmet/medlemmene av hver tilsynsmyndighet, varigheten av mandatet til medlemmet/medlemmene av hver tilsynsmyndighet, som skal være minst fire år, bortsett fra den første utnevnelsen etter 24. mai 2016, som kan ha kortere varighet dersom det er nødvendig for å sikre tilsynsmyndighetens uavhengighet ved hjelp av en trinnvis utnevnelsesprosess, om mandatet til medlemmet/medlemmene av hver tilsynsmyndighet kan fornyes, og eventuelt hvor mange ganger, de vilkår som gjelder for forpliktelsene til medlemmet/medlemmene av og personellet hos hver tilsynsmyndighet, forbud mot aktiviteter, yrkesvirksomhet og fordeler som er uforenlige med disse i og etter utnevnelsesperioden, samt regler om avslutning av arbeidsforholdet.
§ Artikkel 55
Kompetanse
Artikkel 55. Kompetanse
§ Artikkel 56
Den ledende tilsynsmyndighets kompetanse
Artikkel 56. Den ledende tilsynsmyndighets kompetanse
§ Artikkel 57
Oppgaver
Artikkel 57. Oppgaver
føre tilsyn med og håndheve anvendelsen av denne forordning, fremme allmennhetens kjennskap til og forståelse for risikoer, regler, garantier og rettigheter i forbindelse med behandling. Aktiviteter rettet spesielt mot barn skal vies særlig oppmerksomhet, rådgi, i samsvar med medlemsstatenes nasjonale rett, det nasjonale parlament, regjeringen og andre institusjoner og organer om lovgivning og administrative tiltak knyttet til vern av fysiske personers rettigheter og friheter ved behandling, fremme de behandlingsansvarliges og databehandlernes kjennskap til de forpliktelsene de har i henhold til denne forordning, på anmodning informere registrerte om utøvelse av de rettighetene de har i henhold til denne forordning og, dersom det er relevant, samarbeide med tilsynsmyndighetene i andre medlemsstater om dette, behandle klager som er inngitt av en registrert eller et organ, en organisasjon eller en sammenslutning i samsvar med artikkel 80, og undersøke, i den grad det er hensiktsmessig, klagens gjenstand og underrette klageren om forløpet og utfallet av undersøkelsen innen en rimelig frist, særlig dersom det er behov for videre undersøkelse eller samordning med en annen tilsynsmyndighet, samarbeide med andre tilsynsmyndigheter, herunder ved å utveksle informasjon og yte gjensidig bistand, for å sikre ensartet anvendelse og håndheving av denne forordning, gjennomføre undersøkelser om anvendelsen av denne forordning, herunder på grunnlag av informasjon mottatt fra en annen tilsynsmyndighet eller en annen offentlig myndighet, følge relevant utvikling, i den grad den har innvirkning på personvern, særlig utviklingen innen informasjons- og kommunikasjonsteknologi og handelspraksis, vedta standardavtalevilkår som nevnt i artikkel 28 nr. 8 og artikkel 46 nr. 2 bokstav d), opprette og vedlikeholde en liste i forbindelse med kravene til vurderingen av personvernkonsekvenser i henhold til artikkel 35 nr. 4, gi råd om behandlingsaktivitetene nevnt i artikkel 36 nr. 2, oppmuntre til utarbeiding av atferdsnormer i henhold til artikkel 40 nr. 1 og avgi uttalelse om og godkjenne slike atferdsnormer som gir tilstrekkelige garantier, i henhold til artikkel 40 nr. 5, oppmuntre til innføring av mekanismer for personvernsertifisering samt personvernsegl og -merker i henhold til artikkel 42 nr. 1, og å godkjenne kriteriene for sertifisering i henhold til artikkel 42 nr. 5, dersom det er relevant, foreta en regelmessig gjennomgåelse av sertifiseringene utstedt i samsvar med artikkel 42 nr. 7, utarbeide et utkast til og offentliggjøre kravene for akkreditering av et organ med ansvar for tilsyn med atferdsnormer i henhold til artikkel 41 og et sertifiseringsorgan i henhold til artikkel 43, foreta akkreditering av et organ med ansvar for overvåking av atferdsnormer i henhold til artikkel 41 og et sertifiseringsorgan i henhold til artikkel 43, godkjenne avtalevilkår og bestemmelser som nevnt i artikkel 46 nr. 3, godkjenne bindende virksomhetsregler i henhold til artikkel 47, bidra i Personvernrådets arbeid, føre interne registre over overtredelser av denne forordning og over tiltak som er truffet i samsvar med artikkel 58 nr. 2, og utføre enhver annen oppgave knyttet til vern av personopplysninger.
§ Artikkel 58
Myndighet
Artikkel 58. Myndighet
pålegge den behandlingsansvarlige og databehandleren og, dersom det er relevant, disses representant, å framlegge all informasjon den trenger for å kunne utføre sine oppgaver, utføre undersøkelser i form av personvernrevisjoner, foreta en gjennomgåelse av sertifiseringer utstedt i henhold til artikkel 42 nr. 7, underrette den behandlingsansvarlige eller databehandleren om en påstått overtredelse av denne forordning, få tilgang, fra den behandlingsansvarlige og databehandleren, til alle personopplysninger og all informasjon som er nødvendig for å kunne utføre oppgavene den er gitt, få adgang til alle lokaler hos den behandlingsansvarlige eller databehandleren, herunder til alt databehandlingsutstyr og -midler, i samsvar med unionsretten eller medlemsstatenes prosessrett.
utstede advarsler til en behandlingsansvarlig eller databehandler om at de planlagte behandlingsaktivitetene sannsynligvis er i strid med bestemmelsene i denne forordning, utstede irettesettelser til en behandlingsansvarlig eller databehandler dersom behandlingsaktivitetene er i strid med bestemmelsene i denne forordning, pålegge den behandlingsansvarlige eller databehandleren å imøtekomme den registrertes anmodninger om å utøve sine rettigheter i henhold til denne forordning, pålegge den behandlingsansvarlige eller databehandleren å sørge for at behandlingsaktivitetene skjer i samsvar med bestemmelsene i denne forordning og, dersom det er relevant, på en bestemt måte og innen en bestemt frist, pålegge den behandlingsansvarlige å underrette den registrerte om brudd på personopplysningssikkerheten, innføre en midlertidig eller varig begrensning av, herunder et forbud mot, behandling, pålegge retting eller sletting av personopplysninger eller begrensning av behandlingen i henhold til artikkel 16, 17 og 18 og underretning av mottakere som personopplysningene er utlevert til i henhold til artikkel 17 nr. 2 og artikkel 19, om nevnte tiltak, trekke tilbake en sertifisering eller pålegge sertifiseringsorganet å trekke tilbake en sertifisering utstedt i henhold til artikkel 42 og 43, eller pålegge sertifiseringsorganet å ikke utstede sertifisering dersom kravene til sertifisering ikke lenger er oppfylt, ilegge overtredelsesgebyrer i henhold til artikkel 83 i tillegg til, eller i stedet for, tiltak som det vises til i dette nummer, avhengig av omstendighetene i hvert enkelt tilfelle, gi påbud om et midlertidig opphold i datastrømmene til en mottaker i en tredjestat eller til en internasjonal organisasjon.
rådgi den behandlingsansvarlige i samsvar med framgangsmåten for forhåndsdrøftinger nevnt i artikkel 36, avgi uttalelse, på eget initiativ eller på anmodning, til det nasjonale parlamentet, medlemsstatens regjering eller, i samsvar med medlemsstatenes nasjonale rett, til andre institusjoner og organer samt allmennheten om eventuelle spørsmål knyttet til vern av personopplysninger, godkjenne behandlingen nevnt i artikkel 36 nr. 5 dersom det i medlemsstatens nasjonale rett kreves slik forhåndsgodkjenning, avgi uttalelse om og godkjenne utkast til atferdsnormer i henhold til artikkel 40 nr. 5, akkreditere sertifiseringsorganer i henhold til artikkel 43, utstede sertifiseringer og godkjenne kriterier for sertifisering i samsvar med artikkel 42 nr. 5, vedta standard personvernbestemmelser nevnt i artikkel 28 nr. 8 og i artikkel 46 nr. 2 bokstav d), godkjenne avtalevilkår som nevnt i artikkel 46 nr. 3 bokstav a), godkjenne administrative ordninger som nevnt i artikkel 46 nr. 3 bokstav b), godkjenne bindende virksomhetsregler i henhold til artikkel 47.
§ Artikkel 59
Årsrapporter
Artikkel 59. Årsrapporter
§ Artikkel 60
Samarbeid mellom ledende tilsynsmyndighet og andre berørte tilsynsmyndigheter
Artikkel 60. Samarbeid mellom ledende tilsynsmyndighet og andre berørte tilsynsmyndigheter
§ Artikkel 61
Gjensidig bistand
Artikkel 61. Gjensidig bistand
den ikke har kompetanse med hensyn til det anmodningen gjelder, eller de tiltak den anmodes om å iverksette, eller etterkommelse av anmodningen vil være i strid med denne forordning, unionsretten eller medlemsstatenes nasjonale rett som tilsynsmyndigheten som mottar anmodningen, er underlagt.
§ Artikkel 62
Tilsynsmyndighetenes felles aktiviteter
Artikkel 62. Tilsynsmyndighetenes felles aktiviteter
§ Artikkel 63
Konsistensmekanisme
Artikkel 63. Konsistensmekanisme
§ Artikkel 64
Uttalelse fra Personvernrådet
Artikkel 64. Uttalelse fra Personvernrådet
formålet er å vedta en liste over de behandlingsaktiviteter som er underlagt kravet om en vurdering av personvernkonsekvenser i henhold til artikkel 35 nr. 4, det gjelder et forhold i henhold til artikkel 40 nr. 7 om hvorvidt et utkast til atferdsnormer eller en endring eller utvidelse av atferdsnormer oppfyller kravene i denne forordning, formålet er å godkjenne kravene for akkreditering av et organ i henhold til artikkel 41 nr. 3 eller av et sertifiseringsorgan i henhold til artikkel 43 nr. 3 eller kriteriene for sertifisering som nevnt i artikkel 42 nr. 5, formålet er å fastsette standard personvernbestemmelser som nevnt i artikkel 46 nr. 2 bokstav d) og artikkel 28 nr. 8, formålet er å godkjenne avtalevilkår som nevnt i artikkel 46 nr. 3 bokstav a) eller formålet er å godkjenne bindende virksomhetsregler i henhold til artikkel 47.
medlemmene av Personvernrådet og Kommisjonen om all relevant informasjon som det har mottatt, ved bruk av et standardisert format. Personvernrådets sekretariat skal ved behov sørge for oversettelse av relevant informasjon, og tilsynsmyndigheten nevnt i nr. 1 og 2 og Kommisjonen om uttalelsen og offentliggjøre den.
§ Artikkel 65
Tvisteløsning gjennom Personvernrådet
Artikkel 65. Tvisteløsning gjennom Personvernrådet
dersom en berørt tilsynsmyndighet i et tilfelle nevnt i artikkel 60 nr. 4 har gjort relevant og begrunnet innsigelse mot et utkast til avgjørelse fra den ledende tilsynsmyndigheten, og den ledende tilsynsmyndigheten ikke har fulgt innsigelsen eller har avvist nevnte innsigelse med den begrunnelse at den ikke er relevant eller begrunnet. Den bindende beslutningen skal gjelde alle forhold som omfattes av den relevante og begrunnede innsigelsen, særlig om hvorvidt det foreligger en overtredelse av denne forordning, dersom det er uenighet om hvilken av de berørte tilsynsmyndighetene som har kompetanse med hensyn til hovedvirksomheten, dersom en vedkommende tilsynsmyndighet ikke anmoder om uttalelse fra Personvernrådet i tilfellene nevnt i artikkel 64 nr. 1, eller ikke følger Personvernrådets uttalelse avgitt i henhold til artikkel 64. Dersom dette er tilfellet, kan enhver berørt tilsynsmyndighet eller Kommisjonen framlegge forholdet for Personvernrådet.
§ Artikkel 66
Framgangsmåte for behandling av hastesaker
Artikkel 66. Framgangsmåte for behandling av hastesaker
§ Artikkel 67
Utveksling av informasjon
Artikkel 67. Utveksling av informasjon
§ Artikkel 68
Det europeiske personvernråd
Artikkel 68. Det europeiske personvernråd
§ Artikkel 69
Uavhengighet
Artikkel 69. Uavhengighet
§ Artikkel 70
Personvernrådets oppgaver
Artikkel 70. Personvernrådets oppgaver
overvåke og sikre riktig anvendelse av denne forordning i tilfellene nevnt i artikkel 64 og 65, uten at det berører nasjonale tilsynsmyndigheters oppgaver, rådgi Kommisjonen i alle spørsmål knyttet til vern av personopplysninger i Unionen, herunder om eventuelle forslag til endring av denne forordning, rådgi Kommisjonen om formatet og framgangsmåtene for utveksling av informasjon mellom behandlingsansvarlige, databehandlere og tilsynsmyndigheter med hensyn til bindende virksomhetsregler, utstede anbefalinger om, retningslinjer og beste praksis for framgangsmåter for å slette lenker, kopier eller reproduksjoner av personopplysninger fra offentlig tilgjengelige kommunikasjonstjenester som nevnt i artikkel 17 nr. 2, på eget initiativ, på anmodning fra ett av dets medlemmer eller fra Kommisjonen granske alle spørsmål som gjelder anvendelse av denne forordning, og utstede retningslinjer, anbefalinger og beste praksis for å fremme en ensartet anvendelse av denne forordning, utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for å presisere kriteriene og vilkårene for avgjørelser basert på profilering i henhold til artikkel 22 nr. 2, utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for å fastslå brudd på personopplysningssikkerheten og fastsette det ugrunnede oppholdet som nevnt i artikkel 33 nr. 1 og 2 samt for de særlige tilfellene der en behandlingsansvarlig eller en databehandler har plikt til å melde brudd på personopplysningssikkerheten, utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for omstendighetene der et brudd på personopplysningssikkerheten sannsynligvis vil føre til en høy risiko for rettighetene og frihetene til de fysiske personene nevnt i artikkel 34 nr. 1. utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for å presisere kriteriene for og kravene til overføring av personopplysninger basert på bindende virksomhetsregler som behandlingsansvarlige overholder, og bindende virksomhetsregler som databehandlere overholder, samt ytterligere nødvendige krav for å sikre vern av personopplysninger for de berørte registrerte nevnt i artikkel 47, utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for å presisere kriteriene for og kravene til overføring av personopplysninger på grunnlag av artikkel 49 nr. 1, utarbeide retningslinjer for tilsynsmyndigheter med tanke på anvendelse av tiltakene nevnt i artikkel 58 nr. 1, 2 og 3 og fastsettelse av overtredelsesgebyr i henhold til artikkel 83, gjennomgå den praktiske anvendelsen av retningslinjene, anbefalingene og beste praksis, utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for å fastsette felles framgangsmåter for fysiske personers rapportering av overtredelser av denne forordning i henhold til artikkel 54 nr. 2, oppmuntre til utarbeiding av atferdsnormer og innføring av mekanismer for personvernsertifisering samt personvernsegl og -merker i henhold til artikkel 40 og 42, godkjenne kriteriene for sertifisering i henhold til artikkel 42 nr. 5 og føre et offentlig register over sertifiseringsmekanismer og personvernsegl og -merker i henhold til artikkel 42 nr. 8 og over sertifiserte behandlingsansvarlige eller databehandlere etablert i tredjestater i henhold til artikkel 42 nr. 7, godkjenne kravene nevnt i artikkel 43 nr. 3 med henblikk på akkreditering av sertifiseringsorganer nevnt i artikkel 43, avgi uttalelse til Kommisjonen om sertifiseringskravene nevnt i artikkel 43 nr. 8, avgi uttalelse til Kommisjonen om ikonene nevnt i artikkel 12 nr. 7, avgi uttalelse til Kommisjonen om vurderingen av om beskyttelsesnivået i en tredjestat eller internasjonal organisasjon er tilstrekkelig, herunder vurderingen av om en tredjestat, et territorium eller en eller flere angitte sektorer i nevnte tredjestat eller en internasjonal organisasjon ikke lenger sikrer et tilstrekkelig beskyttelsesnivå. For dette formål skal Kommisjonen framlegge for Personvernrådet all nødvendig dokumentasjon, herunder korrespondanse med regjeringen i tredjestaten, med hensyn til nevnte tredjestat, territorium eller spesifikke sektor, eller med den internasjonale organisasjonen, avgi uttalelser om tilsynsmyndighetenes utkast til beslutninger i henhold til konsistensmekanismen nevnt i artikkel 64 nr. 1 i forhold som er framlagt i henhold til artikkel 64 nr. 2, og treffe bindende beslutninger i henhold til artikkel 65, herunder i tilfellene nevnt i artikkel 66, fremme samarbeidet og en effektiv bi- og multilateral utveksling av informasjon og beste praksis mellom tilsynsmyndighetene, fremme felles opplæringsprogrammer og utveksling av personell mellom tilsynsmyndighetene og, dersom det er relevant, med tilsynsmyndigheter i tredjestater eller internasjonale organisasjoner, fremme utveksling av kunnskap og dokumentasjon om personvernlovgivning og praksis på området med datatilsynsmyndigheter over hele verden, avgi uttalelser om atferdsnormer som utarbeides på EU-plan i henhold til artikkel 40 nr. 9, og føre et offentlig tilgjengelig elektronisk register over beslutninger truffet av tilsynsmyndigheter og domstoler i saker som er blitt behandlet i konsistensmekanismen.
§ Artikkel 71
Rapporter
Artikkel 71. Rapporter
§ Artikkel 72
Framgangsmåte
Artikkel 72. Framgangsmåte
§ Artikkel 73
Leder
Artikkel 73. Leder
§ Artikkel 74
Lederens oppgaver
Artikkel 74. Lederens oppgaver
innkalle til møter i Personvernrådet og utarbeide dagsordenen for møtene, underrette den ledende tilsynsmyndigheten og de berørte tilsynsmyndighetene om beslutninger truffet av Personvernrådet i henhold til artikkel 65, sikre at Personvernrådets oppgaver utføres i rett tid, særlig i forbindelse med konsistensmekanismen nevnt i artikkel 63.
§ Artikkel 75
Sekretariat
Artikkel 75. Sekretariat
Personvernrådets daglige virksomhet, kommunikasjon mellom Personvernrådets medlemmer, dets leder og Kommisjonen, kommunikasjon med andre institusjoner og med allmennheten, bruken av elektroniske midler i forbindelse med intern og ekstern kommunikasjon, oversettelse av relevant informasjon, forberedelse og oppfølging av Personvernrådets møter, forberedelse, utarbeiding av utkast til og offentliggjøring av uttalelser, beslutninger om løsning av tvister mellom tilsynsmyndigheter samt andre tekster som vedtas av Personvernrådet.
§ Artikkel 76
Konfidensialitet
Artikkel 76. Konfidensialitet
§ Artikkel 77
Rett til å klage til en tilsynsmyndighet
Artikkel 77. Rett til å klage til en tilsynsmyndighet
§ Artikkel 78
Rett til et effektivt rettsmiddel overfor en tilsynsmyndighet
Artikkel 78. Rett til et effektivt rettsmiddel overfor en tilsynsmyndighet
§ Artikkel 79
Rett til et effektivt rettsmiddel overfor en behandlingsansvarlig eller databehandler
Artikkel 79. Rett til et effektivt rettsmiddel overfor en behandlingsansvarlig eller databehandler
§ Artikkel 80
Representasjon av registrerte
Artikkel 80. Representasjon av registrerte
§ Artikkel 81
Utsettelse av en sak
Artikkel 81. Utsettelse av en sak
§ Artikkel 82
Rett til erstatning og erstatningsansvar
Artikkel 82. Rett til erstatning og erstatningsansvar
§ Artikkel 83
Generelle vilkår for ilegging av overtredelsesgebyr
Artikkel 83. Generelle vilkår for ilegging av overtredelsesgebyr
karakteren, alvorlighetsgraden og varigheten av overtredelsen, idet det tas hensyn til den berørte behandlingens art, omfang eller formål samt antall registrerte som er berørt, og omfanget av den skade de har lidd, hvorvidt overtredelsen ble begått forsettlig eller uaktsomt, eventuelle tiltak truffet av den behandlingsansvarlige eller databehandleren for å begrense skaden som de registrerte har lidd, den behandlingsansvarliges eller databehandlerens grad av ansvar, idet det tas hensyn til de tekniske og organisatoriske tiltak de har gjennomført i henhold til artikkel 25 og 32, eventuelle relevante tidligere overtredelser begått av den behandlingsansvarlige eller databehandleren, graden av samarbeid med tilsynsmyndigheten for å bøte på overtredelsen og redusere de mulige negative virkningene av den, kategoriene av personopplysninger som er berørt av overtredelsen, på hvilken måte tilsynsmyndigheten fikk kjennskap til overtredelsen, særlig om og eventuelt i hvilken grad den behandlingsansvarlige eller databehandleren har underrettet om overtredelsen, dersom tiltak nevnt i artikkel 58 nr. 2 tidligere er blitt truffet overfor den berørte behandlingsansvarlige eller databehandler med hensyn til samme saksgjenstand, at nevnte tiltak overholdes, overholdelse av godkjente atferdsnormer i henhold til artikkel 40 eller godkjente sertifiseringsmekanismer i henhold til artikkel 42 og enhver annen skjerpende eller formildende faktor ved saken, f.eks. økonomiske fordeler som er oppnådd, eller tap som er unngått, direkte eller indirekte, som følge av overtredelsen.
den behandlingsansvarliges og databehandlerens forpliktelser i henhold til artikkel 8, 11, 25-39 samt 42 og 43, sertifiseringsorganets forpliktelser i henhold til artikkel 42 og 43, kontrollorganets forpliktelser i henhold til artikkel 41 nr. 4.
de grunnleggende prinsippene for behandling, herunder vilkår for samtykke, i henhold til artikkel 5, 6, 7 og 9, de registrertes rettigheter i henhold til artikkel 12-22, overføring av personopplysninger til en mottaker i en tredjestat eller en internasjonal organisasjon i henhold til artikkel 44-49, eventuelle forpliktelser i henhold til medlemsstatenes nasjonale rett vedtatt i henhold til kapittel IX, manglende overholdelse av et pålegg om eller en midlertidig eller definitiv begrensning av behandling eller en avgjørelse om midlertidige opphold i datastrømmen truffet av tilsynsmyndigheten i henhold til artikkel 58 nr. 2 eller dersom det ikke gis tilgang i strid med artikkel 58 nr. 1.
§ Artikkel 84
Sanksjoner
Artikkel 84. Sanksjoner
§ Artikkel 85
Behandling og ytrings- og informasjonsfrihet
Artikkel 85. Behandling og ytrings- og informasjonsfrihet
§ Artikkel 86
Behandling og allmennhetens innsyn i offentlige dokumenter
Artikkel 86. Behandling og allmennhetens innsyn i offentlige dokumenter
§ Artikkel 87
Behandling av nasjonalt identifikasjonsnummer
Artikkel 87. Behandling av nasjonalt identifikasjonsnummer
§ Artikkel 88
Behandling i forbindelse med ansettelsesforhold
Artikkel 88. Behandling i forbindelse med ansettelsesforhold
§ Artikkel 89
Garantier og unntak ved behandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål
Artikkel 89. Garantier og unntak ved behandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål
§ Artikkel 90
Taushetsplikt
Artikkel 90. Taushetsplikt
§ Artikkel 91
Eksisterende regler om vern av personopplysninger for kirker og religiøse sammenslutninger
Artikkel 91. Eksisterende regler om vern av personopplysninger for kirker og religiøse sammenslutninger
§ Artikkel 92
Utøvelse av delegert myndighet
Artikkel 92. Utøvelse av delegert myndighet
§ Artikkel 93
Komitéprosedyre
Artikkel 93. Komitéprosedyre
§ Artikkel 94
Oppheving av direktiv 95/46/EF
Artikkel 94. Oppheving av direktiv 95/46/EF
§ Artikkel 95
Forhold til direktiv 2002/58/EF
Artikkel 95. Forhold til direktiv 2002/58/EF
§ Artikkel 96
Forhold til tidligere inngåtte avtaler
Artikkel 96. Forhold til tidligere inngåtte avtaler
§ Artikkel 97
Kommisjonens rapporter
Artikkel 97. Kommisjonens rapporter
kapittel V om overføring av personopplysninger til tredjestater eller internasjonale organisasjoner, særlig med hensyn til beslutninger som er truffet i henhold til artikkel 45 nr. 3 i denne forordning, og beslutninger som er truffet på grunnlag av artikkel 25 nr. 6 i direktiv 95/46/EF, kapittel VII om samarbeid og ensartet anvendelse.
§ Artikkel 98
Gjennomgåelse av andre EU-rettsakter om vern av personopplysninger
Artikkel 98. Gjennomgåelse av andre EU-rettsakter om vern av personopplysninger
§ Artikkel 99
Ikrafttredelse og anvendelse
Artikkel 99. Ikrafttredelse og anvendelse
| For Europaparlamentet | For Rådet |
| M. SCHULZ | J.A. HENNIS-PLASSCHAERT |
| Formann | President |
KAPITTEL I Alminnelige bestemmelser
§ Artikkel 1
Formål og mål
Artikkel 1. Formål og mål
§ Artikkel 2
Saklig virkeområde
Artikkel 2. Saklig virkeområde
i forbindelse med utøvelse av en aktivitet som ikke omfattes av unionsretten, av medlemsstatene når de utøver aktiviteter som omfattes av avdeling V kapittel 2 i TEU, av en fysisk person som ledd i rent personlige eller familiemessige aktiviteter, av vedkommende myndigheter med henblikk på å forebygge, etterforske, avsløre eller straffeforfølge straffbare forhold eller iverksette strafferettslige sanksjoner, herunder vern mot og forebygging av trusler mot den offentlige sikkerhet.
§ Artikkel 3
Geografisk virkeområde
Artikkel 3. Geografisk virkeområde
tilbud av varer eller tjenester til slike registrerte i Unionen, uavhengig av om det kreves betaling fra den registrerte eller ikke, eller monitorering av deres atferd, i den grad deres atferd finner sted i Unionen.
§ Artikkel 4
Definisjoner
Artikkel 4. Definisjoner
«personopplysninger» enhver opplysning om en identifisert eller identifiserbar fysisk person («den registrerte»); en identifiserbar fysisk person er en person som direkte eller indirekte kan identifiseres, særlig ved hjelp av en identifikator, f.eks. et navn, et identifikasjonsnummer, lokaliseringsopplysninger, en nettidentifikator eller ett eller flere elementer som er spesifikke for nevnte fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sosiale identitet, «behandling» enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger, enten automatisert eller ikke, f.eks. innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring, «begrensning av behandling» merking av lagrede personopplysninger med det som mål å begrense behandlingen av disse i framtiden, «profilering» enhver form for automatisert behandling av personopplysninger som innebærer å bruke personopplysninger for å vurdere visse personlige aspekter knyttet til en fysisk person, særlig for å analysere eller forutsi aspekter som gjelder nevnte fysiske persons arbeidsprestasjoner, økonomiske situasjon, helse, personlige preferanser, interesser, pålitelighet, atferd, plassering eller bevegelser, «pseudonymisering» behandling av personopplysninger på en slik måte at personopplysningene ikke lenger kan knyttes til en bestemt registrert uten bruk av tilleggsopplysninger, forutsatt at nevnte tilleggsopplysninger lagres atskilt og omfattes av tekniske og organisatoriske tiltak som sikrer at personopplysningene ikke kan knyttes til en identifisert eller identifiserbar fysisk person, «register» enhver strukturert samling av personopplysninger som er tilgjengelig etter særlige kriterier, enten samlingen er plassert sentralt, er desentralisert eller spredt på et funksjonelt eller geografisk grunnlag, «behandlingsansvarlig» en fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert annet organ som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes; når formålet med og midlene for behandlingen er fastsatt i unionsretten eller i medlemsstatenes nasjonale rett, kan den behandlingsansvarlige, eller de særlige kriteriene for utpeking av vedkommende, fastsettes i unionsretten eller i medlemsstatenes nasjonale rett, «databehandler» en fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ som behandler personopplysninger på vegne av den behandlingsansvarlige, «mottaker» en fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ som personopplysninger utleveres til, enten det dreier seg om en tredjepart eller ikke. Offentlige myndigheter som kan motta personopplysninger innenfor rammen av en særskilt undersøkelse i samsvar med unionsretten eller medlemsstatenes nasjonale rett, skal imidlertid ikke anses som mottakere; nevnte offentlige myndigheters behandling av slike opplysninger skal være i samsvar med gjeldende regler om vern av personopplysninger i henhold til formålet med behandlingen, «tredjepart» enhver annen fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ enn den registrerte, den behandlingsansvarlige, databehandleren og de personer som under den behandlingsansvarlige eller databehandlerens direkte myndighet har fullmakt til å behandle personopplysninger, «samtykke» fra den registrerte enhver frivillig, spesifikk, informert og utvetydig viljesytring fra den registrerte der vedkommende ved en erklæring eller en tydelig bekreftelse gir sitt samtykke til behandling av personopplysninger som gjelder vedkommende, «brudd på personopplysningssikkerheten» et brudd på sikkerheten som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, ulovlig spredning av eller tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet, «genetiske opplysninger» personopplysninger om en fysisk persons nedarvede eller ervervede genetiske egenskaper som gir unik informasjon om den aktuelle fysiske personens fysiologi eller helse, og som særlig er framkommet etter analysering av en biologisk prøve fra den aktuelle fysiske personen, «biometriske opplysninger» personopplysninger som stammer fra en særskilt teknisk behandling knyttet til en fysisk persons fysiske, fysiologiske eller atferdsmessige egenskaper, og som muliggjør eller bekrefter en entydig identifikasjon av nevnte fysiske person, f.eks. ansiktsbilder eller fingeravtrykksopplysninger, «helseopplysninger» personopplysninger om en fysisk persons fysiske eller psykiske helse, herunder om ytelse av helsetjenester, som gir informasjon om vedkommendes helsetilstand, «hovedvirksomhet»: når det gjelder en behandlingsansvarlig med virksomheter i mer enn én medlemsstat, stedet for dennes hovedadministrasjon i Unionen, med mindre avgjørelser om formål og midler i forbindelse med behandlingen av personopplysninger treffes i en annen av den behandlingsansvarliges virksomheter i Unionen, og sistnevnte virksomhet har myndighet til å få gjennomført nevnte avgjørelser, i dette tilfellet skal virksomheten som har truffet slike avgjørelser, anses for å være hovedvirksomheten, når det gjelder en databehandler med virksomheter i mer enn én medlemsstat, stedet for dennes hovedadministrasjon i Unionen eller, dersom databehandleren ikke har noen hovedadministrasjon i Unionen, databehandlerens virksomhet i Unionen der hoveddelen av behandlingsaktivitetene i forbindelse med aktivitetene ved en databehandlers virksomhet finner sted, i den grad databehandleren er underlagt særlige forpliktelser i henhold til denne forordning,
«representant» en fysisk eller juridisk person som er etablert i Unionen, som den behandlingsansvarlige eller databehandleren har utpekt skriftlig i henhold til artikkel 27, og som representerer den behandlingsansvarlige eller databehandleren med hensyn til de forpliktelser de har i henhold til denne forordning, «foretak» en fysisk eller juridisk person som utøver økonomisk virksomhet, uavhengig av foretakets rettslige form, herunder partnerskap eller sammenslutninger som regelmessig utøver økonomisk virksomhet, «konsern» et foretak som utøver kontroll, og dets kontrollerte foretak, «bindende virksomhetsregler» retningslinjer for vern av personopplysninger som en behandlingsansvarlig eller databehandler som er etablert på en medlemsstats territorium, følger i forbindelse med en overføring eller en rekke overføringer av personopplysninger til en behandlingsansvarlig eller databehandler i én eller flere tredjestater internt i et konsern eller gruppe av foretak som utøver en felles økonomisk virksomhet, «tilsynsmyndighet» en uavhengig offentlig myndighet som er opprettet av en medlemsstat i henhold til artikkel 51, «berørt tilsynsmyndighet» en tilsynsmyndighet som er berørt av en behandling av personopplysninger, fordi den behandlingsansvarlige eller databehandleren er etablert på territoriet til nevnte tilsynsmyndighets medlemsstat, registrerte som er bosatt i nevnte tilsynsmyndighets medlemsstat, i vesentlig grad påvirkes eller sannsynligvis vil bli påvirket av behandlingen, eller det er klaget til nevnte tilsynsmyndighet,
«grenseoverskridende behandling» behandling av personopplysninger som finner sted i forbindelse med aktiviteter i en behandlingsansvarligs eller databehandlers virksomheter i mer enn én medlemsstat, dersom den behandlingsansvarlige eller databehandleren er etablert i mer enn én medlemsstat, eller behandling av personopplysninger som finner sted i forbindelse med aktiviteter i en behandlingsansvarligs eller databehandlers eneste virksomhet i Unionen, men som i betydelig grad påvirker eller sannsynligvis vil påvirke registrerte i mer enn én medlemsstat.
«relevant og begrunnet innsigelse» en innsigelse mot et utkast til avgjørelse om hvorvidt det foreligger en overtredelse av denne forordning eller om hvorvidt et planlagt tiltak som gjelder den behandlingsansvarlige eller databehandleren, er i samsvar med denne forordning, og som tydelig viser betydningen av risikoene som utkastet til avgjørelse utgjør med hensyn til de registrertes grunnleggende rettigheter og friheter og, dersom det er relevant, den frie flyten av personopplysninger i Unionen, «informasjonssamfunnstjeneste» en tjeneste som definert i artikkel 1 nr. 1 bokstav b) i europaparlaments- og rådsdirektiv (EU) 2015/1535,1 «internasjonal organisasjon» en organisasjon og dens underordnede organer som er underlagt folkeretten, eller ethvert annet organ opprettet ved eller på grunnlag av en avtale mellom to eller flere stater.
KAPITTEL II Prinsipper
§ Artikkel 5
Prinsipper for behandling av personopplysninger
Artikkel 5. Prinsipper for behandling av personopplysninger
behandles på en lovlig, rettferdig og åpen måte med hensyn til den registrerte («lovlighet, rettferdighet og åpenhet»), samles inn for spesifikke, uttrykkelig angitte og berettigede formål og ikke viderebehandles på en måte som er uforenlig med disse formålene; viderebehandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål skal, i samsvar med artikkel 89 nr. 1, ikke anses som uforenlig med de opprinnelige formålene («formålsbegrensning»), være adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for («dataminimering»), være korrekte og om nødvendig oppdaterte; det må treffes ethvert rimelig tiltak for å sikre at personopplysninger som er uriktige med hensyn til formålene de behandles for, uten opphold slettes eller rettes («riktighet»), lagres slik at det ikke er mulig å identifisere de registrerte i lengre perioder enn det som er nødvendig for formålene som personopplysningene behandles for; personopplysninger kan lagres i lengre perioder dersom de utelukkende vil bli behandlet for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1, forutsatt at det gjennomføres egnede tekniske og organisatoriske tiltak som kreves i henhold til denne forordning for å sikre de registrertes rettigheter og friheter («lagringsbegrensning»), behandles på en måte som sikrer tilstrekkelig sikkerhet for personopplysningene, herunder vern mot uautorisert eller ulovlig behandling og mot utilsiktet tap, ødeleggelse eller skade, ved bruk av egnede tekniske eller organisatoriske tiltak («integritet og konfidensialitet»).
§ Artikkel 6
Behandlingens lovlighet
Artikkel 6. Behandlingens lovlighet
den registrerte har samtykket til behandling av sine personopplysninger for ett eller flere spesifikke formål, behandlingen er nødvendig for å oppfylle en avtale som den registrerte er part i, eller for å gjennomføre tiltak på den registrertes anmodning før en avtaleinngåelse, behandlingen er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige, behandlingen er nødvendig for å verne den registrertes eller en annen fysisk persons vitale interesser, behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt, behandlingen er nødvendig for formål knyttet til de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, med mindre den registrertes interesser eller grunnleggende rettigheter og friheter går foran og krever vern av personopplysninger, særlig dersom den registrerte er et barn.
unionsretten eller medlemsstatens nasjonale rett som den behandlingsansvarlige er underlagt.
enhver forbindelse mellom formålene som personopplysningene er blitt samlet inn for, og formålene med den tiltenkte viderebehandlingen, i hvilken sammenheng personopplysningene er blitt samlet inn, særlig med hensyn til forholdet mellom de registrerte og den behandlingsansvarlige, personopplysningenes art, især om særlige kategorier av personopplysninger behandles, i henhold til artikkel 9, eller om personopplysninger om straffedommer og lovovertredelser behandles, i henhold til artikkel 10, de mulige konsekvensene av den tiltenkte viderebehandlingen for de registrerte, om det foreligger nødvendige garantier, som kan omfatte kryptering eller pseudonymisering.
§ Artikkel 7
Vilkår for samtykke
Artikkel 7. Vilkår for samtykke
§ Artikkel 8
Vilkår for barns samtykke i forbindelse med informasjonssamfunnstjenester
Artikkel 8. Vilkår for barns samtykke i forbindelse med informasjonssamfunnstjenester
§ Artikkel 9
Behandling av særlige kategorier av personopplysninger
Artikkel 9. Behandling av særlige kategorier av personopplysninger
Den registrerte har gitt uttrykkelig samtykke til behandling av slike personopplysninger for ett eller flere spesifikke formål, unntatt dersom det i unionsretten eller medlemsstatenes nasjonale rett er fastsatt at den registrerte ikke kan oppheve forbudet nevnt i nr. 1. Behandlingen er nødvendig for at den behandlingsansvarlige eller den registrerte skal kunne oppfylle sine forpliktelser og utøve sine særlige rettigheter på området arbeidsrett, trygderett og sosialrett i den grad dette er tillatt i henhold til unionsretten eller medlemsstatenes nasjonale rett, eller en tariffavtale i henhold til medlemsstatenes nasjonale rett som gir nødvendige garantier for den registrertes grunnleggende rettigheter og interesser. Behandlingen er nødvendig for å verne den registrertes eller en annen fysisk persons vitale interesser dersom den registrerte fysisk eller juridisk ikke er i stand til å gi samtykke. Behandlingen utføres av en stiftelse, sammenslutning eller et annet ideelt organ hvis mål er av politisk, religiøs eller fagforeningsmessig art, som ledd i organets berettigede aktiviteter og med nødvendige garantier, forutsatt at behandlingen bare gjelder organets medlemmer eller tidligere medlemmer eller personer som på grunn av organets mål har regelmessig kontakt med det, og at personopplysningene ikke utleveres til andre enn nevnte organ uten de registrertes samtykke. Behandlingen gjelder personopplysninger som det er åpenbart at den registrerte har offentliggjort. Behandlingen er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav eller når domstolene handler innenfor rammen av sin domsmyndighet. Behandlingen er nødvendig av hensyn til viktige allmenne interesser, på grunnlag av unionsretten eller medlemsstatenes nasjonale rett som skal stå i et rimelig forhold til det mål som søkes oppnådd, være forenlig med det grunnleggende innholdet i retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser. Behandlingen er nødvendig i forbindelse med forebyggende medisin eller arbeidsmedisin for å vurdere en arbeidstakers arbeidskapasitet, i forbindelse med medisinsk diagnostikk, yting av helse- eller sosialtjenester, behandling eller forvaltning av helse- eller sosialtjenester og -systemer på grunnlag av unionsretten eller medlemsstatenes nasjonale rett eller i henhold til en avtale med helsepersonell og med forbehold for vilkårene og garantiene nevnt i nr. 3. Behandlingen er nødvendig av allmenne folkehelsehensyn, f.eks. vern mot alvorlige grenseoverskridende helsetrusler eller for å sikre høye kvalitets- og sikkerhetsstandarder for helsetjenester og legemidler eller medisinsk utstyr, på grunnlag av unionsretten eller medlemsstatenes nasjonale rett der det fastsettes egnede og særlige tiltak for å verne den registrertes rettigheter og friheter, særlig taushetsplikt. Behandlingen er nødvendig for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1 på grunnlag av unionsretten eller medlemsstatenes nasjonale rett som skal stå i et rimelig forhold til det mål som søkes oppnådd, være forenlig med det grunnleggende innholdet i retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser.
§ Artikkel 10
Behandling av personopplysninger om straffedommer og lovovertredelser
Artikkel 10. Behandling av personopplysninger om straffedommer og lovovertredelser
§ Artikkel 11
Behandling som ikke krever identifikasjon
Artikkel 11. Behandling som ikke krever identifikasjon
KAPITTEL III Den registrertes rettigheter
§ Artikkel 12
Klar og tydelig informasjon, kommunikasjon og nærmere regler om utøvelse av den registrertes rettigheter
Artikkel 12. Klar og tydelig informasjon, kommunikasjon og nærmere regler om utøvelse av den registrertes rettigheter
kreve et rimelig gebyr, idet det tas hensyn til administrasjonskostnadene for å gi informasjonen eller treffe de tiltak det anmodes om, eller nekte å etterkomme anmodningen.
§ Artikkel 13
Informasjon som skal gis ved innsamling av personopplysninger fra den registrerte
Artikkel 13. Informasjon som skal gis ved innsamling av personopplysninger fra den registrerte
identiteten og kontaktopplysningene til den behandlingsansvarlige og eventuelt den behandlingsansvarliges representant, kontaktopplysningene til personvernombudet, dersom dette er relevant, formålene med den tiltenkte behandlingen av personopplysningene samt det rettslige grunnlaget for behandlingen, dersom behandlingen er basert på artikkel 6 nr. 1 bokstav f), de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, eventuelle mottakere eller kategorier av mottakere av personopplysningene, dersom det er relevant, det faktum at den behandlingsansvarlige akter å overføre personopplysninger til en tredjestat eller en internasjonal organisasjon og om hvorvidt Kommisjonen har truffet en beslutning om tilstrekkelig beskyttelsesnivå eller ikke, eller når det gjelder overføringene nevnt i artikkel 46 eller 47 eller artikkel 49 nr. 1 annet ledd, en henvisning til nødvendige eller passende garantier, hvordan man får tak i et eksemplar av dem, eller hvor de er gjort tilgjengelig.
det tidsrom personopplysningene vil bli lagret, eller dersom dette ikke er mulig, kriteriene som brukes for å fastsette dette tidsrommet, retten til å anmode den behandlingsansvarlige om innsyn i og retting eller sletting av personopplysninger eller begrensning av behandlingen som gjelder den registrerte, eller til å protestere mot behandlingen samt retten til dataportabilitet, dersom behandlingen er basert på artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a), retten til når som helst å trekke tilbake et samtykke uten at det påvirker lovligheten av en behandling basert på et samtykke før samtykket trekkes tilbake, retten til å klage til en tilsynsmyndighet, om det foreligger et lovfestet eller avtalefestet krav om å gi personopplysninger eller et krav som er nødvendig for å inngå en avtale, samt om den registrerte har plikt til å gi personopplysningene og om mulige konsekvenser dersom vedkommende ikke gjør det, forekomsten av automatiserte avgjørelser, herunder profilering, som nevnt i artikkel 22 nr. 1 og 4, og, i det minste i nevnte tilfeller, relevant informasjon om den underliggende logikken samt om betydningen og de forventede konsekvensene av en slik behandling for den registrerte.
§ Artikkel 14
Informasjon som skal gis dersom personopplysninger ikke er blitt samlet inn fra den registrerte
Artikkel 14. Informasjon som skal gis dersom personopplysninger ikke er blitt samlet inn fra den registrerte
identiteten og kontaktopplysningene til den behandlingsansvarlige og eventuelt den behandlingsansvarliges representant, kontaktopplysningene til personvernombudet, dersom dette er relevant, formålene med den tiltenkte behandlingen av personopplysningene samt det rettslige grunnlaget for behandlingen, de berørte kategoriene av personopplysninger, eventuelle mottakere eller kategorier av mottakere av personopplysningene, dersom det er relevant, at den behandlingsansvarlige har til hensikt å overføre personopplysninger til en mottaker i en tredjestat eller en internasjonal organisasjon og om hvorvidt Kommisjonen har truffet en beslutning om tilstrekkelig beskyttelsesnivå eller ikke, eller, når det gjelder overføringene nevnt i artikkel 46 eller 47 eller artikkel 49 nr. 1 annet ledd, en henvisning til nødvendige eller passende garantier, hvordan man får tak i et eksemplar av dem eller hvor de er gjort tilgjengelig.
det tidsrom personopplysningene vil bli lagret, eller dersom dette ikke er mulig, kriteriene som brukes for å fastsette dette tidsrommet, dersom behandlingen er basert på artikkel 6 nr. 1 bokstav f), de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, retten til å anmode den behandlingsansvarlige om innsyn i og retting eller sletting av personopplysninger eller begrensning av behandlingen som gjelder den registrerte, og til å protestere mot behandlingen samt retten til dataportabilitet, dersom behandlingen er basert på artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a), retten til når som helst å trekke tilbake et samtykke uten at det påvirker lovligheten av en behandling basert på et samtykke før samtykket trekkes tilbake, retten til å klage til en tilsynsmyndighet, fra hvilken kilde personopplysningene stammer fra, og, dersom det er relevant, om de stammer fra offentlig tilgjengelige kilder, forekomsten av automatiserte avgjørelser, herunder profilering, som nevnt i artikkel 22 nr. 1 og 4, og, i det minste i nevnte tilfeller, relevant informasjon om den underliggende logikken samt om betydningen og de forventede konsekvensene av en slik behandling for den registrerte.
innen en rimelig frist etter at personopplysningene er samlet inn, men senest innen én måned, idet det tas hensyn til de særlige forholdene som personopplysningene er behandlet under, dersom personopplysningene skal brukes til å kommunisere med den registrerte, senest på tidspunktet for den første kommunikasjonen med vedkommende, eller dersom det er planlagt at personopplysningene skal utleveres til en annen mottaker, senest når personopplysningene første gang utleveres.
den registrerte allerede har informasjonen, det viser seg umulig å gi nevnte informasjon eller det vil innebære en uforholdsmessig stor innsats, særlig i forbindelse med behandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i henhold til vilkårene og garantiene nevnt i artikkel 89 nr. 1, eller i den grad forpliktelsen nevnt i nr. 1 i denne artikkel sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås. I slike tilfeller skal den behandlingsansvarlige treffe egnede tiltak for å verne den registrertes rettigheter og friheter og berettigede interesser, herunder gjøre informasjonen offentlig tilgjengelig, innsamling eller utlevering er uttrykkelig fastsatt i unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, og som inneholder egnede tiltak for å verne den registrertes berettigede interesser, eller dersom personopplysningene må holdes konfidensielle som følge av taushetsplikt i henhold til unionsretten eller medlemsstatenes nasjonale rett, herunder en lovfestet taushetsplikt.
§ Artikkel 15
Den registrertes rett til innsyn
Artikkel 15. Den registrertes rett til innsyn
formålene med behandlingen, de berørte kategoriene av personopplysninger, mottakerne eller kategoriene av mottakere som personopplysningene er blitt eller vil bli utlevert til, særlig mottakere i tredjestater eller internasjonale organisasjoner, dersom det er mulig, hvor lenge det forventes at personopplysningene vil bli lagret, eller, dersom dette ikke er mulig, kriteriene som brukes for å fastsette denne perioden, retten til å anmode den behandlingsansvarlige om retting eller sletting av personopplysninger eller begrensning av behandlingen av personopplysninger som gjelder den registrerte, eller til å protestere mot nevnte behandling, retten til å klage til en tilsynsmyndighet, dersom personopplysningene ikke er samlet inn fra den registrerte, all tilgjengelig informasjon om hvor personopplysningene stammer fra, forekomsten av automatiserte avgjørelser, herunder profilering, som nevnt i artikkel 22 nr. 1 og 4, og, i det minste i nevnte tilfeller, relevant informasjon om den underliggende logikken samt om betydningen og de forventede konsekvensene av en slik behandling for den registrerte.
§ Artikkel 16
Rett til retting
Artikkel 16. Rett til retting
§ Artikkel 17
Rett til sletting («rett til å bli glemt»)
Artikkel 17. Rett til sletting («rett til å bli glemt»)
personopplysningene er ikke lenger nødvendige for formålet som de ble samlet inn eller behandlet for, den registrerte trekker tilbake samtykket som ligger til grunn for behandlingen, i henhold til artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a), og det ikke finnes noe annet rettslig grunnlag for behandlingen, den registrerte protesterer mot behandlingen i henhold til artikkel 21 nr. 1, og det ikke finnes mer tungtveiende berettigede grunner til behandlingen, eller den registrerte protesterer mot behandlingen i henhold til artikkel 21 nr. 2, personopplysningene er blitt behandlet ulovlig, personopplysningene må slettes for å oppfylle en rettslig forpliktelse i unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, personopplysningene er blitt samlet inn i forbindelse med tilbud om informasjonssamfunnstjenester som nevnt i artikkel 8 nr. 1.
for å utøve retten til ytrings- og informasjonsfrihet, for å oppfylle en rettslig forpliktelse som krever behandling i henhold til unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, eller for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt, av hensyn til allmennhetens interesse på området folkehelse i samsvar med artikkel 9 nr. 2 bokstav h) og i) og artikkel 9 nr. 3, for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1 i den grad rettigheten nevnt i nr. 1 sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås, eller for å fastsette, gjøre gjeldende eller forsvare rettskrav.
§ Artikkel 18
Rett til begrensning av behandling
Artikkel 18. Rett til begrensning av behandling
den registrerte bestrider riktigheten av personopplysningene, i en periode som gjør det mulig for den behandlingsansvarlige å kontrollere riktigheten av personopplysningene, behandlingen er ulovlig og den registrerte motsetter seg sletting av personopplysningene og isteden anmoder om at bruken av personopplysningene begrenses, den behandlingsansvarlige ikke lenger trenger personopplysningene til formålet med behandlingen, men den registrerte har behov for disse for å fastsette, gjøre gjeldende eller forsvare rettskrav, den registrerte har protestert mot behandling i henhold til artikkel 21 nr. 1 i påvente av kontrollen av om hvorvidt den behandlingsansvarliges berettigede grunner går foran den registrertes.
§ Artikkel 19
Underretningsplikt i forbindelse med retting eller sletting av personopplysninger eller begrensning av behandling
Artikkel 19. Underretningsplikt i forbindelse med retting eller sletting av personopplysninger eller begrensning av behandling
§ Artikkel 20
Rett til dataportabilitet
Artikkel 20. Rett til dataportabilitet
behandlingen er basert på samtykke i henhold til artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a) eller en avtale i henhold til artikkel 6 nr. 1 bokstav b), og behandlingen utføres automatisk.
§ Artikkel 21
Rett til å protestere
Artikkel 21. Rett til å protestere
§ Artikkel 22
Automatiserte individuelle avgjørelser, herunder profilering
Artikkel 22. Automatiserte individuelle avgjørelser, herunder profilering
er nødvendig for å inngå eller oppfylle en avtale mellom den registrerte og en behandlingsansvarlig, er tillatt i henhold til unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, og der det også er fastsatt egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser, eller er basert på den registrertes uttrykkelige samtykke.
§ Artikkel 23
Begrensninger
Artikkel 23. Begrensninger
den nasjonale sikkerhet, forsvaret, den offentlige sikkerhet, forebygging, etterforskning, avsløring eller straffeforfølging av straffbare forhold eller iverksettelse av strafferettslige sanksjoner, herunder vern mot og forebygging av trusler mot den offentlige sikkerhet, andre viktige mål av generell allmenn interesse for Unionen eller en medlemsstat, særlig Unionens eller en medlemsstats viktige økonomiske eller finansielle interesser, herunder valuta-, budsjett- og skattesaker, folkehelse og trygdespørsmål, beskyttelse av rettsvesenets uavhengighet samt retterganger, forebygging, etterforskning, avsløring og straffeforfølging av brudd på yrkesetiske regler i lovregulerte yrker, en kontroll-, tilsyns- eller reguleringsfunksjon som, også midlertidig, er knyttet til utøvelse av offentlig myndighet i tilfellene nevnt i bokstav a)-e) og g), vern av den registrertes interesser eller andres rettigheter og friheter, håndheving av sivilrettslige krav.
formålene med behandlingen eller kategorier av behandling, kategoriene av personopplysninger, omfanget av begrensningene som er innført, garantiene for å unngå misbruk eller ulovlig tilgang eller overføring, spesifisering av den behandlingsansvarlige eller kategoriene av behandlingsansvarlige, lagringsperioder og gjeldende garantier, idet det tas hensyn til arten, omfanget av og formålene med behandlingen eller kategoriene av behandling, risikoene for de registrertes rettigheter og friheter og de registrertes rett til å bli underrettet om begrensningen, med mindre dette kan skade formålet med begrensningen.
kapittel-10-kapittel-3-kapittel-1
§ Artikkel 12
Klar og tydelig informasjon, kommunikasjon og nærmere regler om utøvelse av den registrertes rettigheter
Artikkel 12. Klar og tydelig informasjon, kommunikasjon og nærmere regler om utøvelse av den registrertes rettigheter
kreve et rimelig gebyr, idet det tas hensyn til administrasjonskostnadene for å gi informasjonen eller treffe de tiltak det anmodes om, eller nekte å etterkomme anmodningen.
kapittel-10-kapittel-3-kapittel-2
§ Artikkel 13
Informasjon som skal gis ved innsamling av personopplysninger fra den registrerte
Artikkel 13. Informasjon som skal gis ved innsamling av personopplysninger fra den registrerte
identiteten og kontaktopplysningene til den behandlingsansvarlige og eventuelt den behandlingsansvarliges representant, kontaktopplysningene til personvernombudet, dersom dette er relevant, formålene med den tiltenkte behandlingen av personopplysningene samt det rettslige grunnlaget for behandlingen, dersom behandlingen er basert på artikkel 6 nr. 1 bokstav f), de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, eventuelle mottakere eller kategorier av mottakere av personopplysningene, dersom det er relevant, det faktum at den behandlingsansvarlige akter å overføre personopplysninger til en tredjestat eller en internasjonal organisasjon og om hvorvidt Kommisjonen har truffet en beslutning om tilstrekkelig beskyttelsesnivå eller ikke, eller når det gjelder overføringene nevnt i artikkel 46 eller 47 eller artikkel 49 nr. 1 annet ledd, en henvisning til nødvendige eller passende garantier, hvordan man får tak i et eksemplar av dem, eller hvor de er gjort tilgjengelig.
det tidsrom personopplysningene vil bli lagret, eller dersom dette ikke er mulig, kriteriene som brukes for å fastsette dette tidsrommet, retten til å anmode den behandlingsansvarlige om innsyn i og retting eller sletting av personopplysninger eller begrensning av behandlingen som gjelder den registrerte, eller til å protestere mot behandlingen samt retten til dataportabilitet, dersom behandlingen er basert på artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a), retten til når som helst å trekke tilbake et samtykke uten at det påvirker lovligheten av en behandling basert på et samtykke før samtykket trekkes tilbake, retten til å klage til en tilsynsmyndighet, om det foreligger et lovfestet eller avtalefestet krav om å gi personopplysninger eller et krav som er nødvendig for å inngå en avtale, samt om den registrerte har plikt til å gi personopplysningene og om mulige konsekvenser dersom vedkommende ikke gjør det, forekomsten av automatiserte avgjørelser, herunder profilering, som nevnt i artikkel 22 nr. 1 og 4, og, i det minste i nevnte tilfeller, relevant informasjon om den underliggende logikken samt om betydningen og de forventede konsekvensene av en slik behandling for den registrerte.
§ Artikkel 14
Informasjon som skal gis dersom personopplysninger ikke er blitt samlet inn fra den registrerte
Artikkel 14. Informasjon som skal gis dersom personopplysninger ikke er blitt samlet inn fra den registrerte
identiteten og kontaktopplysningene til den behandlingsansvarlige og eventuelt den behandlingsansvarliges representant, kontaktopplysningene til personvernombudet, dersom dette er relevant, formålene med den tiltenkte behandlingen av personopplysningene samt det rettslige grunnlaget for behandlingen, de berørte kategoriene av personopplysninger, eventuelle mottakere eller kategorier av mottakere av personopplysningene, dersom det er relevant, at den behandlingsansvarlige har til hensikt å overføre personopplysninger til en mottaker i en tredjestat eller en internasjonal organisasjon og om hvorvidt Kommisjonen har truffet en beslutning om tilstrekkelig beskyttelsesnivå eller ikke, eller, når det gjelder overføringene nevnt i artikkel 46 eller 47 eller artikkel 49 nr. 1 annet ledd, en henvisning til nødvendige eller passende garantier, hvordan man får tak i et eksemplar av dem eller hvor de er gjort tilgjengelig.
det tidsrom personopplysningene vil bli lagret, eller dersom dette ikke er mulig, kriteriene som brukes for å fastsette dette tidsrommet, dersom behandlingen er basert på artikkel 6 nr. 1 bokstav f), de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, retten til å anmode den behandlingsansvarlige om innsyn i og retting eller sletting av personopplysninger eller begrensning av behandlingen som gjelder den registrerte, og til å protestere mot behandlingen samt retten til dataportabilitet, dersom behandlingen er basert på artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a), retten til når som helst å trekke tilbake et samtykke uten at det påvirker lovligheten av en behandling basert på et samtykke før samtykket trekkes tilbake, retten til å klage til en tilsynsmyndighet, fra hvilken kilde personopplysningene stammer fra, og, dersom det er relevant, om de stammer fra offentlig tilgjengelige kilder, forekomsten av automatiserte avgjørelser, herunder profilering, som nevnt i artikkel 22 nr. 1 og 4, og, i det minste i nevnte tilfeller, relevant informasjon om den underliggende logikken samt om betydningen og de forventede konsekvensene av en slik behandling for den registrerte.
innen en rimelig frist etter at personopplysningene er samlet inn, men senest innen én måned, idet det tas hensyn til de særlige forholdene som personopplysningene er behandlet under, dersom personopplysningene skal brukes til å kommunisere med den registrerte, senest på tidspunktet for den første kommunikasjonen med vedkommende, eller dersom det er planlagt at personopplysningene skal utleveres til en annen mottaker, senest når personopplysningene første gang utleveres.
den registrerte allerede har informasjonen, det viser seg umulig å gi nevnte informasjon eller det vil innebære en uforholdsmessig stor innsats, særlig i forbindelse med behandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i henhold til vilkårene og garantiene nevnt i artikkel 89 nr. 1, eller i den grad forpliktelsen nevnt i nr. 1 i denne artikkel sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås. I slike tilfeller skal den behandlingsansvarlige treffe egnede tiltak for å verne den registrertes rettigheter og friheter og berettigede interesser, herunder gjøre informasjonen offentlig tilgjengelig, innsamling eller utlevering er uttrykkelig fastsatt i unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, og som inneholder egnede tiltak for å verne den registrertes berettigede interesser, eller dersom personopplysningene må holdes konfidensielle som følge av taushetsplikt i henhold til unionsretten eller medlemsstatenes nasjonale rett, herunder en lovfestet taushetsplikt.
§ Artikkel 15
Den registrertes rett til innsyn
Artikkel 15. Den registrertes rett til innsyn
formålene med behandlingen, de berørte kategoriene av personopplysninger, mottakerne eller kategoriene av mottakere som personopplysningene er blitt eller vil bli utlevert til, særlig mottakere i tredjestater eller internasjonale organisasjoner, dersom det er mulig, hvor lenge det forventes at personopplysningene vil bli lagret, eller, dersom dette ikke er mulig, kriteriene som brukes for å fastsette denne perioden, retten til å anmode den behandlingsansvarlige om retting eller sletting av personopplysninger eller begrensning av behandlingen av personopplysninger som gjelder den registrerte, eller til å protestere mot nevnte behandling, retten til å klage til en tilsynsmyndighet, dersom personopplysningene ikke er samlet inn fra den registrerte, all tilgjengelig informasjon om hvor personopplysningene stammer fra, forekomsten av automatiserte avgjørelser, herunder profilering, som nevnt i artikkel 22 nr. 1 og 4, og, i det minste i nevnte tilfeller, relevant informasjon om den underliggende logikken samt om betydningen og de forventede konsekvensene av en slik behandling for den registrerte.
kapittel-10-kapittel-3-kapittel-3
§ Artikkel 16
Rett til retting
Artikkel 16. Rett til retting
§ Artikkel 17
Rett til sletting («rett til å bli glemt»)
Artikkel 17. Rett til sletting («rett til å bli glemt»)
personopplysningene er ikke lenger nødvendige for formålet som de ble samlet inn eller behandlet for, den registrerte trekker tilbake samtykket som ligger til grunn for behandlingen, i henhold til artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a), og det ikke finnes noe annet rettslig grunnlag for behandlingen, den registrerte protesterer mot behandlingen i henhold til artikkel 21 nr. 1, og det ikke finnes mer tungtveiende berettigede grunner til behandlingen, eller den registrerte protesterer mot behandlingen i henhold til artikkel 21 nr. 2, personopplysningene er blitt behandlet ulovlig, personopplysningene må slettes for å oppfylle en rettslig forpliktelse i unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, personopplysningene er blitt samlet inn i forbindelse med tilbud om informasjonssamfunnstjenester som nevnt i artikkel 8 nr. 1.
for å utøve retten til ytrings- og informasjonsfrihet, for å oppfylle en rettslig forpliktelse som krever behandling i henhold til unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, eller for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt, av hensyn til allmennhetens interesse på området folkehelse i samsvar med artikkel 9 nr. 2 bokstav h) og i) og artikkel 9 nr. 3, for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i samsvar med artikkel 89 nr. 1 i den grad rettigheten nevnt i nr. 1 sannsynligvis vil gjøre det umulig eller i alvorlig grad vil hindre at målene med nevnte behandling nås, eller for å fastsette, gjøre gjeldende eller forsvare rettskrav.
§ Artikkel 18
Rett til begrensning av behandling
Artikkel 18. Rett til begrensning av behandling
den registrerte bestrider riktigheten av personopplysningene, i en periode som gjør det mulig for den behandlingsansvarlige å kontrollere riktigheten av personopplysningene, behandlingen er ulovlig og den registrerte motsetter seg sletting av personopplysningene og isteden anmoder om at bruken av personopplysningene begrenses, den behandlingsansvarlige ikke lenger trenger personopplysningene til formålet med behandlingen, men den registrerte har behov for disse for å fastsette, gjøre gjeldende eller forsvare rettskrav, den registrerte har protestert mot behandling i henhold til artikkel 21 nr. 1 i påvente av kontrollen av om hvorvidt den behandlingsansvarliges berettigede grunner går foran den registrertes.
§ Artikkel 19
Underretningsplikt i forbindelse med retting eller sletting av personopplysninger eller begrensning av behandling
Artikkel 19. Underretningsplikt i forbindelse med retting eller sletting av personopplysninger eller begrensning av behandling
§ Artikkel 20
Rett til dataportabilitet
Artikkel 20. Rett til dataportabilitet
behandlingen er basert på samtykke i henhold til artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a) eller en avtale i henhold til artikkel 6 nr. 1 bokstav b), og behandlingen utføres automatisk.
kapittel-10-kapittel-3-kapittel-4
§ Artikkel 21
Rett til å protestere
Artikkel 21. Rett til å protestere
§ Artikkel 22
Automatiserte individuelle avgjørelser, herunder profilering
Artikkel 22. Automatiserte individuelle avgjørelser, herunder profilering
er nødvendig for å inngå eller oppfylle en avtale mellom den registrerte og en behandlingsansvarlig, er tillatt i henhold til unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, og der det også er fastsatt egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser, eller er basert på den registrertes uttrykkelige samtykke.
kapittel-10-kapittel-3-kapittel-5
§ Artikkel 23
Begrensninger
Artikkel 23. Begrensninger
den nasjonale sikkerhet, forsvaret, den offentlige sikkerhet, forebygging, etterforskning, avsløring eller straffeforfølging av straffbare forhold eller iverksettelse av strafferettslige sanksjoner, herunder vern mot og forebygging av trusler mot den offentlige sikkerhet, andre viktige mål av generell allmenn interesse for Unionen eller en medlemsstat, særlig Unionens eller en medlemsstats viktige økonomiske eller finansielle interesser, herunder valuta-, budsjett- og skattesaker, folkehelse og trygdespørsmål, beskyttelse av rettsvesenets uavhengighet samt retterganger, forebygging, etterforskning, avsløring og straffeforfølging av brudd på yrkesetiske regler i lovregulerte yrker, en kontroll-, tilsyns- eller reguleringsfunksjon som, også midlertidig, er knyttet til utøvelse av offentlig myndighet i tilfellene nevnt i bokstav a)-e) og g), vern av den registrertes interesser eller andres rettigheter og friheter, håndheving av sivilrettslige krav.
formålene med behandlingen eller kategorier av behandling, kategoriene av personopplysninger, omfanget av begrensningene som er innført, garantiene for å unngå misbruk eller ulovlig tilgang eller overføring, spesifisering av den behandlingsansvarlige eller kategoriene av behandlingsansvarlige, lagringsperioder og gjeldende garantier, idet det tas hensyn til arten, omfanget av og formålene med behandlingen eller kategoriene av behandling, risikoene for de registrertes rettigheter og friheter og de registrertes rett til å bli underrettet om begrensningen, med mindre dette kan skade formålet med begrensningen.
KAPITTEL IV Behandlingsansvarlig og databehandler
§ Artikkel 24
Den behandlingsansvarliges ansvar
Artikkel 24. Den behandlingsansvarliges ansvar
§ Artikkel 25
Innebygd personvern og personvern som standardinnstilling
Artikkel 25. Innebygd personvern og personvern som standardinnstilling
§ Artikkel 26
Felles behandlingsansvarlige
Artikkel 26. Felles behandlingsansvarlige
§ Artikkel 27
Representanter for behandlingsansvarlige eller databehandlere som ikke er etablert i Unionen
Artikkel 27. Representanter for behandlingsansvarlige eller databehandlere som ikke er etablert i Unionen
behandling som skjer leilighetsvis, som ikke omfatter behandling i stor skala av særlige kategorier av opplysninger som nevnt i artikkel 9 nr. 1, eller behandling av personopplysninger om straffedommer eller lovovertredelser som nevnt i artikkel 10, og som sannsynligvis ikke vil medføre en risiko for fysiske personers rettigheter og friheter, idet det tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i, eller en offentlig myndighet eller et offentlig organ.
§ Artikkel 28
Databehandler
Artikkel 28. Databehandler
behandler personopplysningene bare på dokumenterte instrukser fra den behandlingsansvarlige, herunder med hensyn til overføring av personopplysninger til en tredjestat eller en internasjonal organisasjon, med mindre det kreves i henhold til unionsretten eller medlemsstatenes nasjonale rett som databehandleren er underlagt; i så fall skal databehandleren underrette den behandlingsansvarlige om nevnte rettslige krav før behandlingen, men mindre denne rett av hensyn til viktige allmenne interesser forbyr en slik underretning, sikrer at personer som er autorisert til å behandle personopplysningene, har forpliktet seg til å behandle opplysningene konfidensielt eller er underlagt en egnet lovfestet taushetsplikt, treffer alle tiltak som er nødvendig i henhold til artikkel 32, overholder vilkårene nevnt i nr. 2 og 4 når det gjelder å engasjere en annen databehandler, idet det tas hensyn til behandlingens art og i den grad det er mulig, bistår, ved hjelp av egnede tekniske og organisatoriske tiltak, den behandlingsansvarlige med å oppfylle vedkommendes plikt til å svare på anmodninger som den registrerte inngir med henblikk på å utøve sine rettigheter fastsatt i kapittel III, bistår den behandlingsansvarlige med å sikre overholdelse av forpliktelsene i henhold til artikkel 32-36, idet det tas hensyn til behandlingens art og den informasjonen som er tilgjengelig for databehandleren, etter den behandlingsansvarliges valg, sletter eller tilbakeleverer alle personopplysninger til den behandlingsansvarlige etter at tjenestene knyttet til behandlingen er levert, og sletter eksisterende kopier, med mindre unionsretten eller medlemsstatenes nasjonale rett krever at personopplysningene lagres, gjør tilgjengelig for den behandlingsansvarlige all informasjon som er nødvendig for å påvise at forpliktelsene fastsatt i denne artikkel er oppfylt, samt muliggjør og bidrar til revisjoner, herunder inspeksjoner, som gjennomføres av den behandlingsansvarlige eller en annen revisor på fullmakt fra den behandlingsansvarlige.
§ Artikkel 29
Behandling som utføres for den behandlingsansvarlige eller databehandleren
Artikkel 29. Behandling som utføres for den behandlingsansvarlige eller databehandleren
§ Artikkel 30
Protokoller over behandlingsaktiviteter
Artikkel 30. Protokoller over behandlingsaktiviteter
navnet på og kontaktopplysningene til den behandlingsansvarlige og, dersom det er relevant, den felles behandlingsansvarlige, den behandlingsansvarliges representant og personvernombudet, formålene med behandlingen, en beskrivelse av kategoriene av registrerte og kategoriene av personopplysninger, kategoriene av mottakere som personopplysningene er blitt eller vil bli utlevert til, herunder mottakere i tredjestater eller internasjonale organisasjoner, dersom det er relevant, overføringer av personopplysninger til en tredjestat eller en internasjonal organisasjon, herunder identifikasjon av nevnte tredjestat eller internasjonale organisasjon og, ved overføringer nevnt i artikkel 49 nr. 1 annet ledd, dokumentasjon på nødvendige garantier, dersom det er mulig, de planlagte tidsfristene for sletting av de forskjellige kategoriene av opplysninger, dersom det er mulig, en generell beskrivelse av de tekniske og organisatoriske sikkerhetstiltakene nevnt i artikkel 32 nr. 1.
navnet på og kontaktopplysningene til databehandleren eller databehandlerne og til hver behandlingsansvarlig som databehandleren opptrer på vegne av, samt, dersom det er relevant, den behandlingsansvarliges eller databehandlerens representant og personvernombudet, kategoriene av behandling utført på vegne av hver behandlingsansvarlig, dersom det er relevant, overføringer av personopplysninger til en tredjestat eller en internasjonal organisasjon, herunder identifikasjon av nevnte tredjestat eller internasjonale organisasjon og, ved overføringer nevnt i artikkel 49 nr. 1 annet ledd, dokumentasjon på nødvendige garantier, dersom det er mulig, en generell beskrivelse av de tekniske og organisatoriske sikkerhetstiltakene nevnt i artikkel 32 nr. 1.
§ Artikkel 31
Samarbeid med tilsynsmyndigheten
Artikkel 31. Samarbeid med tilsynsmyndigheten
§ Artikkel 32
Sikkerhet ved behandlingen
Artikkel 32. Sikkerhet ved behandlingen
pseudonymisering og kryptering av personopplysninger, evne til å sikre vedvarende konfidensialitet, integritet, tilgjengelighet og robusthet i behandlingssystemene og -tjenestene, evne til å gjenopprette tilgjengeligheten og tilgangen til personopplysninger i rett tid dersom det oppstår en fysisk eller teknisk hendelse, en prosess for regelmessig testing, analysering og vurdering av hvor effektive behandlingens tekniske og organisatoriske sikkerhetstiltak er.
§ Artikkel 33
Melding til tilsynsmyndigheten om brudd på personopplysningssikkerheten
Artikkel 33. Melding til tilsynsmyndigheten om brudd på personopplysningssikkerheten
beskrive arten av bruddet på personopplysningssikkerheten, herunder, når det er mulig, kategoriene av og omtrentlig antall registrerte som er berørt, og kategoriene av og omtrentlig antall registreringer av personopplysninger som er berørt, inneholde navnet på og kontaktopplysningene til personvernombudet eller et annet kontaktpunkt der mer informasjon kan innhentes, beskrive de sannsynlige konsekvensene av bruddet på personopplysningssikkerheten, beskrive de tiltak som den behandlingsansvarlige har truffet eller foreslår å treffe for å håndtere bruddet på personopplysningssikkerheten, herunder, dersom det er relevant, tiltak for å redusere eventuelle skadevirkninger som følge av bruddet.
§ Artikkel 34
Underretning av den registrerte om brudd på personopplysningssikkerheten
Artikkel 34. Underretning av den registrerte om brudd på personopplysningssikkerheten
den behandlingsansvarlige har gjennomført egnede tekniske og organisatoriske sikkerhetstiltak, og disse tiltakene er blitt anvendt på personopplysningene som er berørt av bruddet på personopplysningssikkerheten, særlig tiltak som gjør personopplysningene uleselige for enhver person som ikke har autorisert tilgang til dem, f.eks. kryptering, den behandlingsansvarlige har truffet etterfølgende tiltak som sikrer at det ikke lenger er sannsynlig at den høye risikoen for de registrertes rettigheter og friheter nevnt i nr. 1 vil oppstå, det vil innebære en uforholdsmessig stor innsats. Dersom dette er tilfellet, skal allmennheten isteden underrettes, eller det skal treffes et lignende tiltak som sikrer at de registrerte underrettes på en like effektiv måte.
§ Artikkel 35
Vurdering av personvernkonsekvenser
Artikkel 35. Vurdering av personvernkonsekvenser
en systematisk og omfattende vurdering av personlige aspekter ved fysiske personer som er basert på automatisert behandling, herunder profilering, og som danner grunnlag for avgjørelser som har rettsvirkning for den fysiske personen eller på lignende måte i betydelig grad påvirker den fysiske personen, behandling i stor skala av særlige kategorier av opplysninger som nevnt i artikkel 9 nr. 1, eller av personopplysninger om straffedommer og lovovertredelser som nevnt i artikkel 10, eller en systematisk overvåking i stor skala av et offentlig tilgjengelig område.
en systematisk beskrivelse av de planlagte behandlingsaktivitetene og formålene med behandlingen, herunder, dersom det er relevant, den berettigede interessen som forfølges av den behandlingsansvarlige, en vurdering av om behandlingsaktivitetene er nødvendige og står i et rimelig forhold til formålene, en vurdering av risikoene for de registrertes rettigheter og friheter som nevnt i nr. 1, og de planlagte tiltakene for å håndtere risikoene, herunder garantier, sikkerhetstiltak og mekanismer for å sikre vern av personopplysninger og for å påvise at denne forordning overholdes, idet det tas hensyn til de registrertes og andre berørte personers rettigheter og berettigede interesser.
§ Artikkel 36
Forhåndsdrøftinger
Artikkel 36. Forhåndsdrøftinger
dersom det er relevant, ansvarsfordelingen mellom den behandlingsansvarlige, de felles behandlingsansvarlige og databehandlerne som er involvert i behandlingen, særlig ved behandling i et konsern, formålene med og midlene for den planlagte behandlingen, tiltakene og garantiene som er fastsatt for å verne de registrertes rettigheter og friheter i henhold til denne forordning, dersom det er relevant, kontaktopplysningene til personvernombudet, vurderingen av personvernkonsekvenser fastsatt i artikkel 35 og all annen informasjon som tilsynsmyndigheten anmoder om.
§ Artikkel 37
Utpeking av et personvernombud
Artikkel 37. Utpeking av et personvernombud
behandlingen utføres av en offentlig myndighet eller et offentlig organ, bortsett fra domstoler som opptrer innenfor rammen av sin domsmyndighet, den behandlingsansvarliges eller databehandlerens kjernevirksomhet består av behandlingsaktiviteter som på grunn av sin art, sitt omfang og/eller formål krever regelmessig og systematisk monitorering i stor skala av registrerte, eller den behandlingsansvarliges eller databehandlerens kjernevirksomhet består av behandling i stor skala av særlige kategorier av opplysninger i henhold til artikkel 9 eller personopplysninger om straffedommer og lovovertredelser som nevnt i artikkel 10.
§ Artikkel 38
Personvernombudets stilling
Artikkel 38. Personvernombudets stilling
§ Artikkel 39
Personvernombudets oppgaver
Artikkel 39. Personvernombudets oppgaver
informere og gi råd til den behandlingsansvarlige eller databehandleren og de ansatte som utfører behandlingen, om de forpliktelsene de har i henhold til denne forordning, og i henhold til andre av Unionens eller medlemsstatenes bestemmelser om vern av personopplysninger, kontrollere overholdelsen av denne forordning, av andre av Unionens eller medlemsstatenes personvernregler og den behandlingsansvarliges eller databehandlerens personvernretningslinjer, herunder fordeling av ansvar, holdningsskapende tiltak og opplæring av personellet som er involvert i behandlingsaktivitetene, og tilhørende revisjoner, på anmodning gi råd om vurderingen av personvernkonsekvenser og kontrollere gjennomføringen av den i henhold til artikkel 35, samarbeide med tilsynsmyndigheten, fungere som kontaktpunkt for tilsynsmyndigheten ved spørsmål om behandlingen, herunder forhåndsdrøftingene nevnt i artikkel 36, og ved behov rådføre seg med tilsynsmyndigheten om eventuelle andre spørsmål.
§ Artikkel 40
Atferdsnormer
Artikkel 40. Atferdsnormer
rettferdig og åpen behandling, de berettigede interessene som forfølges av behandlingsansvarlige i bestemte sammenhenger, innsamling av personopplysninger, pseudonymisering av personopplysninger, informasjonen som gis allmennheten og de registrerte, utøvelsen av registrertes rettigheter, informasjonen som gis til barn, og vern av barn, samt måten samtykke fra de personer som har foreldreansvar for barn, innhentes på, tiltakene og framgangsmåtene nevnt i artikkel 24 og 25 og tiltakene for å ivareta sikkerheten ved behandlingen nevnt i artikkel 32, melding av brudd på personopplysningssikkerheten til tilsynsmyndigheter og underretning av registrerte om nevnte brudd, overføring av personopplysninger til tredjestater eller internasjonale organisasjoner eller utenrettslige prosesser og andre mekanismer for tvisteløsning mellom behandlingsansvarlige og registrerte med hensyn til behandling, uten at det berører de registrertes rettigheter i henhold til artikkel 77 og 79.
§ Artikkel 41
Kontroll av godkjente atferdsnormer
Artikkel 41. Kontroll av godkjente atferdsnormer
vist at det er uavhengig og har dybdekunnskap om temaet for atferdsnormene på en måte som oppfyller vedkommende tilsynsmyndighets krav, fastsatt framgangsmåter som gjør det mulig å vurdere om berørte behandlingsansvarlige og databehandlere oppfyller vilkårene for anvendelse av atferdsnormene, føre tilsyn med at de overholdes og foreta regelmessige gjennomgåelser av atferdsnormenes virkemåte, fastsatt framgangsmåter og rutiner for behandling av klager på overtredelser av atferdsnormene eller måten de er blitt eller blir gjennomført på av den behandlingsansvarlige eller databehandleren, og gjøre nevnte framgangsmåter og rutiner åpne for de registrerte og allmennheten, og vist, på en måte som oppfyller vedkommende tilsynsmyndighets krav, at oppgavene eller pliktene ikke fører til en interessekonflikt.
§ Artikkel 42
Sertifisering
Artikkel 42. Sertifisering
§ Artikkel 43
Sertifiseringsorganer
Artikkel 43. Sertifiseringsorganer
tilsynsmyndigheten som har kompetanse i henhold til artikkel 55 eller 56, det nasjonale akkrediteringsorganet som er utpekt i samsvar med europaparlaments- og rådsforordning (EF) nr. 765/20081 i samsvar med EN-ISO/IEC 17065/2012, og med tilleggskravene fastsatt av tilsynsmyndigheten som har kompetanse i henhold til artikkel 55 eller 56.
vist at de er uavhengige og har dybdekunnskap om sertifiseringens innhold på en måte som oppfyller vedkommende tilsynsmyndighets krav, forpliktet seg til å overholde kriteriene nevnt i artikkel 42 nr. 5 og som er godkjent av tilsynsmyndigheten som har kompetanse i henhold til artikkel 55 eller 56, eller av Personvernrådet i henhold til artikkel 63, fastsatt framgangsmåter for utstedelse, regelmessig gjennomgåelse og tilbakekalling av en personvernsertifisering og personvernsegl og -merker, fastsatt framgangsmåter og rutiner for behandling av klager på overtredelser av sertifiseringen eller måten sertifiseringen er blitt eller blir gjennomført på av den behandlingsansvarlige eller databehandleren, og gjøre nevnte framgangsmåter og rutiner åpne for de registrerte og allmennheten, og vist, på en måte som oppfyller vedkommende tilsynsmyndighets krav, at deres oppgaver og plikter ikke fører til en interessekonflikt.
kapittel-10-kapittel-4-kapittel-1
§ Artikkel 24
Den behandlingsansvarliges ansvar
Artikkel 24. Den behandlingsansvarliges ansvar
§ Artikkel 25
Innebygd personvern og personvern som standardinnstilling
Artikkel 25. Innebygd personvern og personvern som standardinnstilling
§ Artikkel 26
Felles behandlingsansvarlige
Artikkel 26. Felles behandlingsansvarlige
§ Artikkel 27
Representanter for behandlingsansvarlige eller databehandlere som ikke er etablert i Unionen
Artikkel 27. Representanter for behandlingsansvarlige eller databehandlere som ikke er etablert i Unionen
behandling som skjer leilighetsvis, som ikke omfatter behandling i stor skala av særlige kategorier av opplysninger som nevnt i artikkel 9 nr. 1, eller behandling av personopplysninger om straffedommer eller lovovertredelser som nevnt i artikkel 10, og som sannsynligvis ikke vil medføre en risiko for fysiske personers rettigheter og friheter, idet det tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i, eller en offentlig myndighet eller et offentlig organ.
§ Artikkel 28
Databehandler
Artikkel 28. Databehandler
behandler personopplysningene bare på dokumenterte instrukser fra den behandlingsansvarlige, herunder med hensyn til overføring av personopplysninger til en tredjestat eller en internasjonal organisasjon, med mindre det kreves i henhold til unionsretten eller medlemsstatenes nasjonale rett som databehandleren er underlagt; i så fall skal databehandleren underrette den behandlingsansvarlige om nevnte rettslige krav før behandlingen, men mindre denne rett av hensyn til viktige allmenne interesser forbyr en slik underretning, sikrer at personer som er autorisert til å behandle personopplysningene, har forpliktet seg til å behandle opplysningene konfidensielt eller er underlagt en egnet lovfestet taushetsplikt, treffer alle tiltak som er nødvendig i henhold til artikkel 32, overholder vilkårene nevnt i nr. 2 og 4 når det gjelder å engasjere en annen databehandler, idet det tas hensyn til behandlingens art og i den grad det er mulig, bistår, ved hjelp av egnede tekniske og organisatoriske tiltak, den behandlingsansvarlige med å oppfylle vedkommendes plikt til å svare på anmodninger som den registrerte inngir med henblikk på å utøve sine rettigheter fastsatt i kapittel III, bistår den behandlingsansvarlige med å sikre overholdelse av forpliktelsene i henhold til artikkel 32-36, idet det tas hensyn til behandlingens art og den informasjonen som er tilgjengelig for databehandleren, etter den behandlingsansvarliges valg, sletter eller tilbakeleverer alle personopplysninger til den behandlingsansvarlige etter at tjenestene knyttet til behandlingen er levert, og sletter eksisterende kopier, med mindre unionsretten eller medlemsstatenes nasjonale rett krever at personopplysningene lagres, gjør tilgjengelig for den behandlingsansvarlige all informasjon som er nødvendig for å påvise at forpliktelsene fastsatt i denne artikkel er oppfylt, samt muliggjør og bidrar til revisjoner, herunder inspeksjoner, som gjennomføres av den behandlingsansvarlige eller en annen revisor på fullmakt fra den behandlingsansvarlige.
§ Artikkel 29
Behandling som utføres for den behandlingsansvarlige eller databehandleren
Artikkel 29. Behandling som utføres for den behandlingsansvarlige eller databehandleren
§ Artikkel 30
Protokoller over behandlingsaktiviteter
Artikkel 30. Protokoller over behandlingsaktiviteter
navnet på og kontaktopplysningene til den behandlingsansvarlige og, dersom det er relevant, den felles behandlingsansvarlige, den behandlingsansvarliges representant og personvernombudet, formålene med behandlingen, en beskrivelse av kategoriene av registrerte og kategoriene av personopplysninger, kategoriene av mottakere som personopplysningene er blitt eller vil bli utlevert til, herunder mottakere i tredjestater eller internasjonale organisasjoner, dersom det er relevant, overføringer av personopplysninger til en tredjestat eller en internasjonal organisasjon, herunder identifikasjon av nevnte tredjestat eller internasjonale organisasjon og, ved overføringer nevnt i artikkel 49 nr. 1 annet ledd, dokumentasjon på nødvendige garantier, dersom det er mulig, de planlagte tidsfristene for sletting av de forskjellige kategoriene av opplysninger, dersom det er mulig, en generell beskrivelse av de tekniske og organisatoriske sikkerhetstiltakene nevnt i artikkel 32 nr. 1.
navnet på og kontaktopplysningene til databehandleren eller databehandlerne og til hver behandlingsansvarlig som databehandleren opptrer på vegne av, samt, dersom det er relevant, den behandlingsansvarliges eller databehandlerens representant og personvernombudet, kategoriene av behandling utført på vegne av hver behandlingsansvarlig, dersom det er relevant, overføringer av personopplysninger til en tredjestat eller en internasjonal organisasjon, herunder identifikasjon av nevnte tredjestat eller internasjonale organisasjon og, ved overføringer nevnt i artikkel 49 nr. 1 annet ledd, dokumentasjon på nødvendige garantier, dersom det er mulig, en generell beskrivelse av de tekniske og organisatoriske sikkerhetstiltakene nevnt i artikkel 32 nr. 1.
§ Artikkel 31
Samarbeid med tilsynsmyndigheten
Artikkel 31. Samarbeid med tilsynsmyndigheten
kapittel-10-kapittel-4-kapittel-2
§ Artikkel 32
Sikkerhet ved behandlingen
Artikkel 32. Sikkerhet ved behandlingen
pseudonymisering og kryptering av personopplysninger, evne til å sikre vedvarende konfidensialitet, integritet, tilgjengelighet og robusthet i behandlingssystemene og -tjenestene, evne til å gjenopprette tilgjengeligheten og tilgangen til personopplysninger i rett tid dersom det oppstår en fysisk eller teknisk hendelse, en prosess for regelmessig testing, analysering og vurdering av hvor effektive behandlingens tekniske og organisatoriske sikkerhetstiltak er.
§ Artikkel 33
Melding til tilsynsmyndigheten om brudd på personopplysningssikkerheten
Artikkel 33. Melding til tilsynsmyndigheten om brudd på personopplysningssikkerheten
beskrive arten av bruddet på personopplysningssikkerheten, herunder, når det er mulig, kategoriene av og omtrentlig antall registrerte som er berørt, og kategoriene av og omtrentlig antall registreringer av personopplysninger som er berørt, inneholde navnet på og kontaktopplysningene til personvernombudet eller et annet kontaktpunkt der mer informasjon kan innhentes, beskrive de sannsynlige konsekvensene av bruddet på personopplysningssikkerheten, beskrive de tiltak som den behandlingsansvarlige har truffet eller foreslår å treffe for å håndtere bruddet på personopplysningssikkerheten, herunder, dersom det er relevant, tiltak for å redusere eventuelle skadevirkninger som følge av bruddet.
§ Artikkel 34
Underretning av den registrerte om brudd på personopplysningssikkerheten
Artikkel 34. Underretning av den registrerte om brudd på personopplysningssikkerheten
den behandlingsansvarlige har gjennomført egnede tekniske og organisatoriske sikkerhetstiltak, og disse tiltakene er blitt anvendt på personopplysningene som er berørt av bruddet på personopplysningssikkerheten, særlig tiltak som gjør personopplysningene uleselige for enhver person som ikke har autorisert tilgang til dem, f.eks. kryptering, den behandlingsansvarlige har truffet etterfølgende tiltak som sikrer at det ikke lenger er sannsynlig at den høye risikoen for de registrertes rettigheter og friheter nevnt i nr. 1 vil oppstå, det vil innebære en uforholdsmessig stor innsats. Dersom dette er tilfellet, skal allmennheten isteden underrettes, eller det skal treffes et lignende tiltak som sikrer at de registrerte underrettes på en like effektiv måte.
kapittel-10-kapittel-4-kapittel-3
§ Artikkel 35
Vurdering av personvernkonsekvenser
Artikkel 35. Vurdering av personvernkonsekvenser
en systematisk og omfattende vurdering av personlige aspekter ved fysiske personer som er basert på automatisert behandling, herunder profilering, og som danner grunnlag for avgjørelser som har rettsvirkning for den fysiske personen eller på lignende måte i betydelig grad påvirker den fysiske personen, behandling i stor skala av særlige kategorier av opplysninger som nevnt i artikkel 9 nr. 1, eller av personopplysninger om straffedommer og lovovertredelser som nevnt i artikkel 10, eller en systematisk overvåking i stor skala av et offentlig tilgjengelig område.
en systematisk beskrivelse av de planlagte behandlingsaktivitetene og formålene med behandlingen, herunder, dersom det er relevant, den berettigede interessen som forfølges av den behandlingsansvarlige, en vurdering av om behandlingsaktivitetene er nødvendige og står i et rimelig forhold til formålene, en vurdering av risikoene for de registrertes rettigheter og friheter som nevnt i nr. 1, og de planlagte tiltakene for å håndtere risikoene, herunder garantier, sikkerhetstiltak og mekanismer for å sikre vern av personopplysninger og for å påvise at denne forordning overholdes, idet det tas hensyn til de registrertes og andre berørte personers rettigheter og berettigede interesser.
§ Artikkel 36
Forhåndsdrøftinger
Artikkel 36. Forhåndsdrøftinger
dersom det er relevant, ansvarsfordelingen mellom den behandlingsansvarlige, de felles behandlingsansvarlige og databehandlerne som er involvert i behandlingen, særlig ved behandling i et konsern, formålene med og midlene for den planlagte behandlingen, tiltakene og garantiene som er fastsatt for å verne de registrertes rettigheter og friheter i henhold til denne forordning, dersom det er relevant, kontaktopplysningene til personvernombudet, vurderingen av personvernkonsekvenser fastsatt i artikkel 35 og all annen informasjon som tilsynsmyndigheten anmoder om.
kapittel-10-kapittel-4-kapittel-4
§ Artikkel 37
Utpeking av et personvernombud
Artikkel 37. Utpeking av et personvernombud
behandlingen utføres av en offentlig myndighet eller et offentlig organ, bortsett fra domstoler som opptrer innenfor rammen av sin domsmyndighet, den behandlingsansvarliges eller databehandlerens kjernevirksomhet består av behandlingsaktiviteter som på grunn av sin art, sitt omfang og/eller formål krever regelmessig og systematisk monitorering i stor skala av registrerte, eller den behandlingsansvarliges eller databehandlerens kjernevirksomhet består av behandling i stor skala av særlige kategorier av opplysninger i henhold til artikkel 9 eller personopplysninger om straffedommer og lovovertredelser som nevnt i artikkel 10.
§ Artikkel 38
Personvernombudets stilling
Artikkel 38. Personvernombudets stilling
§ Artikkel 39
Personvernombudets oppgaver
Artikkel 39. Personvernombudets oppgaver
informere og gi råd til den behandlingsansvarlige eller databehandleren og de ansatte som utfører behandlingen, om de forpliktelsene de har i henhold til denne forordning, og i henhold til andre av Unionens eller medlemsstatenes bestemmelser om vern av personopplysninger, kontrollere overholdelsen av denne forordning, av andre av Unionens eller medlemsstatenes personvernregler og den behandlingsansvarliges eller databehandlerens personvernretningslinjer, herunder fordeling av ansvar, holdningsskapende tiltak og opplæring av personellet som er involvert i behandlingsaktivitetene, og tilhørende revisjoner, på anmodning gi råd om vurderingen av personvernkonsekvenser og kontrollere gjennomføringen av den i henhold til artikkel 35, samarbeide med tilsynsmyndigheten, fungere som kontaktpunkt for tilsynsmyndigheten ved spørsmål om behandlingen, herunder forhåndsdrøftingene nevnt i artikkel 36, og ved behov rådføre seg med tilsynsmyndigheten om eventuelle andre spørsmål.
kapittel-10-kapittel-4-kapittel-5
§ Artikkel 40
Atferdsnormer
Artikkel 40. Atferdsnormer
rettferdig og åpen behandling, de berettigede interessene som forfølges av behandlingsansvarlige i bestemte sammenhenger, innsamling av personopplysninger, pseudonymisering av personopplysninger, informasjonen som gis allmennheten og de registrerte, utøvelsen av registrertes rettigheter, informasjonen som gis til barn, og vern av barn, samt måten samtykke fra de personer som har foreldreansvar for barn, innhentes på, tiltakene og framgangsmåtene nevnt i artikkel 24 og 25 og tiltakene for å ivareta sikkerheten ved behandlingen nevnt i artikkel 32, melding av brudd på personopplysningssikkerheten til tilsynsmyndigheter og underretning av registrerte om nevnte brudd, overføring av personopplysninger til tredjestater eller internasjonale organisasjoner eller utenrettslige prosesser og andre mekanismer for tvisteløsning mellom behandlingsansvarlige og registrerte med hensyn til behandling, uten at det berører de registrertes rettigheter i henhold til artikkel 77 og 79.
§ Artikkel 41
Kontroll av godkjente atferdsnormer
Artikkel 41. Kontroll av godkjente atferdsnormer
vist at det er uavhengig og har dybdekunnskap om temaet for atferdsnormene på en måte som oppfyller vedkommende tilsynsmyndighets krav, fastsatt framgangsmåter som gjør det mulig å vurdere om berørte behandlingsansvarlige og databehandlere oppfyller vilkårene for anvendelse av atferdsnormene, føre tilsyn med at de overholdes og foreta regelmessige gjennomgåelser av atferdsnormenes virkemåte, fastsatt framgangsmåter og rutiner for behandling av klager på overtredelser av atferdsnormene eller måten de er blitt eller blir gjennomført på av den behandlingsansvarlige eller databehandleren, og gjøre nevnte framgangsmåter og rutiner åpne for de registrerte og allmennheten, og vist, på en måte som oppfyller vedkommende tilsynsmyndighets krav, at oppgavene eller pliktene ikke fører til en interessekonflikt.
§ Artikkel 42
Sertifisering
Artikkel 42. Sertifisering
§ Artikkel 43
Sertifiseringsorganer
Artikkel 43. Sertifiseringsorganer
tilsynsmyndigheten som har kompetanse i henhold til artikkel 55 eller 56, det nasjonale akkrediteringsorganet som er utpekt i samsvar med europaparlaments- og rådsforordning (EF) nr. 765/20081 i samsvar med EN-ISO/IEC 17065/2012, og med tilleggskravene fastsatt av tilsynsmyndigheten som har kompetanse i henhold til artikkel 55 eller 56.
vist at de er uavhengige og har dybdekunnskap om sertifiseringens innhold på en måte som oppfyller vedkommende tilsynsmyndighets krav, forpliktet seg til å overholde kriteriene nevnt i artikkel 42 nr. 5 og som er godkjent av tilsynsmyndigheten som har kompetanse i henhold til artikkel 55 eller 56, eller av Personvernrådet i henhold til artikkel 63, fastsatt framgangsmåter for utstedelse, regelmessig gjennomgåelse og tilbakekalling av en personvernsertifisering og personvernsegl og -merker, fastsatt framgangsmåter og rutiner for behandling av klager på overtredelser av sertifiseringen eller måten sertifiseringen er blitt eller blir gjennomført på av den behandlingsansvarlige eller databehandleren, og gjøre nevnte framgangsmåter og rutiner åpne for de registrerte og allmennheten, og vist, på en måte som oppfyller vedkommende tilsynsmyndighets krav, at deres oppgaver og plikter ikke fører til en interessekonflikt.
KAPITTEL V Overføring av personopplysninger til tredjestater eller internasjonale organisasjoner
§ Artikkel 44
Generelt prinsipp for overføring
Artikkel 44. Generelt prinsipp for overføring
§ Artikkel 45
Overføringer på grunnlag av en beslutning om tilstrekkelig beskyttelsesnivå
Artikkel 45. Overføringer på grunnlag av en beslutning om tilstrekkelig beskyttelsesnivå
prinsippet om rettsstaten, respekt for menneskerettighetene og grunnleggende friheter, relevant lovgivning, både generell og sektorbestemt, herunder om offentlig sikkerhet, forsvar, nasjonal sikkerhet og strafferett og offentlige myndigheters tilgang til personopplysninger samt gjennomføring av nevnte lovgivning, regler om vern av personopplysninger, regler om yrkesutøvelse og sikkerhetstiltak, herunder regler om videreoverføring av personopplysninger til en annen tredjestat eller internasjonal organisasjon som gjelder i nevnte stat eller internasjonale organisasjon, rettspraksis samt effektive og håndhevbare rettigheter for de registrerte og rett til effektiv administrativ og rettslig prøving for de registrerte hvis personopplysninger overføres, om det finnes en eller flere velfungerende, uavhengige tilsynsmyndigheter i tredjestaten eller som en internasjonal organisasjon er underlagt, med ansvar for å sikre og håndheve at reglene for vern av personopplysninger overholdes, herunder tilstrekkelig håndhevingsmyndighet, for å bistå og gi råd til de registrerte når de utøver sine rettigheter, og for samarbeid med tilsynsmyndighetene i medlemsstatene, og de internasjonale forpliktelsene som den berørte tredjestaten eller den internasjonale organisasjonen har påtatt seg, eller andre forpliktelser som følger av rettslig bindende konvensjoner eller instrumenter og av tredjestatens eller organisasjonens deltaking i multilaterale eller regionale systemer, særlig i forbindelse med vern av personopplysninger.
§ Artikkel 46
Overføringer som omfattes av nødvendige garantier
Artikkel 46. Overføringer som omfattes av nødvendige garantier
et rettslig bindende og håndhevbart instrument mellom offentlige myndigheter eller organer, bindende virksomhetsregler i samsvar med artikkel 47, standard personvernbestemmelser vedtatt av Kommisjonen i samsvar med undersøkelsesprosedyren nevnt i artikkel 93 nr. 2, standard personvernbestemmelser vedtatt av en tilsynsmyndighet og godkjent av Kommisjonen i samsvar med undersøkelsesprosedyren nevnt i artikkel 93 nr. 2, godkjente atferdsnormer i henhold til artikkel 40 sammen med bindende og håndhevbare forpliktelser for den behandlingsansvarlige eller databehandleren i tredjestaten om å anvende nødvendige garantier, herunder med hensyn til de registrertes rettigheter, eller en godkjent sertifiseringsmekanisme i henhold til artikkel 42 sammen med bindende og håndhevbare forpliktelser for den behandlingsansvarlige eller databehandleren i tredjestaten om å anvende nødvendige garantier, herunder med hensyn til de registrertes rettigheter.
avtalevilkår mellom den behandlingsansvarlige eller databehandleren og den behandlingsansvarlige, databehandleren eller mottakeren av personopplysninger i tredjestaten eller den internasjonale organisasjonen, eller bestemmelser som skal innføres i administrative ordninger mellom offentlige myndigheter eller organer, og som omfatter håndhevbare og effektive rettigheter for de registrerte.
§ Artikkel 47
Bindende virksomhetsregler
Artikkel 47. Bindende virksomhetsregler
er rettslig bindende og får anvendelse på og håndheves av hvert berørte foretak i konsernet eller gruppen av foretak som utøver en felles økonomisk virksomhet, herunder deres ansatte, uttrykkelig gir de registrerte håndhevbare rettigheter med hensyn til behandling av deres personopplysninger og oppfyller kravene fastsatt i nr. 2.
strukturen og kontaktopplysninger til konsernet eller gruppen av foretak som utøver en felles økonomisk virksomhet, og hvert av dets/dens medlemmer, overføringene eller rekken av overføringer av opplysninger, herunder kategorier av personopplysninger, behandlingstype og -formål, typen av berørte registrerte samt angivelse av den aktuelle tredjestaten eller de aktuelle tredjestatene, reglenes rettslig bindende art, både internt og eksternt, anvendelsen av de allmenne prinsippene for vern av personopplysninger, særlig formålsbegrensning, dataminimering, begrenset lagringstid, datakvalitet, innebygd personvern og personvern som standardinnstilling, rettslig grunnlag for behandlingen, behandling av særlige kategorier av personopplysninger, tiltak for å ivareta datasikkerheten og krav med hensyn til videreoverføring til organer som ikke er bundet av de bindende virksomhetsreglene, rettighetene til registrerte i forbindelse med behandlingen samt midler for å utøve nevnte rettigheter, herunder retten til ikke å være gjenstand for avgjørelser som utelukkende er truffet på grunnlag av automatisert behandling, herunder profilering i samsvar med artikkel 22, retten til å klage til vedkommende tilsynsmyndighet og til vedkommende domstoler i medlemsstatene i samsvar med artikkel 79 samt til å motta erstatning og, dersom det er relevant, godtgjøring for brudd på de bindende virksomhetsreglene, at den behandlingsansvarlige eller databehandleren som er etablert på territoriet til en medlemsstat, påtar seg ansvaret dersom et berørt foretak som ikke er etablert i Unionen, bryter de bindende virksomhetsreglene; den behandlingsansvarlige eller databehandleren skal fritas for nevnte ansvar, helt eller delvis, bare dersom vedkommende beviser at nevnte foretak ikke er ansvarlig for hendelsen som forvoldte skaden, hvordan informasjonen om de bindende virksomhetsreglene, særlig om bestemmelsene nevnt i bokstav d), e) og f) i dette nummer, gis til de registrerte i tillegg til informasjonen nevnt i artikkel 13 og 14, oppgavene til et personvernombud som er utpekt i samsvar med artikkel 37, eller enhver annen person eller enhet med ansvar for å kontrollere at de bindende virksomhetsreglene overholdes i konsernet eller gruppen av foretak som utøver en felles økonomisk virksomhet, samt oppfølging av opplæring og håndtering av klager, framgangsmåtene for å inngi klage, mekanismene i konsernet eller gruppen av foretak som utøver en felles økonomisk virksomhet, for å kontrollere at de bindende virksomhetsreglene overholdes. Nevnte mekanismer skal omfatte personvernrevisjoner og metoder for å sikre korrigerende tiltak for å verne de registrertes rettigheter. Resultatene av en slik kontroll bør meddeles personen eller enheten nevnt i bokstav h) og styret i foretaket som utøver kontroll i et konsern, eller i gruppen av foretak som utøver en felles økonomisk virksomhet, og bør på anmodning være tilgjengelig for vedkommende tilsynsmyndighet, mekanismene for rapportering og registrering av endringer i reglene og for rapportering av nevnte endringer til tilsynsmyndigheten, mekanismene for samarbeid med tilsynsmyndigheten for å sikre at alle foretak i konsernet eller gruppen av foretak som utøver en felles økonomisk virksomhet, overholder reglene, særlig ved å gjøre resultatene av kontrollen av tiltakene nevnt i bokstav j) tilgjengelig for tilsynsmyndigheten, mekanismene for rapportering til vedkommende tilsynsmyndighet av eventuelle lovfestede krav som et foretak i konsernet eller gruppen av foretak som utøver en felles økonomisk virksomhet, er underlagt i en tredjestat, og som sannsynligvis vil ha en betydelig negativ virkning på garantiene fastsatt i de bindende virksomhetsreglene, og egnet opplæring om personvern for personell som har permanent eller regelmessig tilgang til personopplysninger.
§ Artikkel 48
Overføring eller utlevering som ikke er tillatt i henhold til unionsretten
Artikkel 48. Overføring eller utlevering som ikke er tillatt i henhold til unionsretten
§ Artikkel 49
Unntak for særlige situasjoner
Artikkel 49. Unntak for særlige situasjoner
den registrerte uttrykkelig har samtykket til den foreslåtte overføringen etter å ha blitt informert om de mulige risikoene nevnte overføringer kan innebære for vedkommende når det ikke foreligger en beslutning om tilstrekkelig beskyttelsesnivå og nødvendige garantier, overføringen er nødvendig for å oppfylle en avtale mellom den registrerte og den behandlingsansvarlige eller for å gjennomføre tiltak som treffes før avtaleinngåelse på den registrertes anmodning, overføringen er nødvendig for å inngå eller oppfylle en avtale inngått i den registrertes interesse mellom den behandlingsansvarlige og en annen fysisk eller juridisk person, overføringen er nødvendig av hensyn til viktige allmenne interesser, overføringen er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav, overføringen er nødvendig for å verne den registrertes eller andre personers vitale interesser i tilfeller der den registrerte fysisk eller juridisk ikke er i stand til å gi samtykke, overføringen finner sted fra et register som i henhold til unionsretten eller medlemsstatenes nasjonale rett er beregnet på å gi informasjon til allmennheten, og som er tilgjengelig for allmennheten eller for enhver person som kan gjøre gjeldende en berettiget interesse, men bare i den utstrekning vilkårene for offentlig tilgjengelighet fastsatt i unionsretten eller medlemsstatenes nasjonale rett er oppfylt i det særskilte tilfellet.
§ Artikkel 50
Internasjonalt samarbeid om vern av personopplysninger
Artikkel 50. Internasjonalt samarbeid om vern av personopplysninger
utvikle mekanismer for internasjonalt samarbeid for å fremme en effektiv håndheving av regelverket for vern av personopplysninger, yte internasjonal gjensidig bistand ved håndheving av regelverket for vern av personopplysninger, herunder ved underretning, oversending av klager, etterforskningsbistand og informasjonsutveksling, tatt i betraktning nødvendige garantier for vern av personopplysninger og andre grunnleggende rettigheter og friheter, trekke inn relevante berørte parter i drøftinger og aktiviteter som har som mål å fremme internasjonalt samarbeid om håndheving av regelverket for vern av personopplysninger, fremme utveksling av og dokumentasjon på regelverket for vern av personopplysninger og praksis på området, herunder om kompetansekonflikter med tredjestater.
KAPITTEL VI Uavhengige tilsynsmyndigheter
§ Artikkel 51
Tilsynsmyndighet
Artikkel 51. Tilsynsmyndighet
§ Artikkel 52
Uavhengighet
Artikkel 52. Uavhengighet
§ Artikkel 53
Generelle vilkår for medlemmer av tilsynsmyndigheten
Artikkel 53. Generelle vilkår for medlemmer av tilsynsmyndigheten
deres parlament, deres regjering, deres statsoverhode eller et uavhengig organ som har fått ansvar for utnevnelsen i henhold til medlemsstatens nasjonale rett.
§ Artikkel 54
Regler om opprettelse av tilsynsmyndigheten
Artikkel 54. Regler om opprettelse av tilsynsmyndigheten
opprettelse av hver tilsynsmyndighet, de nødvendige kvalifikasjonene og utvelgelseskriteriene for å kunne bli utnevnt som medlem av en tilsynsmyndighet, reglene om og framgangsmåtene for utnevnelse av medlemmet/medlemmene av hver tilsynsmyndighet, varigheten av mandatet til medlemmet/medlemmene av hver tilsynsmyndighet, som skal være minst fire år, bortsett fra den første utnevnelsen etter 24. mai 2016, som kan ha kortere varighet dersom det er nødvendig for å sikre tilsynsmyndighetens uavhengighet ved hjelp av en trinnvis utnevnelsesprosess, om mandatet til medlemmet/medlemmene av hver tilsynsmyndighet kan fornyes, og eventuelt hvor mange ganger, de vilkår som gjelder for forpliktelsene til medlemmet/medlemmene av og personellet hos hver tilsynsmyndighet, forbud mot aktiviteter, yrkesvirksomhet og fordeler som er uforenlige med disse i og etter utnevnelsesperioden, samt regler om avslutning av arbeidsforholdet.
§ Artikkel 55
Kompetanse
Artikkel 55. Kompetanse
§ Artikkel 56
Den ledende tilsynsmyndighets kompetanse
Artikkel 56. Den ledende tilsynsmyndighets kompetanse
§ Artikkel 57
Oppgaver
Artikkel 57. Oppgaver
føre tilsyn med og håndheve anvendelsen av denne forordning, fremme allmennhetens kjennskap til og forståelse for risikoer, regler, garantier og rettigheter i forbindelse med behandling. Aktiviteter rettet spesielt mot barn skal vies særlig oppmerksomhet, rådgi, i samsvar med medlemsstatenes nasjonale rett, det nasjonale parlament, regjeringen og andre institusjoner og organer om lovgivning og administrative tiltak knyttet til vern av fysiske personers rettigheter og friheter ved behandling, fremme de behandlingsansvarliges og databehandlernes kjennskap til de forpliktelsene de har i henhold til denne forordning, på anmodning informere registrerte om utøvelse av de rettighetene de har i henhold til denne forordning og, dersom det er relevant, samarbeide med tilsynsmyndighetene i andre medlemsstater om dette, behandle klager som er inngitt av en registrert eller et organ, en organisasjon eller en sammenslutning i samsvar med artikkel 80, og undersøke, i den grad det er hensiktsmessig, klagens gjenstand og underrette klageren om forløpet og utfallet av undersøkelsen innen en rimelig frist, særlig dersom det er behov for videre undersøkelse eller samordning med en annen tilsynsmyndighet, samarbeide med andre tilsynsmyndigheter, herunder ved å utveksle informasjon og yte gjensidig bistand, for å sikre ensartet anvendelse og håndheving av denne forordning, gjennomføre undersøkelser om anvendelsen av denne forordning, herunder på grunnlag av informasjon mottatt fra en annen tilsynsmyndighet eller en annen offentlig myndighet, følge relevant utvikling, i den grad den har innvirkning på personvern, særlig utviklingen innen informasjons- og kommunikasjonsteknologi og handelspraksis, vedta standardavtalevilkår som nevnt i artikkel 28 nr. 8 og artikkel 46 nr. 2 bokstav d), opprette og vedlikeholde en liste i forbindelse med kravene til vurderingen av personvernkonsekvenser i henhold til artikkel 35 nr. 4, gi råd om behandlingsaktivitetene nevnt i artikkel 36 nr. 2, oppmuntre til utarbeiding av atferdsnormer i henhold til artikkel 40 nr. 1 og avgi uttalelse om og godkjenne slike atferdsnormer som gir tilstrekkelige garantier, i henhold til artikkel 40 nr. 5, oppmuntre til innføring av mekanismer for personvernsertifisering samt personvernsegl og -merker i henhold til artikkel 42 nr. 1, og å godkjenne kriteriene for sertifisering i henhold til artikkel 42 nr. 5, dersom det er relevant, foreta en regelmessig gjennomgåelse av sertifiseringene utstedt i samsvar med artikkel 42 nr. 7, utarbeide et utkast til og offentliggjøre kravene for akkreditering av et organ med ansvar for tilsyn med atferdsnormer i henhold til artikkel 41 og et sertifiseringsorgan i henhold til artikkel 43, foreta akkreditering av et organ med ansvar for overvåking av atferdsnormer i henhold til artikkel 41 og et sertifiseringsorgan i henhold til artikkel 43, godkjenne avtalevilkår og bestemmelser som nevnt i artikkel 46 nr. 3, godkjenne bindende virksomhetsregler i henhold til artikkel 47, bidra i Personvernrådets arbeid, føre interne registre over overtredelser av denne forordning og over tiltak som er truffet i samsvar med artikkel 58 nr. 2, og utføre enhver annen oppgave knyttet til vern av personopplysninger.
§ Artikkel 58
Myndighet
Artikkel 58. Myndighet
pålegge den behandlingsansvarlige og databehandleren og, dersom det er relevant, disses representant, å framlegge all informasjon den trenger for å kunne utføre sine oppgaver, utføre undersøkelser i form av personvernrevisjoner, foreta en gjennomgåelse av sertifiseringer utstedt i henhold til artikkel 42 nr. 7, underrette den behandlingsansvarlige eller databehandleren om en påstått overtredelse av denne forordning, få tilgang, fra den behandlingsansvarlige og databehandleren, til alle personopplysninger og all informasjon som er nødvendig for å kunne utføre oppgavene den er gitt, få adgang til alle lokaler hos den behandlingsansvarlige eller databehandleren, herunder til alt databehandlingsutstyr og -midler, i samsvar med unionsretten eller medlemsstatenes prosessrett.
utstede advarsler til en behandlingsansvarlig eller databehandler om at de planlagte behandlingsaktivitetene sannsynligvis er i strid med bestemmelsene i denne forordning, utstede irettesettelser til en behandlingsansvarlig eller databehandler dersom behandlingsaktivitetene er i strid med bestemmelsene i denne forordning, pålegge den behandlingsansvarlige eller databehandleren å imøtekomme den registrertes anmodninger om å utøve sine rettigheter i henhold til denne forordning, pålegge den behandlingsansvarlige eller databehandleren å sørge for at behandlingsaktivitetene skjer i samsvar med bestemmelsene i denne forordning og, dersom det er relevant, på en bestemt måte og innen en bestemt frist, pålegge den behandlingsansvarlige å underrette den registrerte om brudd på personopplysningssikkerheten, innføre en midlertidig eller varig begrensning av, herunder et forbud mot, behandling, pålegge retting eller sletting av personopplysninger eller begrensning av behandlingen i henhold til artikkel 16, 17 og 18 og underretning av mottakere som personopplysningene er utlevert til i henhold til artikkel 17 nr. 2 og artikkel 19, om nevnte tiltak, trekke tilbake en sertifisering eller pålegge sertifiseringsorganet å trekke tilbake en sertifisering utstedt i henhold til artikkel 42 og 43, eller pålegge sertifiseringsorganet å ikke utstede sertifisering dersom kravene til sertifisering ikke lenger er oppfylt, ilegge overtredelsesgebyrer i henhold til artikkel 83 i tillegg til, eller i stedet for, tiltak som det vises til i dette nummer, avhengig av omstendighetene i hvert enkelt tilfelle, gi påbud om et midlertidig opphold i datastrømmene til en mottaker i en tredjestat eller til en internasjonal organisasjon.
rådgi den behandlingsansvarlige i samsvar med framgangsmåten for forhåndsdrøftinger nevnt i artikkel 36, avgi uttalelse, på eget initiativ eller på anmodning, til det nasjonale parlamentet, medlemsstatens regjering eller, i samsvar med medlemsstatenes nasjonale rett, til andre institusjoner og organer samt allmennheten om eventuelle spørsmål knyttet til vern av personopplysninger, godkjenne behandlingen nevnt i artikkel 36 nr. 5 dersom det i medlemsstatens nasjonale rett kreves slik forhåndsgodkjenning, avgi uttalelse om og godkjenne utkast til atferdsnormer i henhold til artikkel 40 nr. 5, akkreditere sertifiseringsorganer i henhold til artikkel 43, utstede sertifiseringer og godkjenne kriterier for sertifisering i samsvar med artikkel 42 nr. 5, vedta standard personvernbestemmelser nevnt i artikkel 28 nr. 8 og i artikkel 46 nr. 2 bokstav d), godkjenne avtalevilkår som nevnt i artikkel 46 nr. 3 bokstav a), godkjenne administrative ordninger som nevnt i artikkel 46 nr. 3 bokstav b), godkjenne bindende virksomhetsregler i henhold til artikkel 47.
§ Artikkel 59
Årsrapporter
Artikkel 59. Årsrapporter
kapittel-10-kapittel-6-kapittel-1
§ Artikkel 51
Tilsynsmyndighet
Artikkel 51. Tilsynsmyndighet
§ Artikkel 52
Uavhengighet
Artikkel 52. Uavhengighet
§ Artikkel 53
Generelle vilkår for medlemmer av tilsynsmyndigheten
Artikkel 53. Generelle vilkår for medlemmer av tilsynsmyndigheten
deres parlament, deres regjering, deres statsoverhode eller et uavhengig organ som har fått ansvar for utnevnelsen i henhold til medlemsstatens nasjonale rett.
§ Artikkel 54
Regler om opprettelse av tilsynsmyndigheten
Artikkel 54. Regler om opprettelse av tilsynsmyndigheten
opprettelse av hver tilsynsmyndighet, de nødvendige kvalifikasjonene og utvelgelseskriteriene for å kunne bli utnevnt som medlem av en tilsynsmyndighet, reglene om og framgangsmåtene for utnevnelse av medlemmet/medlemmene av hver tilsynsmyndighet, varigheten av mandatet til medlemmet/medlemmene av hver tilsynsmyndighet, som skal være minst fire år, bortsett fra den første utnevnelsen etter 24. mai 2016, som kan ha kortere varighet dersom det er nødvendig for å sikre tilsynsmyndighetens uavhengighet ved hjelp av en trinnvis utnevnelsesprosess, om mandatet til medlemmet/medlemmene av hver tilsynsmyndighet kan fornyes, og eventuelt hvor mange ganger, de vilkår som gjelder for forpliktelsene til medlemmet/medlemmene av og personellet hos hver tilsynsmyndighet, forbud mot aktiviteter, yrkesvirksomhet og fordeler som er uforenlige med disse i og etter utnevnelsesperioden, samt regler om avslutning av arbeidsforholdet.
kapittel-10-kapittel-6-kapittel-2
§ Artikkel 55
Kompetanse
Artikkel 55. Kompetanse
§ Artikkel 56
Den ledende tilsynsmyndighets kompetanse
Artikkel 56. Den ledende tilsynsmyndighets kompetanse
§ Artikkel 57
Oppgaver
Artikkel 57. Oppgaver
føre tilsyn med og håndheve anvendelsen av denne forordning, fremme allmennhetens kjennskap til og forståelse for risikoer, regler, garantier og rettigheter i forbindelse med behandling. Aktiviteter rettet spesielt mot barn skal vies særlig oppmerksomhet, rådgi, i samsvar med medlemsstatenes nasjonale rett, det nasjonale parlament, regjeringen og andre institusjoner og organer om lovgivning og administrative tiltak knyttet til vern av fysiske personers rettigheter og friheter ved behandling, fremme de behandlingsansvarliges og databehandlernes kjennskap til de forpliktelsene de har i henhold til denne forordning, på anmodning informere registrerte om utøvelse av de rettighetene de har i henhold til denne forordning og, dersom det er relevant, samarbeide med tilsynsmyndighetene i andre medlemsstater om dette, behandle klager som er inngitt av en registrert eller et organ, en organisasjon eller en sammenslutning i samsvar med artikkel 80, og undersøke, i den grad det er hensiktsmessig, klagens gjenstand og underrette klageren om forløpet og utfallet av undersøkelsen innen en rimelig frist, særlig dersom det er behov for videre undersøkelse eller samordning med en annen tilsynsmyndighet, samarbeide med andre tilsynsmyndigheter, herunder ved å utveksle informasjon og yte gjensidig bistand, for å sikre ensartet anvendelse og håndheving av denne forordning, gjennomføre undersøkelser om anvendelsen av denne forordning, herunder på grunnlag av informasjon mottatt fra en annen tilsynsmyndighet eller en annen offentlig myndighet, følge relevant utvikling, i den grad den har innvirkning på personvern, særlig utviklingen innen informasjons- og kommunikasjonsteknologi og handelspraksis, vedta standardavtalevilkår som nevnt i artikkel 28 nr. 8 og artikkel 46 nr. 2 bokstav d), opprette og vedlikeholde en liste i forbindelse med kravene til vurderingen av personvernkonsekvenser i henhold til artikkel 35 nr. 4, gi råd om behandlingsaktivitetene nevnt i artikkel 36 nr. 2, oppmuntre til utarbeiding av atferdsnormer i henhold til artikkel 40 nr. 1 og avgi uttalelse om og godkjenne slike atferdsnormer som gir tilstrekkelige garantier, i henhold til artikkel 40 nr. 5, oppmuntre til innføring av mekanismer for personvernsertifisering samt personvernsegl og -merker i henhold til artikkel 42 nr. 1, og å godkjenne kriteriene for sertifisering i henhold til artikkel 42 nr. 5, dersom det er relevant, foreta en regelmessig gjennomgåelse av sertifiseringene utstedt i samsvar med artikkel 42 nr. 7, utarbeide et utkast til og offentliggjøre kravene for akkreditering av et organ med ansvar for tilsyn med atferdsnormer i henhold til artikkel 41 og et sertifiseringsorgan i henhold til artikkel 43, foreta akkreditering av et organ med ansvar for overvåking av atferdsnormer i henhold til artikkel 41 og et sertifiseringsorgan i henhold til artikkel 43, godkjenne avtalevilkår og bestemmelser som nevnt i artikkel 46 nr. 3, godkjenne bindende virksomhetsregler i henhold til artikkel 47, bidra i Personvernrådets arbeid, føre interne registre over overtredelser av denne forordning og over tiltak som er truffet i samsvar med artikkel 58 nr. 2, og utføre enhver annen oppgave knyttet til vern av personopplysninger.
§ Artikkel 58
Myndighet
Artikkel 58. Myndighet
pålegge den behandlingsansvarlige og databehandleren og, dersom det er relevant, disses representant, å framlegge all informasjon den trenger for å kunne utføre sine oppgaver, utføre undersøkelser i form av personvernrevisjoner, foreta en gjennomgåelse av sertifiseringer utstedt i henhold til artikkel 42 nr. 7, underrette den behandlingsansvarlige eller databehandleren om en påstått overtredelse av denne forordning, få tilgang, fra den behandlingsansvarlige og databehandleren, til alle personopplysninger og all informasjon som er nødvendig for å kunne utføre oppgavene den er gitt, få adgang til alle lokaler hos den behandlingsansvarlige eller databehandleren, herunder til alt databehandlingsutstyr og -midler, i samsvar med unionsretten eller medlemsstatenes prosessrett.
utstede advarsler til en behandlingsansvarlig eller databehandler om at de planlagte behandlingsaktivitetene sannsynligvis er i strid med bestemmelsene i denne forordning, utstede irettesettelser til en behandlingsansvarlig eller databehandler dersom behandlingsaktivitetene er i strid med bestemmelsene i denne forordning, pålegge den behandlingsansvarlige eller databehandleren å imøtekomme den registrertes anmodninger om å utøve sine rettigheter i henhold til denne forordning, pålegge den behandlingsansvarlige eller databehandleren å sørge for at behandlingsaktivitetene skjer i samsvar med bestemmelsene i denne forordning og, dersom det er relevant, på en bestemt måte og innen en bestemt frist, pålegge den behandlingsansvarlige å underrette den registrerte om brudd på personopplysningssikkerheten, innføre en midlertidig eller varig begrensning av, herunder et forbud mot, behandling, pålegge retting eller sletting av personopplysninger eller begrensning av behandlingen i henhold til artikkel 16, 17 og 18 og underretning av mottakere som personopplysningene er utlevert til i henhold til artikkel 17 nr. 2 og artikkel 19, om nevnte tiltak, trekke tilbake en sertifisering eller pålegge sertifiseringsorganet å trekke tilbake en sertifisering utstedt i henhold til artikkel 42 og 43, eller pålegge sertifiseringsorganet å ikke utstede sertifisering dersom kravene til sertifisering ikke lenger er oppfylt, ilegge overtredelsesgebyrer i henhold til artikkel 83 i tillegg til, eller i stedet for, tiltak som det vises til i dette nummer, avhengig av omstendighetene i hvert enkelt tilfelle, gi påbud om et midlertidig opphold i datastrømmene til en mottaker i en tredjestat eller til en internasjonal organisasjon.
rådgi den behandlingsansvarlige i samsvar med framgangsmåten for forhåndsdrøftinger nevnt i artikkel 36, avgi uttalelse, på eget initiativ eller på anmodning, til det nasjonale parlamentet, medlemsstatens regjering eller, i samsvar med medlemsstatenes nasjonale rett, til andre institusjoner og organer samt allmennheten om eventuelle spørsmål knyttet til vern av personopplysninger, godkjenne behandlingen nevnt i artikkel 36 nr. 5 dersom det i medlemsstatens nasjonale rett kreves slik forhåndsgodkjenning, avgi uttalelse om og godkjenne utkast til atferdsnormer i henhold til artikkel 40 nr. 5, akkreditere sertifiseringsorganer i henhold til artikkel 43, utstede sertifiseringer og godkjenne kriterier for sertifisering i samsvar med artikkel 42 nr. 5, vedta standard personvernbestemmelser nevnt i artikkel 28 nr. 8 og i artikkel 46 nr. 2 bokstav d), godkjenne avtalevilkår som nevnt i artikkel 46 nr. 3 bokstav a), godkjenne administrative ordninger som nevnt i artikkel 46 nr. 3 bokstav b), godkjenne bindende virksomhetsregler i henhold til artikkel 47.
§ Artikkel 59
Årsrapporter
Artikkel 59. Årsrapporter
KAPITTEL VII Samarbeid og ensartet anvendelse
§ Artikkel 60
Samarbeid mellom ledende tilsynsmyndighet og andre berørte tilsynsmyndigheter
Artikkel 60. Samarbeid mellom ledende tilsynsmyndighet og andre berørte tilsynsmyndigheter
§ Artikkel 61
Gjensidig bistand
Artikkel 61. Gjensidig bistand
den ikke har kompetanse med hensyn til det anmodningen gjelder, eller de tiltak den anmodes om å iverksette, eller etterkommelse av anmodningen vil være i strid med denne forordning, unionsretten eller medlemsstatenes nasjonale rett som tilsynsmyndigheten som mottar anmodningen, er underlagt.
§ Artikkel 62
Tilsynsmyndighetenes felles aktiviteter
Artikkel 62. Tilsynsmyndighetenes felles aktiviteter
§ Artikkel 63
Konsistensmekanisme
Artikkel 63. Konsistensmekanisme
§ Artikkel 64
Uttalelse fra Personvernrådet
Artikkel 64. Uttalelse fra Personvernrådet
formålet er å vedta en liste over de behandlingsaktiviteter som er underlagt kravet om en vurdering av personvernkonsekvenser i henhold til artikkel 35 nr. 4, det gjelder et forhold i henhold til artikkel 40 nr. 7 om hvorvidt et utkast til atferdsnormer eller en endring eller utvidelse av atferdsnormer oppfyller kravene i denne forordning, formålet er å godkjenne kravene for akkreditering av et organ i henhold til artikkel 41 nr. 3 eller av et sertifiseringsorgan i henhold til artikkel 43 nr. 3 eller kriteriene for sertifisering som nevnt i artikkel 42 nr. 5, formålet er å fastsette standard personvernbestemmelser som nevnt i artikkel 46 nr. 2 bokstav d) og artikkel 28 nr. 8, formålet er å godkjenne avtalevilkår som nevnt i artikkel 46 nr. 3 bokstav a) eller formålet er å godkjenne bindende virksomhetsregler i henhold til artikkel 47.
medlemmene av Personvernrådet og Kommisjonen om all relevant informasjon som det har mottatt, ved bruk av et standardisert format. Personvernrådets sekretariat skal ved behov sørge for oversettelse av relevant informasjon, og tilsynsmyndigheten nevnt i nr. 1 og 2 og Kommisjonen om uttalelsen og offentliggjøre den.
§ Artikkel 65
Tvisteløsning gjennom Personvernrådet
Artikkel 65. Tvisteløsning gjennom Personvernrådet
dersom en berørt tilsynsmyndighet i et tilfelle nevnt i artikkel 60 nr. 4 har gjort relevant og begrunnet innsigelse mot et utkast til avgjørelse fra den ledende tilsynsmyndigheten, og den ledende tilsynsmyndigheten ikke har fulgt innsigelsen eller har avvist nevnte innsigelse med den begrunnelse at den ikke er relevant eller begrunnet. Den bindende beslutningen skal gjelde alle forhold som omfattes av den relevante og begrunnede innsigelsen, særlig om hvorvidt det foreligger en overtredelse av denne forordning, dersom det er uenighet om hvilken av de berørte tilsynsmyndighetene som har kompetanse med hensyn til hovedvirksomheten, dersom en vedkommende tilsynsmyndighet ikke anmoder om uttalelse fra Personvernrådet i tilfellene nevnt i artikkel 64 nr. 1, eller ikke følger Personvernrådets uttalelse avgitt i henhold til artikkel 64. Dersom dette er tilfellet, kan enhver berørt tilsynsmyndighet eller Kommisjonen framlegge forholdet for Personvernrådet.
§ Artikkel 66
Framgangsmåte for behandling av hastesaker
Artikkel 66. Framgangsmåte for behandling av hastesaker
§ Artikkel 67
Utveksling av informasjon
Artikkel 67. Utveksling av informasjon
§ Artikkel 68
Det europeiske personvernråd
Artikkel 68. Det europeiske personvernråd
§ Artikkel 69
Uavhengighet
Artikkel 69. Uavhengighet
§ Artikkel 70
Personvernrådets oppgaver
Artikkel 70. Personvernrådets oppgaver
overvåke og sikre riktig anvendelse av denne forordning i tilfellene nevnt i artikkel 64 og 65, uten at det berører nasjonale tilsynsmyndigheters oppgaver, rådgi Kommisjonen i alle spørsmål knyttet til vern av personopplysninger i Unionen, herunder om eventuelle forslag til endring av denne forordning, rådgi Kommisjonen om formatet og framgangsmåtene for utveksling av informasjon mellom behandlingsansvarlige, databehandlere og tilsynsmyndigheter med hensyn til bindende virksomhetsregler, utstede anbefalinger om, retningslinjer og beste praksis for framgangsmåter for å slette lenker, kopier eller reproduksjoner av personopplysninger fra offentlig tilgjengelige kommunikasjonstjenester som nevnt i artikkel 17 nr. 2, på eget initiativ, på anmodning fra ett av dets medlemmer eller fra Kommisjonen granske alle spørsmål som gjelder anvendelse av denne forordning, og utstede retningslinjer, anbefalinger og beste praksis for å fremme en ensartet anvendelse av denne forordning, utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for å presisere kriteriene og vilkårene for avgjørelser basert på profilering i henhold til artikkel 22 nr. 2, utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for å fastslå brudd på personopplysningssikkerheten og fastsette det ugrunnede oppholdet som nevnt i artikkel 33 nr. 1 og 2 samt for de særlige tilfellene der en behandlingsansvarlig eller en databehandler har plikt til å melde brudd på personopplysningssikkerheten, utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for omstendighetene der et brudd på personopplysningssikkerheten sannsynligvis vil føre til en høy risiko for rettighetene og frihetene til de fysiske personene nevnt i artikkel 34 nr. 1. utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for å presisere kriteriene for og kravene til overføring av personopplysninger basert på bindende virksomhetsregler som behandlingsansvarlige overholder, og bindende virksomhetsregler som databehandlere overholder, samt ytterligere nødvendige krav for å sikre vern av personopplysninger for de berørte registrerte nevnt i artikkel 47, utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for å presisere kriteriene for og kravene til overføring av personopplysninger på grunnlag av artikkel 49 nr. 1, utarbeide retningslinjer for tilsynsmyndigheter med tanke på anvendelse av tiltakene nevnt i artikkel 58 nr. 1, 2 og 3 og fastsettelse av overtredelsesgebyr i henhold til artikkel 83, gjennomgå den praktiske anvendelsen av retningslinjene, anbefalingene og beste praksis, utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for å fastsette felles framgangsmåter for fysiske personers rapportering av overtredelser av denne forordning i henhold til artikkel 54 nr. 2, oppmuntre til utarbeiding av atferdsnormer og innføring av mekanismer for personvernsertifisering samt personvernsegl og -merker i henhold til artikkel 40 og 42, godkjenne kriteriene for sertifisering i henhold til artikkel 42 nr. 5 og føre et offentlig register over sertifiseringsmekanismer og personvernsegl og -merker i henhold til artikkel 42 nr. 8 og over sertifiserte behandlingsansvarlige eller databehandlere etablert i tredjestater i henhold til artikkel 42 nr. 7, godkjenne kravene nevnt i artikkel 43 nr. 3 med henblikk på akkreditering av sertifiseringsorganer nevnt i artikkel 43, avgi uttalelse til Kommisjonen om sertifiseringskravene nevnt i artikkel 43 nr. 8, avgi uttalelse til Kommisjonen om ikonene nevnt i artikkel 12 nr. 7, avgi uttalelse til Kommisjonen om vurderingen av om beskyttelsesnivået i en tredjestat eller internasjonal organisasjon er tilstrekkelig, herunder vurderingen av om en tredjestat, et territorium eller en eller flere angitte sektorer i nevnte tredjestat eller en internasjonal organisasjon ikke lenger sikrer et tilstrekkelig beskyttelsesnivå. For dette formål skal Kommisjonen framlegge for Personvernrådet all nødvendig dokumentasjon, herunder korrespondanse med regjeringen i tredjestaten, med hensyn til nevnte tredjestat, territorium eller spesifikke sektor, eller med den internasjonale organisasjonen, avgi uttalelser om tilsynsmyndighetenes utkast til beslutninger i henhold til konsistensmekanismen nevnt i artikkel 64 nr. 1 i forhold som er framlagt i henhold til artikkel 64 nr. 2, og treffe bindende beslutninger i henhold til artikkel 65, herunder i tilfellene nevnt i artikkel 66, fremme samarbeidet og en effektiv bi- og multilateral utveksling av informasjon og beste praksis mellom tilsynsmyndighetene, fremme felles opplæringsprogrammer og utveksling av personell mellom tilsynsmyndighetene og, dersom det er relevant, med tilsynsmyndigheter i tredjestater eller internasjonale organisasjoner, fremme utveksling av kunnskap og dokumentasjon om personvernlovgivning og praksis på området med datatilsynsmyndigheter over hele verden, avgi uttalelser om atferdsnormer som utarbeides på EU-plan i henhold til artikkel 40 nr. 9, og føre et offentlig tilgjengelig elektronisk register over beslutninger truffet av tilsynsmyndigheter og domstoler i saker som er blitt behandlet i konsistensmekanismen.
§ Artikkel 71
Rapporter
Artikkel 71. Rapporter
§ Artikkel 72
Framgangsmåte
Artikkel 72. Framgangsmåte
§ Artikkel 73
Leder
Artikkel 73. Leder
§ Artikkel 74
Lederens oppgaver
Artikkel 74. Lederens oppgaver
innkalle til møter i Personvernrådet og utarbeide dagsordenen for møtene, underrette den ledende tilsynsmyndigheten og de berørte tilsynsmyndighetene om beslutninger truffet av Personvernrådet i henhold til artikkel 65, sikre at Personvernrådets oppgaver utføres i rett tid, særlig i forbindelse med konsistensmekanismen nevnt i artikkel 63.
§ Artikkel 75
Sekretariat
Artikkel 75. Sekretariat
Personvernrådets daglige virksomhet, kommunikasjon mellom Personvernrådets medlemmer, dets leder og Kommisjonen, kommunikasjon med andre institusjoner og med allmennheten, bruken av elektroniske midler i forbindelse med intern og ekstern kommunikasjon, oversettelse av relevant informasjon, forberedelse og oppfølging av Personvernrådets møter, forberedelse, utarbeiding av utkast til og offentliggjøring av uttalelser, beslutninger om løsning av tvister mellom tilsynsmyndigheter samt andre tekster som vedtas av Personvernrådet.
§ Artikkel 76
Konfidensialitet
Artikkel 76. Konfidensialitet
kapittel-10-kapittel-7-kapittel-1
§ Artikkel 60
Samarbeid mellom ledende tilsynsmyndighet og andre berørte tilsynsmyndigheter
Artikkel 60. Samarbeid mellom ledende tilsynsmyndighet og andre berørte tilsynsmyndigheter
§ Artikkel 61
Gjensidig bistand
Artikkel 61. Gjensidig bistand
den ikke har kompetanse med hensyn til det anmodningen gjelder, eller de tiltak den anmodes om å iverksette, eller etterkommelse av anmodningen vil være i strid med denne forordning, unionsretten eller medlemsstatenes nasjonale rett som tilsynsmyndigheten som mottar anmodningen, er underlagt.
§ Artikkel 62
Tilsynsmyndighetenes felles aktiviteter
Artikkel 62. Tilsynsmyndighetenes felles aktiviteter
kapittel-10-kapittel-7-kapittel-2
§ Artikkel 63
Konsistensmekanisme
Artikkel 63. Konsistensmekanisme
§ Artikkel 64
Uttalelse fra Personvernrådet
Artikkel 64. Uttalelse fra Personvernrådet
formålet er å vedta en liste over de behandlingsaktiviteter som er underlagt kravet om en vurdering av personvernkonsekvenser i henhold til artikkel 35 nr. 4, det gjelder et forhold i henhold til artikkel 40 nr. 7 om hvorvidt et utkast til atferdsnormer eller en endring eller utvidelse av atferdsnormer oppfyller kravene i denne forordning, formålet er å godkjenne kravene for akkreditering av et organ i henhold til artikkel 41 nr. 3 eller av et sertifiseringsorgan i henhold til artikkel 43 nr. 3 eller kriteriene for sertifisering som nevnt i artikkel 42 nr. 5, formålet er å fastsette standard personvernbestemmelser som nevnt i artikkel 46 nr. 2 bokstav d) og artikkel 28 nr. 8, formålet er å godkjenne avtalevilkår som nevnt i artikkel 46 nr. 3 bokstav a) eller formålet er å godkjenne bindende virksomhetsregler i henhold til artikkel 47.
medlemmene av Personvernrådet og Kommisjonen om all relevant informasjon som det har mottatt, ved bruk av et standardisert format. Personvernrådets sekretariat skal ved behov sørge for oversettelse av relevant informasjon, og tilsynsmyndigheten nevnt i nr. 1 og 2 og Kommisjonen om uttalelsen og offentliggjøre den.
§ Artikkel 65
Tvisteløsning gjennom Personvernrådet
Artikkel 65. Tvisteløsning gjennom Personvernrådet
dersom en berørt tilsynsmyndighet i et tilfelle nevnt i artikkel 60 nr. 4 har gjort relevant og begrunnet innsigelse mot et utkast til avgjørelse fra den ledende tilsynsmyndigheten, og den ledende tilsynsmyndigheten ikke har fulgt innsigelsen eller har avvist nevnte innsigelse med den begrunnelse at den ikke er relevant eller begrunnet. Den bindende beslutningen skal gjelde alle forhold som omfattes av den relevante og begrunnede innsigelsen, særlig om hvorvidt det foreligger en overtredelse av denne forordning, dersom det er uenighet om hvilken av de berørte tilsynsmyndighetene som har kompetanse med hensyn til hovedvirksomheten, dersom en vedkommende tilsynsmyndighet ikke anmoder om uttalelse fra Personvernrådet i tilfellene nevnt i artikkel 64 nr. 1, eller ikke følger Personvernrådets uttalelse avgitt i henhold til artikkel 64. Dersom dette er tilfellet, kan enhver berørt tilsynsmyndighet eller Kommisjonen framlegge forholdet for Personvernrådet.
§ Artikkel 66
Framgangsmåte for behandling av hastesaker
Artikkel 66. Framgangsmåte for behandling av hastesaker
§ Artikkel 67
Utveksling av informasjon
Artikkel 67. Utveksling av informasjon
kapittel-10-kapittel-7-kapittel-3
§ Artikkel 68
Det europeiske personvernråd
Artikkel 68. Det europeiske personvernråd
§ Artikkel 69
Uavhengighet
Artikkel 69. Uavhengighet
§ Artikkel 70
Personvernrådets oppgaver
Artikkel 70. Personvernrådets oppgaver
overvåke og sikre riktig anvendelse av denne forordning i tilfellene nevnt i artikkel 64 og 65, uten at det berører nasjonale tilsynsmyndigheters oppgaver, rådgi Kommisjonen i alle spørsmål knyttet til vern av personopplysninger i Unionen, herunder om eventuelle forslag til endring av denne forordning, rådgi Kommisjonen om formatet og framgangsmåtene for utveksling av informasjon mellom behandlingsansvarlige, databehandlere og tilsynsmyndigheter med hensyn til bindende virksomhetsregler, utstede anbefalinger om, retningslinjer og beste praksis for framgangsmåter for å slette lenker, kopier eller reproduksjoner av personopplysninger fra offentlig tilgjengelige kommunikasjonstjenester som nevnt i artikkel 17 nr. 2, på eget initiativ, på anmodning fra ett av dets medlemmer eller fra Kommisjonen granske alle spørsmål som gjelder anvendelse av denne forordning, og utstede retningslinjer, anbefalinger og beste praksis for å fremme en ensartet anvendelse av denne forordning, utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for å presisere kriteriene og vilkårene for avgjørelser basert på profilering i henhold til artikkel 22 nr. 2, utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for å fastslå brudd på personopplysningssikkerheten og fastsette det ugrunnede oppholdet som nevnt i artikkel 33 nr. 1 og 2 samt for de særlige tilfellene der en behandlingsansvarlig eller en databehandler har plikt til å melde brudd på personopplysningssikkerheten, utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for omstendighetene der et brudd på personopplysningssikkerheten sannsynligvis vil føre til en høy risiko for rettighetene og frihetene til de fysiske personene nevnt i artikkel 34 nr. 1. utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for å presisere kriteriene for og kravene til overføring av personopplysninger basert på bindende virksomhetsregler som behandlingsansvarlige overholder, og bindende virksomhetsregler som databehandlere overholder, samt ytterligere nødvendige krav for å sikre vern av personopplysninger for de berørte registrerte nevnt i artikkel 47, utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for å presisere kriteriene for og kravene til overføring av personopplysninger på grunnlag av artikkel 49 nr. 1, utarbeide retningslinjer for tilsynsmyndigheter med tanke på anvendelse av tiltakene nevnt i artikkel 58 nr. 1, 2 og 3 og fastsettelse av overtredelsesgebyr i henhold til artikkel 83, gjennomgå den praktiske anvendelsen av retningslinjene, anbefalingene og beste praksis, utstede retningslinjer, anbefalinger og beste praksis i samsvar med bokstav e) i dette nummer for å fastsette felles framgangsmåter for fysiske personers rapportering av overtredelser av denne forordning i henhold til artikkel 54 nr. 2, oppmuntre til utarbeiding av atferdsnormer og innføring av mekanismer for personvernsertifisering samt personvernsegl og -merker i henhold til artikkel 40 og 42, godkjenne kriteriene for sertifisering i henhold til artikkel 42 nr. 5 og føre et offentlig register over sertifiseringsmekanismer og personvernsegl og -merker i henhold til artikkel 42 nr. 8 og over sertifiserte behandlingsansvarlige eller databehandlere etablert i tredjestater i henhold til artikkel 42 nr. 7, godkjenne kravene nevnt i artikkel 43 nr. 3 med henblikk på akkreditering av sertifiseringsorganer nevnt i artikkel 43, avgi uttalelse til Kommisjonen om sertifiseringskravene nevnt i artikkel 43 nr. 8, avgi uttalelse til Kommisjonen om ikonene nevnt i artikkel 12 nr. 7, avgi uttalelse til Kommisjonen om vurderingen av om beskyttelsesnivået i en tredjestat eller internasjonal organisasjon er tilstrekkelig, herunder vurderingen av om en tredjestat, et territorium eller en eller flere angitte sektorer i nevnte tredjestat eller en internasjonal organisasjon ikke lenger sikrer et tilstrekkelig beskyttelsesnivå. For dette formål skal Kommisjonen framlegge for Personvernrådet all nødvendig dokumentasjon, herunder korrespondanse med regjeringen i tredjestaten, med hensyn til nevnte tredjestat, territorium eller spesifikke sektor, eller med den internasjonale organisasjonen, avgi uttalelser om tilsynsmyndighetenes utkast til beslutninger i henhold til konsistensmekanismen nevnt i artikkel 64 nr. 1 i forhold som er framlagt i henhold til artikkel 64 nr. 2, og treffe bindende beslutninger i henhold til artikkel 65, herunder i tilfellene nevnt i artikkel 66, fremme samarbeidet og en effektiv bi- og multilateral utveksling av informasjon og beste praksis mellom tilsynsmyndighetene, fremme felles opplæringsprogrammer og utveksling av personell mellom tilsynsmyndighetene og, dersom det er relevant, med tilsynsmyndigheter i tredjestater eller internasjonale organisasjoner, fremme utveksling av kunnskap og dokumentasjon om personvernlovgivning og praksis på området med datatilsynsmyndigheter over hele verden, avgi uttalelser om atferdsnormer som utarbeides på EU-plan i henhold til artikkel 40 nr. 9, og føre et offentlig tilgjengelig elektronisk register over beslutninger truffet av tilsynsmyndigheter og domstoler i saker som er blitt behandlet i konsistensmekanismen.
§ Artikkel 71
Rapporter
Artikkel 71. Rapporter
§ Artikkel 72
Framgangsmåte
Artikkel 72. Framgangsmåte
§ Artikkel 73
Leder
Artikkel 73. Leder
§ Artikkel 74
Lederens oppgaver
Artikkel 74. Lederens oppgaver
innkalle til møter i Personvernrådet og utarbeide dagsordenen for møtene, underrette den ledende tilsynsmyndigheten og de berørte tilsynsmyndighetene om beslutninger truffet av Personvernrådet i henhold til artikkel 65, sikre at Personvernrådets oppgaver utføres i rett tid, særlig i forbindelse med konsistensmekanismen nevnt i artikkel 63.
§ Artikkel 75
Sekretariat
Artikkel 75. Sekretariat
Personvernrådets daglige virksomhet, kommunikasjon mellom Personvernrådets medlemmer, dets leder og Kommisjonen, kommunikasjon med andre institusjoner og med allmennheten, bruken av elektroniske midler i forbindelse med intern og ekstern kommunikasjon, oversettelse av relevant informasjon, forberedelse og oppfølging av Personvernrådets møter, forberedelse, utarbeiding av utkast til og offentliggjøring av uttalelser, beslutninger om løsning av tvister mellom tilsynsmyndigheter samt andre tekster som vedtas av Personvernrådet.
§ Artikkel 76
Konfidensialitet
Artikkel 76. Konfidensialitet
KAPITTEL VIII Rettsmidler, ansvar og sanksjoner
§ Artikkel 77
Rett til å klage til en tilsynsmyndighet
Artikkel 77. Rett til å klage til en tilsynsmyndighet
§ Artikkel 78
Rett til et effektivt rettsmiddel overfor en tilsynsmyndighet
Artikkel 78. Rett til et effektivt rettsmiddel overfor en tilsynsmyndighet
§ Artikkel 79
Rett til et effektivt rettsmiddel overfor en behandlingsansvarlig eller databehandler
Artikkel 79. Rett til et effektivt rettsmiddel overfor en behandlingsansvarlig eller databehandler
§ Artikkel 80
Representasjon av registrerte
Artikkel 80. Representasjon av registrerte
§ Artikkel 81
Utsettelse av en sak
Artikkel 81. Utsettelse av en sak
§ Artikkel 82
Rett til erstatning og erstatningsansvar
Artikkel 82. Rett til erstatning og erstatningsansvar
§ Artikkel 83
Generelle vilkår for ilegging av overtredelsesgebyr
Artikkel 83. Generelle vilkår for ilegging av overtredelsesgebyr
karakteren, alvorlighetsgraden og varigheten av overtredelsen, idet det tas hensyn til den berørte behandlingens art, omfang eller formål samt antall registrerte som er berørt, og omfanget av den skade de har lidd, hvorvidt overtredelsen ble begått forsettlig eller uaktsomt, eventuelle tiltak truffet av den behandlingsansvarlige eller databehandleren for å begrense skaden som de registrerte har lidd, den behandlingsansvarliges eller databehandlerens grad av ansvar, idet det tas hensyn til de tekniske og organisatoriske tiltak de har gjennomført i henhold til artikkel 25 og 32, eventuelle relevante tidligere overtredelser begått av den behandlingsansvarlige eller databehandleren, graden av samarbeid med tilsynsmyndigheten for å bøte på overtredelsen og redusere de mulige negative virkningene av den, kategoriene av personopplysninger som er berørt av overtredelsen, på hvilken måte tilsynsmyndigheten fikk kjennskap til overtredelsen, særlig om og eventuelt i hvilken grad den behandlingsansvarlige eller databehandleren har underrettet om overtredelsen, dersom tiltak nevnt i artikkel 58 nr. 2 tidligere er blitt truffet overfor den berørte behandlingsansvarlige eller databehandler med hensyn til samme saksgjenstand, at nevnte tiltak overholdes, overholdelse av godkjente atferdsnormer i henhold til artikkel 40 eller godkjente sertifiseringsmekanismer i henhold til artikkel 42 og enhver annen skjerpende eller formildende faktor ved saken, f.eks. økonomiske fordeler som er oppnådd, eller tap som er unngått, direkte eller indirekte, som følge av overtredelsen.
den behandlingsansvarliges og databehandlerens forpliktelser i henhold til artikkel 8, 11, 25-39 samt 42 og 43, sertifiseringsorganets forpliktelser i henhold til artikkel 42 og 43, kontrollorganets forpliktelser i henhold til artikkel 41 nr. 4.
de grunnleggende prinsippene for behandling, herunder vilkår for samtykke, i henhold til artikkel 5, 6, 7 og 9, de registrertes rettigheter i henhold til artikkel 12-22, overføring av personopplysninger til en mottaker i en tredjestat eller en internasjonal organisasjon i henhold til artikkel 44-49, eventuelle forpliktelser i henhold til medlemsstatenes nasjonale rett vedtatt i henhold til kapittel IX, manglende overholdelse av et pålegg om eller en midlertidig eller definitiv begrensning av behandling eller en avgjørelse om midlertidige opphold i datastrømmen truffet av tilsynsmyndigheten i henhold til artikkel 58 nr. 2 eller dersom det ikke gis tilgang i strid med artikkel 58 nr. 1.
§ Artikkel 84
Sanksjoner
Artikkel 84. Sanksjoner
KAPITTEL IX Bestemmelser om særlige behandlingssituasjoner
§ Artikkel 85
Behandling og ytrings- og informasjonsfrihet
Artikkel 85. Behandling og ytrings- og informasjonsfrihet
§ Artikkel 86
Behandling og allmennhetens innsyn i offentlige dokumenter
Artikkel 86. Behandling og allmennhetens innsyn i offentlige dokumenter
§ Artikkel 87
Behandling av nasjonalt identifikasjonsnummer
Artikkel 87. Behandling av nasjonalt identifikasjonsnummer
§ Artikkel 88
Behandling i forbindelse med ansettelsesforhold
Artikkel 88. Behandling i forbindelse med ansettelsesforhold
§ Artikkel 89
Garantier og unntak ved behandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål
Artikkel 89. Garantier og unntak ved behandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål
§ Artikkel 90
Taushetsplikt
Artikkel 90. Taushetsplikt
§ Artikkel 91
Eksisterende regler om vern av personopplysninger for kirker og religiøse sammenslutninger
Artikkel 91. Eksisterende regler om vern av personopplysninger for kirker og religiøse sammenslutninger
KAPITTEL X Delegerte rettsakter og gjennomføringsrettsakter
§ Artikkel 92
Utøvelse av delegert myndighet
Artikkel 92. Utøvelse av delegert myndighet
§ Artikkel 93
Komitéprosedyre
Artikkel 93. Komitéprosedyre
KAPITTEL XI Sluttbestemmelser
§ Artikkel 94
Oppheving av direktiv 95/46/EF
Artikkel 94. Oppheving av direktiv 95/46/EF
§ Artikkel 95
Forhold til direktiv 2002/58/EF
Artikkel 95. Forhold til direktiv 2002/58/EF
§ Artikkel 96
Forhold til tidligere inngåtte avtaler
Artikkel 96. Forhold til tidligere inngåtte avtaler
§ Artikkel 97
Kommisjonens rapporter
Artikkel 97. Kommisjonens rapporter
kapittel V om overføring av personopplysninger til tredjestater eller internasjonale organisasjoner, særlig med hensyn til beslutninger som er truffet i henhold til artikkel 45 nr. 3 i denne forordning, og beslutninger som er truffet på grunnlag av artikkel 25 nr. 6 i direktiv 95/46/EF, kapittel VII om samarbeid og ensartet anvendelse.
§ Artikkel 98
Gjennomgåelse av andre EU-rettsakter om vern av personopplysninger
Artikkel 98. Gjennomgåelse av andre EU-rettsakter om vern av personopplysninger
§ Artikkel 99
Ikrafttredelse og anvendelse
Artikkel 99. Ikrafttredelse og anvendelse
| For Europaparlamentet | For Rådet |
| M. SCHULZ | J.A. HENNIS-PLASSCHAERT |
| Formann | President |
Stortingsdokumenter og NOU-er som refererer til denne loven. Klikk for å se voteringer og originaldokumenter.
Proposisjoner
Proposisjon
Prop. 76 L (2021-2022), Innst. 313 L (2021-2022), Lovvedtak 71 (2021-2022)
→
Endringer i naturmangfoldloven (utnytting av genetisk materiale med opprinnelse i andre land og tradisjonell kunnskap knyttet til utnytting av slikt materiale)
Proposisjon
Prop. 64 L (2019-2020), Innst. 326 L (2019-2020), Lovvedtak 110 (2019-2020)
→
Lov om Eldreombudet
Proposisjon
Prop. 88 S (2017-2018), Innst. 393 S (2017-2018)
→
Kommuneproposisjonen 2019
Proposisjon
Prop. 24 S (2014-2015), kap. 456 og 3456, Innst. 116 S (2014-2015)
→
Endringar i statsbudsjettet 2014 under Justis- og beredskapsdepartementet
Proposisjon
Prop. 1 S (2014-2015), Innst. 6 S (2014-2015)
→
Statsbudsjettet 2015
Proposisjon
Prop. 152 L (2012-2013), Innst. 427 L (2012-2013), Lovvedtak 98 (2012-2013)
→
Endringer i politiloven
Proposisjon
Prop. 78 L (2012-2013), Innst. 363 L (2012-2013), Lovvedtak 90 (2012-2013)
→
Endringer i kirkeloven
Proposisjon
Prop. 69 L (2012-2013), Innst. 256 L (2012-2013), Lovvedtak 49 (2012-2013)
→
Endringer i ekomloven
Proposisjon
Prop. 83 L (2011-2012), Innst. 329 L (2011-2012), Lovvedtak 79 (2011-2012)
→
Endringer i luftfartsloven
Proposisjon
Prop. 149 L (2010-2011), Innst. 27 L (2011-2012), Lovvedtak 4 (2011-2012)
→
Lov om verdipapirfond (verdipapirfondloven)
Proposisjon
Prop. 90 L (2010-2011), Innst. 423 L (2010-2011), Lovvedtak 64 (2010-2011)
→
Lov om folkehelsearbeid (folkehelseloven)
Proposisjon
Prop. 161 L (2009-2010), Innst. 64 L (2010-2011), Lovvedtak 27 (2010-2011)
→
Endringer i fagskoleloven
Proposisjon
Prop. 1 LS (2010-2011), Innst. 3 S (2010-2011)
→
Innst. 3 S Rammeoverføringer, skatte- og avgiftsvedtak, utbytte mv.
Proposisjon
Prop. 103 L (2009-2010), Innst. 289 L (2009-2010), Lovvedtak 67 (2009-2010)
→
Endringer i lov 29. november 1996 nr. 72 om petroleumsvirksomhet
Proposisjon
Ot.prp. nr. 104 (2008-2009)
→
Lov om endringer i barnelova mv. (flytting, delt bosted, samvær, vold mv.)
Proposisjon
Ot.prp. nr. 15 (2008-2009), Innst. O. nr. 56 (2008-2009), beslutning. O. nr. 77 (2008-2009)
→
Lov om dyrevelferd
Proposisjon
St.prp. nr. 11 (2008-2009), Innst. S. nr. 160 (2008-2009)
→
Ei styrkt bustøtte
Proposisjon
Ot.prp. nr. 24 (2008-2009), Innst. O. nr. 52 (2008-2009), beslutning. O. nr. 64 (2008-2009)
→
Lov om endringer i lov 29. juni 1990 nr. 50 om produksjon, omforming, overføring, omsetning, fordeling og bruk av energi m.m. (energiloven)
Proposisjon
Ot.prp. nr. 75 (2007-2008), Innst. O. nr. 36 (2008-2009), beslutning. O. nr. 55 (2008-2009)
→
Lov om havner og farvann
Proposisjon
Ot.prp. nr. 8 (2007-2008), Innst. O. nr. 29 (2007-2008), beslutning. O. nr. 43 (2007-2008)
→
Lov om endringer i straffeloven 20. mai 2005 nr. 28 mv. (skjerpende og formildende omstendigheter, folkemord, rikets selvstendighet, terrorhandlinger, ro, orden og sikkerhet, og offentlig myndighet)
Proposisjon
Budsjett-innst. S. nr. 8 (2007-2008), jf. St.prp. nr. 1 (2007-2008)
→
Bevilgninger på statsbudsjettet 2008
Proposisjon
Ot.prp. nr. 54 (2006-2007), Innst. O. nr. 5 (2007-2008), beslutning. O. nr. 25 (2007-2008)
→
Lov om endring i lov 9. februar 1973 nr. 6 om transplantasjon, sykehusobduksjon og avgivelse av lik m.m (forlengelse av midlertidig forbud mot xenotransplantasjon)
Proposisjon
(Budsjett-innst. S. nr. 6 (2004-2005), jf. St.prp. nr. 1, Tillegg nr. 2, kap. 1355 og 4350 (2004-2005))
→
Konkurranseutsetting og omdanning av Jernbaneverkets produksjonsvirksomhet
Proposisjon
Ot.prp. nr. 87 (2003-2004), Innst. O. nr. 106 (2003-2004), beslutning. O. nr. 112 (2003-2004)
→
Lov om endring i passloven (økt passgebyr)
Proposisjon
Ot.prp. nr. 65 (2003-2004), Innst. O. nr. 79 (2003-2004), beslutning. O. nr. 84 (2003-2004)
→
Lov om endringer i lov 11. juni 1993 nr. 101 om luftfart
Proposisjon
Ot.prp. nr. 53 (2003-2004), Innst. O. nr. 76 (2003-2004), beslutning. O. nr. 81 (2003-2004)
→
Lov om endringer i lov 18. juni 1965 nr. 4 om vegtrafikk
Proposisjon
Ot.prp. nr. 39 (2003-2004), Innst. O. nr. 63 (2003-2004), beslutning. O. nr. 68 (2003-2004)
→
Lov om endring i lov 1. mars 1946 nr. 3 om Den Norske Stats Husbank (husbankloven)
Proposisjon
St.prp. nr. 75 (1997-98), Innst. S. nr. 240 (1997-98)
✓ 8
✗ 4
→
Lønnsregulering for de offentlige tjenestemenn m.fl.
Proposisjon
St.prp. nr. 13 (1997-98), Innst. S. nr. 73 (1997-98)
✓ 6
✗ 39
→
Billighetserstatninger av statskassen
Proposisjon
Budsjett-innst. S. nr. 14 (1997-98), jf. St.prp. nr. 1(1997-98) og St.prp. nr. 1. Tillegg nr. 3 (1997-98))
✓ 152
→
Svalbardbudsjettet for budsjetterminen 1998
2022
I kraft: 26. September 2022
Forskrift om endring i forskrift om alkoholsterke og aromatiserte drikker mv.
2021
I kraft: 01. July 2021
Delt ikraftsetting av lov 18. juni 2021 nr. 124 om endringer i personopplysningsloven og offentleglova (ytrings- og informasjonsfrihet mv.)
I kraft: 18. June 2021
Lov om endringer i personopplysningsloven og offentleglova (ytrings- og informasjonsfrihet mv.)
I kraft: 18. June 2021
Ikrafttredelse av Stortingets vedtak om avgift på landbasert vindkraft
I kraft: 18. June 2021
Forskrift om endring i forskrift om miljømessig sikkerhet for skip og flyttbare innretninger – gjennomføring av resolusjon MEPC.324(75)
I kraft: 01. January 2021
Forskrift til integreringsloven (integreringsforskriften)
2018
I kraft: 20. December 2018
Ikraftsetting av lov 20. desember 2018 nr. 116 om endringer i personopplysningsloven (bekjempelse av arbeidslivskriminalitet)
I kraft: 20. December 2018
Forskrift om endring i forskrift om endring i forskrift om utlikning av utgifter ved tilsyn
Stortingsvoteringer knyttet til denne loven. Se hvordan partiene stemte.
Vedtatt
20.06.2025
✓ 0
✗ 0
→
Romertallene I - VII.
Vedtatt
20.06.2025
✓ 0
✗ 0
→
Innstillingens tilråding.
Forkastet
20.06.2025
✓ 2
✗ 101
→
Forslag nr. 50 på vegne av KrF.
Forkastet
20.06.2025
✓ 2
✗ 98
→
Forslag nr. 44 på vegne av MDG.
Forkastet
20.06.2025
✓ 5
✗ 97
→
Forslag nr. 35 på vegne av V.
Forkastet
20.06.2025
✓ 5
✗ 97
→
Forslag nr. 16 på vegne av R.
Forkastet
20.06.2025
✓ 12
✗ 91
→
Forslag nr. 51 på vegne av FrP.
Forkastet
20.06.2025
✓ 22
✗ 81
→
Forslag nr. 55 på vegne av H.
Forkastet
20.06.2025
✓ 2
✗ 101
→
Forslag nr. 45, 47 og 49 på vegne av MDG.
Forkastet
20.06.2025
✓ 7
✗ 96
→
Forslag nr. 46 og 48 på vegne av MDG.
Forkastet
20.06.2025
✓ 5
✗ 98
→
Forslag nr. 39 og 40 på vegne av V.
Forkastet
20.06.2025
✓ 7
✗ 96
→
Forslag nr. 36, 41 og 42 på vegne av V.
Forkastet
20.06.2025
✓ 13
✗ 90
→
Forslag nr. 43 på vegne av V.
Forkastet
20.06.2025
✓ 12
✗ 91
→
Forslag nr. 37 på vegne av V.
Forkastet
20.06.2025
✓ 26
✗ 77
→
Forslag nr. 38 på vegne av V.
Forkastet
20.06.2025
✓ 10
✗ 93
→
Forslag nr. 57 på vegne av R.
Forkastet
20.06.2025
✓ 5
✗ 98
→
Forslag nr. 17 og 31 - 33 på vegne av R.
Forkastet
20.06.2025
✓ 7
✗ 96
→
Forslag nr. 18 - 29 og 34 på vegne av R.
Forkastet
20.06.2025
✓ 41
✗ 61
→
Forslag nr. 30 på vegne av R.
Forkastet
20.06.2025
✓ 12
✗ 90
→
Forslag nr. 10 på vegne av FrP.
Rundskriv og tolkninger fra offentlige myndigheter som omhandler denne loven.
Regjeringen Departementsrundskriv
D-2/25
Digitaliserings- og forvaltningsdepartementet
Digitaliseringsrundskrivet
H-5/21
Kommunal- og distriktsdepartementet
Digitaliseringsrundskrivet
H-6/19
Digitaliserings- og forvaltningsdepartementet
Fellesføring i tildelingsbreva for 2020
F-03-17
Kunnskapsdepartementet