REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

Retsudvalget 2021-22
REU Alm.del Bilag 85
Offentligt

Dato:

Kontor:

Sagsbeh:

Sagsnr.:

Dok.:

8. december 2021

Nordatlantkontoret

Theis Thorbjørn Bigandt

2019-490-0147

1689258

Slotshmgade1026Købnv.TF

w.justimnerdk@

+4572680391

UDKAST

Anordning om ikrafttræden for Færøerne af lov om rets-

håndhævende myndigheders behandling af personoplys-

ninger

VI MAGRETHE DEN ANDEN, af Guds Nåde Danmarks Dronning, gør vitterligt:

I medfør af § 56

i lov nr. 410 af 27. april 2017 om retshåndhævende myndigheders behand-

ling af personoplysninger, § 33, stk. 3

i lov nr. 503 af 23. maj 2018 om ændring af lov om

retshåndhævende myndigheders behandling af personoplysninger, lov om massemediers

informationsdatabaser og forskellige andre love (Konsekvensændringer som følge af data-

beskyttelsesloven og databeskyttelsesforordningen samt medieansvarslovens anvendelse

på offentligt tilgængelige informationsdatabaser m.v.), og § 4, stk. 1

iii

, i lov nr. 506 af 23.

maj 2018 om ændring af lov om tv-overvågning og lov om retshåndhævende myndigheders

behandling af personoplysninger (Videreførelse af regler om behandling af personoplys-

ninger i forbindelse med tv-overvågning, mulighed for deling mellem erhvervsdrivende af

billed- og lydoptagelser fra tv-overvågning af formodede gerningspersoner m.v.) bestem-

mes, at loven skal gælde for Færøerne i følgende affattelse:

Slotsholmsgade 10

1216 København K.

T +45 7226 8400

F +45 3393 3510

www.justitsministeriet.dk

[email protected]

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

Afsnit I

Indledende bestemmelser

Kapitel 1

Lovens område

§ 1.

Loven gælder for politiets, anklagemyndighedens, herunder den mi-

litære anklagemyndigheds, kriminalforsorgens, Den Uafhængige Politikla-

gemyndigheds og domstolenes behandling af personoplysninger, der helt

eller delvis foretages ved hjælp af automatisk databehandling, og for anden

ikkeautomatisk behandling af personoplysninger, der er eller vil blive inde-

holdt i et register, når behandlingen foretages med henblik på at forebygge,

efterforske, afsløre eller retsforfølge handlinger, der kan medføre et straffe-

retligt ansvar, eller fuldbyrde strafferetlige sanktioner, herunder for at be-

skytte mod eller forebygge trusler mod den offentlige sikkerhed.

Stk. 2.

Loven finder ikke anvendelse på den behandling af personoplys-

ninger, som udføres for eller af politiets og forsvarets efterretningstjenester.

Stk. 3.

(Sættes ikke i kraft for Færøerne)

§ 2.

Regler om behandling af personoplysninger i anden lovgivning, som

giver den registrerede en bedre retsstilling, går forud for reglerne i denne

lov.

Kapitel 2

Definitioner

§ 3.

I denne lov forstås ved:

1) Personoplysninger: Enhver form for information om en identificeret

eller identificerbar fysisk person (den registrerede).

2) Behandling: Enhver aktivitet eller række af aktiviteter med eller uden

brug af automatisk behandling, som personoplysninger eller en sam-

ling af personoplysninger gøres til genstand for.

3) Begrænsning af behandling: Mærkning af opbevarede personoplys-

ninger med den hensigt at begrænse fremtidig behandling af disse op-

lysninger.

4) Profilering: Enhver form for automatisk behandling af personoplys-

ninger, der består i at anvende personoplysninger til at evaluere be-

stemte personlige forhold vedrørende en fysisk person.

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

5) Register: Enhver struktureret samling af personoplysninger, der er

tilgængelig efter bestemte kriterier, hvad enten denne samling er pla-

ceret centralt eller decentralt eller er fordelt på et funktionsbestemt

eller et geografisk grundlag.

6) Kompetent myndighed: Enhver offentlig myndighed eller ethvert an-

det organ eller enhver anden enhed, der i henhold til national ret er

bemyndiget til at udøve offentlig myndighed og offentlige beføjelser

med henblik på at forebygge, efterforske, afsløre eller retsforfølge

handlinger, der kan medføre et strafferetligt ansvar, eller fuldbyrde

foranstaltninger efter straffeloven, herunder beskytte mod og fore-

bygge trusler mod den offentlige sikkerhed. De kompetente myndig-

heder på Færøerne er politiet, anklagemyndigheden, herunder den

militære anklagemyndighed, kriminalforsorgen, Den Uafhængige

Politiklagemyndighed og domstolene.

7) Dataansvarlig: Den kompetente myndighed, der alene eller sammen

med andre afgør, til hvilke formål og med hvilke hjælpemidler der

må foretages behandling af personoplysninger.

8) Databehandler: En fysisk eller juridisk person, en offentlig myndig-

hed, en institution eller et andet organ, der behandler personoplysnin-

ger på den dataansvarliges vegne.

9) Modtager: En fysisk eller juridisk person, en offentlig myndighed, en

institution eller et andet organ, hvortil personoplysninger videregi-

ves, således at modtageren herefter selvstændigt træffer beslutning

om, til hvilket formål og med hvilke midler denne behandler de vide-

regivne oplysninger, uanset om det er en tredjemand eller ej. Myn-

digheder, som vil kunne få meddelt personoplysninger som led i en

isoleret forespørgsel, betragtes ikke som modtagere.

10) Brud på persondatasikkerheden: Ethvert brud på sikkerheden, der fø-

rer til hændelig eller ulovlig tilintetgørelse, hændeligt eller ulovligt

tab, hændelig eller ulovlig ændring eller uautoriseret videregivelse af

eller adgang til personoplysninger, der er transmitteret, opbevaret el-

ler på anden måde behandlet.

11) Genetiske data: Personoplysninger vedrørende en fysisk persons ar-

vede eller erhvervede genetiske karakteristika, som giver entydig in-

formation om den fysiske persons fysiologi eller helbred, og som

navnlig foreligger efter en analyse af en biologisk prøve fra den på-

gældende fysiske person.

12) Biometriske data: Personoplysninger, der som følge af specifik tek-

nisk behandling vedrørende en fysisk persons fysiske, fysiologiske

eller adfærdsmæssige karakteristika muliggør eller bekræfter en en-

tydig identifikation af vedkommende, f.eks. ansigtsbillede eller fin-

geraftryksoplysninger.

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

13) Helbredsoplysninger: Personoplysninger, der vedrører en fysisk per-

sons fysiske eller mentale helbred, herunder levering af sundheds-

ydelser, og som giver information om vedkommendes helbredstil-

stand.

14) International organisation: En folkeretlig organisation og organer,

der er underordnet en sådan organisation, og ethvert andet organ, der

er oprettet ved eller med hjemmel i en aftale mellem to eller flere

lande.

15) Tredjeland: Et land, som ikke indgår i Den Europæiske Union.

Afsnit II

Behandlingsregler

Kapitel 3

Behandling af oplysninger

§ 4.

Oplysninger skal behandles i overensstemmelse med god databe-

handlingsskik og under hensyntagen til oplysningernes karakter.

Stk. 2.

Indsamling af oplysninger skal ske til udtrykkeligt angivne og sag-

lige formål, som er omfattet af § 1, stk. 1, og senere behandling må ikke

være uforenelig med disse formål, jf. dog § 5.

Stk. 3.

Oplysninger, som behandles, skal være relevante og tilstrækkelige

og må ikke omfatte mere, end hvad der kræves til opfyldelse af de formål,

hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne senere

behandles.

Stk. 4.

Oplysninger, som behandles, skal være korrekte og om nødvendigt

ajourførte. Der skal tages ethvert rimeligt skridt for at sikre, at personoplys-

ninger, der er urigtige i forhold til de formål, hvortil de behandles, straks

slettes eller berigtiges.

Stk. 5.

Den dataansvarlige træffer alle rimelige foranstaltninger til at

sikre, at personoplysninger ikke videregives eller stilles til rådighed, hvis de

er urigtige, ufuldstændige eller ikke ajourførte. I dette øjemed verificerer

den dataansvarlige så vidt muligt kvaliteten af personoplysningerne, før de

videregives eller stilles til rådighed. I forbindelse med videregivelse af op-

lysninger skal der så vidt muligt tilføjes nødvendige oplysninger, der gør det

muligt for den modtagende kompetente myndighed at vurdere, i hvor høj

grad personoplysningerne er rigtige, fuldstændige og pålidelige, og i hvilket

omfang de er ajourførte. Konstateres det, at der er videregivet urigtige per-

sonoplysninger, eller at personoplysninger er videregivet ulovligt, skal dette

straks meddeles modtageren. Oplysningerne skal i givet fald berigtiges eller

slettes, eller behandlingen skal begrænses.

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

Stk. 6.

Indsamlede oplysninger må ikke opbevares på en måde, der giver

mulighed for at identificere den registrerede i et længere tidsrum end det,

der er nødvendigt af hensyn til de formål, hvortil oplysningerne behandles.

Stk. 7.

Indsamlede oplysninger skal behandles på en måde, der sikrer en

tilstrækkelig sikkerhed for de pågældende personoplysninger, herunder be-

skyttelse mod uautoriseret eller ulovlig behandling og mod hændeligt tab,

hændelig tilintetgørelse eller hændelig beskadigelse, under anvendelse af

passende tekniske eller organisatoriske foranstaltninger, jf. § 27.

Stk. 8.

Den dataansvarlige er ansvarlig for og skal kunne påvise, at stk.

1-7 overholdes.

§ 5.

Senere behandling af oplysninger til et andet af de formål, der er

nævnt i § 1, stk. 1, end det, hvortil de oprindelig var indsamlet, kan foretages

af den samme eller en anden af de kompetente myndigheder, når behandlin-

gen sker på baggrund af lov og er nødvendig og forholdsmæssig i forhold

til dette efterfølgende formål.

Stk. 2.

Der kan i medfør af stk. 1 endvidere foretages behandling af op-

lysninger, der alene sker til arkivformål i samfundets interesse eller i histo-

risk, statistisk eller videnskabeligt øjemed.

Stk. 3.

Den dataansvarlige er ansvarlig for og skal kunne påvise, at stk. 1

og 2 overholdes.

§ 6.

Foretages der videregivelse af oplysninger, fastsætter og underretter

den videregivende kompetente myndighed om eventuelle særlige vilkår for

behandling af oplysningerne. Der kan ikke fastsættes særlige vilkår, alene

som følge af at der er tale om videregivelse til en modtager i en EU-med-

lemsstat.

Stk. 2.

Behandling af oplysninger, der er modtaget fra en kompetent myn-

dighed, må ikke ske i strid med særlige vilkår, som er fastsat af den videre-

givende kompetente myndighed.

§ 7.

Den dataansvarlige skal tilrettelægge behandlingen af personoplys-

ninger således, at der fastsættes passende frister for sletning af personoplys-

ninger eller regelmæssig undersøgelse af behovet for lagring af oplysnin-

gerne. Det sikres endvidere ved proceduremæssige foranstaltninger, at tids-

fristerne overholdes.

§ 8.

Den dataansvarlige skal, når det er relevant, så vidt muligt sondre

mellem personoplysninger om forskellige kategorier af registrerede, herun-

der

1) personer, om hvem der er væsentlig grund til at tro, at de har begået

eller vil begå en strafbar handling,

2) personer, der er dømt for en strafbar handling

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

3) ofre for en strafbar handling, eller personer, om hvem visse faktiske

omstændigheder giver anledning til at tro, at de kunne blive ofre for

en strafbar handling, og

4) andre parter i forbindelse med en strafbar handling, såsom personer,

der kan blive indkaldt som vidner i efterforskninger i forbindelse med

strafbare handlinger eller i efterfølgende sager om sådanne handlin-

ger, personer, der kan tilvejebringe oplysninger om strafbare hand-

linger eller kontakt- eller ledsagepersoner for de personer, der er

nævnt i nr. 1 og 2.

§ 9.

Behandling af oplysninger må kun finde sted, når behandlingen er

nødvendig for at forebygge, efterforske, afsløre eller retsforfølge strafbare

handlinger, eller fuldbyrde strafferetlige sanktioner, herunder for at beskytte

mod eller forebygge trusler mod den offentlige sikkerhed.

§ 10.

Der må ikke behandles personoplysninger om race eller etnisk op-

rindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæs-

sigt tilhørsforhold, genetiske data, biometriske data med det formål entydigt

at identificere en fysisk person, helbredsoplysninger eller oplysninger om

en fysisk persons seksuelle forhold eller seksuelle orientering.

Stk. 2.

Under overholdelse af betingelserne i denne lov kan der dog fore-

tages behandling af oplysninger omfattet af stk. 1, når det er strengt nødven-

digt og sker af hensyn til de formål, der er nævnt i § 1, stk. 1, herunder for

at beskytte den registreredes eller en anden fysisk persons vitale interesser,

eller hvis behandlingen vedrører oplysninger, som tydeligvis er offentlig-

gjort af den registrerede.

§ 11.

Der kan træffes afgørelser, der har negativ retsvirkning for den

registrerede eller betydeligt påvirker den pågældende, alene på grundlag af

automatisk behandling, herunder profilering.

Stk. 2.

Ved afgørelser, der er omfattet af stk. 1, skal der findes passende

foranstaltninger til at sikre den registreredes berettigede interesser, herunder

i det mindste en ret for den registrerede til at kræve menneskelig indgriben

fra den dataansvarliges side.

§ 12.

De kompetente myndigheder skal indføre effektive mekanismer,

som tilskynder til fortrolig indberetning til tilsynsmyndighederne af over-

trædelser af denne lov.

Afsnit III

Den registreredes rettigheder

Kapitel 4

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

Oplysninger, der skal stilles til rådighed for eller gives til den registre-

rede

§ 13.

Den dataansvarlige skal stille følgende oplysninger til rådighed for

den registrerede:

1) Identitet på og kontaktoplysninger for den dataansvarlige.

2) Kontaktoplysninger for databeskyttelsesrådgiveren og oplysninger

om dennes funktion i forhold til de registrerede.

3) Formålene med den behandling, som personoplysningerne skal bru-

ges til.

4) Retten til at indgive en klage til en tilsynsmyndighed og kontaktop-

lysninger for tilsynsmyndigheden.

5) Den registreredes rettigheder efter kapitel 5 og 6.

6) Retten til at lade den kompetente tilsynsmyndighed udøve den regi-

streredes rettigheder i forhold til de kompetente myndigheders afgø-

relser om undladelse, udsættelse, begrænsning eller nægtelse efter

dette kapitel og kapitel 5 og 6, jf. § 40, stk. 1, nr. 10.

Stk. 2.

Er det nødvendigt for, at den registrerede kan varetage sine inte-

resser, skal den dataansvarlige som minimum give den registrerede medde-

lelse om følgende:

1) Retsgrundlaget for behandlingen.

2) Det tidsrum, hvor personoplysningerne vil blive opbevaret, eller, hvis

dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette

tidsrum.

3) Kategorierne af eventuelle modtagere af personoplysningerne, her-

under i tredjelande eller internationale organisationer.

4) Yderligere oplysninger, hvis det er nødvendigt, navnlig hvis person-

oplysningerne indsamles uden den registreredes vidende.

§ 14.

Meddelelse efter § 13, stk. 2, kan udsættes, begrænses eller undla-

des, hvis den registreredes interesse i at få kendskab til oplysningerne findes

at burde vige for at

1) undgå, at der lægges hindringer i vejen for officielle eller retlige un-

dersøgelser, efterforskninger eller procedurer,

2) undgå at skade forebyggelsen, afsløringen, efterforskningen eller

retsforfølgningen af strafbare handlinger eller fuldbyrdelsen af straf-

feretlige sanktioner,

3) beskytte den offentlige sikkerhed,

4) beskytte statens sikkerhed eller

5) beskytte den registreredes eller andres rettigheder.

Stk. 2.

Justitsministeren fastsætter nærmere regler om, hvilke kategorier

af behandling der er omfattet af stk. 1, og om, at meddelelse efter § 13, stk.

2, kan udsættes til et passende tidspunkt, for så vidt hensynene i stk. 1 må

antages at medføre, at meddelelser i almindelighed må underkastes en sådan

udsættelse.

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

Kapitel 5

Den registreredes indsigtsret

§ 15.

Fremsætter en registreret begæring herom, skal den dataansvarlige

bekræfte over for den pågældende, om der behandles oplysninger om ved-

kommende.

Stk. 2.

Behandles der oplysninger om den pågældende, skal der gives ad-

gang til oplysningerne samt gives en meddelelse med følgende oplysninger:

1) Formålene med og retsgrundlaget for behandlingen.

2) De berørte kategorier af personoplysninger.

3) De modtagere eller kategorier af modtagere, som personoplysnin-

gerne er videregivet til, herunder navnlig modtagere i tredjelande el-

ler internationale organisationer.

4) Om muligt, det påtænkte tidsrum, hvor personoplysningerne vil blive

opbevaret, eller, hvis dette ikke er muligt, de kriterier, der anvendes

til at fastlægge dette tidsrum.

5) Retten til at anmode den dataansvarlige om berigtigelse eller sletning

af personoplysninger eller begrænsning af behandling vedrørende

den registrerede.

6) Retten til at indgive en klage til tilsynsmyndigheden og kontaktop-

lysninger for tilsynsmyndigheden.

7) Hvilke personoplysninger der er omfattet af behandlingen, og enhver

tilgængelig oplysning om, hvorfra de stammer.

§ 16.

Indsigt efter § 15 kan udsættes, begrænses eller nægtes, hvis den

registreredes interesse i at få kendskab til oplysningerne findes at burde vige

for de hensyn til offentlige interesser, der er nævnt i § 14, stk. 1.

Stk. 2.

En afgørelse om, at den registreredes indsigt udsættes, begrænses

eller nægtes, skal meddeles den registrerede skriftligt og skal være ledsaget

af en begrundelse og en klagevejledning. Afgørelsen skal endvidere inde-

holde oplysninger om den registreredes ret til at lade den kompetente til-

synsmyndighed udøve den registreredes rettigheder, jf. § 40, stk. 1, nr. 10.

Stk. 3.

Af hensyn til de i stk. 1 nævnte formål kan den registrerede i stedet

for meddelelse efter stk. 2 gives meddelelse om, at det ikke kan oplyses, om

der behandles oplysninger om den pågældende. En sådan meddelelse skal

indeholde en klagevejledning og oplysninger om den registreredes ret til at

lade den kompetente tilsynsmyndighed udøve den registreredes rettigheder,

jf. § 40, stk. 1, nr. 10.

Stk. 4.

Justitsministeren fastsætter nærmere regler om, hvilke kategorier

af behandling der er omfattet af stk. 1, herunder om undtagelser fra retten til

at få oplysninger efter § 15, for så vidt hensynene i stk. 1 må antages at

medføre, at begæringer om indsigt i almindelighed må nægtes.

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

Kapitel 6

Ret til berigtigelse, sletning og begrænsning af behandling

§ 17.

Den dataansvarlige skal efter anmodning fra den registrerede uden

unødig forsinkelse berigtige oplysninger, der viser sig urigtige. På tilsva-

rende måde skal der ske fuldstændiggørelse af ufuldstændige oplysninger,

hvis dette kan ske uden at bringe formålet med behandlingen i fare. Den

dataansvarlige skal meddele berigtigelse af urigtige personoplysninger til

den kompetente myndighed, hvorfra de urigtige oplysninger stammer.

Stk. 2.

Den dataansvarlige skal efter anmodning fra den registrerede uden

unødig forsinkelse slette oplysninger, der er behandlet i strid med kapitel 3,

eller hvis det er påkrævet for at overholde en retlig forpligtelse, som den

dataansvarlige er underlagt.

Stk. 3.

Den dataansvarlige skal i stedet for sletning begrænse behandlin-

gen af personoplysninger, hvis

1) rigtigheden af personoplysningerne bestrides af den registrerede og

deres rigtighed eller urigtighed ikke kan konstateres eller

2) personoplysningerne skal bevares som bevismiddel.

Stk. 4.

Er behandling begrænset i henhold til stk. 3, nr. 1, underretter den

dataansvarlige den registrerede herom, inden begrænsningen af behandling

ophæves.

Stk. 5.

Et afslag på en anmodning om berigtigelse, sletning eller begræns-

ning af behandling skal meddeles den registrerede skriftligt og skal være

ledsaget af en begrundelse og en klagevejledning. Afgørelsen skal endvidere

indeholde oplysninger om den registreredes ret til at lade den kompetente

tilsynsmyndighed udøve den registreredes rettigheder, jf. § 40, stk. 1, nr. 10.

Bestemmelsen i § 16, stk. 3, finder tilsvarende anvendelse.

Stk. 6.

Den dataansvarlige skal underrette modtagere om, at der er sket

berigtigelse, sletning eller begrænsning af behandling af personoplysninger.

Modtagerne berigtiger eller sletter personoplysningerne eller begrænser be-

handling af personoplysninger, som de har ansvaret for.

Kapitel 7

Generelle bestemmelser

§ 18.

Oplysninger og meddelelser, der er nævnt i dette afsnit, skal stilles

til rådighed eller gives gratis i en kortfattet, letforståelig og lettilgængelig

form og i et klart og enkelt sprog.

Stk. 2.

Den dataansvarlige skal snarest og på skrift besvare anmodninger

som nævnt i dette afsnit. Er anmodningen ikke besvaret inden 4 uger efter

modtagelsen, skal den dataansvarlige underrette den pågældende om grun-

den hertil samt om, hvornår anmodningen forventes besvaret.

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

Stk. 3.

Retsplejelovens og den militære retsplejelovs regler om retten til

oplysninger, indsigt i og berigtigelse eller sletning og begrænsning af be-

handling af personoplysninger i straffesager finder anvendelse i forhold til

rettigheder i medfør af dette afsnit.

Stk. 4.

Justitsministeren fastsætter nærmere regler om behandling af an-

modninger i medfør af dette afsnit og om behandling af klagesager, herunder

at afgørelser ikke skal kunne påklages til anden administrativ myndighed.

§ 19.

Den dataansvarlige kan afvise at imødekomme åbenbart grundløse

eller overdrevent gentagne anmodninger, som er fremsat i henhold til be-

stemmelserne i dette afsnit.

Afsnit IV

Forpligtelser for den dataansvarlige og databehandleren

Kapitel 8

Forpligtelser for den dataansvarlige

§ 20.

Den dataansvarlige gennemfører og om nødvendigt ajourfører og

reviderer de fornødne tekniske og organisatoriske foranstaltninger for at

sikre og for at være i stand til at påvise, at behandling er i overensstemmelse

med denne lov. Står det i rimeligt forhold til behandlingsaktiviteterne, skal

den dataansvarlige tillige gennemføre de fornødne databeskyttelsespolitik-

ker.

Stk. 2.

Foranstaltninger efter stk. 1 omfatter databeskyttelse gennem de-

sign og gennem standardindstillinger.

§ 21.

Fastsætter to eller flere dataansvarlige i fællesskab formålene med

og hjælpemidlerne til behandling, betragtes de som fælles dataansvarlige.

Fælles dataansvarlige skal fastsætte en ordning for fordeling af ansvaret for,

at behandlingen er i overensstemmelse med loven, herunder navnlig i for-

hold til den registreredes rettigheder efter afsnit III. Ordningen skal omfatte

udpegning af et fælles kontaktpunkt. Der kan udpeges et særligt kontakt-

punkt, der kan fungere som fælles kontaktpunkt for de registrerede, når disse

udøver deres rettigheder.

Kapitel 9

Forpligtelser for databehandleren m.v.

§ 22.

Overlader en dataansvarlig en behandling af oplysninger til en da-

tabehandler, skal den dataansvarlige sikre sig, at databehandleren kan træffe

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

de tekniske og organisatoriske sikkerhedsforanstaltninger, der er nævnt i §§

20 og 24, og påse, at dette sker.

Stk. 2.

Gennemførelse af en behandling ved en databehandler skal ske i

henhold til lov eller en skriftlig aftale mellem databehandleren og den data-

ansvarlige. Loven eller aftalen skal fastsætte genstanden for og varigheden

af behandlingen, behandlingens karakter og formål, typen af personoplys-

ninger og kategorierne af registrerede samt den dataansvarliges forpligtelser

og rettigheder. Det skal navnlig fremgå, at databehandleren

1) kun må handle efter instruks fra den dataansvarlige,

2) sikrer, at de fysiske personer, der er autoriseret til at behandle per-

sonoplysninger, har forpligtet sig til fortrolighed eller er underlagt en

passende lovbestemt tavshedspligt,

3) bistår den dataansvarlige på enhver hensigtsmæssig måde med at

sikre overholdelse af bestemmelserne om den registreredes rettighe-

der,

4) efter den dataansvarliges valg sletter eller tilbageleverer alle person-

oplysningerne til den dataansvarlige, efter at tjenesterne vedrørende

behandling er ophørt, medmindre anden lovgivning foreskriver op-

bevaring af personoplysningerne,

5) stiller alle oplysninger, der er nødvendige for at påvise overholdelse

af denne bestemmelse, til rådighed for den dataansvarlige og

6) overholder betingelserne i nr. 1-5 og stk. 3 med henblik på at gøre

brug af en anden databehandler.

Stk. 3.

En databehandlers overladelse af behandling til en anden databe-

handler skal ske i henhold til en generel eller specifik skriftlig aftale med

den dataansvarlige. Sker overladelse i henhold til en generel aftale, skal da-

tabehandleren underrette den dataansvarlige herom senest 14 dage forud for

overladelsen.

Stk. 4.

Enhver, der udfører arbejde for den dataansvarlige eller databe-

handleren, og som har adgang til personoplysninger, må kun efter instruks

fra den dataansvarlige behandle disse oplysninger, medmindre det følger af

anden lovgivning, at den pågældende skal foretage behandlingen.

Kapitel 10

Fortegnelser over behandlingsaktiviteter og logning

§ 23.

Den dataansvarlige skal føre skriftlige fortegnelser over alle kate-

gorier af behandlingsaktiviteter under den dataansvarliges ansvar. Forteg-

nelserne skal indeholde oplysning om

1) navn på og kontaktoplysninger for den dataansvarlige og, hvis det er

relevant, den fælles dataansvarlige og databeskyttelsesrådgiveren,

2) formålene med behandlingen,

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

3) de kategorier af modtagere, som personoplysningerne er eller vil

blive videregivet til, herunder modtagere i tredjelande eller internati-

onale organisationer,

4) en beskrivelse af kategorierne af registrerede og kategorierne af per-

sonoplysninger,

5) brugen af profilering, hvor det er relevant,

6) kategorierne af overførsler af personoplysninger til et tredjeland eller

en international organisation, hvor det er relevant,

7) retsgrundlaget for behandlingsaktiviteten, herunder overførsler,

hvortil personoplysningerne er bestemt,

8) de forventede tidsfrister for sletning af de forskellige kategorier af

personoplysninger, hvis det er muligt, og

9) en generel beskrivelse af de tekniske og organisatoriske sikkerheds-

foranstaltninger omhandlet i § 27, hvis det er muligt.

Stk. 2.

Databehandleren fører skriftlige fortegnelser over alle kategorier

af behandlingsaktiviteter, der foretages på vegne af en dataansvarlig. For-

tegnelserne skal indeholde oplysning om

1) navn på og kontaktoplysninger for databehandleren eller databe-

handlerne for hver dataansvarlig, på hvis vegne databehandleren

handler, og, hvor det er relevant, databeskyttelsesrådgiveren,

2) de kategorier af behandling, der foretages på vegne af den enkelte

dataansvarlige,

3) overførsler af personoplysninger til et tredjeland eller en internatio-

nal organisation, hvor det er relevant, når den dataansvarlige udtryk-

keligt har givet instruks herom, herunder angivelse af dette tredje-

land eller denne internationale organisation, og

4) en generel beskrivelse af de tekniske og organisatoriske sikkerheds-

foranstaltninger omhandlet i § 27, hvis det er muligt.

§ 24.

I automatiske databehandlingssystemer foretages logning af ind-

samling, ændring, søgning, videregivelse, herunder overførsel, samkøring

og sletning.

Stk. 2.

Justitsministeren fastsætter nærmere regler om, hvilke automati-

ske databehandlingssystemer indført før [dato for anordningens ikrafttræ-

den], der er omfattet af stk. 1.

Kapitel 11

Konsekvensanalyser og høring af tilsynsmyndighederne

§ 25.

Vil en type behandling, navnlig ved brug af nye teknologier og i

medfør af sin karakter, sit omfang, sin sammenhæng og sit formål, sandsyn-

ligvis indebære en høj risiko for fysiske personers rettigheder, skal den da-

taansvarlige forud for behandlingen foretage en analyse af de påtænkte be-

handlingsaktiviteters konsekvenser for beskyttelse af personoplysninger.

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

Stk. 2.

Analysen skal indeholde en generel beskrivelse af de planlagte

behandlingsaktiviteter, en vurdering af risiciene for de registreredes ret-

tigheder, de foranstaltninger, der påtænkes for at imødegå disse risici, ga-

rantier, sikkerhedsforanstaltninger og mekanismer, som kan sikre beskyt-

telse af personoplysninger og påvise overholdelse af denne lov, under hen-

syntagen til de registreredes og andre berørte personers rettigheder og legi-

time interesser.

§ 26.

Den dataansvarlige eller databehandleren skal høre tilsynsmyndig-

heden inden behandling af personoplysninger, der vil indgå som en del af et

nyt register, der skal oprettes, når

1) en konsekvensanalyse vedrørende databeskyttelse, jf. § 25, viser, at

behandlingen vil føre til en høj risiko i mangel af foranstaltninger

truffet af den dataansvarlige for at begrænse risikoen, eller

2) den type behandling, navnlig ved brug af nye teknologier, mekanis-

mer eller procedurer, indebærer en høj risiko for de registreredes ret-

tigheder.

Stk. 2.

Finder tilsynsmyndigheden, at den planlagte behandling ikke vil

overholde loven, herunder navnlig hvis den dataansvarlige ikke tilstrække-

ligt har identificeret eller begrænset risikoen, giver tilsynsmyndigheden in-

den for en periode på op til 6 uger efter modtagelse af anmodningen om

høring den dataansvarlige og, hvor det er relevant, databehandleren skriftlig

rådgivning. Tilsynsmyndigheden kan i den forbindelse anvende enhver af

sine beføjelser, jf. kapitel 20. Denne periode kan forlænges med 1 måned

under hensyntagen til den påtænkte behandlings kompleksitet. Tilsynsmyn-

digheden underretter den dataansvarlige og, hvor det er relevant, databe-

handleren om enhver sådan forlængelse senest 1 måned efter modtagelse af

anmodningen om høring sammen med begrundelsen for forsinkelsen.

Stk. 3.

Tilsynsmyndighederne opstiller en liste over de behandlingsakti-

viteter, hvor der i henhold til stk. 1 skal foretages en forudgående høring.

Afsnit V

Personoplysningssikkerhed

Kapitel 12

Behandlingssikkerhed

§ 27.

Den dataansvarlige og databehandleren skal under hensyntagen til

det aktuelle tekniske niveau, implementeringsomkostningerne og behand-

lingens karakter, omfang, sammenhæng og formål og risicienes varierende

sandsynlighed og alvor for fysiske personers rettigheder gennemføre pas-

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

sende tekniske og organisatoriske foranstaltninger for at sikre et sikkerheds-

niveau, der passer til disse risici, navnlig for så vidt angår behandlingen af

de særlige kategorier af personoplysninger, der er omfattet af § 10.

Stk. 2.

For så vidt angår automatisk behandling, skal den dataansvarlige

eller databehandleren på grundlag af en risikovurdering gennemføre foran-

staltninger til at sikre, at

1) uautoriserede personer ikke kan få adgang til det behandlingsudstyr,

der benyttes til behandling (kontrol med fysisk adgang til udstyret),

2) der ikke sker uautoriseret læsning, kopiering, ændring eller sletning

af datamedier (kontrol med datamedier),

3) der ikke sker uautoriseret indlæsning af personoplysninger eller uau-

toriseret læsning, ændring eller sletning af opbevarede personoplys-

ninger (kontrol med opbevaring),

4) automatiske behandlingssystemer ikke via datakommunikationsud-

styr kan benyttes af uautoriserede personer (brugerkontrol),

5) personer med bemyndigelse til at anvende et automatisk behandlings-

system kun har adgang til de personoplysninger, der er omfattet af

deres adgangstilladelse (kontrol med dataadgangen),

6) det er muligt at kontrollere og fastslå de modtagere, til hvilke der er

blevet transmitteret eller stillet oplysninger til rådighed eller kan

transmitteres eller stilles oplysninger til rådighed ved hjælp af data-

kommunikationsudstyr (kommunikationskontrol),

7) det er muligt efterfølgende at undersøge og fastslå, hvilke personop-

lysninger der er indlæst i automatiske behandlingssystemer, og hvor-

når og af hvem personoplysningerne blev indlæst (kontrol med ind-

læsning),

8) der ikke sker uautoriseret læsning, kopiering, ændring eller sletning

af personoplysninger i forbindelse med overførsler af disse eller un-

der transport af datamedier (transportkontrol),

9) de anvendte systemer i tilfælde af teknisk uheld kan genetableres

(genopretning) og

10) systemet fungerer, at indtrufne fejl meldes (pålidelighed), og at op-

bevarede personoplysninger ikke bliver ødelagt som følge af fejl-

funktioner i systemet (integritet).

Stk. 3.

Justitsministeren kan efter forhandling med vedkommende mini-

ster fastsætte regler om, at personoplysninger, der behandles i nærmere be-

stemte it-systemer, og som føres for den del af den offentlige forvaltning,

der henhører under rigsmyndighederne, helt eller delvis alene må opbevares

på Færøerne.

Stk. 4.

Justitsministeren fastsætter nærmere regler om de i stk. 1 og 2

nævnte foranstaltninger.

Kapitel 13

Brud på datasikkerheden

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

§ 28.

Ved brud på persondatasikkerheden skal den dataansvarlige uden

unødig forsinkelse og om muligt, senest 72 timer efter at den dataansvarlige

er blevet bekendt med bruddet, anmelde bruddet til tilsynsmyndigheden,

medmindre det er usandsynligt, at bruddet indebærer en risiko for fysiske

personers rettigheder. En overskridelse af fristen på 72 timer skal begrundes.

Stk. 2.

Databehandleren underretter uden unødig forsinkelse den dataan-

svarlige om et brud på persondatasikkerheden.

Stk. 3.

Anmeldelsen efter stk. 1 skal

1) beskrive karakteren af bruddet på persondatasikkerheden, herunder i

videst muligt omfang kategorierne af og det berørte antal registrerede

og kategorierne af og det berørte antal registreringer af personoplys-

ninger,

2) angive navn på og kontaktoplysninger for databeskyttelsesrådgiveren

eller et andet kontaktpunkt, hvor yderligere oplysninger kan indhen-

tes,

3) beskrive de sandsynlige konsekvenser af bruddet på persondatasik-

kerheden og

4) beskrive de foranstaltninger, som den dataansvarlige har truffet eller

foreslår truffet for at håndtere bruddet på persondatasikkerheden, her-

under, hvis det er relevant, foranstaltninger for at begrænse dets mu-

lige skadevirkninger.

Stk. 4.

Er det ikke muligt at forelægge oplysningerne, der er nævnt i stk.

3, samlet for tilsynsmyndigheden, skal oplysningerne meddeles trinvis uden

unødig forsinkelse.

Stk. 5.

Den dataansvarlige skal dokumentere alle brud på persondatasik-

kerheden, som er omfattet af stk. 1, herunder de faktiske omstændigheder

vedrørende bruddet, bruddets virkninger og de trufne afhjælpende foran-

staltninger.

Stk. 6.

Omhandler bruddet på persondatasikkerheden oplysninger, der er

transmitteret af eller til en dataansvarlig i en EU-medlemsstat, skal oplys-

ninger, der er nævnt i stk. 3, uden unødig forsinkelse meddeles til den data-

ansvarlige i denne EU-medlemsstat.

§ 29.

Ved brud på persondatasikkerheden, som sandsynligvis vil inde-

bære en høj risiko for fysiske personers rettigheder, skal den dataansvarlige

uden unødig forsinkelse underrette den registrerede om bruddet.

Stk. 2.

Underretningen skal i et klart og enkelt sprog beskrive karakteren

af bruddet og indeholde de oplysninger, der er nævnt i § 28, stk. 3, nr. 2-4.

Stk. 3.

Bestemmelsen i stk. 1 gælder ikke, hvis

1) den dataansvarlige har gennemført passende tekniske og organisato-

riske beskyttelsesforanstaltninger og disse foranstaltninger er blevet

anvendt på de personoplysninger, som er berørt af bruddet på per-

sondatasikkerheden, herunder navnlig foranstaltninger, der f.eks. på

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

grund af kryptering gør personoplysningerne uforståelige for en-

hver, der ikke har autoriseret adgang hertil,

2) den dataansvarlige har truffet efterfølgende foranstaltninger, der sik-

rer, at den høje risiko for de registreredes rettigheder som omhandlet

i stk. 1 sandsynligvis ikke længere er reel, eller

3) det vil kræve en uforholdsmæssig indsats af den dataansvarlige.

Stk. 4.

I de tilfælde, der er nævnt i stk. 3, nr. 3, skal der i stedet gives en

offentlig meddelelse eller træffes tilsvarende foranstaltning, hvorved de re-

gistrerede underrettes på en tilsvarende effektiv måde.

Stk. 5.

Har den dataansvarlige ikke allerede underrettet den registrerede

om bruddet på persondatasikkerheden, kan tilsynsmyndigheden efter at

have overvejet sandsynligheden for, at bruddet på persondatasikkerheden

indebærer en høj risiko, kræve, at den dataansvarlige gør dette, eller beslutte,

at en af betingelserne i stk. 3 er opfyldt.

Stk. 6.

Underretning af den registrerede kan udsættes, begrænses eller

undlades af de grunde, der er nævnt i § 14, stk. 1.

Afsnit VI

Databeskyttelsesrådgiver

Kapitel 14

Udpegelse af en databeskyttelsesrådgiver

§ 30.

Den dataansvarlige udpeger på grundlag af faglige kvalifikationer,

herunder navnlig ekspertise inden for databeskyttelsesret og -praksis og ev-

nen til at udføre de opgaver, der er nævnt i kapitel 15, en databeskyttelses-

rådgiver, som inddrages i alle spørgsmål vedrørende beskyttelse af person-

oplysninger.

Stk. 2.

Flere dataansvarlige kan under hensyntagen til deres størrelse og

organisatoriske forhold udpege en fælles databeskyttelsesrådgiver.

Stk. 3.

Bestemmelsen i stk. 1 gælder ikke for domstolene, når disse fore-

tager behandling af personoplysninger i deres egenskab af domstole.

Stk. 4.

Den dataansvarlige offentliggør kontaktoplysningerne for databe-

skyttelsesrådgiveren og meddeler disse til tilsynsmyndigheden.

Kapitel 15

Databeskyttelsesrådgiverens stilling og opgaver

§ 31.

Den dataansvarlige understøtter, at databeskyttelsesrådgiveren kan

1) underrette og rådgive den dataansvarlige og de ansatte, der behandler

personoplysninger, om deres forpligtelser i medfør af denne lov og

anden lovgivning om databeskyttelse,

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

2) overvåge overholdelsen af denne lov og anden lovgivning om data-

beskyttelse og af den dataansvarliges politikker om beskyttelse af

personoplysninger, herunder fordeling af ansvar, oplysningskampag-

ner og uddannelse af det personale, der medvirker ved behandlings-

aktiviteterne og de tilhørende revisioner,

3) rådgive, når der anmodes herom, med hensyn til konsekvensanalysen

vedrørende databeskyttelse og overvåge dens opfyldelse i henhold til

bestemmelsen i § 25 og

4) samarbejde med tilsynsmyndigheden og fungere som tilsynsmyndig-

hedens kontaktpunkt i spørgsmål vedrørende behandling, herunder

den forudgående høring, der er nævnt i § 26, og høre tilsynsmyndig-

heden, når det er hensigtsmæssigt, om eventuelle andre spørgsmål.

Afsnit VII

Overførsler af personoplysninger til tredjelande eller internationale or-

ganisationer

Kapitel 16

Generelle principper

§ 32.

Overførsel af personoplysninger, der behandles eller planlægges

behandlet efter overførsel til et tredjeland eller en international organisation,

herunder videreoverførsel til et andet tredjeland eller en anden international

organisation, må kun finde sted under overholdelse af reglerne i denne lov,

og hvis betingelserne i dette afsnit er overholdt, herunder navnlig at

1) overførslen er nødvendig i forhold til de formål, der er nævnt i § 1,

stk. 1,

2) personoplysningerne overføres til en dataansvarlig i et tredjeland el-

ler en international organisation, der er en myndighed, der er kompe-

tent i forhold til de formål, der er nævnt i § 1, stk. 1,

3) en kompetent myndighed i en EU-medlemsstat har givet sin forudgå-

ende godkendelse til overførslen i henhold til dens nationale regler

og personoplysningerne transmitteres eller stilles til rådighed af

denne myndighed,

4) der foreligger et af de overførselsgrundlag, der er nævnt i kapitel 17,

5) den kompetente myndighed, der foretog den oprindelige overførsel, i

tilfælde af videreoverførsel til et andet tredjeland eller en anden in-

ternational organisation giver bemyndigelse til videreoverførslen, ef-

ter at den har taget behørigt hensyn til alle relevante faktorer, herun-

der en strafbar handlings grovhed, det formål, hvortil personoplys-

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

ningerne oprindelig blev overført, og beskyttelsesniveauet for per-

sonoplysninger i det tredjeland eller den internationale organisation,

hvortil personoplysningerne videreoverføres.

Stk. 2.

Overførsel uden forudgående godkendelse efter stk. 1, nr. 3, kan

ske, hvis overførslen er nødvendig for at forebygge en umiddelbar og alvor-

lig trussel mod en EU-medlemsstats eller et tredjelands offentlige sikkerhed

eller mod en EU-medlemsstats væsentlige interesser og den forudgående

godkendelse ikke kan indhentes i tide. Den myndighed, der er ansvarlig for

at give den pågældende godkendelse, underrettes straks om overførslen.

Kapitel 17

Grundlag for overførsel

§ 33.

Overførsel kan ske, hvis Europa-Kommissionen har truffet afgø-

relse om, at tredjelandet, et område eller en eller flere specifikke sektorer i

dette tredjeland eller den pågældende internationale organisation har et til-

strækkeligt beskyttelsesniveau.

§ 34.

Foreligger der ikke en afgørelse som nævnt i § 33, kan der ske

overførsel, hvis

1) der i en international aftale er givet de fornødne garantier, hvad angår

beskyttelsen af personoplysninger, eller

2) den dataansvarlige har vurderet alle forhold i forbindelse med over-

førslen af personoplysninger og konkluderet, at der findes de for-

nødne garantier for beskyttelsen af personoplysninger.

Stk. 2.

Den dataansvarlige underretter tilsynsmyndigheden om kategorier

af overførsler i medfør af stk. 1, nr. 2.

Stk. 3.

En overførsel i medfør af stk. 1, nr. 2, dokumenteres i forhold til

dato og tidspunkt for overførslen, oplysninger om den modtagende kompe-

tente myndighed, begrundelsen for overførslen og de overførte personop-

lysninger. Dokumentationen stilles efter anmodning til rådighed for tilsyns-

myndigheden.

§ 35.

Foreligger der ikke en afgørelse som nævnt i § 33 eller de fornødne

garantier som nævnt i § 34, kan en overførsel eller en kategori af overførsler

kun finde sted, hvis overførslen er nødvendig

1) for at beskytte den registreredes eller en anden persons vitale interes-

ser,

2) for at beskytte den registreredes legitime interesser, hvis det er fastsat

i henhold til lov,

3) for at afværge en umiddelbar og alvorlig trussel mod en EU-med-

lemsstats eller et tredjelands offentlige sikkerhed,

4) i enkeltsager med henblik på de formål, der er nævnt i § 1, stk. 1, eller

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

5) i en enkeltsag, for at retskrav kan fastlægges, gøres gældende eller

forsvares med henblik på de formål, der er nævnt i § 1, stk. 1.

Stk. 2.

Overførsel efter stk. 1, nr. 4 og 5, kan ikke finde sted, hvis hensy-

net til den registreredes rettigheder går forud for den samfundsmæssige in-

teresse i overførslen.

Stk. 3.

En overførsel i medfør af stk. 1 dokumenteres i forhold til dato og

tidspunkt for overførslen, oplysninger om den modtagende kompetente

myndighed, begrundelsen for overførslen og de overførte personoplysnin-

ger. Dokumentationen stilles efter anmodning til rådighed for tilsynsmyn-

digheden.

§ 36.

De kompetente myndigheder kan overføre personoplysninger til

andre end kompetente myndigheder og internationale organisationer på bag-

grund af en international aftale eller i enkeltstående og specifikke tilfælde,

hvis

1) overførslen er strengt nødvendig for den overførende kompetente

myndigheds udførelse af en opgave, der følger af lovgivningen, og

forfølger de formål, der er nævnt i § 1, stk. 1,

2) den overførende kompetente myndighed fastslår, at ingen af den på-

gældende registreredes grundlæggende rettigheder går forud for sam-

fundets interesse, der nødvendiggør overførslen i det foreliggende til-

fælde,

3) den overførende kompetente myndighed mener, at overførslen til en

myndighed, der i tredjelandet er kompetent i forhold til de formål, der

er nævnt i § 1, stk. 1, er ineffektiv eller uhensigtsmæssig, navnlig

fordi overførslen ikke kan foretages i tide,

4) den myndighed, der i tredjelandet er kompetent i forhold til de for-

mål, der er nævnt i § 1, stk. 1, underrettes uden unødig forsinkelse,

medmindre dette er ineffektivt eller uhensigtsmæssigt, og

5) den overførende kompetente myndighed underretter modtageren om

det eller de specifikke formål, hvortil sidstnævnte udelukkende kan

behandle personoplysningerne, forudsat at denne behandling er nød-

vendig.

Stk. 2.

Den overførende kompetente myndighed dokumenterer og under-

retter tilsynsmyndigheden om overførsler i medfør af stk. 1.

Afsnit VIII

Tilsynsmyndighed

Kapitel 18

Datatilsynet

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

§ 37.

Datatilsynet, jf. kapitel 18 i den danske lov om retshåndhævende

myndigheders behandling af personoplysninger, fører tilsyn med enhver be-

handling, der omfattes af loven, jf. dog kapitel 19.

Stk. 2.

For Datatilsynet gælder reglerne i § 27, stk. 2-9, i den danske da-

tabeskyttelseslov.

§ 37 a.

Justitsministeren kan, efter forhandling med landsstyret, Datatilsy-

net og Dátueftirlitið, helt eller delvis, henlægge Datatilsynets beføjelser ef-

ter loven til Dátueftirlitið.

Kapitel 19

Tilsyn med domstolene

§ 38.

Domstolsstyrelsen fører tilsyn med behandling af oplysninger, der

foretages for domstolene, når disse ikke handler i deres egenskab af dom-

stol.

Stk. 2.

For anden behandling af oplysninger træffes afgørelse af vedkom-

mende ret. Afgørelsen kan kæres til højere ret. For særlige domstole, hvis

afgørelser ikke kan indbringes for højere ret, kan den afgørelse, der er nævnt

i 1. pkt., kæres til den landsret, i hvis kreds retten er beliggende. Kærefristen

er 4 uger fra den dag, afgørelsen er meddelt den pågældende.

Kapitel 20

Tilsynsmyndighedernes opgaver og beføjelser

§ 39.

Tilsynsmyndighederne udøver deres funktioner i fuld uafhængig-

hed.

§ 40.

Tilsynsmyndighederne har til opgave på Færøerne at

1) føre tilsyn med og håndhæve anvendelsen af denne lov,

2) fremme offentlighedens kendskab til og forståelse af risici, regler, ga-

rantier og rettigheder i forbindelse med behandling af personoplys-

ninger,

3) rådgive Lagtinget, landsstyret og andre institutioner og organer om

lovgivningsmæssige og administrative foranstaltninger til beskyt-

telse af fysiske personers rettigheder i forbindelse med behandling,

4) fremme dataansvarliges og databehandleres kendskab til deres for-

pligtelser i medfør af denne lov,

5) efter anmodning informere alle registrerede om udøvelsen af deres

rettigheder i medfør af denne lov,

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

6) behandle klager, der indgives af en registreret eller af et organ, en

organisation eller en sammenslutning i overensstemmelse med be-

stemmelsen i § 48, og, for så vidt det er hensigtsmæssigt, undersøge

genstanden for klagen og underrette klageren om forløbet og resulta-

tet af undersøgelsen inden for højst 3 måneder, navnlig hvis yderli-

gere undersøgelse eller koordinering med en anden tilsynsmyndighed

er nødvendig,

7) (Sættes ikke i kraft for Færøerne)

8) (Sættes ikke i kraft for Færøerne)

9) underrette en registreret, der har indgivet en klage, om adgangen til

retsmidler efter kapitel 22,

10) efter anmodning kontrollere, om en behandling af personoplysninger

er lovlig i henhold til undladelse, udsættelse, begrænsning eller næg-

telse efter kapitel 4-6, og underrette den registrerede inden for en ri-

melig frist om resultatet af undersøgelsen eller om årsagerne til, at

undersøgelsen ikke er foretaget, og om den registreredes adgang til

retsmidler efter kapitel 22,

11) samarbejde med andre tilsynsmyndigheder, herunder gennem ud-

veksling af oplysninger og gensidig bistand med henblik på at sikre

ensartet anvendelse og håndhævelse af denne lov,

12) gennemføre undersøgelser om anvendelsen af denne lov, herunder på

grundlag af oplysninger, der er modtaget fra en anden tilsynsmyndig-

hed eller en anden offentlig myndighed,

13) holde øje med relevant udvikling, for så vidt den har indvirkning på

beskyttelse af personoplysninger, navnlig udviklingen inden for in-

formations- og kommunikationsteknologi og,

14) rådgive om behandlingsaktiviteter som omhandlet i § 26.

15) (Sættes ikke i kraft for Færøerne)

Stk. 2.

Tilsynsmyndighederne letter indgivelsen af klager efter stk. 1, nr.

Stk. 3.

Tilsynsmyndighederne kan afvise at imødekomme åbenbart

grundløse eller overdrevent gentagne anmodninger efter denne lov.

§ 41.

Tilsynsmyndighederne kan kræve enhver oplysning, der er af be-

tydning for deres virksomhed, herunder til afgørelse af, om et forhold falder

ind under lovens bestemmelser.

Stk. 2.

Tilsynsmyndighedernes medlemmer og personale har mod behø-

rig legitimation til enhver tid uden retskendelse adgang til alle lokaler, hvor-

fra en behandling af personoplysninger foretages.

§ 42.

Tilsynsmyndighederne kan over for den dataansvarlige og databe-

handleren afgive udtalelse om, at planlagte behandlingsaktiviteter sandsyn-

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

ligvis vil være i strid med denne lov, give påbud om at bringe behandlings-

aktiviteter i overensstemmelse med denne lov eller midlertidigt eller defini-

tivt begrænse, herunder forbyde, behandling af personoplysninger.

Stk. 2.

Tilsynsmyndighedernes afgørelser efter denne lov kan ikke ind-

bringes for anden administrativ myndighed.

§ 43.

Ved udarbejdelse af generelle retsforskrifter, der har betydning for

behandling af personoplysninger, skal der indhentes en udtalelse fra Data-

tilsynet. Er der tale om generelle forskrifter, der har betydning for behand-

ling af oplysninger, der foretages for domstolene, skal der indhentes en ud-

talelse fra Domstolsstyrelsen.

§ 44.

Tilsynsmyndighederne kan indbringe spørgsmål om overtrædelser

af denne lov for retten i den borgerlige retsplejes former.

§ 45.

Tilsynsmyndighederne afgiver en årlig beretning om deres virk-

somhed til Færøernes Landsstyre og justitsministeren. Beretningen offent-

liggøres.

Kapitel 21

Samarbejde

§ 46.

Datatilsynet, Domstolsstyrelsen og Dátueftirlitið samarbejder, i det

omfang det er nødvendigt for at opfylde deres pligter, navnlig ved at ud-

veksle alle relevante oplysninger.

§ 47.

(Sættes ikke i kraft for Færøerne)

Stk. 2.

(Sættes ikke i kraft for Færøerne)

Stk. 3.

(Sættes ikke i kraft for Færøerne)

Afsnit IX

Retsmidler, ansvar og sanktioner

Kapitel 22

Retsmidler, ansvar og sanktioner

§ 48.

Den registrerede eller dennes repræsentant kan klage til vedkom-

mende tilsynsmyndighed over behandling af oplysninger vedrørende den re-

gistrerede.

Stk. 2.

Tilsynsmyndighedernes afgørelser, undladelser af at behandle en

klage fra en registreret eller en manglende underretning efter § 40, stk. 1, nr.

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

6, kan af den registrerede eller dennes repræsentant indbringes for domsto-

lene i den borgerlige retsplejes former.

Stk. 3.

Den registrerede eller dennes repræsentant kan indbringe spørgs-

mål om dataansvarliges og databehandleres overholdelse af denne lov for

domstolene i den borgerlige retsplejes former.

§ 49.

Enhver person, som har lidt materiel eller immateriel skade som

følge af en ulovlig behandlingsaktivitet eller enhver anden behandling i strid

med denne lov, har ret til erstatning fra den dataansvarlige i overensstem-

melse med det almindelige erstatningsansvar.

§ 50.

Medmindre højere straf er forskyldt efter anden lovgivning, kan en

privat databehandler, der i forbindelse med en behandling, der udføres for

en kompetent myndighed, overtræder § 22, stk. 2 og 3, § 23, stk. 2, § 27 og

§ 28, stk. 2, eller undlader at efterkomme et påbud eller forbud, der er med-

delt i henhold til § 42, straffes med bøde eller fængsel indtil 4 måneder.

Stk. 2.

Dataansvarlige, der undlader at efterkomme et påbud eller forbud,

der er meddelt i henhold til § 42, straffes med bøde.

Stk. 3.

I regler, der udstedes i medfør af loven, kan der fastsættes straf af

bøde eller fængsel indtil 4 måneder.

Stk. 4.

Der kan pålægges selskaber m.v. (juridiske personer) straf efter

reglerne i straffelovens 5. kapitel.

Afsnit X

Afsluttende bestemmelser

Kapitel 23

Afsluttende bestemmelser, herunder ikrafttrædelsesbestemmelser m.v.

§ 51.

Vedkommende minister kan i særlige tilfælde fastsætte nærmere

regler for behandlinger af personoplysninger omfattet af loven, som foreta-

ges for politiet, anklagemyndigheden, herunder den militære anklagemyn-

dighed, kriminalforsorgen og Den Uafhængige Politiklagemyndighed.

Stk. 2.

(Sættes ikke i kraft for Færøerne)

§ 52.

Anordningen træder i kraft den [..].

§ 53.

Lovens §§ 25 og 26 gælder i forhold til ny behandling af personop-

lysninger, der iværksættes, og registre, der oprettes efter [dato for anord-

nings ikrafttræden].

REU, Alm.del - 2021-22 - Bilag 85: Lovudkast til lov om retshåndhævelsesloven for Færøerne, fra justitsministeren

§ 54.

Overførsler til tredjelande og internationale organisationer kan ske

i medfør af internationale aftaler, der er indgået inden [dato for anordnin-

gens ikrafttræden], indtil aftalerne ændres, erstattes eller ophæves.

§ 55.

I lov nr. 429 af 31. maj 2000 om behandling af personoplysninger

med senere ændringer, som sat i kraft for rigsmyndighedernes behandling

af oplysninger på Færøerne ved anordning nr. 754 af 19. juni 2017 foretages

følgende ændringer:

§ 2, stk. 4, ophæves.

Stk. 5-11 bliver herefter stk. 4-10.

Efter § 2 indsættes i kapitel 1:

»§ 2 a. Loven gælder ikke for behandling, som er omfattet af lov om

retshåndhævende myndigheders behandling af personoplysninger, jf. dog

stk. 2.

Stk. 2.

Regler udstedt i medfør af § 32, stk. 5, § 41, stk. 5, § 55, stk. 4 og

§ 72 gælder for den behandling af personoplysninger, der er omfattet af lov

om retshåndhævende myndigheders behandling af personoplysninger, med-

mindre det vil være i strid med denne lov.«

§ 56.

De forskrifter, der er udstedt efter loven, gælder ikke for Færøerne.

Bestemmelsen har følgende ordlyd: »Loven gælder ikke for Færøerne, men kan ved kon-

gelig anordning sættes i kraft for rigsmyndighedernes behandling af oplysning med de æn-

dringer, som de færøske forhold tilsiger. Loven gælder ikke for Grønland, men kan ved

kongelig anordning sættes i kraft med de ændringer, som de grønlandske forhold tilsiger.«

Bestemmelsen har følgende ordlyd: » Lovens § 1 gælder ikke for Færøerne, men kan ved

kongelig anordning sættes i kraft for rigsmyndighedernes behandling af oplysninger med

de ændringer, som de færøske forhold tilsiger.«

iii

Bestemmelsen har følgende ordlyd: »Loven gælder ikke for Færøerne, men lovens § 2

kan ved kongelig anordning sættes i kraft for rigsmyndighedernes behandling af oplysnin-

ger med de ændringer, som de færøske forhold tilsiger. «