DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

Udvalget for Digitalisering og It 2024-25
DIU Alm.del Bilag 90
Offentligt

Forslag

til

Lov om supplerende bestemmelser til forordningen om fair adgang til

og anvendelse af data

(datadelingsloven)

§ 1.

Loven supplerer Europa-Parlamentets og Rådets forordning (EU)

2023/2854 af 13. december 2023 om harmoniserende regler om fair ad-

gang til og anvendelse af data og om ændring af forordning (EU)

2017/2394 og direktiv (EU) 2020/1828 (dataforordningen), jf. bilag 1.

§ 2.

Digitaliseringsstyrelsen udpeges som kompetent myndighed, jf. ar-

tikel 37, stk. 1, i dataforordningen.

Stk. 2.

Digitaliseringsstyrelsen påser overholdelsen af dataforordningen,

jf. artikel 37, stk. 1, i dataforordningen, og varetager de opgaver, der er op-

listet i dataforordningens artikel 37, stk. 5 og 6.

Stk. 3.

Ministeren for digitalisering kan fastsætte nærmere regler om,

hvorledes klager efter dataforordningen indgives og om formkrav til kla-

ger.

§ 3.

Ministeren for digitalisering kan efter aftale med vedkommende mi-

nister fastsætte regler vedrørende certificering af tvistbilæggelsesorganer i

henhold til artikel 10 i dataforordningen.

§ 4.

Digitaliseringsstyrelsen skal ved udførelsen af sine opgaver og udø-

velsen af sine beføjelser efter dataforordningen og denne lov være upartisk

og fri for udefrakommende indflydelse og må hverken søge eller modtage

instrukser i relation til enkeltsager fra nogen anden offentlig myndighed el-

ler privat part, jf. artikel 37, stk. 8, i dataforordningen.

Stk. 2.

Digitaliseringsstyrelsens afgørelser efter dataforordningen eller

denne lov kan ikke indbringes for anden administrativ myndighed.

§ 5.

Digitaliseringsstyrelsen kan fra fysiske og juridiske personer omfat-

tet af artikel 1, stk. 3, litra a-g, i dataforordningen, retlige repræsentanter

Som bilag til loven er medtaget Europa-Parlamentets og Rådets forordning (EU)

2023/2854 af 13. december 2023 om harmoniserede regler om fair adgang til og anvendelse

af data og om ændring af forordning (EU) 2017/2394 og direktiv (EU) 2020/1828 (datafor-

ordningen), EU-Tidende 2023, L af 13. december 2023. Ifølge artikel 288 i EUF-Traktaten

gælder en forordning umiddelbart i hver medlemsstat. Gengivelsen af forordningen i lovens

bilag er således udelukkende begrundet i praktiske hensyn og berører ikke forordningens

umiddelbare gyldighed i Danmark.

Side 1/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

omfattet af artikel 37, stk. 11, i dataforordningen, samt gatekeepere omfat-

tet af artikel 3, i forordning (EU) 2022/1925 af 14. september 2022 om

åbne og fair markeder i den digitale sektor og om ændring af direktiv (EU)

2019/1937 og (EU) 2020/1828 (forordningen om digitale markeder), af-

kræve alle oplysninger, som er nødvendige for Digitaliseringsstyrelsens

tilsynsvirksomhed, herunder til fastlæggelse af, om et forhold hører under

Digitaliseringsstyrelsens kompetence.

§ 6.

Digitaliseringsstyrelsen kan videregive oplysninger til Europa-

Kommissionen eller andre kompetente myndigheder i Den Europæiske

Union, i det omfang det er nødvendigt for at påse overholdelsen af bestem-

melserne i denne lov, dataforordningen eller den pågældende medlemsstats

datadelingslovgivning.

§ 7.

Digitaliseringsstyrelsen kan udtale kritik af fysiske og juridiske per-

soner omfattet af artikel 1, stk. 3, litra a-g, i dataforordningen, samt af ga-

tekeepere omfattet af artikel 3, i forordning (EU) 2022/1925 af 14. septem-

ber 2022 om åbne og fair markeder i den digitale sektor og om ændring af

direktiv (EU) 2019/1937 og (EU) 2020/1828 (forordningen om digitale

markeder), for overtrædelser af dataforordningen eller denne lov.

§ 8.

Digitaliseringsstyrelsen kan offentliggøre sine udtalelser og afgørel-

ser om overtrædelser af dataforordningen eller denne lov

§ 9.

Digitaliseringsstyrelsen kan udstede påbud til fysiske og juridiske

personer omfattet af artikel 1, stk. 3, litra a-g, i dataforordningen, samt til

gatekeepere omfattet af artikel 3, i forordning (EU) 2022/1925 af 14. sep-

tember 2022 om åbne og fair markeder i den digitale sektor og om ændring

af direktiv (EU) 2019/1937 og (EU) 2020/1828 (forordningen om digitale

markeder), med henblik på at sikre overholdelsen af forpligtelser i medfør

af dataforordningen.

§ 10.

Medmindre højere straf er forskyldt efter anden lovgivning, straf-

fes med bøde den, der:

1) Overtræder dataforordningens artikel 3, artikel 4, stk. 1, 2, 4-8, 10,

11, 13 eller 14, artikel 5, stk. 1, 3-6 eller 9-11, artikel 6, stk. 1 eller

2, artikel 8, stk. 4, artikel 11, artikel 14, artikel 23, artikel 25-28, ar-

tikel 29, stk. 1-6, artikel 30, artikel 31, stk. 3 eller artikel 32, stk. 1, 4

eller 5.

2) Undlader at efterkomme Digitaliseringsstyrelsens krav efter § 5.

Side 2/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

3) Afgiver ukorrekte, ufuldstændige eller vildledende oplysninger til

Digitaliseringsstyrelsen i forbindelse med krav efter § 5.

4) Undlader at efterleve et påbud udstedt efter § 9.

Stk. 2.

Der kan pålægges selskaber m.v. (juridiske personer) strafansvar

efter reglerne i straffelovens 5. kapitel.

Stk. 3.

Forældelsesfristen for overtrædelse af dataforordningen eller

denne lov er 5 år.

11.

Loven træder i kraft dagen efter bekendtgørelsen i Lovtidende.

§ 12.

Loven gælder ikke for Færøerne og Grønland.

Side 3/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

[Bilag 1 – Dataforordningen]

Side 4/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

Bemærkninger til lovforslaget

Almindelige bemærkninger

Indholdsfortegnelse

2.1.

2.1.1.

2.1.2.

Indledning

Lovforslagets hovedpunkter

Anvendelsesområde

Gældende ret

Digitaliseringsministeriets overvejelser og den foreslåede ord-

ning

Udpegning af kompetente myndigheder og samarbejde med an-

dre myndigheder, herunder Datatilsynet

Gældende ret

Digitaliseringsministeriets overvejelser og den foreslåede ord-

ning

Certificering af tvistbilæggelsesorganer

Gældende ret

Digitaliseringsministeriets overvejelser og den foreslåede ord-

ning

De kompetente myndigheders opgaver og beføjelser mv.

Gældende ret

Digitaliseringsministeriets overvejelser og den foreslåede ord-

ning

Sanktioner

Gældende ret

2.2.

2.2.1.

2.2.2.

2.3.

2.3.1.

2.3.2.

2.4.

2.4.1.

2.4.2.

2.5.

2.5.1.

Side 5/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

2.5.2.

Digitaliseringsministeriets overvejelser og den foreslåede ord-

ning

Forholdet til databeskyttelsesforordningen og databeskyttelses-

retten

Økonomiske konsekvenser og implementeringskonsekvenser

for det offentlige

Økonomiske og administrative konsekvenser for erhvervslivet

m.v.

Administrative konsekvenser for borgerne

Klimamæssige konsekvenser

Miljø- og naturmæssige konsekvenser

Forholdet til EU-retten

Hørte myndigheder og organisationer m.v.

Sammenfattende skema

10.

11.

1. Indledning

Formålet med dette lovforslag er at supplere reglerne i dataforordningen.

Forslaget fastsætter således supplerende nationale bestemmelser om kom-

petence-, håndhævelses- og straffebestemmelser inden for det nationale rå-

derum, som dataforordningen giver mulighed for.

Dataforordningen blev vedtaget den 13. december 2023 og finder anven-

delse fra den 12. september 2025. Dog finder forpligtelsen, der følger af

dataforordningens artikel 3, stk. 1, anvendelse på forbundne produkter og

de hermed relaterede tjenester, der bringes i omsætning efter den 12. sep-

tember 2026. Hertil kommer, at dataforordningens kapitel III kun finder an-

vendelse i forbindelse med forpligtelser til at stille data til rådighed i hen-

hold til EU-ret eller national lovgivning vedtaget i overensstemmelse med

EU-retten, som træder i kraft efter den 12. september 2025. Dataforordnin-

gens kapitel IV finder anvendelse på aftaler, der indgås efter den 12. sep-

tember 2025. På aftaler, der indgås senest den 12. september 2025, finder

dataforordningens kapitel IV anvendelse fra den 12. september 2027, forud-

sat at de er af ubegrænset varighed, eller at de udløber mindst 10 år efter 11.

Side 6/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

januar 2024. Det bemærkes i forhold til skiftegebyrer, at det følger af artikel

29, stk. 1, i dataforordningen, at udbydere af databehandlingstjenester ikke

må pålægge kunder skiftegebyrer for skifteprocessen fra den 12. januar

2027. Endvidere følger det af dataforordningens artikel 29, stk. 2, at udby-

dere af databehandlingstjenester i perioden 11. januar 2024 til 12. januar

2027 alene kan pålægge kunder nedsatte skiftegebyrer for skifteprocessen.

For så vidt angår perioden fra den 11. januar 2024 og frem til dette lov-

forslags ikrafttræden vil det ikke være muligt strafferetligt at sanktionere

overtrædelser af dataforordningens artikel 29, stk. 2.

Dataforordningen udgør et led i den europæiske datastrategi, og den supple-

rer Europa-Parlamentets og Rådets forordning (EU) 2022/868 af 30. maj

2022 om europæisk datastyring og om ændring af forordning (EU)

2018/1724 (forordning om datastyring). Datastyringsforordningen og data-

forordningen vil tilsammen skulle bidrage til oprettelsen af et indre marked

for data i EU samt skulle bidrage til, at Europa bliver førende inden for da-

taøkonomien ved at udnytte potentialet i de stadigt stigende datamængder,

navnlig industrielle data, til gavn for både den europæiske økonomi og det

europæiske samfund.

Dataforordningen har til formål at styrke dataøkonomien i EU og fremme et

konkurrencedygtigt datamarked ved at gøre data mere tilgængelige og an-

vendelige samt tilskynde til datadreven innovation. For at opnå dette sikrer

dataforordningen retfærdighed i fordelingen af den værdi, der hidrører fra

data, blandt aktører i dataøkonomien.

Dataforordningen fastsætter en harmoniseret ramme, der definerer, hvem

der kan anvende data fra forbundne produkter eller relaterede tjenester, og

på hvilke betingelser. Desuden omfatter dataforordningen foranstaltninger

til at øge retfærdigheden og konkurrencen på markedet for databehandlings-

tjenester (blandt andet på cloudmarkedet) i Europa samt til at beskytte virk-

somheder mod urimelige kontraktvilkår i forbindelse med datadeling, der

pålægges af aktører, som er stærkere end dem. Yderligere indfører datafor-

ordningen en mekanisme, hvorigennem offentlige myndigheder kan an-

mode om data fra en virksomhed, hvor der er et ekstraordinært behov, f.eks.

i offentlige nødsituationer, og fastsætter klare regler for, hvordan sådanne

anmodninger bør fremsættes. Endvidere indføres der sikkerhedsforanstalt-

ninger for at undgå, at statslige organer fra tredjelande kan få adgang til

andre data end personoplysninger, hvis dette ville være i strid med EU-retten

eller national ret. Endelig fastsætter dataforordningen væsentlige krav ved-

rørende interoperabilitet for at sikre, at data kan flyde frit uden problemer

Side 7/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

mellem sektorer og medlemsstater. Oprettelsen af fælles europæiske data-

områder for strategiske sektorer i økonomien og områder af offentlig inte-

resse vil bidrage til et ægte indre marked for data, hvor det er muligt at dele

og anvende data på tværs af sektorer.

For at formålet med dataforordningen kan opnås, er det grundlæggende at

etablere velfungerende og effektive tilsyn. Som følge heraf skal hver med-

lemsstat udpege én eller flere myndigheder, der skal påse overholdelsen af

dataforordningen.

Lovforslaget har til formål at supplere dataforordningen, hvor dette er på-

krævet, med henblik på at sikre nødvendige og tilstrækkelige gennemførel-

sesforanstaltninger for så vidt angår tilsyn og håndhævelse.

Med lovforslaget foreslås således bestemmelser, der tillægger den kompe-

tente myndighed nogle nærmere håndhævelsesbeføjelser, herunder bestem-

melser om undersøgelsesbeføjelser og muligheder for sanktionering, jf. ar-

tikel 40, stk. 1, i dataforordningen.

2. Lovforslagets hovedpunkter

2.1. Anvendelsesområde

2.1.1. Gældende ret

Der er på nuværende tidspunkt ikke fastsat regler i dansk ret, som supplerer

og gennemfører dataforordningen. Der er som følge heraf ikke regler om

udpegning af kompetente myndigheder i overensstemmelse med dataforord-

ningen, ligesom der ikke er fastsat regler om beføjelser og sanktionsmulig-

heder i forhold til at håndtere overtrædelser af dataforordningen.

Det følger af dataforordningens artikel 1, stk. 2, at dataforordningen både

omfatter personoplysninger og andre data end personoplysninger.

I forhold til personoplysninger følger det af artikel 1, stk. 5, første pkt., at

dataforordningen ikke berører EU-retten og national ret om beskyttelse af

personoplysninger, privatlivets fred og kommunikationshemmeligheden

samt integriteten af terminaludstyr, som finder anvendelse på personoplys-

ninger, der behandles i forbindelse med de rettigheder og forpligtelser, der

er fastsat i dataforordningen, navnlig forordning (EU) 2016/679 (databe-

skyttelsesforordningen) og (EU) 2018/1725 og direktiv 2002/58/EF, herun-

der tilsynsmyndighedernes beføjelser og kompetencer og de registreredes

rettigheder. For så vidt angår brugere, som er registrerede, supplerer de ret-

tigheder, der er fastsat i dataforordningens kapitel II, registreredes indsigts-

Side 8/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

ret og retten til dataportabilitet i henhold til artikel 15 og 20 i databeskyttel-

sesforordningen, jf. artikel 1, stk. 5, 2. pkt., i dataforordningen. I tilfælde af

uoverensstemmelse mellem dataforordningen og EU-retten om beskyttelse

af personoplysninger eller privatlivets fred eller national ret vedtaget i over-

ensstemmelse med EU-retten har den relevante EU-ret eller nationale ret om

beskyttelse af personoplysninger eller privatlivets fred forrang, jf. artikel 1,

stk. 5, sidste pkt., i dataforordningen.

De enkelte kapitler i dataforordningen regulerer en række særskilte områder

og situationer, som skal læses i samspil med dataforordningens artikel 1,

stk. 2. Dataforordningens kapitel II regulerer datadeling mellem virksomhe-

der og mellem virksomheder og forbrugere i forbindelse med tingenes in-

ternet (IoT). Kapitel III præciserer betingelserne for datadeling i den private

sektor, når der er en lovbestemt forpligtigelse til at dele data. Kapitel IV

omhandler urimelige aftalevilkår og finder anvendelse på data fra den pri-

vate sektor, der tilgås og anvendes på grundlag af aftaler mellem virksom-

heder. Kapitel V regulerer datadeling med fokus på andre data end person-

oplysninger mellem virksomheder og myndigheder, når der foreligger et

ekstraordinært behov. Kapitel VI omhandler skift mellem databehandlings-

tjenester og finder anvendelse på data og tjenester, der behandles af udby-

dere af databehandlingstjenester. Kapitel VII behandler tredjelandes ulov-

lige adgang til oplysninger og finder alene anvendelse på andre data end

personoplysninger, som udbydere af databehandlingstjenester er i besid-

delse af i EU. Endelig omhandler kapitel VIII særlige regler om interopera-

bilitet, herunder kriterier som deltagere i dataområder skal opfylde.

Det følger af artikel 1, stk. 3, i dataforordningen, at dataforordningen finder

anvendelse på:

a) producenter af forbundne produkter, som bringes i omsætning i Uni-

onen, og udbydere af relaterede tjenester, uanset disse producenters

og udbyderes etableringssted

b) brugere i Unionen af forbundne produkter eller relaterede tjenester,

jf. litra a)

c) dataindehavere, uanset deres etableringssted, der stiller data til rå-

dighed for datamodtagere i Unionen

d) datamodtagere i Unionen, som dataene stilles til rådighed for

e) offentlige myndigheder, Kommissionen, Den Europæiske Central-

bank og EU-organer, der anmoder dataindehavere om at stille data

til rådighed, hvis der er et ekstraordinært behov for de pågældende

Side 9/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

data med henblik på udførelse af en specifik opgave i offentlighe-

dens interesse, og de dataindehavere, der leverer disse data som

følge af en sådan anmodning

f) udbydere af databehandlingstjenester, uanset deres etableringssted,

der udbyder sådanne tjenester til kunder i Unionen

g) deltagere i dataområder og leverandører af applikationer, der anven-

der intelligente kontrakter, og personer, hvis erhverv, forretning eller

profession omfatter indførelse af intelligente kontrakter for andre i

forbindelse med gennemførelsen af en aftale.

I dataforordningens artikel 1, stk. 4-10, er der fastsat regler, der angiver,

hvornår og hvordan dataforordningen finder anvendelse inden for en række

nærmere angivne områder og situationer.

2.1.2. Digitaliseringsministeriets overvejelser og den foreslåede

ordning

Dataforordningen kræver indførelse af supplerende bestemmelser om til-

synskompetence (blandt andet i form af beføjelser i relation til håndtering

af klager og undersøgelser af overtrædelser af dataforordningen) og sankti-

onering i national lovgivning. Derfor har lovforslaget til formål at indføre

supplerende regler i forbindelse med tilsynet med håndhævelsen af datafor-

ordningen.

Det er Digitaliseringsministeriets vurdering, at den foreslåede lov vil have

samme anvendelsesområde som dataforordningen. Der henvises i øvrigt til

lovforslagets § 1 og de specielle bemærkninger hertil.

2.2. Udpegning af kompetente myndigheder og samarbejde med andre

myndigheder, herunder Datatilsynet

2.2.1. Gældende ret

Der er på nuværende tidspunkt ikke fastsat regler i dansk ret, som supplerer

og gennemfører dataforordningen, og dermed er der heller ikke fastsat regler

om udpegning af kompetente myndigheder i overensstemmelse med data-

forordningen.

Det følger af dataforordningens artikel 37, stk. 1, at hver medlemsstat skal

udpege én eller flere kompetente myndigheder til at have ansvaret for an-

vendelsen og håndhævelsen af dataforordningen. Dette gælder blandt andet

i forhold til at udføre de opgaver, der er beskrevet i dataforordningens artikel

37, stk. 5.

Side 10/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

Det følger videre af dataforordningens artikel 37, stk. 3, 1. og 2. pkt., at de

tilsynsmyndigheder, der er ansvarlige for at overvåge anvendelsen af data-

beskyttelsesforordningen, er ansvarlige for at overvåge anvendelsen af da-

taforordningen for så vidt angår beskyttelse af personoplysninger, og at ka-

pitel VI og VII i databeskyttelsesforordningen tilsvarende finder anven-

delse.

Såfremt der udpeges flere kompetente myndigheder, er det i henhold til da-

taforordningens artikel 37, stk. 2, et krav, at der også udpeges en datakoor-

dinator for at lette samarbejdet mellem de kompetente myndigheder. Data-

koordinatorens opgaver er beskrevet i dataforordningens artikel 37, stk. 5

og 6. Det fremgår af præambelbetragtning nr. 107, at såfremt der ikke er

udpeget en datakoordinator, bør den kompetente myndighed påtage sig de

opgaver, som datakoordinatoren pålægges i dataforordningen.

Det følger derudover af dataforordningens artikel 37, stk. 8, at kompetente

myndigheder ved udførelsen af deres opgaver og udøvelsen af deres befø-

jelser i henhold til dataforordningen skal være upartiske og frie for udefra-

kommende indflydelse, både direkte og indirekte, og at de hverken må søge

eller modtage instrukser med henblik på enkeltsager fra nogen anden offent-

lig myndighed eller nogen privat part.

2.2.2. Digitaliseringsministeriets overvejelser og den foreslåede

ordning

Digitaliseringsministeriet finder det hensigtsmæssigt at udpege Digitalise-

ringsstyrelsen som kompetent myndighed i henhold til dataforordningens

artikel 37, stk. 1.

Dataforordningen regulerer digitale tjenester samt har til formål at fremme

datakompetence og bevidsthed for brugere og enheder omfattet af datafor-

ordningen. Dataforordningen etablerer en mulighed for at klage over over-

trædelser af dataforordningen samt en mulighed for, at myndigheder af egen

drift kan påse overholdelsen af dataforordningen, jf. artikel 37, stk. 5, i da-

taforordningen. Behandlingen af sager om overtrædelser af dataforordnin-

gen forventes at kræve ekspertise og forståelse for digitaliseringsområdet,

herunder de tekniske aspekter. Dertil kommer, at der vil være behov for at

foretage en vægtning af de hensyn, der gør sig gældende inden for data- og

digitaliseringsområdet, som dataforordningen tilsigter at regulere, herunder

blandt andet at styrke det europæiske indre digitale marked og økonomi.

Digitaliseringsstyrelsen vurderes at have den nødvendige erfaring med og

Side 11/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

indsigt i området, og opgaverne lægger sig i naturlig forlængelse af styrel-

sens eksisterende tilsynsområder og kompetencer.

I forhold til data i form af personoplysninger, fremgår det af dataforordnin-

gens artikel 37, stk. 3, at tilsynsmyndigheder, der er ansvarlige for at over-

våge anvendelsen af databeskyttelsesforordningen, vil være ansvarlige for

at overvåge anvendelsen af dataforordningen for så vidt angår beskyttelse

af personoplysninger. Samtidig fremgår det, at kapitel VI og VII i databe-

skyttelsesforordningen tilsvarende finder anvendelse. Dataforordningen

stiller ikke krav om, at Datatilsynet skal udpeges som kompetent myndighed

i relation til dataforordningen.

Den foreslåede ordning vil medføre, at det alene er Digitaliseringsstyrelsen,

der vil skulle varetage tilsynsopgaverne efter dataforordningen, som tilfal-

der kompetente myndigheder. Datatilsynet vil alene skulle føre tilsyn med

overholdelsen af de eksisterende regler om beskyttelse af personoplysnin-

ger, og der er derfor ikke behov for at tildele Datatilsynet særskilte beføjel-

ser i relation til dataforordningen.

Som følge af samarbejdsforpligtelsen i dataforordningens artikel 37, stk. 5,

litra g, vil Digitaliseringsstyrelsen i praksis skulle arbejde tæt sammen med

andre myndigheder, navnlig i relation til behandlingen af klager om over-

trædelser af dataforordningen. Dette gælder særligt i relation til Datatilsynet

som følge af samspillet mellem dataforordningen og de eksisterende regler

om beskyttelse af personoplysninger, jf. blandt andet artikel 1, stk. 5, og

artikel 37, stk. 3, i dataforordningen.

Ordningen afspejler den politiske beslutning om at udpege Digitaliserings-

styrelsen som central myndighed i relation til dataforordningen.

Som følge af at Digitaliseringsstyrelsen udpeges som eneste kompetent

myndighed, er der ikke behov for at udpege en datakoordinator, idet Digita-

liseringsstyrelsen vil varetage de opgaver, som pålægges datakoordinatoren

i dataforordningen, jf. dataforordningens præambelbetragtning nr. 107.

Det foreslås derfor med lovforslagets § 2, stk. 1, at Digitaliseringsstyrelsen

udpeges som kompetent myndighed i henhold til dataforordningens artikel

37, stk. 1.

Der henvises til lovforslagets § 2 og de specielle bemærkninger hertil.

Side 12/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

Digitaliseringsministeriet foreslår, at dataforordningens artikel 37, stk. 8,

gengives i den foreslåede § 4, dog således at indholdet af artiklen udvides

til også at omfatte den foreslåede lov. Dataforordningen stiller krav til myn-

digheders upartiskhed i relation til at undgå udefrakommende indflydelse.

Ordningen vil medføre, at Digitaliseringsstyrelsen bliver uafhængig i hånd-

teringen af sager efter dataforordningen samt den foreslåede lov. Det be-

mærkes, at der af dataforordningens ordlyd ikke stilles særlige krav i forhold

til kompetente myndigheders funktionelle uafhængighed. Da dataforordnin-

gen ikke stiller krav til, hvordan kompetente myndigheder organisatorisk

skal indrettes, vurderes det som unødigt indgribende at pålægge specifikke

rammer for, hvordan forpligtelsen vedrørende upartiskhed i relation til at

undgå udefrakommende indflydelse skal løftes internt. Bestemmelsen skal

derudover ses i sammenhæng med lovforslagets § 4, stk. 2, hvor administra-

tiv rekurs afskæres. Den foreslåede bestemmelse skal sikre overensstem-

melse med kravene i dataforordningens artikel 37, stk. 8, herunder ved at

afskæreministeren for digitaliserings instruktionsbeføjelser i relation til Di-

gitaliseringsstyrelsens behandling af sager efter dataforordningen samt den

foreslåede lov.

Der henvises i øvrigt til lovforslagets § 4 og de specielle bemærkninger her-

til.

2.3. Certificering af tvistbilæggelsesorganer

2.3.1. Gældende ret

Der er på nuværende tidspunkt ikke fastsat regler i dansk ret, som supplerer

og gennemfører dataforordningen, og dermed er der heller ikke fastsat nær-

mere regler om certificering af tvistbilæggelsesorganer i overensstemmelse

med dataforordningen.

Dataforordningens artikel 10 indeholder bestemmelser vedrørende tvistbi-

læggelsesorganer, herunder om adgang til tvistbilæggelsesorganer for bru-

gere, dataindehavere og datamodtagere samt kunder og udbydere af databe-

handlingstjenester, jf. artikel 10, stk. 1 og 4, i dataforordningen, og om be-

tingelser for certificering, jf. artikel 10, stk. 5, i dataforordningen.

Medlemsstater, hvor et tvistbilæggelsesorgan er etableret, pålægges i data-

forordningens artikel 10, stk. 5, at kunne certificere et sådant organ efter

anmodning, hvis følgende betingelser er opfyldt:

Side 13/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

a) det er upartisk og uafhængigt, og det skal træffe sine afgørelser i

overensstemmelse med klare, ikkeforskelsbehandlende og fair pro-

cedureregler

b) det har den nødvendige ekspertise, navnlig med hensyn til fair, ri-

melige og ikkeforskelsbehandlende vilkår og betingelser, herunder

godtgørelse, og om at stille data til rådighed på en gennemsigtig

måde, således at organet effektivt kan fastsætte disse vilkår og be-

tingelser

c) det er let at kontakte ved hjælp af elektronisk kommunikation

d) det er i stand til at vedtage sine afgørelser på en hurtig og omkost-

ningseffektiv måde på mindst ét af Unionens officielle sprog

Af præambelbetragtning nr. 52, i dataforordningen følger, at det står med-

lemsstaterne frit for at vedtage eventuelle særlige regler for certificerings-

proceduren, herunder certificeringens udløb eller tilbagekaldelse, og at be-

stemmelserne i dataforordningen om tvistbilæggelse ikke bør forpligte med-

lemsstaterne til at oprette tvistbilæggelsesorganer.

Dataforordningens artikel 10 giver således medlemsstaterne mulighed for at

fastsætte nærmere regler vedrørende certificering, men den indebærer ikke

en forpligtelse til at oprette et tvistbilæggelsesorgan.

2.3.2. Digitaliseringsministeriets overvejelser og den foreslåede

ordning

Dataforordningens artikel 10 pålægger medlemsstater at kunne certificere et

tvistbilæggelsesorgan efter anmodning, såfremt tvistbilæggelsesorganet er

etableret i den pågældende medlemsstat. Forpligtelsen til at kunne certifi-

cere pålægges i dataforordningen ikke de kompetente myndigheder. Da Di-

gitaliseringsstyrelsen ikke har erfaring med etablering eller certificering af

tvistbilæggelsesorganer, vil det være nærliggende, at Digitaliseringsstyrel-

sen i samarbejde med myndigheder, der har erfaring hermed, udarbejder

regler, der blandt andet nærmere specificerer, hvem der kan certificere et

tvistbilæggelsesorgan, hvordan ansøgning skal indgives, samt hvordan be-

tingelserne i dataforordningens artikel 10 skal forstås.

Det foreslås derfor med lovforslagets § 3, at ministeren for digitalisering

efter aftale med vedkommende minister kan fastsætte regler vedrørende cer-

tificering af tvistbilæggelsesorganer efter dataforordnings artikel 10.

Der henvises til lovforslagets § 3 og de specielle bemærkninger hertil.

Side 14/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

2.4. De kompetente myndigheders opgaver og beføjelser mv.

2.4.1. Gældende ret

Der er på nuværende tidspunkt ikke fastsat regler i dansk ret, som supplerer

og gennemfører dataforordningen. Dermed er der heller ikke fastsat nær-

mere regler om, hvilke konkrete opgaver de kompetente myndigheder skal

varetage, ligesom der ikke er fastsat regler om beføjelser og sanktionsmu-

ligheder i forhold til at håndtere overtrædelser af dataforordningen.

Det fremgår af dataforordningens artikel 37, stk. 1, at kompetente myndig-

heder har ansvaret for anvendelsen og håndhævelsen af dataforordningen.

Dataforordningens artikel 37, stk. 5, indeholder en nærmere oplistning af,

hvilke opgaver, som kompetente myndigheder skal varetage, samt hvilke

beføjelser, som de skal have.

Såfremt der ikke er udpeget en datakoordinator, bør den kompetente myn-

dighed påtage sig de opgaver, som datakoordinatoren pålægges i datafor-

ordningen, jf. præambelbetragtning nr. 107, i dataforordningen. Datakoor-

dinatorens opgaver er nærmere beskrevet i dataforordningens artikel 37, stk.

5, sidste pkt. og stk. 6.

Ifølge dataforordningens artikel 37, stk. 14, skal kompetente myndigheder

have beføjelse til at anmode brugere, dataindehavere eller datamodtagere

samt deres retlige repræsentanter, der hører under deres medlemsstats kom-

petence, om alle oplysninger, som er nødvendige for at kontrollere efterle-

velsen af dataforordningen. Enhver anmodning om oplysninger skal stå i

rimeligt forhold til, hvad den underliggende opgave kræver, og være be-

grundet.

Bestemmelsen suppleres af præambelbetragtning nr. 107, i dataforordnin-

gen, hvorefter kompetente myndigheder gennem udøvelsen af deres befø-

jelser i overensstemmelse med gældende nationale procedurer bør kunne

søge efter og opnå oplysninger, navnlig vedrørende enheders aktiviteter in-

den for deres kompetence. Det følger af dataforordningens artikel 37, stk.

10, første pkt., at enheder, der er omfattet af dataforordnings anvendelses-

område, er underlagt kompetencen i den medlemsstat, hvor enheden er etab-

leret. Hvis en enhed er etableret i mere end én medlemsstat, anses den for at

høre under kompetencen i den medlemsstat, hvor den har sin hovedvirksom-

hed, jf. artikel 37, stk. 10, sidste pkt., i dataforordningen. Såfremt en enhed

Side 15/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

ikke er etableret i Unionen, anses enheden for at høre under den medlems-

stats kompetence, hvor dens retlige repræsentant befinder sig, jf. artikel 37,

stk. 13, første pkt., i dataforordningen.

Ifølge dataforordningens artikel 37, stk. 5, litra f, skal kompetente myndig-

heder samarbejde med andre medlemsstaters kompetente myndigheder og

Kommissionen eller European Data Innovation Board (EDIB) for at sikre

ensartet og effektiv anvendelse af dataforordningen, herunder udveksling af

alle relevante oplysninger ad elektronisk vej uden unødigt ophold.

2.4.2. Digitaliseringsministeriets overvejelser og den foreslåede

ordning

Digitaliseringsstyrelsen vil som eneste kompetente myndighed efter data-

forordningen skulle varetage de opgaver, der nærmere er angivet i datafor-

ordningens artikel 37, stk. 5 og 6.

Den foreslåede ordning vil medføre, at Digitaliseringsstyrelsen blandt andet

vil skulle behandle alle klagesager i relation til påståede overtrædelser af

dataforordningen, jf. artikel 37, stk. 5, litra b, i dataforordningen. Derudover

vil Digitaliseringsstyrelsen kunne tage sager op af egen drift for at under-

søge om dataforordningen overholdes, jf. artikel 37, stk. 5, litra c, i datafor-

ordningen. I overensstemmelse med dataforordningens artikel 39, stk. 2, og

dansk rets almindelige principper om domstolsprøvelse, vil Digitaliserings-

styrelsens undladelse af at behandle en klage kunne indbringes for domsto-

lene.

Idet Digitaliseringsstyrelsen udpeges som den eneste kompetente myndig-

hed, er der ikke behov for at udpege en datakoordinator. De opgaver, som

datakoordinatoren skal varetage efter dataforordningens artikel 37, stk. 6,

vil blive varetaget af Digitaliseringsstyrelsen i overensstemmelse med præ-

ambelbetragtning nr. 107, i dataforordningen.

Dataforordningens artikel 37, stk. 14, og præambelbetragtning nr. 107, un-

derstreger et behov for, at kompetente myndigheder i forbindelse med hånd-

hævelsen af forordningen bør kunne opnå oplysninger fra relevante retssub-

jekter i relation til dataforordningen. Derudover fastsættes der ikke yderli-

gere specifikke krav til, hvilke nærmere bestemte undersøgelsesbeføjelser,

som kompetente myndigheder skal have.

For at kunne påse overholdelsen af dataforordningen, herunder gennem kla-

gesagsbehandling samt egen drift-sager, finder Digitaliseringsministeriet

Side 16/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

det nødvendigt, at Digitaliseringsstyrelsen får mulighed for at indhente op-

lysninger. For at kunne håndhæve dataforordningen i sin helhed vil det være

nødvendigt at kunne kræve oplysninger fra alle retssubjekter, der er omfattet

af forordningen. Det findes derfor hensigtsmæssigt, at der kan anmodes om

oplysninger fra fysiske og juridiske personer omfattet af artikel 1, stk. 3,

litra a-g, i dataforordningen, retlige repræsentanter omfattet af artikel 37,

stk. 11, i dataforordningen, samt gatekeepere omfattet af artikel 3, i forord-

ningen om åbne og fair markeder i den digitale sektor. Oplysningerne vil i

overensstemmelse med dataforordningens artikel 37, stk. 14 og almindelig

dansk forvaltningsret alene kunne indhentes, såfremt indhentelse af oplys-

ningerne er begrundet og proportionalt i forhold til formålet.

Digitaliseringsstyrelsen finder det desuden nødvendigt, at Digitaliserings-

styrelsen i forbindelse med sagsbehandling kan videregive oplysninger til

andre myndigheder i Danmark såvel som kompetente myndigheder i andre

medlemsstater samt Europa-Kommissionen, herunder oplysninger undergi-

vet tavshedspligt. Videregivelse af oplysninger i henhold til lovforslaget og

dataforordningen skal ske i overensstemmelse med gældende lovgivning,

herunder reglerne i databeskyttelsesforordningen, databeskyttelsesloven

samt forvaltningsloven.

Der henvises til lovforslagets §§ 2, 5 og 6 og de specielle bemærkninger

hertil.

2.5. Sanktioner

2.5.1. Gældende ret

Det fremgår af dataforordningens artikel 40, stk. 1, at medlemsstaterne fast-

sætter regler om sanktioner, der skal anvendes i tilfælde af overtrædelser af

dataforordningen, og træffer alle nødvendige foranstaltninger for at sikre, at

de anvendes. Sanktionerne skal være effektive, stå i et rimeligt forhold til

overtrædelsen og have afskrækkende virkning. Bestemmelsen suppleres af

præambelbetragtning nr. 109, hvorefter kompetente myndigheder bør sikre,

at overtrædelser af de forpligtelser, der er fastsat i dataforordning, er under-

lagt sanktioner, og at sådanne sanktioner kan omfatte økonomiske sanktio-

ner, advarsler, irettesættelser eller påbud om at bringe forretningspraksis i

overensstemmelse med forpligtelserne pålagt ved dataforordningen.

Ved pålæggelse af sanktioner for overtrædelser af dataforordningen er det i

dataforordningens artikel 40, stk. 3, præciseret, at der skal tages hensyn til

anbefalingerne fra EDIB, samt følgende ikkeudtømmende kriterier:

Side 17/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

a) overtrædelsens art, grovhed, omfang og varighed

b) eventuelle tiltag, som den overtrædende part har truffet for at afbøde

eller afhjælpe den skade, der er forårsaget af overtrædelsen

c) den overtrædende parts eventuelle tidligere overtrædelser

d) de økonomiske fordele eller tab, som den overtrædende part har op-

nået eller undgået som følge af overtrædelsen, for så vidt som disse

fordele eller tab kan fastslås på en pålidelig måde

e) eventuelle andre skærpende eller formildende faktorer i lyset af sa-

gens omstændigheder

f) den overtrædende parts årlige omsætning i det foregående regn-

skabsår i Unionen

Endelig er det nærmere angivet i dataforordningens artikel 37, stk. 5, litra d,

at kompetente myndigheder skal kunne pålægge økonomiske sanktioner el-

ler indlede retsforfølgning med henblik på at pålægge bøder.

2.5.2. Digitaliseringsministeriets overvejelser og den foreslåede

ordning

Digitaliseringsministeriet vurderer, at det, med henblik på at sikre at der le-

ves op til forpligtelsen i dataforordningens artikel 40, stk. 1, er nødvendigt,

at der fastsættes bestemmelser om kritik, påbud, offentliggørelse samt bø-

der.

Det foreslås som følge heraf, at Digitaliseringsstyrelsen vil kunne udtale kri-

tik af fysiske og juridiske personer omfattet af artikel 1, stk. 3, litra a-g, i

dataforordningen, samt af gatekeepere omfattet af artikel 3, i forordningen

om digitale markeder. Muligheden for at udtale kritik vil navnlig være rele-

vant, hvor en overtrædelse efter en samlet vurdering anses for at udgøre en

mindre alvorlig overtrædelse. Det kunne f.eks. være i sager om manglende

efterlevelse af en underretningspligt. Herudover vil muligheden for at udtale

kritik kunne være relevant i forhold til overtrædelser, hvor det konkret vur-

deres, at meddelelse af et påbud efter lovforslagets § 9 ikke vil kunne rette

op på forholdet.

Desuden foreslås det, at Digitaliseringsstyrelsen vil kunne meddele påbud.

Det er Digitaliseringsministeriets vurdering, at det er hensigtsmæssigt, at

Digitaliseringsstyrelsen som kompetent myndighed skal kunne udstede på-

bud til retssubjekter, som dataforordningen pålægger forpligtelser, jf. artikel

1, stk. 3, i dataforordningen, samt artikel 5, stk. 3, i dataforordningen, jf.

artikel 3, i forordningen om digitale markeder, for at sikre overholdelsen af

forpligtelserne i medfør af dataforordningen. Påbud vil både kunne angå, at

Side 18/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

retssubjekter skal udføre en handling eller bringe en handling til ophør, som

dataforordningen forpligter retssubjekter til. Påbud vil blandt andet kunne

omhandle nedsættelse af gebyr i overensstemmelse med den gradvise fjer-

nelse af skiftegebyrer efter dataforordningens artikel 29 eller nedsættelse af

godtgørelse for at stille data til rådighed i overensstemmelse med datafor-

ordningens artikel 9.

Det foreslås herudover, at Digitaliseringsstyrelsen som en nødvendig og ef-

fektiv sanktion kan offentliggøre sine afgørelser i sager om overtrædelser af

dataforordningen eller nærværende lovforslag, når samfundsmæssige hen-

syn taler for offentliggørelse. Offentliggørelse kan, udover at fungere som

sanktion, indgå som led i Digitaliseringsstyrelsens opgave med at fremme

datakompetence og -bevidsthed, jf. artikel 37, stk. 5, litra a, i dataforordnin-

gen. Offentliggørelse kan tjene som vejledning, idet offentligheden bliver

oplyst om, at en praksis, handling eller undladelse udgør en overtrædelse af

dataforordningen eller lovforslaget. Det vurderes på den baggrund, at den

foreslåede bestemmelse i § 8 både tjener et formål i relation til dataforord-

ningens artikel 37, stk. 5, litra a, og artikel 40, stk. 1. Det bemærkes, at der

ikke vil være tale om systematisk offentliggørelse, men alene offentliggø-

relse baseret på en konkret vurdering af sagens omstændigheder.

I den forbindelse bemærkes det, at visse fortrolige oplysninger ikke vil

kunne offentliggøres som led i offentliggørelse af Digitaliseringsstyrelsens

afgørelser eller udtalelser. Dette gælder blandt andet oplysninger om tekni-

ske indretninger, fremgangsmåder, drifts- eller forretningsforhold eller lig-

nende, for så vidt det er af væsentlig økonomisk betydning for den person

eller virksomhed, som oplysningerne angår, at oplysningerne ikke videregi-

ves. Offentliggørelse vil desuden være underlagt fortrolighedsreglerne fast-

lagt i dataforordningen, herunder dataforordningens artikel 37, stk. 16.

For så vidt angår bødesanktioner, er det Digitaliseringsministeriets vurde-

ring, at bøder for overtrædelser af dataforordningens bestemmelser efter

dansk ret vil skulle fastsættes som en strafferetlig sanktion.

Det foreslås herudover, at det i lovforslaget angives, hvilke bestemmelser i

dataforordningen der er strafbelagt ved overtrædelse. Der vil på den måde

kunne skabes et overblik over, hvilke bestemmelser, der er strafferetligt

sanktioneret. På den baggrund foreslås det, at overtrædelse af følgende be-

stemmelser i dataforordningen skal kunne sanktioneres med bøde, medmin-

dre højere straf er forskyldt efter anden lovgivning: artikel 3, artikel 4, stk.

1, 2, 4-8, 10, 11, 13 eller 14, artikel 5, stk. 1, 3-6 eller 9-11, artikel 6, stk. 1

Side 19/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

eller 2, artikel 8, stk. 4, artikel 11, artikel 14, artikel 23, artikel 25-28, artikel

29, stk. 1-6, artikel 30, artikel 31, stk. 3 eller artikel 32, stk. 1, 4 eller 5.

Herudover foreslås det, at overtrædelse af følgende også vil skulle kunne

sanktioneres med bøde, medmindre højere straf er forskyldt efter anden lov-

givning:

Undladelse af at efterkomme Digitaliseringsstyrelsens krav efter

lovforslagets § 5.

Afgivelse af ukorrekte, ufuldstændige eller vildledende oplysninger

til Digitaliseringsstyrelsen efter lovforslagets § 5.

Undladelse af at efterleve et påbud meddelt i medfør af lovforslagets

§ 9.

Det er endvidere Digitaliseringsministeriets vurdering, at det er mest hen-

sigtsmæssigt, hvis forældelsesfristen for overtrædelser af den foreslåede lov

eller dataforordningen fastsættes til 5 år. Dette under hensyntagen til, at de

omfattede straffesager kan antage en vis størrelse og kompleksitet, herunder

gennem inddragelse af kompetente myndigheder i andre EU-lande.

Der henvises til lovforslagets §§ 7-10 og de specielle bemærkninger hertil.

3. Forholdet til databeskyttelsesforordningen og databeskyttelsesret-

ten

Digitaliseringsstyrelsens behandling af personoplysninger er reguleret af

databeskyttelsesforordningen samt lov nr. 502 af 23. maj 2018 om supple-

rende bestemmelser til forordningen om beskyttelse af fysiske personer i

forbindelse med behandling af personoplysninger og om fri udveksling af

sådanne oplysninger (databeskyttelsesloven) med senere ændringer. Det

forudsættes med den foreslåede ordning, at Digitaliseringsstyrelsen som led

i sagsbehandlingen vil skulle behandle personoplysninger. Digitaliserings-

styrelsen er dataansvarlig for den del af behandlingen af personoplysninger,

der foregår i Digitaliseringsstyrelsen.

Det forslås i lovforslaget, at Digitaliseringsstyrelen kan afkræve alle oplys-

ninger, som skønnes nødvendige for Digitaliseringsstyrelsens tilsynsvirk-

somhed, herunder til fastlæggelse af, om et forhold hører under Digitalise-

ringsstyrelsens kompetence, fra fysiske og juridiske personer omfattet af ar-

tikel 1, stk. 3, litra a-g, i dataforordningen, retlige repræsentanter omfattet

af artikel 37, stk. 11, i dataforordningen, samt artikel 3, i forordningen om

digitale markeder.

Side 20/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

Ifølge databeskyttelsesforordningens artikel 6, stk. 2 og 3, er det muligt at

implementere mere specifikke bestemmelser, der tilpasser anvendelsen af

artikel 6, stk. 1, litra c, og artikel 6, stk. 1, litra e. Den foreslåede bestem-

melse i § 5 udgør således supplerende retsgrundlag til databeskyttelsesfor-

ordningens artikel 6, stk. 1 litra e.

I det omfang Digitaliseringsstyrelsen som led i sagsbehandlingen undtagel-

sesvist vil komme til at behandle følsomme oplysninger omfattet af databe-

skyttelsesforordningens artikel 9, vil behandlingen i sådanne tilfælde være

nødvendig af hensyn til væsentlige samfundsinteresser, som angivet i data-

beskyttelsesforordningens artikel 9, stk. 2, litra g. Behandlingen vurderes

hertil nødvendig for, at Digitaliseringsstyrelsen kan løfte tilsynsforpligtel-

sen i henhold til artikel 37, stk. 1, i dataforordningen.

Det vurderes, at den foreslåede bestemmelse er proportional i forhold til de

legitime mål og respekterer det væsentligste indhold af retten til databeskyt-

telse, da behandlingen er betinget af nødvendighed.

Det foreslås endvidere i lovforslagets § 8, at Digitaliseringsstyrelsen kan

offentliggøre sine afgørelser i sager om overtrædelse af dataforordningen.

Offentliggørelsesordningen kan i nogle tilfælde medføre, at oplysninger,

som omfattes af databeskyttelsesforordningens artikel 10, offentliggøres.

Den foreslåede bestemmelse udgør således supplerende retsgrundlag til da-

tabeskyttelsesforordningens artikel 10.

Digitaliseringsministeriet vurderer, at de samfundsmæssige hensyn bag of-

fentliggørelse er tilstrækkeligt tungtvejende til at etablere en offentliggørel-

sesordning. Offentliggørelse i henhold til den foreslåede § 8 vil dog kun

være nødvendig, når offentliggørelsen sker af hensyn til varetagelsen af pri-

vate eller offentlige interesser, der klart overstiger hensynet til de interesser,

der begrunder hemmeligholdelse af oplysningerne. Det bemærkes, at der

ikke vil være tale om systematisk offentliggørelse, men alene offentliggø-

relse baseret på en konkret vurdering af sagens omstændigheder.

Digitaliseringsstyrelsen er endvidere berettiget – og efter omstændighe-

derne også forpligtet – til at undlade at offentliggøre oplysninger fra sager,

som tilsynet har behandlet, hvis offentlighedens interesse i at få kendskab

til oplysningerne findes at burde vige for afgørende hensyn til private og

offentlige interesser. I tvivlstilfælde vil det være naturligt at indhente en ud-

talelse herom fra den dataansvarlige, som er part i sagen, og eventuelt tillige

fra den registrerede.

Side 21/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

Digitaliseringsministeriet skal afslutningsvist bemærke, at det forudsættes,

at de øvrige bestemmelser i databeskyttelsesforordningen og databeskyttel-

sesloven, herunder de grundlæggende principper i databeskyttelsesforord-

ningens artikel 5, også iagttages, når der behandles personoplysninger i

medfør af de forslåede bestemmelser.

Der henvises i øvrigt til lovforslagets §§ 5 og 8 samt de specielle bemærk-

ninger hertil.

4. Økonomiske konsekvenser og implementeringskonsekvenser for det

offentlige

Det bemærkes overordnet, at lovforslaget supplerer dataforordningen, som

har økonomiske konsekvenser og implementeringskonsekvenser for det of-

fentlige

Lovforslaget forventes på den baggrund ikke i sig selv at have økonomiske

konsekvenser eller implementeringskonsekvenser for det offentlige af be-

tydning.

Dataforordningen har økonomiske konsekvenser for Digitaliseringsstyrel-

sen, der som kompetent myndighed skal føre tilsyn på baggrund heraf. De

økonomiske konsekvenser kan dog ikke henføres til lovforslaget. De for-

øgede udgifter vedrører løn til medarbejdere, der varetager tilsyns- og hånd-

hævelsesopgaver i relation til dataforordningen, samt til almindeligt kontor-

hold, herunder it-understøttelse, efteruddannelse, rejseudgifter ved delta-

gelse i internationalt arbejde m.v. Dette omfatter navnlig udgifter, som Di-

gitaliseringsstyrelsen skal afholde i forbindelse med tilsynet med de forskel-

lige forpligtelser i dataforordningen.

Dataforordningen medfører desuden forventeligt øgede omkostninger for

Datatilsynet, som konsekvens af et øget antal sager hos Datatilsynet samt

behov for tæt koordinering med Digitaliseringsstyrelsen i relation til be-

handling af en række tilsynssager inden for dataforordningens anvendelses-

område. Dette som følge af, at flere af dataforordningens bestemmelser om

rettigheder forudsætter overholdelse af databeskyttelsesforordningen.

For så vidt angår lovforslagets bemyndigelsesbestemmelser vil der i forbin-

delse med udstedelsen af eventuelle bekendtgørelser blive foretaget en vur-

dering af eventuelle økonomiske konsekvenser og implementeringskonse-

kvenser for det offentlige.

Side 22/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

Digitaliseringsministeriet har herudover overvejet, hvorvidt lovforslaget

følger de syv principper for digitaliseringsklar lovgivning. Da lovforslaget

fungerer som et forordningsbestemt supplement til dataforordningen, har

det ikke selvstændig relevans i forbindelse med de syv principper. Der er

heller ikke foreslået yderligere supplerende bestemmelser, som kunne være

relevante i denne sammenhæng. Det bemærkes dog, at det supplerende lov-

forslag er udformet således, at de syv principper for digitaliseringsklar lov-

givning iagttages i videst muligt omfang.

5. Økonomiske og administrative konsekvenser for erhvervslivet m.v.

Det bemærkes overordnet, at lovforslaget supplerer dataforordningen, som

har økonomiske og administrative konsekvenser for erhvervslivet mv.

For så vidt angår lovforslagets bemyndigelsesbestemmelser vil der i forbin-

delse med udstedelsen af eventuelle bekendtgørelser blive foretaget en vur-

dering af eventuelle økonomiske og administrative konsekvenser for er-

hvervslivet mv.

Lovforslaget har været sendt til Erhvervsstyrelsens Område for Bedre Re-

gulering (OBR), der på det foreliggende grundlag har vurderet, at lovforsla-

get medfører administrative konsekvenser i form af omkostninger for er-

hvervslivet. De løbende administrative konsekvenser knytter sig til lov-

forslagets § 5 og anmodning om oplysninger i tilfælde af tilsyn med regel-

efterlevende virksomheder.

På baggrund af ovenstående vurderes det, at de samlede administrative kon-

sekvenserne ikke overstiger bagatelgrænsen for forelæggelsen for Regerin-

gens økonomiudvalg på 4 mio. kr., hvorfor de ikke kvantificeres nærmere.

Lovforslaget har desuden ikke i sig selv innovations- og iværksættermæs-

sige konsekvenser. Det vurderes ikke at være nødvendigt at gennemføre in-

novations- og iværksættertjekket.

6. Administrative konsekvenser for borgerne

Lovforslaget supplerer dataforordningen, som har administrative konse-

kvenser for borgerne.

Lovforslaget forventes på den baggrund ikke i sig selv at have administra-

tive konsekvenser for borgerne af betydning.

7. Klimamæssige konsekvenser

Lovforslaget medfører ikke klimamæssige konsekvenser.

Side 23/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

8. Miljø- og naturmæssige konsekvenser

Lovforslaget medfører ikke miljø- og naturmæssige konsekvenser.

9. Forholdet til EU-retten

Lovforslaget fastsætter supplerende bestemmelser til Europa-Parlamentets

og Rådets forordning (EU) 2023/2854 af 13. december 2023 om fair adgang

til og anvendelse af data og om ændring af forordning (EU) 2017/2394 og

direktiv (EU) 2020/1828, EU-Tidende 2023, nr. L af 22. december 2023.

Dataforordningen finder anvendelse i Danmark fra den 12. september 2025,

dog med en række nærmere, specifikke undtagelser, hvorfor fastsættelsen af

de supplerende bestemmelser vil være forsinket.

10. Hørte myndigheder og organisationer m.v.

[Udfyldes efter høring]

…

11. Sammenfattende skema

Positive konsekvenser/mindre-

udgifter (hvis ja, angiv om-

fang/hvis nej, anfør »Ingen«)

Økonomiske

konsekvenser

for stat, kommu-

ner og regioner

Implemente-

ringskonse-

kvenser for stat,

kommuner og

regioner

Økonomiske

konsekvenser

for erhvervsli-

vet m.v.

Ingen

Negative konsekvenser/merudgifter

(hvis ja, angiv omfang/hvis nej, anfør

»Ingen«)

Ingen

Side 24/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

Administrative

konsekvenser

for erhvervsli-

vet m.v.

Administrative

konsekvenser

for borgerne

Klimamæssige

konsekvenser

Miljø- og natur-

mæssige konse-

kvenser

Forholdet til

EU-retten

Er i strid med

de fem princip-

per for imple-

mentering af er-

hvervsrettet

EU-regulering

(der i relevant

omfang også

gælder ved im-

plementering af

ikke-erhvervs-

rettet EU-regu-

lering) (sæt X)

Ingen

Lovforslaget fastsætter supplerende bestemmelser til dataforordningen.

Nej

Side 25/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

Bemærkninger til lovforslagets enkelte bestemmelser

Til § 1

Der er på nuværende tidspunkt ikke fastsat regler i dansk ret, som supplerer

dataforordningen.

Det foreslås i

§ 1,

at loven supplerer Europa-Parlamentets og Rådets forord-

ning (EU) 2023/2854 af 13. december 2023 om fair adgang til og anvendelse

af data og om ændring af forordning (EU) 2017/2394 og direktiv (EU)

2020/1828 (dataforordningen), jf. bilag 1.

Til § 2

Der er på nuværende tidspunkt ikke fastsat regler i dansk ret om udpegning

af kompetente myndigheder i henhold til artikel 37, stk. 1, i dataforordnin-

gen, eller om kompetente myndigheders opgaver i henhold til dataforord-

ningen.

Det følger af artikel 37, stk. 1, i dataforordningen, at hver medlemsstat ud-

peger én eller flere kompetente myndigheder til at have ansvaret for anven-

delsen og håndhævelsen af dataforordningen, og at medlemsstaterne kan op-

rette en eller flere nye myndigheder eller forlade sig på eksisterende myn-

digheder.

For så vidt angår personoplysninger følger det af dataforordningens artikel

37, stk. 3, 1. og 2. pkt., at de tilsynsmyndigheder, der er ansvarlige for at

overvåge anvendelsen af databeskyttelsesforordningen, er ansvarlige for at

overvåge anvendelsen af dataforordningen for så vidt angår beskyttelse af

personoplysninger, og at kapitel VI og VII i databeskyttelsesforordningen

tilsvarende finder anvendelse.

Det følger endvidere af dataforordningens artikel 37, stk. 2, første pkt., at

hvis en medlemsstat udpeger mere end én kompetent myndighed, udpeger

den en datakoordinator blandt dem for at lette samarbejdet mellem de kom-

petente myndigheder og for at bistå enheder inden for dataforordningens

anvendelsesområde i forbindelse med alle spørgsmål vedrørende datafor-

ordningens anvendelse og håndhævelse. Ved udøvelsen af de opgaver og

beføjelser, som de kompetente myndigheder er tillagt, samarbejder de kom-

petente myndigheder med hinanden, jf. artikel 37, stk. 2, sidste pkt., i data-

forordningen.

Side 26/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

Desuden følger det af artikel 37, stk. 5, i dataforordningen, at medlemssta-

terne sikrer, at opgaverne og beføjelserne for de kompetente myndigheder

er klart definerede og omfatter at:

a) fremme datakompetence og -bevidsthed blandt brugere og enheder,

der er omfattet af dataforordnings anvendelsesområde, om rettighe-

der og forpligtelser i henhold til dataforordningen

b) behandle klager over påståede overtrædelser af dataforordningen,

herunder vedrørende forretningshemmeligheder, og, for så vidt det

er hensigtsmæssigt, undersøge genstanden for klagen og løbende un-

derrette klagerne, hvis det er relevant i henhold til national ret, om

forløbet og resultatet af undersøgelsen inden for en rimelig frist,

navnlig hvis yderligere undersøgelse eller koordinering med en an-

den kompetent myndighed er nødvendig

c) foretage undersøgelser om spørgsmål, der vedrører anvendelsen af

dataforordningen, herunder på grundlag af oplysninger, der er mod-

taget fra en anden kompetent myndighed eller en anden offentlig

myndighed

d) pålægge økonomiske sanktioner, der er effektive, står i et rimeligt

forhold til overtrædelsen og har afskrækkende virkning, og som kan

omfatte periodiske sanktioner og sanktioner med tilbagevirkende

kraft, eller indlede retsforfølgning med henblik på at pålægge bøder

e) overvåge den teknologiske og relevante kommercielle udvikling af

relevans for tilrådighedsstillelsen og anvendelsen af data

f) samarbejde med andre medlemsstaters kompetente myndigheder og,

hvis det er relevant, Europa-Kommissionen eller EDIB for at sikre

ensartet og effektiv anvendelse af dataforordningen, herunder ud-

veksling af alle relevante oplysninger ad elektronisk vej uden unø-

digt ophold, herunder med hensyn til dataforordningens artikel 37,

stk. 10

g) samarbejde med de relevante kompetente myndigheder, der er an-

svarlige for gennemførelsen af andre EU-retsakter eller nationale

retsakter, herunder med myndigheder med kompetence inden for

områderne data og elektroniske kommunikationstjenester, med den

tilsynsmyndighed, der er ansvarlig for at overvåge anvendelsen af

forordning (EU) 2016/679, eller med sektormyndigheder for at sikre,

at dataforordningen håndhæves i overensstemmelse med anden EU-

ret og national ret

Side 27/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

h) samarbejde med de relevante kompetente myndigheder for at sikre,

at forpligtelserne i dataforordningens artikel 23-31, 34 og 35 hånd-

hæves i overensstemmelse med anden EU-ret og selvregulering, der

gælder for udbydere af databehandlingstjenester

i) sikre, at skiftegebyrer mellem udbydere af databehandlingstjenester

fjernes i overensstemmelse med dataforordningens artikel 29

behandle anmodninger om data fremsat i henhold til dataforordnin-

gens kapitel V.

Yderligere følger det af artikel 37, stk. 5, sidste pkt. at hvis der er udpeget

en datakoordinator, letter denne det i litra f, g og h, omhandlede samarbejde

og bistår de kompetente myndigheder på deres anmodning.

Herudover følger det af dataforordningens artikel 37, stk. 6, at datakoordi-

natoren skal:

a) fungere som et enkelt kontaktpunkt for alle spørgsmål vedrørende

dataforordningens anvendelse

b) sikre offentlig onlineadgang til offentlige myndigheders anmodnin-

ger om at stille data til rådighed i tilfælde af ekstraordinært behov i

henhold til dataforordningens kapitel V og fremme frivillige aftaler

om datadeling mellem offentlige myndigheder og dataindehavere

c) underrette Kommissionen hvert år om de afslag, der er meddelt i

henhold til dataforordningens artikel 4, stk. 2 og 8, og artikel 5, stk.

11.

Af præambelbetragtning nr. 107, i dataforordningen, følger derudover, at

hvis der ikke er udpeget nogen datakoordinator, bør den kompetente myn-

dighed påtage sig de opgaver, som datakoordinatoren pålægges i henhold til

dataforordningen.

Det foreslås i

stk. 1,

at Digitaliseringsstyrelsen udpeges som kompetent

myndighed, jf. artikel 37, stk. 1, i dataforordningen.

Med den foreslåede bestemmelse udpeges Digitaliseringsstyrelsen som

kompetent myndighed, og det sikres hermed, at kravet i dataforordningens

artikel 37, stk. 1, om at udpege mindst én kompetent myndighed er iagttaget.

Den foreslåede bestemmelse vil medføre, at Digitaliseringsstyrelsen som

kompetent myndighed vil blive ansvarlig for at udføre opgaverne, der er

oplistet i dataforordningens artikel 37, stk. 5 og 6.

Side 28/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

Kommissionen vil skulle underrettes om udpegningen af Digitaliseringssty-

relsen som kompetent myndighed, og om Digitaliseringsstyrelsens opgaver

og beføjelser, jf. artikel 37, stk. 7, første pkt., i dataforordningen.

Det foreslås

i stk. 2,

at Digitaliseringsstyrelsen påser overholdelsen af data-

forordningen, jf. artikel 37, stk. 1, i dataforordningen, og varetager de opga-

ver, der er oplistet i dataforordningens artikel 37, stk. 5 og 6.

Den foreslåede bestemmelse indebærer, at Digitaliseringsstyrelsen både vil

skulle varetage samtlige af de opgaver, der i henhold til dataforordningen

tilfalder kompetente myndigheder, og de opgaver, der i henhold til datafor-

ordningen tilfalder en datakoordinator, idet Digitaliseringsstyrelsen udpeges

som den eneste kompetente myndighed.

Digitaliseringsstyrelsen vil som følge heraf blandt andet kunne foretage

egen drift-undersøgelser, behandle klagesager samt anmodninger fra Kom-

missionen eller andre kompetente myndigheder.

Det foreslås i

stk. 3,

at ministeren for digitalisering kan fastsætte nærmere

regler om, hvorledes klager indgives og om formkrav til klager.

Den foreslåede bestemmelse har til hensigt at give ministeren for digitalise-

ring mulighed for i en bekendtgørelse at fastsætte regler om f.eks. anven-

delse af en bestemt digital klageløsning og krav om, at klageren i klageløs-

ningen skal oplyse sit navn, give oplysning om, hvilken fysisk eller juridisk

person klagen drejer sig om, samt hvori den manglende efterlevelse består

og relevant dokumentation herfor.

Til § 3

Der er på nuværende tidspunkt ikke fastsat regler i dansk ret om tvistbilæg-

gelsesorganer i henhold til artikel 10, i dataforordningen.

Det følger af dataforordningens artikel 10, stk. 1, at brugere, dataindehavere

og datamodtagere skal have adgang til et tvistbilæggelsesorgan, der er cer-

tificeret i overensstemmelse med dataforordningens artikel 10, stk. 5, til at

bilægge tvister i henhold til dataforordningens artikel 4, stk. 3 og 9, og arti-

kel 5, stk. 12, samt tvister vedrørende de fair, rimelige og ikkeforskelsbe-

handlende vilkår og betingelser for og en gennemsigtig måde at stille data

til rådighed på i overensstemmelse med dataforordningens kapitel III og ka-

pitel IV.

Side 29/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

Det følger videre af dataforordningens artikel 10, stk. 4, at kunder og udby-

dere af databehandlingstjenester skal have adgang til et tvistbilæggelsesor-

gan, der er certificeret i overensstemmelse med dataforordningens artikel

10, stk. 5, til at bilægge tvister i forbindelse med overtrædelse af kundernes

rettigheder og de forpligtelser, der påhviler udbydere af databehandlingstje-

nester, i overensstemmelse med dataforordningens artikel 23-31.

Desuden følger det af dataforordningens artikel 10, stk. 5, at den medlems-

stat, hvori tvistbilæggelsesorganet er etableret, certificerer det pågældende

organ efter dettes anmodning, hvis det har godtgjort, at det opfylder alle

følgende betingelser:

a) det er upartisk og uafhængigt, og det skal træffe sine afgørelser i

overensstemmelse med klare, ikkeforskelsbehandlende og fair pro-

cedureregler

b) det har den nødvendige ekspertise, navnlig med hensyn til fair, ri-

melige og ikkeforskelsbehandlende vilkår og betingelser, herunder

godtgørelse, og om at stille data til rådighed på en gennemsigtig

måde, således at organet effektivt kan fastsætte disse vilkår og be-

tingelser

c) det er let at kontakte ved hjælp af elektronisk kommunikation

d) det er i stand til at vedtage sine afgørelser på en hurtig og omkost-

ningseffektiv måde på mindst ét af Unionens officielle sprog.

Herudover følger det af dataforordningens artikel 10, stk. 6, at medlemssta-

terne underretter Kommissionen om de tvistbilæggelsesorganer, der er cer-

tificeret i overensstemmelse dataforordningens artikel 10, stk. 5, og at Kom-

missionen offentliggør en liste over disse organer på et særligt websted og

holder den ajour.

Endvidere følger det af præambelbetragtning nr. 52, i dataforordningen, at

det står medlemsstaterne frit for at vedtage eventuelle særlige regler for cer-

tificeringsproceduren, herunder certificeringens udløb eller tilbagekaldelse,

og at bestemmelserne i dataforordningen om tvistbilæggelse ikke bør for-

pligte medlemsstaterne til at oprette tvistbilæggelsesorganer.

Det foreslås i

§ 3,

at ministeren for digitalisering efter aftale med vedkom-

mende minister kan fastsætte regler vedrørende certificering af tvistbilæg-

gelsesorganer i henhold til artikel 10, i dataforordningen.

Side 30/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

Den foreslåede bestemmelse vil medføre, at ministeren for digitalisering får

mulighed for at kunne fastsætte regler vedrørende certificering af tvistbi-

læggelsesorganer, såfremt der viser sig at være behov herfor. Der gives der-

med mulighed for, at der f.eks. kan fastsættes regler om proceduren for cer-

tificering, herunder hvilken myndighed, der skal forestå certificering, og

hvordan ansøgninger om certificering skal indgives, certificeringers udløb

og tilbagekaldelse af certificeringer. Opgaven med certificering kan place-

res inden for såvel som uden for ministeren for digitaliserings eget ressort-

område. Såfremt opgaven med certificering af tvistbilæggelsesorganer pla-

ceres inden for et andet ressortområde, vil regler vedrørende certificering af

tvistbilæggelsesorganer skulle fastsættes i samarbejde med den pågældende

minister. Såfremt opgaven med certificeringen placeres inden for ministeren

for digitaliserings eget ressort, vil ministeren selv kunne fastsætte regler

vedrørende certificering af tvistbilæggelsesorganer.

Til § 4

Der er på nuværende tidspunkt ikke fastsat regler i dansk ret om de kompe-

tente myndigheders uafhængighed.

Det følger af dataforordningens artikel 37, stk. 8, at kompetente myndighe-

der ved udførelsen af deres opgaver og udøvelsen af deres beføjelser i hen-

hold til dataforordningen skal være upartiske og frie for udefrakommende

indflydelse, det være sig direkte eller indirekte, og at kompetente myndig-

heder ikke må søge eller modtage instrukser med henblik på enkeltsager fra

nogen anden offentlig myndighed eller nogen privat part.

Det foreslås i

stk. 1,

at Digitaliseringsstyrelsen ved udførelsen af sine opga-

ver og udøvelsen af sine beføjelser efter dataforordningen og denne lov skal

være upartisk og fri for udefrakommende indflydelse, og hverken må søge

eller modtage instrukser i relation til enkeltsager fra nogen anden offentlig

myndighed eller privat part, jf. artikel 37, stk. 8, i dataforordningen.

Den foreslåede bestemmelse udvider artikel 37, stk. 8, i dataforordningen,

til også at omfatte den foreslåede lov. Desuden lovfæster den foreslåede be-

stemmelse, at Digitaliseringsstyrelsen i enkeltsager ikke vil kunne modtage

eller søge instrukser fra andre myndigheder, herunder fra ministeren for di-

gitalisering, uanset at Digitaliseringsstyrelsen i øvrigt er underlagt Digitali-

seringsministeriet organisatorisk. Det bemærkes, at der af dataforordnin-

gens ordlyd ikke stilles særlige krav i forhold til kompetente myndigheders

funktionelle uafhængighed.

Side 31/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

Digitaliseringsstyrelsen kan i forbindelse med sit øvrige arbejde være un-

derlagt instruktioner fra Digitaliseringsministeriet, uden at det påvirker, at

Digitaliseringsstyrelsen er upartisk og fri for udefrakommende indflydelse

på området omfattet af dataforordningen og nærværende lovforslag.

Bestemmelsen skal ses i sammenhæng med forslagets § 4, stk. 2, hvorefter

administrativ rekurs afskæres.

For enkelte sager eller på enkelte områder kan der være behov for særegen

fagspecifik ekspertise med henblik på at sikre, at sagerne afgøres på en

måde, der stemmer overens med praksis på tilgrænsende fagområder, som

henhører under andre myndigheders ressort. I disse tilfælde bør kravet om

uafhængighed ikke forhindre muligheden for, at Digitaliseringsstyrelsen

kan rådføre sig eller regelmæssigt udveksle synspunkter med andre myndig-

heder, herunder datatilsynsmyndigheder, samt indhente teknisk bistand m.v.

Det foreslås i

stk. 2,

at Digitaliseringsstyrelsens afgørelser efter dataforord-

ningen og denne lov ikke kan indbringes for anden administrativ myndig-

hed.

Bestemmelsen udelukker, at Digitaliseringsstyrelsens afgørelser er undergi-

vet administrativ rekurs. Digitaliseringsstyrelsens afgørelser kan i stedet

indbringes direkte for domstolene efter Grundlovens § 63.

Den foreslåede bestemmelse skal sikre overensstemmelse med kravene i da-

taforordningens artikel 37, stk. 8, således at instruktionsbeføjelser afskæres

i relation til Digitaliseringsstyrelsens behandling af sager efter dataforord-

ningen.

Til § 5

Der er på nuværende tidspunkt ikke fastsat regler i dansk ret om de kompe-

tente myndigheders mulighed for at afkræve oplysninger fra fysiske og ju-

ridiske personer som led i et tilsyn i henhold til dataforordningen.

Det følger af dataforordningens artikel 37, stk. 11, at enhver enhed, der er

omfattet af dataforordningens anvendelsesområde, som stiller forbundne

produkter til rådighed eller udbyder tjenester i Unionen, og som ikke er etab-

leret i Unionen, udpeger en retlig repræsentant i en af medlemsstaterne.

Desuden følger det af dataforordningens artikel 37, stk. 14, at kompetente

myndigheder skal have beføjelse til at anmode brugere, dataindehavere eller

Side 32/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

datamodtagere samt deres retlige repræsentanter, der hører under deres med-

lemsstats kompetence, om alle oplysninger, som er nødvendige for at kon-

trollere efterlevelsen af dataforordningen, og at enhver anmodning om op-

lysninger skal stå i et rimeligt forhold til, hvad den underliggende opgave

kræver, og være begrundet.

Desuden følger det af præambelbetragtning nr. 107, i dataforordningen, at

kompetente myndigheder gennem udøvelsen af deres beføjelser i overens-

stemmelse med gældende nationale procedurer bør kunne søge efter og opnå

oplysninger, navnlig vedrørende enheders aktiviteter inden for deres kom-

petence. Det følger af dataforordningens artikel 37, stk. 10, første pkt., at

enheder, der er omfattet af dataforordningens anvendelsesområde, er under-

lagt kompetencen i den medlemsstat, hvor enheden er etableret. Hvis en en-

hed er etableret i mere end én medlemsstat, anses den for at høre under kom-

petencen i den medlemsstat, hvor den har sin hovedvirksomhed, jf. artikel

37, stk. 10, sidste pkt., i dataforordningen. Såfremt en enhed ikke er etableret

i Unionen, anses enheden for at høre under den medlemsstats kompetence,

hvor dens retlige repræsentant befinder sig, jf. artikel 37, stk. 13, første pkt.,

i dataforordningen.

Det foreslås i

§ 5,

at Digitaliseringsstyrelsen kan kræve alle oplysninger fra

fysiske og juridiske personer omfattet af artikel 1, stk. 3, litra a-g, i datafor-

ordningen, retlige repræsentanter omfattet af artikel 37, stk. 11, i datafor-

ordningen, samt gatekeepere omfattet af artikel 3, i forordningen om digitale

markeder, som skønnes nødvendige for Digitaliseringsstyrelsens tilsyns-

virksomhed, herunder til fastlæggelse af om et forhold hører under Digitali-

seringsstyrelsens kompetence.

Bestemmelsen supplerer artikel 37, stk. 14, i dataforordningen.

Personkredsen er i den foreslåede bestemmelse udvidet i forhold til person-

kredsen, der fremgår af artikel 37, stk. 14, i dataforordningen, idet den fore-

slåede oplysningspligt omfatter samtlige af de i artikel 1, stk. 3, litra a-g, i

dataforordningen nævnte fysiske og juridiske personer, retlige repræsentan-

ter omfattet af artikel 37, stk. 11, i dataforordningen, samt gatekeepere om-

fattet af artikel 3, i forordningen om digitale markeder. Udvidelsen af per-

sonkredsen skyldes, at effektiv håndhævelse af dataforordningen nødven-

diggør, at Digitaliseringsstyrelsen som kompetent myndighed skal have mu-

lighed for at kunne kræve oplysninger fra alle retssubjekter, der forpligtes

af forordningen. Der kan eksempelvis være behov for at få oplysninger fra

Side 33/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

gatekeepere i forbindelse med sager vedrørende artikel 5, stk. 3, i datafor-

ordningen, men hvor gatekeeperen ikke har modtaget data og derfor ikke

kan betegnes som datamodtager i den sammenhæng, ligesom der kan være

behov for at få oplysninger fra udbydere af databehandlingstjenester i for-

bindelse med blandt andet sager om skiftegebyrer i henhold til artikel 29, i

dataforordningen.

Hensigten med den foreslåede bestemmelse er at sikre Digitaliseringsstyrel-

sen tilstrækkelig mulighed for at søge en sag oplyst. Dette har blandt andet

af afgørende betydning for vurderingen af, hvor indgribende en foranstalt-

ning der skal træffes samt for at sikre proportionalitet.

Oplysningspligten er af væsentlig betydning for, at Digitaliseringsstyrelsen

kan håndhæve forordningen. Vurderingen af, hvilke oplysninger der vil

blive indhentet, vil altid bero på en proportionalitetsvurdering, og karakte-

ren af den dokumentation, der kan kræves, vil variere fra sag til sag. Oplys-

ningspligten vil blandt andet kunne anvendes til, at Digitaliseringsstyrelsen

pålægger fysiske og juridiske personer at forelægge relevante dokumenter,

tekniske specifikationer, data eller oplysninger om overensstemmelse og

tekniske aspekter af produktet eller tjenesten i det omfang en sådan adgang

er nødvendig for at vurdere overensstemmelsen med dataforordningen.

De oplysninger, som Digitaliseringsstyrelsen vil kunne kræve, skal være re-

levante for det, som kontrollen skal belyse, og være tilgængelige for den

pågældende. Dette skal ses i sammenhæng med, at Digitaliseringsstyrelsen

kun kan kræve oplysninger, som er nødvendige for at vurdere en potentiel

overtrædelse af dataforordningen.

Den foreslåede bestemmelse afgrænses af det almindelige forbud mod at

udsætte andre for selvinkriminering, som det blandt andet kan udledes af

Den Europæiske Menneskerettighedskonventions artikel 6 og § 10 i retssik-

kerhedsloven. Er der konkret mistanke om, at det af oplysningerne vil

fremgå, at den pågældende har begået noget strafbart, vil det således ikke

kunne kræves, at oplysningerne udleveres. I et sådant tilfælde må sagen

overlades til politiets efterforskning.

Til § 6

Der er på nuværende tidspunkt ikke fastsat regler i dansk ret om de kompe-

tente myndigheders mulighed for at videregive oplysninger til Europa-Kom-

missionen eller andre kompetente myndigheder i Den Europæiske Union,

Side 34/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

hvor videregivelse er nødvendigt for at påse overholdelsen af dataforordnin-

gen.

Af dataforordningens artikel 37, stk. 5, litra f, fremgår, at medlemsstaterne

sikrer, at opgaverne og beføjelserne for de kompetente myndigheder er klart

definerede og omfatter samarbejde med andre medlemsstaters kompetente

myndigheder og, hvis det er relevant, Europa-Kommissionen eller EDIB for

at sikre ensartet og effektiv anvendelse af dataforordningen, herunder ud-

veksling af alle relevante oplysninger ad elektronisk vej uden unødigt op-

hold, herunder med hensyn til dataforordningens artikel 37, stk. 10.

Det foreslås i

§ 6,

at Digitaliseringsstyrelsen kan videregive oplysninger til

Europa-Kommissionen eller andre kompetente myndigheder i Den Europæ-

iske Union, i det omfang det er nødvendigt for at påse overholdelsen af be-

stemmelserne i denne lov, dataforordningen eller den pågældende medlems-

stats datadelingslovgivning. Med datadelingslovgivning forstås lovgivning

om supplerende bestemmelser til dataforordningen.

Bestemmelsen supplerer artikel 37, stk. 5, litra f, i dataforordningen, idet

den sikrer, at der kan leves op til samarbejdsforpligtelsen, der følger heraf.

Bestemmelsen indebærer, at der vil kunne ske videregivelse af oplysninger

til Europa-Kommissionen eller kompetente myndigheder i andre medlems-

stater, selv om disse måtte være undergivet tavshedspligt. Det gælder dog

kun i det omfang, en sådan videregivelse må anses for nødvendig.

Videregivelse af oplysninger skal ske i overensstemmelse med gældende

lovgivning, herunder reglerne i databeskyttelsesforordningen, databeskyt-

telsesloven samt forvaltningsloven.

Til § 7

Der er på nuværende tidspunkt ikke fastsat regler i dansk ret om de kompe-

tente myndigheders mulighed for at udtale kritik for overtrædelser af data-

forordningen.

Det følger af artikel 40, stk. 1, første pkt., i dataforordningen, at medlems-

staterne fastsætter regler om sanktioner, der skal anvendes i tilfælde af over-

trædelser af dataforordningen, og træffer alle nødvendige foranstaltninger

for at sikre, at de anvendes. Af artikel 40, stk. 1, sidste pkt., i dataforordnin-

gen, følger, at sanktionerne skal være effektive, stå i et rimeligt forhold til

overtrædelsen og have afskrækkende virkning.

Side 35/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

Desuden følger det af præambelbetragtning nr. 109, i dataforordningen, at

kompetente myndigheder bør sikre, at overtrædelser af de forpligtelser, der

er fastsat i dataforordningen, er underlagt sanktioner, og at sådanne sankti-

oner kan omfatte irettesættelser.

Det foreslås i

§ 7,

at Digitaliseringsstyrelsen kan udtale kritik af de fysiske

og juridiske personer omfattet af artikel 1, stk. 3, litra a-g, i dataforordnin-

gen, samt af gatekeepere omfattet af artikel 3, i forordningen om digitale

markeder, for overtrædelser af dataforordningen eller denne lov.

Bestemmelsen supplerer artikel 40, stk. 1, i dataforordningen.

Bestemmelsen skal sikre, at Digitaliseringsstyrelsen kan udtale kritik af de

i artikel 1, stk. 3, litra a-g, i dataforordningen, omhandlede fysiske og juri-

diske personer, samt af gatekeepere omfattet af artikel 3, i forordningen om

digitale markeder. Kritik kan alene udtales for overtrædelser af dataforord-

ningen eller denne lov.

Muligheden for at udtale kritik kan eksempelvis anvendes ved en overtræ-

delse, som efter en samlet vurdering anses for at udgøre en mindre alvorlig

overtrædelse. Dette kunne f.eks. være i sager om manglende efterlevelse af

en underretningspligt. Herudover vil muligheden for at udtale kritik kunne

være relevant i forhold til overtrædelser, hvor det konkret vurderes, at med-

delelse af et påbud efter lovforslagets § 9 ikke vil kunne rette op på forhol-

det.

Til § 8

Der er på nuværende tidspunkt ikke fastsat regler i dansk ret om de kompe-

tente myndigheders offentliggørelse af udtalelser og afgørelser i henhold til

dataforordningen.

Det følger af artikel 37, stk. 5, litra a, i dataforordningen, at medlemsstaterne

sikrer, at opgaverne og beføjelserne for de kompetente myndigheder er klart

definerede og omfatter at fremme datakompetence og -bevidsthed blandt

brugere og enheder, der er omfattet af dataforordningens anvendelsesom-

råde, om rettigheder og forpligtelser i henhold til dataforordningen.

Desuden følger det af præambelbetragtning nr. 19, i dataforordningen, at der

ved datakompetence forstås færdigheder, viden og forståelse, der gør det

muligt for brugere, forbrugere og virksomheder, navnlig SMV'er, der falder

Side 36/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

ind under dataforordningen anvendelsesområde, at få kendskab til den po-

tentielle værdi af de data, som de har genereret, producerer og deler, og som

de er motiverede til at tilbyde og give adgang til i overensstemmelse med

relevante retsregler. Datakompetence bør være mere end blot læring om

værktøjer og teknologier og bør sigte mod at give borgere og virksomheder

evne og myndighed til at drage fordel af et inklusivt og retfærdigt datamar-

ked.

Det følger yderligere af artikel 40, stk. 1, første pkt., i dataforordningen, at

medlemsstaterne fastsætter regler om sanktioner, der skal anvendes i til-

fælde af overtrædelser af dataforordningen, og træffer alle nødvendige for-

anstaltninger for at sikre, at de anvendes. Af artikel 40, stk. 1, sidste pkt., i

dataforordningen, følger, at sanktionerne skal være effektive, stå i et rime-

ligt forhold til overtrædelsen og have afskrækkende virkning.

Endvidere følger det af præambelbetragtning nr. 109, i dataforordningen, at

kompetente myndigheder bør sikre, at overtrædelser af de forpligtelser, der

er fastsat i dataforordningen, er underlagt sanktioner, og at sådanne sankti-

oner kan omfatte økonomiske sanktioner, advarsler, irettesættelser eller på-

bud om at bringe forretningspraksis i overensstemmelse med forpligtelserne

pålagt ved dataforordningen.

Det foreslås i

§ 8,

at Digitaliseringsstyrelsen kan offentliggøre sine udtalel-

ser og afgørelser om overtrædelser af dataforordningen eller denne lov.

Begrebet sanktioner i artikel 40, stk. 1, i dataforordningen, dækker over en

række forskellige reaktioner, hvilket kommer til udtryk i den ikkeudtøm-

mende oplistning af eksempler på sanktioner i dataforordningens præambel-

betragtning nr. 109, som omfatter både økonomiske og ikke-økonomiske

sanktioner.

Bestemmelsen supplerer artikel 37, stk. 5, litra a, og artikel 40, stk. 1, i da-

taforordningen.

Bestemmelsen skal sikre, at Digitaliseringsstyrelsen, som en nødvendig og

effektiv sanktion samt som led i varetagelsen af opgaven med at fremme

datakompetence og -bevidsthed, kan offentliggøre udtalelser og afgørelser i

sager om overtrædelser af dataforordningen, når samfundsmæssige hensyn

taler for offentliggørelse.

Offentliggørelse i henhold til den foreslåede § 8 kan omfatte navnet på den

juridiske eller fysiske person, som er adressat for udtalelsen eller afgørelsen,

Side 37/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

samt oplysninger om strafbare forhold eller mulige strafbare forhold. Digi-

taliseringsstyrelsen kan blandt andet vælge at offentliggøre afgørelser i hen-

hold til den foreslåede § 8 for at afværge betydelige formuetab. Offentlig-

gørelse kan endvidere ske, hvis offentliggørelsen er nødvendig for, at blandt

andet forbrugere og erhvervsdrivende kan varetage deres interesser i forhold

til de fysiske eller juridiske personer, som der offentliggøres oplysninger

om. Offentliggørelse kan dog aldrig ske, hvis offentliggørelsen vil medføre

uforholdsmæssig stor skade for den juridiske eller fysiske person i forhold

til de hensyn, som taler for offentliggørelse. Det afgørende er, om offentlig-

hedens interesse i at få kendskab til oplysningerne findes at burde vige for

afgørende hensyn til private og offentlige interesser. I tvivlstilfælde vil det

være naturligt at indhente en udtalelse fra den/de pågældende fysiske eller

juridiske person/personer, som berøres af digitaliseringsstyrelsens udtalelse

eller afgørelse om overtrædelse af dataforordningen.

Det bemærkes, at der ikke er tale om en generel hjemmel til systematisk

offentliggørelse, men udelukkende om en mulighed for offentliggørelse ba-

seret på en konkret vurdering, hvor de relevante hensyn i den enkelte sag

nøje afvejes.

Til § 9

Der er på nuværende tidspunkt ikke fastsat regler i dansk ret om de kompe-

tente myndigheders mulighed for at meddele påbud med henblik på at sikre

overholdelsen af forpligtelser i medfør af dataforordningen.

Det følger af artikel 40, stk. 1, første pkt., i dataforordningen, at medlems-

staterne fastsætter regler om sanktioner, der skal anvendes i tilfælde af over-

trædelser af dataforordningen, og træffer alle nødvendige foranstaltninger

for at sikre, at de anvendes. Af artikel 40, stk. 1, sidste pkt., i dataforordnin-

gen, følger, at sanktionerne skal være effektive, stå i et rimeligt forhold til

overtrædelsen og have afskrækkende virkning.

Det følger desuden af præambelbetragtning nr. 109, i dataforordningen, at

kompetente myndigheder bør sikre, at overtrædelser af de forpligtelser, der

er fastsat i dataforordningen, er underlagt sanktioner, og at sådanne sankti-

oner kan omfatte påbud om at bringe forretningspraksis i overensstemmelse

med forpligtelserne pålagt ved dataforordningen.

Det foreslås i

§ 9,

at Digitaliseringsstyrelsen kan meddele påbud til de i ar-

tikel 1, stk. 3, litra a-g, i dataforordningen, omhandlede fysiske og juridiske

Side 38/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

personer samt til gatekeepere omfattet af artikel 3, i forordningen om digi-

tale markeder, med henblik på at sikre overholdelsen af forpligtelser i med-

før dataforordningen inden for sit ansvarsområde.

Bestemmelsen supplerer artikel 40, stk. 1, i dataforordningen.

Påbud vil kunne rettes mod de i artikel 1, stk. 3, litra a-g, i dataforordningen,

omhandlede fysiske og juridiske personer samt mod gatekeepere omfattet af

artikel 3, i forordningen om digitale markeder.

Påbud vil kunne gives for at få en fysisk eller en juridisk person til at opfylde

en forpligtelse, som denne har i henhold til dataforordningen, eller til at afstå

fra at udføre visse handlinger. Påbud kan f.eks. omfatte krav om foretagelse

af ændringer, ophør af handlinger, opfyldelse af standarder, deling af data,

nedsættelse af godtgørelse eller nedsættelse af skriftegebyrer.

Manglende efterlevelse af påbud meddelt efter lovforslagets § 9 vil kunne

straffes med bøde, jf. forslagets § 10, stk. 1, nr. 4. Digitaliseringsstyrelsen

vil dog kun kunne foretage politianmeldelse med henblik på at opnå dom

for forholdet, såfremt der i påbuddet er blevet fastsat en frist for efterlevelse

af påbuddet, dvs. en frist for, hvornår påbuddet senest skal opfyldes, og

denne frist er sprunget. Ved fristfastsættelsen vil Digitaliseringsstyrelsen

skulle lægge vægt på karakteren og omfanget af den pligt, som den pågæl-

dende påbydes at opfylde.

Til § 10

Der er på nuværende tidspunkt ikke fastsat regler om straf for overtrædelse

af regler i dataforordningen.

Det følger af artikel 37, stk. 5, litra d, i dataforordningen, at medlemsstater

sikrer, at opgaverne og beføjelserne for de kompetente myndigheder er klart

definerede og omfatter at pålægge økonomiske sanktioner, der er effektive,

står i et rimeligt forhold til overtrædelsen og har afskrækkende virkning, og

som kan omfatte periodiske sanktioner og sanktioner med tilbagevirkende

kraft, eller indlede retsforfølgning med henblik på at pålægge bøder.

Af artikel 40, stk. 1, første pkt., i dataforordningen følger desuden, at med-

lemsstaterne fastsætter regler om sanktioner, der skal anvendes i tilfælde af

overtrædelser af dataforordningen, og træffer alle nødvendige foranstaltnin-

Side 39/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

ger for at sikre, at de anvendes. Af artikel 40, stk. 1, sidste pkt., i datafor-

ordningen, følger videre, at sanktionerne skal være effektive, stå i et rimeligt

forhold til overtrædelsen og have afskrækkende virkning.

Herudover følger det af præambelbetragtning nr. 109, i dataforordningen, at

kompetente myndigheder bør sikre, at overtrædelser af de forpligtelser, der

er fastsat i dataforordningen, er underlagt sanktioner, og at sådanne sankti-

oner kan omfatte økonomiske sanktioner.

Yderligere følger det af dataforordningens artikel 40, stk. 3, at medlemssta-

terne ved sanktionering tager hensyn til anbefalingerne fra EDIB og føl-

gende ikkeudtømmende kriterier for pålæggelse af sanktioner for overtræ-

delse af dataforordningen:

a) overtrædelsens art, grovhed, omfang og varighed

b) eventuelle tiltag, som den overtrædende part har truffet for at afbøde

eller afhjælpe den skade, der er forårsaget af overtrædelsen

c) den overtrædende parts eventuelle tidligere overtrædelser

d) de økonomiske fordele eller tab, som den overtrædende part har op-

nået eller undgået som følge af overtrædelsen, for så vidt som disse

fordele eller tab kan fastslås på en pålidelig måde

e) eventuelle andre skærpende eller formildende faktorer i lyset af sa-

gens omstændigheder

f) den overtrædende parts årlige omsætning i det foregående regn-

skabsår i Unionen.

Det bemærkes, at i sager om beskyttelse af personoplysninger, følger det af

artikel 40, stk. 4, i dataforordningen, at for så vidt angår overtrædelser af de

forpligtelser, der er fastsat i dataforordningens kapitel II, III og V, kan de

tilsynsmyndigheder, der er ansvarlige for overvågning af anvendelsen af da-

tabeskyttelsesforordningen, inden for rammerne af deres beføjelser pålægge

administrative bøder i overensstemmelse med artikel 83 i databeskyttelses-

forordningen op til det beløb, der er omhandlet i artikel 83, stk. 5, i nævnte

forordning.

Det foreslås i forslagets

§ 10,

at det fastsættes, hvilke bestemmelser i for-

ordningen og loven der er strafbelagt med bøde.

Det foreslås i

stk. 1, nr. 1,

at medmindre højere straf er forskyldt efter anden

lovgivning, straffes med bøde den, der overtræder dataforordningens artikel

3, artikel 4, stk. 1, 2, 4-8, 10, 11, 13 eller 14, artikel 5, stk. 1, 3-6 eller 9-11,

artikel 6, stk. 1 eller 2, artikel 8, stk. 4, artikel 11, artikel 14, artikel 23,

Side 40/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

artikel 25-28, artikel 29, stk. 1-6, artikel 30, artikel 31, stk. 3 eller artikel 32,

stk. 1, 4 eller 5.

Det foreslås herudover i

stk. 1, nr. 2,

at medmindre højere straf er forskyldt

efter anden lovgivning, straffes med bøde den, der undlader at efterkomme

krav efter lovforslagets § 5.

Med den foreslåede bestemmelse sikres det, at det kan sanktioneres, hvis

fysiske og juridiske personer undlader at imødekomme krav fra Digitalise-

ringsstyrelsen om at afgive oplysninger, som skønnes nødvendige for Digi-

taliseringsstyrelsens tilsynsvirksomhed, herunder til fastlæggelse af, om et

forhold hører under Digitaliseringsstyrelsens kompetence.

Den foreslåede bestemmelse afgrænses af det almindelige forbud mod at

udsætte andre for selvinkriminering, som det blandt andet kan udledes af

Den Europæiske Menneskerettighedskonventions artikel 6 og § 10 i retssik-

kerhedsloven.

Desuden foreslås det i

stk. 1, nr. 3,

at medmindre højere straf er forskyldt

efter anden lovgivning, straffes med bøde den, der afgiver ukorrekte, ufuld-

stændige eller vildledende oplysninger til Digitaliseringsstyrelsen i forbin-

delse med krav efter lovforslagets § 5.

Med den foreslåede bestemmelse sikres det, at det kan sanktioneres, hvis

fysiske og juridiske personer afgiver ukorrekte, ufuldstændige eller vildle-

dende oplysninger, som skønnes nødvendige for Digitaliseringsstyrelsens

virksomhed.

Den foreslåede bestemmelse afgrænses af det almindelige forbud mod at

udsætte andre for selvinkriminering, som det blandt andet kan udledes af

Den Europæiske Menneskerettighedskonventions artikel 6 og § 10 i retssik-

kerhedsloven.

Yderligere foreslås det i

stk. 1, nr. 4,

at medmindre højere straf er forskyldt

efter anden lovgivning, straffes med bøde den, der undlader at efterleve et

påbud meddelt i medfør af lovforslagets § 9.

Forbeholdet i lovforslagets § 10, stk. 1, om, at højere straf kan være for-

skyldt efter den øvrige lovgivning, har til formål at sikre, at handlinger, der

tillige indebærer en overtrædelse af bestemmelser, der kan medføre højere

straf, kan henføres under sådanne bestemmelser. Hvis det strafbare forhold

f.eks. omfattes af § 10, stk. 1, nr. 3, samt straffelovens §§ 162 og 163 om

Side 41/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

afgivelse af urigtige oplysninger til offentlige myndigheder, henhører for-

holdet således under den bestemmelse, hvorefter den højeste straf er for-

skyldt

Ved fastsættelse af bødestørrelsen vil der i sager omfattet af lovforslagets §

10, stk. 1, skulle tages hensyn til de ikkeudtømmende kriterier i artikel 40,

stk. 3, litra a-f, i dataforordningen, samt anbefalinger fra EDIB, såfremt så-

danne anbefalinger måtte foreligge på tidspunktet for fastsættelsen af bø-

dens størrelse.

Herudover foreslås det i

stk. 2,

at der kan pålægges selskaber m.v. (juridiske

personer) strafansvar efter reglerne i straffelovens 5. kapitel.

Det følger af reglerne i straffelovens kapitel 5, at bestemmelser om strafan-

svar for selskaber m.v. omfatter, medmindre andet er bestemt, enhver juri-

disk person, herunder aktie-, anparts- og andelsselskaber, interessentskaber,

foreninger, fonde, boer, kommuner og statslige myndigheder, jf. straffelo-

vens § 26, stk. 1. Endvidere omfatter sådanne bestemmelser enkeltmands-

virksomheder, for så vidt disse navnlig under hensyn til deres størrelse og

organisation kan sidestilles med de ovenfor nævnte selskaber, jf. straffelo-

vens § 26, stk. 2.

Statslige myndigheder og kommuner kan ifølge straffelovens § 27, stk. 2,

alene straffes i anledning af overtrædelser, der begås ved udøvelse af virk-

somhed, der svarer til eller kan sidestilles med virksomhed udøvet af private.

Offentlige myndigheder kan således alene ifalde strafansvar efter reglerne i

straffelovens kapitel 5, i det omfang myndigheden optræder på en måde, der

kan sammenlignes med virksomhed, der udøves af en privatperson eller af

et selskab, det vil sige i egenskab af driftsherre. Reglerne i straffelovens

kapitel 5 omfatter derimod ikke lovovertrædelser, der begås som led i myn-

dighedsudøvelse. I sådanne tilfælde kan der alene blive tale om personligt

strafansvar for de ansvarlige enkeltpersoner.

Endvidere foreslås det i

stk. 3,

at forældelsesfristen for overtrædelse af da-

taforordningen eller denne lov er 5 år.

Af straffelovens § 93, stk. 1, følger de nærmere forældelsesfrister, der skal

beregnes efter det strafmaksimum, der er foreskrevet for forbrydelsen. Det

er således strafferammen for den pågældende forbrydelse og ikke den kon-

kret forskyldte straf, som er afgørende for beregningen af forældelsesfristen.

Forældelsesfristen er efter straffelovens § 93, stk. 11, 2 år, når der ikke er

hjemlet højere straf end fængsel i 1 år for overtrædelsen.

Side 42/43

DIU, Alm.del - 2024-25 - Bilag 90: Høring over udkast til lovforslag om supplerende bestemmelser til Europa-Parlamentets og Rådets dataforordning (lovudkast), fra digitaliseringsministeren

Straffesager for overtrædelse af dataforordningen og nærværende lovforslag

vil efter omstændighederne kunne antage en vis størrelse og kompleksitet.

Hertil kommer, at efterforskningen af sager, der f.eks. først henvises til po-

litiet efter at have været undergivet forudgående sagsbehandling hos Digi-

taliseringsstyrelsen, eller som omfatter forhold, bevissikring mv. uden for

dansk jurisdiktion, må forventes at have en vis tidsmæssig udstrækning. I

sådanne sager vil det kunne være vanskeligt at gennemføre de nødvendige

strafforfølgningsskridt med henblik på at afbryde sagens forældelse inden

for 2 år.

På denne baggrund foreslås det med forslaget at forlænge forældelsesfristen,

således at forældelsesfristen for overtrædelse af dataforordningen eller nær-

værende lovforslag er 5 år.

Til § 11

Det foreslås i

§ 11,

at loven træder i kraft dagen efter bekendtgørelsen i

Lovtidende.

Den foreslåede bestemmelse vil medføre, at lovforslaget træder i kraft dagen

efter bekendtgørelsen i Lovtidende. Det skyldes, at de foreslåede bestem-

melser i lovforslaget bør træde i kraft hurtigt henset til, at dataforordningen

finder anvendelse fra den 12. september 2025, dog med en række nærmere,

specifikke undtagelser, jf. artikel 50, i dataforordningen. Der er derfor behov

for hurtigt at give Digitaliseringsstyrelsen beføjelser til at understøtte effek-

tiv håndhævelse af dataforordningen.

Det bemærkes i forhold til skiftegebyrer, at dataforordningens artikel 29,

stk. 2, bestemmer, at udbydere af databehandlingstjenester i perioden 11.

januar 2024 til den 12. januar 2027 alene kan pålægge kunder nedsatte skif-

tegebyrer for skifteprocessen. For så vidt angår perioden fra 11. januar 2024

og frem til denne lovs ikrafttræden vil det ikke være muligt strafferetligt at

sanktionere overtrædelser af bestemmelsen.

Til § 12

Det foreslås i

§ 12,

at loven ikke skal gælde for Færøerne og Grønland.

Side 43/43