I medfør af § 72 a i lov Nr. 429 af 31. maj 2000 om behandling af personoplysninger, som ændret ved lov Nr. 188 af 18. marts 2009, og under hensyn til Rådets rammeafgørelse af 27. november 2008 om beskyttelse af personoplysninger i forbindelse med politisamarbejde og retligt samarbejde i kriminalsager fastsættes:
Kapitel 1.- Indledende bestemmelse
§ 1.– Bestemmelserne i §§ 2-10 finder anvendelse i forhold til personoplysninger, der udveksles eller stilles til rådighed mellem en dansk og en udenlandsk myndighed i forbindelse med politisamarbejde og retligt samarbejde i kriminalsager inden for Den Europæiske Union og Schengen-samarbejdet.
Stk. 2.– Bestemmelserne i §§ 2-10 gælder for behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling, og for ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.
Stk. 3.– Bestemmelserne i §§ 2-10 gælder ikke for behandlinger, der udføres for politiets og forsvarets efterretningstjenester.
Kapitel 2.- Forholdet til lov om behandling af personoplysninger
§ 2.– Lov om behandling af personoplysninger finder anvendelse.
Stk. 2.– Behandling af oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold og oplysninger om helbredsmæssige og seksuelle forhold efter lovens § 7, stk. 6, må ikke ske, medmindre behandlingen er strengt nødvendig.
Stk. 3.– Bestemmelserne i lovens kapitel 9 om indsigtsret finder anvendelse. Indsigtsbegæringer efter pkt. 1 indgives til den dataansvarlige. For behandlinger, der foretages af domstolene, indgives indsigtsbegæringer dog til vedkommende politidirektør.
Stk. 4.– Bestemmelsen i lovens § 37 om berigtigelse mv. finder anvendelse.
Stk. 5.– Den dataansvarlige skal føre en fortegnelse over de oplysninger, der er nævnt i lovens § 43, stk. 2, Nr. 1, 2 og 4-6, og fortegnelsen skal gøres tilgængelig for offentligheden.
Stk. 6.– Erstatningspligten efter lovens § 69 gælder uanset, om den dataansvarlige har modtaget urigtige oplysninger fra udenlandske myndigheder.
Stk. 7.– Hvis en udenlandsk myndighed har ydet erstatning for en skade, der er forårsaget af anvendelsen af urigtige oplysninger, som er modtaget fra en dansk myndighed, refunderer den danske myndighed, den udenlandske myndighed skadeserstatning under hensyn til et eventuelt ansvar hos den udenlandske myndighed.
Kapitel 3.- Behandling af modtagne oplysninger til andre formål
§ 3.- Personoplysninger, som er modtaget fra eller stillet til rådighed af en udenlandsk myndighed, må kun behandles til følgende andre formål end dem, hvortil de blev videregivet eller stillet til rådighed:
1) forebyggelse, efterforskning, afsløring eller retsforfølgning af straffelovsovertrædelser eller fuldbyrdelse af strafferetlige sanktioner i forbindelse med andre straffelovsovertrædelser eller sanktioner end dem, hvortil de blev videregivet eller stillet til rådighed,
2) andre retlige og administrative procedurer, som hænger direkte sammen med forebyggelse, efterforskning, afsløring eller retsforfølgning af straffelovsovertrædelser eller fuldbyrdelse af strafferetlige sanktioner,
3) afværgelse af en umiddelbar og alvorlig trussel mod den offentlige sikkerhed, eller
4) ethvert andet formål med forhåndsgodkendelse fra den videregivende myndighed eller med den registreredes samtykke.
Stk. 2.– Behandling må endvidere ske i historisk, statistisk eller videnskabeligt øjemed, såfremt oplysningerne gøres anonyme.
Stk. 3.– Behandling må ikke ske i strid med specifikke begrænsninger for behandling af videregivne oplysninger fastsat i lovgivningen gældende for den videregivende udenlandske myndighed, når den videregivende myndighed gør opmærksom på begrænsningerne.
§ 4.- Personoplysninger, som er modtaget fra eller stillet til rådighed af en udenlandsk myndighed, må kun videregives til tredjelande eller internationale organer, hvis:
1) det er nødvendigt for forebyggelse, efterforskning, afsløring eller retsforfølgning af straffelovsovertrædelser eller fuldbyrdelse af strafferetlige sanktioner,
2) den modtagende myndighed i tredjelandet eller det modtagende internationale organ har ansvaret for at forebygge, efterforske, afsløre eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner,
3) den videregivne udenlandske myndighed har givet sin godkendelse til at videregive disse i henhold til sin nationale lovgivning, og
4) det pågældende tredjeland eller internationale organ sikrer et tilstrækkeligt beskyttelsesniveau for den påtænkte behandling af oplysningerne.
Stk. 2.– Videregivelse uden forhåndsgodkendelse i henhold til stk. 1, Nr. 3, må kun ske, hvis:
1) videregivelsen af oplysningerne er afgørende for forebyggelse af en umiddelbar og alvorlig trussel mod den offentlige sikkerhed i et tredjeland eller et land inden for Den Europæiske Union eller Schengen-samarbejdet, eller
2) videregivelsen af oplysningerne er afgørende for væsentlige interesser for et land inden for Den Europæiske Union eller Schengen-samarbejdet.
Det er en betingelse for videregivelsen, at forhåndsgodkendelse ikke kan indhentes i tide, og den udenlandske myndighed, der skulle have givet sin godkendelse, skal orienteres omgående.
Stk. 3.– Uanset stk. 1, Nr. 4, kan personoplysninger videregives, hvis:
1) lovgivningen giver mulighed herfor på grund af:
a) den registreredes specifikke legitime interesser, eller
b) legitime vigtige interesser, navnlig vigtige offentlige interesser, eller
2) tredjelandet eller det modtagende internationale organ giver sikkerhedsgarantier, som den videregivende myndighed anser for tilstrækkelige i henhold til sin nationale lovgivning.
Stk. 4.– Vurderingen af, om beskyttelsesniveauet i stk. 1, Nr. 4, er tilstrækkeligt, sker på grundlag af samtlige de forhold, der har indflydelse på en videregivelse eller en type videregivelse af oplysninger.
§ 5.- Personoplysninger, som er modtaget fra eller stillet til rådighed af en udenlandsk myndighed, må kun videregives til private, hvis:
1) den videregivende udenlandske myndighed har givet tilladelse til videregivelse i henhold til sin nationale lovgivning,
2) den registreredes specifikke legitime interesser ikke forhindrer videregivelse, og
3) videregivelse af oplysninger i særlige tilfælde er afgørende for den dataansvarlige, der videregiver oplysningerne til en privat, af hensyn til:
a) udførelsen af en opgave, den er blevet pålagt ved lov,
b) forebyggelse, efterforskning, afsløring eller retsforfølgning af straffelovsovertrædelser eller fuldbyrdelse af strafferetlige sanktioner,
c) afværgelse af en umiddelbar og alvorlig trussel mod den offentlige sikkerhed, eller
d) forebyggelse af alvorlige krænkelser af enkeltpersoners rettigheder.
Stk. 2.– Den dataansvarlige, der videregiver oplysningerne til en privatperson, orienterer denne om, hvilke formål oplysningerne udelukkende må anvendes til.
§ 6.- Hvis den udenlandske myndighed, der har videregivet eller stillet personoplysninger til rådighed, anmoder om at modtage en orientering om behandlingen af disse oplysninger, skal den dataansvarlige give en sådan orientering.
Kapitel 4.- Datakvalitet mv.
§ 7.- Personoplysninger skal berigtiges, hvis de er urigtige, og om muligt og nødvendigt suppleres eller ajourføres.
Stk. 2.– Personoplysninger skal slettes eller gøres anonyme, når de ikke længere er nødvendige til de formål, hvortil de er indsamlet eller viderebehandles på lovlig vis. Personoplysningerne skal dog ikke slettes, men blokeres, hvis der er rimelig grund til at tro, at en sletning kan påvirke den registreredes legitime interesser. Blokerede oplysninger må kun behandles til det formål, der gjorde, at de ikke blev slettet.
Stk. 3.– Personoplysninger kan overføres til opbevaring i arkiv efter reglerne i arkivlovgivningen.
Stk. 4.– Når personoplysninger er indeholdt i en retsafgørelse eller et register, der er knyttet til udstedelsen af en retsafgørelse, skal berigtigelse mv. gennemføres i henhold til retsplejelovens regler.
§ 8.- Den dataansvarlige skal tilrettelægge behandlingen af personoplysninger således, at der fastsættes passende frister for sletningen af personoplysninger eller regelmæssig undersøgelse af behovet for lagringen af oplysningerne. Det sikres endvidere ved proceduremæssige foranstaltninger, at tidsfristerne overholdes.
§ 9.- Den dataansvarlige træffer alle rimelige foranstaltninger til at sikre, at personoplysninger ikke videregives eller stilles til rådighed, hvis de er urigtige, ufuldstændige eller ikke ajourførte. I dette øjemed verificerer den dataansvarlige så vidt muligt kvaliteten af personoplysningerne, før de videregives eller stilles til rådighed. I forbindelse med al videregivelse af oplysninger skal der så vidt muligt tilføjes tilgængelige oplysninger, der gør det muligt for den udenlandske myndighed at vurdere, om oplysningerne er rigtige, fuldstændige, ajourførte og pålidelige.
Stk. 2.– Hvis det konstateres, at der er videregivet urigtige personoplysninger, eller at oplysningerne er videregivet ulovligt, meddeles dette straks den udenlandske myndighed. Oplysningerne skal berigtiges, slettes eller blokeres omgående.
Stk. 3.– Hvis personoplysninger uanmodet modtages fra eller stilles til rådighed af udenlandske myndigheder, vurderer den dataansvarlige straks, om oplysningerne er nødvendige til det formål, hvortil de blev videregivet.
§ 10.- Den dataansvarlige skal med henblik på at kontrollere, om databehandlingen er lovlig, samt med henblik på at udøve egenkontrol og sikre integritet og sikkerhed registrere eller dokumentere hver videregivelse af personoplysninger. Registreringen eller dokumentationen skal bl.a. indeholde oplysninger om:
1) til hvilke organer der er blevet eller kan være blevet videregivet eller stillet personoplysninger til rådighed ved hjælp af datakommunikationsudstyr, og
2) hvilke personoplysninger der er indlæst i edb-systemerne, hvornår og af hvem.
Stk. 2.– Registreringer, der foretages, eller dokumentation, der udarbejdes i henhold til stk. 1, videregives til Datatilsynet på dennes anmodning med henblik på kontrol af databeskyttelsen. For domstolenes vedkommende sker videregivelsen efter pkt. 1, til Domstolsstyrelsen. Datatilsynet og Domstolsstyrelsen anvender kun disse oplysninger med henblik på kontrol af databeskyttelsen og med henblik på at sikre en korrekt databehandling og dataenes integritet og sikkerhed.
Kapitel 5.- Ikrafttræden
§ 11.- Bekendtgørelsen træder i kraft den 27. november 2010.
Justitsministeriet, den 25. november 2010
Lars Barfoed
Mohammed Ahsan