I medfør af § 10, stk. 4, 1. pkt., og § 41, stk. 5, i lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven) fastsættes:
Bekendtgørelsen gælder for videregivelse af personoplysninger omfattet af databeskyttelseslovens § 10, stk. 1 og 2, jf. dog stk. 2.
Stk. 2. Bekendtgørelsen finder ikke anvendelse, hvis Datatilsynet har fastsat vilkår for videregivelsen i medfør af databeskyttelseslovens § 10, stk. 4, 2. pkt.
Der må kun videregives personoplysninger, når det er nødvendigt for den modtagende dataansvarliges udførelse af statistiske eller videnskabelige undersøgelser af væsentlig samfundsmæssig betydning.
Stk. 2. Oplysningerne må ikke senere behandles i andet end videnskabeligt eller statistisk øjemed.
Stk. 3. Hvis den afgivende dataansvarlige over for den registrerede har oplyst, at oplysningerne ikke vil blive videregivet, må der ikke ske videregivelse.
Videregivelse af personoplysninger skal ske i pseudonymiseret form, således at oplysningerne ikke er umiddelbart personhenførbare for den modtagende dataansvarlige, jf. dog § 4.
Hvis det er strengt nødvendigt for udførelsen af den statistiske eller videnskabelige undersøgelse, at den enkelte registrerede kan identificeres, kan supplerende oplysninger videregives, således at personoplysningerne kan henføres til bestemte fysiske personer.
Stk. 2. De supplerende oplysninger skal i videst muligt omfang videregives adskilt fra personoplysningerne til en autoriseret person hos den modtagende dataansvarlige, jf. § 10.
Hvis personoplysningerne videregives ved overførsel over internettet eller andet eksternt netværk, skal den afgivende dataansvarlige træffe passende sikkerhedsforanstaltninger.
Ved transmission af fortrolige og følsomme personoplysninger over internettet eller eksterne netværk skal den dataansvarlige som minimum anvende passende kryptering.
Der skal i øvrigt i overensstemmelse med databeskyttelsesforordningens artikel 32 gennemføres passende tekniske og organisatoriske foranstaltninger under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostninger og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder med henblik på at sikre et sikkerhedsniveau, der passer til disse risici.
Det skal inden videregivelsen påses, at personoplysningerne udelukkende videreanvendes til statistiske eller videnskabelige undersøgelser. Endvidere skal det påses, at den modtagende dataansvarlige overholder §§ 10-14.
Fra tidspunktet for videregivelsen skal det kunne dokumenteres, at § 8 er overholdt. Dokumentation skal ske ved indhentelse af en skriftligt begrundet erklæring eller lignende fra den modtagende dataansvarlige.
Videregivelse skal ske til personer, som af den modtagende dataansvarlige er autoriseret til at have adgang til de pågældende personoplysninger. Der må kun autoriseres personer, der er beskæftiget med personoplysningerne. De enkelte personer må ikke autoriseres til anvendelser, som de ikke har behov for.
Der skal gives den fornødne instruktion til de medarbejdere, som har adgang til personoplysningerne. Medarbejderne skal i den forbindelse gøres bekendt med, at personoplysningerne alene må behandles med henblik på udførelse af statistiske eller videnskabelige undersøgelser, og at personoplysningerne ikke senere må behandles i andet end videnskabeligt eller statistisk øjemed.
Der må ikke behandles flere oplysninger, end hvad der er nødvendigt af hensyn til udførelsen af den statistiske eller videnskabelige undersøgelse. Efter modtagelsen af oplysningerne skal personoplysninger, der ikke er nødvendige af hensyn til den statistiske eller videnskabelige undersøgelse, hurtigst muligt slettes, tilintetgøres eller tilbageleveres.
Der skal i øvrigt i overensstemmelse med databeskyttelsesforordningens artikel 32 gennemføres passende tekniske og organisatoriske foranstaltninger under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostninger og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder med henblik på at sikre et sikkerhedsniveau, der passer til disse risici.
Personoplysninger skal ved undersøgelsens afslutning slettes, anonymiseres, tilintetgøres eller tilbageleveres, således at det efterfølgende ikke er muligt at identificere fysiske personer ud fra oplysningerne eller i kombination med andre oplysninger. Alternativt kan personoplysningerne overføres til opbevaring i arkiv efter reglerne i arkivlovgivningen.
Medmindre højere straf er forskyldt efter den øvrige lovgivning, straffes overtrædelse af §§ 2-9 med bøde eller fængsel indtil 6 måneder.
Bekendtgørelsen træder i kraft den 1. januar 2020.
/ Cristina A. Gulisano
