Data Act 2023/2854 DA

c)	dataindehaveres tilrådighedsstillelse af data for offentlige myndigheder, Kommissionen, Den Europæiske Centralbank og EU-organer, hvis der er et ekstraordinært behov for de pågældende data med henblik på udførelse af en specifik opgave i offentlighedens interesse

d)	lettelse af skift mellem databehandlingstjenester

e)	indførelse af sikkerhedsforanstaltninger mod tredjeparts ulovlige adgang til andre data end personoplysninger, og

f)	sikring af udvikling af interoperabilitetsstandarder for data, der skal tilgås, overføres og anvendes.

2. Denne forordning omfatter personoplysninger og andre data end personoplysninger, herunder følgende datatyper, i følgende sammenhænge:

a)	Kapitel II finder anvendelse på data, bortset fra indhold, vedrørende produkters og relaterede tjenesters ydeevne, anvendelse og omgivelser.

b)	Kapitel III finder anvendelse på data fra den private sektor, der er underlagt lovbestemte forpligtelser vedrørende datadeling.

c)	Kapitel IV finder anvendelse på data fra den private sektor, der tilgås og anvendes på grundlag af aftaler mellem virksomheder.

d)	Kapitel V finder anvendelse på data fra den private sektor med fokus på andre data end personoplysninger.

e)	Kapitel VI finder anvendelse på data og tjenester, der behandles af udbydere af databehandlingstjenester.

f)	Kapitel VII finder anvendelse på andre data end personoplysninger, som udbydere af databehandlingstjenester er i besiddelse af i Unionen.

3. Denne forordning finder anvendelse på:

a)	producenter af forbundne produkter, som bringes i omsætning i Unionen, og udbydere af relaterede tjenester, uanset disse producenters og udbyderes etableringssted

b)	brugere i Unionen af forbundne produkter eller relaterede tjenester, jf. litra a)

c)	dataindehavere, uanset deres etableringssted, der stiller data til rådighed for datamodtagere i Unionen

d)	datamodtagere i Unionen, som dataene stilles til rådighed for

offentlige myndigheder, Kommissionen, Den Europæiske Centralbank og EU-organer, der anmoder dataindehavere om at stille data til rådighed, hvis der er et ekstraordinært behov for de pågældende data med henblik på udførelse af en specifik opgave i offentlighedens interesse, og de dataindehavere, der leverer disse data som følge af en sådan anmodning

f)	udbydere af databehandlingstjenester, uanset deres etableringssted, der udbyder sådanne tjenester til kunder i Unionen

g)	deltagere i dataområder og leverandører af applikationer, der anvender intelligente kontrakter, og personer, hvis erhverv, forretning eller profession omfatter indførelse af intelligente kontrakter for andre i forbindelse med gennemførelsen af en aftale.

4. Når der i denne forordning henvises til forbundne produkter eller relaterede tjenester, skal sådanne henvisninger forstås som omfattende også virtuelle assistenter, for så vidt som de interagerer med et forbundet produkt eller en relateret tjeneste.

5. Denne forordning berører ikke EU-retten og national ret om beskyttelse af personoplysninger, privatlivets fred og kommunikationshemmeligheden samt integriteten af terminaludstyr, som finder anvendelse på personoplysninger, der behandles i forbindelse med de rettigheder og forpligtelser, der er fastsat i denne forordning, navnlig forordning (EU) 2016/679 og (EU) 2018/1725 og direktiv 2002/58/EF, herunder tilsynsmyndighedernes beføjelser og kompetencer og de registreredes rettigheder. For så vidt som brugere er registrerede, supplerer de rettigheder, der er fastsat i nærværende forordnings kapitel II, registreredes indsigtsret og retten til dataportabilitet i henhold til artikel 15 og 20 i forordning (EU) 2016/679. I tilfælde af uoverensstemmelse mellem nærværende forordning og EU-retten om beskyttelse af personoplysninger eller privatlivets fred eller national ret vedtaget i overensstemmelse med EU-retten har den relevante EU-ret eller nationale ret om beskyttelse af personoplysninger eller privatlivets fred forrang.

6. Denne forordning finder ikke anvendelse på og foregriber heller ikke frivillige ordninger for udveksling af data mellem private og offentlige enheder, navnlig frivillige ordninger for deling af data.

Denne forordning berører ikke EU-retsakter eller nationale retsakter om deling af, adgang til og anvendelse af data med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, eller til told- og skatteformål, navnlig forordning (EU) 2021/784, (EU) 2022/2065 og (EU) 2023/1543 og direktiv (EU) 2023/1544, eller internationalt samarbejde på dette område. Nærværende forordning finder ikke anvendelse på indsamling eller deling af, adgang til eller anvendelse af data i henhold til forordning (EU) 2015/847 og direktiv (EU) 2015/849. Nærværende forordning finder ikke anvendelse på områder, der falder uden for EU-rettens anvendelsesområde, og berører under ingen omstændigheder medlemsstaternes kompetencer vedrørende offentlig sikkerhed, forsvar eller national sikkerhed, uanset hvilken type enhed medlemsstaterne har bemyndiget til at udføre opgaver i forbindelse med disse kompetencer, eller deres beføjelse til at beskytte andre væsentlige statslige funktioner, herunder sikring af statens territoriale integritet og opretholdelse af lov og orden. Nærværende forordning berører ikke medlemsstaternes kompetencer vedrørende told- og skatteforvaltning eller borgernes sundhed og sikkerhed.

7. Denne forordning supplerer selvreguleringstilgangen i forordning (EU) 2018/1807 ved at tilføje alment gældende forpligtelser vedrørende cloudskift.

8. Denne forordning berører ikke EU-retsakter og nationale retsakter om beskyttelse af intellektuelle ejendomsrettigheder, navnlig direktiv 2001/29/EF, 2004/48/EF og (EU) 2019/790.

9. Denne forordning supplerer og berører ikke EU-ret, der har til formål at fremme forbrugernes interesser og sikre et højt forbrugerbeskyttelsesniveau og at beskytte deres sundhed, sikkerhed og økonomiske interesser, navnlig direktiv 93/13/EØF, 2005/29/EF og 2011/83/EU.

10. Denne forordning er ikke til hinder for, at der kan indgås frivillige lovlige datadelingsaftaler, herunder aftaler, der er indgået på et gensidigt grundlag, og som opfylder kravene i denne forordning.

Artikel 11

Tekniske beskyttelsesforanstaltninger om uautoriseret anvendelse eller videregivelse af data

1. En dataindehaver kan anvende passende tekniske beskyttelsesforanstaltninger, herunder intelligente kontrakter og kryptering, for at forhindre uautoriseret adgang til data, herunder metadata, og sikre overholdelse af artikel 4, 5, 6, 8 og 9 samt af de aftalte kontraktvilkår for at stille data til rådighed. Sådanne tekniske beskyttelsesforanstaltninger må hverken forskelsbehandle datamodtagere eller hindre en brugers ret til at få en kopi af, hente, anvende eller tilgå data eller levere data til tredjeparter i henhold til artikel 5 eller en tredjeparts rettigheder i henhold til EU-retten eller national lovgivning vedtaget i overensstemmelse med EU-retten. Brugere, tredjeparter og datamodtagere må ikke ændre eller fjerne sådanne tekniske beskyttelsesforanstaltninger, medmindre det er aftalt med dataindehaveren.

2. I de tilfælde, der er omhandlet i stk. 3, skal tredjeparten eller datamodtageren uden unødigt ophold imødekomme anmodningerne fra dataindehaveren og i givet fald og hvor de ikke er den samme person, forretningshemmelighedshaveren eller fra brugeren om at:

a)	slette de data, som dataindehaveren har stillet til rådighed, samt alle kopier heraf

ophøre med produktion, udbud til salg, bringen i omsætning eller anvendelse af varer, afledte data eller tjenester, der er fremstillet på grundlag af viden, der er opnået ved hjælp af sådanne data, samt ophøre med import, eksport eller oplagring af sådanne krænkende varer og tilintetgøre alle krænkende varer, hvis der er alvorlig risiko for, at ulovlig anvendelse af disse data vil forvolde dataindehaveren, forretningshemmelighedshaveren eller brugeren væsentlig skade, eller hvis en sådan foranstaltning ikke vil være uforholdsmæssig i forhold til dataindehaverens, forretningshemmelighedshaverens eller brugerens interesser

c)	informere brugeren om den uautoriserede anvendelse eller videregivelse af data samt om de foranstaltninger, der er truffet for at bringe den uautoriserede anvendelse eller videregivelse af dataene til ophør

d)	yde godtgørelse til den part, der lider skade på grund af misbrug eller videregivelse af sådanne data, som er tilgået eller anvendt ulovligt.

3. Stk. 2 finder anvendelse, hvis en tredjepart eller en datamodtager:

a)	med henblik på opnåelse af data har givet urigtige oplysninger til en dataindehaver, har anvendt vildledende midler eller tvangsmidler, eller har misbrugt mangler i dataindehaverens tekniske databeskyttelsesinfrastruktur

b)	har anvendt de data, der er stillet til rådighed, til uautoriserede formål, herunder udvikling af et konkurrerende forbundet produkt som omhandlet i artikel 6, stk. 2, litra e)

c)	ulovligt har videregivet data til en anden part

d)	ikke har opretholdt de tekniske og organisatoriske foranstaltninger, der er aftalt i henhold til artikel 5, stk. 9, eller

e)	har ændret eller fjernet tekniske beskyttelsesforanstaltninger, som dataindehaveren anvender i henhold til nærværende artikels stk. 1, uden dataindehaverens samtykke.

4. Stk. 2 finder også anvendelse, hvis en bruger ændrer eller fjerner tekniske beskyttelsesforanstaltninger, som dataindehaveren anvender, eller ikke opretholder de tekniske og organisatoriske foranstaltninger, som brugeren har truffet efter aftale med dataindehaveren eller, når det ikke er den samme person, forretningshemmelighedshaveren, for at beskytte forretningshemmeligheder, samt hvad angår enhver anden part, der modtager dataene fra brugeren ved hjælp af en overtrædelse af denne forordning.

5. Hvis datamodtageren overtræder artikel 6, stk. 2, litra a) eller b), har brugere de samme rettigheder som dataindehavere i henhold til nærværende artikels stk. 2.

Artikel 25

Aftalevilkår i forbindelse med skift

1. Kundens rettigheder og de forpligtelser, der påhviler udbyderen af databehandlingstjenester i forbindelse med skift mellem udbydere af sådanne tjenester eller i givet fald til en lokal IKT-infrastruktur, skal fremgå klart af en skriftlig aftale. Udbyderen af databehandlingstjenester skal gøre denne aftale tilgængelig for kunden, inden aftalen underskrives, på en måde, som giver kunden mulighed for at lagre og gengive aftalen.

2. Uden at det berører direktiv (EU) 2019/770, skal den i denne artikels stk. 1 omhandlede aftale mindst indeholde følgende:

bestemmelser, der gør det muligt for kunden efter anmodning at skifte til en databehandlingstjeneste, der tilbydes af en anden udbyder af databehandlingstjenester, eller at portere alle eksporterbare data og digitale aktiver til en lokal IKT-infrastruktur uden unødig forsinkelse og under alle omstændigheder ikke efter den obligatoriske maksimale overgangsperiode på 30 kalenderdage, som påbegyndes efter den maksimale opsigelsesfrist omhandlet i litra d), i løbet af hvilken tjenesteydelsesaftalen fortsat finder anvendelse, og hvori udbyderen af databehandlingstjenester skal:

i)	yde rimelig bistand til kunden og tredjeparter, der er godkendt af kunden, i skifteprocessen

ii)	handle med fornøden omhu for at opretholde forretningskontinuitet og fortsætte leveringen af de funktioner eller tjenester, der er omfattet af aftalen

iii)	fremlægge klare oplysninger om kendte risici for kontinuitet i leveringen af funktionerne eller tjenesterne på vegne af kildeudbyderen af databehandlingstjenester

iv)	sikre, at der opretholdes et højt sikkerhedsniveau i hele skifteprocessen, navnlig datasikkerhed under overførslen og fortsat datasikkerhed i den udtræksperiode, der er fastsat i litra g), i overensstemmelse med gældende EU-ret eller national ret

b)	en forpligtelse for udbyderen af databehandlingstjenester til at støtte kundens exitstrategi, der er relevant for de aftalte tjenester, herunder ved at stille alle relevante oplysninger til rådighed

en bestemmelse om, at aftalen anses for at være ophørt, og at kunden skal underrettes om ophøret, i et af følgende tilfælde:

i)	i givet fald efter vellykket afslutning på skifteprocessen

ii)	ved udløbet af den maksimale opsigelsesfrist omhandlet i litra d), hvis kunden ikke ønsker at skifte, men at slette sine eksporterbare data og digitale aktiver ved tjenestens ophør

d)	en maksimal opsigelsesfrist for indledning af skifteprocessen, som ikke må overstige to måneder

e)	en udtømmende specifikation af alle kategorier af data og digitale aktiver, der kan porteres i skifteprocessen, herunder som minimum alle eksporterbare data

en udtømmende specifikation af datakategorier, der er specifikke for udbyderens databehandlingstjenestes interne funktion, og som skal undtages fra de eksporterbare data i henhold til dette stykkes litra e), hvis der er risiko for brud på udbyderens forretningshemmeligheder, forudsat at sådanne undtagelser ikke hindrer eller forsinker skifteprocessen foreskrevet i artikel 23

g)	en minimumsperiode for dataudtræk på mindst 30 kalenderdage begyndende efter udløbet af den overgangsperiode, der er aftalt mellem kunden og udbyderen af databehandlingstjenester i overensstemmelse med dette stykkes litra a) og stk. 4

en bestemmelse, der sikrer fuldstændig sletning af alle eksporterbare data og digitale aktiver, som er genereret direkte af kunden, eller som vedrører kunden direkte, efter udløbet af den i litra g) omhandlede udtræksperiode eller efter udløbet af en alternativ aftalt periode på en senere dato end den udløbsdato for udtræksperioden, der er omhandlet i litra g), forudsat at skifteprocessen er afsluttet på en vellykket måde

i)	skiftegebyrer, der kan pålægges af udbydere af databehandlingstjenester i henhold til artikel 29.

3. Aftalen omhandlet i stk. 1 skal indeholde bestemmelser om, at kunden kan underrette udbyderen af databehandlingstjenester om sin beslutning om at udføre en eller flere af følgende handlinger ved udløbet af den maksimale opsigelsesfrist omhandlet i stk. 2, litra d):

a)	skifte til en anden udbyder af databehandlingstjenester, i hvilket tilfælde kunden skal give de nødvendige oplysninger om den pågældende udbyder

b)	skifte til en lokal IKT- infrastruktur

c)	slette sine eksporterbare data og digitale aktiver.

4. Hvis den obligatoriske maksimale overgangsperiode som fastlagt i stk. 2, litra a), ikke er teknisk gennemførlig, underretter udbyderen af databehandlingstjenester kunden inden for 14 arbejdsdage efter indgivelse af anmodningen om skift og begrunder behørigt den manglende tekniske gennemførlighed og angiver en alternativ overgangsperiode, som ikke må overstige syv måneder. I overensstemmelse med stk. 1 skal der sikres driftskontinuitet i hele den alternative overgangsperiode.

5. Uden at det berører stk. 4, skal aftalen omhandlet i stk. 1 indeholde bestemmelser, der giver kunden ret til at forlænge overgangsperioden én gang med en periode, som kunden anser for at være mere hensigtsmæssig med henblik på dennes egne interesser.

Artikel 27

Forpligtelse til god tro

Alle involverede parter, herunder destinationsudbydere af databehandlingstjenester, samarbejder i god tro om at gøre skifteprocessen effektiv, muliggøre rettidig overførsel af data og opretholde kontinuitet af databehandlingstjenesten.

whereas

keyboard_tab Data Act 2023/2854 DA

Data Act 2023/2854 DA