Personvernforordningen

Denne forordning fastsetter regler om vern av fysiske personer i forbindelse med behandling av personopplysninger samt regler om fri utveksling av personopplysninger.

Denne forordning sikrer vern av fysiske personers grunnleggende rettigheter og friheter, særlig deres rett til vern av personopplysninger.

Fri utveksling av personopplysninger i Unionen skal verken begrenses eller forbys av årsaker knyttet til vern av fysiske personer i forbindelse med behandling av personopplysninger.

Denne forordning får anvendelse på helt eller delvis automatisert behandling av personopplysninger og på ikke-automatisert behandling av personopplysninger som inngår i eller skal inngå i et register.

Denne forordning får ikke anvendelse på behandling av personopplysninger som utføres

Forordning (EF) nr. 45/2001 får anvendelse på behandling av personopplysninger som utføres av Unionens institusjoner, organer, kontorer og byråer. Forordning (EF) nr. 45/2001 og andre av Unionens rettsakter som får anvendelse på slik behandling av personopplysninger, skal tilpasses prinsippene og reglene i denne forordning i samsvar med artikkel 98.

Denne forordning berører ikke anvendelsen av direktiv 2000/31/EF, særlig reglene for tjenesteytende mellommenns ansvar i artikkel 12–15 i nevnte direktiv.

Denne forordning får anvendelse på behandling av personopplysninger som utføres i forbindelse med aktivitetene ved virksomheten til en behandlingsansvarlig eller en databehandler i Unionen, uavhengig av om behandlingen finner sted i Unionen eller ikke.

Denne forordning får anvendelse på behandling av personopplysninger om registrerte som befinner seg i Unionen, og som utføres av en behandlingsansvarlig eller databehandler som ikke er etablert i Unionen, dersom behandlingen er knyttet til

Denne forordning får anvendelse på behandling av personopplysninger som utføres av en behandlingsansvarlig som ikke er etablert i Unionen, men på et sted der en medlemsstats nasjonale rett får anvendelse i henhold til folkeretten.

«personopplysninger» enhver opplysning om en identifisert eller identifiserbar fysisk person («den registrerte»); en identifiserbar fysisk person er en person som direkte eller indirekte kan identifiseres, særlig ved hjelp av en identifikator, f.eks. et navn, et identifikasjonsnummer, lokaliseringsopplysninger, en nettidentifikator eller ett eller flere elementer som er spesifikke for nevnte fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sosiale identitet,

«behandling» enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger, enten automatisert eller ikke, f.eks. innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring,

«begrensning av behandling» merking av lagrede personopplysninger med det som mål å begrense behandlingen av disse i framtiden,

«profilering» enhver form for automatisert behandling av personopplysninger som innebærer å bruke personopplysninger for å vurdere visse personlige aspekter knyttet til en fysisk person, særlig for å analysere eller forutsi aspekter som gjelder nevnte fysiske persons arbeidsprestasjoner, økonomiske situasjon, helse, personlige preferanser, interesser, pålitelighet, atferd, plassering eller bevegelser,

«pseudonymisering» behandling av personopplysninger på en slik måte at personopplysningene ikke lenger kan knyttes til en bestemt registrert uten bruk av tilleggsopplysninger, forutsatt at nevnte tilleggsopplysninger lagres atskilt og omfattes av tekniske og organisatoriske tiltak som sikrer at personopplysningene ikke kan knyttes til en identifisert eller identifiserbar fysisk person,

«register» enhver strukturert samling av personopplysninger som er tilgjengelig etter særlige kriterier, enten samlingen er plassert sentralt, er desentralisert eller spredt på et funksjonelt eller geografisk grunnlag,

«behandlingsansvarlig» en fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert annet organ som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes; når formålet med og midlene for behandlingen er fastsatt i unionsretten eller i medlemsstatenes nasjonale rett, kan den behandlingsansvarlige, eller de særlige kriteriene for utpeking av vedkommende, fastsettes i unionsretten eller i medlemsstatenes nasjonale rett,

«databehandler» en fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ som behandler personopplysninger på vegne av den behandlingsansvarlige,

«mottaker» en fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ som personopplysninger utleveres til, enten det dreier seg om en tredjepart eller ikke. Offentlige myndigheter som kan motta personopplysninger innenfor rammen av en særskilt undersøkelse i samsvar med unionsretten eller medlemsstatenes nasjonale rett, skal imidlertid ikke anses som mottakere; nevnte offentlige myndigheters behandling av slike opplysninger skal være i samsvar med gjeldende regler om vern av personopplysninger i henhold til formålet med behandlingen,

«tredjepart» enhver annen fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ enn den registrerte, den behandlingsansvarlige, databehandleren og de personer som under den behandlingsansvarlige eller databehandlerens direkte myndighet har fullmakt til å behandle personopplysninger,

«samtykke» fra den registrerte enhver frivillig, spesifikk, informert og utvetydig viljesytring fra den registrerte der vedkommende ved en erklæring eller en tydelig bekreftelse gir sitt samtykke til behandling av personopplysninger som gjelder vedkommende,

«brudd på personopplysningssikkerheten» et brudd på sikkerheten som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, ulovlig spredning av eller tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet,

«genetiske opplysninger» personopplysninger om en fysisk persons nedarvede eller ervervede genetiske egenskaper som gir unik informasjon om den aktuelle fysiske personens fysiologi eller helse, og som særlig er framkommet etter analysering av en biologisk prøve fra den aktuelle fysiske personen,

«biometriske opplysninger» personopplysninger som stammer fra en særskilt teknisk behandling knyttet til en fysisk persons fysiske, fysiologiske eller atferdsmessige egenskaper, og som muliggjør eller bekrefter en entydig identifikasjon av nevnte fysiske person, f.eks. ansiktsbilder eller fingeravtrykksopplysninger,

«helseopplysninger» personopplysninger om en fysisk persons fysiske eller psykiske helse, herunder om ytelse av helsetjenester, som gir informasjon om vedkommendes helsetilstand,

«hovedvirksomhet»:

«representant» en fysisk eller juridisk person som er etablert i Unionen, som den behandlingsansvarlige eller databehandleren har utpekt skriftlig i henhold til artikkel 27, og som representerer den behandlingsansvarlige eller databehandleren med hensyn til de forpliktelser de har i henhold til denne forordning,

«foretak» en fysisk eller juridisk person som utøver økonomisk virksomhet, uavhengig av foretakets rettslige form, herunder partnerskap eller sammenslutninger som regelmessig utøver økonomisk virksomhet,

«konsern» et foretak som utøver kontroll, og dets kontrollerte foretak,

«bindende virksomhetsregler» retningslinjer for vern av personopplysninger som en behandlingsansvarlig eller databehandler som er etablert på en medlemsstats territorium, følger i forbindelse med en overføring eller en rekke overføringer av personopplysninger til en behandlingsansvarlig eller databehandler i én eller flere tredjestater internt i et konsern eller gruppe av foretak som utøver en felles økonomisk virksomhet,

«tilsynsmyndighet» en uavhengig offentlig myndighet som er opprettet av en medlemsstat i henhold til artikkel 51,

«berørt tilsynsmyndighet» en tilsynsmyndighet som er berørt av en behandling av personopplysninger, fordi

«grenseoverskridende behandling»

«relevant og begrunnet innsigelse» en innsigelse mot et utkast til avgjørelse om hvorvidt det foreligger en overtredelse av denne forordning eller om hvorvidt et planlagt tiltak som gjelder den behandlingsansvarlige eller databehandleren, er i samsvar med denne forordning, og som tydelig viser betydningen av risikoene som utkastet til avgjørelse utgjør med hensyn til de registrertes grunnleggende rettigheter og friheter og, dersom det er relevant, den frie flyten av personopplysninger i Unionen,

«informasjonssamfunnstjeneste» en tjeneste som definert i artikkel 1 nr. 1 bokstav b) i europaparlaments- og rådsdirektiv (EU) 2015/1535,

«internasjonal organisasjon» en organisasjon og dens underordnede organer som er underlagt folkeretten, eller ethvert annet organ opprettet ved eller på grunnlag av en avtale mellom to eller flere stater.

Personopplysninger skal

Den behandlingsansvarlige er ansvarlig for og skal kunne påvise at nr. 1 overholdes («ansvar»).

Behandlingen er bare lovlig dersom og i den grad minst ett av følgende vilkår er oppfylt:

Medlemsstatene kan opprettholde eller innføre mer spesifikke bestemmelser for å tilpasse anvendelsen av reglene for behandling i denne forordning med henblikk på å sikre samsvar med nr. 1 bokstav c) og e) ved nærmere å fastsette mer spesifikke krav til behandlingen samt andre tiltak som har som mål å sikre en lovlig og rettferdig behandling, herunder i forbindelse med andre særlige behandlingssituasjoner som nevnt i kapittel IX.

Grunnlaget for behandlingen nevnt i nr. 1 bokstav c) og e) skal fastsettes i

Dersom behandlingen for et annet formål enn det som personopplysningene er blitt samlet inn for, ikke bygger på den registrertes samtykke eller på unionsretten eller medlemsstatenes nasjonale rett som utgjør et nødvendig og forholdsmessig tiltak i et demokratisk samfunn for å sikre oppnåelse av målene nevnt i artikkel 23 nr. 1, skal den behandlingsansvarlige for å avgjøre om behandlingen for et annet formål er forenlig med formålet som personopplysningene opprinnelig ble samlet inn for, blant annet ta hensyn til følgende:

Dersom artikkel 6 nr. 1 bokstav a) får anvendelse i forbindelse med tilbud om informasjonssamfunnstjenester direkte til et barn, er behandling av et barns personopplysninger lovlig dersom barnet er minst 16 år. Dersom barnet er under 16 år, er slik behandling lovlig bare dersom og i den grad samtykke er gitt eller godkjent av den som har foreldreansvar for barnet.

For disse formål kan medlemsstatene ved lov fastsette en lavere aldersgrense, forutsatt at den ikke er lavere enn 13 år.

I slike tilfeller skal den behandlingsansvarlige treffe rimelige tiltak for å kontrollere at samtykke er gitt eller godkjent av den som har foreldreansvar for barnet, idet det tas hensyn til tilgjengelig teknologi.

Nr. 1 skal ikke påvirke medlemsstatenes alminnelige avtalerett, f.eks. reglene for gyldigheten, utformingen eller virkningen av en avtale som gjelder et barn.

Behandling av personopplysninger om rasemessig eller etnisk opprinnelse, politisk oppfatning, religion, filosofisk overbevisning eller fagforeningsmedlemskap, samt behandling av genetiske opplysninger og biometriske opplysninger med det formål å entydig identifisere en fysisk person, helseopplysninger eller opplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering, er forbudt.

Nr. 1 får ikke anvendelse dersom et av følgende vilkår er oppfylt:

Personopplysningene nevnt i nr. 1 kan behandles for formålene nevnt i nr. 2 bokstav h) dersom opplysningene behandles av en fagperson som har taushetsplikt i henhold til unionsretten eller medlemsstatenes nasjonale rett eller regler fastsatt av nasjonale vedkommende organer, eller under en slik persons ansvar, eller av en annen person som også har taushetsplikt i henhold til unionsretten eller medlemsstatenes nasjonale rett eller regler fastsatt av nasjonale vedkommende organer.

Medlemsstatene kan opprettholde eller innføre ytterligere vilkår, herunder begrensninger, med hensyn til behandling av genetiske opplysninger, biometriske opplysninger eller helseopplysninger.

Dersom formålene med den behandlingsansvarliges behandling av personopplysninger ikke krever eller ikke lenger krever at den behandlingsansvarlige kan identifisere en registrert, skal den behandlingsansvarlige ikke ha plikt til å bevare, innhente eller behandle ytterligere opplysninger for å identifisere den registrerte utelukkende med det formål å oppfylle kravene i denne forordning.

Dersom den behandlingsansvarlige i tilfeller nevnt i nr. 1 i denne artikkel kan påvise at vedkommende ikke er i stand til å identifisere den registrerte, skal den behandlingsansvarlige, dersom det er mulig, informere den registrerte om dette. I slike tilfeller får artikkel 15–20 ikke anvendelse, bortsett fra når den registrerte for å utøve sine rettigheter i henhold til nevnte artikler gir ytterligere opplysninger som gjør det mulig å identifisere vedkommende.

Den behandlingsansvarlige skal treffe egnede tiltak for å framlegge for den registrerte informasjonen nevnt i artikkel 13 og 14 og all kommunikasjon i henhold til artikkel 15–22 og 34 om behandlingen på en kortfattet, åpen, forståelig og lett tilgjengelig måte og på et klart og enkelt språk, især når det gjelder informasjon som spesifikt er rettet mot et barn. Informasjonen skal gis skriftlig eller på en annen måte, herunder elektronisk dersom det er hensiktsmessig. På anmodning fra den registrerte kan informasjonen gis muntlig, forutsatt at den registrertes identitet bevises på andre måter.

Den behandlingsansvarlige skal legge til rette for at den registrerte kan utøve sine rettigheter i henhold til artikkel 15–22. I tilfellene nevnt i artikkel 11 nr. 2 skal den behandlingsansvarlige ikke nekte å etterkomme den registrertes anmodning om å utøve sine rettigheter i henhold til artikkel 15–22, med mindre den behandlingsansvarlige påviser at vedkommende ikke er i stand til å identifisere den registrerte.

Den behandlingsansvarlige skal informere den registrerte om tiltak som er truffet på grunnlag av en anmodning i henhold til artikkel 15–22, uten ugrunnet opphold og senest én måned etter mottak av anmodningen. Denne fristen kan ved behov forlenges med ytterligere to måneder, idet det tas hensyn til antall anmodninger og anmodningenes kompleksitet. Den behandlingsansvarlige skal informere den registrerte om enhver slik forlengelse senest én måned etter mottak av anmodningen sammen med en begrunnelse for forsinkelsen. Dersom den registrerte inngir anmodningen elektronisk, skal informasjonen om mulig gis elektronisk, med mindre den registrerte anmoder om noe annet.

Dersom den behandlingsansvarlige ikke treffer tiltak på anmodning fra den registrerte, skal den behandlingsansvarlige informere den registrerte uten opphold og senest én måned etter mottak av anmodningen om årsakene til dette og om muligheten for å inngi klage til en tilsynsmyndighet og for rettslig prøving.

Informasjon som gis i henhold til artikkel 13 og 14, og enhver kommunikasjon og ethvert tiltak som treffes i henhold til artikkel 15–22 og 34, skal være gratis. Dersom anmodninger fra en registrert er åpenbart grunnløse eller overdrevne, særlig dersom de gjentas, kan den behandlingsansvarlige enten

Uten at det berører artikkel 11, kan den behandlingsansvarlige, dersom det hersker rimelig tvil om identiteten til den fysiske personen som inngir anmodningen nevnt i artikkel 15–21, anmode om ytterligere opplysninger som er nødvendige for å kunne bekrefte den registrertes identitet.

Informasjonen som skal gis de registrerte i henhold til artikkel 13 og 14, kan gis sammen med standardiserte ikoner for å gi en lett synlig, forståelig, lettlest og meningsfull oversikt over den tiltenkte behandlingen. Dersom ikonene presenteres elektronisk, skal de være maskinlesbare.

Kommisjonen skal gis myndighet til å vedta delegerte rettsakter i samsvar med artikkel 92 for å fastsette hvilken informasjon som skal gis ved hjelp av ikoner, og framgangsmåtene for å tilveiebringe standardiserte ikoner.

Dersom personopplysninger ikke er blitt samlet inn fra den registrerte, skal den behandlingsansvarlige gi den registrerte følgende informasjon:

I tillegg til informasjonen nevnt i nr. 1 skal den behandlingsansvarlige gi den registrerte følgende informasjon som er nødvendig for å sikre den registrerte en rettferdig og åpen behandling:

Den behandlingsansvarlige skal gi informasjonen nevnt i nr. 1 og 2

Dersom den behandlingsansvarlige har til hensikt å viderebehandle personopplysningene for et annet formål enn det opplysningene ble samlet inn for, skal den behandlingsansvarlige før nevnte viderebehandling gi den registrerte informasjon om nevnte andre formål og annen relevant informasjon som nevnt i nr. 2.

Nr. 1–4 får ikke anvendelse dersom og i den grad

Den registrerte skal ha rett til å få den behandlingsansvarliges bekreftelse på om personopplysninger om vedkommende behandles, og, dersom dette er tilfellet, innsyn i personopplysningene og følgende informasjon:

Dersom personopplysningene overføres til en tredjestat eller til en internasjonal organisasjon, skal den registrerte ha rett til å bli underrettet om de nødvendige garantiene i henhold til artikkel 46 i forbindelse med overføringen.

Den behandlingsansvarlige skal gjøre tilgjengelig en kopi av personopplysningene som behandles. Dersom den registrerte anmoder om flere kopier, kan den behandlingsansvarlige kreve et rimelig gebyr basert på administrasjonskostnadene. Dersom den registrerte inngir anmodningen elektronisk, og med mindre den registrerte anmoder om noe annet, skal informasjonen gis i en vanlig elektronisk form.

Retten til å motta en kopi nevnt i nr. 3 skal ikke ha negativ innvirkning på andres rettigheter og friheter.

Den registrerte skal ha rett til å få personopplysninger om seg selv slettet av den behandlingsansvarlige uten ugrunnet opphold, og den behandlingsansvarlige skal ha plikt til å slette personopplysninger uten ugrunnet opphold dersom et av de følgende forhold gjør seg gjeldende:

Dersom den behandlingsansvarlige har offentliggjort personopplysningene og i henhold til nr. 1 har plikt til å slette personopplysningene, skal vedkommende, idet det tas hensyn til tilgjengelig teknologi og gjennomføringskostnadene, treffe rimelige tiltak, herunder tekniske tiltak, for å underrette behandlingsansvarlige som behandler personopplysningene, om at den registrerte har anmodet om at nevnte behandlingsansvarlige skal slette alle lenker til, kopier eller reproduksjoner av nevnte personopplysninger.

Nr. 1 og 2 får ikke anvendelse dersom nevnte behandling er nødvendig

Den registrerte skal ha rett til å kreve av den behandlingsansvarlige at behandlingen begrenses dersom et av de følgende forhold gjør seg gjeldende:

Dersom behandlingen er blitt begrenset i henhold til nr. 1, skal slike personopplysninger, bortsett fra lagring, bare behandles med den registrertes samtykke eller for å fastsette, gjøre gjeldende eller forsvare rettskrav eller for å verne en annen fysisk eller juridisk persons rettigheter eller av hensyn til viktige allmenne interesser i Unionen eller en medlemsstat.

En registrert som har oppnådd begrensning av behandlingen i henhold til nr. 1, skal underrettes av den behandlingsansvarlige før nevnte begrensning av behandlingen oppheves.

Den registrerte skal ha rett til å motta personopplysninger om seg selv som vedkommende har gitt til en behandlingsansvarlig, i et strukturert, alminnelig anvendt og maskinlesbart format og skal ha rett til å overføre nevnte opplysninger til en annen behandlingsansvarlig uten at den behandlingsansvarlige som personopplysningene er gitt til, hindrer dette, dersom

Når den registrerte utøver sin rett til dataportabilitet i henhold til nr. 1, skal vedkommende, når det er teknisk mulig, ha rett til å få overført personopplysningene direkte fra en behandlingsansvarlig til en annen.

Utøvelse av rettigheten nevnt i nr. 1 i denne artikkel berører ikke artikkel 17. Nevnte rettighet får ikke anvendelse på behandling som er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt.

Rettigheten nevnt i nr. 1 skal ikke ha negativ innvirkning på andres rettigheter og friheter.

Den registrerte skal til enhver tid, av grunner knyttet til vedkommendes særlige situasjon, ha rett til å protestere mot behandling av personopplysninger om vedkommende, og som har grunnlag i artikkel 6 nr. 1 bokstav e) eller f), herunder profilering med grunnlag i nevnte bestemmelser. Den behandlingsansvarlige skal ikke lenger behandle personopplysningene, med mindre vedkommende kan påvise at det foreligger tvingende berettigede grunner for behandlingen som går foran den registrertes interesser, rettigheter og friheter, eller for å fastsette, gjøre gjeldende eller forsvare rettskrav.

Dersom personopplysninger behandles med henblikk på direkte markedsføring, skal den registrerte til enhver tid ha rett til å protestere mot behandling av personopplysninger som angår vedkommende, til slik markedsføring, herunder profilering i den grad dette er knyttet til direkte markedsføring.

Dersom den registrerte protesterer mot behandling med henblikk på direkte markedsføring, skal personopplysningene ikke lenger behandles for slike formål.

Senest på tidspunktet for den første kommunikasjonen med den registrerte skal vedkommende uttrykkelig gjøres oppmerksom på rettigheten nevnt i nr. 1 og 2, og informasjon om nevnte rettighet skal framlegges på en klar måte og atskilt fra annen informasjon.

I forbindelse med bruk av informasjonssamfunnstjenester og uten hensyn til direktiv 2002/58/EF kan den registrerte utøve sin rett til å protestere ved hjelp av automatiserte midler ved bruk av tekniske spesifikasjoner.

Dersom personopplysninger behandles for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål i henhold til artikkel 89 nr. 1, har den registrerte, av grunner knyttet til vedkommendes særlige situasjon, rett til å protestere mot behandling av personopplysninger om vedkommende, med mindre behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse.

Den registrerte skal ha rett til ikke å være gjenstand for en avgjørelse som utelukkende er basert på automatisert behandling, herunder profilering, som har rettsvirkning for eller på tilsvarende måte i betydelig grad påvirker vedkommende.

Nr. 1 får ikke anvendelse dersom avgjørelsen

I tilfellene nevnt i nr. 2 bokstav a) og c) skal den behandlingsansvarlige gjennomføre egnede tiltak for å verne den registrertes rettigheter og friheter og berettigede interesser, i det minste retten til menneskelig inngripen fra den behandlingsansvarlige, til å uttrykke sine synspunkter og til å bestride avgjørelsen.

Avgjørelsene nevnt i nr. 2 skal ikke bygge på særlige kategorier av personopplysninger nevnt i artikkel 9 nr. 1, med mindre artikkel 9 nr. 2 bokstav a) eller g) får anvendelse og det er innført egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser.

Unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige eller databehandleren er underlagt, kan ved lovgivningsmessige tiltak begrense rekkevidden av forpliktelsene og rettighetene fastsatt i artikkel 12–22 og artikkel 34 samt i artikkel 5 i den grad dens bestemmelser svarer til rettighetene og pliktene fastsatt i artikkel 12–22, når en slik begrensning overholder det vesentligste innholdet i de grunnleggende rettighetene og frihetene og er et nødvendig og forholdsmessig tiltak i et demokratisk samfunn for å sikre

Alle lovgivningsmessige tiltak nevnt i nr. 1 skal, når det er relevant, minst inneholde særlige bestemmelser om

Idet det tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene av varierende sannsynlighets- og alvorlighetsgrad for fysiske personers rettigheter og friheter, skal den behandlingsansvarlige gjennomføre egnede tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen utføres i samsvar med denne forordning. Nevnte tiltak skal gjennomgås på nytt og skal oppdateres ved behov.

Dersom det står i et rimelig forhold til behandlingsaktivitetene, skal tiltakene nevnt i nr. 1 omfatte den behandlingsansvarliges iverksetting av egnede retningslinjer for vern av personopplysninger.

Overholdelse av godkjente atferdsnormer som nevnt i artikkel 40 eller godkjente sertifiseringsmekanismer som nevnt i artikkel 42 kan brukes som en faktor for å påvise at den behandlingsansvarliges forpliktelser overholdes.

Idet det tas hensyn til den tekniske utviklingen, gjennomføringskostnadene, behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene av varierende sannsynlighets- og alvorlighetsgrad for fysiske personers rettigheter og friheter som behandlingen medfører, skal den behandlingsansvarlige, både på tidspunktet for fastsettelse av midlene som skal brukes i forbindelse med behandlingen, og på tidspunktet for selve behandlingen, gjennomføre egnede tekniske og organisatoriske tiltak, f.eks. pseudonymisering, utformet med sikte på en effektiv gjennomføring av prinsippene for vern av personopplysninger, f.eks. dataminimering, og for å integrere de nødvendige garantier i behandlingen for å oppfylle kravene i denne forordning og verne de registrertes rettigheter.

Den behandlingsansvarlige skal gjennomføre egnede tekniske og organisatoriske tiltak for å sikre at det som standard bare er personopplysninger som er nødvendige for hvert spesifikke formål med behandlingen, som behandles. Nevnte forpliktelse får anvendelse på den mengden personopplysninger som samles inn, omfanget av behandlingen av opplysningene, hvor lenge de lagres og deres tilgjengelighet. Nevnte tiltak skal særlig sikre at personopplysninger som standard ikke gjøres tilgjengelige for et ubegrenset antall fysiske personer uten den berørte personens medvirkning.

En godkjent sertifiseringsmekanisme i henhold til artikkel 42 kan brukes som en faktor for å påvise at kravene fastsatt i nr. 1 og 2 i denne artikkel overholdes.

Dersom to eller flere behandlingsansvarlige i fellesskap fastsetter formålene med og midlene for behandlingen, skal de være felles behandlingsansvarlige. De skal på en åpen måte fastsette sitt respektive ansvar for å overholde forpliktelsene i denne forordning, særlig med hensyn til utøvelse av den registrertes rettigheter og den plikt de har til å framlegge informasjonen nevnt i artikkel 13 og 14, ved hjelp av en ordning seg imellom, med mindre og i den grad de behandlingsansvarliges respektive ansvar er fastsatt i unionsretten eller medlemsstatenes nasjonale rett som de behandlingsansvarlige er underlagt. I ordningen kan det utpekes et kontaktpunkt for registrerte.

Ordningen nevnt i nr. 1 skal på behørig måte gjenspeile de felles behandlingsansvarliges respektive roller og forhold til de registrerte. Det vesentligste innholdet i ordningen skal gjøres tilgjengelig for den registrerte.

Uavhengig av vilkårene for ordningen nevnt i nr. 1 kan den registrerte utøve sine rettigheter i henhold til denne forordning med hensyn til og overfor hver av de behandlingsansvarlige.

Dersom artikkel 3 nr. 2 får anvendelse, skal den behandlingsansvarlige eller databehandleren skriftlig utpeke en representant i Unionen.

Forpliktelsen fastsatt i nr. 1 i denne artikkel får ikke anvendelse på

Representanten skal være etablert i en av medlemsstatene der de registrerte hvis personopplysninger behandles i forbindelse med tilbud av varer eller tjenester til dem eller hvis atferd monitoreres, befinner seg.

Den behandlingsansvarlige eller databehandleren skal gi representanten fullmakt til å være den, i tillegg til eller istedenfor den behandlingsansvarlige eller databehandleren, som især tilsynsmyndigheter og registrerte kan henvende seg til ved spørsmål om behandlingen, med henblikk på å sikre overholdelse av denne forordning.

Den behandlingsansvarliges eller databehandlerens utpeking av en representant skal ikke berøre eventuelle rettslige skritt mot den behandlingsansvarlige eller databehandleren selv.

Dersom en behandling skal utføres på vegne av en behandlingsansvarlig, skal den behandlingsansvarlige bare bruke databehandlere som gir tilstrekkelige garantier for at de vil gjennomføre egnede tekniske og organisatoriske tiltak som sikrer at behandlingen oppfyller kravene i denne forordning og vern av den registrertes rettigheter.

Databehandleren skal ikke engasjere en annen databehandler uten at det på forhånd er innhentet særlig eller generell skriftlig tillatelse til dette fra den behandlingsansvarlige. Dersom det er innhentet en generell skriftlig tillatelse, skal databehandleren underrette den behandlingsansvarlige om eventuelle planer om å benytte andre databehandlere eller skifte ut databehandlere, og dermed gi den behandlingsansvarlige muligheten til å motsette seg slike endringer.

Behandling utført av en databehandler skal være underlagt en avtale eller et annet rettslig dokument i henhold til unionsretten eller medlemsstatenes nasjonale rett som er bindende for databehandleren med hensyn til den behandlingsansvarlige, og der gjenstanden for og varigheten av behandlingen, behandlingens art og formål, typen personopplysninger og kategorier av registrerte samt den behandlingsansvarliges rettigheter og plikter er fastsatt. I nevnte avtale eller nevnte andre rettslige dokument skal det særlig angis at databehandleren

Dersom en databehandler engasjerer en annen databehandler for å utføre spesifikke behandlingsaktiviteter på vegne av den behandlingsansvarlige, skal nevnte andre databehandler pålegges de samme forpliktelsene med hensyn til vern av personopplysninger som er fastsatt i avtalen eller i et annet rettslig dokument mellom den behandlingsansvarlige og databehandleren som nevnt i nr. 3, ved hjelp av en avtale eller et annet rettslig dokument i henhold til unionsretten eller medlemsstatenes nasjonale rett, der det særlig gis tilstrekkelige garantier for at det vil bli gjennomført tekniske og organisatoriske tiltak som sikrer at behandlingen oppfyller kravene i denne forordning. Dersom nevnte andre databehandler ikke oppfyller sine forpliktelser med hensyn til vern av personopplysninger, skal den opprinnelige databehandleren overfor den behandlingsansvarlige ha fullt ansvar for at nevnte andre databehandler oppfyller sine forpliktelser.

En databehandlers overholdelse av godkjente atferdsnormer som nevnt i artikkel 40 eller en godkjent sertifiseringsmekanisme som nevnt i artikkel 42 kan brukes som en faktor for å påvise at det foreligger tilstrekkelige garantier som nevnt i nr. 1 og 4 i denne artikkel.

Uten at det berører en individuell avtale mellom den behandlingsansvarlige og databehandleren, kan avtalen eller det andre rettslige dokumentet nevnt i nr. 3 og 4 i denne artikkel helt eller delvis bygge på standardavtalevilkårene nevnt i nr. 7 og 8 i denne artikkel, herunder når de inngår i en sertifisering som er gitt den behandlingsansvarlige eller databehandleren i henhold til artikkel 42 og 43.

Kommisjonen kan fastsette standardavtalevilkår for tilfellene nevnt i nr. 3 og 4 i denne artikkel og i samsvar med undersøkelsesprosedyren nevnt i artikkel 93 nr. 2.

En tilsynsmyndighet kan vedta standardavtalevilkår for tilfellene nevnt i nr. 3 og 4 i denne artikkel og i samsvar med konsistensmekanismen nevnt i artikkel 63.

Avtalen eller det andre rettslige dokumentet nevnt i nr. 3 og 4 skal være skriftlig, herunder elektronisk.

Dersom en databehandler overtrer bestemmelsene i denne forordning ved å fastsette formålene med og midlene for behandlingen, skal databehandleren anses for å være en behandlingsansvarlig med hensyn til nevnte behandling, uten at det berører artikkel 82, 83 og 84.

Hver behandlingsansvarlig og, dersom det er relevant, den behandlingsansvarliges representant skal føre en protokoll over behandlingsaktiviteter som utføres under deres ansvar. Nevnte protokoll skal inneholde følgende informasjon:

Hver databehandler og, dersom det er relevant, databehandlerens representant skal føre en protokoll over alle kategorier av behandlingsaktiviteter som er utført på vegne av en behandlingsansvarlig, og som skal inneholde:

Protokollene nevnt i nr. 1 og 2 skal være skriftlige, herunder elektroniske.

Den behandlingsansvarlige eller databehandleren og, dersom det er relevant, den behandlingsansvarliges eller databehandlerens representant skal på anmodning gjøre protokollen tilgjengelig for tilsynsmyndigheten.

Forpliktelsene nevnt i nr. 1 og 2 gjelder ikke et foretak eller en organisasjon med færre enn 250 ansatte, med mindre behandlingen det/den utfører, sannsynligvis vil medføre en risiko for de registrertes rettigheter og friheter, behandlingen ikke skjer leilighetsvis eller omfatter særlige kategorier av opplysninger som nevnt i artikkel 9 nr. 1 eller personopplysninger om straffedommer og lovovertredelser nevnt i artikkel 10.

Idet det tas hensyn til den tekniske utviklingen, gjennomføringskostnadene og behandlingens art, omfang, formål og sammenhengen den utføres i, samt risikoene av varierende sannsynlighets- og alvorlighetsgrad for fysiske personers rettigheter og friheter, skal den behandlingsansvarlige og databehandleren gjennomføre egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen, herunder blant annet, alt etter hva som er egnet,

Ved vurderingen av egnet sikkerhetsnivå skal det særlig tas hensyn til risikoene forbundet med behandlingen, særlig som følge av utilsiktet eller ulovlig tilintetgjøring, tap, endring eller ikke-autorisert utlevering av eller tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet.

Overholdelse av godkjente atferdsnormer som nevnt i artikkel 40 eller en godkjent sertifiseringsmekanisme som nevnt i artikkel 42 kan brukes som en faktor for å påvise at kravene i nr. 1 i denne artikkel er oppfylt.

Den behandlingsansvarlige og databehandleren skal treffe tiltak for å sikre at enhver fysisk person som handler for den behandlingsansvarlige eller databehandleren, og som har tilgang til personopplysninger, behandler nevnte opplysninger bare etter instruks fra den behandlingsansvarlige, med mindre unionsretten eller medlemsstatenes nasjonale rett krever at vedkommende gjør dette.

Ved brudd på personopplysningssikkerheten skal den behandlingsansvarlige uten ugrunnet opphold og når det er mulig, senest 72 timer etter å ha fått kjennskap til det, melde bruddet til vedkommende tilsynsmyndighet i samsvar med artikkel 55, med mindre bruddet sannsynligvis ikke vil medføre en risiko for fysiske personers rettigheter og friheter. Dersom bruddet ikke meldes til tilsynsmyndigheten innen 72 timer, skal årsakene til forsinkelsen oppgis.

Etter å ha fått kjennskap til et brudd på personopplysningssikkerheten skal databehandleren uten ugrunnet opphold underrette den behandlingsansvarlige.

Meldingen nevnt i nr. 1 skal minst

Dersom og i den grad det ikke er mulig å gi all informasjon samtidig, kan den gis trinnvis uten ytterligere ugrunnet opphold.

Den behandlingsansvarlige skal dokumentere ethvert brudd på personopplysningssikkerheten, herunder de faktiske forhold rundt nevnte brudd, virkningene av det og hvilke tiltak som er truffet for å utbedre det. Denne dokumentasjonen skal gjøre det mulig for tilsynsmyndigheten å kontrollere samsvar med denne artikkel.

Dersom det er sannsynlig at bruddet på personopplysningssikkerheten vil medføre en høy risiko for fysiske personers rettigheter og friheter, skal den behandlingsansvarlige uten ugrunnet opphold underrette den registrerte om bruddet.

Underretningen til den registrerte nevnt i nr. 1 i denne artikkel skal inneholde en klar og tydelig beskrivelse av arten av bruddet på personopplysningssikkerheten og minst informasjonen og tiltakene nevnt i artikkel 33 nr. 3 bokstav b), c) og d).

Underretningen til den registrerte nevnt i nr. 1 er ikke påkrevd dersom noen av følgende vilkår er oppfylt:

Dersom den behandlingsansvarlige ikke allerede har underrettet den registrerte om bruddet på personopplysningssikkerheten, kan tilsynsmyndigheten, etter å ha vurdert sannsynligheten for at bruddet vil medføre en høy risiko, kreve at den behandlingsansvarlige gjør dette, eller beslutte at ett eller flere av vilkårene nevnt i nr. 3 er oppfylt.

Dersom det er sannsynlig at en type behandling, særlig ved bruk av ny teknologi og idet det tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i, vil medføre en høy risiko for fysiske personers rettigheter og friheter, skal den behandlingsansvarlige før behandlingen foreta en vurdering av hvilke konsekvenser den planlagte behandlingen vil ha for personopplysningsvernet. En vurdering kan omfatte flere lignende behandlingsaktiviteter som innebærer tilsvarende høye risikoer.

Den behandlingsansvarlige skal rådføre seg med personvernombudet, dersom et personvernombud er utpekt, i forbindelse med utførelsen av en vurdering av personvernkonsekvenser.

En vurdering av personvernkonsekvenser som nevnt i nr. 1 skal særlig være nødvendig i følgende tilfeller:

Tilsynsmyndigheten skal utarbeide og offentliggjøre en liste over hvilke typer behandlingsaktiviteter som omfattes av kravet om vurdering av personvernkonsekvenser i henhold til nr. 1. Tilsynsmyndigheten skal oversende nevnte lister til Personvernrådet nevnt i artikkel 68.

Tilsynsmyndigheten kan også utarbeide og offentliggjøre en liste over hvilke typer behandlingsaktiviteter det ikke kreves at det utføres en vurdering av personvernkonsekvenser for. Tilsynsmyndigheten skal oversende nevnte lister til Personvernrådet.

Før listene nevnt i nr. 4 og 5 godkjennes, skal vedkommende tilsynsmyndighet anvende konsistensmekanismen nevnt i artikkel 63 dersom slike lister omfatter behandlingsaktiviteter som gjelder tilbud av varer eller tjenester til registrerte eller monitorering av deres atferd i flere medlemsstater, eller som i betydelig grad kan påvirke den frie utveksling av personopplysninger i Unionen.

Vurderingen skal minst inneholde

Det skal tas behørig hensyn til de berørte behandlingsansvarliges eller databehandleres overholdelse av godkjente atferdsnormer som nevnt i artikkel 40 ved vurderingen av konsekvensene av behandlingsaktivitetene som utføres av nevnte behandlingsansvarlige eller databehandlere, særlig med henblikk på en vurdering av personvernkonsekvenser.

Dersom det er relevant, skal den behandlingsansvarlige innhente synspunkter på den planlagte behandlingen fra de registrerte eller deres representanter uten at det berører vernet av kommersielle eller allmenne interesser eller sikkerheten ved behandlingsaktivitetene.

Dersom behandling i henhold til artikkel 6 nr. 1 bokstav c) eller e) har et rettslig grunnlag i unionsretten eller retten i medlemsstaten som den behandlingsansvarlige er underlagt, og nevnte rett regulerer den eller de aktuelle spesifikke behandlingsaktivitetene, og det allerede er utført en vurdering av personvernkonsekvenser som en del av en generell konsekvensvurdering i forbindelse med vedtakelse av nevnte rettslige grunnlag, får nr. 1–7 ikke anvendelse, med mindre medlemsstatene anser det nødvendig å utføre en slik vurdering før behandlingsaktivitetene.

Ved behov skal den behandlingsansvarlige foreta en gjennomgåelse for å vurdere om behandlingen utføres i samsvar med vurderingen av personvernkonsekvenser, i det minste dersom risikoen som behandlingen medfører, endres.

Den behandlingsansvarlige skal rådføre seg med tilsynsmyndigheten før behandlingen dersom en vurdering av personvernkonsekvenser i henhold til artikkel 35 tilsier at behandlingen vil medføre en høy risiko dersom den behandlingsansvarlige ikke treffer tiltak for å redusere risikoen.

Dersom tilsynsmyndigheten mener at den planlagte behandlingen nevnt i nr. 1 vil være i strid med denne forordning, særlig dersom den behandlingsansvarlige ikke i tilstrekkelig grad har identifisert eller redusert risikoen, skal tilsynsmyndigheten innen en frist på opptil åtte uker fra mottak av anmodningen om drøftinger, gi den behandlingsansvarlige og, dersom det er relevant, databehandleren skriftlige råd, og kan i den forbindelse benytte den myndighet den har i henhold til artikkel 58. Denne fristen kan forlenges med seks uker, idet det tas hensyn til den planlagte behandlingens kompleksitet. Tilsynsmyndigheten skal underrette den behandlingsansvarlige og, dersom det er relevant, databehandleren om en eventuell forlengelse, sammen med årsakene til dette, senest én måned etter å ha mottatt anmodningen om drøftinger. Disse fristene kan utsettes midlertidig fram til tilsynsmyndigheten har innhentet informasjonen den har anmodet i forbindelse med drøftingene.

Ved drøftinger med tilsynsmyndigheten i henhold til nr. 1 skal den behandlingsansvarlige framlegge det følgende for tilsynsmyndigheten:

Medlemsstatene skal rådføre seg med tilsynsmyndigheten ved utarbeiding av forslag til lovgivning som skal vedtas av et nasjonalt parlament, eller av et reguleringstiltak som er basert på slik lovgivning, og som er knyttet til behandling.

Uten hensyn til nr. 1 kan det i medlemsstatenes nasjonale rett kreves at de behandlingsansvarlige skal rådføre seg med og innhente forhåndsgodkjenning fra tilsynsmyndigheten i forbindelse med en oppgave som utføres av en behandlingsansvarlig i allmennhetens interesse, herunder knyttet til sosial trygghet og folkehelse.

Den behandlingsansvarlige og databehandleren skal utpeke et personvernombud når

Et konsern kan utnevne ett personvernombud, forutsatt at alle virksomhetene har enkel tilgang til vedkommende.

Dersom den behandlingsansvarlige eller databehandleren er en offentlig myndighet eller et offentlig organ, kan det utpekes ett personvernombud for flere av nevnte myndigheter eller organer, idet det tas hensyn til deres organisasjonsstruktur og størrelse.

I andre tilfeller enn dem nevnt i nr. 1 kan eller, dersom det kreves i unionsretten eller i medlemsstatenes nasjonale rett, skal den behandlingsansvarlige eller databehandleren eller sammenslutninger og andre organer som representerer kategorier av behandlingsansvarlige eller databehandlere, utpeke et personvernombud. Personvernombudet kan handle på vegne av nevnte sammenslutninger og andre organer som representerer behandlingsansvarlige eller databehandlere.

Personvernombudet skal utpekes på grunnlag av faglige kvalifikasjoner og særlig på grunnlag av dybdekunnskap om personvernlovgivning og praksis på området samt evne til å utføre oppgavene nevnt i artikkel 39.

Personvernombudet kan være en ansatt hos den behandlingsansvarlige eller databehandleren eller utføre oppgavene på grunnlag av en tjenesteavtale.

Den behandlingsansvarlige eller databehandleren skal offentliggjøre kontaktopplysningene til personvernombudet og meddele disse til tilsynsmyndigheten.

Den behandlingsansvarlige og databehandleren skal sikre at personvernombudet på riktig måte og i rett tid involveres i alle spørsmål som gjelder vern av personopplysninger.

Den behandlingsansvarlige og databehandleren skal støtte personvernombudet i forbindelse med utførelsen av oppgavene nevnt i artikkel 39 ved å stille til rådighet de ressurser som er nødvendig for å utføre nevnte oppgaver, samt gi tilgang til personopplysninger og behandlingsaktiviteter og gjøre det mulig for vedkommende å opprettholde sin dybdekunnskap.

Den behandlingsansvarlige og databehandleren skal sikre at personvernombudet ikke mottar instrukser om utførelsen av nevnte oppgaver. Vedkommende skal ikke avsettes eller straffes av den behandlingsansvarlige eller databehandleren for å utføre sine oppgaver. Personvernombudet skal rapportere direkte til det høyeste ledelsesnivået hos den behandlingsansvarlige eller databehandleren.

De registrerte kan kontakte personvernombudet angående alle spørsmål om behandling av deres personopplysninger og om utøvelsen av de rettighetene de har i henhold til denne forordning.

Personvernombudet skal være bundet av taushetsplikt eller en plikt til konfidensiell behandling av opplysninger ved utførelse av sine oppgaver i samsvar med unionsretten eller medlemsstatenes nasjonale rett.

Personvernombudet kan utføre andre oppgaver og ha andre plikter. Den behandlingsansvarlige eller databehandleren skal sikre at nevnte oppgaver eller plikter ikke fører til en interessekonflikt.

Personvernombudet skal minst ha følgende oppgaver:

Personvernombudet skal ved utførelsen av sine oppgaver ta behørig hensyn til risikoene forbundet med behandlingsaktivitetene, idet det tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i.

Medlemsstatene, tilsynsmyndighetene, Personvernrådet og Kommisjonen skal oppmuntre til at det utarbeides atferdsnormer som skal bidra til riktig anvendelse av denne forordning, idet det tas hensyn til de særlige forholdene i de forskjellige behandlingssektorene og de særlige behovene til svært små, små og mellomstore bedrifter.

Sammenslutninger og andre organer som representerer kategorier av behandlingsansvarlige eller databehandlere, kan utarbeide atferdsnormer, eller endre eller utvide omfanget av slike regler, for å angi anvendelsen av denne forordning nærmere, f.eks. med hensyn til

Atferdsnormer som er godkjent i henhold til nr. 5 i denne artikkel, og som har allmenn gyldighet i henhold til nr. 9 i denne artikkel, kan, i tillegg til at behandlingsansvarlige eller databehandlere som omfattes av denne forordning, overholder dem, også overholdes av behandlingsansvarlige eller databehandlere som ikke omfattes av denne forordning i henhold til artikkel 3, med henblikk på å gi nødvendige garantier i forbindelse med overføring av personopplysninger til tredjestater eller internasjonale organisasjoner i henhold til vilkårene nevnt i artikkel 46 nr. 2 bokstav e). Nevnte behandlingsansvarlige eller databehandlere skal, gjennom avtaler eller andre rettslig bindende virkemidler, inngå bindende og håndhevbare forpliktelser om å anvende slike nødvendige garantier, herunder med hensyn til de registrertes rettigheter.

Atferdsnormene nevnt i nr. 2 i denne artikkel skal inneholde mekanismer som gjør det mulig for organet nevnt i artikkel 41 nr. 1 å utføre det obligatoriske tilsynet med at behandlingsansvarlige eller databehandlere som forplikter seg til å anvende atferdsnormene, overholder dem, uten at det berører oppgavene og myndigheten til tilsynsmyndighetene som har kompetanse i henhold til artikkel 55 eller 56.

Sammenslutninger og andre organer nevnt i nr. 2 i denne artikkel som har til hensikt å utarbeide atferdsnormer eller endre eller utvide eksisterende atferdsnormer, skal framlegge utkastet til, endringen eller utvidelsen av atferdsnormene for tilsynsmyndigheten som har kompetanse i henhold til artikkel 55. Tilsynsmyndigheten skal avgi uttalelse om hvorvidt utkastet til, endringen eller utvidelsen av atferdsnormene oppfyller kravene i denne forordning, og skal godkjenne nevnte utkast til, endring eller utvidelse av atferdsnormene dersom den finner at de inneholder tilstrekkelige og nødvendige garantier.

Dersom utkastet til, endringen eller utvidelsen av atferdsnormene godkjennes i samsvar med nr. 5, og dersom de berørte atferdsnormene ikke gjelder behandlingsaktiviteter i flere medlemsstater, skal tilsynsmyndigheten registrere og offentliggjøre atferdsnormene.

Dersom et utkast til atferdsnormer gjelder behandlingsaktiviteter i flere medlemsstater, skal tilsynsmyndigheten som har kompetanse i henhold til artikkel 55, før utkastet til, endringen eller utvidelsen av atferdsnormene godkjennes, oversende dem i henhold til framgangsmåten nevnt i artikkel 63 til Personvernrådet, som skal avgi uttalelse om hvorvidt utkastet til, endringen eller utvidelsen av atferdsnormene oppfyller kravene i denne forordning eller, i tilfellet nevnt i nr. 3 i denne artikkel, inneholder nødvendige garantier.

Dersom uttalelsen nevnt i nr. 7 bekrefter at utkastet til, endringen eller utvidelsen av atferdsnormene er i samsvar med denne forordning eller, i tilfellet nevnt i nr. 3, inneholder nødvendige garantier, skal Personvernrådet framlegge sin uttalelse for Kommisjonen.

Kommisjonen kan ved hjelp av gjennomføringsrettsakter beslutte at de godkjente atferdsnormene, endringen eller utvidelsen av dem som den har mottatt i henhold til nr. 8 i denne artikkel, har allmenn gyldighet i Unionen. Disse gjennomføringsrettsaktene skal vedtas i samsvar med undersøkelsesprosedyren fastsatt i artikkel 93 nr. 2.

Kommisjonen skal sørge for at de godkjente atferdsnormene som det er besluttet har allmenn gyldighet i samsvar med nr. 9, offentliggjøres på egnet måte.

Personvernrådet skal samle alle godkjente atferdsnormer, endringer og utvidelser av dem i et register, og skal gjøre dem offentlig tilgjengelig på egnet måte.

Uten at det berører vedkommende tilsynsmyndighets oppgaver og myndighet i henhold til artikkel 57 og 58, kan tilsynet med at atferdsnormene overholdes i henhold til artikkel 40 utføres av et organ med et egnet nivå av dybdekunnskap om temaet for atferdsnormene og som er akkreditert for dette formål av vedkommende tilsynsmyndighet.

Et organ som nevnt i nr. 1 kan akkrediteres til å føre tilsyn med overholdelsen av atferdsnormer dersom nevnte organ har

Vedkommende tilsynsmyndighet skal legge fram et utkast til vilkår for akkreditering av et organ som nevnt i nr. 1 i denne artikkel for Personvernrådet i henhold til konsistensmekanismen nevnt i artikkel 63.

Uten at det berører vedkommende tilsynsmyndighets oppgaver og myndighet og bestemmelsene i kapittel VIII, skal et organ som nevnt i nr. 1 i denne artikkel, under forutsetning av nødvendige garantier, treffe egnede tiltak i tilfelle en behandlingsansvarlig eller databehandler ikke overholder atferdsnormene, herunder suspendere eller utelukke den berørte behandlingsansvarlige eller databehandleren fra atferdsnormene. Det skal underrette vedkommende tilsynsmyndighet om nevnte tiltak og årsakene til at de er truffet.

Vedkommende tilsynsmyndighet skal tilbakekalle akkrediteringen av et organ som nevnt i nr. 1 dersom vilkårene for akkreditering ikke eller ikke lenger oppfylles, eller dersom tiltak som er truffet av organet, er i strid med bestemmelsene i denne forordning.

Denne artikkel får ikke anvendelse på behandling utført av offentlige myndigheter og organer.

Medlemsstatene, tilsynsmyndighetene, Personvernrådet og Kommisjonen skal, særlig på unionsplan, oppmuntre til at det opprettes mekanismer for personvernsertifisering samt personvernsegl og -merker med det som mål å påvise at de behandlingsansvarliges og databehandlernes behandlingsaktiviteter oppfyller kravene i denne forordning. Det skal tas hensyn til de særlige behovene til svært små, små og mellomstore bedrifter.

Mekanismer for personvernsertifisering, personvernsegl eller -merker som er godkjent i henhold til nr. 5 i denne artikkel, kan, i tillegg til at de overholdes av behandlingsansvarlige eller databehandlere som omfattes av denne forordning, fastsettes med det formål å påvise at det foreligger nødvendige garantier gitt av behandlingsansvarlige eller databehandlere som ikke omfattes av denne forordning i henhold til artikkel 3, i forbindelse med overføring av personopplysninger til tredjestater eller internasjonale organisasjoner på vilkårene nevnt i artikkel 46 nr. 2 bokstav f). Nevnte behandlingsansvarlige eller databehandlere skal, gjennom avtaler eller andre rettslig bindende virkemidler, inngå bindende og håndhevbare forpliktelser om å anvende nevnte nødvendige garantier, herunder for å ivareta de registrertes rettigheter.

Sertifiseringen skal være frivillig og tilgjengelig gjennom en åpen prosess.

En sertifisering i henhold til denne artikkel begrenser ikke den behandlingsansvarliges eller databehandlerens ansvar for å oppfylle kravene i denne forordning, og berører ikke oppgavene og myndigheten til tilsynsmyndighetene som har kompetanse i henhold til artikkel 55 eller 56.

En sertifisering i henhold til denne artikkel skal utstedes av sertifiseringsorganene nevnt i artikkel 43 eller av vedkommende tilsynsmyndighet på grunnlag av kriterier som er godkjent av nevnte vedkommende myndighet i henhold til artikkel 58 nr. 3, eller av Personvernrådet i henhold til artikkel 63. Dersom kriteriene er godkjent av Personvernrådet, kan dette føre til en felles sertifisering – det europeiske personvernsegl.

Den behandlingsansvarlige eller databehandleren som forelegger sin behandling for sertifiseringsmekanismen, skal gi sertifiseringsorganet nevnt i artikkel 43 eller, dersom det er relevant, vedkommende tilsynsmyndighet all informasjon samt tilgang til de behandlingsaktivitetene som er nødvendig for å gjennomføre sertifiseringen.

Sertifiseringen skal utstedes til en behandlingsansvarlig eller databehandler for en periode på høyst tre år og kan fornyes på samme vilkår, forutsatt at relevante krav fortsatt er oppfylt. Sertifiseringen skal tilbakekalles av sertifiseringsorganene nevnt i artikkel 43 eller av vedkommende tilsynsmyndighet, etter hva som er relevant, dersom kravene til sertifisering ikke lenger er oppfylt.

Personvernrådet skal samle alle sertifiseringsmekanismer og personvernsegl og -merker i et register, og skal gjøre dem offentlig tilgjengelig på egnet måte.

Uten at det berører vedkommende tilsynsmyndigheters oppgaver og myndighet i henhold til artikkel 57 og 58, skal sertifiseringsorganer som har et egnet nivå av dybdekunnskap om vern av personopplysninger, etter å ha underrettet tilsynsmyndigheten slik at den kan utøve sin myndighet i henhold til artikkel 58 nr. 2 bokstav h) når det er nødvendig, utstede og fornye sertifiseringen.

Medlemsstatene skal sikre at nevnte sertifiseringsorganer akkrediteres av en eller begge av følgende:

Sertifiseringsorganer nevnt i nr. 1 skal akkrediteres i samsvar med nevnte nummer bare dersom de har

Akkrediteringen av sertifiseringsorganer som nevnt i nr. 1 og 2 i denne artikkel skal skje på grunnlag av kriterier som er godkjent av tilsynsmyndigheten som har kompetanse i henhold til artikkel 55 eller 56, eller av Personvernrådet i henhold til artikkel 63. Ved akkreditering i henhold til nr. 1 bokstav b) i denne artikkel skal nevnte krav utfylle kravene fastsatt i forordning (EF) nr. 765/2008 og de tekniske reglene som beskriver sertifiseringsorganenes metoder og framgangsmåter.

Sertifiseringsorganene nevnt i nr. 1 skal ha ansvar for å utføre en egnet vurdering som fører til sertifisering eller tilbakekalling av nevnte sertifisering, uten at det berører den behandlingsansvarliges eller databehandlerens ansvar for å overholde kravene i denne forordning. Akkrediteringen skal utstedes for en periode på høyst fem år og kan fornyes på samme vilkår, forutsatt at sertifiseringsorganet oppfyller kravene i denne artikkel.

Sertifiseringsorganene nevnt i nr. 1 skal underrette vedkommende tilsynsmyndighet om årsakene til at sertifiseringen det er anmodet om, er utstedt eller tilbakekalt.

Kravene nevnt i nr. 3 i denne artikkel og kriteriene nevnt i artikkel 42 nr. 5 skal offentliggjøres av tilsynsmyndigheten i et lett tilgjengelig format. Tilsynsmyndighetene skal også oversende nevnte krav og kriterier til Personvernrådet. Personvernrådet skal samle sertifiseringsmekanismer og personvernsegl i et register, og skal gjøre dem offentlig tilgjengelig på egnet måte.

Uten at det berører kapittel VIII, skal vedkommende tilsynsmyndighet eller det nasjonale akkrediteringsorganet trekke tilbake en akkreditering av et sertifiseringsorgan i henhold til nr. 1 i denne artikkel dersom vilkårene for akkrediteringen ikke eller ikke lenger overholdes, eller dersom tiltak truffet av sertifiseringsorganet er i strid med denne forordning.

Kommisjonen skal gis myndighet til å vedta delegerte rettsakter i samsvar med artikkel 92 for å fastsette de krav som skal tas i betraktning med henblikk på mekanismene for personvernsertifisering nevnt i artikkel 42 nr. 1.

Kommisjonen kan vedta gjennomføringsrettsakter der det fastsettes tekniske standarder for sertifiseringsmekanismer og personvernsegl og -merker, og mekanismer for å fremme og anerkjenne nevnte sertifiseringsmekanismer, segl og merker. Disse gjennomføringsrettsaktene skal vedtas i samsvar med undersøkelsesprosedyren nevnt i artikkel 93 nr. 2.

Personopplysninger kan overføres til en tredjestat eller en internasjonal organisasjon når Kommisjonen har fastslått at tredjestaten, et territorium eller en eller flere angitte sektorer i nevnte tredjestat eller den aktuelle internasjonale organisasjonen sikrer et tilstrekkelig beskyttelsesnivå. En slik overføring skal ikke kreve en særlig godkjenning.

Ved vurderingen av om beskyttelsesnivå er tilstrekkelig skal Kommisjonen særlig ta hensyn til det følgende:

Etter å ha vurdert om beskyttelsesnivået er tilstrekkelig, kan Kommisjonen ved hjelp av gjennomføringsrettsakter beslutte at en tredjestat, et territorium eller en eller flere angitte sektorer i en tredjestat eller en internasjonal organisasjon sikrer et tilstrekkelig beskyttelsesnivå i henhold til nr. 2 i denne artikkel. I gjennomføringsrettsaktene skal det fastsettes en mekanisme for regelmessig gjennomgåelse, som skal foretas minst hvert fjerde år, der det skal tas hensyn til all relevant utvikling i tredjestaten eller den internasjonale organisasjonen. I gjennomføringsrettsakten skal dens geografiske og sektorvise virkeområde angis samt, dersom det er relevant, den eller de tilsynsmyndigheter som er nevnt i nr. 2 bokstav b) i denne artikkel. Gjennomføringsrettsakten skal vedtas i samsvar med undersøkelsesprosedyren nevnt i artikkel 93 nr. 2.

Kommisjonen skal fortløpende overvåke utviklingen i tredjestater og internasjonale organisasjoner som kan påvirke virkemåten til beslutninger truffet i henhold til nr. 3 i denne artikkel samt beslutninger truffet på grunnlag av artikkel 25 nr. 6 i direktiv 95/46/EF.

Når tilgjengelig informasjon, særlig etter gjennomgåelsen nevnt i nr. 3 i denne artikkel, viser at en tredjestat, et territorium eller en eller flere angitte sektorer i en tredjestat eller en internasjonal organisasjon ikke lenger sikrer et tilstrekkelig beskyttelsesnivå i henhold til nr. 2 i denne artikkel, skal Kommisjonen i det omfang som er nødvendig, oppheve, endre eller midlertidig oppheve beslutningen nevnt i nr. 3 i denne artikkel ved hjelp av gjennomføringsrettsakter uten tilbakevirkende kraft. Disse gjennomføringsrettsaktene skal vedtas i samsvar med undersøkelsesprosedyren nevnt i artikkel 93 nr. 2.

I behørig begrunnede, tvingende hastetilfeller skal Kommisjonen vedta gjennomføringsrettsakter med umiddelbar virkning i samsvar med prosedyren nevnt i artikkel 93 nr. 3.

Kommisjonen skal innlede samråd med tredjestaten eller den internasjonale organisasjonen med henblikk på å avhjelpe situasjonen som har gitt opphav til beslutningen truffet i henhold til nr. 5.

En beslutning i henhold til nr. 5 i denne artikkel berører ikke overføringer av personopplysninger til tredjestaten, et territorium eller en eller flere angitte sektorer i nevnte tredjestat eller den aktuelle internasjonale organisasjonen som utføres i henhold til artikkel 46–49.

Kommisjonen skal i Den europeiske unions tidende og på sitt nettsted offentliggjøre en liste over tredjestatene, territoriene og de angitte sektorene i en tredjestat samt internasjonale organisasjoner som den har fastslått ikke eller ikke lenger sikrer et tilstrekkelig beskyttelsesnivå.

Beslutninger truffet av Kommisjonen på grunnlag av artikkel 25 nr. 6 i direktiv 95/46/EF skal fortsette å gjelde fram til de endres, erstattes eller oppheves ved en kommisjonsbeslutning truffet i samsvar med nr. 3 eller 5 i denne artikkel.

Dersom det ikke foreligger en beslutning i henhold til artikkel 45 nr. 3, kan en behandlingsansvarlig eller databehandler overføre personopplysninger til en tredjestat eller en internasjonal organisasjon bare dersom den behandlingsansvarlige eller databehandleren har gitt nødvendige garantier, og under forutsetning av at de registrerte har håndhevbare rettigheter og effektive rettsmidler.

De nødvendige garantiene nevnt i nr. 1 kan uten krav om særlig godkjenning fra en tilsynsmyndighet sikres ved hjelp av

Forutsatt godkjenning fra vedkommende tilsynsmyndighet kan de nødvendige garantiene nevnt i nr. 1 også sikres, særlig ved hjelp av

Tilsynsmyndigheten skal anvende konsistensmekanismen nevnt i artikkel 63 i tilfellene nevnt i nr. 3 i denne artikkel.

Godkjenninger gitt av en medlemsstat eller tilsynsmyndighet på grunnlag av artikkel 26 nr. 2 i direktiv 95/46/EF skal fortsette å gjelde fram til de ved behov endres, erstattes eller oppheves av nevnte tilsynsmyndighet. Beslutninger truffet av Kommisjonen på grunnlag av artikkel 26 nr. 4 i direktiv 95/46/EF skal fortsette å gjelde fram til de ved behov endres, erstattes eller oppheves ved en kommisjonsbeslutning truffet i samsvar med nr. 2 i denne artikkel.

Vedkommende tilsynsmyndighet skal godkjenne bindende virksomhetsregler i samsvar med konsistensmekanismen fastsatt i artikkel 63, forutsatt at de

De bindende virksomhetsreglene nevnt i nr. 1 skal minst angi

Kommisjonen kan fastsette formatet og framgangsmåtene for utveksling av informasjon mellom behandlingsansvarlige, databehandlere og tilsynsmyndigheter om bindende virksomhetsregler som omhandlet i denne artikkel. Disse gjennomføringsrettsaktene skal vedtas i samsvar med undersøkelsesprosedyren fastsatt i artikkel 93 nr. 2.

Dersom det ikke foreligger en beslutning om tilstrekkelig beskyttelsesnivå i henhold til artikkel 45 nr. 3 eller nødvendige garantier i henhold til artikkel 46, herunder bindende virksomhetsregler, skal en overføring eller en rekke av overføringer av personopplysninger til en tredjestat eller en internasjonal organisasjon bare finne sted på et av følgende vilkår:

Dersom en overføring ikke kan baseres på en bestemmelse i artikkel 45 eller 46, herunder bestemmelsene om bindende virksomhetsregler, og ingen av unntakene for særlige situasjoner nevnt i første ledd i dette nummer får anvendelse, kan en overføring til en tredjestat eller en internasjonal organisasjon finne sted bare dersom overføringen ikke er gjentakende, bare gjelder et begrenset antall registrerte, er nødvendig av hensyn til de tvingende berettigede interessene som forfølges av den behandlingsansvarlige, og den registrertes interesser eller rettigheter og friheter ikke går foran, og den behandlingsansvarlige har vurdert alle omstendigheter i forbindelse med overføringen og på grunnlag av nevnte vurdering har gitt nødvendige garantier med hensyn til vern av personopplysninger. Den behandlingsansvarlige skal underrette tilsynsmyndigheten om overføringen. I tillegg til informasjonen nevnt i artikkel 13 og 14 skal den behandlingsansvarlige underrette den registrerte om overføringen og om de tvingende berettigede interessene som forfølges.

En overføring i henhold til nr. 1 første ledd bokstav g) skal ikke omfatte alle personopplysningene eller hele kategorier av personopplysninger i registeret. Når registeret er ment å være tilgjengelig for personer som har en berettiget interesse i det, skal overføring bare skje på anmodning fra nevnte personer, eller dersom de selv skal være mottakere.

Nr. 1 første ledd bokstav a), b) og c) og nr. 1 annet ledd får ikke anvendelse på aktiviteter som utføres av offentlige myndigheter når de utøver offentlig myndighet.

De viktige allmenne interessene nevnt i nr. 1 første ledd bokstav d) skal anerkjennes i unionsretten eller nasjonal rett i medlemsstaten som den behandlingsansvarlige er underlagt.

Dersom det ikke foreligger en beslutning om tilstrekkelig beskyttelsesnivå, kan det i unionsretten eller medlemsstatenes nasjonale rett av hensyn til viktige allmenne interesser uttrykkelig fastsettes grenser for overføring av spesifikke kategorier av personopplysninger til en tredjestat eller en internasjonal organisasjon. Medlemsstatene skal underrette Kommisjonen om nevnte bestemmelser.

Den behandlingsansvarlige eller databehandleren skal dokumentere vurderingen og de nødvendige garantiene nevnt i nr. 1 annet ledd i denne artikkel i protokollene nevnt i artikkel 30.

utvikle mekanismer for internasjonalt samarbeid for å fremme en effektiv håndheving av regelverket for vern av personopplysninger,

yte internasjonal gjensidig bistand ved håndheving av regelverket for vern av personopplysninger, herunder ved underretning, oversending av klager, etterforskningsbistand og informasjonsutveksling, tatt i betraktning nødvendige garantier for vern av personopplysninger og andre grunnleggende rettigheter og friheter,

trekke inn relevante berørte parter i drøftinger og aktiviteter som har som mål å fremme internasjonalt samarbeid om håndheving av regelverket for vern av personopplysninger,

fremme utveksling av og dokumentasjon på regelverket for vern av personopplysninger og praksis på området, herunder om kompetansekonflikter med tredjestater.

Hver medlemsstat skal sikre at en eller flere uavhengige offentlige myndigheter har ansvar for å føre tilsyn med anvendelsen av denne forordning for å verne fysiske personers grunnleggende rettigheter og friheter i forbindelse med behandling, og for å fremme den frie flyten av personopplysninger i Unionen («tilsynsmyndighet»).

Hver tilsynsmyndighet skal bidra til en ensartet anvendelse av denne forordning i hele Unionen. For dette formål skal tilsynsmyndighetene samarbeide med hverandre og med Kommisjonen i samsvar med kapittel VII.

Dersom mer enn én tilsynsmyndighet er etablert i en medlemsstat, skal nevnte medlemsstat utpeke en tilsynsmyndighet som skal representere disse myndighetene i Personvernrådet, og fastsette en mekanisme for å sikre at de andre myndighetene overholder reglene for konsistensmekanismen nevnt i artikkel 63.

Medlemsstatene skal senest 25. mai 2018 underrette Kommisjonen om de lovbestemmelser de vedtar i henhold til dette kapittel, og uten opphold om eventuelle senere endringer som påvirker dem.

Hver tilsynsmyndighet skal utføre sine oppgaver og utøve sin myndighet etter denne forordning i full uavhengighet.

Når medlemmet/medlemmene av hver tilsynsmyndighet utfører sine oppgaver og utøver sin myndighet i samsvar med denne forordning, skal de ikke utsettes for påvirkninger utenfra, verken direkte eller indirekte, og skal ikke anmode om eller motta instrukser fra noen.

Medlemmet/medlemmene av hver tilsynsmyndighet skal avstå fra enhver handling som ikke er forenlig med vedkommendes oppgaver, og skal så lenge utnevnelsesperioden varer, ikke utøve en uforenlig yrkesvirksomhet, verken lønnet eller ulønnet.

Hver medlemsstat skal sikre at hver tilsynsmyndighet har de menneskelige, tekniske og økonomiske ressurser og lokaler samt infrastruktur som er nødvendig for å kunne utføre sine oppgaver og utøve sin myndighet på en effektiv måte, herunder i forbindelse med gjensidig bistand, samarbeid og deltaking i Personvernrådet.

Hver medlemsstat skal sikre at hver tilsynsmyndighet velger og har sitt eget personell som utelukkende skal stå under ledelse av medlemmet/medlemmene av den berørte tilsynsmyndighet.

Hver medlemsstat skal sikre at hver tilsynsmyndighet er underlagt finansiell kontroll som ikke påvirker dens uavhengighet, og at den har separate, offentlige årsbudsjetter som kan være en del av det samlede statsbudsjettet eller nasjonalbudsjettet.

Medlemsstatene skal ved hjelp av en åpen framgangsmåte sikre at hvert medlem av deres tilsynsmyndigheter utnevnes av

Hvert medlem skal ha de kvalifikasjoner, den erfaring og den kompetanse, særlig på området vern av personopplysninger, som er nødvendig for å utføre sine oppgaver og utøve sin myndighet.

Et medlems oppgaver opphører ved utløpet av utnevnelsesperioden, ved avgang eller ved avsettelse i samsvar med nasjonal rett i den berørte medlemsstat.

Et medlem kan bare avskjediges ved alvorlig forsømmelse eller dersom medlemmet ikke lenger oppfyller vilkårene for å utføre oppgavene.

Hver medlemsstat skal ved lov fastsette følgende:

Medlemmet/medlemmene og personellet hos hver tilsynsmyndighet skal, i samsvar med unionsretten eller medlemsstatenes nasjonale rett, både i og etter utnevnelsesperioden være bundet av taushetsplikt med hensyn til eventuell konfidensiell informasjon de får kjennskap til under utførelsen av sine oppgaver eller utøvelsen av sin myndighet. I utnevnelsesperioden skal taushetsplikten særlig omfatte fysiske personers varsling om overtredelser av denne forordning.

Hver tilsynsmyndighet skal ha kompetanse til å utføre de oppgaver og utøve den myndighet den gis i samsvar med denne forordning, på sin medlemsstats territorium.

Dersom behandlingen utføres av offentlige myndigheter eller private organer som handler på grunnlag av artikkel 6 nr. 1 bokstav c) eller e), er det tilsynsmyndighetene i den berørte medlemsstaten som skal ha kompetanse. I slike tilfeller får artikkel 56 ikke anvendelse.

Tilsynsmyndigheter skal ikke ha kompetanse til å føre tilsyn med domstolers behandlingsaktiviteter når disse handler innenfor rammen av sin domsmyndighet.

Uten at det berører artikkel 55, skal tilsynsmyndigheten for den behandlingsansvarliges eller databehandlerens hovedvirksomhet eller eneste virksomhet ha kompetanse til å fungere som ledende tilsynsmyndighet i forbindelse med grenseoverskridende behandling som utføres av nevnte behandlingsansvarlig eller databehandler i samsvar med framgangsmåten fastsatt i artikkel 60.

Som unntak fra nr. 1 skal hver tilsynsmyndighet ha kompetanse til å behandle en mottatt klage eller en mulig overtredelse av denne forordning dersom klagens gjenstand bare gjelder en virksomhet i dens medlemsstat eller i vesentlig grad påvirker registrerte bare i dens medlemsstat.

I tilfellene nevnt i nr. 2 i denne artikkel skal tilsynsmyndigheten uten opphold underrette den ledende tilsynsmyndigheten om forholdet. Innen en frist på tre uker etter å ha mottatt underretning skal den ledende tilsynsmyndigheten beslutte om den skal behandle saken eller ikke i samsvar med framgangsmåten fastsatt i artikkel 60, idet det tas hensyn til hvorvidt den behandlingsansvarlige eller databehandleren har en virksomhet eller ikke i medlemsstaten til tilsynsmyndigheten som har gitt underretningen.

Dersom den ledende tilsynsmyndigheten beslutter å behandle saken, får framgangsmåten fastsatt i artikkel 60 anvendelse. Tilsynsmyndigheten som underrettet den ledende tilsynsmyndigheten, kan legge fram et utkast til avgjørelse for den ledende tilsynsmyndigheten. Den ledende tilsynsmyndigheten skal i størst mulig grad ta hensyn til nevnte utkast ved utarbeiding av utkastet til avgjørelse nevnt i artikkel 60 nr. 3.

Dersom den ledende tilsynsmyndigheten beslutter å ikke behandle saken, skal tilsynsmyndigheten som underrettet den ledende tilsynsmyndigheten, behandle saken i henhold til artikkel 61 og 62.

Den ledende tilsynsmyndigheten skal være den behandlingsansvarliges eller databehandlerens eneste kontaktpunkt i forbindelse med den grenseoverskridende behandlingen som utføres av nevnte behandlingsansvarlig eller databehandler.

Uten at det berører andre oppgaver fastsatt i denne forordning, skal hver tilsynsmyndighet på sitt territorium

Hver tilsynsmyndighet skal legge til rette for inngivelse av klager som nevnt i nr. 1 bokstav f) ved hjelp av tiltak som f.eks. et klageskjema som også kan fylles ut elektronisk, uten å utelukke andre kommunikasjonsmidler.

Oppgavene som hver tilsynsmyndighet utfører, skal være gratis for den registrerte og, dersom det er relevant, for personvernombudet.

Dersom anmodninger er åpenbart grunnløse eller overdrevne, især fordi de gjentas, kan tilsynsmyndigheten kreve et rimelig gebyr basert på administrasjonskostnadene, eller nekte å etterkomme anmodningen. Tilsynsmyndigheten skal bære bevisbyrden for at en anmodning er åpenbart grunnløs eller overdreven.

Hver tilsynsmyndighet skal ha følgende undersøkelsesmyndighet:

Hver tilsynsmyndighet skal ha myndighet til å beslutte følgende korrigerende tiltak:

Hver tilsynsmyndighet skal ha følgende myndighet til å godkjenne og gi råd:

Utøvelse av den myndighet som tilsynsmyndigheten gis i henhold til denne artikkel, skal være underlagt nødvendige garantier, herunder effektive rettsmidler og rettferdig rettergang, fastsatt i unionsretten og medlemsstatenes nasjonale rett i samsvar med pakten.

Hver medlemsstat skal ved lov fastsette at dens tilsynsmyndighet skal ha myndighet til å opplyse rettshåndhevende myndigheter om overtredelser av denne forordning og, der det er relevant, til å innlede eller på annen måte opptre i rettssaker med det som mål å håndheve bestemmelsene i denne forordning.

Hver medlemsstat kan ved lov fastsette at dens tilsynsmyndighet skal ha mer omfattende myndighet enn det som angis i nr. 1, 2 og 3. Utøvelsen av nevnte myndighet skal ikke hindre en effektiv anvendelse av kapittel VII.

Den ledende tilsynsmyndigheten skal samarbeide med de andre berørte tilsynsmyndighetene i samsvar med denne artikkel og bestrebe seg på å oppnå enighet. Den ledende tilsynsmyndigheten og de berørte tilsynsmyndighetene skal utveksle all relevant informasjon seg imellom.

Den ledende tilsynsmyndigheten kan til enhver tid anmode andre berørte tilsynsmyndigheter om gjensidig bistand i henhold til artikkel 61 og gjennomføre felles aktiviteter i henhold til artikkel 62, særlig for å foreta undersøkelser eller føre tilsyn med gjennomføringen av et tiltak som gjelder en behandlingsansvarlig eller databehandler som er etablert i en annen medlemsstat.

Den ledende tilsynsmyndigheten skal uten opphold oversende relevant informasjon om saken til de andre berørte tilsynsmyndighetene. Den skal uten opphold legge fram et utkast til avgjørelse for de andre berørte tilsynsmyndighetene, slik at de kan avgi uttalelse, og skal ta behørig hensyn til deres synspunkter.

Dersom en av de andre berørte tilsynsmyndighetene innen fire uker etter å ha blitt konsultert i samsvar med nr. 3 i denne artikkel, uttrykker en relevant og begrunnet innsigelse mot utkastet til avgjørelse, skal den ledende tilsynsmyndigheten, dersom den ikke etterkommer den relevante og begrunnede innsigelsen eller mener at innsigelsen ikke er relevant eller begrunnet, framlegge forholdet for konsistensmekanismen nevnt i artikkel 63.

Dersom den ledende tilsynsmyndigheten har til hensikt å etterkomme den relevante og begrunnede innsigelsen, skal den framlegge et revidert utkast til avgjørelse til de andre berørte tilsynsmyndighetene og be om deres uttalelse. Det reviderte utkastet til avgjørelse skal behandles i samsvar med framgangsmåten nevnt i nr. 4 innen en frist på to uker.

Dersom ingen av de andre berørte tilsynsmyndighetene innen fristen nevnt i nr. 4 og 5 har gjort innsigelse mot utkastet til avgjørelse framlagt av den ledende tilsynsmyndigheten, skal den ledende tilsynsmyndigheten og de berørte tilsynsmyndighetene anses for å samtykke i nevnte utkast til avgjørelse og være bundet av det.

Den ledende tilsynsmyndigheten skal treffe avgjørelsen og meddele den til den behandlingsansvarliges eller databehandlerens hovedvirksomhet eller eneste virksomhet, etter hva som er relevant, og underrette de andre berørte tilsynsmyndighetene og Personvernrådet om den aktuelle avgjørelsen, herunder gi et sammendrag av de relevante faktiske forhold og begrunnelser. Tilsynsmyndigheten som det er klaget til, skal underrette klageren om avgjørelsen.

Dersom en klage avvises eller avslås, skal tilsynsmyndigheten som klagen ble inngitt til, som unntak fra nr. 7, treffe avgjørelsen og meddele den til klageren og underrette den behandlingsansvarlige om den.

Dersom den ledende tilsynsmyndigheten og de berørte tilsynsmyndighetene er enige om å avvise eller avslå deler av en klage og å behandle andre deler av klagen, skal det treffes en særskilt avgjørelse for hver av disse delene. Den ledende tilsynsmyndigheten skal treffe avgjørelse om den del som gjelder tiltak knyttet til den behandlingsansvarlige, meddele dette til den behandlingsansvarliges eller databehandlerens hovedvirksomhet eller eneste virksomhet på territoriet til medlemsstaten den er underlagt, og underrette klageren om dette, mens klagerens tilsynsmyndighet skal treffe avgjørelse om den del som gjelder avvisning av eller avslag på klagen, og meddele den til klageren og underrette den behandlingsansvarlige eller databehandleren om dette.

Etter å ha blitt underrettet om den ledende tilsynsmyndighetens avgjørelse i henhold til nr. 7 og 9 skal den behandlingsansvarlige eller databehandleren treffe de nødvendige tiltak for å sikre overholdelse av denne avgjørelse med hensyn til behandlingsaktiviteter som utføres i forbindelse med alle vedkommendes virksomheter i Unionen. Den behandlingsansvarlige eller databehandleren skal underrette den ledende tilsynsmyndigheten, som skal underrette de andre berørte tilsynsmyndighetene om tiltakene som er truffet for å sikre overholdelse av avgjørelsen.

Dersom en berørt tilsynsmyndighet i særlige tilfeller har grunn til å tro at det er et akutt behov for å treffe tiltak for å verne de registrertes interesser, får framgangsmåten for behandling av hastesaker nevnt i artikkel 66 anvendelse.

Den ledende tilsynsmyndigheten og de andre berørte tilsynsmyndighetene skal utveksle den informasjonen som kreves i henhold til denne artikkel, elektronisk og ved bruk av et standardisert format.

Tilsynsmyndighetene skal utveksle relevant informasjon og yte gjensidig bistand for å oppnå en ensartet gjennomføring og anvendelse av denne forordning samt treffe tiltak for å sikre et effektivt samarbeid seg imellom. Gjensidig bistand skal særlig omfatte anmodninger om informasjon samt tilsynstiltak, f.eks. anmodninger om forhåndsgodkjenninger og gjennomføring av forhåndsdrøftinger, inspeksjoner og undersøkelser.

Hver tilsynsmyndighet skal treffe alle egnede tiltak som er nødvendig for å kunne svare på en anmodning fra en annen tilsynsmyndighet, uten ugrunnet opphold og senest én måned etter mottak av anmodningen. Nevnte tiltak kan særlig omfatte overføring av relevant informasjon om gjennomføringen av en undersøkelse.

Anmodninger om bistand skal inneholde all nødvendig informasjon, herunder informasjon om formålet med og årsakene til anmodningen. Informasjon som utveksles, skal bare benyttes til de formål som omfattes av anmodningen.

Den anmodede tilsynsmyndighet skal ikke nekte å etterkomme anmodningen, med mindre

Den anmodede tilsynsmyndigheten skal underrette den anmodende tilsynsmyndigheten om resultatene eller, alt etter hva som er relevant, om framskrittene med tiltakene som er truffet for å svare på anmodningen. Den anmodede tilsynsmyndigheten skal begrunne ethvert avslag på å etterkomme en anmodning i henhold til nr. 4.

Anmodede tilsynsmyndigheter skal som hovedregel oversende informasjonen som en annen tilsynsmyndighet har anmodet om, elektronisk og ved bruk av et standardisert format.

Anmodede tilsynsmyndigheter skal ikke kreve et gebyr for tiltak de treffer på grunnlag av en anmodning om gjensidig bistand. Tilsynsmyndighetene kan vedta regler for å godtgjøre hverandre for spesifikke utgifter som oppstår ved yting av gjensidig bistand i særlige tilfeller.

Dersom en tilsynsmyndighet ikke framlegger informasjonen nevnt i nr. 5 i denne artikkel innen én måned etter å ha mottatt en anmodning fra en annen tilsynsmyndighet, kan den anmodende tilsynsmyndigheten treffe et midlertidig tiltak på sin medlemsstats territorium i samsvar med artikkel 55 nr. 1. I dette tilfellet skal det akutte behovet for å treffe tiltak i henhold til artikkel 66 nr. 1 anses for å være oppfylt og skal kreve en bindende hastebeslutning fra Personvernrådet i henhold til artikkel 66 nr. 2.

Kommisjonen kan ved hjelp av gjennomføringsrettsakter fastsette formatene og framgangsmåtene for gjensidig bistand nevnt i denne artikkel og ordningene for elektronisk utveksling av informasjon mellom tilsynsmyndighetene, og mellom tilsynsmyndighetene og Personvernrådet, særlig det standardiserte formatet nevnt i nr. 6 i denne artikkel. Disse gjennomføringsrettsaktene skal vedtas i samsvar med undersøkelsesprosedyren nevnt i artikkel 93 nr. 2.

Dersom det er relevant, skal tilsynsmyndighetene gjennomføre felles aktiviteter, herunder felles undersøkelser og felles håndhevingstiltak som medlemmer av eller personell fra andre medlemsstaters tilsynsmyndigheter skal delta i.

Dersom den behandlingsansvarlige eller databehandleren har virksomheter i flere medlemsstater, eller dersom det er sannsynlig at et betydelig antall registrerte i mer enn én medlemsstat i vesentlig grad vil bli påvirket av behandlingsaktiviteter, skal en tilsynsmyndighet i hver av disse medlemsstatene ha rett til å delta i felles aktiviteter. Tilsynsmyndigheten som har kompetanse i henhold til artikkel 56 nr. 1 eller 4, skal invitere tilsynsmyndigheten i hver av disse medlemsstatene til å delta i de felles aktivitetene og skal uten opphold svare på en tilsynsmyndighets anmodning om å delta.

En tilsynsmyndighet kan, i samsvar med medlemsstatens nasjonale rett og med tillatelse fra avgiverstatens tilsynsmyndighet, gi myndighet, herunder undersøkelsesmyndighet, til medlemmene eller personellet i avgiverstatens tilsynsmyndighet som deltar i felles aktiviteter, eller, dersom nasjonal rett i medlemsstaten til vertsstatens tilsynsmyndighet tillater det, tillate at medlemmene eller personellet i avgiverstatens tilsynsmyndighet utøver sin undersøkelsesmyndighet i samsvar med nasjonal rett i medlemsstaten til avgiverstatens tilsynsmyndighet. Nevnte undersøkelsesmyndighet kan bare utøves under veiledning og ved tilstedeværelse av medlemmer eller personell fra vertsstatens tilsynsmyndighet. Medlemmene eller personellet i avgiverstatens tilsynsmyndighet skal være underlagt nasjonal rett i medlemsstaten til vertsstatens tilsynsmyndighet.

Dersom personellet i avgiverstatens tilsynsmyndighet i samsvar med nr. 1 utfører aktiviteter i en annen medlemsstat, skal vertsstaten ha ansvar for deres handlinger, herunder erstatningsansvar, for enhver skade de forårsaker i forbindelse med aktivitetene i samsvar med nasjonal rett i medlemsstaten på hvis territorium de utfører aktiviteter.

Den medlemsstat på hvis territorium skaden ble forårsaket, skal erstatte skaden i samsvar med reglene som får anvendelse på skader forårsaket av dens eget personell. Avgiverstaten hvis personell har forårsaket skade på en person på territoriet til en annen medlemsstat, skal refundere alle beløp den andre medlemsstaten har betalt til berettigede personer på deres vegne.

Uten at det berører utøvelsen av rettigheter overfor tredjeparter og med unntak av nr. 5, skal hver medlemsstat i tilfellet nevnt i nr. 1 avstå fra å anmode om erstatning fra en annen medlemsstat for skader nevnt i nr. 4.

Dersom det planlegges en felles aktivitet og en tilsynsmyndighet innen en måned ikke oppfyller forpliktelsen fastsatt i nr. 2 annet punktum i denne artikkel, kan den andre tilsynsmyndigheten treffe et midlertidig tiltak på sin medlemsstats territorium i samsvar med artikkel 55. I dette tilfellet skal det akutte behovet for å treffe tiltak i henhold til artikkel 66 nr. 1 anses for å være oppfylt og skal forutsette en uttalelse eller kreve en bindende hastebeslutning fra Personvernrådet i henhold til artikkel 66 nr. 2.

Personvernrådet skal avgi uttalelse når en vedkommende tilsynsmyndighet akter å treffe noen av tiltakene nevnt nedenfor. I denne forbindelse skal vedkommende tilsynsmyndighet oversende utkastet til avgjørelse til Personvernrådet når

Enhver tilsynsmyndighet, lederen for Personvernrådet eller Kommisjonen kan kreve at ethvert forhold med allmenn rekkevidde eller som har virkning i flere enn én medlemsstat, undersøkes av Personvernrådet med det som mål å innhente en uttalelse, særlig dersom en vedkommende tilsynsmyndighet ikke oppfyller plikten til å yte gjensidig bistand i samsvar med artikkel 61 eller med hensyn til felles aktiviteter i samsvar med artikkel 62.

I tilfellene nevnt i nr. 1 og 2 skal Personvernrådet avgi uttalelse om forholdet det har fått seg forelagt, forutsatt at det ikke allerede har avgitt uttalelse om samme forhold. Uttalelsen skal vedtas innen åtte uker ved simpelt flertall blant Personvernrådets medlemmer. Denne fristen kan forlenges med ytterligere seks uker, idet det tas hensyn til forholdets kompleksitet. Med hensyn til utkastet til avgjørelse nevnt i nr. 1, oversendt til medlemmene av Personvernrådet i samsvar med nr. 5, skal et medlem som ikke har gjort innsigelse innen en rimelig frist angitt av lederen, anses for å samtykke i utkastet til avgjørelse.

Tilsynsmyndigheter og Kommisjonen skal uten ugrunnet opphold oversende Personvernrådet, elektronisk og ved bruk av et standardisert format, all relevant informasjon, herunder, alt etter hva som er relevant, et sammendrag av de faktiske forhold, utkastet til avgjørelse, årsaken til hvorfor nevnte tiltak må treffes og synspunkter fra andre berørte tilsynsmyndigheter.

Lederen for Personvernrådet skal uten ugrunnet opphold gi elektronisk underretning til

Vedkommende tilsynsmyndighet skal ikke vedta sitt utkast til avgjørelse nevnt i nr. 1 i løpet av perioden nevnt i nr. 3.

Tilsynsmyndigheten nevnt i nr. 1 skal i størst mulig grad ta hensyn til Personvernrådets uttalelse og skal senest to uker etter å ha mottatt uttalelsen underrette lederen for Personvernrådet elektronisk om hvorvidt den akter å opprettholde eller endre sitt utkast til avgjørelse, og eventuelt oversende det endrede utkastet til avgjørelse ved bruk av et standardisert format.

Dersom den berørte tilsynsmyndigheten innen fristen nevnt i nr. 7 i denne artikkel underretter Personvernrådets leder om at den ikke akter å følge Personvernrådets uttalelse, helt eller delvis, og gir en relevant begrunnelse for dette, får artikkel 65 nr. 1 anvendelse.

For å sikre riktig og ensartet anvendelse av denne forordning i hvert enkelt tilfelle skal Personvernrådet treffe en bindende beslutning i følgende tilfeller:

Beslutningen nevnt i nr. 1 skal treffes med to tredels flertall blant Personvernrådets medlemmer senest én måned etter at forholdet er framlagt. Denne fristen kan forlenges med ytterligere én måned, idet det tas hensyn til forholdets kompleksitet. Beslutningen nevnt i nr. 1 skal være begrunnet og rettet til den ledende tilsynsmyndigheten og alle de berørte tilsynsmyndighetene og skal være bindende for dem.

Dersom Personvernrådet ikke har vært i stand til å treffe en beslutning innen fristene nevnt i nr. 2, skal det treffe sin beslutning innen to uker etter utløpet av den andre måneden nevnt i nr. 2 ved simpelt flertall blant dets medlemmer. Ved stemmelikhet blant medlemmene i Personvernrådet er lederens stemme utslagsgivende.

De berørte tilsynsmyndighetene skal ikke treffe beslutning om forholdet som er framlagt for Personvernrådet i henhold til nr. 1, i periodene nevnt i nr. 2 og 3.

Lederen for Personvernrådet skal uten ugrunnet opphold meddele beslutningen nevnt i nr. 1 til de berørte tilsynsmyndighetene. Vedkommende skal underrette Kommisjonen om dette. Beslutningen skal offentliggjøres på Personvernrådets nettsted uten opphold etter at tilsynsmyndigheten har meddelt den endelige beslutningen nevnt i nr. 6.

Den ledende tilsynsmyndigheten eller eventuelt tilsynsmyndigheten som en klage er inngitt til, skal treffe sin endelige beslutning på grunnlag av beslutningen nevnt i nr. 1 i denne artikkel, uten ugrunnet opphold og senest én måned etter at Personvernrådet har meddelt sin beslutning. Den ledende tilsynsmyndigheten eller eventuelt tilsynsmyndigheten som klagen er inngitt til, skal underrette Personvernrådet om datoen for meddelelse av den endelige beslutningen til henholdsvis den behandlingsansvarlige eller databehandleren og til den registrerte. De berørte tilsynsmyndighetenes endelige beslutning skal treffes i henhold til vilkårene i artikkel 60 nr. 7, 8 og 9. Den endelige beslutningen skal vise til beslutningen nevnt i nr. 1 i denne artikkel, og det skal angis at beslutningen som det vises til i nevnte nummer, vil bli offentliggjort på Personvernrådets nettsted i samsvar med nr. 5 i denne artikkel. Beslutningen nevnt i nr. 1 i denne artikkel skal vedlegges den endelige beslutningen.

Dersom en berørt tilsynsmyndighet i særlige tilfeller anser at det er et akutt behov for å treffe tiltak for å verne registrertes rettigheter og friheter, kan den som unntak fra konsistensmekanismen nevnt i artikkel 63, 64 og 65 eller framgangsmåten nevnt i artikkel 60 omgående treffe midlertidige tiltak som skal ha rettsvirkning på eget territorium, med en fastsatt gyldighetsperiode på høyst tre måneder. Tilsynsmyndigheten skal uten opphold underrette de andre berørte tilsynsmyndighetene, Personvernrådet og Kommisjonen om nevnte tiltak og årsakene til at de er truffet.

Dersom en tilsynsmyndighet har truffet et tiltak i henhold til nr. 1 og anser at det omgående må treffes endelige tiltak, kan den anmode om en hasteuttalelse eller en bindende hastebeslutning fra Personvernrådet; anmodningen om nevnte uttalelse eller beslutning skal være begrunnet.

Enhver tilsynsmyndighet kan anmode om en hasteuttalelse eller eventuelt om en bindende hastebeslutning fra Personvernrådet dersom en vedkommende tilsynsmyndighet ikke har truffet et egnet tiltak i en situasjon der det er et akutt behov for å treffe tiltak for å verne registrertes rettigheter og friheter; anmodningen om nevnte uttalelse eller beslutning, herunder det akutte behovet for å treffe tiltak, skal være begrunnet.

Som unntak fra artikkel 64 nr. 3 og artikkel 65 nr. 2 skal en hasteuttalelse eller en bindende hastebeslutning som nevnt i nr. 2 og 3 i denne artikkel vedtas innen to uker ved simpelt flertall blant Personvernrådets medlemmer.

Det europeiske personvernråd («Personvernrådet») opprettes med dette som et EU-organ med status som juridisk person.

Personvernrådet skal representeres av sin leder.

Personvernrådet skal bestå av lederen for en tilsynsmyndighet i hver av medlemsstatene samt av EUs datatilsyn, eller deres respektive representanter.

Dersom en medlemsstat har mer enn én tilsynsmyndighet med ansvar for å føre tilsyn med anvendelsen av bestemmelsene i denne forordning, skal det utnevnes en felles representant i samsvar med nasjonal rett i nevnte medlemsstat.

Kommisjonen skal ha rett til å delta i Personvernrådets aktiviteter og møter uten stemmerett. Kommisjonen skal utpeke en representant. Lederen for Personvernrådet skal underrette Kommisjonen om Personvernrådets aktiviteter.

I tilfellene nevnt i artikkel 65 skal EUs datatilsyn ha stemmerett bare i forbindelse med beslutninger som gjelder prinsipper og regler som får anvendelse på Unionens institusjoner, organer, kontorer og byråer, og som i hovedsak tilsvarer dem i denne forordning.

Personvernrådet skal opptre uavhengig når det utfører sine oppgaver eller utøver sin myndighet i henhold til artikkel 70 og 71.

Uten at det berører Kommisjonens anmodninger nevnt i artikkel 70 nr. 1 bokstav b) og artikkel 70 nr. 2, skal Personvernrådet i forbindelse med utførelsen av sine oppgaver eller utøvelsen av sin myndighet ikke anmode om eller motta instrukser fra andre.

Personvernrådet skal sikre ensartet anvendelse av denne forordning. For dette formål skal Personvernrådet på eget initiativ eller, dersom det er relevant, på anmodning fra Kommisjonen særlig

Dersom Kommisjonen ber Personvernrådet om råd, kan den oppgi en tidsfrist, idet det tas hensyn til hvor mye saken haster.

Personvernrådet skal videresende sine uttalelser, retningslinjer, anbefalinger og beste praksis til Kommisjonen og til komiteen nevnt i artikkel 93 samt offentliggjøre dem.

Dersom det er relevant, skal Personvernrådet rådføre seg med berørte parter og gi dem mulighet til å framlegge kommentarer innen en rimelig frist. Uten at det berører artikkel 76, skal Personvernrådet offentliggjøre resultatene av samrådsprosedyren.

Personvernrådet skal utarbeide en årlig rapport om vern av fysiske personer i forbindelse med behandling i Unionen og, dersom det er relevant, i tredjestater og internasjonale organisasjoner. Rapporten skal offentliggjøres og oversendes til Europaparlamentet, Rådet og Kommisjonen.

Den årlige rapporten skal inneholde en gjennomgåelse av den praktiske anvendelsen av retningslinjene, anbefalingene og beste praksis nevnt i artikkel 70 nr. 1 bokstav l) samt av de bindende beslutningene nevnt i artikkel 65.

Personvernrådet skal treffe beslutninger ved simpelt flertall blant rådets medlemmer, men mindre annet er fastsatt i denne forordning.

Personvernrådet skal vedta sin egen forretningsorden med to tredels flertall blant medlemmene og fastsette sine egne driftsrutiner.

Personvernrådet skal ved simpelt flertall velge en leder og to nestledere blant sine medlemmer.

Utnevnelsesperioden for lederen og nestlederne skal være fire år og kan fornyes én gang.

Lederen skal ha følgende oppgaver:

Personvernrådet skal fastsette fordelingen av oppgavene mellom lederen og nestlederne i sin forretningsorden.

Personvernrådet skal ha et sekretariat, som skal stilles til rådighet av EUs datatilsyn.

Sekretariatet skal utføre sine oppgaver utelukkende under ledelse av Personvernrådets leder.

Personellet ved EUs datatilsyn som deltar i utførelsen av oppgavene som ved denne forordning gis Personvernrådet, skal ha andre rapporteringsveier enn personellet som deltar i utførelsen av oppgavene som EUs datatilsyn er gitt.

Dersom det er relevant, skal Personvernrådet og EUs datatilsyn utarbeide og offentliggjøre en programerklæring med henblikk på gjennomføring av denne artikkel med fastsettelse av vilkårene for deres samarbeid som får anvendelse på personellet hos EUs datatilsyn som deltar i utførelsen av oppgavene som ved denne forordning gis Personvernrådet.

Sekretariatet skal yte analytisk, administrativ og logistisk støtte til Personvernrådet.

Sekretariatet skal særlig ha ansvar for

Personvernrådets drøftinger skal være konfidensielle når Personvernrådet anser det nødvendig, som fastsatt i dets forretningsorden.

Tilgangen til dokumenter som sendes til Personvernrådets medlemmer, sakkyndige og representanter for tredjeparter, omfattes av europaparlaments- og rådsforordning (EF) nr. 1049/2001.

Uten at det berører annen administrativ eller rettslig prøving, skal enhver registrert ha rett til å klage til en tilsynsmyndighet, særlig i den medlemsstat der vedkommende har sitt vanlige bosted, har sitt arbeidssted eller der den påståtte overtredelsen har funnet sted, dersom den registrerte anser at behandlingen av personopplysninger som gjelder vedkommende, er i strid med denne forordning.

Tilsynsmyndigheten som klagen er inngitt til, skal underrette klageren om klagebehandlingsforløpet og utfallet av klagen, herunder muligheten for rettslig prøving i henhold til artikkel 78.

Uten at det berører annen administrativ eller ikke-rettslig prøving, skal enhver fysisk eller juridisk person ha rett til et effektivt rettsmiddel overfor en rettslig bindende avgjørelse som gjelder dem, og som er truffet av en tilsynsmyndighet.

Uten at det berører annen administrativ eller ikke-rettslig prøving, skal enhver registrert ha rett til et effektivt rettsmiddel dersom tilsynsmyndigheten som har kompetanse i henhold til artikkel 55 og 56, ikke behandler en klage eller ikke underretter den registrerte innen tre måneder om klagebehandlingsforløpet eller utfallet av klagen som er inngitt i henhold til artikkel 77.

En sak mot en tilsynsmyndighet skal bringes inn for domstolene i medlemsstaten der tilsynsmyndigheten er etablert.

Dersom det anlegges sak mot en tilsynsmyndighets avgjørelse som ble truffet etter en uttalelse eller en avgjørelse fra Personvernrådet innenfor rammen av konsistensmekanismen, skal tilsynsmyndigheten framlegge nevnte uttalelse eller avgjørelse for domstolen.

Uten at det berører annen tilgjengelig administrativ eller ikke-rettslig prøving, herunder retten til å klage til en tilsynsmyndighet i henhold til artikkel 77, skal enhver registrert ha rett til et effektivt rettsmiddel dersom vedkommende anser at vedkommendes rettigheter i henhold til denne forordning er krenket som følge av at vedkommendes personopplysninger er blitt behandlet på en måte som ikke er i samsvar med denne forordning.

En sak mot en behandlingsansvarlig eller databehandler skal bringes inn for domstolene i medlemsstaten der den behandlingsansvarlige eller databehandleren er etablert. Alternativt kan en slik sak bringes inn for domstolene i medlemsstaten der den registrerte til vanlig er bosatt, med mindre den behandlingsansvarlige eller databehandleren er en offentlig myndighet som handler innenfor rammen av sin offentlige myndighet.

Den registrerte skal ha rett til å gi et ideelt organ eller en ideell organisasjon eller sammenslutning som er opprettet i samsvar med nasjonal rett i en medlemsstat, som har vedtektsfestede formål som er i allmennhetens interesse, og som er aktiv på området vern av registrertes rettigheter og friheter med hensyn til vern av deres personopplysninger, fullmakt til å klage på vedkommendes vegne, utøve rettighetene nevnt i artikkel 77, 78 og 79 på vedkommendes vegne og utøve retten til å motta erstatning nevnt i artikkel 82 på vedkommendes vegne dersom det er fastsatt i medlemsstatenes nasjonale rett.

Medlemsstatene kan fastsette at ethvert organ eller enhver organisasjon eller sammenslutning nevnt i nr. 1 i denne artikkel, uavhengig av en registrerts fullmakt, i nevnte medlemsstat har rett til å klage til tilsynsmyndigheten som har kompetanse i henhold til artikkel 77, og til å utøve rettighetene nevnt i artikkel 78 og 79 dersom den/det anser at den registrertes rettigheter i henhold til denne forordning er blitt krenket som følge av behandlingen.

Dersom vedkommende domstol i en medlemsstat har informasjon om at det verserer en sak om samme saksgjenstand med hensyn til behandling foretatt av den samme behandlingsansvarlige eller databehandler ved en domstol i en annen medlemsstat, skal den kontakte nevnte domstol i den andre medlemsstaten for å få bekreftet at foreligger en slik sak.

Dersom det verserer en sak om samme saksgjenstand med hensyn til behandling foretatt av samme behandlingsansvarlige eller databehandler ved en domstol i en annen medlemsstat, kan enhver annen vedkommende domstol enn den som saken først ble brakt inn for, utsette saken.

Dersom nevnte sak verserer ved første instans, kan enhver annen domstol enn den som saken først ble brakt inn for, på anmodning fra en av partene også erklære at den ikke er domsmyndig dersom domstolen som saken først ble brakt inn for, har domsmyndighet til å behandle de aktuelle sakene, og dens lovgivning tillater forening av dette.

Enhver person som har lidd materiell eller ikke-materiell skade som følge av en overtredelse av denne forordning, skal ha rett til å motta erstatning fra den behandlingsansvarlige eller databehandleren for den forvoldte skaden.

Enhver behandlingsansvarlig som vært involvert i behandlingen, skal være ansvarlig for skaden forårsaket av behandling som er i strid med denne forordning. En databehandler skal være ansvarlig for en skade forårsaket av behandling bare dersom vedkommende ikke har oppfylt forpliktelsene i denne forordning som særlig er rettet mot databehandlere, eller dersom vedkommende har opptrådt utenfor eller i strid med databehandlerens lovlige instrukser.

En behandlingsansvarlig eller databehandler skal fritas for erstatningsansvar i henhold til nr. 2 dersom vedkommende godtgjør at vedkommende på ingen måte er ansvarlig for hendelsen som førte til skaden.

Dersom flere enn én behandlingsansvarlig eller databehandler eller både en behandlingsansvarlig og en databehandler er involvert i samme behandling, og dersom de i henhold til nr. 2 og 3 er ansvarlige for eventuelle skader som forårsakes av behandlingen, skal hver behandlingsansvarlig eller databehandles holdes ansvarlig for hele skaden for å sikre at den registrerte mottar effektiv erstatning.

Dersom en behandlingsansvarlig eller databehandler i samsvar med nr. 4 har betalt full erstatning for den forvoldte skaden, skal nevnte behandlingsansvarlig eller databehandler fra de andre behandlingsansvarlige eller databehandlere som har vært involvert i samme behandling, ha rett til å kreve tilbake den delen av erstatningen som svarer til deres del av ansvaret for skaden, i samsvar med vilkårene fastsatt i nr. 2.

Retterganger med henblikk på utøvelse av retten til å motta erstatning, skal bringes inn for domstolene som har kompetanse i henhold til nasjonal rett i medlemsstaten nevnt i artikkel 79 nr. 2.

Hver tilsynsmyndighet skal sikre at ilegging av overtredelsesgebyr i henhold til denne artikkel for overtredelser av denne forordning nevnt i nr. 4, 5 og 6 i hvert enkelt tilfelle er virkningsfull, står i et rimelig forhold til overtredelsen og virker avskrekkende.

Avhengig av omstendighetene i hvert enkelt tilfelle skal overtredelsesgebyr ilegges i tillegg til eller istedenfor tiltakene nevnt i artikkel 58 nr. 2 bokstav a)–h) og j). Når det treffes avgjørelse om hvorvidt det skal ilegges overtredelsesgebyr samt om overtredelsesgebyrets størrelse, skal det i hvert enkelt tilfelle tas behørig hensyn til følgende:

Dersom en behandlingsansvarlig eller databehandler i forbindelse med samme eller tilknyttede behandlingsaktiviteter forsettlig eller uaktsomt overtrer flere av bestemmelsene i denne forordning, skal overtredelsesgebyrets samlede beløp ikke være høyere enn beløpet angitt for den alvorligste overtredelsen.

Ved overtredelser av følgende bestemmelser skal det i samsvar med nr. 2 ilegges overtredelsesgebyr på opptil 10 000 000 euro eller, dersom det dreier seg om et foretak, på opptil 2 % av den samlede globale årsomsetningen i forutgående regnskapsår, der det høyeste beløpet anvendes:

Ved overtredelser av følgende bestemmelser skal det i samsvar med nr. 2 ilegges overtredelsesgebyr på opptil 20 000 000 euro eller, dersom det dreier seg om et foretak, på opptil 4 % av den samlede globale årsomsetningen i forutgående regnskapsår, der det høyeste beløpet anvendes:

Ved manglende overholdelse av et pålegg fra tilsynsmyndigheten som nevnt i artikkel 58 nr. 2 skal det i samsvar med nr. 2 i denne artikkel ilegges overtredelsesgebyr på opptil 20 000 000 euro eller, dersom det dreier seg om et foretak, på opptil 4 % av den samlede globale årsomsetningen i forutgående regnskapsår, der det høyeste beløpet anvendes.

Uten at det berører tilsynsmyndighetenes myndighet til å beslutte korrigerende tiltak i henhold til artikkel 58 nr. 2, kan hver medlemsstat fastsette regler om når og i hvilken grad offentlige myndigheter og organer som er etablert i nevnte medlemsstat, kan ilegges overtredelsesgebyr.

Tilsynsmyndighetens utøvelse av myndighet i henhold til denne artikkel skal være omfattet av nødvendige prosessuelle garantier i samsvar med unionsretten og medlemsstatenes nasjonale rett, herunder effektive rettsmidler og rettferdig rettergang.

Dersom medlemsstatens rettsorden ikke gir mulighet til å ilegge overtredelsesgebyr, kan denne artikkel anvendes på en slik måte at gebyret initieres av vedkommende tilsynsmyndighet og ilegges av vedkommende nasjonale domstoler, idet det sikres at nevnte beføyelser er effektive og har samme virkning som overtredelsesgebyrene som ilegges av tilsynsmyndigheter. I alle tilfeller skal gebyrene som ilegges, være virkningsfulle, stå i et rimelig forhold til overtredelsen og virke avskrekkende. Medlemsstatene skal senest 25. mai 2018 underrette Kommisjonen om de lovbestemmelser de vedtar i henhold til dette nummer, og uten opphold om eventuelle senere endringslover eller endringer som påvirker dem.

Medlemsstatene skal fastsette regler om andre sanksjoner for overtredelser av denne forordning, særlig for overtredelser som ikke omfattes av overtredelsesgebyrer i henhold til artikkel 83, og skal treffe alle nødvendige tiltak for å sikre at de gjennomføres. Sanksjonene skal være virkningsfulle, stå i rimelig forhold til overtredelsen og virke avskrekkende.

Medlemsstatene skal senest 25. mai 2018 underrette Kommisjonen om de lovbestemmelser de vedtar i henhold til nr. 1, og uten opphold om eventuelle senere endringer som påvirker dem.

Medlemsstatene skal ved lov bringe retten til vern av personopplysninger i henhold til denne forordning i samsvar med retten til ytrings- og informasjonsfrihet, herunder behandling som finner sted i journalistisk øyemed eller med henblikk på akademiske, kunstneriske eller litterære ytringer.

Ved behandling som finner sted i journalistisk øyemed eller med henblikk på akademiske, kunstneriske eller litterære ytringer, skal medlemsstatene fastsette fritak eller unntak fra kapittel II (prinsipper), kapittel III (den registrertes rettigheter), kapittel IV (behandlingsansvarlig og databehandler), kapittel V (overføring av personopplysninger til tredjestater eller internasjonale organisasjoner), kapittel VI (uavhengige tilsynsmyndigheter), kapittel VII (samarbeid og ensartet anvendelse) og kapittel IX (særlige behandlingssituasjoner) dersom det er nødvendig for å bringe retten til vern av personopplysninger i samsvar med retten til ytrings- og informasjonsfrihet.

Medlemsstatene skal underrette Kommisjonen om de lovbestemmelser de har vedtatt i henhold til nr. 2, og uten opphold om eventuelle senere endringslover eller endringer som påvirker dem.

Medlemsstatene kan, ved lov eller tariffavtaler, fastsette nærmere regler for å sikre vern av rettigheter og friheter ved behandling av arbeidstakeres personopplysninger i forbindelse med ansettelsesforhold, særlig med henblikk på rekruttering, oppfyllelse av arbeidsavtaler, herunder oppfyllelse av forpliktelser fastsatt ved lov eller tariffavtaler, ledelse, planlegging og organisering av arbeidet, likestilling og mangfold samt helse og sikkerhet på arbeidsplassen, vern av arbeidsgiverens eller kundens eiendom, individuell eller kollektiv utøvelse av eller rett til å nyte godt av rettighetene og fordelene knyttet til ansettelsen samt for å avslutte ansettelsesforholdet.

Nevnte regler skal omfatte egnede og særlige tiltak for å verne den registrertes menneskeverd, berettigede interesser og grunnleggende rettigheter, særlig med hensyn til behandlingens åpenhet, overføring av personopplysninger internt i et konsern eller en gruppe av foretak som utøver en felles økonomisk virksomhet, og overvåkingssystemer på arbeidsplassen.

Medlemsstatene skal senest 25. mai 2018 underrette Kommisjonen om de lovbestemmelser de vedtar i henhold til nr. 1, og uten opphold om eventuelle senere endringer som påvirker dem.

Behandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål skal omfattes av nødvendige garantier i samsvar med denne forordning for å sikre den registrertes rettigheter og friheter. Nevnte garantier skal sikre at det er innført tekniske og organisatoriske tiltak for særlig å sikre at prinsippet om dataminimering overholdes. Nevnte tiltak kan omfatte pseudonymisering, forutsatt at nevnte formål kan oppfylles på denne måten. Dersom nevnte formål kan oppfylles ved viderebehandling som ikke gjør det mulig eller ikke lenger gjør det mulig å identifisere de registrerte, skal formålene oppfylles på denne måten.

Når personopplysninger behandles for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål, kan det i unionsretten eller medlemsstatenes nasjonale rett fastsettes unntak fra rettighetene nevnt i artikkel 15, 16, 18 og 21, med forbehold for vilkårene og garantiene nevnt i nr. 1 i denne artikkel, i den grad det er sannsynlig at slike rettigheter vil gjøre det umulig eller i alvorlig grad vil hindre oppfyllelsen av de spesifikke formålene, og slike unntak er nødvendig for å oppfylle nevnte formål.

Når personopplysninger behandles for arkivformål i allmennhetens interesse, kan det i unionsretten eller medlemsstatenes nasjonale rett fastsettes unntak fra rettighetene nevnt i artikkel 15, 16, 18, 19, 20 og 21, med forbehold for vilkårene og garantiene nevnt i nr. 1 i denne artikkel, i den grad det er sannsynlig at slike rettigheter vil gjøre det umulig eller i alvorlig grad vil hindre oppfyllelsen av de spesifikke formålene, og slike unntak er nødvendig for å oppfylle nevnte formål.

Når en behandling nevnt i nr. 2 og 3 samtidig har andre formål, får unntakene anvendelse bare på behandling for formålene nevnt i disse numre.

Medlemsstatene kan vedta særlige regler for å fastsette tilsynsmyndighetenes myndighet omhandlet i artikkel 58 nr. 1 bokstav e) og f) i forbindelse med behandlingsansvarlige eller databehandlere som i henhold til unionsretten eller medlemsstatenes nasjonale rett eller regler fastsatt av nasjonale vedkommende organer omfattes av yrkesmessig taushetsplikt eller annen tilsvarende taushetsplikt, dersom det er nødvendig og står i et rimelig forhold til behovet for å bringe retten til vern av personopplysninger i samsvar med nevnte taushetsplikt. Nevnte regler får bare anvendelse på personopplysninger som den behandlingsansvarlige eller databehandleren har mottatt som følge av, eller har innhentet i forbindelse med, en aktivitet som omfattes av nevnte taushetsplikt.

Medlemsstatene skal senest 25. mai 2018 underrette Kommisjonen om de regler de vedtar i henhold til nr. 1, og uten opphold om eventuelle senere endringer som påvirker dem.

Dersom kirker og religiøse sammenslutninger eller samfunn i en medlemsstat på tidspunktet for ikrafttredelsen av denne forordning anvender omfattende regler om vern av fysiske personer med hensyn til behandling, kan nevnte regler fortsatt anvendes, forutsatt at de bringes i samsvar med denne forordning.

Kirker og religiøse sammenslutninger som anvender omfattende regler i samsvar med nr. 1 i denne artikkel, skal være underlagt tilsyn av en uavhengig tilsynsmyndighet, som kan være spesifikk, forutsatt at den oppfyller vilkårene fastsatt i kapittel VI i denne forordning.

Myndigheten til å vedta delegerte rettsakter gis Kommisjonen med forbehold for vilkårene fastsatt i denne artikkel.

Den delegerte myndigheten nevnt i artikkel 12 nr. 8 og artikkel 43 nr. 8 gis Kommisjonen på ubestemt tid fra 24. mai 2016.

Den delegerte myndigheten nevnt i artikkel 12 nr. 8 og artikkel 43 nr. 8 kan når som helst tilbakekalles av Europaparlamentet eller Rådet. En beslutning om tilbakekalling innebærer at den delegerte myndigheten som angis i beslutningen, opphører å gjelde. Den får anvendelse dagen etter at den er kunngjort i Den europeiske unions tidende eller på et senere tidspunkt angitt i beslutningen. Den berører ikke gyldigheten av delegerte rettsakter som allerede er i trådt i kraft.

Så snart Kommisjonen vedtar en delegert rettsakt, skal den underrette Europaparlamentet og Rådet samtidig om dette.

En delegert rettsakt vedtatt i henhold til artikkel 12 nr. 8 og artikkel 43 nr. 8 skal tre i kraft bare dersom verken Europaparlamentet eller Rådet har gjort innsigelse mot rettsakten innen en frist på tre måneder etter at Europaparlamentet og Rådet ble underrettet om rettsakten, eller dersom både Europaparlamentet og Rådet innen utløpet av denne fristen har underrettet Kommisjonen om at de ikke kommer til å gjøre innsigelse. Fristen forlenges med tre måneder på Europaparlamentets eller Rådets initiativ.

Kommisjonen skal bistås av en komité. Nevnte komité skal være en komité i henhold til forordning (EU) nr. 182/2011.

Når det vises til dette nummer, får artikkel 5 i forordning (EU) nr. 182/2011 anvendelse.

Når det vises til dette nummer, får artikkel 8 sammenholdt med artikkel 5 i forordning (EU) nr. 182/2011 anvendelse.

Direktiv 95/46/EF oppheves med virkning fra 25. mai 2018.

Henvisninger til det opphevede direktiv skal forstås som henvisninger til denne forordning. Henvisninger til arbeidsgruppen for personvern i forbindelse med behandling av personopplysninger nedsatt ved artikkel 29 i direktiv 95/46/EF skal forstås som henvisninger til Det europeiske personvernråd nedsatt ved denne forordning.

Kommisjonen skal senest 25. mai 2020 og deretter hvert fjerde år framlegge en rapport om vurderingen og gjennomgåelsen av denne forordning for Europaparlamentet og Rådet. Rapportene skal offentliggjøres.

I forbindelse med vurderingene og gjennomgåelsene nevnt i nr. 1 skal Kommisjonen særlig undersøke hvordan det følgende anvendes og fungerer:

Med hensyn til nr. 1 kan Kommisjonen anmode om informasjon fra medlemsstater og tilsynsmyndigheter.

Når Kommisjonen foretar vurderingene og gjennomgåelsene nevnt i nr. 1 og 2, skal den ta hensyn til holdningene og konklusjonene fra Europaparlamentet, Rådet og andre relevante organer eller kilder.

Kommisjonen skal ved behov framlegge egnede forslag til endring av denne forordning, idet det tas særlig hensyn til utviklingen innen informasjonsteknologi og de framskrittene som har funnet sted i informasjonssamfunnet.

Denne forordning trer i kraft den 20. dag etter at den er kunngjort i Den europeiske unions tidende.

Den får anvendelse fra 25. mai 2018.

Denne forordning er bindende i alle deler og kommer direkte til anvendelse i alle medlemsstater.