EDPB modtog anmodningen om en fælles udtalelse fra EU-Kommissionen den 21. maj 2025, som var samme dag, som forslaget blev fremsat. Formålet med forslaget er at reducere og forenkle de administrative byrder for europæiske virksomheder for at styrke den europæiske konkurrenceevne.
Forslaget er den fjerde omnibus-pakke om forenkling under denne Europa-Kommissions mandat og indebærer bl.a. en ændring af databeskyttelsesforordningens artikel 30, stk. 5, som omhandler undtagelser til kravet om fortegnelse.
I dag er organisationer og virksomheder, der beskæftiger under 250 personer, undtaget fra kravet om fortegnelse i artikel 30, stk. 1 og 2, medmindre den behandling, som organisationen eller virksomheden foretager, sandsynligvis vil medføre en risiko for registreredes rettigheder og frihedsrettigheder, behandlingen ikke er lejlighedsvis, eller behandlingen omfatter særlige kategorier af oplysninger eller personoplysninger vedrørende straffedomme og lovovertrædelser.
Forslaget har til formål at forenkle og præcisere undtagelsen i artikel 30, stk. 5, ved kun at gøre fortegnelse obligatorisk, når behandlingsaktiviteten sandsynligvis vil medføre en høj risiko for de registreredes rettigheder og frihedsrettigheder som defineret i artikel 35. Derudover udvides undtagelsesbestemmelsen til også at gælde for organisationer og SMC’er, som beskæftiger under 750 ansatte.
I en tilhørende præambelbetragtning, som kommer til at fremgå af ændringsforordningen, vil det endvidere fremgå, at behandlingen af særlige kategorier af personoplysninger i medfør af artikel 9, stk. 2, litra b, ikke i sig selv udløser forpligtelsen til at føre fortegnelser over behandlingen.
Forslaget vil også indebære en mindre ændring af artikel 40 og 42. Anvendelsesområdet for disse bestemmelser udvides til at omfatte SMC'er, således at deres specifikke behov også tages i betragtning ved udarbejdelsen af adfærdskodekser og certificeringer.
Vedtagelse af vejledning og et ambitiøst arbejdsprogram
Udover drøftelsen af den fælles udtalelse fulgte EDPB også op på den høring, der har været iværksat over rådets vejledning fra december 2024 om databeskyttelsesforordningens artikel 48, som vedrører den situation, hvor en myndighed i et tredjeland (et land uden for EU) på grundlag af en dom eller afgørelse kræver, at en dataansvarlig eller databehandler i EU udleverer personoplysninger. Du kan læse mere om indholdet af vejledningen i den tidligere nyhed fra Datatilsynet.
Derudover vedtog EDPB et ambitiøst arbejdsprogram 2025-2027 for den ekspertarbejdsgruppe, der ser på grænsefladerne mellem databeskyttelseslovgivningen og konkurrence- og forbrugerlovgivningen. En arbejdsgruppe og et arbejde, som Datatilsynet deltager meget aktivt i.
Vil du vide mere?
Læs EDPB’s pressemeddelelse her (engelsk).