Denne tjekliste vedrører muligheden for at fastsætte nationale særregler for behandling af den særlige kategori af personoplysninger i overensstemmelse med forordningens artikel 9. Tjeklisten medtager således ikke de andre og mere specifikke krav, som de nationale myndigheder også skal være opmærksomme på, som eksempelvis den registreredes rettigheder og begrænsninger heraf, jf. artikel 23, artikel 26 om fælles dataansvarlige og artikel 28 om databehandler.
Når myndigheder overvejer at udfærdige nationale særregler efter det nationale råderum, som databeskyttelsesforordningen efterlader i artikel 9, stk. 2, litra b og g-j, anbefales følgende punkter sammenfattende iagttaget i forhold til vurderingen af, om der er hjemmel til behandlingen:
- Det kan indledningsvis overvejes, om der overhovedet ønskes fastsat nationale regler, eller om behandling skal ske alene efter behandlingsreglerne i databeskyttelsesforordningen, eksempelvis forordningens artikel 9, stk. 2, litra f, om behandling, der er nødvendig, for at retskrav kan fastlægges, der kan anvendes direkte som undtagelse. I den forbindelse kan det indgå i vurderingen, om retsområdet kan administreres alene og direkte på grundlag af behandlingsreglerne i forordningen, hvilket er tilfældet med artikel 9, stk. 2, litra a, c, d, e og f, hvorimod artikel 9, stk. 2, litra b og g-j, kræver udfyldning i særlovgivningen. I det omfang, det foreslås at indføre nationale særregler, der har erhvervsøkonomiske konsekvenser for danske virksomheder, skal der tages stilling til, om principperne for implementering af erhvervsrettet EU-regulering i Danmark efterleves. Hvis principperne ikke efterleves, skal der forelægges en sag til godkendelse for erhvervsministeren, hvis der er tale om overimplementering uden væsentlige erhvervsøkonomiske konsekvenser, og for regeringens økonomiudvalg, hvis der er tale om overimplementering med væsentlige erhvervsøkonomiske konsekvenser. Der henvises om principperne for implementering af erhvervsrettet EU-regulering i øvrigt til pkt. 2.14.7.2 og om forelæggelse for Erhvervsministeriet til pkt. 6.1.2. I forbindelse med udarbejdelsen af en lov, der rummer mulighed for f.eks. i en bekendtgørelse at fastsætte regler om behandling af personoplysninger, vil det dog ofte allerede være blevet overvejet, om der overhovedet ønskes fastsat nationale regler, eller om behandling fremover skal ske alene efter behandlingsreglerne i databeskyttelsesforordningen. Sådanne overvejelser vil myndigheder således ikke skulle gøre sig i samme omfang ved udarbejdelsen af bekendtgørelsen.
- Dernæst bør det vurderes, hvorvidt hjemlen til nationale særregler kan findes i forordningens artikel 9, stk. 2, litra b og g-j. Det bemærkes, at forordningens artikel 9, stk. 4, endvidere giver medlemsstaterne mulighed for at opretholde eller indføre yderligere betingelser, herunder begrænsninger, for behandling af genetiske data, biometriske data eller helbredsoplysninger.
- Endvidere skal det iagttages, at nationale særregler overholder de øvrige krav, som følger af forordningens artikel 9, stk. 2 og 3, eksempelvis at der fastsættes passende og i visse tilfælde specifikke foranstaltninger samt i nogle tilfælde et særligt krav om, at særreglen er proportional (eksempelvis stk. 2, litra g – »står i rimeligt forhold til det mål, der forfølges«), herunder også reglerne i forordningens artikel 88 og 89. Samtidig skal de nationale særregler overholde principperne for behandling i forordningens artikel 5, hvilket eksempelvis betyder, at reglerne ikke må medføre, at der sker en opbevaring af data i strid med artikel 5, stk. 1, litra e.
- Endelig skal det sikres, at der er den rette balance i forhold til den fri bevægelighed for personoplysninger, jf. forordningens artikel 1.