Lag (2019:663) om behand­ling av per­son­upp­gif­ter vid Myn­dig­he­ten för arbets­mil­jökun­skap

Lagens tillämp­nings­om­råde

1 §   Denna lag gäl­ler vid behand­ling av per­son­upp­gif­ter i verk­sam­het vid Myn­dig­he­ten för arbets­mil­jökun­skap som avser kun­skaps­upp­bygg­nad, kun­skaps­sprid­ning, utvär­de­ring och ana­lys.

Lagen tilläm­pas endast på helt eller del­vis auto­ma­ti­se­rad behand­ling av per­son­upp­gif­ter och annan behand­ling av per­son­upp­gif­ter som ingår eller kom­mer att ingå i ett regis­ter.

För­hål­lan­det till annan regle­ring

2 §   Denna lag kom­plet­te­rar Euro­pa­par­la­men­tets och rådets för­ord­ning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska per­so­ner med avse­ende på behand­ling av per­son­upp­gif­ter och om det fria flö­det av sådana upp­gif­ter och om upp­hä­vande av direk­tiv 95/46/EG (all­män data­skydds­för­ord­ning), här benämnd EU:s data­skydds­för­ord­ning.

3 §   Vid behand­ling av per­son­upp­gif­ter enligt denna lag gäl­ler lagen (2018:218) med kom­plet­te­rande bestäm­mel­ser till EU:s dataskyddsför-​ordning och före­skrif­ter som har med­de­lats i anslut­ning till den lagen, om inte något annat föl­jer av denna lag eller före­skrif­ter som har med­de­lats i anslut­ning till lagen.

Rät­ten att göra invänd­ningar

4 §   Arti­kel 21.1 i EU:s data­skydds­för­ord­ning om rät­ten att göra invänd-​ningar gäl­ler inte vid sådan behand­ling som är tillå­ten enligt denna lag eller före­skrif­ter som har med­de­lats i anslut­ning till lagen.

Rät­ten att göra invänd­ningar gäl­ler dock när per­son­upp­gif­terna sam­las in direkt från den enskilde.

Med­gi­vande när upp­gif­ter sam­las in direkt från den enskilde

5 §   Om per­son­upp­gif­terna sam­las in direkt från den enskilde, får de behand­las endast om per­so­nen har läm­nat sitt uttryck­liga med­gi­vande till behand­lingen.

Den regi­stre­rade har rätt att när som helst åter­kalla ett läm­nat med­gi­vande. Ytter­li­gare per­son­upp­gif­ter om den regi­stre­rade får där­ef­ter inte behand­las.

Per­son­upp­gifts­an­svar

6 §   Myn­dig­he­ten för arbets­mil­jökun­skap är per­son­upp­gifts­an­sva­rig för den behand­ling av per­son­upp­gif­ter som myn­dig­he­ten utför enligt denna lag.

Ända­mål med behand­lingen

7 §   Per­son­upp­gif­ter får endast behand­las om det är nöd­vän­digt för
   1. insam­ling, sam­man­ställ­ning och sprid­ning av kun­skap om arbets­miljö,
   2. utvär­de­ring och ana­lys av stat­liga refor­mer och andra stat­liga ini­ti­a­tiv,
   3. bevak­ning och ana­lys av utveck­lingen på arbets­mil­jö­om­rå­det, och
   4. forsk­ning som myn­dig­he­ten får bedriva för att utföra sitt kunskaps-​, utvärderings-​ och ana­lys­ar­bete.

Rege­ringen eller den myn­dig­het som rege­ringen bestäm­mer kan med stöd av 8 kap. 7 § rege­rings­for­men med­dela före­skrif­ter om begräns­ningar av ända­må­len och om begräns­ningar av vilka per­son­upp­gif­ter som får behand­las för ett visst ända­mål.

8 §   Per­son­upp­gif­ter som behand­las för de ända­mål som anges i 7 § får också behand­las för att full­göra ett upp­gifts­läm­nande som sker i överens-​stämmelse med lag eller för­ord­ning.

9 §   Per­son­upp­gif­ter som behand­las enligt 7 § får behand­las även för andra ända­mål, under för­ut­sätt­ning att upp­gif­terna inte behand­las på ett sätt som är ofören­ligt med det ända­mål för vil­ket upp­gif­terna sam­la­des in.

Behand­ling av käns­liga per­son­upp­gif­ter

10 §   I myn­dig­he­tens sam­lingar av per­son­upp­gif­ter får endast sådana upp­gif­ter som avses i arti­kel 9.1 i EU:s data­skydds­för­ord­ning (käns­liga per­son­upp­gif­ter) som avslö­jar etniskt ursprung, reli­giös eller filo­so­fisk över­ty­gelse eller med­lem­skap i fack­för­e­ning eller som rör hälsa eller en per­sons sex­u­ella lägg­ning behand­las.

Av lagen (2003:460) om etik­pröv­ning av forsk­ning som avser män­ni­skor föl­jer att forsk­ning som inne­fat­tar behand­ling av käns­liga per­son­upp­gif­ter eller per­son­upp­gif­ter om lagö­ver­trä­del­ser som inne­fat­tar brott, domar i brott­mål, straff­pro­ces­su­ella tvångs­me­del eller admi­nist­ra­tiva fri­hets­be­rö­van­den måste etik­prö­vas.

Sam­lingar av per­son­upp­gif­ter

11 §   Myn­dig­he­ten får ha sam­lingar av per­son­upp­gif­ter som behand­las auto­ma­ti­se­rat och som är för­sedda med en beteck­ning som den myn­dig­het upp­gif­terna kom­mer från kan hän­föra till ett per­son­num­mer eller mot­sva­rande iden­ti­tets­be­teck­ning.

Per­son­upp­gif­ter i sådana sam­lingar som avses i första styc­ket får inte behand­las i syfte att röja en per­sons iden­ti­tet.

12 §   Myn­dig­he­ten får om det är nöd­vän­digt för ett sär­skilt pro­jekt även ha sam­lingar av per­son­upp­gif­ter som behand­las auto­ma­ti­se­rat och som är för­sedda med en beteck­ning som för­va­ras skilt från upp­gif­terna och som myn­dig­he­ten kan hän­föra till ett per­son­num­mer eller mot­sva­rande identitets-​ beteck­ning.

Per­son­upp­gif­ter i sam­lingar som avses i första styc­ket får inte sambe-​arbetas med varandra. Denna begräns­ning gäl­ler inte för en sådan sambe-​arbetning av per­son­upp­gif­ter som är nöd­vän­dig för att myn­dig­he­ten ska kunna upp­repa eller följa upp ett tidi­gare genom­fört pro­jekt.

Till­gång till per­son­upp­gif­ter

13 §   Till­gången till per­son­upp­gif­ter ska begrän­sas till vad var och en behö­ver för att kunna full­göra sina arbets­upp­gif­ter.