Lag (2024:926) om behandling av personuppgifter vid Inspektionen för socialförsäkringen

Lagens tillämpningsområde

1 § Denna lag gäller vid behandling av personuppgifter i sådan 
verksamhet vid Inspektionen för socialförsäkringen som avser 
systemtillsyn och effektivitetsgranskning. 

Lagen gäller endast om behandlingen är helt eller delvis 
automatiserad eller om personuppgifterna ingår i eller kommer 
att ingå i ett register.

Förhållandet till annan dataskyddsreglering

2 § Denna lag kompletterar Europaparlamentets och rådets 
förordning (EU) 2016/679 av den 27 april 2016 om skydd för 
fysiska personer med avseende på behandling av personuppgifter 
och om det fria flödet av sådana uppgifter och om upphävande 
av direktiv 95/46/EG (allmän dataskyddsförordning), här 
benämnd EU:s dataskyddsförordning.

Vid behandling av personuppgifter enligt denna lag gäller 
lagen (2018:218) med kompletterande bestämmelser till EU:s 
dataskyddsförordning och föreskrifter som har meddelats i 
anslutning till den lagen, om inte annat följer av denna lag 
eller föreskrifter som har meddelats i anslutning till lagen.

Uppgifter om avlidna personer

3 § Vid behandling av uppgifter om avlidna personer ska 
följande reglering gälla i tillämpliga delar:

1. denna lag och föreskrifter som har meddelats i anslutning 
till lagen, 

2. EU:s dataskyddsförordning, och

3. lagen (2018:218) med kompletterande bestämmelser till EU:s 
dataskyddsförordning och föreskrifter som har meddelats i 
anslutning till den lagen.

Begränsning av rätten att göra invändningar

4 § Artikel 21.1 i EU:s dataskyddsförordning om rätten att 
göra invändningar gäller inte vid sådan behandling av 
personuppgifter som är tillåten enligt denna lag eller 
föreskrifter som har meddelats i anslutning till lagen.

Rätten att göra invändningar gäller dock när personuppgifterna 
samlas in direkt från den enskilde.

Personuppgiftsansvar

5 § Inspektionen för socialförsäkringen är 
personuppgiftsansvarig för den behandling av personuppgifter 
som myndigheten utför enligt denna lag.

Ändamål för behandling av personuppgifter

6 § Inspektionen för socialförsäkringen får behandla 
personuppgifter om det är nödvändigt för undersökningar av 
förhållanden inom socialför-säkringsområdet eller inom 
verksamheter som gränsar till socialförsäkringsområdet. 

Inom ramen för sådana undersökningar får personuppgifter 
behandlas även för att framställa statistik eller utföra 
forskning.

7 § Personuppgifter som behandlas enligt 6 § får även 
behandlas för att fullgöra uppgiftslämnande som sker i 
överensstämmelse med lag eller förordning.

Känsliga personuppgifter och uppgifter om lagöverträdelser

8 § Personuppgifter som avses i artikel 9.1 i EU:s 
dataskyddsförordning (känsliga personuppgifter) får behandlas 
med stöd av artikel 9.2 g eller 9.2 j i förordningen om det är 
nödvändigt med hänsyn till ändamålet med behandlingen.

9 § Av lagen (2003:460) om etikprövning av forskning som avser 
människor följer att forskning som innefattar behandling av 
känsliga personuppgifter eller personuppgifter om 
lagöverträdelser som innefattar brott, domar i brottmål, 
straffprocessuella tvångsmedel eller administrativa 
frihetsberövanden (uppgifter om lagöverträdelser) måste 
etikprövas.

10 § Sökningar får inte utföras i syfte att få fram ett urval 
av personer grundat på känsliga personuppgifter.

Sökningar får dock utföras i syfte att få fram ett urval av 
personer grundat på personuppgifter om etniskt ursprung, 
religiös eller filosofisk övertygelse, hälsa eller sexuell 
läggning om sökningen sker för ändamål enligt 6 §.

Behandling av personuppgifter i projekt

11 § Med projekt avses i denna lag en planerad arbetsinsats 
som genomförs inom bestämda ramar. 

12 § Behandling av personuppgifter enligt 6 § ska ske inom 
ramen för ett projekt. Personuppgifter som har samlats in för 
att behandlas inom ramen för ett projekt får inte behandlas i 
ett annat projekt. 

Personuppgifter får dock behandlas inom ramen för ett annat 
projekt än det som uppgifterna samlats in för, om behandlingen 
är nödvändig för att Inspektionen för socialförsäkringen helt 
eller delvis ska kunna upprepa eller följa upp det tidigare 
projektet.

Behandling av personuppgifter som utförs för omvärldsbevakning 
eller planering av Inspektionen för socialförsäkringens 
verksamhet behöver inte ske inom ramen för ett projekt.

13 § Innan personuppgifter får behandlas inom ramen för ett 
projekt ska Inspektionen för socialförsäkringen fastställa

1. syftet med projektet,

2. vilka kategorier av känsliga personuppgifter och uppgifter 
om lagöverträdelser som ska analyseras i projektet, och 

3. när projektet senast ska vara avslutat. 

Det fastställda syftet får inte ändras.

Information om vad som har fastställts ska hållas tillgänglig 
på Inspektionen för socialförsäkringens webbplats.

Medgivande till behandling av personuppgifter

14 § Om personuppgifter samlas in direkt från den enskilde, 
får de behandlas endast om den enskilde har lämnat sitt 
uttryckliga medgivande till behandlingen. 

Den registrerade har rätt att när som helst återkalla ett 
lämnat medgivande. Personuppgifter som omfattas av ett 
återkallat medgivande ska raderas. 

Om ett medgivande återkallas får behandlingen av 
personuppgifter dock fortsätta om Inspektionen för 
socialförsäkringen inte kan hänföra uppgifterna till den 
registrerade utan att bevara, förvärva eller behandla 
ytterligare personuppgifter. Behandlingen får också fortsätta 
om personuppgifterna finns i handlingar som har tagits om hand 
för arkivering.

Begränsning av möjligheterna att identifiera den registrerade

15 § Personuppgifter som direkt kan hänföras till den 
registrerade ska förvaras separat från övriga personuppgifter. 
Personuppgifter som direkt kan hänföras till den registrerade 
får dock behandlas tillsammans med övriga personuppgifter, om 
en separering skulle medföra en oproportionerlig ansträngning 
eller motverka syftet med behandlingen.

Det som sägs i första stycket hindrar inte att personuppgifter 
som inte direkt kan hänföras till den registrerade är försedda 
med en beteckning som kan kopplas till ett personnummer eller 
motsvarande identitetsbeteckning.

Tillgång till personuppgifter

16 § Tillgången till personuppgifter ska begränsas till det 
som var och en behöver för att kunna fullgöra sina 
arbetsuppgifter vid Inspektionen för socialförsäkringen.

Åtkomsten till personuppgifter ska kontrolleras och följas upp 
regelbundet.


Övergångsbestämmelser

2024:926

1. Denna lag träder i kraft den 1 januari 2025.

2. Bestämmelserna i 12-14 §§ tillämpas inte på projekt som har 
inletts före ikraftträdandet.