Lag (2025:760) om E-hälsomyndighetens behandling av personuppgifter i ärenden om fritidskort

1 §  Denna lag gäller vid E-hälsomyndighetens behandling av personuppgifter i verksamhet som avser ärenden enligt lagen (2025:759) om fritidskort och föreskrifter som har meddelats i anslutning till den lagen.

Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller kommer att ingå i ett register.

2 §  Denna lag kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning.

Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen.

3 §  Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling av personuppgifter som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.

4 §  E-hälsomyndigheten är personuppgiftsansvarig för behandling av personuppgifter enligt denna lag.

5 §  E-hälsomyndigheten får behandla personuppgifter i verksamhet som avser ärenden om fritidskort om det är nödvändigt för att

• 1. handlägga ärenden, eller
• 2. vidta kontrollåtgärder som syftar till att förebygga, förhindra och upptäcka felaktiga utbetalningar.

6 §  Personuppgifter som behandlas för ändamål som anges i 5 § får behandlas av E-hälsomyndigheten även för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning.

7 §  Personuppgifter som behandlas enligt 5 eller 6 § får behandlas även för andra ändamål än de som uttryckligen anges i lagen, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål som uppgifterna samlades in för.

8 §  Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får behandlas med stöd av artikel 9.2 g i förordningen om det är nödvändigt med hänsyn till de ändamål som avses i 5 och 6 §§.

9 §  Sökningar får inte utföras i syfte att få fram ett urval av personer grundat på känsliga personuppgifter.

10 §  Tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter enligt denna lag.

Tillgången till personuppgifter ska kontrolleras och följas upp regelbundet.

11 §  Personuppgifter får inte behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen, dock som längst fem år efter utgången av det kalenderår då stöd i form av fritidskort senast lämnades i ärendet eller ansökan om fritidskort avslogs.

Första stycket hindrar inte att en behörig myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet.