Arbejdstilsynet must assess risk before certain data processing, do a DPIA if there is high risk, and use security, retention, and deletion safeguards for copied production data and stored information.
§ 72. Oplysninger om beskæftigelsesforhold, herunder oplysninger om arbejdsfunktioner. Oplysninger om uddannelsesmæssige forhold. Oplysninger om økonomiske forhold. Oplysninger om erhvervsmæssige forhold. Oplysninger om ejendomme og ejerforhold. Oplysninger om strafbare forhold. Oplysninger om maskinel registrering (logning) af alle anvendelser af personoplysninger. Oplysninger om udfaldet af samkøring og anden behandling, samt statistiske beregninger og analyser foretaget på baggrund af oplysningerne i stk. 1-21. Betingelser for samkøring og anden behandling af oplysninger Forud for samkøring og anden behandling af personoplysninger efter § 1, stk. 1 og 3, foretager Arbejdstilsynet en risikovurdering. Hvis Arbejdstilsynet vurderer, at der er en høj risiko for de registrerede, udarbejdes en analyse af de enkelte påtænkte behandlingsaktiviteters konsekvenser for beskyttelse af personoplysninger (konsekvensanalyse). Genanvendelse af oplysninger Hvis oplysninger, der behandles efter § 3, genanvendes som led i anden samkøring eller behandling, finder reglerne i denne bekendtgørelse tilsvarende anvendelse. Samkøring og anden behandling af oplysninger Arbejdstilsynet kan foretage samkøring og anden behandling af oplysninger fra andre myndigheder, jf. § 1, stk. 1, med øvrige oplysninger som Arbejdstilsynet er i besiddelse af, når det er nødvendigt af hensyn til udførelsen af tilsynets opgaver. Udvikling på baggrund af produktionsdata I situationer, hvor der er behov for at bruge de oplysninger, der kan indhentes efter arbejdsmiljølovens § 72, stk. 2-6, til udvikling og test af it-systemer og modeller, skal sådan behandling ske på baggrund af en kopi af produktionsdata. Forud for udvikling og test på baggrund af en kopi af produktionsdata, skal der foreligge en vurdering af, om behandlingen vil kunne ske inden for rammerne af databeskyttelseslovgivningen, herunder en vurdering af risikoen for den registreredes rettigheder. Ved anvendelse af en kopi af produktionsdata skal der etableres samme sikkerhedsforanstaltninger, som er etableret for produktionsdata. Når behandlingen af kopien af produktionsdata er afsluttet, skal den brugte kopi og nyfremstillet uddata slettes. Opbevaring og sletning af oplysninger Oplysninger, der behandles efter § 3, opbevares af Arbejdstilsynet. Oplysninger, der behandles efter § 3, må ikke opbevares i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de pågældende oplysninger behandles. Arbejdstilsynet skal jævnligt undersøge behovet for fortsat opbevaring af oplysningerne. For personoplysninger, der er genanvendt i en anden sammenhæng end den, personoplysningerne blev indsamlet til brug for, regnes stillingtagen til sletning i den nye behandling fra genanvendelsestidspunktet. Sikkerhedsforanstaltninger Samkøring og anden behandling af oplysninger i medfør af § 3, skal finde sted under anvendelse af passende tekniske og organisatoriske sikkerhedsforanstaltninger, herunder adgangsstyring. Arbejdstilsynet fastsætter interne skriftlige retningslinjer for adgangen til og behandlingen af oplysninger efter denne bekendtgørelse, herunder om begrænsning af antallet af medarbejdere, som kan tilgå oplysningerne, der behandles, samt om hvilke medarbejdere, som kan foretage samkøring af oplysninger. Ikrafttræden Bekendtgørelsen træder i kraft den 10. december 2025.