Efter IMY:s beslut: arbetsgivare bör sluta göra egna sökningar på kandidater

Integritetsskyddsmyndigheten (IMY) har beslutat att fyra söktjänster – Lexbase, Krimfup, MrKoll och Upplysning – måste följa dataskyddsförordningen trots att de har utgivningsbevis. 2Secure, en av Sveriges största leverantörer av bakgrundskontroller, bedömer att besluten gör rättsläget tydligt för arbetsgivare och inköpare: uppgifter om brott får bara hanteras med tillstånd och under myndighetskontroll.

"Vi har byggt verksamheten på att uppgifter om brott bara hanteras med tillstånd och under tillsyn. Besluten bekräftar den ordningen, och för våra kunder förändras ingenting", säger Helena Appelgren, vd för 2Secure.

IMY bedömer med stöd i en dom från EU-domstolen nyligen att söktjänsterna inte bedrivs med journalistiskt ändamål i EU-rättslig mening och att svensk lagstiftning dessutom gör undantag som EU-rätten inte tillåter. Besluten träffar därmed också leverantörsledet i bakgrundskontrollbranschen: bakgrundskontrollföretag som bygger sina kontroller på söktjänster och andra sekundärkällor behöver säkra andra vägar till uppgifterna, eftersom rättsligt stöd krävs i varje led.

"En egen sökning på en kandidat i en söktjänst är en behandling av uppgifter om lagöverträdelser som arbetsgivaren normalt saknar rättsligt stöd för. Behövs en kontroll ska den göras inom en reglerad process, och den som köper kontroller ansvarar för sitt val av leverantör och för hur uppgifterna används", säger Oskar Olsson, affärsområdeschef för Human Risk Management på 2Secure.

Det gäller alla som köper bakgrundskontroller – företag och reglerade verksamheter lika väl som kommuner, regioner och statliga myndigheter. Dagens beslut är ett skäl att se över gällande avtal och de krav beställare ställer på sina leverantörer: tillstånd från IMY, inhämtning från primärkällor, information till den som kontrolleras och kontroller som står i proportion till befattningen är krav som nu måste säkerställas.

Redan 2022 fick 2Secure som första bakgrundskontrollföretag i Sverige tillstånd från IMY att behandla uppgifter om lagöverträdelser. Uppgifterna inhämtas från domstolar och andra myndigheter för det enskilda uppdraget, den som kontrolleras informeras och inget eget register över domar förs. Tekniken används som stöd vid insamling men bedömningen av vad uppgifterna betyder för befattningen görs alltid av en handläggare. I dialogen med den pågående utredningen om bakgrundskontroller har 2Secure förordat en reglering där krav på tillstånd, tillsyn, gallring och proportionalitet ska gälla alla aktörer.

"Integritetsskydd och personalsäkerhet är inte motsatser. Söktjänsterna lämnar ut allt om alla, utan urskillning. En bakgrundskontroll ska bara omfatta det som är relevant för befattningen, och den bedömningen måste en människa stå för", säger Oskar Olsson.

IMY:s beslut:

• Lexbase och Krimfup: båda bolagen tilldelas en reprimand för behandling av uppgifter om brott utan lagligt stöd samt föreläggande om att sådana uppgifter inte ska kunna tas fram vid sökning på namn, personnummer eller adress.
• MrKoll och Upplysning: bolagen tilldelas en reprimand för brister i hanteringen av rätten till radering.
• Länk till beslutet