Arbetsgivare har ofta goda skäl att vilja veta vem de anställer. I verksamheter där medarbetare får tillgång till känslig information, ekonomiska resurser eller andra förtroendepositioner har bakgrundskontroller blivit ett allt vanligare inslag i rekryteringsprocessen.
Att kontrollera en arbetssökande är emellertid inte oproblematiskt. Vilka uppgifter får arbetsgivaren egentligen samla in? Får brottmålsdomar beaktas? Och spelar det någon roll att uppgifterna redan finns offentligt tillgängliga?
GDPR gäller även under rekryteringen
När en arbetsgivare samlar in och använder uppgifter om en arbetssökande behandlas personuppgifter i GDPR:s mening. Det innebär att behandlingen måste ha stöd i dataskyddsreglerna och vara proportionerlig i förhållande till syftet.
Att uppgifter är enkla att hitta, exempelvis genom en internetsökning eller i en kommersiell databas, innebär inte att de utan vidare får användas i en rekryteringsprocess. Arbetsgivaren behöver kunna motivera varför uppgifterna är relevanta för den aktuella tjänsten.
Särskilt känsliga är kontroller som omfattar uppgifter om brott eller lagöverträdelser. Inom vissa verksamheter finns uttryckligt lagstöd för registerkontroller, exempelvis inom skola, förskola och säkerhetskänslig verksamhet. För de flesta arbetsgivare saknas dock motsvarande reglering.
Det innebär att arbetsgivare som använder externa screeningtjänster eller databaser över domar behöver ta ställning till betydligt fler frågor än bara vilken information som finns tillgänglig. Avgörande är också om uppgifterna får behandlas och användas som underlag för ett anställningsbeslut.
Nytt avgörande från EU-domstolen
Frågan har aktualiserats genom ett avgörande från EU-domstolen sommaren 2026 (det så kallade Lexbase-målet). Domstolen uttalade att publicering av brottmålsdomar online mot betalning inte automatiskt omfattas av GDPR:s journalistundantag. För att undantaget ska bli tillämpligt krävs att verksamheten faktiskt syftar till att informera allmänheten och bedrivs enligt journalistiska principer.
Domstolen betonade även att enskilda inte får gå miste om de rättigheter och skydd som GDPR ger endast därför att en aktör beskriver sin verksamhet som journalistisk.
Avgörandet riktar sig inte mot arbetsgivare, men kan få betydelse för de aktörer som tillhandahåller bakgrundskontroller och databaser över domstolsavgöranden. Därmed kan det också påverka vilka uppgifter arbetsgivare i praktiken får tillgång till och använder i rekryteringsprocesser.
Vad bör arbetsgivare tänka på?
Domen innebär inte att bakgrundskontroller blir otillåtna. Däremot understryker den behovet av att noga överväga kontrollernas omfattning och syfte.
Arbetsgivare bör särskilt säkerställa att:
- kontrollen är relevant för den aktuella tjänsten,
- det finns en rättslig grund för behandlingen och, när det gäller uppgifter om brott och lagöverträdelser, erforderligt rättsligt stöd för att behandla uppgifterna,
- endast nödvändiga uppgifter samlas in,
- känsliga uppgifter inte används slentrianmässigt,
- eventuella externa leverantörer följer dataskyddsreglerna, och
- informationen inte används för andra ändamål än rekryteringen.
Den centrala frågan är därför inte om informationen går att hitta, utan om den får användas.
Avslutande reflektion
Bakgrundskontroller kommer sannolikt att fortsätta vara ett naturligt inslag i många rekryteringsprocesser. Arbetsgivare har ett legitimt intresse av att hantera risker och skydda verksamheten.
Den senaste utvecklingen inom EU-rätten visar dock att tillgång till information inte är detsamma som rätt att använda den. För arbetsgivare är bakgrundskontroller därför inte längre enbart en HR-fråga, utan i lika hög grad en fråga om dataskydd.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
[View Source]