Delphi insights: Nytt ställningstagande från IMY ändrar spelplanen för bakgrundskontroller
I början av förra veckan publicerade Integritetsskyddsmyndigheten (IMY) ett nytt rättsligt ställningstagande avseende söktjänster med utgivningsbevis. Ställningstagandet innebär i korthet att IMY anser sig ha rätt att granska klagomål från enskilda riktade mot söktjänsterna och följer en hätsk debatt i media och en pågående rättsutveckling. Ställningstagandet har dock mer långtgående effekter än vad som kan verka vid en första anblick, särskilt för arbetsgivares praktiska möjligheter att genomföra bakgrundskontroller på anställningskandidater eller befintliga anställda. Delphis arbetsrättsgrupp har i det följande sammanfattat pågående lagstiftningsarbeten, rättspraxis och andra pågående processer i syfte att ge klarhet i denna omdiskuterade fråga och vi finns självklart tillgängliga om du som läsare har ett behov av mer detaljerad vägledning.
Kort om bakgrundskontroller
Bakgrundskontroller förekommer framförallt under anställningsförfaranden, men kan även förekomma under pågående anställning. Bakgrundskontroller sker oftast efter anlitande av en separat uppdragstagare, ett bakgrundskontrollsbolag eller genom beställning direkt från en söktjänst. Bakgrundskontrollsbolagen använder i sin tur oftast söktjänster. En bakgrundskontroll kan innefatta en utredning av en anställningskandidats onlinenärvaro (såsom inlägg på sociala medier), bolagsengagemang, privatekonomiska ställning, omnämnanden i media och pågående eller avslutade rättsärenden. Särskilt aktuellt för denna fråga är uppgifter om brott. Arbetsgivare bör dock vara varsamma vid en bakgrundskontroll då samtliga uppgifter som insamlas vid en bakgrundskontroll sannolikt är personuppgifter och vissa uppgifter, såsom uppgifter om brottslighet, är känsliga personuppgifter. Noggrann efterlevnad av GDPR är således nödvändig och arbetsgivaren måste säkerställa att det finns ett berättigat syfte att behandla de personuppgifter som framkommer vid en bakgrundskontroll.
Brottsuppgifter, belastningsregistret och utgivningsbevis
Samtliga enskilda har möjlighet att begära ut ett utdrag ur belastningsregistret avseende sig själv. För övriga gäller sekretess för sådana uppgifter och tredje part har normalt sett inte rätt att begära ut ett registerutdrag för en enskild. Inom vissa branscher har arbetsgivare dock en lagstadgad rätt (fakultativ registerkontroll), och i vissa fall en skyldighet (obligatorisk registerkontroll), att kräva ett utdrag från belastningsregistret. Fakultativ och obligatorisk registerkontroll föreligger främst vid arbete med barn, visst arbete med försäkringar samt för säkerhetsklassade anställningar. Det finns dock inget explicit förbud mot att, som ett led i anställningsprocessen, be en anställningskandidat eller en befintlig anställd att få ta del av ett registerutdrag i andra branscher, så kallad informell registerkontroll. Den informella registerkontrollen innebär att arbetsgivaren kräver att få ta del av ett registerutdrag i en rekryteringsprocess som ett krav för anställning, men samma resultat har tidigare kunnat nås genom direkt beställning från söktjänst, eller genom anlitande av bakgrundskontrollbolag.
Söktjänstbolag med utgivningsbevis har tidigare ansetts ha möjlighet att, med stöd i utgivningsbevisets journalistiska syfte, begära ut samtliga brottmålsdomar från svenska domstolar och tillgängliggöra dessa för beställare. Genom ett bakgrundskontrollsbolag eller en söktjänst har alltså arbetsgivare haft möjlighet att ta del av uppgifter om en anställningskandidats brottslighet som annars endast skulle varit möjligt genom ett registerutdrag. IMY har historiskt gett tillstånd till bakgrundskontrollsbolag att hantera vissa av de känsliga personuppgifter som framkommer vid hantering av brottmålsdomar.
IMYs ställningstagande
IMYs ställningstagande innebär dock att vid varje enskild behandling av en brottsuppgift, även vid hantering av en söktjänst med utgivningsbevis, ska en avvägning mellan integritetsskyddet och yttrandefriheten (som kommer till uttryck i utgivningsbeviset) göras i det enskilda fallet. IMY har gjort bedömningen att det EU-rättsliga integritetsskyddet, i egenskap av överrätt, går före yttrandefrihetsskyddet i svensk grundlag. Detta särskilt med motiveringen att söktjänsterna inte innefattas av den grupp som utgivningsbeviset som yttrandefrihetsverktyg avsåg skydda. Denna bedömning är av stor principiell betydelse och utgången är inte självklar, det återstår alltså att se om bedömningen håller vid en domstolsprövning, en utveckling som Delphi såklart bevakar.
Rättsutvecklingen i allmänhet
När en söktjänst begär ut uppgifter från en domstol måste alltså, med IMYs nya ställningstagande i åtanke, domstolen göra en bedömning i varje enskilt fall om hanteringen är tillåten enligt GDPR. Sannolikt omöjliggör detta söktjänsternas begäran av samtliga brottmålsdomar från domstolarna, vilket i sin tur försvårar bakgrundskontroller för arbetsgivare. Denna bedömning har redan gjorts av ett antal svenska tingsrätter under förra året samt denna vår nekat utlämning av brottmålsdomar när söktjänster inkommit med just en sådan begäran.
Frågan om eventuella begränsningar i arbetsgivares möjligheter att genomföra informella bakgrundskontroller har varit på tapeten vid flera tillfällen, exempelvis har ett explicit förbud föreslagits i statliga utredningar (SOU 2002:18, SOU 2009:44, SOU 2014:48 och SOU 2019:19). Ingen av dessa förslag har dock lett till en sådan lagstiftning. Det finns dock ingenting som hindrar regeringen från att påbörja ett propositionsarbete baserat på i vart fall de senare av dessa utredningar.
Två pågående utredningar skulle även de kunna leda till ändringar i lagstiftningen. I oktober 2023 gavs en särskild utredare uppdrag att se över grundlagsskyddet för söktjänster som offentliggör personuppgifter om lagöverträdelser. Utredarens förslag ska presenteras senast 15 november 2024 och IMYs ställningstagande tycks alltså föregå resultatet av denna utredning. Parallellt gavs i februari i år en utredare i uppdrag att se över möjligheterna att kontrollera anställda och personer som erbjuds anställning eller uppdrag inom kommunerna mot belastningsregistret. Denna utredning ska redovisas senast den 31 oktober 2024 och skulle alltså kunna leda till utökade möjligheter för kommuner att utföra bakgrundskontroller. Det bör noteras att kommuner sedan tidigare fått allvarlig kritik från JO för sin användning av bakgrundskontroller.
Utöver pågående lagstiftningsarbete har bakgrundskontrollsbolagen varit föremål för ett antal tvister. Det är särskilt det EU-rättsliga integritetsskyddet genom GDPR och det svenska grundlagsskyddet för databaser med utgivningsbevis som ställs emot varandra i dessa mål, och under våren kom en principiellt viktig dom från EU-domstolen. I målet (C – 740/22) hade en finsk arbetsgivare begärt ut brottsupppgifter angående en anställningskandidat, vilket vägrades av domstolen. Efter en rättsprocess begärdes ett förhandsavgörande från EU-domstolen avseende artiklarna 6.1 e och 10 GDPR. Domstolen kom fram till att den som begär ut uppgiften måste kunna visa att denne har ett särskilt intresse av att erhålla brottsuppgifter. Sannolikt var denna dom den slutgiltiga ”spiken i kistan” som motiverade IMY att utfärda sitt förnyade ställningstagande, då IMY uttrycker sig i mycket liknande ordalag utan att direkt hänvisa till denna dom.
Slutsatser
Det händer mycket på området och Delphis arbetsrättsgrupp bevakar löpande rättsutvecklingen, men om du har några funderingar redan nu kan du självklart kontakta oss.