Bakgrundskontroll och GDPR: därför räcker inte samtycke
Många bygger sina bakgrundskontroller på kandidatens samtycke. Enligt IMY håller det sällan, och för brottsuppgifter aldrig. Så här gör ni en intresseavvägning som går att visa upp.
Publicerad · Uppdaterad · 5 min läsning
Kort svar: samtycke är nästan aldrig rätt rättslig grund för en bakgrundskontroll i arbetslivet. Den vanliga grunden är en intresseavvägning, och för uppgifter om brott krävs dessutom stöd i lag, i IMY:s föreskrifter eller ett tillstånd från IMY.
Varför samtycke inte håller
Ett samtycke enligt GDPR måste vara frivilligt. Den som söker ett jobb eller är anställd har sällan ett verkligt fritt val. IMY skriver om arbetslivet:
Däremot kan en arbetsgivare normalt inte använda samtycke som rättslig grund för att behandla personuppgifter om anställda. Det beror på att anställda är i beroendeställning till arbetsgivaren och därför som regel inte kan lämna sådana frivilliga samtycken som dataskyddsförordningen kräver.
Samtycke kan fungera i undantagsfall, när personen har ett verkligt fritt val, erbjuds rimliga alternativ och kan ta tillbaka samtycket utan nackdelar. IMY tillägger: "Att man kan låta bli att samtycka är inte ett sådant rimligt alternativ som avses här."
IMY:s text handlar uttryckligen om anställda. Arbetssökande nämns inte, men maktförhållandet är detsamma, och branschorganisationen Bakgrundskontrollföretagen pekar också ut intresseavvägning som lämplig grund.
Godkännande är inte samma sak som samtycke
Det är bra att kandidaten får information och bekräftar att kontrollen startar. Det skapar öppenhet och ger kandidaten kontroll över tidpunkten. Men bekräftelsen är inte den rättsliga grunden.
Håll isär begreppen internt: ni informerar och inhämtar kandidatens medverkan, men ni stöder behandlingen på en intresseavvägning. Skriv inte "samtycke" i policyn eller i kandidatinformationen om det inte är samtycke ni menar.
Brottsuppgifter har egna regler
Uppgifter om fällande domar och lagöverträdelser regleras särskilt i artikel 10 i GDPR. Andra än myndigheter får behandla dem bara om det finns stöd i lag eller föreskrift, eller efter tillstånd från IMY. Om grunden skriver IMY:
Ingen arbetsgivare kan använda samtycke som rättslig grund för att behandla den här typen av uppgifter.
IMY har meddelat föreskrifter (IMYFS 2024:1) som tillåter behandling i sex avgränsade situationer, bland annat inom socialtjänst, advokatverksamhet och finansiell sektor. De är ingen allmän grund för bakgrundskontroller vid rekrytering.
Om ett registerutdrag ändå visas upp gäller det som beskrivs i Får arbetsgivare begära utdrag ur belastningsregistret?
Intresseavvägning i tre steg
- Berättigat intresse. Formulera ett konkret intresse kopplat till rollen. "Minska risken för bedrägeri i en roll med attesträtt" duger. "Vi vill vara säkra" duger inte.
- Nödvändighet. Behövs just de här uppgifterna för att nå målet, eller räcker något mindre ingripande? Referenser, arbetsprov, en enklare kontrollnivå eller kontroll av enbart slutkandidaten kan räcka.
- Avvägning. Väg ert intresse mot kandidatens. Ta hänsyn till hur känsliga uppgifterna är, vad kandidaten rimligen förväntar sig, hur öppna ni är, hur länge ni sparar och vem som får se resultatet.
Gör avvägningen per rollgrupp och skriv ned den. En halv sida räcker, men den ska finnas.
Mall för en rollgrupp
| Rubrik | Exempel |
|---|---|
| Rollgrupp | IT-administratörer med privilegierad åtkomst |
| Ändamål | Verifiera identitet och meriter innan åtkomst ges |
| Berättigat intresse | Skydda system, kunddata och drift |
| Kontrollnivå | Identitet, CV-verifiering, bolagsengagemang, sanktionslistor |
| Varför mindre inte räcker | Åtkomstnivån och konsekvensen vid missbruk |
| Information till kandidaten | Vilken text, och när den lämnas |
| Vem får se resultatet | Rekryterande chef och HR |
| Lagring | Hur länge, och när underlaget raderas |
| Omprövning | Årligen eller när rollen ändras |
Vad ett IMY-tillstånd är och inte är
Flera leverantörer av bakgrundskontroller har tillstånd från IMY att behandla uppgifter om lagöverträdelser. IMY publicerar en lista över dem och skriver att tillstånden skiljer sig mellan bolagen.
Ett tillstånd är inget kvalitetsintyg. IMY skriver att ett beviljat tillstånd inte ska "misstas för ett intyg på att bolagets verksamhet är förenlig med GDPR", och att det bara omfattar den behandling som beskrivits i ansökan. IMY uppger också att myndigheten hittills inte har beviljat något tillstånd där sökanden har använt samtycke som rättslig grund.
Frågor att ställa till en leverantör som behandlar brottsuppgifter:
- Vilket beslut gäller för den tjänst vi köper, och vad omfattar det?
- Hur görs avvägningen i varje enskilt ärende?
- Vilka uppgifter tas inte med, till exempel sådana som skulle ha gallrats ur belastningsregistret?
- Vem informerar kandidaten, och vem svarar på en begäran om registerutdrag eller radering?
IMY inledde i mars 2026 sin första granskning av om ett bakgrundskontrollföretag följer villkoren i sitt tillstånd.
Källorna bakom rapporten har ändrats
Kontroller av rättsliga uppgifter har länge byggt på söktjänster med frivilligt utgivningsbevis. Den vägen har snävats in:
- 25 februari 2025. Högsta domstolen slog i två beslut fast att den ordning som gällt för utlämnande av brottmålsdomar till söktjänster inte kan anses förenlig med EU-rätten.
- 9 juli 2026. EU-domstolen meddelade dom i ett mål om en svensk söktjänst med utgivningsbevis (C-199/24). IMY analyserar vad domen innebär för sina pågående tillsyner av sådana söktjänster.
För er som köpare betyder det en sak: fråga vilken källa och vilken rättslig modell leverantören använder i dag, inte vad som gällde för två år sedan.
Vanliga misstag
- En samtyckesruta i rekryteringssystemet som antas lösa GDPR.
- Skannade registerutdrag i personalakten.
- Samma djupa kontroll för alla roller.
- Ingen dokumenterad avvägning, bara en leverantörsfaktura.
- En kandidatinformation som säger "samtycke" när grunden är en intresseavvägning.
Så förhåller sig Adagon till detta
Adagon är byggt för de kontroller som går att göra med kandidatens medverkan och öppna källor: identitet, CV och meriter, bolagsengagemang samt sanktions- och PEP-listor. Ni ställer in omfattning och lagringstid per roll, och kandidaten får veta vad som kontrolleras innan något startar.
Vad varje kontroll kräver rättsligt står på respektive sida: identitetskontroll, anställningshistorik, bolagsengagemang, belastningsregisterutdrag och öppen källsökning. Översikt: Vad som ingår i en bakgrundskontroll.
Källor
- IMY: Rättslig grund i arbetslivet, uppdaterad 15 juni 2026
- IMY: Brottsuppgifter i arbetslivet, uppdaterad 16 mars 2026
- IMY: Ansöka om tillstånd att behandla personuppgifter om lagöverträdelser, uppdaterad 21 maj 2026
- IMY: Bolag med tillstånd att behandla personuppgifter om lagöverträdelser vid bakgrundskontroller, uppdaterad 22 september 2026
- IMY: Personuppgifter som rör lagöverträdelser, uppdaterad 15 juni 2026
- IMY: Dom från EU-domstolen om söktjänst med utgivningsbevis, 9 juli 2026
- IMY granskar om bakgrundskontrollsföretag följer villkor i tillstånd, 25 mars 2026
- Transportföretagen: Nya beslut från Högsta domstolen, 10 mars 2025
- Bakgrundskontrollföretagen: Vanliga frågor
Guiden är allmän information och inte juridisk rådgivning. Regler och myndigheternas vägledning ändras, så kontrollera alltid källorna och ta hjälp av en jurist i det enskilda fallet.