En bakgrundskontroll vid rekrytering behöver börja med arbetsuppgiften och den konkreta risken. I Sverige räcker det inte att kandidaten godkänner en bred kontroll om den innebär behandling av brottsuppgifter. Arbetsgivaren behöver både rättslig grund enligt GDPR och stöd för den särskilda behandling som omfattas av artikel 10.
Den här guiden hjälper HR och rekryterande chef att skriva ett avgränsat kontrollbeslut: vilka uppgifter som behövs, vilket stöd som finns, hur kandidaten informeras och vad som får dokumenteras. Den skiljer en vanlig kontroll av meriter från brottsuppgifter och från särskilt reglerade registerkontroller. Exemplen är fiktiva och ger inte ett generellt godkännande av en viss kontrolltjänst.
1. Dela upp kontrollen i olika uppgiftstyper
En kontroll av utbildning, tidigare anställning eller yrkesbehörighet är inte samma sak som en kontroll av domar och konkreta brottsmisstankar. Att beställa ett samlat paket under rubriken ”bakgrund” kan dölja att uppgifterna omfattas av olika regler.
Beskriv därför varje del för sig. Ange vilken arbetsuppgift den ska stödja och vilken risk ni försöker hantera. Skilj faktauppgifter från värderingar och osäkra träffar. En person som nämns i ett domstolsdokument kan exempelvis vara vittne eller målsägande, och en namnlikhet visar inte att dokumentet gäller kandidaten.
IMY beskriver brottsuppgifter som bland annat uppgifter om begångna brott, domar, straffprocessuella tvångsmedel och misstanke om ett konkret brott. Myndigheter har ett annat stöd än privata arbetsgivare, men även myndigheter måste ha rättslig grund, nödvändighet och följa övriga dataskyddsregler. Se IMY:s vägledning om brottsuppgifter i arbetslivet.
En ekonomisk kontroll är ytterligare en separat fråga. Om arbetsgivaren överväger kreditupplysning behöver den prövas enligt de regler som gäller för den uppgiften; se rutinen för legitimt behov av kreditupplysning. En senior titel motiverar inte automatiskt alla uppgiftstyper i ett leverantörspaket.
2. Identifiera stödet innan uppgifter beställs
För arbetsgivare som inte är myndigheter kräver behandling av brottsuppgifter tillämpligt stöd i unionsrätt eller nationell rätt med lämpliga skyddsåtgärder. Föreskrifter eller ett individuellt beslut från IMY kan vara relevant beroende på situationen. Dokumentera exakt vilket stöd ni avser att använda och vilka villkor det ställer.
Samtycke från kandidaten undanröjer inte artikel 10. IMY anger uttryckligen att arbetsgivare inte kan använda samtycke som rättslig grund för denna typ av uppgifter. Skriv därför inte ”samtycke finns” som enda rättslig motivering i kontrollbeställningen. Läs GDPR, artiklarna 6 och 10 tillsammans med tillämpliga svenska bestämmelser.
Om en leverantör hänvisar till ett IMY-tillstånd ska ni kontrollera dess innehåll, vilken juridisk person det gäller och vilka behandlingar och villkor det omfattar. Leverantörens tillstånd innebär inte automatiskt att arbetsgivaren själv får samla in, lagra och sprida samma råuppgifter i rekryteringssystemet. Ansvar och stöd behöver prövas för varje aktörs behandling.
Bestäm en tydlig stoppregel: ingen beställning av brottsuppgifter innan ansvarig funktion har verifierat stödet för den planerade behandlingen. Ett efterhandsbeslut om att ”bara spara rapporten kort” reparerar inte en otillåten insamling.
3. Kontrollera särskild registerlagstiftning för rollen
Vissa arbetsuppgifter omfattas av särskilda regler om registerkontroll, exempelvis inom delar av verksamhet med barn. Reglerna kan skilja mellan skyldighet och möjlighet att begära utdrag, vilka personer som omfattas, vilket utdrag som ska användas och vad arbetsgivaren får dokumentera.
Kontrollera den aktuella författningen för den faktiska rollen. Återanvänd inte en rutin från skola, säkerhetskänslig verksamhet eller en annan reglerad sektor till samtliga tjänster i koncernen. En kandidat som kan bli aktuell för flera olika roller behöver inte utsättas för den mest omfattande kontrollen redan vid en första intresseanmälan.
Dokumentera författning, relevant bestämmelse, kontrolltidpunkt, ansvarig kontrollant och tillåten dokumentation. Ange hur ett felaktigt eller inaktuellt underlag ska hanteras. Om reglerna kräver en begränsad anteckning ska ett rekryteringssystems standardfunktion för bilageuppladdning inte leda till att hela utdraget sparas av vana.
4. Förstå skillnaden mellan pappersvisning och registrering
IMY anger att enbart frågor eller uppvisande av ett registerutdrag på papper kan falla utanför GDPR:s tillämpningsområde. Bedömningen ändras när arbetsgivaren exempelvis skannar utdraget eller registrerar brottsuppgifterna. Även manuellt material kan omfattas om det ordnas så att uppgifterna lätt kan återfinnas för senare användning.
Arbetsdomstolen prövade i AD 2026 nr 27 en arbetsgivares mottagande och läsning av ett pappersutdrag under pågående anställning. Domstolen bedömde att den aktuella manuella hanteringen utan registrering eller avsikt att föra uppgifterna till register låg utanför artikel 2.1. Domen innebär inte att digitala rekryteringskontroller generellt är tillåtna eller att arbetsrättsliga frågor alltid är lösta. Se Arbetsdomstolens dom AD 2026 nr 27.
Utforma inte rutinen som ett försök att flytta otillåten insamling till papper. Ta först ställning till behov, tillämpliga regler och kandidatens situation. Om en rekryterare senare skriver en sammanfattning av innehållet i kandidatprofilen har en ny behandling skett som behöver bedömas utifrån vad som faktiskt registrerats.
En anteckning om att ett utdrag har visats, utan uppgift om innehållet, är enligt IMY inte i sig en brottsuppgift. Den är ändå en personuppgift som måste vara relevant och ha rättsligt stöd. Myndigheten framhåller att sådan registrering regelmässigt inte är adekvat och relevant vid rekrytering utan ett motiverat sammanhang.
5. Ifyllt beslut: avgränsa en vanlig rekrytering
Ett fiktivt privat företag rekryterar en kundsupportmedarbetare. Rollen saknar de särskilda arbetsuppgifter som skulle motivera den erbjudna leverantörens breda kontrollpaket. Paketet innehåller verifiering av meriter men även domstolssökning, ekonomiska uppgifter och genomgång av privata sociala medier.
HR delar upp paketet och skriver följande beslut. Det gäller denna roll och detta upplägg, inte alla framtida rekryteringar i företaget.
| Del av kontrollen | Beslut och motivering |
|---|---|
| Relevant yrkeserfarenhet | Verifieras med avgränsade frågor om uppgivna arbetsuppgifter |
| Utbildning som krävs för rollen | Kontrolleras där den är relevant för kravprofilen |
| Domstolssökning | Beställs inte; stöd och nödvändighet för brottsuppgiftsbehandling har inte visats |
| Kreditupplysning | Beställs inte; rollen saknar den ekonomiska ansvarssituation som åberopats |
| Privata sociala medier | Ingen generell insamling till kandidatprofilen |
| Dokumentation | Saklig verifiering av relevanta meriter och källor, med begränsad åtkomst |
Rekryterande chef får därmed ett konkret underlag för beslut om kompetens. Om rollen senare ändras till att omfatta andra befogenheter ska HR pröva det nya behovet, inte bara aktivera hela kontrollpaketet. Använd fältmatrisen för uppgiftsminimering för att hålla bedömningen kopplad till uppgifterna.
6. Informera kandidaten och kontrollera träffar
Beskriv vad ni avser att kontrollera, varför, vilka källor som används och vilka mottagare som kan få information. Om uppgifter hämtas från andra källor behöver skyldigheterna enligt artikel 14 hanteras. Följ arbetsgången för informationsplikt vid indirekt insamling och dokumentera eventuella tillämpliga undantag i stället för att anta att offentliga källor saknar informationskrav.
Ge kandidaten en fungerande kontaktväg för att påtala sammanblandningar eller inaktuella uppgifter. Kontrollera identiteten och källans faktiska innehåll innan ett negativt besked används. Ett automatiskt sökresultat kan innehålla en annan person, en upphävd dom eller ett ofullständigt utdrag ur ett större sammanhang.
Dokumentera vad som är verifierat och vad som är osäkert. Använd rutinen för rättelse enligt artikel 16 när ett fel måste hanteras. Att en leverantör producerat rapporten befriar inte arbetsgivaren från ansvar för att uppgifter som används i det egna beslutet är riktiga och relevanta.
7. Begränsa hur resultatet används
Låt en utsedd funktion bedöma resultatet mot kravprofilen och det godkända ändamålet. Sprid inte fullständiga rapporter till alla intervjuare eller till den framtida arbetsgruppen. Den som behöver fatta ett avgränsat kompetensbeslut behöver inte automatiskt varje bakomliggande privat uppgift.
Om en leverantör ger ett rött eller grönt utfall behöver arbetsgivaren förstå vad bedömningen bygger på och om det faktiskt är lämpligt att använda den. Ett beslut att automatiskt neka en anställningsmöjlighet kan aktualisera artikel 22 när dess förutsättningar är uppfyllda. Guiden om automatiserade beslut beskriver förbudet, undantagen och skyddsåtgärderna.
Skriv ned hur en människa granskar ett avvikande resultat och har verklig möjlighet att ändra slutsatsen. En rekryterare som bara vidarebefordrar leverantörens färgkod utan att förstå den ger inte automatiskt en meningsfull individuell bedömning.
Om kandidaten skickar ett oönskat utdrag
Rutinen behöver också fungera när en kandidat självmant bifogar ett belastningsregisterutdrag som arbetsgivaren inte har begärt. Att avsändaren valt att skicka handlingen gör inte arbetsgivarens fortsatta lagring och användning automatiskt tillåten. Begränsa åtkomsten och låt ansvarig funktion bedöma hanteringen utan att skicka bilagan vidare till intervjuarna.
I det fiktiva företaget upptäcker HR en sådan bilaga innan den förts över till chefens rekryteringsvy. HR avstår från att använda innehållet som urvalsgrund, hanterar radering enligt det tillämpliga stödet och informerar kandidaten sakligt om att dokumentet inte ingår i den beslutade kontrollen. Systemägaren kontrollerar samtidigt om bilagan automatiskt kopierats till någon annan plats. Händelsen används för att förbättra formulärets instruktion: kandidaten ska lämna relevanta meriter och inte bifoga andra privata handlingar som inte efterfrågats. Det minskar risken att samma onödiga insamling upprepas.
8. Bestäm åtkomst, lagring och avslut
Begränsa lagring till vad som behövs och vad tillämpliga regler medger. Dokumentera olika hantering för råunderlag, bedömningsanteckning och själva rekryteringsbeslutet. Ett allmänt koncernkrav att spara ”alla HR-handlingar” är inte en tillräcklig analys av varje kontrolluppgift.
Kontrollera kopior i e-post, nedladdningar och leverantörsportaler. En raderingsåtgärd i kandidatprofilen avslutar inte behandlingen om rapporten fortfarande är tillgänglig för samma rekryterare i ett externt system. Bestäm vem som beställer radering eller begränsning och hur utförandet verifieras.
Vid avslut kan HR anteckna: ”Kontrollpaketet begränsades till relevanta meriter enligt beslut för rollen. Inga brottsuppgifter beställdes eller registrerades. Verifieringsunderlag hanteras enligt den beslutade rekryteringsrutinen.” Ett sådant besked dokumenterar processen utan att skapa nya antydningar om kandidatens privata förhållanden. För särskilt reglerade kontroller måste avslutsanteckningen i stället följa just den tillämpliga författningens krav.