En svensk kreditupplysning om en privatperson kräver ett legitimt behov. Att ett företag har ett abonnemang hos ett kreditupplysningsföretag ger inte varje medarbetare rätt att söka på kunder, grannar eller arbetssökande. Beställningen behöver kopplas till en verklig ekonomisk riskbedömning och användningen behöver följa dataskyddsreglerna.
Den här rutinen hjälper ekonomi, uthyrning och HR att avgöra när en upplysning får beställas, vem som får läsa den och hur ett beslut kan dokumenteras utan att hela rapporten sprids. Exemplen är fiktiva och avser verksamhetens egen beställning och användning, inte hur man startar kreditupplysningsverksamhet.
1. Börja med den aktuella relationen
Enligt 9 § kreditupplysningslagen får personupplysningar inte lämnas ut när det finns anledning att anta att de ska användas av någon som saknar det behov som följer av ett ingånget eller övervägt kreditavtal eller liknande anledning. IMY beskriver bland annat hyresförhållanden och vissa högre anställningar med ekonomiskt ansvar som situationer där legitimt behov kan finnas.
Skriv vilken relation som faktiskt är aktuell. En person som frågar om en ledig lägenhet är inte i samma skede som den som ska erbjudas ett konkret hyresavtal. En kund som betalar direkt innebär inte automatiskt samma kreditrisk som en kund som begär kredit. En rekrytering till en ekonomichefsroll kräver en annan bedömning än en allmän kontroll av samtliga sökande. Se IMY:s svar om legitimt behov.
Ange vad upplysningen ska hjälpa er avgöra och varför mindre omfattande underlag inte räcker. Bestäm också när i processen kontrollen behövs. Att samla in tidigt ”för säkerhets skull” kan utsätta många personer för en kontroll som aldrig blir relevant för ett faktiskt beslut.
2. Skilj personupplysning från företagsupplysning
Reglerna om legitimt behov skiljer sig mellan upplysningar om privatpersoner och företagsupplysningar. En upplysning om en juridisk person, näringsidkare eller näringsanknuten person kan enligt IMY lämnas utan motsvarande behovsprövning. Den som beställer behöver dock vara säker på personens roll och sammanhanget.
Om en enskild näringsidkare söker kredit som privatperson ska reglerna för personupplysning tillämpas. Att personen har en firma ger alltså inte en genväg till att söka privat information utan legitimt behov. Är beställaren osäker ska personen enligt IMY behandlas som privatperson.
Dokumentera vem som är avtalspart och i vilken egenskap personen agerar. Om en säljare skriver in ett personnummer i stället för företagets uppgifter ska systemet inte automatiskt välja en mer omfattande kontroll. Rutinen för personnummer hjälper er bedöma identifieringsbehov och begränsa onödig exponering.
En företagsupplysning som innehåller uppgifter om identifierbara människor behöver fortfarande hanteras med hänsyn till tillämpliga dataskyddsregler. Att behovsprövningen enligt kreditupplysningslagen ser annorlunda ut betyder inte fri intern spridning eller obegränsad lagring.
3. Håll kreditupplysningslagen och GDPR ihop
Kreditupplysningslagen reglerar särskilt insamling och utlämnande i kreditupplysningsverksamhet. GDPR gäller parallellt för personuppgiftsbehandling där förordningen är tillämplig. Beställaren behöver därför bedöma sin egen användning, information, åtkomst och lagring, även när leverantören har tillstånd att bedriva verksamheten.
IMY anger att kreditupplysningsföretag kan behandla personuppgifter utan den registrerades samtycke enligt lagens regler. En samtyckesruta är därför inte det som skapar legitimt behov för beställaren. Om personen accepterar en kontroll som saknar relevant ekonomiskt sammanhang blir behovsfrågan inte automatiskt löst. Se IMY om kreditupplysningslagen och GDPR.
Skriv en kort bedömning av rättslig grund för er egen behandling och vilket stöd som finns för beställningen. Undvik att bara kopiera leverantörens integritetspolicy. Leverantörens ändamål med sin databas och ert ändamål med ett visst uthyrnings- eller kreditbeslut är olika led i kedjan.
4. Inför en beställningsregel med stopp vid tvekan
Ge endast utsedda roller möjlighet att beställa. Använd personliga konton och koppla varje uppslag till ett ärende eller en konkret affärsrelation. Ett delat konto där flera kollegor kan söka utan spårbarhet gör det svårt att utreda en felaktig beställning.
Beställaren bör dokumentera typ av upplysning, aktuell relation, riskfråga, tidpunkt och ansvarig beslutsfattare. Skriv inte en lång privat levnadsbeskrivning i behovsfältet. Anteckningen ska visa varför kontrollen behövs, inte samla in ytterligare uppgifter om personen.
Om beställaren är osäker ska frågan gå till utsedd ansvarig innan upplysningen hämtas. Ge exempel på sådant som ska stoppas: en uppslagning av ren nyfikenhet, en kontroll av en granne och en generell kontroll av kandidater till roller utan ett motiverat ekonomiskt ansvar. En beställningsrutin ska inte kräva att handläggaren först hämtar rapporten för att se om den verkar intressant.
5. Ifyllt exempel för ett planerat hyresavtal
En fiktiv hyresvärd ska ta ställning till en konkret bostadsuthyrning. Handläggaren dokumenterar att en ekonomisk riskbedömning behövs inför avtalet och att kandidaten befinner sig i rätt skede för kontrollen. Upplysningen beställs av en utsedd uthyrningshandläggare efter att identiteten kontrollerats.
| Beslutspunkt | Ifylld anteckning |
|---|---|
| Relation | Konkret planerat bostadshyresavtal |
| Upplysningstyp | Personupplysning; personen agerar privat |
| Behov | Bedöma ekonomisk risk inför det aktuella avtalet |
| Tidpunkt | Inför beslut om erbjudandet, inte vid allmän intresseanmälan |
| Åtkomst | Utsedd handläggare och beslutsfattare enligt behov |
| Resultathantering | Relevanta uppgifter bedöms; fel eller oklarheter följs upp |
| Lagring | Begränsas enligt dokumenterat behov och tillämpliga bevarandekrav |
Exemplet visar hur ett legitimt behov kan konkretiseras, men avgör inte vilka uthyrningskriterier som i övrigt är tillåtna eller lämpliga. En betalningsanmärkning eller annan uppgift måste bedömas i sitt sammanhang. Handläggaren ska kunna förklara hur den relevanta informationen påverkar just detta beslut.
6. Ifyllt stoppbeslut vid en rekrytering
Ett fiktivt företag vill kontrollera samtliga sökande till en administrativ assistentroll. Beställaren skriver att ”god ekonomi visar på ansvarstagande”, men kan inte beskriva ett särskilt ekonomiskt ansvar som motiverar kontrollen. HR stoppar kreditupplysningen och låter rekryteringen utgå från relevanta meriter och arbetsuppgifter.
Anteckningen lyder: ”Ingen kreditupplysning beställs för denna roll. Ett konkret legitimt behov har inte visats. Bedömningen omprövas bara om arbetsuppgifterna faktiskt ändras på ett sätt som motiverar en ny prövning.” Beslutet minskar både onödig insamling och risken att en rutinmässig kontroll påverkar personer på oklara grunder.
Om rollen i stället innebär en högre position med konkret ekonomiskt ansvar behöver den bedömas separat. En ekonomichef kan vara ett relevant exempel enligt IMY, men titeln ska inte fungera som en automatisk godkännandekod. Se även arbetsgången för bakgrundskontroll vid rekrytering, där olika uppgiftstyper hålls isär.
7. Säkerställ information och kreditupplysningskopia
När en kreditupplysning om en fysisk person lämnas ut ska den berörda personen enligt huvudregeln i 11 § samtidigt och kostnadsfritt få ett skriftligt meddelande med angiven information, bland annat upplysningens innehåll och vem som har begärt den. Lagen innehåller särskilda undantag och särregler; anta inte att en vanlig beställning omfattas av dem. Se kreditupplysningslagen, 11 §.
Denna skyldighet ska inte blandas ihop med beställarens egen information om hur rapporten används i ett beslut. Dokumentera vem som lämnar vilken information och vart personen kan vända sig med frågor om uppgifterna respektive beslutet. Arbetsgången för artikel 14 kan hjälpa er beskriva indirekt insamling i den egna verksamheten.
Kontrollera leverantörens verkliga leveransflöde. En kopia som skickats av leverantören visar inte att er behovsbedömning var korrekt, men den kan hjälpa personen upptäcka en okänd beställning. Ha därför en intern kontaktväg som snabbt kan hitta ärendet och förklara varför upplysningen begärdes.
8. Hantera fel innan rapporten styr beslutet
Om personen påtalar ett fel eller en missvisande uppgift ska frågan tas på allvar. Kreditupplysningsföretaget har särskilda skyldigheter enligt 12 § att utreda och vid behov rätta, komplettera eller radera. Beställaren behöver samtidigt bedöma om det egna beslutet ska avvakta eller om ytterligare underlag behövs.
I hyresexemplet meddelar kandidaten att rapporten kopplats till fel person. Handläggaren pausar användningen av den ifrågasatta upplysningen och kontrollerar identifieringen. När felet bekräftats rättas ärendeunderlaget, och tidigare mottagare hos hyresvärden informeras så att den felaktiga rapporten inte används på nytt. Följ rutinen för rättelse.
Spara bedömningens källa och tidpunkt. En gammal rapport ska inte utan prövning återanvändas i ett nytt ärende. Uppgifter kan ha ändrats, den tidigare ekonomiska relationen kan ha upphört och behovet kan vara ett annat. En prenumeration på löpande bevakning behöver en egen dokumenterad motivering.
9. Undvik att en poäng blir ett oförklarat automatiskt beslut
En kreditpoäng sammanfattar uppgifter enligt en modell. Den som använder den behöver förstå vilken funktion poängen har och vilka andra omständigheter som bedöms. Om poängen automatiskt leder till avslag med rättsliga eller liknande betydande effekter kan artikel 22 aktualiseras.
Dokumentera om en människa gör en verklig bedömning och kan ändra resultatet. Att någon klickar vidare på ett förutbestämt avslag är inte automatiskt meningsfull mänsklig prövning. Guiden om automatiserade beslut beskriver de särskilda förutsättningarna och skyddsåtgärderna.
10. Följ upp missbruk och avsluta åtkomsten
Granska återkommande om uppslag kan kopplas till dokumenterade behov. Välj kontrollurval efter verksamhetens risker och följ upp konton som används på ett oväntat sätt. När en medarbetare byter roll eller slutar ska möjligheten att beställa upplysningar uppdateras.
Om någon har sökt utan legitimt behov ska ni begränsa fortsatt användning och utreda vad som hänt. Bedöm om personuppgifter har röjts eller använts obehörigt och vilka åtgärder som krävs. En förklaring om att ”systemet tillät sökningen” är inte ett svar på om beställningen var motiverad.
Avsluta den normala ärendehanteringen med kontroll av kopior, rapportexporter och beslutsanteckningar. Bestäm vad som behöver finnas kvar och vem som fortsatt behöver åtkomst. Då blir en enstaka, motiverad kreditupplysning inte början på en obegränsad intern samling av privata ekonomiska förhållanden.
Om en upplysning ska användas av någon annan organisatorisk enhet behöver ni kontrollera att det fortfarande är samma tillåtna ändamål och att mottagaren behöver uppgifterna. En rapport som beställdes inför uthyrning ska inte automatiskt bli tillgänglig för en separat rekryteringsfunktion. Dokumentera överlämningen eller avstå från den när stödet saknas. Begränsa även sökbarheten i gemensamma dokumentytor så att rapporter inte dyker upp för ovidkommande användare.