Så granskar du ett bevakningsföretags tillstånd

Tillståndet gäller behandlingen – inte bolaget

Privata företag måste söka tillstånd hos Integritetsskyddsmyndigheten (IMY) för att behandla personuppgifter om lagöverträdelser, om inte behandlingen har rättsligt stöd i exempelvis lag eller förordning. För en bevakningsleverantör som gör bakgrundskontroller innebär tillståndet att bolaget får behandla personuppgifter enligt artikel 10 i dataskyddsförordningen (GDPR). Enligt IMY:s beslut för DISA Global Solutions AB avser tillståndet behandling vid kontroll av personer inför ingående av avtal om anställning eller konsultuppdrag, inom tjänsten bakgrundskontroller till uppdragsgivare.

Ett IMY-tillstånd enligt dataskyddsreglerna är inte samma sak som andra tillstånd ett bevakningsföretag kan behöva. Den här artikeln granskar IMY-tillståndet; andra tillstånd får du kontrollera separat hos den myndighet som utfärdat dem.

Vad som räknas som personuppgifter om lagöverträdelser är inte fullt klarlagt inom EU. IMY har vänt sig till Europeiska dataskyddsstyrelsen (EDPB) för ett klargörande, eftersom bedömningen skiljer sig mellan medlemsländerna. Ett tillstånd är därför knutet till en bestämd, avgränsad behandling – inte ett kvitto på att bolaget sköter bevakning, kamerahantering eller sina kontroller i övrigt korrekt.

Att IMY:s tillsyn även gäller utanför tillståndsprövningen visar andra ärenden. IMY beslutade om 1,8 miljoner kronor i sanktionsavgift mot Miljödata i Karlskrona AB efter en stor läcka av personuppgifter vid ett dataintrång; granskningen visade bristande säkerhet för de personuppgifter bolaget hanterade.

Fördelar och nackdelar med att använda ett bevakningsföretag med IMY-tillstånd

Börja i IMY:s lista – och hitta rätt beslut

På sin webbplats publicerar IMY en lista över bolag som har tillstånd att behandla personuppgifter om lagöverträdelser vid bakgrundskontroller. Myndigheten är tydlig med att tillstånden skiljer sig mellan bolagen och att det framgår av listan vad varje enskilt bolag har tillstånd för. Listan är därför en startpunkt, inte ett svar: bolagsnamnet visar bara att ett tillstånd finns, inte vad det omfattar.

I listan anges diarienummer för respektive beslut. Där står exempelvis DISA Global Solutions AB (org.nr 559338-7706) med diarienummer IMY-2026-1329. Läs beslutet med det numret. Ett annat exempel är 2Secure Sverige AB, som enligt IMY:s nyhetsarkiv fick tillstånd att i vissa fall behandla personuppgifter om lagöverträdelser i bolagets tjänst för bakgrundskontroller; publicerat den 3 oktober 2022.

Finns ett bolag du anlitar inte med på listan behöver du få svar på vilket rättsligt stöd bolaget lutar sig mot. Saknas sådant stöd får bolaget inte behandla personuppgifter om lagöverträdelser alls – oavsett hur tjänsten beskrivs i marknadsföringen.

Fakta om IMY:s tillstånd för behandling av personuppgifter om lagöverträdelser

Hur du granskar ett bevakningsföretags tillstånd – steg-för-steg

Villkoren avslöjar vad bolaget egentligen får göra

Villkoren i besluten följer ett återkommande mönster och kan användas som checklista mot bolagets egen tjänstebeskrivning. För DISA Global Solutions AB förutsätter tillståndet att bolaget vid kontroller inför ingående av avtal om anställning eller konsultuppdrag bara kontrollerar personer som är aktuella för en befattning, ett uppdrag eller motsvarande där uppgift om lagöverträdelser som avser den kontrollerade personen har en betydande påverkan på uppdragsgivarens renommé, säkerhet eller ekonomi. IMY ställde samma krav på 2Secure Sverige AB: kontrollen får avse enskilda arbetssökande och konsulter som är aktuella för befattningar eller uppdrag som kan missbrukas för att begå liknande brott eller på annat relevant sätt har avgörande betydelse för den registrerades lämplighet. Vid bakgrundskontroller av företrädare för juridiska personer får uppgifter om lagöverträdelser enligt samma beslut bara hanteras om det gäller personer med ledande befattningar eller bestämmande inflytande i verksamheten.

Nästa villkorsblock gäller uppgifternas relevans och kvalitet. Tillståndet förutsätter att bolaget bara registrerar personuppgifter om lagöverträdelser som kunnat verifieras och som till sin natur har avgörande betydelse för den kontrollerade personens lämplighet för den aktuella befattningen eller uppdraget, eller för att bedöma lämpligheten vid ingående av avtal eller motsvarande. Bolaget får inte heller registrera uppgifter om lagöverträdelser som inte längre är relevanta på grund av tiden som förflutit sedan brottet begicks, eller uppgifter som skulle ha gallrats ur belastningsregistret enligt 16–18 §§ lagen (1998:620) om belastningsregister. Ett gallrat brott ska alltså inte kunna dyka upp i en bakgrundskontroll via leverantören.

Två villkor styr sidoinformation: uppgifter om lagöverträdelser som inte får registreras enligt övriga villkor i beslutet ska raderas omgående (överskottsinformation), och registrering får bara ske efter att en intresseavvägning i det enskilda fallet visar att den registrerades intressen eller grundläggande rättigheter och friheter inte väger tyngre än uppdragsgivarens berättigade intresse av behandlingen. Det räcker alltså inte med en rutin för hela kundstocken – avvägningen ska göras per person.

Med utgångspunkt i bolagets ansökan tar IMY ställning till vilka brottsuppgifter som bedöms relevanta för olika befattningar. I myndighetens exempel kan uppgifter om bedrägerier och ekonomisk brottslighet, skattebrott samt tillgreppsbrott vara relevanta för särskilt betrodda befattningar med möjlighet att förfoga över större ekonomiska värden, medan uppgifter om narkotikabrott och trafikbrott är relevanta för befattningar där personen ska framföra ett fordon. Jämför bolagets tjänstebeskrivning med villkoren i beslutet.

Kontrollera IMY-tillståndets villkor – checklista för bevakningsföretag

Kamerabevakning kräver inte längre tillstånd

Kameraövervakning prövas inte längre i förväg av IMY. Ingen behöver ansöka om tillstånd till kamerabevakning hos IMY. Tillståndsplikten upphörde den 31 mars 2025, och nuvarande regler trädde i kraft den 1 april 2025. IMY bedömer därför inte längre i förväg om en bevakning ska tillåtas.

I stället ska den som bevakar själv göra en intresseavvägning mellan bevakningsintresset och den enskildes intresse av att inte bli bevakad. Bevakningsintresset måste väga tyngre för att bevakningen ska vara tillåten – avvägningen är inte förändrad i sak jämfört med tidigare. Avvägningen ska dokumenteras, och den som bevakar ska ha en förteckning med vissa uppgifter om den kamerabevakning man bedriver eller som har upphört de senaste fem åren. Har verksamheten ett äldre tillstånd från IMY gäller det som dokumenterad intresseavvägning, så länge förutsättningarna för bevakningen inte har förändrats sedan tillståndet beviljades.

Övriga regler ligger kvar: den som sätter upp en kamera som filmar människor måste bedöma om bevakningen är förenlig med kamerabevakningslagen och GDPR, och undersöka om andra regler styr situationen. Vid upphandling av bevakning är det därför rimligt att begära intresseavvägningen och förteckningen – de dokument som ersätter det gamla tillståndet.

Tillstånd för kamerabevakning före och efter 1 april 2025

Din roll som beställare eller arbetsgivare

Att bevakningsföretaget har tillstånd innebär inte att du som arbetsgivare kan bortse från dina egna skyldigheter enligt dataskyddsreglerna. En arbetsgivares rätt att kontrollera anställda regleras i första hand av arbetsrätten, exempelvis arbetsrättslig lagstiftning och kollektivavtal. Om kontrollen innebär att arbetsgivaren behandlar personuppgifter om anställda måste arbetsgivaren dessutom följa GDPR – det gäller exempelvis kontroller med hjälp av uppgifter som samlas in genom olika it-system.

Behandlingen kräver stöd i en rättslig grund. Rättsliga grunder som kan stödja kontroll av anställda är en intresseavvägning eller ett allmänt intresse (för myndigheter); bestämmelser i ett kollektivavtal kan också ge stöd. IMY anser inte att en arbetsgivare kan använda samtycke som rättslig grund för att behandla uppgifter för att kontrollera anställda. När arbetsgivarens berättigade intresse bedöms väger säkerhetsskäl tyngre än effektivitetsskäl – en kontroll som motiveras med att den sparar tid eller pengar står sig alltså svagare än en som motiveras med säkerhet.

Utöver den rättsliga grunden ska arbetsgivaren följa de grundläggande principerna och senast i samband med att uppgifterna samlades in ha lämnat tillräcklig information till de anställda. Anställda har rätt att i förväg få tydlig information om vilka kontroller som kan göras av dem med hjälp av de uppgifter arbetsgivaren samlar in om dem, till exempel när de använder arbetsplatsens it-utrustning. Behovet av att behandla personuppgifter för ett kontrolländamål ska vara sakligt motiverat i den specifika verksamheten, behandlingen får inte vara för omfattande eller närgången i förhållande till ändamålet, och arbetsgivaren ska kunna visa att ändamålet inte kan uppnås på ett tillfredsställande sätt med andra, mindre integritetskränkande metoder. Som regel är det inte tillåtet att använda ett it-system för att i realtid eller på annat sätt regelmässigt övervaka hur de anställda utför sina arbetsuppgifter eller när de tar raster.

Följ upp – tillståndet är inte hugget i sten

IMY:s beslut gäller tills vidare men kan återkallas eller förenas med nya villkor. Det kan ske om bolaget visar sig behandla personuppgifter i strid med dataskyddsförordningen, med villkoren i IMY:s beslut eller med vad som uppgetts i ansökan.

För att testa om rutinerna håller i praktiken, ställ frågor som kräver svar i sak i stället för ja eller nej: Vilket diarienummer har ert tillstånd, och kan vi få beslutet? Vilka kategorier av personer får ni kontrollera enligt villkoren? Vilka brottstyper anser ni vara relevanta för den befattning vi rekryterar till, och varför? Hur verifierar ni uppgifterna innan de registreras? Hur säkerställer ni att uppgifter som skulle ha gallrats ur belastningsregistret enligt 16–18 §§ lagen (1998:620) om belastningsregister aldrig registreras? Hur och inom vilken tid raderar ni överskottsinformation? Hur dokumenterar ni intresseavvägningen i det enskilda fallet? Och för kamera: var finns er dokumenterade intresseavvägning och er förteckning över bevakningen?