Den 9 juli 2026 föll en dom i Luxemburg som sände en rejäl stötvåg genom hela HR-, rekryterings- och säkerhetsbranschen. EU-domstolen meddelade sitt förhandsavgörande i det uppmärksammade mål C-199/24 även känt som Lexbase-målet. Slutsatsen var lika glasklar som utmanande för svenska organisationer: Att sälja ofiltrerade sökningar i brottsdatabaser räknas inte som journalistik även om man har ett utgivningstillstånd utfärdat av Mediemyndigheten. Det innebär att det svenska utgivningsbeviset inte längre fungerar som en legalt berättigat undantag mot EU:s dataskyddsförordning GDPR. För många företag innebär detta en juridisk huvudvärk eftersom bakgrundskontroller har blivit en standardiserad del av moderna rekryteringsprocesser, men verktygen som hela branschen förlitat sig på har över en natt utmanats.
Det juridiska kryphålet som täpptes till
Sverige har länge haft en unik kombination av offentlighetsprincipen och yttrandefrihetsgrundlagarna (TF och YGL). Genom att ansöka om ett frivilligt utgivningsbevis hos Mediemyndigheten har privata söktjänster kunnat tillgängliggöra sina digitala databaser och erhålla samma grundlagsskydd som etablerade nyhetsmedier. Leverantörerna begärde ut domar från svenska domstolar och laddade upp allt i sökbara register. När GDPR trädde i kraft skyddades därmed tjänsterna dataskyddsförordningens journalistikundantag. Det svenska systemet förvandlades till en kommersiell bakdörr där arbetsgivare snabbt och billigt kunde granska huruvida arbetssökande var dömda för brott. Genom mål C-199/24 har alltså EU-domstolen stadfäst att en databas som tillhandahålls mot betalning inte utgör journalistisk verksamhet. För att det ska anses utgöra journalistisk verksamhet krävs det att det aktuella materialet är föremål för visst redigerings- eller bearbetningsarbete innan det publiceras och att publiceringen sker med iakttagande av pressetiska regler och yrkesetiska regler för journalister, eller åtminstone i enlighet med en redaktionell linje, samt att påståenden om fakta och omständigheter i materialet granskas före publicering.
Vad innebär detta för er rekryteringsprocess?
För arbetsgivare uppstår nu en uppenbar fråga: Hur ska man kontrollera kandidater framöver utan att själva bryta mot GDPR? Enligt artikel 10 i dataskyddsförordningen får behandling av personuppgifter som rör brottmålsdomar endast utföras under kontroll av en offentlig myndighet, eller om behandlingen är tillåten enligt nationell rätt med lämpliga skyddsåtgärder. Kravet på säkerhet och riskanalys vid nyrekryteringar har inte försvunnit bara för att domen har fallit. Däremot tvingas hela branschen ställa om till mer arbetsintensiva och juridiskt hållbara metoder. En framtida väg handlar om samtycke och egenhändig inhämtning. Det innebär att kandidaten själv begär ut ett utdrag ur belastningsregistret från Polismyndigheten och visar upp detta för arbetsgivaren. Det kräver dock att hanteringen begränsas till en ren uppvisning, utan att arbetsgivaren sparar eller digitalt registrerar uppgifterna i sina egna system. En annan möjlighet är att leverantörer av bakgrundskontroller ställer om sin metodik från automatiska databassökningar till manuella granskningar från fall till fall, där man gör en faktisk utredning och proportionalitetsbedömning grundad på den specifika tjänstens ansvarsområde. Slutligen ligger bollen nu även hos den svenska lagstiftaren. Om svenska organisationer - på ett generellt plan - ska kunna fortsätta göra effektiva bakgrundskontroller vid känsliga rekryteringar krävs det att regeringen och riksdagen inför ett tydligt och ändamålsenligt nationellt lagstöd som harmonierar med GDPR.
Den säkra vägen: Tillstånd från IMY- Bakgrundskontrollföretagen
Det finns även en möjlighet att få ett särskilt tillstånd från IMY vilket ger ett privat bolag en unik laglig rätt att behandla personuppgifter om brott och lagöverträdelser, vilket annars är strikt förbehållet myndigheter enligt artikel 10 i GDPR. Detta undantag är ofta en förutsättning för att bolaget ska kunna bedriva kommersiell verksamhet inom exempelvis bakgrundskontroller och rekrytering, och ger en rättslig trygghet som minimerar risken för sanktionsavgifter. Rätten är dock aldrig ovillkorlig, utan IMY förenar alltid beslutet med skarpa krav på strikt ändamålsbegränsning, hög behörighetsstyrning och snabba gallringsrutiner för att skydda den registrerades integritet. Några av Bakgrundskontrollföretagen innehar sådana beslut från IMY vilka alltså kan lämna en trygg och säker service för den organisation som vill göra en bakgrundskontroll.
Vi hjälper er att navigera det nya landskapet
Domen i mål C-199/24 stänger dörren för enkla genvägar, men den innebär inte att bakgrundskontroller blir omöjliga. Det krävs däremot att er organisation ser över sina avtal med leverantörer, uppdaterar sina rekryteringspolicyer och säkerställer att hanteringen av personuppgifter vilar på en trygg rättslig grund.
