Den 9 juli 2026 föll en dom i Luxemburg som sände en rejäl stötvåg genom hela HR-, rekryterings- och säkerhetsbranschen. EU-domstolen meddelade sitt förhandsavgörande i det uppmärksammade Lexbase-målet, även känt som mål C-199/24. Slutsatsen var lika glasklar som utmanande för svenskt näringsliv: Att sälja ofiltrerade sökningar i brottsdatabaser räknas inte som journalistik. Det innebär att det svenska utgivningsbeviset inte längre fungerar som en osynlighetsmantel mot EU:s dataskyddsförordning GDPR.
För många företag innebär detta en juridisk huvudvärk. Bakgrundskontroller har blivit en standardiserad del av moderna rekryteringsprocesser, men verktygen som hela branschen förlitat sig på har över en natt hamnat i en juridisk gråzon.
Det juridiska kryphålet som täpptes till
Sverige har länge haft en unik kombination av offentlighetsprincipen och Yttrandefrihetsgrundlagarna (TF och YGL). Genom att ansöka om ett frivilligt utgivningsbevis hos Myndigheten för press, radio och TV kunde privata söktjänster ge sina digitala databaser samma grundlagsskydd som etablerade nyhetsmedier.
Affärsmodellen var smidig. Leverantörerna begärde ut domar från svenska domstolar och laddade upp allt i sökbara register. När GDPR trädde i kraft hävdade tjänsterna att de skyddades av förordningens journalistikundantag. Det svenska systemet förvandlades till en kommersiell bakdörr där arbetsgivare snabbt och billigt kunde granska arbetssökandes förflutna.
I mål C-199/24 klargjorde dock EU-domstolen att en rå, ofiltrerad databas som tillhandahålls mot betalning inte utgör journalistisk verksamhet. Unionsrätten har företräde, och därmed föll det skydd som bakgrundskontrollbolagen byggt hela sin verksamhet på.
Vad innebär detta för er rekryteringsprocess?
För arbetsgivare uppstår nu en uppenbar fråga: Hur ska man kontrollera kandidater framöver utan att själva bryta mot GDPR?
Enligt artikel 10 i dataskyddsförordningen får behandling av personuppgifter som rör brottmålsdomar endast utföras under kontroll av en offentlig myndighet, eller om behandlingen är tillåten enligt nationell rätt med lämpliga skyddsåtgärder. I Sverige saknas i dagsläget ett generellt lagstöd för privata arbetsgivare att behandla brottmålsutdrag på det sätt som leverantörerna tidigare gjort åt dem.
Detta innebär att man inte längre bara kan köpa en rapport från en extern söktjänst och sitta säkert i båten. Om leverantören behandlar uppgifterna i strid med GDPR riskerar även den arbetsgivare som beställer eller använder informationen att drabbas av tillsynsåtgärder och sanktionsavgifter från Integritetsskyddsmyndigheten.
Vägarna framåt för bakgrundskontrollföretag och arbetsgivare
Kravet på säkerhet och riskanalys vid nyrekryteringar har inte försvunnit bara för att domen har fallit. Däremot tvingas hela branschen ställa om till mer arbetsintensiva och juridiskt hållbara metoder.
En framtida väg handlar om samtycke och egenhändig inhämtning. Det innebär att kandidaten själv begär ut ett utdrag ur belastningsregistret från Polismyndigheten och visar upp detta för arbetsgivaren. Det kräver dock att hanteringen begränsas till en ren uppvisning, utan att arbetsgivaren sparar eller digitalt registrerar uppgifterna i sina egna system.
En annan möjlighet är att leverantörer av bakgrundskontroller ställer om sin metodik från automatiska databassökningar till manuella granskningar från fall till fall, där man gör en faktisk utredning och proportionalitetsbedömning grundad på den specifika tjänstens ansvarsområde.
Slutligen ligger bollen nu även hos den svenska lagstiftaren. Om svenskt näringsliv ska kunna fortsätta göra effektiva bakgrundskontroller vid känsliga rekryteringar krävs det att regeringen och riksdagen inför ett tydligt och ändamålsenligt nationellt lagstöd som harmonierar med GDPR.
Vi hjälper er att navigera det nya landskapet
Domen i mål C-199/24 stänger dörren för enkla genvägar, men den innebär inte att bakgrundskontroller blir omöjliga. Det krävs däremot att er organisation ser över sina avtal med leverantörer, uppdaterar sina rekryteringspolicyer och säkerställer att hanteringen av personuppgifter vilar på en trygg rättslig grund.
