Här beskriver vi vad det innebär i praktiken, hur ansvar och rollfördelning ser ut, och varför bakgrundskontroller som innehåller uppgifter om lagöverträdelser behöver genomföras med stöd av GDPR och vårt tillstånd från IMY.
Inledning
En bakgrundskontroll från Svensk Bakgrundsanalys är inte en säkerhetsprövning och inte en registerkontroll. Den kan däremot användas som kompletterande underlag i samband med grundutredningen och den samlade bedömning som verksamhetsutövaren ansvarar för.
Kunden ansvarar själv för att bedöma om säkerhetsskyddslagen är tillämplig på den verksamhet som den prövade individen ska delta i och om en säkerhetsprövning ska genomföras. Vi gör inte den bedömningen åt kunden.
En viktig utgångspunkt är att det i dagsläget inte finns ett tydligt rättsligt stöd i säkerhetsskyddslagen, säkerhetsskyddsförordningen, Säkerhetspolisens föreskrifter och Säkerhetspolisens vägledning för att privata verksamhetsutövare ska kunna behandla uppgifter om lagöverträdelser inom ramen för säkerhetsprövningens grundutredning. Vi genomför därför sådana kontroller med stöd av en intresseavvägning som genomförs vid varje enskild kontroll och vårt eget tillstånd från IMY för behandling av personuppgifter om lagöverträdelser.
Vi agerar som utgångspunkt som självständig personuppgiftsansvarig för våra tjänster. Undantaget är säkerhetsprövningsintervjuer inom ramen för säkerhetsprövning enligt säkerhetsskyddslagen, där vi – i den mån intervjun resulterar i behandling av personuppgifter – agerar som personuppgiftsbiträde. Våra övriga tjänster är standardiserade och skräddarsys inte efter enskilda kunders instruktioner.
Bakgrundskontroller och säkerhetsprövning
Säkerhetsskyddslagen ställer krav på säkerhetsprövning av den som genom anställning eller på annat sätt ska delta i säkerhetskänslig verksamhet. Säkerhetsprövningen är verksamhetsutövarens ansvar och består bland annat av en grundutredning. Om befattningen är placerad i säkerhetsklass ska grundutredningen även kompletteras med registerkontroll, som genomförs av Säkerhetspolisen
En bakgrundskontroll från Svensk Bakgrundsanalys ersätter inte säkerhetsprövningen och är inte en registerkontroll. Den kan däremot användas som kompletterande underlag i samband med grundutredningen och den samlade bedömning som verksamhetsutövaren ansvarar för.
Vem bedömer om säkerhetsskyddslagen gäller?
Det är kunden som ansvarar för att bedöma om säkerhetsskyddslagen är tillämplig på den verksamhet som den prövade individen ska delta i och om en säkerhetsprövning ska genomföras.
Det gäller oavsett om kunden själv är verksamhetsutövare enligt säkerhetsskyddslagen eller om behovet av säkerhetsprövning eller bakgrundskontroll uppkommer av andra skäl, exempelvis genom säkerhetsskyddsavtal, andra avtalsrättsliga åtaganden eller frivilliga kontroller av befattningar där det finns särskilda säkerhetsskäl. Svensk Bakgrundsanalys gör inte den bedömningen åt kunden.
Svensk Bakgrundsanalys tillhandahålla bakgrundskontroller som kan användas som kompletterande underlag vid säkerhetsprövningar. I samband med detta är vi personuppgiftsansvariga för den personuppgiftsbehandling som sker för att genomföra kontrollen. Kontrollen genomförs med stöd av GDPR och den rättsliga grunden berättigat intresse, samt vårt tillstånd från IMY vid behandling av personuppgifter om lagöverträdelser.
Behandling av personuppgifter om lagöverträdelser inom ramen för säkerhetsprövningen
Uppgifter om lagöverträdelser har ett särskilt skydd enligt dataskyddsförordningen. För privata aktörer krävs därför särskilt stöd för att sådana uppgifter ska få behandlas, exempelvis ett tillstånd från IMY eller stöd i lag, förordning eller föreskrift.
För bakgrundskontroller som innehåller uppgifter om lagöverträdelser är detta en central fråga. Det finns i dagsläget inte ett tydligt rättsligt stöd i säkerhetsskyddslagen, säkerhetsskyddsförordningen, Säkerhetspolisens föreskrifter och Säkerhetspolisens vägledning för att privata verksamhetsutövare ska kunna behandla uppgifter om lagöverträdelser inom ramen för grundutredningen vid säkerhetsprövning.
Detta gäller även om Säkerhetspolisens vägledning anger att grundutredningen kan omfatta frågeområden som brottslig belastning och inhämtning av information från öppna källor. Det sakas idag tydligt stöd i lag, domstolspraxis eller entydiga uttalanden från myndigheter som säger att vägledningen är en rättskälla av det slag GDPR kräver för att behandling av personuppgifter om lagöverträdelser ska vara tillåten. Registerkontroll, som är det moment i säkerhetsprövningen där personuppgifter om lagöverträdelser inhämtas och kontrolleras, är förbehållen Säkerhetspolisen.
Vi genomför därför bakgrundskontroller som innehåller personuppgifter om lagöverträdelser med stöd av vårt eget tillstånd från IMY och den rättsliga grunden berättigat intresse.
Frågan är dock föremål för fortsatt diskussion. I SOU 2024:88 föreslås att personuppgifter om lagöverträdelser uttryckligen ska ingå bland de personliga förhållanden som ska beaktas vid grundutredningen. Om förslaget leder till lagstiftning kan det på sikt innebära att verksamhetsutövare får lagstöd enligt säkerhetsskyddslagen för att behandla sådana uppgifter inom ramen för säkerhetsprövningar, utan att behandlingen behöver stödjas av ett särskilt tillstånd från IMY.
Rollfördelning
Vi agerar normalt som självständig personuppgiftsansvarig för våra tjänster, exempelvis bakgrundsanalyser, internetgranskningar, referenstagningar och dokumentverifikationer. Det beror på att tjänsterna är standardiserade, att de inte skräddarsys efter enskilda kunders instruktioner och att behandlingen sker med stöd av vårt eget tillstånd från IMY. Däremot genomför vi en intresseavvägning vid varje enskild kontroll.
Vid säkerhetsprövningsintervjuer som genomförs inom ramen för säkerhetsprövning enligt säkerhetsskyddslagen, på kundens instruktioner och med stöd av kundens rättsliga förpliktelse, agerar vi som personuppgiftsbiträde i relation till kunden. Denna tjänst tillhandahålls endast till kunder som träffas direkt av säkerhetsskyddslagen. Vid tillhandahållandet av dessa tjänster ingår vi ett personuppgiftsbiträdesavtal med kunden.
Skälet till rollfördelningen är att våra övriga tjänster i många fall går utöver vad som kan hänföras till kundens rättsliga förpliktelse enligt säkerhetsskyddslagen. De moment som ingår i en grundutredning är som utgångspunkt smalare än vad som omfattas av vissa av våra andra tjänster. Vi erbjuder därför verksamhetsutövare möjligheten att, inom ramen för sitt säkerhetsarbete, genomföra en relevant kontroll som motsvarar sådana kontroller som kan göras utanför det säkerhetsskyddsklassade området, som del av och komplement till en grundutredning.
Så beställer ni i portalen
Beställningen görs direkt i portalen genom att välja produkten ”Bakgrundsanalys – Säkerhetsprövning” och ange ”Deltagande i säkerhetskänslig verksamhet” som grund för intresseavvägningen.
I beställningsprocessen anges de uppgifter som efterfrågas i portalen. Kontaktuppgifter till den person som ska kontrolleras inhämtas i syfte att möjliggöra information till den registrerade om den personuppgiftsbehandling som sker inom ramen för kontrollen.
