På PBSA Annual Conference i Arlington, Texas, deltog vi i seminariet Mitigating Post-Hire Risk with Continuous Watch & Work Inform Solutions, presenterat av Ben Whitehead och Georgette Ramirez från Equifax Workforce Solutions.

Seminariet tog upp två olika, men närbesläktade frågor: dels den amerikanska diskussionen om ”overemployment” – att en person samtidigt har flera heltidsanställningar – dels hur arbetsgivare hanterar förändringar i riskbilden efter anställningen.

Det är viktigt att sätta diskussionen i rätt kontext. Seminariet utgår från amerikanska förhållanden och amerikansk lagstiftning. Artikeln beskriver diskussioner och exempel från den amerikanska marknaden – inte hur vi på Svensk Bakgrundsanalys genomför våra bakgrundskontroller. Vår verksamhet utgår i stället från svenska och europeiska regler och de krav som gäller här.

Samtidigt väcker seminariet frågor som är relevanta även här: vad kan förändras efter anställningen, och när är uppföljning motiverad och rättsligt möjlig?

När en medarbetare har två heltidsjobb samtidigt

Den första delen handlade om ”overemployment”. Föredragshållarna beskrev hur distans- och hybridarbete kan göra det möjligt att ha flera heltidsanställningar samtidigt utan att arbetsgivarna känner till det.

Den statistik som presenterades under seminariet angav omkring 476 000 personer i USA med två heltidsarbeten i januari 2026. Samma uppgift finns i Bureau of Labor Statistics publicering för månaden. Statistiken visar däremot inte hur många som dolde ett arbete, hade överlappande arbetstid eller arbetade för konkurrenter.

En parallell anställning är inte i sig ett tecken på misskötsamhet. Huvudregeln i svensk arbetsrätt är att en arbetsgivare inte får förbjuda en anställning hos en annan arbetsgivare. Undantag finns när den andra anställningen hindrar arbetet, innebär konkurrens som kan skada verksamheten eller på annat sätt kan skada den.

Ur ett arbetsgivarperspektiv kan situationen bli känslig om en person exempelvis arbetar parallellt för två konkurrenter, har tillgång till konfidentiell information hos båda arbetsgivarna eller försöker fullgöra två heltidsroller under samma arbetstid.

Riskerna kan då handla om mer än produktivitet. De kan exempelvis beröra intressekonflikter, informationssäkerhet, företagshemligheter och lojalitetsfrågor.

För svenska arbetsgivare är den relevanta frågan därför inte enbart om en medarbetare har ytterligare ett arbete, utan om den parallella sysselsättningen skapar en faktisk konflikt eller risk i den aktuella rollen.

En bakgrundskontroll är en ögonblicksbild

Den andra delen av seminariet handlade om vad som kan förändras efter anställningen. En bakgrundskontroll inför en anställning ger ett underlag vid den tidpunkten. En person kan sedan arbeta i organisationen i fem, tio eller femton år – och mycket kan förändras under tiden.

Equifax illustrerade detta med amerikanska exempel där nya uppgifter hade tillkommit efter anställningen, bland annat fällande brottmålsdomar. Sådana senare uppgifter hade inte kunnat ingå i den ursprungliga bakgrundskontrollen.

En ny uppgift betyder dock inte automatiskt att en medarbetare är olämplig för sin roll. Uppgiftens riktighet, sammanhang och relevans för arbetsuppgifterna behöver bedömas.

Poängen är enkel: en kontroll före anställning ger inte i sig svar på hur riskbilden ser ut flera år senare.

Från engångskontroll till livscykelperspektiv

Under seminariet presenterades amerikanska tjänster för continuous monitoring eller continuous screening – olika former av löpande bevakning av nya uppgifter efter anställningen.

Equifax beskrev lösningar där arbetsgivaren kan få information om nya händelser och lyfte fram säkerhet, tidigare upptäckt av risk och möjlighet att agera som tänkta fördelar.

Detta är inte en modell som kan överföras rakt av till Sverige. Att en kontroll har varit tillåten inför en anställning innebär inte automatiskt att den får upprepas löpande. Behovet, omfattningen och det rättsliga stödet för uppföljningen måste bedömas för sig.

Enligt IMY:s vägledning regleras arbetsgivarens rätt att kontrollera anställda i första hand av arbetsrätten. När kontrollen innebär behandling av personuppgifter gäller också GDPR. Då krävs bland annat ett tydligt ändamål, rättslig grund och information till de anställda. Insamlingen ska vara nödvändig och proportionerlig, och mindre integritetsingripande alternativ ska beaktas.

För brottsuppgifter gäller dessutom särskilda regler enligt artikel 10 i GDPR. För privata aktörer räcker det inte med en intresseavvägning; även de särskilda kraven för att få behandla brottsuppgifter måste vara uppfyllda.

Uppföljning behöver inte heller innebära nya bakgrundskontroller. Den kan exempelvis bestå av dialog om intressekonflikter eller översyn av behörigheter när arbetsuppgifterna förändras. Frågan är vilken åtgärd som faktiskt behövs och är tillåten – inte hur mycket information som går att samla in.

Alla roller behöver inte behandlas likadant

Behovet av uppföljning ser olika ut beroende på verksamhet och befattning. Under seminariet lyftes bland annat transport, sjukvård, omsorg, finans, detaljhandel och roller med ansvar för barn eller andra utsatta grupper som exempel på områden där förändringar kan få särskilt stora konsekvenser.

I en svensk verksamhet kan motsvarande frågor vara relevanta för exempelvis personer med omfattande ekonomiska befogenheter, tillgång till skyddsvärd information eller ansvar för kritisk infrastruktur. Det innebär inte i sig att samma kontroller är tillåtna eller motiverade för alla dessa roller.

Säkerhetsprövning enligt säkerhetsskyddslagen är en särskild process. Där finns redan ett uttryckligt krav på uppföljning under den tid personen deltar i säkerhetskänslig verksamhet. Det ska inte förväxlas med en generell rätt att löpande bakgrundskontrollera alla anställda.

Poängen är alltså inte att kontrollera alla medarbetare hela tiden. Den är att identifiera konkreta risker och avgöra hur de kan hanteras med åtgärder som är motiverade, proportionerliga och rättsligt möjliga.

Tre medskick till svenska arbetsgivare

Utifrån seminariets exempel och svenska förutsättningar är tre medskick särskilt viktiga:

1. Se bakgrundskontrollen som en del av ett långsiktigt säkerhetsarbete. En kontroll inför anställning ersätter inte rutiner för att hantera relevanta förändringar efteråt.
2. Skilj parallella anställningar från faktiska intressekonflikter. Det är påverkan på den aktuella rollen och verksamheten som behöver bedömas – inte bara förekomsten av ett ytterligare arbete.
3. Utgå från behov och rättsligt stöd. Uppföljningen måste vara proportionerlig, och personuppgifter får inte samlas in bara för att de är tekniskt tillgängliga.

Den viktigaste lärdomen är att riskhantering inte slutar den dag en person blir anställd. Det betyder däremot inte att fler eller tätare kontroller alltid är rätt lösning.

För svenska arbetsgivare handlar det inte om att kopiera amerikanska metoder, utan om att upptäcka och hantera relevanta förändringar på ett genomtänkt sätt – med respekt för både verksamhetens säkerhet och medarbetarnas integritet.