Lagstiftning för bakgrundskontroller

Rollen i en personuppgiftsbehandling avgör vem som bestämmer syfte och medel, vilka juridiska krav som gäller och vem som bär ansvaret om något går fel. Rollerna är inte något som går att komma överens om utan avgörs baserat på de faktiska omständigheterna vid behandlingen. Vid bakgrundskontroller är rollfördelningen särskilt viktig, eftersom de innefattar behandling av personuppgifter.

En förenklad tumregel är följande:

• Personuppgiftsansvarig: bestämmer syftet, omfattningen och de väsentliga metoderna för behandlingen.
• Personuppgiftsbiträde: behandlar uppgifter på instruktion från den personuppgiftsansvarige, utan eget inflytande över syfte eller väsentliga medel.
• Självständig mottagare: tar emot uppgifter för egna ändamål och är då själv personuppgiftsansvarig för den nya behandlingen.

Att rollerna är tydliga är avgörande för att det ska stå klart vem som bär ansvaret gentemot både den registrerade och tillsynsmyndigheten.

Personuppgiftsansvarig

Den personuppgiftsansvarige är den part som bestämmer varför personuppgifter behandlas och de väsentliga delarna av hur behandlingen ska gå till. Det handlar exempelvis om att fastställa syftet med en kontroll, vilka uppgifter som är nödvändiga att samla in, varifrån uppgifterna ska hämtas och hur länge de får sparas. Rollen innebär ett övergripande ansvar för att all behandling sker i enlighet med GDPR och annan tillämplig lagstiftning.

I praktiken innebär det att den personuppgiftsansvarige måste välja och dokumentera rättslig grund. Den personuppgiftsansvarige måste också se till att uppgifterna begränsas till det som är nödvändigt, att lagringstiderna är proportionerliga, att säkerhetsåtgärder finns på plats och att de registrerade får tydlig information om behandlingen och kan utöva sina rättigheter. Rollen omfattar även ansvar för att ingå avtal med personuppgiftsbiträden, hantering av personuppgiftsincidenter och att eventuella internationella överföringar sker på ett lagligt sätt. Kort uttryckt: den personuppgiftsansvarige styr ramarna för behandlingen och bär huvudansvaret för att den sker lagenligt från början till slut.

Vid bakgrundskontroller som sker med stöd av IMY:s tillstånd är det den part som beviljats tillståndet som är personuppgiftsansvarig, vilket generellt är leverantören. Uppdragsgivaren är däremot personuppgiftsansvarig för sin egen efterföljande behandling av rapporten.

Personuppgiftsbiträde

Ett personuppgiftsbiträde behandlar personuppgifter för den personuppgiftsansvariges räkning och enbart på dennes dokumenterade instruktioner. I dessa fall krävs ett personuppgiftsbiträdesavtal (PUB-avtal). Avtalet reglerar bland annat behandlingens syfte och varaktighet, kategorier av personuppgifter, säkerhetsåtgärder, sekretesskrav, hantering av underbiträden, rutiner för incidentrapportering och vad som ska ske med uppgifterna när uppdraget avslutas. Ett personuppgiftsbiträde får aldrig använda uppgifterna för egna syften – görs det betraktas aktören i stället som personuppgiftsansvarig för den delen av behandlingen, med fullt ansvar för behandlingen.

Gemensamt personuppgiftsansvar

I vissa fall kan två aktörer tillsammans bestämma syfte och medel för en behandling. Då är de gemensamt personuppgiftsansvariga. Det kräver ett tydligt inbördes arrangemang där parterna fastställer hur ansvaret fördelas och informerar de registrerade om vem som är kontaktpunkt. De registrerade kan alltid vända sig till vilken som helst av de gemensamt ansvariga för att utöva sina rättigheter.

Gemensamt personuppgiftsansvar är normalt inte tillämpligt i Svensk Bakgrundsanalys verksamhet.

Ansvar och skadestånd

Den personuppgiftsansvarige har huvudansvaret för att behandlingen följer GDPR, medan ett personuppgiftsbiträde ansvarar för att följa instruktioner och avtalet. Vid skada kan både den personuppgiftsansvarige och personuppgiftsbiträdet bli skadeståndsskyldiga. Den registrerade har rätt att få ersättning från vilken som helst av parterna, varefter den part som bar det faktiska ansvaret kan kräva återbetalning från den andra.

Svensk Bakgrundsanalys är personuppgiftsansvarig

Svensk Bakgrundsanalys agerar som personuppgiftsansvarig för personuppgiftsbehandlingen som sker vid utförandet av bakgrundskontroller som genomförs med stöd av GDPR. Svensk Bakgrundsanalys definierar syfte, omfattning, datakällor och gallringsfrister för varje kontroll och dokumenterar en intresseavvägning (LIA) för varje individ och kontrolltyp, så att behandlingen blir proportionerlig, motiverad och rättssäker. Som personuppgiftsansvariga ansvarar vi även för att den registrerade får den information som krävs enligt GDPR samt för att begäranden om tillgång, rättelse, radering, begränsning och invändning hanteras inom de lagstadgade tidsfristerna. 

Vid behandling av uppgifter om lagöverträdelser som sker i enlighet med det tillstånd vi har från IMY är Svensk Bakgrundsanalys alltid personuppgiftsansvariga. Detta skapar tydlighet för våra kunder och högsta möjliga skydd för de registrerades integritet.

Tidigare har vi i vissa uppdrag agerat som personuppgiftsbiträde vid genomförandet av bakgrundskontroller. Dessa bakgrundskontroller utfördes då inte i enlighet med våra vanliga rutiner, utan skedde uteslutande enligt uppdragsgivarens instruktioner. I samtliga fall upprättades alltid ett PUB-avtal mellan oss och uppdragsgivaren.