Lexbase och Krimfup får varsin reprimand av Integritetsskyddsmyndigheten, IMY, för att ha behandlat brottsuppgifter utan lagligt stöd. De föreläggs också att hindra att sådana uppgifter blir åtkomliga genom personsökningar. Det framgår av bakgrundskontrollföretaget 2Secures redogörelse för besluten.
Även MrKoll och Upplysning får reprimander, men i deras fall gäller kritiken brister i hanteringen av rätten till radering.
Enligt redogörelsen bedömer IMY, med stöd av en dom från EU-domstolen, att tjänsterna inte har ett journalistiskt ändamål i EU-rättslig mening. De måste därför följa dataskyddsförordningen trots sina utgivningsbevis.
2Secure bedömer att besluten också berör arbetsgivare som söker upp kandidater och leverantörer som använder söktjänster som underlag för bakgrundskontroller.
– En egen sökning på en kandidat i en söktjänst är en behandling av uppgifter om lagöverträdelser som arbetsgivaren normalt saknar rättsligt stöd för. Behövs en kontroll ska den göras inom en reglerad process, och den som köper kontroller ansvarar för sitt val av leverantör och för hur uppgifterna används, säger Oskar Olsson, affärsområdeschef för Human Risk Management på 2Secure.
Företaget uppmanar beställare, både privata och offentliga, att se över avtal och leverantörskrav. Det pekar särskilt på tillstånd från IMY, uppgifter från primärkällor, information till den som kontrolleras och att kontrollens omfattning ska stå i proportion till befattningen.
2Secure har självt sedan 2022 tillstånd från IMY att behandla uppgifter om lagöverträdelser. Företaget förespråkar i den pågående utredningen om bakgrundskontroller gemensamma krav på tillstånd, tillsyn, gallring och proportionalitet för branschens aktörer.
