En av bolagets affärsidéer går ut på att utföra bakgrundskontroller av sökande i samband med rekryteringsprocesser – och tjänsten kan även användas vid företagsförvärv och ingående av affärsrelationer. Ett privat företag som utan stöd i till exempel lag eller förordning vill behandla uppgifter om lagöverträdelser behöver dock ett särskilt tillstånd för detta och det är därför företaget har vänt sig till Integritetsskyddsmyndigheten, IMY.

Bolagets tanke är att använda sig av uppgifter från myndigheter, databaser med utgivningsbevis, media samt internet – med undantag från sanktionslistor. Bolaget har i första hand ansökt om att få genomföra kontroller med stöd av de registrerades samtycke – och i andra hand med stöd av en intresseavvägning.

Uppgifterna om lagöverträdelser ska lagras under maximalt 70 dagar efter att ha samlats in. Det ska också bara handla om uppgifter om lagöverträdelser som är relevanta i det enskilda fallet, utifrån en rad olika kategorier. Det handlar till exempel om att uppgifter om ekobrott ska registreras vid särskilt betrodda befattningar med möjlighet att förfoga över större ekonomiska värden – och att narkotikabrott och trafikbrott ska registreras när det handlar om tjänster som chaufför.

IMY ger också klartecken för behandlingen, men ställer upp en rad villkor kring verksamheten.

Samtycke är ingen lämplig grund för behandlingen i fråga, eftersom den som sökt anställning eller konsultuppdrag sannolikt skulle uppleva samtycke som ett obligatoriskt krav för att kunna erbjudas tjänsten. Behandlingen kan däremot stödjas på grunden intresseavvägning – och är förenlig med principerna om laglighet och uppgiftsminimering. 70-dagarsgränsen gör också behandlingen förenlig med principen om lagringsminimering.

Bolaget ska bara tillåtas att registrera personuppgifter om lagöverträdelser om enskilda arbetssökande och konsulter som är aktuella för befattningar eller uppdrag som kan missbrukas för att begå liknande brott eller på ett annat relevant sätt har en avgörande betydelse för den registrerades lämplighet för befattningen eller uppdraget. Vid bakgrundskontroller av företrädare för juridiska personer får uppgifter om lagöverträdelser endast hanteras om det rör personer med ledande befattningar eller bestämmande inflytande i verksamheten.

IMY godtar också den indelning som bolaget gjort med avseende på vilka brottsuppgifter som ska anses relevanta vid vilka befattningar, där exempelvis ekobrott är relevanta vid särskilt betrodda befattningar med möjlighet att förfoga över större ekonomiska värden.

Bolaget har anfört att det man angett i ansökan är ”ett levande dokument” som kan komma att ändras, men IMY betonar här att tillståndet endast avser den behandling som beskrivits i ansökan. Man får dessutom inte registrera uppgifter om lagöverträdelser som ligger så långt tillbaka i tiden att de saknar avgörande betydelse för den registrerades lämplighet för aktuell befattning – och det förutsätts att uppgifter som är så gamla att de skulle ha gallrats ur belastningsregistret inte tas med.

Dessutom kan tillståndet komma att återkallas eller förenas med nya villkor om det skulle visa sig att bolaget behandlar personuppgifter på ett sätt som strider mot dataskyddsförordningen, mot vilken i beslutet eller mot vad som uppgetts i ansökan, slår IMY fast.