Finland löste det. Danmark löste det. Sverige utreder.

Sverige har en internationellt avvikande modell för personuppgifter. Stora mängder folkbokföringsuppgifter och annan personlig information tillgängliggörs och vidareförädlas av privata aktörer i sökbara tjänster. Resultatet är att uppgifter om adresser, familjeförhållanden och personnummer blir lättillgängliga genom kommersiella databaser. Det skapar uppenbara risker för kartläggning, bedrägerier och identitetsmissbruk – inte minst för personer i skyddsvärda yrken.

Regeringen har själv pekat på att kriminella nätverk kan använda öppna söktjänster för att kartlägga brottsoffer och genomföra skjutningar och sprängningar i den hämndspiral som har präglat gängkonflikterna. Samtidigt som dessa risker är väl kända, förs en debatt om bakgrundskontroller som ofta utgår från att lösningen är just ökad tillgång till personuppgifter.

En gråzon

Delar av debatten har dessutom kommit att formas av aktörer vars affärsmodeller förutsätter tillgång till stora mängder personuppgifter, inklusive uppgifter om lagöverträdelser. Det bidrar till att diskussionen lätt blir förvirrande och snedvriden. När tolkningen av vad som är möjligt och lämpligt i praktiken drivs av marknadsintressen riskerar vi att få policy genom praxis, snarare än genom tydlig lagstiftning. I mitten står arbetsgivare som vill göra rätt, men som möts av ett lapptäcke av undantag, tillstånd och motstridiga budskap.

Denna otydlighet förstärks av dagens ordning med individuella tillstånd från Integritetsskyddsmyndigheten. Genom dessa tillstånd ges privata aktörer möjlighet att behandla uppgifter om lagöverträdelser i mycket begränsade och specifika sammanhang. I praktiken har detta dock skapat ett system som är svårt att överblicka och ännu svårare att kontrollera. Tillstånden är snävt avgränsade och förutsätter strikt efterlevnad, men används samtidigt som argument för betydligt bredare tillämpning än vad som varit lagstiftarens avsikt. Resultatet blir en gråzon där arbetsgivare förväntas navigera mellan juridiska undantag, tillsyn i efterhand och kommersiella tolkningar av vad som är tillåtet.

Bakgrundskontroller som inkluderar uppgifter om lagöverträdelser kommer även fortsättningsvis att behövas. Men de måste vara rättssäkra, proportionerliga och bygga på ett system där staten tar ett tydligare ansvar. Arbetsgivare behöver fungerande verktyg för att hantera verkliga risker – utan att vi cementerar en kommersiell marknad där medborgares mest känsliga uppgifter blir en handelsvara.

Nordiska grannarna – goda exempel

Regeringen har nu tillsatt en bred utredning om bakgrundskontroller, med Integritetsskyddsmyndighetens generaldirektör Eric Leijonram som särskild utredare. Det är ett välkommet initiativ. Dagens ordning är både svåröverskådlig och otillräcklig. Utredningen har ett avgörande uppdrag: att skapa ett sammanhållet regelverk som ger arbetsgivare tydliga och fungerande verktyg, samtidigt som beroendet av individuella tillstånd och kommersiella databaser minskar.

Det finns goda exempel. Finland – och i stora delar även Danmark – utgår från en tydlig princip för bakgrundskontroller i arbetslivet: uppgifter om lagöverträdelser är ett statligt ansvar. Arbetsgivare får genomföra kontroller när det finns ett tydligt och lagreglerat behov, men brottsuppgifter hanteras genom att individen själv begär ett utdrag från ansvarig myndighet och visar upp det för arbetsgivaren.

Vem bär ansvar?

Kontrollerna är rollbaserade, proportionerliga och knutna till konkreta risker. På så sätt minimeras spridningen av känsliga personuppgifter och beroendet av kommersiella databaser. Arbetsgivaren kan, genom etablerade digitala processer, säkerställa att utdraget är äkta och aktuellt – utan att själv behandla eller lagra brottsuppgifter. Modellerna är inte utan brister, men de löser det grundläggande problemet: vem som bär ansvaret för känsliga uppgifter. Det är ett system som stärker både säkerheten och rättssäkerheten och som ger arbetsgivare tydliga spelregler.

Det är svårt att se varför Sverige, i stället för att bygga vidare på dessa beprövade modeller, ska fortsätta luta sig mot en ordning där skyddsvärda uppgifter sprids brett och där ansvaret i praktiken skjuts över på privata aktörer. Om vi menar allvar med att både bekämpa organiserad brottslighet och värna den personliga integriteten, bör svaret inte vara fler databaser och fler tillstånd – utan bättre system.

Gustaf Broman
CEO Sistec