Allvarlig kritik mot Kommunstyrelsen i Södertälje kommun för att i strid mot skyddet för den personliga integriteten och privatlivet ha kontrollerat om kommunanställda gjort sig skyldiga till brott

Bakgrund och initiativet I två anmälningar som kom in till JO i juni 2022 fördes det fram klagomål mot Södertälje kommun (se JO:s ärenden med dnr 4545-2022 och 4721-2022).

Av JO:s inledande utredning framgick det att Södertälje kommun ingått ett avtal med en extern aktör om att utföra systematiska kontroller av

kommunkoncernens anställda gentemot en databas med offentliga dokument från domstolar och andra myndigheter. Kontrollerna skulle omfatta samtliga anställda och även slutkandidaten i alla rekryteringar innan kommunen lämnar ett erbjudande om anställning.

Kommunen kallar åtgärderna för utvidgade bakgrundskontroller. Syftet är bl.a. att stärka skyddet mot risken att ha en nära koppling till grov brottslighet i den egna organisationen. Kontrollerna ska omfatta fyra olika typer av brott: sexualbrott, narkotikabrott, våldsbrott och ekonomisk brottslighet. Enligt den upphandlade aktörens svar i upphandlingen kan företaget ta fram dagliga eller veckovisa uppdateringar av en stor mängd uppgifter som rör bl.a. lagföringar av brott, häktningsframställningar, stämningsansökningar och förekomster i Åklagarmyndighetens register över kontaktförbud. Information som kommer fram ska rapporteras till kommunen. Kommunen har inte några egna personregister över brottslighet.

Med anledning av det som kommit fram har jag beslutat att utreda kommunens åtgärder i detta initiativärende.

Utredning

Kommunstyrelsen i Södertälje kommun uppmanades att yttra sig och besvara vissa frågor. Av yttrandet skulle det bl.a. framgå vilket rättsligt stöd kommunen har för att kontrollera anställdas och arbetssökandes brottslighet och hur kontrollerna förhåller sig till 2 kap. 6 § andra stycket regeringsformen (RF) om skydd för den personliga integriteten.

Kommunstyrelsen yttrade sig i december 2022 och lämnade följande svar på JO:s frågor.

När fattade kommunen beslut om att införa de utvidgade bakgrundskontrollerna? Vem fattade beslutet? När infördes kontrollerna?

Beslut om inriktningen i arbetet med att införa utvidgade bakgrundskontroller fattades av kommunstyrelsens personalutskott den 10 december 2020. […] Beslutet grundar sig på kommunfullmäktiges beslut den 30 november 2020 om mål och budget för 2021–2023. Där anges att kommunen med start från 2021 kommer stärka arbetet med bakgrundskontroller, bland annat för att motverka grov organiserad brottslighet. Bakgrundskontrollerna införs succesivt under 2022. I en första fas har kommunen i juni 2022 lämnat över samtliga anställdas personnummer till företaget som utför bakgrundskontrollerna, för kontroll som endast omfattar domar meddelade under 2022. Från och med hösten 2022 kommer arbetet med de utvidgade bakgrundskontrollerna starta fullt ut.

Varför införs kontrollerna? Vad syftar kontrollerna till? Vilka överväganden gjordes inför beslutet, t.ex. med avseende på de kontrollerades integritet?

Syftet med bakgrundskontrollerna är att motverka organiserad brottslighet i kommunkoncernen samt att stärka skyddet och öka tryggheten för kommunens medborgare och anställda. Bakgrunden till beslutet att införa utvidgade bakgrundskontroller är den utbredda organiserade brottsligheten i kommunen. Kommunen har sedan lång tid tillbaka

ett nära samarbete med polisen och andra myndigheter för att stävja brottsligheten, och i det arbetet är bakgrundskontroller en viktig del. Den organiserade brottsligheten har under åren tagit olika former och nått kommunens verksamheter på olika sätt. Efter flera tillslag i krogbranschen under 1990- och 2000-talet, där ett flertal alkoholtillstånd återkallades, blev kommunens handläggare hotad. Ett av de nätverk som kontrollerade stora delar av krogbranschen i kommunen var senare involverade i den hemtjänsthärva som så småningom ledde till en fällande dom angående grovt bedrägeri m.m. I det fallet dömdes ett 20-tal personer för brott och till att betala ett skadestånd på sammanlagt drygt 4 miljoner kr till kommunen. En av de som dömdes, och ansågs ha varit ledande i bedrägeriet, hade varit förtroendevald och anställd på kommunen. Under de senaste åren har ett flertal anställda inom hemtjänsten konstaterats stjäla från brukare. När fallen uppdagats har det visat sig att flera av de aktuella personerna tidigare dömts för stöld. En elevassistent som misstänktes rekrytera ungdomar till brottslig verksamhet visade sig varit dömd för en rad vålds- och narkotikabrott. I båda typerna av fall hade bakgrundskontroller kunnat förhindra att tredje man utsattes för skada. Det finns flera exempel, och det som är gemensamt för många av dessa är ett utnyttjande av välfärdssystemet i olika omfattning på ett sätt som över tid riskerar att allvarligt påverka tilltron till våra offentliga institutioner och myndigheter. Kommunen har stor respekt för de anställdas personliga integritet. I detta sammanhang gör kommunen dock bedömningen att intrånget i den personliga integriteten inte är betydande och att det inte heller innebär en kartläggning av personliga förhållanden såsom beskrivs i 2 kap. 6 § andra stycket regeringsformen. Kommunen själv gör inga sökningar efter domar m.m. utan det hanteras av ett privat bolag. Kommunen sparar heller inga uppgifter om brott. I den mån det som framkommer vid en bakgrundskontroll anses vara av sådan dignitet, sett till brott och berörd anställds funktion, att informationen behöver presenteras för kommunen registreras den inte på något sätt och inga uppgifter om brottet nedtecknas. Den behandling av personuppgifter som görs har kommunen bedömt vara i enlighet med dataskyddsförordningen och begränsad på ett sånt sätt att det som omfattas är nödvändigt utifrån ett allmänt intresse. Sammantaget har kommunen bedömt att intrånget i den personliga integriteten är proportionerligt utifrån ett skyddsperspektiv för kommunen, dess invånare och anställda samt förtroendet för det allmänna i stort. Det är oerhört angeläget att på bred front arbeta för att undvika att den organiserade brottsligheten tar sig in i kommunens organisation. Med tanke på kommunens historia och nuläge bedömer kommunen att bakgrundskontroller är en nödvändig åtgärd som en del i det arbetet.

Vilka anställda och hur många omfattas av kontrollerna? Är några anställda undantagna?

Bakgrundskontroller görs på samtliga anställda inom kommunkoncernen, totalt ca 7 000 personer. Från och med hösten 2022 är ambitionen att bakgrundskontroll också ska göras på slutkandidaten i samtliga rekryteringar men till en början handlar det om vissa nyckelfunktioner.

Hur får företaget som genomför kontrollerna information om vilka personer som ska kontrolleras? Hur ofta uppdateras informationen?

Företaget som utför bakgrundskontrollerna får information om vilka personer som ska kontrolleras genom att personnumren lämnas till företaget. Informationen om anställdas personnummer uppdateras kvartalsvis. Framöver ska personnumren istället lämnas direkt till underleverantören via deras digitala portal.

Har de personer som kontrolleras samtyckt till eller informerats om kontrollen? När och hur sker det i förekommande fall?

Kommunens anställda har informerats om bakgrundskontrollerna på kommunens intranät den 24 september 2020, 30 maj 2022 och 24 oktober 2022. Anställda har även informerats via kontakter med fackliga företrädare under de samverkansforum kommunen har. Anställdas reella inflytande sker i formell mening via de fackliga organisationerna och frågan om bakgrundskontroller har hanterats mellan parterna enligt MBL §§ 11 och 14. Vid rekrytering kommer de som söker arbete hos kommunen få information om att bakgrundskontroll görs på slutkandidaten i rekryteringen.

Hur ofta kontrolleras anställda respektive arbetssökande?

För redan anställda görs bakgrundskontroller löpande men resultatet rapporteras till kommunen kvartalsvis. Om ny information som kommunen omedelbart behöver få kännedom om tillkommer mellan dessa tillfällen, t.ex. en ny dom angående ett grovt brott eller ett brott som på annat sätt kan ha direkt påverkan i den funktion en anställd innehar, kontaktas kommunen. Vid rekrytering kommer bakgrundskontroll göras en gång på slutkandidaten, innan erbjudande om anställning lämnas.

Hur går kontrollerna till i praktiken och vad avser/omfattar kontrollerna?

Efter att företaget som utför bakgrundskontrollerna har tagit emot personnumren från kommunen gör företagets underleverantör sökningar på dessa i en databas med utgivningsbevis som innehåller offentlig information från olika myndigheter. Sökningarna omfattar information inom brottskategorierna sexualbrott, narkotikabrott, våldsbrott och ekonomisk brottslighet. Brottskategorierna narkotikabrott, våldsbrott och ekonomisk brottslighet har valts ut eftersom de bedöms ha koppling till organiserad brottslighet i kommunen medan kategorin sexualbrott har valts ut utifrån syftet att stärka skyddet och öka tryggheten för kommunens medborgare och anställda.

Vilken information återrapporteras till kommunen? Hur sker återrapporteringen?

Företaget som utför bakgrundskontrollerna återrapporterar informationen från kontrollerna vid ett möte med kommunen. Här görs en kvalificerad bedömning utifrån kunskap och polisiär erfarenhet. Informationen återrapporteras muntligt. Möten för återrapportering sker kvartalsvis i en begränsad grupp inom HR bestående av kommunens HR-direktör, förhandlingschef och representant från de kommunala bolagen. Informationen presenteras muntligt och anonymiserat. Det är bara om det som kommer fram bedöms kunna medföra någon form av åtgärd som kommunen får veta vem och vilket specifikt brott det handlar om. Framgent är tanken att representanten från de kommunala bolagen inte ska vara närvarande när identiteten på den anställde presenteras. Som beskrivits ovan kan information som anses akut komma att återrapporteras mellan de kvartalsvisa mötena, även då vid ett fysiskt möte eller telefonsamtal med någon av de nämnda funktionerna. Vid nyrekrytering rapporteras informationen som framkommer vid bakgrundskontrollen till HR-direktören eller förhandlingschefen som i sin tur kommer rapportera vidare till rekryterande chef.

Hur hanteras den information som eventuellt kommer fram vid kontrollerna? Vilka konsekvenser kan informationen få för de anställda respektive arbetssökande?

Kommunen upprättar inte någon dokumentation avseende informationen som kommer fram vid bakgrundskontrollerna och får bara del av information som är relevant i förhållande till det jobb personen har, alternativt söker. Bedömningen

av vad som ska rapporteras till kommunen görs gemensamt av kommunen och bolaget utifrån ett säkerhetsmässigt perspektiv kopplat till aktuell verksamhet där även arbetsgivarpolitiska aspekter vägs in. I tveksamma fall kan kommunens representanter (i form av nämnda HR-medarbetare) få ta del av informationen avanonymiserat och därefter själva göra bedömningen om det ska tas vidare. När det gäller bakgrundskontroller under pågående anställning bedömer den begränsade gruppen inom HR, i dialog med företaget som utför kontrollerna, om någon information behöver hanteras vidare utifrån verksamhet, yrke och brott. Om bedömning görs att informationen inte behöver hanteras vidare lämnas frågan utan åtgärd. Behöver informationen hanteras vidare kontaktas närmaste chef. Chefen bedömer, med stöd från HR, hur informationen ska hanteras och vad konsekvenserna kan bli. Arbetsrättsliga regler följs givetvis, precis som i alla kommunens personalärenden. Vid rekrytering kommer resultatet av bakgrundskontrollen endast användas på så sätt att det utgör ett av flera beslutsunderlag i en kompetensbaserad rekrytering där en helhetsbedömning görs. Rekryterande chef kommer i samråd med HR bedöma om det som framkommer vid bakgrundskontrollen påverkar slutförandet av rekryteringen. Om bedömning görs att informationen inte behöver hanteras vidare lämnas frågan utan åtgärd.

Rättslig reglering

Grundläggande regler till skydd för den personliga integriteten och för privatlivet Regeringsformen All maktutövning ska vara grundad på lag eller annan föreskrift (se 1 kap. 1 § tredje stycket RF). En myndighet får alltså endast vidta åtgärder som har stöd i rättsordningen (se även 5 § första stycket förvaltningslagen).

Det allmänna ska bl.a. värna den enskildes privatliv, vilket kommer till uttryck genom målsättningsstadgandet i 1 kap. 2 § fjärde stycket RF.

Av 2 kap. 6 § andra stycket RF följer att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten som sker utan samtycke och som innebär övervakning eller kartläggning av den enskildes personliga förhållanden.

Vid bedömningen av hur ingripande integritetsintrånget ska anses vara, är det naturligt att stor vikt läggs vid uppgifternas karaktär. Ju känsligare uppgifterna är, desto mer ingripande är normalt det allmännas hantering av uppgifterna. Även hantering av ett fåtal uppgifter kan innebära ett betydande intrång i den personliga integriteten om uppgifterna är av mycket känslig karaktär. Vid bedömningen är det också naturligt att det läggs en stor vikt vid ändamålet med behandlingen. Mängden uppgifter kan därutöver vara en betydelsefull faktor i sammanhanget. Bestämmelsen omfattar endast sådana intrång som innebär ett betydande ingrepp i den enskildes privata sfär på grund av åtgärdens intensitet eller omfattning eller av hänsyn till uppgifternas integritetskänsliga natur eller andra omständigheter. (Se prop. 2009/10:80 s. 183 och 250.)

Avgörande för om en åtgärd ska anses innebära övervakning eller kartläggning är inte dess huvudsakliga syfte utan vilken effekt som åtgärden har. Vad som

avses med övervakning respektive kartläggning får bedömas med utgångspunkt från vad som enligt normalt språkbruk läggs i dessa begrepp. En del åtgärder som innebär kartläggning kan samtidigt även innebära övervakning. Det är inte möjligt att göra en tydlig gränsdragning mellan åtgärder som har effekter av det ena eller andra slaget. (Se prop. 2009/10:80 s. 181 och 250.)

Kravet på samtycke bör bedömas på samma sätt som motsvarande krav enligt bestämmelsen om förbud mot åsiktsregistrering i 2 kap. 3 § RF. Som utgångspunkt ska de berörda personerna tillfrågas om sitt samtycke och då få all den information som kan tänkas påverka deras villighet till att åtgärden genomförs. Enligt den tidigare gällande personuppgiftslagen fanns det samtycke endast om den enskilde genom en frivillig, särskild och otvetydig viljeyttring godtog personuppgiftsbehandlingen efter att ha informerats om den. Denna reglering bör kunna tjäna som förebild för samtyckeskravet enligt 2 kap. 6 § andra stycket RF. (Se prop. 2009/10:80 s. 178 f.)

Europakonventionen Av artikel 8.1 i konventionen följer att var och en har rätt till respekt för bl.a. sitt privatliv. Bestämmelsen innebär primärt att det allmänna ska avhålla sig från ingrepp i den skyddade rättigheten. Konventionen gäller som lag i Sverige.

Övervakning av enskilda och insamling av uppgifter om enskildas personliga förhållanden från statens sida har – när detta skett systematiskt – ansetts omfattas av skyddet för privatliv enligt artikel 8.1 i konventionen. Vid bedömningen av om det har varit fråga om en kränkning av privatlivet har det ansetts ha betydelse bl.a. om det funnits ett tydligt lagstöd för åtgärden, om den enskilde hade kunnat förvänta sig att en sådan åtgärd skulle komma att vidtas samt om det funnits kontrollmekanismer till skydd för den enskilde. (Se t.ex. Europadomstolens domar Rotaru v. Romania, no. 28341/95, § 43, 4 May 2000, och Benedik v. Slovenia, no. 62357/14, §§ 101–103, 24 April 2018, samt Danelius m.fl., Mänskliga rättigheter i europeisk praxis, 6 uppl., s. 465 f.)

Rättigheterna kan begränsas genom lag Skyddet som följer av 2 kap. 6 § andra stycket RF och artikel 8.1 i Europakonventionen får – under vissa närmare angivna förutsättningar – begränsas endast genom lag (se 2 kap. 20 och 21 §§ RF och artikel 8.2 i Europakonventionen).

EU:s rättighetsstadga Även EU:s stadga om de grundläggande rättigheterna innehåller bestämmelser om skydd för den personliga integriteten. Var och en har bl.a. rätt till respekt för sitt privatliv (artikel 7) och rätt till skydd av de personuppgifter som rör honom eller henne (artikel 8). Stadgan riktar sig till EU:s medlemsstater när de tillämpar unionsrätten.

EU:s dataskyddsförordning I EU:s dataskyddsförordning finns grundläggande principer för behandling av personuppgifter. Som utgångspunkt gäller att all behandling av personuppgifter ska vara laglig (se artikel 5.1 a). Uppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (se artikel 5.1 b). Uppgifterna ska vidare vara korrekta och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (se artikel 5.1 d).

Behandling av personuppgifter som rör bl.a. fällande domar i brottmål får endast utföras under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet. (Se artikel 10.)

EU:s dataskyddsförordning ska inte tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen (se 1 kap. 7 § första stycket lagen med kompletterande bestämmelser till EU:s dataskyddsförordning). Sekretess för uppgifter i belastningsregistret Belastningsregistret innehåller uppgifter om bl.a. den som har ålagts påföljd för brott genom en dom, ett beslut, strafföreläggande eller föreläggande om ordningsbot (se 3 § lagen om belastningsregister). För uppgifter i registret gäller absolut sekretess men en enskild har rätt att på begäran skriftligen få ta del av uppgifter ur registret om sig själv (se 35 kap. 3 § offentlighets- och sekretesslagen och 9 § lagen om belastningsregister).

I lagen om belastningsregister finns bestämmelser om gallring av uppgifter som förekommer i registret (se 16–18 §§). Regler om registerkontroller i arbetslivet Formell och informell registerkontroll Vissa delar av arbetsmarknaden omfattas av ett regelverk som innebär en skyldighet för en arbetsgivare att kontrollera en arbetssökandes belastningsregister, s.k. obligatorisk registerkontroll. En sådan skyldighet finns vid anställning av personal i t.ex. skolverksamhet (se 2 kap. 31 § skollagen) och vid boenden som tar emot barn (se 1 § lagen om registerkontroll av personal vid vissa boenden som tar emot barn) samt av personal som ger stöd och serviceinsatser till barn med funktionshinder (se 1 § lagen om registerkontroll av personal som utför vissa insatser åt barn med funktionshinder).

Vid sidan av den obligatoriska registerkontrollen finns det bestämmelser som ger en arbetsgivare rätt, men inte en skyldighet, att begära registerutdrag inför

en anställning, s.k. fakultativ registerkontroll. Regler som rör den fakultativa registerkontrollen finns bl.a. i lagen om registerkontroll av personer som ska arbeta med barn. Personuppgifter ur belastningsregistret ska också lämnas ut om det begärs av en myndighet i den utsträckning regeringen föreskriver det för vissa slag av ärenden eller ger tillstånd till det för ett särskilt fall (se 6 § första stycket 4 lagen om belastningsregister). Sådana föreskrifter har meddelats i förordningen om belastningsregister.

De obligatoriska och fakultativa registerkontrollerna brukar kallas för formella registerkontroller.

Arbetsgivare som inte omfattas av de obligatoriska eller fakultativa registerkontrollerna har inte någon uttrycklig rätt enligt författning att begära att en arbetssökande eller en arbetstagare visar upp ett utdrag ur belastningsregistret inför eller under en anställning. Avsaknaden av en sådan reglering innebär dock inte att det är förbjudet för arbetsgivaren att begära att en arbetssökande eller en arbetstagare visar upp ett sådant utdrag för arbetsgivaren. Utdragen begärs i dessa fall med stöd av den rätt till insyn i belastningsregistret som tillkommer den enskilde enligt 9 § första stycket lagen om belastningsregister. (Se SOU 2019:19 s. 113.) Det här förfarandet brukar kallas för informell registerkontroll.

En arbetsgivares kontroll av om en arbetssökande eller arbetstagare har begått brott anses innebära ett påtagligt intrång i den personliga integriteten. Flera utredningar (se t.ex. SOU 2009:44, SOU 2014:48 och SOU 2019:19) har haft i uppdrag att utreda frågan om hur de motstående intressen som arbetsmarknadens parter har i detta hänseende ska kunna balanseras på ett ändamålsenligt sätt i arbetslivet. (Se prop. 2021/22:59 s. 43.)

Av hänsyn främst till den personliga integriteten har lagstiftaren valt att inte låta personer som redan är anställda omfattas av det krav på registerkontroll som gäller vid t.ex. arbete i skola och i övrigt vid arbete som innebär direkt och regelbunden kontakt med barn (se prop. 1999/2000:123 s. 21 och prop. 2012/13:194 s. 29).

Säkerhetsprövning enligt säkerhetsskyddslagen Säkerhetsskyddslagen gäller för utövare av säkerhetskänslig verksamhet, bl.a. verksamhet som är av betydelse för Sveriges säkerhet (se 1 kap. 1 § första stycket säkerhetsskyddslagen). Säkerhetskänslig verksamhet finns bl.a. i sektorerna energiförsörjning, handel och industri samt offentlig förvaltning (se Degerfeldt m.fl., Säkerhetsskyddslagen [13 jan. 2023, Juno], kommentaren till 1 kap. 1 §).

Säkerhetsprövningen, som bl.a. sker genom registerkontroller, ska göras innan deltagandet i den säkerhetskänsliga verksamheten påbörjas och följas upp under tiden som deltagandet där pågår (se 3 kap. 3 § säkerhetsskyddslagen). Säkerhets- och integritetsskyddsnämnden (Registerkontrolldelegationen)

beslutar om uppgifter som kommit fram vid registerkontrollen ska lämnas ut för säkerhetsprövning (se 3 kap. 19 § andra stycket säkerhetsskyddslagen).

Uttalanden av konstitutionsutskottet Konstitutionsutskottet har framhållit risken för att en del av de söktjänster som tillhandahålls av privata företag och som offentliggör personuppgifter om bl.a. lagöverträdelser i praktiken kan liknas vid privata belastningsregister (se utskottets betänkande 2021/22:KU14 s. 29).

Konstitutionsutskottet har även vid ett senare tillfälle, i samband med behandlingen av ett lagförslag om att begränsa grundlagsskyddet för vissa söktjänster som offentliggör personuppgifter, uttalat att den nuvarande regleringen ger ett otillräckligt skydd för integritetskränkningar (se prop. 2021/22:59 och bet. 2021/22:KU14).

Bedömning

Utgångspunkter och granskningens inriktning Södertälje kommun har infört en ordning som innebär att kommunen kontrollerar om de anställda gjort sig skyldiga till brott av visst slag. Kommunen har slutit ett avtal med ett externt företag som på kommunens uppdrag löpande kontrollerar om kommunanställda bl.a. lagförts för viss särskilt angiven brottslighet. Kontrollerna genomförs av företaget genom sökningar i en databas som innehåller offentliga handlingar från domstolar och myndigheter.

Kontrollerna avser flera olika typer av brott: sexualbrott, narkotikabrott, våldsbrott och ekonomisk brottslighet. För att möjliggöra kontrollerna har kommunen lämnat ut personnummer för sina ca 7 000 anställda till det externa företaget. Motsvarande kontroller görs av slutkandidaten i kommunens alla anställningsförfaranden inför att ett beslut om anställning fattas. I kommunen rekryteras ca 700 personer varje år.

Kommunen har i sitt yttrande beskrivit att den organiserade brottsligheten är utbredd i kommunen och har nått kommunens verksamheter på olika sätt. Vidare har kommunen uppgett att den arbetar för att stävja brottsligheten, bl.a. tillsammans med polisen. Kontrollerna är ett led i det arbetet.

Jag ifrågasätter inte kommunens ambition att komma till rätta med organiserad brottslighet i kommunkoncernen. Det är mycket angeläget att en myndighets integritet värnas.

En självklarhet är dock att de åtgärder som vidtas har stöd i rättsordningen och stämmer överens med grundläggande bestämmelser till skydd för enskildas personliga integritet och rätten till respekt för privatlivet i bl.a. 2 kap. 6 § andra stycket RF och artikel 8 i Europakonventionen. Mot bakgrund av syftet med kontrollerna medför det faktum att de görs inom anställningsförhållanden ingen begränsning av kommunens skyldighet att som ett offentligt organ respektera bestämmelserna (se även JO 2006/07 s. 97, dnr 2685-2004).

Huvudfrågan i granskningen gäller om kommunens kontroller är förenliga med nämnda bestämmelser, framför allt skyddet för den personliga integriteten i regeringsformen. Jag gör inte någon bedömning av kontroller i enskilda fall, utan mina uttalanden tar sikte på kommunens förfarande som en helhet.

Jag har fokuserat granskningen på kontrollerna av de anställda men gör även vissa uttalanden om den kontroll som görs av slutkandidaten i ett anställningsförfarande. Kontrollerna av de anställda Kontrollerna utgör ett betydande intrång i den personliga integriteten och innebär en övervakning och kartläggning av enskildas personliga förhållanden Kommunen har bedömt att intrånget i den personliga integriteten inte är betydande och att kontrollerna inte heller innebär en kartläggning av personliga förhållanden. Kommunen har också ansett att intrånget är proportionerligt med hänsyn till sitt syfte.

Med anledning av det som kommunen fört fram vill jag inledningsvis säga att uppgifter om lagöverträdelser som regel rör privata förhållanden och vanligtvis är känsliga. En arbetsgivares kontroll av en arbetstagares brottslighet innebär typiskt sett ett påtagligt intrång i den personliga integriteten. Redan vid en enstaka kontroll kan det vara fråga om ett sådant intrång.

Av utredningen framgår det att kommunen löpande under anställningstiden kontrollerar de anställdas eventuella brottslighet. Kontrollerna avser flera typer av brott. Informationen kan uppdateras så ofta som varje dag eller varje vecka. Därefter återrapporteras informationen till kommunen kvartalsvis om det inte kommer fram något som kräver en mer omedelbar återkoppling.

Kommunen har beskrivit att de anställda får information om att deras eventuella brottslighet kommer att kontrolleras. De anställda har dock inga möjligheter att påverka vilka uppgifter som lämnas till kommunen från det externa företaget eller att kontrollera om uppgifterna är uppdaterade och korrekta. På så sätt skiljer sig situationen märkbart från en sådan registerkontroll som innebär att den enskilde själv begär ut och visar upp ett utdrag ur belastningsregistret. Såvitt jag förstår den beskrivning som kommunen lämnat i yttrandet till JO verkar de anställda inte heller alltid i efterhand få reda på vilken information som det externa företaget samlat in och återrapporterat till kommunen. Det sagda gör integritetsintrånget än mer påtagligt.

Kommunen har fört fram att den bara får del av sådan information som är relevant i förhållande till den enskildes anställning. Kontrollerna görs dock av alla anställda och såvitt jag förstår görs inga begränsningar av sökningarna med hänsyn till vilken anställning det är fråga om.

Det rör sig alltså om breda kontroller av de anställdas eventuella brottslighet som görs löpande under anställningstiden. Detta tillsammans med att

kontrollerna genomförs av ett externt företag samt de anställdas begränsade möjlighet till insyn, gör att kommunens förfarande måste bedömas som särskilt ingripande ur integritetssynpunkt.

Vid en sammantagen bedömning anser jag att kommunens kontroller av de anställda, oavsett vilken information som kommer fram, genomförs på ett sådant sätt och i en sådan omfattning att de utgör ett betydande intrång i de anställdas personliga integritet i regeringsformens mening. Kontrollerna måste vidare bedömas innebära en sådan övervakning och kartläggning av de anställdas personliga förhållanden som avses i regeringsformen, inte minst mot bakgrund av att de görs kontinuerligt.

Jag återkommer nedan till vad kommunen fört fram om att intrånget är proportionerligt med hänsyn till sitt syfte.

Det finns inget samtycke till kontrollerna Enligt kommunen har information om kontrollerna lämnats till de anställda på kommunens intranät vid tre tillfällen. De anställda har även informerats via kontakter med fackliga företrädare under de samverkansforum som kommunen haft. Enligt kommunen har de anställda ett reellt inflytande i formell mening via de fackliga organisationerna och frågan om kontrollerna har hanterats mellan parterna enligt lagen om medbestämmande i arbetslivet.

Det framgår inte tydligt av kommunens svar till JO om den anser att de anställda har samtyckt till att kontrollerna genomförs i och med att de fått information om förfarandet. För att det ska vara fråga om ett rättsligt giltigt samtycke krävs dock att varje enskild person som berörs av kontrollerna lämnar ett individuellt, informerat och otvetydigt samtycke.

Såvitt jag kan bedöma har kommunens anställda inte uttryckligen tillfrågats om sin inställning till kommunens kontroller. Av det som kommunen fört fram kan jag inte heller se att de anställda har lämnat något sådant informerat och otvetydigt samtycke som regeringsformen förutsätter. Därför kan det inte anses finnas något rättsligt giltigt samtycke från de anställda att kontrolleras.

Kontrollerna har således gjorts utan samtycke. Jag ställer mig för övrigt tveksam till om det, för en anställd person, framstår som ett verkligt alternativ att avstå från kommunens kontroller och om ett giltigt samtycke till kontrollerna kan lämnas under en pågående anställning.

Kontrollerna saknar stöd i lag Mot bakgrund av de slutsatser som jag nu har redovisat krävs det stöd i lag för att genomföra kontrollerna.

En kontroll under en pågående anställning är i författning i princip tillåten endast i de fall som föreskrivs i säkerhetsskyddslagen. Det handlar då om att skydda en säkerhetskänslig verksamhet. Kontrollen är noga författningsreglerad och omgärdad av rättssäkerhetsgarantier. Kommunens kontroller har inte stöd i

säkerhetsskyddslagen. Jag kan konstatera att kommunen inte har pekat på något lagstöd för kontrollerna och jag kan inte för egen del se att något sådant finns.

Det saknar betydelse att kontrollerna genomförs av ett externt företag Kommunen har angett att den själv inte gör några sökningar efter uppgifter om brottslighet, utan att det hanteras av ett externt företag. Jag vill med anledning av det säga följande.

Av personalutskottets sammanträdesprotokoll från den 10 december 2020 framgår det att kommunfullmäktige beslutade om mål och budget 2021 med plan för 2022 och 2023. Där beskrevs det att kommunen ska stärka arbetet med bakgrundskontroller, bl.a. för att motverka grov organiserad brottslighet. Av utskottets protokoll framgår det vidare att förvaltningen ska upphandla en extern aktör som tillhandahåller systematiska kontroller av anställda och arbetssökande gentemot en databas med offentliga dokument från domstolar och andra myndigheter.

Kommunen har därefter upphandlat en tjänst och ingått ett avtal med ett externt företag som använder sig av en underleverantör med tillgång till en söktjänst.

Jag kan inte förstå upplägget på något annat sätt än att det externa företaget agerar på uppdrag av kommunen och i enlighet med de instruktioner som kommunen lämnar. Det är kommunen som beslutat om att införa kontrollerna och som är beställare av tjänsten. Kommunen ansvarar därför för upplägget i dess helhet i de avseenden som nu är aktuella. Det förhållandet att ett externt företag genomför kontrollerna påverkar således inte kommunens grundläggande skyldighet att se till att regler som skyddar enskildas personliga integritet följs och att rätten till privatliv respekteras i kommunens verksamhet. Det saknar i sammanhanget också betydelse om företaget har ett utgivningsbevis.

Kontrollerna av de anställda är inte lagliga Min bedömning är sammanfattningsvis att kommunens kontroller av de anställdas eventuella brottslighet utgör ett betydande intrång i den personliga integriteten. De innebär även en övervakning och kartläggning av enskildas personliga förhållanden. Kontrollerna görs utan samtycke. Nödvändigt lagstöd finns inte.

Kommunens kontroller av de anställda står därmed i strid med det grundlagsstadgade skyddet för den personliga integriteten i 2 kap. 6 § andra stycket RF. Kontrollerna av de anställda är inte heller förenliga med rätten till respekt för privatlivet i artikel 8 i Europakonventionen.

Slutsatsen är att kontrollerna av de anställda inte är lagliga. Vid ett sådant förhållande har det som kommunen lyft fram om att intrånget kan anses proportionerligt i förhållande till sitt syfte inte någon betydelse.

Kontrollerna av slutkandidaten i ett anställningsförfarande Det framgår av utredningen att slutkandidaten i kommunens samtliga rekryteringar kontrolleras av det externa företaget innan han eller hon erbjuds anställning oberoende av om det finns författningsstöd för en obligatorisk eller fakultativ kontroll.

Däremot ger utredningen inget tydligt svar på om och hur kandidatens inställning till kontrollen hämtas in, men enligt kommunen får de arbetssökande information om att slutkandidaten i rekryteringen kommer att kontrolleras.

Jag kan inte utesluta att det för dessa fall finns ett rättsligt giltigt samtycke till en kontroll. Av detta skäl kan jag inte uttala mig om huruvida kontrollerna av slutkandidaten inför en anställning strider mot bestämmelsen i 2 kap. 6 § andra stycket RF. Detsamma gäller förenligheten med Europakonventionen. Jag vill dock i det här sammanhanget erinra kommunen om målsättningsstadgandet i 1 kap. 2 § fjärde stycket RF som anger att det allmänna ska värna den enskildes privatliv.

En kopia av beslutet skickas till Imy Kommunens kontroller innebär att en avsevärd mängd personuppgifter om enskilda behandlas. Uppgifter om lagöverträdelser är integritetskänsliga och särskilt skyddsvärda.

Kommunen har uppgett att behandlingen har stöd i EU:s dataskyddsförordning och är begränsad på ett sådant sätt att det som omfattas är nödvändigt utifrån ett allmänt intresse.

Ordinarie tillsynsmyndighet enligt dataskyddsförordningen är Integritetsskyddsmyndigheten (Imy). JO:s tillsyn är extraordinär. Jag gör därför inga uttalanden om huruvida behandlingen av personuppgifter är laglig mer än att uttrycka min tveksamhet till om den är helt förenlig med regleringen på området. Med hänsyn till vad som kommit fram skickar jag en kopia av detta beslut till Imy för kännedom.

Kritik Kommunstyrelsen i Södertälje kommun förtjänar allvarlig kritik för att utan stöd i lag kontrollera om de anställda gjort sig skyldiga till brott. Jag är också kritisk till att kommunen på ett generellt plan går utöver och vid sidan av de möjligheter som finns i författning för att kontrollera slutkandidaters eventuella brottslighet. Jag förutsätter att kommunen omgående och med beaktande av de uttalanden jag gjort omprövar den aktuella ordningen.

Avslutande synpunkter Kommunens agerande är mycket anmärkningsvärt. Jag ställer mig särskilt frågande till att kommunen inte har redovisat vilka rättsliga överväganden som gjordes innan kontrollerna infördes. Om några sådana överväganden inte gjordes är det självklart helt oacceptabelt.

Av kommunens yttrande till JO framgår att kommunen lämnar över personnummer för sina anställda till det externa företag som genomför kontrollerna. Det väcker frågor om bestämmelserna i offentlighets- och sekretesslagen följs när uppgifterna lämnas ut (se 39 kap. om sekretess till skydd för enskild i personaladministrativ verksamhet). Med anledning av detta vill jag rent allmänt understryka att det alltid måste göras noggranna överväganden av sekretessaspekterna innan uppgifter lämnas ut av en myndighet och att övervägandena kan behöva dokumenteras.

Vidare finns det skäl att se allvarligt på vad kommunen angett om att den information som kommer fram vid kontrollerna inte dokumenteras. Det ger intryck av att kommunen vill begränsa insynen i förfarandet och undvika att allmänna handlingar upprättas med den aktuella informationen. Inte minst från ett rättssäkerhetsperspektiv är det viktigt att information av det här slaget dokumenteras, särskilt som den kan ligga till grund för åtgärder mot enskilda.

I maj 2023 kritiserade jag Norrköpings kommun för att utan stöd i lag ha övervakat och kartlagt enskildas personliga förhållanden i utredningar av misstänkt felaktiga utbetalningar av ekonomiskt bistånd enligt socialtjänstlagen (se mitt beslut den 31 maj 2023, dnr 7507-2022 m.fl.). Även i det fallet motiverades agerandet med en önskan om att förhindra brottslighet.

Det är nu alltså andra gången på kort tid som jag kritiserar en kommun för att inte ha respekterat regeringsformens och Europakonventionens krav på lagstöd för en åtgärd som inkräktar på skyddet för den personliga integriteten och privatlivet. Jag kunde konstatera att det inte heller i det tidigare ärendet redovisades några egentliga överväganden om de rättsliga förutsättningarna för åtgärderna.

Det finns anledning att informera lagstiftaren om det som kommit fram. Jag skickar därför en kopia av detta beslut till regeringen för kännedom.

Ärendet avslutas.

Per Lennerbrant

Ärendet har föredragits av rättssakkunniga Leo Nilsson Nannini. Tf. byråchefen Sophia Häggmark Elmér har deltagit i beredningen.