Bakgrundskontroll vid anställning: vad får arbetsgivaren se?

TL;DR: En bakgrundskontroll vid anställning kan vara fem olika saker: ett registerutdrag som lagen kräver, ett utdrag arbetsgivaren ber om utan lagstöd, en kontroll via ett bakgrundskontrollföretag, en kreditupplysning eller en säkerhetsprövning. Arbetsgivaren kan inte själv hämta ut ditt belastningsregister, och de flesta uppgifter gallras efter 5 eller 10 år. Ta reda på vilken sort det gäller, fråga efter lagstödet och beställ ditt eget utdrag innan du visar något.

Vilken sorts bakgrundskontroll gäller dig?

Bakgrundskontroll: en kontroll av en kandidats tidigare brott, ekonomi, identitet eller meriter, som arbetsgivaren gör själv eller köper av ett företag inför ett anställningsbeslut.

Ordet täcker kontroller med helt olika regler. Den första frågan att ställa till rekryteraren är därför vilken av dem det gäller, och med vilket lagstöd.

Kontrollen kommer sent i processen. Polisen skriver att enbart personer som arbetsgivaren valt att anställa eller anlita ska visa utdrag, alltså när arbetsgivaren redan har valt dig. Fram till dess är det ansökan och CV:t som avgör om du går vidare.

Får arbetsgivaren kolla belastningsregistret?

Inte direkt. Polisen får inte skicka registerutdraget till en arbetsgivare; det är du som beställer och visar upp det. För sju områden finns en lag som kräver att arbetsgivaren gör kontrollen:

• skola och förskola (skollagen 2010:800), där utdraget från den 15 juli 2026 omfattar fler brott och misstankar som lett till åtal
• barn med funktionsnedsättning (LSS, 1993:387) och övrigt arbete med barn (2013:852)
• HVB-hem (2007:171)
• arbete i hemmet med äldre och vuxna med funktionsnedsättning (2026:43)
• ledande befattningar i kommuner (2026:44)
• försäkringsdistribution (2018:1219)

Utdraget får i de flesta fall vara högst sex månader gammalt, och för försäkringsdistribution högst tre. Arbetsgivaren får som huvudregel bara anteckna att du visat ett utdrag. Inom LSS och HVB ska utdraget eller en kopia sparas i minst två år. Ett digitalt utdrag kontrolleras i Polisens kontrolltjänst för äkthet.

Utanför de områdena ber en del arbetsgivare ändå om ett utdrag. Regeringens kommittédirektiv 2025:83 beskriver läget så här: någon uttrycklig lagstadgad rätt för sådana informella registerkontroller finns inte. Ett förbud finns inte heller. IMY:s bedömning är att ett utdrag som bara visas på papper ligger utanför GDPR, men att arbetsgivaren inte får skanna det eller registrera innehållet utan särskilt författningsstöd, eftersom uppgifterna regelmässigt inte kan anses adekvata och relevanta vid rekrytering. Samtycke räcker inte som rättslig grund för brottsuppgifter.

Det utdrag du då måste beställa är utdraget för att kontrollera egna uppgifter. Det visar allt som finns registrerat om dig, skickas bara på papper och är enligt Polisen inte tänkt att användas som intyg på att du inte är straffad. Handläggningstiden är upp till två veckor.

Hur långt tillbaka går en bakgrundskontroll?

För belastningsregistret styrs svaret av påföljden. Polisens gallringsregler i korthet:

En ny registrering medan en tidsfrist löper håller kvar de äldre uppgifterna, utom böter, och ingen uppgift ligger kvar längre än 20 år.

Ett bakgrundskontrollföretag läser inte belastningsregistret, utan sammanställer bland annat domar och andra allmänna handlingar. Två regelverk gäller för sådana bolag. I de tillstånd som IMY publicerat, till exempel för DISA Global Solutions AB, får bolaget bara kontrollera personer i befattningar där brottsuppgifter kan ha betydande påverkan på uppdragsgivarens anseende, säkerhet eller ekonomi. Bolaget får inte heller registrera uppgifter som skulle ha gallrats ur belastningsregistret. Andra söktjänster har i stället arbetat med utgivningsbevis och grundlagsskydd, och där gäller inte villkoren.

Skillnaden syns i IMY:s tillsyn av Svensk Bakgrundsanalys AB, som avslutades den 27 maj 2026 utan att IMY fann brister i de granskade villkoren. Enligt bolagets egna uppgifter i beslutet gjordes kontrollerna fram till den 16 mars 2026 med stöd av utgivningsbevis, och därefter började bolaget gå över till sitt IMY-tillstånd. IMY granskade bara de kontroller som görs med stöd av tillståndet.

Kreditupplysning och säkerhetsprövning

En kreditupplysning om en privatperson kräver ett legitimt behov. IMY:s exempel från arbetslivet är en arbetsgivare som ska anställa dig i en högre position med ekonomiskt ansvar, som bolagets ekonomichef. En upplysning på alla sökande till en butiksroll passar inte in i det exemplet. Du märker om någon tar en: kreditupplysningslagen 11 § kräver att du samtidigt och kostnadsfritt får ett skriftligt meddelande om den.

Säkerhetsprövning gäller den som ska delta i säkerhetskänslig verksamhet, alltså verksamhet som har betydelse för Sveriges säkerhet. Enligt säkerhetsskyddslagen 3 kap. ska den göras innan du börjar och prövar om du kan antas vara lojal och pålitlig. Placeras tjänsten i säkerhetsklass görs en registerkontroll mot bland annat belastnings- och misstankeregistret, och i vissa fall en särskild personutredning som omfattar dina ekonomiska förhållanden. Båda kräver ditt samtycke (3 kap. 18 §), med undantag för den som skrivs in för värnplikt. Innan en uppgift lämnas ut ska du få tillfälle att yttra dig över den (3 kap. 20 §), med undantag för uppgifter som är sekretessbelagda mot dig.

Får arbetsgivaren googla dig och läsa dina sociala medier?

GDPR gäller även när arbetsgivaren söker fram uppgifter om dig på nätet. Artikel 29-gruppen, där EU:s dataskyddsmyndigheter samarbetade före 2018, skrev i yttrande 2/2017 om behandling av personuppgifter i arbetslivet att en offentlig profil inte ger arbetsgivaren rätt att använda uppgifterna för egna syften. Arbetsgivaren behöver en rättslig grund, får bara samla in det som är nödvändigt och relevant för jobbet och ska informera dig innan, till exempel i annonsen. Det finns heller ingen rättslig grund för att kräva att du lägger till arbetsgivaren som vän eller ger tillgång till en stängd profil.

IMY:s utgångspunkt för rekrytering pekar åt samma håll: uppgifter om sökande får i princip inte behandlas utan att du känner till det, och som utgångspunkt ska de raderas eller avidentifieras när rekryteringen är klar.

I praktiken är det din LinkedIn-profil och det du publicerat i yrkesrollen som kommer fram. Se till att titlar och datum där stämmer med CV:t. Vilka personuppgifter som hör hemma i ett svenskt CV, och vilka du kan stryka, går vi igenom i guiden om foto och personuppgifter på CV:t.

Vad reglerna inte täcker, och vad som är på väg

Tre saker är oklara eller under förändring, kontrollerat den 13 oktober 2026:

1. Informella registerutdrag är inte förbjudna. Tidigare utredningar har föreslagit förbud utan att det blivit lag. Utredningen enligt dir. 2025:83, beslutad den 11 september 2025, ska föreslå regler för bakgrundskontroller i både offentlig och privat verksamhet och redovisa senast den 11 mars 2027. IMY bad regeringen om en sådan utredning i juni 2024.
2. Söktjänster med utgivningsbevis. EU-domstolen slog den 9 juli 2026 fast i mål C-199/24 att det i princip inte är journalistik att mot betalning lägga ut brottmålsdomar på nätet, och att ett medlemsland inte kan begränsa den drabbade till förtalsmål i stället för GDPR:s rättsmedel. Hänvisningen kom från Attunda tingsrätt, som nu avgör målet. Hur svenska söktjänster anpassar sig är inte klart.
3. Säkerhetsprövning ligger utanför utredningen och regleras även fortsättningsvis av säkerhetsskyddslagen.

Detta är en beskrivning av reglerna, inte juridisk rådgivning. Vid frågor om ett enskilt fall kan du vända dig till ditt fackförbund eller till IMY.

Så tar du reda på vad en kontroll visar om dig

Du kan göra samma kontroll på dig själv innan arbetsgivaren gör den:

1. Belastningsregistret. Enligt 9 § lagen om belastningsregister har du rätt att få ta del av samtliga uppgifter om dig. Beställ utdraget för egna uppgifter i god tid, eftersom det kan ta två veckor.
2. Bakgrundskontrollföretaget. Fråga arbetsgivaren vilket bolag som anlitas. Begär sedan ut dina uppgifter enligt GDPR. Du har rätt att få veta vilka uppgifter som behandlas och varifrån de kommer, och bolaget ska som huvudregel svara inom en månad. Felaktiga uppgifter kan du begära rättade.
3. Kreditupplysningen. Spara meddelandet du får och kontrollera att uppgifterna stämmer.

Kontrollen avgör sällan om du kallas till intervju; det gör urvalet av ansökningar. Där läser rekryteringssystemet ut texten ur ditt CV, och en gratis ATS-kontroll visar vad systemet ser i din fil. Hur Varbi, ReachMee och Teamtailor hanterar ansökningarna beskriver vi i guiden till ATS och rekryteringssystem.

Vad kan arbetsgivaren se i en bakgrundskontroll?+

Det beror på kontrollen. Med ett registerutdrag ser arbetsgivaren det du själv visar. Ett bakgrundskontrollföretag kan sammanställa domar och andra offentliga uppgifter, en kreditupplysning visar din ekonomi och en säkerhetsprövning kan omfatta både register och ekonomi.

Får arbetsgivaren begära utdrag ur belastningsregistret?+

Ja, i skola, förskola, LSS, annat arbete med barn, HVB, hemtjänst, ledande kommunala befattningar och försäkringsdistribution är det ett lagkrav. Utanför de områdena finns ingen uttrycklig lagstadgad rätt men inte heller något förbud, och arbetsgivaren får inte registrera innehållet.

Hur långt tillbaka går en bakgrundskontroll?+

I belastningsregistret gallras böter efter 5 år och de flesta andra påföljder efter 10 år, fängelse räknat från frigivningen. Ett bakgrundskontrollföretag sammanställer i stället domar och andra allmänna handlingar, men bolag med IMY-tillstånd får inte registrera brott som skulle ha gallrats ur registret.

Kan man göra en bakgrundskontroll på sig själv?+

Ja. Beställ utdraget för egna uppgifter från Polisen, begär ut dina uppgifter enligt GDPR från bakgrundskontrollföretaget och läs meddelandet du får om någon tar en kreditupplysning.

Sammanfattning

• Fråga först vilken kontroll det gäller och vilket lagstöd arbetsgivaren har. Svaret avgör vad som får sparas och vad du kan begära ut.
• Arbetsgivaren kan inte hämta ditt belastningsregister själv. Utanför lagkravsområdena ber arbetsgivaren om ett utdrag utan uttryckligt lagstöd, och innehållet får inte registreras.
• Gallringen styr vad registret visar: 5 år för böter, 10 år för de flesta andra påföljder, som längst 20 år. Bolag med IMY-tillstånd får inte gå längre än registret.
• Kreditupplysning kräver legitimt behov och ger dig ett meddelande; säkerhetsprövning kräver ditt samtycke och ger dig rätt att yttra dig.
• Reglerna är i rörelse: utredningen om bakgrundskontroller redovisar senast den 11 mars 2027, och EU-domstolens dom från juli 2026 talar för att GDPR:s rättigheter gäller även mot söktjänster som säljer brottmålsdomar.