Integritetsskyddsmyndigheten, IMY, har inlett tillsyn mot ICA Gruppen och ICA Sverige efter uppgifter om drogtester av arbetssökande. Myndigheten ska bland annat granska vilka personer som testas, vilka uppgifter som registreras, hur länge informationen sparas och vilken rättslig grund Ica använder. Granskningen betyder däremot inte att IMY redan har slagit fast att Ica har brutit mot lagen.

IMY har öppnat två tillsyner mot Ica

Granskningen gäller ICA Gruppen AB och ICA Sverige AB och handlar om hur personuppgifter behandlas i samband med drogtester under rekryteringar.

IMY vill bland annat få svar på varför uppgifterna samlas in, vilka tjänster som omfattas och exakt hur informationen från testerna hanteras. Myndigheten vill också veta vad som händer med personuppgifterna om en kandidat testar positivt, testar negativt eller väljer att inte genomföra testet.

Ica ska dessutom redogöra för vilken rättslig grund enligt dataskyddsförordningen, GDPR, som bolagen stödjer behandlingen på.

IMY har begärt svar från Ica senast den 21 oktober 2026.

Det är viktigt att skilja tillsynen från ett beslut. IMY har ännu inte konstaterat något regelbrott. Först när myndigheten har gått igenom Icas svar och den övriga utredningen kan den ta ställning till om personuppgifterna har hanterats i enlighet med GDPR.

Den som vill läsa myndighetens egen beskrivning av ärendet kan göra det hos Integritetsskyddsmyndigheten.

Vad är det IMY granskar?

Tillsynen handlar inte enbart om huruvida Ica får be en arbetssökande att genomföra ett drogtest.

En stor del av frågan gäller vad som händer med informationen som uppstår genom testet.

IMY vill bland annat få klarhet i:

• vilka personer inom rekryteringen som testas
• vilka typer av tjänster som omfattas
• hur själva personuppgiftsbehandlingen går till
• vilka uppgifter som registreras
• hur länge informationen sparas
• vilken rättslig grund Ica använder
• om uppgifterna ska betraktas som känsliga hälsouppgifter
• om information om eventuella lagöverträdelser behandlas
• hur många kandidater som har testats

Det gör granskningen intressant även för den som inte söker jobb hos Ica. Frågorna berör i praktiken hur långt en arbetsgivare kan gå när känsliga uppgifter samlas in redan före en anställning.

Ica kan kräva drogtest sent i rekryteringen

Icas egen information till arbetssökande anger att en kandidat kan behöva genomgå drogtest före anställning. Rekryteringsprocessen kan samtidigt skilja sig mellan olika tjänster och bolag.

Tidigare uppgifter från Ica har pekat på att testerna görs sent i rekryteringsprocessen, när en kandidat har gått vidare och är aktuell för en tjänst.

Det är därför missvisande att beskriva systemet som att alla som skickar in en jobbansökan till Ica automatiskt testas.

Just omfattningen är dessutom en av sakerna som IMY nu försöker fastställa.

Det är också viktigt att skilja ICA Gruppen och ICA Sverige från de enskilda Ica-butikerna. Många butiker drivs av självständiga Ica-handlare som är egna arbetsgivare. IMY:s aktuella granskning gäller de två namngivna koncernbolagen och innebär inte automatiskt att varje fristående Ica-butik omfattas.

Får en arbetsgivare drogtesta den som söker jobb?

Det finns inget enkelt svar som gäller alla arbetsplatser och alla situationer.

En arbetsgivare kan i vissa fall ha starka skäl att vilja kontrollera droganvändning, särskilt i verksamheter där säkerheten är central. Samtidigt ställer både arbetsrätten och dataskyddsreglerna krav på att kontrollen ska vara motiverad och proportionerlig.

För arbetssökande blir GDPR särskilt viktig eftersom arbetsgivaren kan komma att behandla mycket känslig information innan något anställningsförhållande ens har uppstått.

Grundprincipen är att arbetsgivaren inte ska samla in mer information än vad som faktiskt behövs för rekryteringen.

IMY:s generella vägledning för rekrytering säger att personuppgifter ska vara relevanta för bedömningen av om kandidaten är lämplig för den aktuella tjänsten. Behandlingen får inte vara mer omfattande eller mer integritetsingripande än vad som är motiverat.

Det innebär att svaret på frågan ”får arbetsgivare drogtesta?” i praktiken beror på bland annat tjänsten, syftet med testet, hur testningen genomförs och vad arbetsgivaren sedan gör med resultaten.

Drogtest kan ge känsliga personuppgifter

Här ligger en central del av IMY:s granskning.

Uppgifter om en persons hälsa hör till de kategorier som har ett särskilt starkt skydd i GDPR. Information som kommer från medicinska tester och undersökningar kan omfattas av reglerna om känsliga personuppgifter.

IMY vill därför att Ica redogör för om de uppgifter som behandlas i samband med drogtesterna ska betraktas som hälsouppgifter.

Det kan också uppstå frågor om information som rör lagöverträdelser, vilket omfattas av ytterligare särskilda regler.

Det avgörande är alltså inte bara om ett test görs. Arbetsgivaren måste också kunna motivera varför informationen behandlas, vilken rättslig grund som används och varför omfattningen är nödvändig.

Ica anger testuppgifter i sin integritetstext

Icas integritetsinformation för arbetssökande nämner drog- och alkoholtester bland uppgifter som kan förekomma när en kandidat befinner sig i slutskedet av en rekrytering.

Ica anger där att behandlingen kan vara nödvändig för åtgärder som genomförs inför ett eventuellt anställningsavtal.

I samma information anges att uppgifter från slutkandidatfasen i vissa fall kan sparas under rekryteringen och därefter i upp till 26 månader.

Det går däremot inte att utgå från att varje fullständigt drogtestresultat automatiskt sparas så länge.

Hur länge just dessa uppgifter lagras är en av de frågor som IMY nu har krävt ett tydligare svar på.

Samtycke gör inte automatiskt behandlingen laglig

Det kan vara lätt att tänka att allt är tillåtet så länge den arbetssökande tackar ja till testet.

Så enkelt är det inte.

Samtycke är bara en av flera möjliga rättsliga grunder enligt GDPR, och i relationen mellan en arbetsgivare och en arbetssökande eller anställd kan frivilligheten vara komplicerad.

Den som befinner sig långt fram i en rekrytering kan uppleva att möjligheten att säga nej är begränsad om ett erbjudande om jobb annars riskerar att försvinna.

Därför måste arbetsgivaren kunna visa att den rättsliga grunden faktiskt håller för den behandling som sker. Det är också en del av det som IMY nu granskar hos Ica.

Det här har du rätt att få veta som arbetssökande

En arbetsgivare som behandlar personuppgifter om dig måste kunna ge information om behandlingen.

Du kan bland annat ha rätt att få veta:

• vilka personuppgifter som behandlas
• varför uppgifterna används
• vilken rättslig grund arbetsgivaren stödjer sig på
• vilka som får ta del av informationen
• hur länge uppgifterna sparas

Du kan också begära ett registerutdrag och få en kopia av de personuppgifter som behandlas om dig.

I vissa situationer kan du dessutom begära att uppgifter raderas. Rätten till radering är dock inte absolut. En arbetsgivare kan i vissa fall behöva behålla uppgifter, exempelvis för att kunna hantera rättsliga anspråk.

Den som vill förstå vilka andra kontroller som kan förekomma före en anställning kan också läsa Hurbra:s guide om belastningsregister och registerutdrag.

Drogtester av anställda är en annan juridisk fråga

Det finns svenska rättsfall där arbetsgivare har fått rätt att drogtesta redan anställda, särskilt när arbetet inneburit tydliga säkerhetsrisker.

Det innebär däremot inte automatiskt att samma bedömning gäller för arbetssökande.

För en redan anställd kan frågor om arbetsledningsrätt, kollektivavtal och säkerhetskrav väga tungt. Vid rekrytering hamnar i stället behandlingen av kandidatens personuppgifter och GDPR i centrum på ett annat sätt.

Det är därför missvisande att använda äldre domar om drogtester på arbetsplatser som ett enkelt bevis för att alla tester före en anställning är tillåtna.

Vad händer nu?

Nästa viktiga steg är Icas svar till IMY.

Myndigheten har begärt en detaljerad redogörelse för hur testerna används, vilka personuppgifter som behandlas och på vilken rättslig grund.

Därefter kan IMY begära ytterligare information innan tillsynen avslutas.

Om myndigheten bedömer att behandlingen följer reglerna kan ärendet avslutas utan ingripande. Om IMY däremot hittar brister kan myndigheten exempelvis besluta om förelägganden, reprimand eller i vissa fall en sanktionsavgift.

Fram till dess är det mest korrekta beskedet att Icas drogtester granskas – inte att de har underkänts.