ICA Gruppen Aktiebolag

IMY-2026-19751 Tillsyn enligt dataskyddsförordningen

– begäran om information

Behandling av personuppgifter om arbetssökande i samband med drogtester

Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet enligt dataskyddsförordningen . IMY har beslutat att granska er personuppgiftsbehandling och har därför inlett tillsyn mot er, dvs. ICA Gruppen Aktiebolag.

Tillsyn har samtidigt inletts mot ICA Sverige AB, som fått motsvarande begäran om information.

Varför granskar IMY er verksamhet?

Enligt uppgifter i media så drogtestas alla som ska anställas inom ICA Gruppen.

Mot denna bakgrund har IMY beslutat att granska i vilken utsträckning som ni behandlar personuppgifter i samband med drogtester av arbetssökande, samt om ni har rättsligt stöd enligt dataskyddsförordningen för denna behandling (se särskilt artikel 5.1 a och 5.1 c, artikel 6 samt i förkommande fall artiklarna 9 och 10).

IMY begär att ni lämnar följande information

1. Ange om ICA Gruppen Aktiebolag, 556048-2837, är personuppgiftsansvarig för behandling av personuppgifter om arbetssökande i samband med drogtester vid rekrytering? Om flera bolag inom koncernen är personuppgiftsansvariga för behandlingen beskriv hur ansvaret fördelar sig, t.ex. mellan er och ICA Sverige AB. Om ni är personuppgiftsansvarig, svara på nedanstående. 2. Ange vad som är syftet med behandlingen. 3. Redogör för hur den aktuella behandlingen av personuppgifter går till. Ange tydligt vilka personuppgifter som ni behandlar i varje steg, exempelvis i

samband med att någon avböjer att medverka, testar positivt eller negativt. 4. Ange om behandlingen gäller rekrytering till alla tjänster, eller till vissa tjänster. Redogör för er bedömning av i vilka fall/för vilka tjänster

behandlingen är motiverad.

5. Ange hur många arbetssökande för respektive tjänst som omfattats av den aktuella behandlingen. Specificera antalet som har avböjt, testat negativt, respektive positivt. 6. Redogör för och motivera vilket rättsligt stöd i dataskyddsförordningen som ni har för den aktuella behandlingen, utifrån artikel 5.1 a och 5.1 c och artikel 6. 7. Ange om behandlingen omfattar känsliga personuppgifter om hälsa enligt artikel 9 och/eller personuppgifter om lagöverträdelser enligt artikel 10 och i så fall det rättsliga stödet för att behandla sådana uppgifter. Motivera er bedömning. 8. Ange hur länge de aktuella personuppgifterna sparas. 9. Ange när den aktuella behandlingen rörande drogtester påbörjades.

Era svar

Svara skriftligt till IMY senast den 21 oktober 2026.

Ange IMY-2026-19751 när ni svarar. Era svar kan skickas via e-post till . Tänk på att inte använda e-post om svaret innehåller känsliga personuppgifter eller uppgifter som omfattas av sekretess. Det går också att skicka era svar till: Integritetsskyddsmyndigheten, , . Ange om ni anser att några av uppgifterna i ert svar omfattas av sekretess, och i så fall vilka och vilken sekretessgrund.

Måste ni svara IMY?

Ja, IMY är tillsynsmyndighet enligt dataskyddsförordningen. Det innebär att ni ska lämna all information som vi behöver för att kunna fullgöra våra uppgifter som tillsynsmyndighet.

Vad händer sen?

När IMY är färdig med granskningen kommer ni att få ett beslut. Innan beslutet fattas kommer ni att få ta del av och möjlighet att yttra er över allt material som är av betydelse för ärendet. Beslut kan komma att fattas redan när vi har fått ert svar på tillsynsskrivelsen. Utifrån vad som framkommit i ärendet kan IMY i beslutet komma att konstatera brister i er tillämpning av de dataskyddsbestämmelser som är aktuella i ärendet. Vid brister kan IMY exempelvis utfärda en reprimand och/eller förelägga er att vidta vissa åtgärder. I vissa fall kan IMY påföra administrativa sanktionsavgifter enligt dataskyddsförordningen.

Kopia till:

Dataskyddsombudet

Information om IMY:s behandling av personuppgifter

https://