Nytt avgörande från Arbetsdomstolen: Arbetsgivares granskning av fysiskt belastningsregisterutdrag omfattas inte av GDPR
Av Sophie Wichmann, Associate, Tech & IP, Advokatfirman Delphi, Stockholm.
Arbetsdomstolen meddelade den 25 mars i år ett avgörande (AD 2026 nr 27) som behandlade frågan om huruvida en arbetsgivares åtgärd att ta del av en anställds utdrag ur belastningsregistret utgör sådan behandling av personuppgifter som omfattas av dataskyddsförordningen (GDPR).
I det aktuella fallet hade en arbetsgivare uppmanat en nyanställd att uppvisa ett utdrag ur belastningsregistret efter att anställningen hade påbörjats. Den anställde begärde själv ut handlingen från Polismyndigheten och överlämnade den i ett förseglat kuvert till sin närmaste chef, som öppnade kuvertet och tog del av innehållet. Av utdraget framgick att den anställde hade en tidigare brottmålsdom. Efter att arbetsgivaren hade läst innehållet förstördes registerutdraget i en dokumentförstörare.
Illustrasjon: Colourbox / Chat GPT
Det fackförbund som företrädde den anställde menade att arbetsgivaren genom detta förfarande hade behandlat personuppgifter om lagöverträdelser i strid med GDPR och framställde ett skadeståndskrav om 60 000 kronor.
Som grund åberopade fackförbundet bland annat EU-domstolens avgörande C-740/22 (”Endemol Shine Finland Oy”), där domstolen slog fast att muntligt utlämnande av uppgifter om fällande domar utgör behandling av personuppgifter enligt artikel 4.2 i GDPR, och att sådan behandling omfattas av förordningens tillämpningsområde när uppgifterna ingår i ett register. Fackförbundet menade därför att bolaget, redan genom att ta emot och läsa igenom belastningsregisterutdraget, hade behandlat personuppgifter i strid med artikel 10 i GDPR. Avgörande var enligt fackförbundet att uppgifterna härstammade från ett register, och hur bolaget sedan hanterade utdraget efter mottagandet saknade betydelse för bedömningen.
För en arbetsgivare innebär avgörandet att det inte utgör personuppgiftsbehandling i GDPR:s mening att ta emot, läsa och sedan förstöra ett fysiskt belastningsregisterutdrag, så länge uppgifterna inte sparas i något register.
Arbetsdomstolen landade i motsatt slutsats och slog fast att det var just bolagets egen hantering av registerutdraget som var avgörande. Enligt domstolen uppfyllde hanteringen visserligen definitionen av behandling av personuppgifter enligt artikel 4.2 i GDPR, men enligt artikel 2.1 i GDPR är förordningen tillämplig på manuell behandling av personuppgifter endast under förutsättning att uppgifterna ingår i, eller är avsedda att ingå i, ett register. Det avgörande var alltså inte varifrån uppgifterna härstammade, utan hur bolaget organiserade sin hantering av dem. Att uppgifterna härstammade från belastningsregistret, för vilket Polismyndigheten är personuppgiftsansvarig, saknade enligt domstolen betydelse för bedömningen.
Eftersom det inte ens gjorts gällande att bolaget avsett att låta uppgifterna ingå i något register, konstaterade domstolen att hanteringen inte var en sådan manuell behandling som avses i artikel 2.1 i GDPR. Till stöd för den bedömningen jämförde domstolen med EU-domstolens avgörande C-740/22, och noterade att det målet, till skillnad från det nu aktuella, avsåg en domstols muntliga utlämnande av uppgifter från domstolens eget personregister. Skadeståndskravet lämnades utan bifall.
Fackförbundet yrkade också att domstolen skulle inhämta förhandsavgörande från EU-domstolen avseende dels ersättningens storlek vid överträdelse av GDPR, dels huruvida arbetsgivarens granskning av ett fysiskt belastningsregisterutdrag utgör behandling av personuppgifter i förordningens mening. Arbetsdomstolen konstaterade att frågan om ersättningens storlek inte var aktuell med hänsyn till utgången i målet. Vad gällde den andra frågan bedömde domstolen att det inte förelåg någon EU-rättslig oklarhet som gjorde det nödvändigt att inhämta ett förhandsavgörande, eftersom svaret framgick av artikel 2.1 i GDPR.
En skiljaktig mening pekade emellertid på skäl till att inhämta ett förhandsavgörande. Ledamoten noterade att den svenska lagstiftaren visserligen uttalat sig om att motsvarande förfarande inför anställning sannolikt faller utanför förordningens tillämpningsområde, men att vägledning saknades för kontroller som genomförs under pågående anställning. Mot bakgrund av GDPR:s syfte, artikel 10 om uppgifter rörande fällande brottmålsdomar, samt att det i prop. 2025/26:174 (”Utökade registerkontroller i skolväsendet”) getts uttryck för att rättsläget kring registerkontroll under pågående anställning inte är klarlagt, ansåg den skiljaktiga ledamoten att det inte stod tillräckligt klart att förfarandet skulle falla utanför förordningens materiella tillämpningsområde.
För en arbetsgivare innebär avgörandet att det inte utgör personuppgiftsbehandling i GDPR:s mening att ta emot, läsa och sedan förstöra ett fysiskt belastningsregisterutdrag, så länge uppgifterna inte sparas i något register. Avgörandet är välkommet eftersom det har funnits en oklarhet i vilket utsträckning som arbetsgivare får hantera ett sådant registerutdrag inom ramen för en anställning utan att det blir fråga om behandling av personuppgifter.
