AD 2026 nr 27: Att läsa registerutdrag omfattas inte av GDPR
Arbetsdomstolen har i ett nyligen avgjort mål klargjort att GDPR inte gäller när en arbetsgivare manuellt tar del av ett registerutdrag på papper.
Bakgrund
JW, medlem i IF Metall, anställdes som bilmekaniker och lämnade efter anställningens start in ett registerutdrag i ett förslutet kuvert till sin chef. Chefen öppnade kuvertet och läste utdraget, som innehöll uppgifter om att JW tidigare dömts för brott. IF Metall stämde bolaget och yrkade skadestånd då de ansåg att bolaget hade behandlat JW:s personuppgifter i strid med artikel 10 GDPR, som fastslår kraven för behandling av personuppgifter som rör fällande domar i brottmål.
Vad prövades i målet?
Den fråga som domstolen prövade var om arbetsgivaren genom att begära utdraget och läsa det hade behandlat personuppgifter på ett sätt som gör GDPR tillämplig.
Manuell behandling – avgörande för utgången
Arbetsdomstolen slog fast att det rörde sig om en helt manuell behandling. För att GDPR ska gälla vid manuell hantering krävs att uppgifterna ingår i, eller är avsedda att ingå i, ett register.
Inget register hos arbetsgivaren
I detta fall fanns inget sådant register hos bolaget. Uppgifterna kom visserligen från ett register (belastningsregistret) men registret förvaltas av Polismyndigheten, inte arbetsgivaren.
Inte heller delvis automatiserad behandling
Arbetsdomstolen fastslog vidare att det inte var fråga om en delvis automatiserad behandling för personuppgifter som bolaget var personuppgiftsansvariga för. Ändamålet och behandlingen av uppgifterna i belastningsregistret och regleringen kring utlämnande av dessa är fastställt i författning och inte av bolaget. Det hade inte heller gjorts gällande att bolaget behandlat personuppgifterna för Polismyndighetens räkning. Bolagets behandling var enbart kopplad till öppnandet av kuvertet och läsningen av innehållet och således helt manuell.
GDPR inte tillämplig
Domstolens slutsats i detta mål blev att GDPR inte var tillämplig. Av den anledningen hade bolaget inte behandlat JW:s personuppgifter i strid med denna.
Inget förhandsavgörande från EU-domstolen
IF Metall hade begärt att AD skulle inhämta ett förhandsavgörande från EU-domstolen om domstolen övervägde att avslå ärendet med hänvisning till att arbetsgivarens agerande inte innebar en behandling av personuppgifter i dataskyddsförordningens mening. Enligt AD var det uppenbart att arbetsgivaren behandlat personuppgifter i dataskyddsförordningens mening, då läsning är behandling. Då det inte var på denna grund som begäran avslogs blev förbundets begäran om förhandsavgörande inte heller aktuell och avslogs av AD.
Lawbox kommentar
Domen tydliggör att arbetsgivare kan begära och läsa registerutdrag i förslutna kuvert utan att omfattas av GDPR, så länge hanteringen är strikt manuell och uppgifterna inte förs in i ett register.
Avgörandet understryker den centrala gränsdragningen i GDPR: manuell vs. automatiserad behandling. Hade utdraget hanterats digitalt, hade bedömningen kunnat bli en annan. Hade det istället för Polismyndighetens belastningsregister varit ett utdrag från ett register som bolaget på något sätt hade kontroll över hade bedömningen också kunnat bli en annan.
