En arbetsgivare som tar emot och läser en arbetstagares belastningsregisterutdrag omfattas inte av GDPR

Sammanfattning

• Bakgrund. Bolaget begärde att en anställd under pågående anställning skulle lämna ett utdrag ur sitt belastningsregister. Arbetstagaren överlämnade utdraget i ett förslutet kuvert till sin chef, som öppnade och läste det. Av utdraget framgick att arbetstagaren hade dömts för brott. Utdraget förstördes därefter utan att uppgifterna fördes in i något register.
• Parternas ståndpunkter. Arbetstagarens fackförbund yrkade att bolaget skulle betala 60 000 kr i skadestånd för brott mot artikel 10 i GDPR, som reglerar behandling av uppgifter om bland annat brottmålsdomar. Bolaget bestred detta och menade att hanteringen var helt manuell och därmed inte utgjorde sådan behandling som omfattas av förordningen.
• Domskäl och utfall. Arbetsdomstolen konstaterade att bolagets hantering, dvs. att ta emot och läsa ett fysiskt dokument utan att föra in uppgifterna i något register, utgjorde en manuell (icke-automatisk) behandling som inte omfattas av GDPR:s tillämpningsområde. Att uppgifterna ursprungligen samlats in från ett register hos Polismyndigheten förändrade inte bedömningen. En ledamot i domstolen var dock skiljaktig och ansåg att förhandsavgörande borde ha inhämtats. 
  
  

Kommentar

Domen klargör att en arbetsgivare som enbart tar emot, läser och därefter förstör ett fysiskt belastningsregisterutdrag inte utför sådan behandling av personuppgifter som omfattas av GDPR. Här är det viktigt att notera att bolaget i detta fall inte heller sparade informationen som framgick av belastningsregisterutdraget på något sätt. Frågan om registerkontroller inför och under anställning är dock föremål för lagstiftningsdiskussion, vilket innebär att rättsläget framöver kan komma att förändras. Vi bevakar frågan och kommer att hålla er uppdaterade.