Behandling av belastningsregisterutdrag i strid med GDPR, tvist i Arbetsdomstolen
Fråga om en arbetsgivare, som inte var bunden av något kollektivavtal, brutit mot 19 a § MBL och därmed var skadeståndsskyldigt i förhållande till en arbetstagarorganisation.
Efter det att en arbetstagare (”JW”) påbörjat sin anställning hos ett bolag begärde bolaget att han skulle lämna ett utdrag från belastningsregistret. På arbetsgivarens begäran överlämnade JW ett belastningsregisterutdrag i ett förslutet kuvert till arbetsgivaren, som denne tog emot och läste. Av utdraget framgick att JW dömts för brott.
Fråga i målet om arbetsgivarens agerande omfattats av, och varit i strid med, dataskyddsförordningen (”GDPR”).
Förbundet som företrädde JW yrkade skadestånd om 60 000 kr till JW.
Arbetsdomstolen redogjorde bl.a. för följande rättsliga utgångspunkter i målet.
Av artikel 2.1 i GDPR framgår att GDPR ska tillämpas på sådan behandling av personuppgifter, som helt eller delvis företas på automatisk väg, samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.
Enligt GDPR definieras ”personuppgifter” som varje upplysning som avser en identifierad eller identifierbar fysisk person.
Med ”behandling” avses enligt GDPR en åtgärd eller en kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.
I det aktuella målet gjorde Arbetsdomstolen sedan följande bedömning.
Det som förbundet hade lagt bolaget till last var att JW:s chef tog emot ett utdrag från belastningsregistret från honom som låg i ett förslutet kuvert och läste registerutdraget. Arbetsdomstolen anförde att det således hade varit fråga om en sådan manuell (icke-automatisk) behandling av personuppgifter som endast omfattas av GDPR:s tillämpningsområde, om uppgifterna ingår i eller kommer att ingå i ett register. Eftersom förbundet inte ens hade gjort gällande att bolaget hade för avsikt att låta personuppgifterna i belastningsregistret ingå i ett register, fann Arbetsdomstolen att bolagets hantering av belastningsregisterutdraget – och de personuppgifter som detta innehöll – därmed inte utgjort en sådan icke-automatiserad behandling i register som avses i artikel 2.1 i GDPR.
Detta gällde trots att personuppgifterna ursprungligen hade hämtats från ett register, vilket Polismyndigheten var personuppgiftsansvarig för. Det ansågs inte heller vara fråga om en sådan delvis automatiserad behandling av personuppgifter som bolaget var personuppgiftsansvarigt för. Arbetsdomstolen framhöll att ändamålen och medlen för behandlingen av personuppgifterna i belastningsregistret och utlämnandet av dem därifrån hade fastställts i författning och inte av bolaget. Vidare framhöll Arbetsdomstolen att det inte hade gjorts gällande att bolaget behandlat personuppgifterna för Polismyndighetens räkning och därmed varit personuppgiftsbiträde.
Att uppgifterna, som låg i kuvertet som JW lämnade över till bolaget, var inhämtade av honom från belastningsregistret förändrade inte Arbetsdomstolens bedömning, eftersom det inte hade betydelse för bolagets hantering.
Arbetsdomstolens slutsats var därmed att bolagets hantering av personuppgifterna i belastningsregisterutdraget inte omfattades av GDPR:s tillämpningsområde; bolaget hade således inte heller behandlat personuppgifter i strid med GDPR.
För det fall att Arbetsdomstolen skulle överväga att avslå förbundets talan med hänvisning till att arbetsgivarens agerande i målet inte utgör en behandling av personuppgifter i GDPR:s mening hade förbundet yrkat att Arbetsdomstolen skulle inhämta ett förhandsavgörande från EU-domstolen gällande denna fråga.
Enligt Arbetsdomstolen var det uppenbart att bolagets hantering av personuppgifterna var en behandling enligt GDPR:s definition, eftersom redan läsning är en behandling. Arbetsdomstolen avslog dock inte förbundets talan med hänvisning till att arbetsgivarens agerande inte utgjorde en behandling av personuppgifter i GDPR:s mening; enligt Arbetsdomstolen var förbundets yrkande om förhandsavgörande därmed inte aktuellt – utan skulle avslås. Enligt Arbetsdomstolens mening fanns det inte heller någon sådan EU-rättslig oklarhet som innebar att ett förhandsavgörande av EU-domstolen var nödvändigt för att döma i saken.
Som förlorande part ålades förbundet att betala arbetsgivarparternas rättegångskostnader med 200 000 kr.
En av Arbetsdomstolens ledamöter var skiljaktig i frågan om inhämtande av förhandsavgörande från EU-domstolen. Till skillnad mot majoriteten ansåg hon att Arbetsdomstolen skulle bifalla förbundets yrkande om att inhämta förhandsavgörande från EU-domstolen.