Ett utdrag ur belastningsregistret i ett förslutet kuvert, läst och sedan förstört. Arbetsdomstolen har slagit fast att den hanteringen inte var behandling av personuppgifter enligt GDPR. Men domen är ingen frisedel – för de flesta tjänster har arbetsgivaren fortfarande ingen rätt att kräva ett registerutdrag.
Frågan om registerutdrag dyker upp i allt fler rekryteringar. Vissa arbetsgivare är skyldiga att begära dem, andra vill gärna göra det för säkerhets skull. Ett avgörande från Arbetsdomstolen i år, AD 2026 nr 27, ger nu ett tydligare besked om var gränsen går mellan att ta del av uppgifter och att behandla dem – och påminner samtidigt om varför HR behöver ha ordning på sina rutiner.
Vad domen handlade om
Enligt advokatbyrån Magnussons sammanfattning begärde en arbetsgivare att en arbetstagare skulle lämna över ett utdrag ur belastningsregistret i ett förslutet kuvert. Arbetsgivaren tog emot utdraget, läste det och förstörde det sedan, utan att föra in eller spara några uppgifter. Frågan var om detta var en behandling av personuppgifter i GDPR:s mening.
Arbetsdomstolen kom fram till att det inte var det. Eftersom uppgifterna aldrig fördes in i något system eller register, och inte sparades, ansågs hanteringen inte omfattas av dataskyddsförordningen. Magnusson poängterar dock att domen inte innebär att arbetsgivare generellt kan begära utdrag utan vidare: både syftet med kontrollen och hur informationen hanteras måste bedömas i varje enskilt fall. Läs sammanfattningen i Magnussons nyhetsbrev om arbetsrätt.
Att läsa är inte detsamma som att registrera
Det praktiska budskapet är att det är skillnad mellan att ta del av information och att behandla den. Ett papper som läses och förstörs är något annat än en inskannad kopia i rekryteringssystemet, en anteckning i personalakten eller ett mejl som vidarebefordras till en kollega. Så fort uppgifterna hamnar någonstans där de kan sökas fram, sparas eller spridas förändras läget.
För HR innebär det att rutinen kring själva hanteringen är minst lika viktig som beslutet att begära ett utdrag. Vem tar emot det? Var förvaras det under den tid det behövs? Hur säkerställs att inget kopieras eller fotograferas? Och hur dokumenteras att kontrollen gjorts, utan att innehållet följer med?
Rätten att kräva utdrag är begränsad
Den kanske viktigaste påminnelsen är att domen inte utvidgar arbetsgivarens rätt att be om registerutdrag. Enligt Polisens information till arbetssökande finns det särskilda regler för bland annat skolväsendet, LSS-verksamhet för barn, annan verksamhet för barn, HVB-hem, försäkringsdistribution, arbete med äldre och vuxna med funktionsnedsättning samt ledande befattningar inom kommun. Ska någon arbeta inom en annan yrkeskategori har arbetsgivaren enligt Polisen inte rätt att kräva att personen visar upp ett utdrag – men den sökande kan själv välja att göra det.
I de verksamheter där kontroll är reglerad finns också regler för hur den ska gå till. Enligt lagen (2013:852) om registerkontroll av personer som ska arbeta med barn får utdraget inte vara äldre än sex månader, och kontrollen får inte dokumenteras på annat sätt än genom en anteckning om att utdraget har visats upp. För andra typer av utdrag kan reglerna se annorlunda ut, så det gäller att veta vilken lag som styr just den tjänsten.
Fem frågor att stämma av i rekryteringsprocessen
Polisens information till arbetsgivare ger en bra grund för en intern genomgång. Några frågor som är värda att ställa:
- Har vi stöd i lag för att begära utdrag för just den här tjänsten? Om inte – varför vill vi ha det, och hur motiverar vi det?
- Begär vi utdrag vid rätt tidpunkt? Enligt Polisen ska endast personer som man har valt att anställa eller anlita visa utdrag, inte alla sökande.
- Kontrollerar vi digitala utdrag? Polisen anger att digitala registerutdrag alltid ska kontrolleras via myndighetens e-tjänst för äkthetskontroll.
- Vet alla inblandade vad som får sparas? Rekryterande chefer, HR och eventuella rekryteringspartners behöver samma instruktion.
- Ser vi utdraget som en del av helheten? Polisen påpekar att utdraget bara är en del av lämplighetsbedömningen och att en ren historik inte ersätter referenser och övrig prövning.
Förtroende i båda riktningar
Registerkontroller handlar ytterst om att skydda dem verksamheten finns till för, till exempel barn och sårbara personer. Samtidigt är uppgifter om brott bland de mest känsliga som finns om en människa. En arbetsgivare som är tydlig med varför en kontroll görs, vad som händer med uppgifterna och vad som inte sparas visar respekt för kandidaten redan innan anställningen börjat.
AD 2026 nr 27 ger ett visst andrum för arbetsgivare som redan arbetar strikt: att läsa och förstöra ett utdrag behöver inte utlösa hela GDPR-apparaten. Men den som tolkar domen som ett grönt ljus att börja samla in registerutdrag bredare riskerar att hamna fel. Det säkraste är fortsatt att begära utdrag bara när det finns stöd för det – och att hantera dem så att så lite som möjligt lämnar spår.
