När är lagring av brottsmisstanke i personalakt tillåten enligt dataskyddsförordningen?

• Att lagra en uppgift i personalakten om att en arbetstagare varit misstänkt för brott är databehandling i dataskyddsförordningens (2016/679) mening. För en polis kan denna lagring dessutom vara motiverad för att uppfylla en rättslig förpliktelse som åvilar arbetsgivaren. Det följer av en dom från EU-domstolen.

I tvisten i den nationella domstolen hade en polis häktats som misstänkt för rån. Polisen kroppsvisiterades, fick lämna fingeravtryck och utsattes för husrannsakan. Efter ett dygn släpptes han på fri fot eftersom det saknades bevisning som band honom till rånet och förundersökningen lades ner. I hans personalakt noterades emellertid att han varit misstänkt för brott. När han sedermera ansökte om befordran nekades denna med hänvisning till noteringen om brottsmisstanken. Polisen begärde att arbetsgivaren skulle radera uppgiften och krävde skadestånd för utebliven befordran till följd av den allvarliga kränkning som brottsmisstanken och häktningen utgjort. Distriktsdomstolen i Sofia begärde förhandsavgörande av EU-domstolen och ställde ett stort antal frågor om tolkningen av dataskyddsförordningen (GDPR).

En grundläggande fråga är huruvida GDPR eller direktivet 2016/680 om personuppgifter i brottsbekämpning är tillämpligt. Här svarar domstolen att direktivet är tillämpligt på den inledande brottsutredningen, medan GDPR är tillämplig när en behörig myndighet enligt direktivet sedan lagrar personuppgifter om brottsmisstanken i en personalakt.

EU-domstolen tolkar GDPR artikel 6 i ljuset av EU-stadgan om de grundläggande rättigheterna (artikel 52.1). Att, i syfte att hindra en polis karriär och kontrollera att hen följer de regler som gäller för anställningen, lagra en uppgift om brottsmisstankar i en personalakt när förundersökningen lagts ned och den berörde varken åtalats eller lagförts, kan anses vara motiverat för att uppfylla en rättslig förpliktelse som åvilar arbetsgivaren enligt nationell rätt. Det krävs dock att den rättsliga grunden är tydlig och precis, att dess tillämpning är förutsebar och att den aktuella rättsliga förpliktelsen svarar mot ett mål av allmänt intresse och står i proportion till detta mål.

EU-domstolen resonerar utförligt och detaljerat om vad som krävs för att den här typen av lagring ska vara tillåten – och det kan den alltså vara, om den uppfyller kriterierna i EU-stadgans artikel 52.1.

EU-domstolen pekar dock på att noteringar om brottsmisstankar som inte kunnat styrkas och där förundersökning lagts ner och inget disciplinärt förfarande inletts svårligen kan vara ägnat att uppfylla ett legitimt mål.

Om den nationella domstolen ändå skulle komma till slutsatsen att kravet om legitimt mål är uppfyllt ska den ta ställning till om lagringen är proportionerlig i förhållande till detta mål.

EU-domstolen framhåller vidare att om bedömningen blir att legitimt mål saknas eller att proportionalitetsbedömningen slutar i att personuppgiftshanteringen ska anses otillåten ska uppgifterna raderas från personalakten utan onödigt dröjsmål. Rätten att bli bortglömd enligt artikel 17.1 blir alltså tillämplig.

Domen visar att EU:s dataskyddsregler är brett tillämpliga, svårtolkade och avgörande för arbetsgivares hantering av personuppgifter om de anställda. Om en viss hantering är tillåten eller inte är ofta avhängigt en komplicerad proportionalitetsbedömning som det kan vara svårt att förutse hur en domstol sist och slutligen uppfattar.

Niklas Selberg, professor
Linnéuniversitetet

C-312/24] [Darashev] CL mot Prokuratura na Republika Bulgaria, dom den 4 juni 2026