Artikel Striden om GDPR och ID06-loggen – EU-domstolen klargör rättsläget

Vi har sedan december 2020 skrivit om hur GDPR och de svenska editionsreglerna (det vill säga reglerna om när en part i en rättegång har rätt att ta del av handlingar som tillhör någon annan) samverkar när det gäller personuppgifter lagrade i en ID06-logg. Ett antal frågor om förhållandet mellan regelverken skickades från Högsta domstolen till EU-domstolen, som nu har besvarat dem. Svaren kommer sannolikt att påverka framtida praxis på området.

Vad har hänt?

Historien började med en vanlig entreprenadtvist (Attunda tingsrätts mål T 6195-18) mellan en byggherre och en totalentreprenör enligt ABT 06. Entreprenören hade begärt ersättning för ÄTA-arbeten medan byggherren å sin sida bland annat hade ifrågasatt om entreprenören verkligen hade arbetat den tid för vilken ersättning krävdes.

Byggherren var skyldig att enligt 39 kap. skatteförfarandelagen föra en så kallad elektronisk personalliggare för entreprenaden. Skyldigheten innebär att man ska se till att registrera all tid som anställda vistas på arbetsplatsen. Skatteförfarandelagen ger dock byggherrar en möjlighet att genom avtal överlåta sina skyldigheter för personalliggaren till en entreprenör, en möjlighet som många byggherrar använder sig av för att slippa detta administrativa moment.

Byggherren hade använt sig av denna möjlighet i det aktuella projektet och det valda personalliggarsystemet var ID06. Enligt parternas avtal, som hänvisade till ID06:s allmänna villkor, hade byggherren på grund av överlåtelsen ingen uttrycklig rätt att ta del av personalliggaren. Dock ger den svenska processuella lagstiftningen (det vill säga de regler som styr hur rättegångar går till) personer rätt att från andra få ut dokument som kan få betydelse som bevis i en tvist. Detta görs genom att man vänder sig till domstolen och begär så kallad edition. Denna rättighet gäller oavsett om man har avtal med personen som har dokumentet eller inte.

I målet vände sig därför byggherren till Attunda tingsrätt och begärde att den leverantör som entreprenören hade anlitat för att föra den elektroniska personalliggaren skulle lämna ut all information för en viss period, i första hand i omaskerat skick, i andra hand med maskering av personnummer och i sista hand i anonymiserad form. Entreprenören bestred begäran och hävdade att detta skulle strida mot GDPR eftersom personuppgifterna samlats in i syfte att underlätta skattekontroll och inte för att kontrollera fakturor. Byggherren invände mot detta och argumenterade för att den processuella lagstiftningen i sig utgör ett sådant lagstöd som gör en sådan hantering av personuppgifter förenlig med GDPR.

Frågan om huruvida ID06-loggen ska lämnas ut har därefter gått till Högsta domstolen, vilken i mål Ö 1750-20 den 15 april 2021 beslutade att begära ett förhandsavgörande från EU-domstolen. EU-domstolens roll är att bestämma hur EU-rätten, inklusive GDPR, ska tolkas och tillämpas. Ett förhandsavgörande är ett bindande beslut om tolkningen av EU-rätten som EU-domstolen utfärdar på begäran av en nationell domstol.

De två frågor som Högsta domstolen valde att ställa kan sammanfattas på följande sätt:

• Ställer GDPR krav på editionsreglerna i den svenska processrätten?
• Om svaret på fråga 1 är ja, ska då den svenska domstolen i sitt beslut i editionsfrågan ta hänsyn till de registrerades (det vill säga de enskilda arbetstagarnas) intresse? Finns det några särskilda krav i EU-rätten på hur en sådan bedömning ska gå till?

Den 2 mars 2023 meddelade EU-domstolen dom i mål C-268/21 och besvarade Högsta domstolens frågor.

Vad svarade EU-domstolen?

I domen slog EU-domstolen fast att GDPR är tillämplig på den svenska editionsprocessen. Det slogs också fast att de svenska domstolarna i varje enskilt fall måste göra en avvägning mellan intresset hos den part som vill få ut uppgifterna för att kunna föra sin talan och intresset hos de registrerade, vilket i princip annars inte görs enligt de svenska reglerna. Bedömningen måste göras i varje enskilt fall med beaktande av vilken typ av mål det rör och med hänsyn till principerna om proportionalitet och uppgiftsminimering.

Vad händer nu?

EU-domstolens avgörande handlade bara om förhållandet mellan de svenska editionsreglerna och GDPR på ett principiellt plan, domstolen prövade inte om den aktuella byggherren hade rätt att få ut ID06-loggen. Det är nu upp till Högsta domstolen att meddela ett beslut i det konkreta målet. Hur Högsta domstolen väljer att tillämpa EU-domstolens tolkning av GDPR kommer sannolikt att bli vägledande för de svenska domstolarna när de ska döma i framtida editionsfrågor. Högsta domstolens beslut och resonemang kommer därför att bli av stort intresse när domstolspraxis kring de svenska editionsreglerna ska utvecklas i ljuset av GDPR och EU-domstolens avgörande. I förlängningen kan detta påverka inte bara hanteringen av ID06-loggen, utan de svenska editionsreglerna i stort.

Vi följer utvecklingen och inväntar Högsta domstolens dom.