Chiedere a un candidato un certificato che attesti l’assenza di precedenti penali non significa necessariamente trattare dati relativi a condanne e reati ai sensi dell’articolo 10 del GDPR.

È il principio al centro della sentenza n. 359/2026 dell’8 luglio, con cui l’Audiencia Nacional spagnola ha annullato la sanzione da 2 milioni di euro inflitta nel 2022 dall’Agencia Española de Protección de Datos (AEPD) ad Amazon Road Transport Spain.

La vicenda riguarda Amazon Flex, il programma attraverso il quale conducenti dotati di un proprio veicolo effettuano consegne per Amazon. Ai candidati veniva richiesto di presentare un certificato negativo di precedenti penali.

L’AEPD aveva contestato questa pratica ritenendo che il documento rientrasse nell’ambito dell’articolo 10 del GDPR, che prevede una disciplina particolarmente rigorosa per il trattamento dei dati personali relativi a condanne penali e reati. Secondo l’Autorità spagnola, il semplice consenso del candidato non era quindi sufficiente a legittimare il trattamento.

Amazon ha impugnato la sanzione sostenendo una distinzione apparentemente semplice, ma decisiva per i giudici: il certificato richiesto non attestava l’esistenza di condanne penali, ma la loro assenza.

L’Audiencia Nacional ha accolto questa impostazione. Secondo la Corte, l’articolo 10 del GDPR riguarda espressamente i dati relativi a condanne penali e reati e non può essere automaticamente esteso, soprattutto nell’ambito di un procedimento sanzionatorio, a un’informazione che attesta invece l’assenza di precedenti.

In sostanza, quando Amazon acquisiva il certificato negativo non veniva a conoscenza di una specifica condanna o di un reato commesso dal candidato. L’informazione acquisita attestava esattamente il contrario: l’assenza di precedenti penali.

La distinzione è importante, ma non significa che qualsiasi datore di lavoro possa chiedere liberamente un certificato penale a candidati o collaboratori.

L’esclusione dell’articolo 10 non rende infatti automaticamente lecito il trattamento. Restano applicabili gli altri principi e le altre condizioni previste dal GDPR, a partire da liceità, correttezza, trasparenza, limitazione della finalità e minimizzazione dei dati.

Occorre quindi valutare concretamente perché il datore di lavoro abbia bisogno di quell’informazione, quale collegamento esista con le mansioni da svolgere e se la richiesta sia realmente necessaria e proporzionata rispetto alla finalità perseguita.

Ed è proprio sulle caratteristiche dell’attività svolta che la Corte si è soffermata nel caso Amazon Flex.

Gli autisti effettuano consegne direttamente presso le abitazioni dei clienti e possono entrare in possesso di informazioni personali come nomi, indirizzi e numeri di telefono. Anche la natura dei beni consegnati può, in determinate circostanze, fornire indirettamente informazioni sulle abitudini e sulla vita privata dei destinatari.

In questo specifico contesto, l’Audiencia Nacional ha ritenuto proporzionata la richiesta di una certificazione negativa rispetto alla finalità di verificare l’affidabilità dei soggetti incaricati delle consegne.

La decisione introduce quindi una distinzione interessante per la protezione dei dati: un’informazione che attesta l’assenza di precedenti penali non è necessariamente equiparabile a un dato che rivela una condanna o un reato.

Ma è una distinzione che deve essere letta con cautela.

La sentenza non introduce una generale autorizzazione per le imprese a effettuare controlli sui precedenti penali. Ogni trattamento deve comunque essere valutato alla luce della finalità perseguita, della sua necessità, della proporzionalità e della normativa nazionale eventualmente applicabile.

Il caso Amazon mostra quindi quanto sia importante, nell’applicazione del GDPR, guardare non soltanto al documento utilizzato, ma anche all’informazione effettivamente acquisita e al modo in cui viene utilizzata.

Ed è proprio su questo punto che la decisione dell’Audiencia Nacional potrebbe avere particolare interesse per le aziende: non basta chiedersi da dove provenga un dato. Occorre capire cosa quel dato rivela realmente, perché viene raccolto e se sia davvero necessario raccoglierlo.

La vicenda, inoltre, potrebbe non essere definitivamente chiusa: la decisione risulta suscettibile di ricorso davanti al Tribunal Supremo spagnolo.