Imagen generada con IA.
Durante años, pedir un certificado negativo de antecedentes penales a un candidato antes de contratarlo ha sido una zona gris del cumplimiento normativo: ¿se trata de un dato especialmente protegido del artículo 10 del RGPD, como las condenas penales, o de un documento que puede solicitarse con normalidad? La Audiencia Nacional acaba de aportar un criterio que cambia las reglas del juego, al anular una sanción de 2.000.000 € que la Agencia Española de Protección de Datos (AEPD) había impuesto a Amazon Road Transport Spain por exigir este certificado a los conductores de su programa de reparto Amazon Flex.
El caso: la AEPD había impuesto 2.000.000€ por exigir certificado de antecedentes a repartidores
Amazon Flex es el programa mediante el cual Amazon recurre a conductores que reparten paquetería con su propia furgoneta. Para participar, la compañía exigía a los candidatos aportar un certificado negativo de antecedentes penales, documento que después trataban empresas externas encargadas de la preselección.
En febrero de 2022, la AEPD sancionó a Amazon con 2.000.000 € al considerar que ese certificado quedaba amparado por el artículo 10 del RGPD, que exige una habilitación legal específica para tratar datos relativos a condenas e infracciones penales, y que el consentimiento de los candidatos no era una base jurídica suficiente. Amazon recurrió la sanción ante la Audiencia Nacional defendiendo que un certificado negativo no informa sobre condenas, sino precisamente sobre su ausencia.
La sentencia 359/2026, de 8 de julio, de la Sección Primera de la Sala de lo Contencioso-Administrativo ha dado la razón a la compañía y ha anulado la resolución sancionadora.
Por qué la Audiencia Nacional considera la medida justificada y proporcionada
El núcleo del fallo está en una distinción que parece sencilla pero que tiene consecuencias prácticas importantes: no es lo mismo tratar datos sobre condenas penales que tratar un documento que certifica que esas condenas no existen. Partiendo del principio de intervención mínima propio del derecho sancionador, el tribunal interpreta el artículo 10 del RGPD de forma literal: regula los datos relativos a condenas e infracciones penales, no los datos relativos a su ausencia.
Como resume la propia sentencia, cuando una empresa obtiene un certificado negativo «no está tratando datos personales relativos a condenas o infracciones penales», sino información que aporta referencias favorables sobre la conducta de una persona, ajena por tanto a la protección reforzada de ese artículo.
La Audiencia Nacional distingue además este supuesto de otros precedentes que invocaba la AEPD, como el acceso directo y no autorizado de una Junta Electoral al Registro de Penados, o el caso de una empresa de seguridad cuyos vigilantes ya estaban sujetos a una habilitación administrativa previa que exigía carecer de antecedentes. Ninguno de los dos, señala el tribunal, es equiparable a que una empresa pida el certificado al propio interesado como requisito de contratación.
Eso sí, el fallo no da barra libre: aclara que el tratamiento de este documento debe superar después el filtro general del artículo 5 del RGPD —licitud, proporcionalidad y minimización—. En el caso de Amazon Flex, la Sala considera que la naturaleza del trabajo lo justifica, ya que los repartidores acceden a domicilios particulares y manejan direcciones, teléfonos y paquetes que pueden revelar información íntima sobre hábitos de consumo.
Cuándo SÍ es lícito pedir un certificado de antecedentes penales a un colaborador
La sentencia fija un criterio interpretativo útil para cualquier empresa que se plantee esta exigencia, pero deja claro que no es un cheque en blanco. Para que pedir un certificado negativo de antecedentes sea conforme al RGPD conviene tener en cuenta:
- Finalidad legítima y concreta: debe existir una razón de peso vinculada al puesto —acceso a domicilios, a menores, a información sensible, a dinero o a bienes de terceros— y no una exigencia genérica aplicada a cualquier perfil.
- Proporcionalidad: la medida tiene que ser idónea y necesaria para la finalidad perseguida, sin ir más allá de lo que esa finalidad requiere.
- Minimización: basta con el certificado negativo (la constancia de que no existen antecedentes); no procede solicitar el detalle de condenas o infracciones, que sí entraría en el artículo 10 del RGPD.
- Transparencia: el candidato debe conocer para qué se solicita el documento, cómo se va a tratar y durante cuánto tiempo se conservará.
- Base jurídica adecuada: conviene valorar si el consentimiento es la base más sólida o si existe una base alternativa más robusta, como el interés legítimo debidamente ponderado, especialmente en contextos con desequilibrio de poder como el laboral.
Lecciones para plataformas de reparto y empresas que trabajan con autónomos/riders
Para plataformas de delivery, empresas de logística y, en general, negocios que colaboran con autónomos o riders, el mensaje de la Audiencia Nacional es doble. Por un lado, confirma que exigir un certificado negativo de antecedentes penales no es, por sí mismo, una infracción del RGPD cuando existe una justificación razonable ligada a la actividad. Por otro, recuerda que esa justificación hay que poder acreditarla: documentar por qué se pide, a qué perfiles se aplica y qué controles existen sobre el tratamiento de ese documento.
La sentencia no es firme —sigue abierta la vía de casación ante el Tribunal Supremo— pero marca un criterio que conviene incorporar ya a los procesos de selección de colaboradores externos. En Dataibérica recomendamos a las empresas que trabajan con autónomos, repartidores o personal externo revisar sus procesos de verificación antes de la contratación, documentar la base jurídica y la finalidad de cada comprobación, y limitarse siempre al dato mínimo imprescindible: la ausencia de antecedentes, nunca el detalle de los mismos. Si quieres revisar el tuyo, contacta con nosotros.
