La licitud de exigir los certificados de antecedentes penales para un puesto de trabajo

I. Una pregunta que parece de broma, pero no lo es

¿Es lo mismo un certificado que dice "no tiene antecedentes" que uno que dice "sí tiene"? La pregunta suena a chiste de abogados, pero ha estado en el centro de un pleito con mayúsculas. La Agencia Española de Protección de Datos y Amazon Road Transport Spain se han enzarzado en un litigio que ha terminado con la Audiencia Nacional corrigiendo a la Agencia. Y la multa, ojo, era de dos millones de euros. No es una cuestión menor, porque lo que está en juego es si las empresas pueden pedir este certificado a sus candidatos sin que les caiga una sanción.

El asunto nace con Amazon Flex, un servicio de reparto donde los conductores usan su propia furgoneta. La empresa pidió a los aspirantes un certificado negativo de antecedentes penales. Parece razonable, porque estos repartidores entran en casas, manejan datos de clientes, saben direcciones y teléfonos. Pero a un candidato no le pareció bien, y denunció. La Agencia Española de Protección de Datos, en febrero de 2022, dijo que eso no se podía hacer. Que los datos penales solo se pueden tratar si hay una ley que lo autorice. El consentimiento del candidato, según la Agencia, no valía. Multa: dos millones.

Amazon no se quedó de brazos cruzados. Recurrió, y la Audiencia Nacional le ha dado la razón. Y no por un tecnicismo menor, sino por una distinción que, una vez que la lees, parece de cajón.

II. La Audiencia Nacional dice: "no es lo mismo, y la Agencia se ha equivocado"

La Sala de lo Contencioso-Administrativo de la Audiencia Nacional, con su Sentencia 359/2026, de 8 de julio, ha sido clara. Los magistrados han señalado que la Agencia mezcló dos cosas que son distintas. Por un lado, acceder a un registro de antecedentes penales, donde sí hay datos especialmente protegidos. Por otro, recibir un certificado negativo, que no contiene condenas, sino la ausencia de ellas.

El tribunal razona que el artículo 10 del Reglamento General de Protección de Datos protege los datos sobre condenas e infracciones penales. Es decir, los que dicen que alguien ha cometido un delito. Pero un certificado negativo no contiene esos datos. Contiene justo lo contrario. Cuando Amazon recibe un certificado negativo, no está tratando datos sensibles. Está tratando un dato que acredita que la persona no tiene condenas. Y eso, según el tribunal, no es un dato especialmente protegido.

¿Y por qué es tan importante esta distinción? Porque en derecho sancionador rige la interpretación estricta. No puedes ampliar una norma más allá de lo que dice. Y el artículo 10 del Reglamento General de Protección de Datos habla de "datos relativos a condenas e infracciones penales". No habla de "datos relativos a la ausencia de condenas". La Agencia, al equiparar ambas cosas, hizo una interpretación que el tribunal considera incorrecta. Y no se puede sancionar a una empresa por tratar un dato que la norma no protege.

III. La finalidad legítima: el argumento que la Agencia tampoco vio

La Audiencia Nacional no se queda en la cuestión técnica. Va más allá, y examina si el tratamiento supera el juicio de licitud del artículo 5 del Reglamento General de Protección de Datos. Y su conclusión es clara: sí, lo supera. Amazon tenía una finalidad legítima para pedir ese certificado, vinculada a la seguridad del servicio.

¿Y por qué es legítima? Los magistrados destacan algo que a mí me parece de sentido común: estos repartidores entran en casas, manejan datos personales de los clientes y transportan paquetes que pueden revelar aspectos íntimos de la vida de las personas. Pedir un certificado negativo en ese contexto no es desproporcionado. Es, más bien, una medida razonable para proteger a los clientes.

Eso sí, el tribunal no dice que cualquier empresa pueda pedir certificados en cualquier circunstancia. Cada caso es diferente. Pero en el de Amazon Flex, la medida es proporcionada y persigue un fin legítimo. Esa es la clave.

IV. Costas: el gesto que demuestra que el caso era complicado

Hay un detalle de la sentencia que no debería pasar desapercibido. El tribunal no ha impuesto las costas a ninguna de las partes. ¿Por qué? Porque aprecia "la complejidad jurídica del asunto y la existencia de resoluciones judiciales que sostenían un criterio distinto". Este es un reconocimiento implícito de que la cuestión no era sencilla. La Agencia no actuó de mala fe. Su interpretación, aunque corregida, era defendible.

Esta decisión es relevante porque evita que la sentencia se vea como un castigo a la Agencia. El tribunal reconoce que había argumentos en ambos sentidos. Y al no imponer costas, envía un mensaje de que el desacuerdo jurídico no es sinónimo de mala praxis. En protección de datos, hay espacio para la discrepancia razonable.

Pero el asunto no está completamente cerrado. La sentencia sienta un precedente. Y deja claro que el criterio de la Agencia, que era restrictivo en la interpretación del artículo 10, deberá ajustarse a esta nueva doctrina. La pregunta es si lo hará.

V. Lo que cambia para las empresas y para los candidatos

Esta sentencia tiene consecuencias prácticas. Para las empresas, significa que pueden exigir certificados negativos de antecedentes penales si existe una finalidad legítima vinculada al puesto. No hace falta una ley específica que lo autorice, como sostenía la Agencia. Basta con que el tratamiento sea proporcionado y tenga un objetivo justificado.

Para los candidatos, significa que, en ciertos puestos —especialmente los que implican contacto con personas vulnerables o acceso a datos sensibles—, la exigencia del certificado es lícita. No es una invasión de su intimidad. Es una medida de seguridad. Eso sí, el certificado solo se puede pedir cuando sea proporcional. No vale usarlo como excusa para cualquier trabajo.

También hay que recordar la diferencia entre certificado negativo y acceso al registro de antecedentes. Lo primero no implica datos especialmente protegidos. Lo segundo sí. Por eso, una empresa no puede consultar el registro directamente sin una habilitación legal. Pero sí puede pedir al candidato que presente el certificado, porque no contiene condenas, sino la ausencia de ellas.

VI. Reflexión final: la interpretación estricta, una garantía para todos

El caso de Amazon Road Transport Spain nos recuerda que, en protección de datos, la interpretación estricta de las normas no es un capricho. La Agencia Española de Protección de Datos equiparó el certificado negativo con el tratamiento de datos sobre condenas. La Audiencia Nacional ha corregido esa interpretación. No porque la Agencia actuara mal, sino porque el texto del artículo 10 del Reglamento General de Protección de Datos no ampara esa equiparación.

La sentencia es una victoria para la seguridad jurídica. Las empresas saben ahora que pueden pedir estos certificados en determinadas circunstancias sin temor a ser sancionadas. Y los ciudadanos saben que no es una vulneración arbitraria de su intimidad, sino una medida razonable vinculada a la seguridad.

La duda es si la Agencia ajustará su criterio. A veces tarda en hacerlo. Pero el camino ya está marcado. Y las empresas, al menos en este punto, tienen una certeza que antes no tenían.