La richiesta di una certificazione che attesti l’assenza di precedenti penali non comporta necessariamente, di per sé, un trattamento di dati personali relativi a condanne penali e reati ai sensi dell’articolo 10 del GDPR.

È quanto emerge dalla sentenza n. 359/2026 della Audiencia Nacional spagnola, che ha annullato la sanzione da 2 milioni di euro irrogata nel 2022 dall’Agencia Española de Protección de Datos ad Amazon Road Transport Spain nell’ambito del programma Amazon Flex.

Il procedimento riguardava la richiesta, rivolta ai conducenti interessati a svolgere attività di consegna attraverso il programma, di produrre una certificazione negativa dei precedenti penali. L’autorità spagnola aveva ritenuto che l’acquisizione di tale documento rientrasse nel perimetro dell’articolo 10 del GDPR e che il consenso dell’interessato non fosse sufficiente a legittimare il trattamento. La disposizione, infatti, assoggetta i dati relativi a condanne penali e reati a un regime particolarmente rigoroso, consentendone il trattamento soltanto alle condizioni previste dal diritto dell’Unione o nazionale e con adeguate garanzie.

La Audiencia Nacional ha invece concentrato l’attenzione sul contenuto effettivo dell’informazione acquisita. Secondo il giudice spagnolo, un documento che attesta esclusivamente che una persona non presenta precedenti penali non comunica informazioni relative a una specifica condanna, a un reato o a un’infrazione penale. L’informazione trattata riguarda, al contrario, proprio l’assenza di tali circostanze.

La distinzione assume particolare rilievo anche perché la controversia nasce da un procedimento sanzionatorio. In tale contesto, secondo la Corte, non sarebbe possibile estendere l’ambito dell’articolo 10 GDPR oltre il significato proprio delle categorie di dati espressamente considerate dalla disposizione.

La pronuncia non significa tuttavia che le imprese possano richiedere liberamente certificati del casellario giudiziale a candidati, dipendenti o collaboratori.

L’eventuale esclusione dell’articolo 10 non determina infatti, da sola, la liceità del trattamento. Restano applicabili gli altri presupposti e principi del GDPR, inclusi quelli di liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione, necessità e proporzionalità.

Occorre quindi valutare in concreto perché l’impresa intenda acquisire tale informazione, quale collegamento esista con l’attività che il soggetto dovrà svolgere e se la medesima finalità possa essere raggiunta attraverso modalità meno invasive. Nel caso di Amazon Flex, la Audiencia Nacional ha attribuito rilievo alle caratteristiche specifiche dell’attività di consegna. I conducenti possono infatti venire a conoscenza di dati relativi ai clienti, quali nomi, indirizzi e recapiti, e accedere direttamente alle loro abitazioni. Anche il contenuto o la natura dei beni consegnati può indirettamente fornire indicazioni sulle abitudini e sulla sfera privata dei destinatari. Alla luce di tali elementi, la verifica dell’assenza di precedenti è stata considerata coerente con l’esigenza di valutare l’affidabilità dei soggetti incaricati delle consegne e proporzionata rispetto ai rischi connessi all’attività.

La decisione presenta particolare interesse anche per i processi aziendali di selezione del personale, inserimento in azienda e verifica preventiva dell’affidabilità dei candidati. Il dato rilevante, ai fini della qualificazione giuridica del trattamento, non è infatti soltanto la provenienza del documento, ma soprattutto il contenuto dell’informazione che il titolare acquisisce e utilizza.

Allo stesso tempo, la pronuncia suggerisce cautela nell’interpretarne la portata. Non si tratta di una generale autorizzazione ai controlli sui precedenti penali, ma del riconoscimento della necessità di distinguere tra informazioni che rivelano condanne o reati e informazioni che attestano esclusivamente la loro assenza. Per le imprese, resta necessario verificare preventivamente la base giuridica del trattamento, la reale necessità del controllo rispetto alle mansioni interessate, la proporzionalità della verifica e l’eventuale disciplina nazionale applicabile.

La vicenda resta inoltre suscettibile di ulteriori sviluppi, essendo possibile un ricorso davanti al Tribunal Supremo spagnolo.