El pasado 11 de febrero de 2022, la AEPD impuso a Amazon Road Transport Spain, S.L. (“Amazon Road”) en su procedimiento sancionador PS/00267/2020 (el “Procedimiento”), una multa de 2.000.000 euros por infringir el principio de licitud del tratamiento (art. 6.1 del RGPD) al tratar datos personales de naturaleza penal (art. 10 del RGPD y art. 10 de la LOPDGDD).

Amazon Road pertenece al grupo Amazon y proporciona servicios de logística y distribución a dicho grupo.

La reclamación fue presentada por la Unión General de Trabajadores ante la AEPD. En síntesis, Amazon Road, en su proceso para la contratación de transportistas autónomos como proveedores de servicios, solicitaba a los candidatos entre otra documentación, un certificado de ausencia de antecedentes penales.

¿Constituye la solicitud de un certificado de penales un tratamiento de datos de naturaleza penal regulado por el artículo 10 del RGPD y el artículo 10 de la LOPDGDD?

Amazon Road en su defensa alegó que no. Para la entidad: “un certificado de antecedentes penales que ponga de manifiesto que una persona concreta carece de condenas penales no recoge de manera estricta ningún dato relacionado con condenas e infracciones penales”.

Sin embargo la AEPD desestima este argumento al considerar que “La información contenida en el certificado de antecedentes penales objeto del presente procedimiento constituye un dato personal (…), tanto si se trata de un certificado que refiere la existencia de dichos antecedentes como si pone de manifiesto su ausencia, y su solicitud supone un tratamiento de datos. (…) la información que se está tratando es el dato relativo a las condenas penales -lo que incluye la ausencia de estas- vinculado con una persona física concreta”.

La AEPD concluye que “Admitir la postura mantenida por Amazon Road al respecto equivaldría a admitir que cualquier persona o entidad pudieran crear un registro de personas sin antecedentes penales, a pesar de que se trata de una materia reservada a las autoridades públicas”.

La APED también hace referencia a la Sentencia de la Sala de lo Social de la Audiencia Nacional 14/2020, de 10 de febrero de 2020, en que se señala que “incluso la solicitud de una declaración responsable de que se carece de antecedentes penales ha de ser considerada como un tratamiento de datos relativos a condenas penales”.

¿Existe alguna habilitación legal que permita a Amazon Road tratar datos personales de naturaleza penal?

Los artículos 10 del RGPD y 10 de la LOPDGDD regulan y limitan el tratamiento de los datos personales de naturaleza penal.

Dicho tratamiento en general “sólo podrá llevarse a cabo bajo la supervisión de las autoridades públicas” (art. 10 del RGPD) o “solo podrá llevarse a cabo cuando se encuentre amparado en una norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal” (art. 10 de la LOPDGDD).

La AEPD aclara que: “En relación con este punto, no existe una norma del Derecho de la Unión o una norma legal de nuestro ordenamiento que permita llevar a cabo el tratamiento de datos de antecedentes penales pretendido por la entidad reclamada”.

La AEPD concluye que “A falta de habilitación legal, no cabe, en este caso, acudir a otras bases jurídicas para legitimar el tratamiento de datos personales relativos a condenas e infracciones penales”.

Infracción

Según el Procedimiento, Amazon Road infringió el artículo 6.1 del RGPD en relación con el artículo 10 del RGPD y el artículo 10 de la LOPDGDD.

Conclusión

Tras la lectura del Procedimiento, nos gustaría recalcar los siguientes dos puntos:

a) Solicitar un certificado de ausencia de antecedentes penales constituye un tratamiento de datos personales de naturaleza penal, aunque el certificado sea negativo.

b) En la actualidad no existe una norma del Derecho de la Unión o una norma legal de nuestro ordenamiento que habilite a una empresa a llevar a cabo un tratamiento de datos de naturaleza penal para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales.

La multa del presente Procedimiento (2 millones de euros) se situaría en el puesto numero 7 de nuestro Ranking de las 10 multas más altas impuestas por la AEPD hasta la fecha por infracción del RGPD.

Si deseas estar informado de las sanciones más relevantes por infracción del RGPD, tanto en España como en el resto de Europa, por favor no dudes en suscribirte a nuestro blog.