El 8 de julio de 2026, la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional dictó la sentencia 359/2026 (ECLI:ES:AN:2026:2996), por la que estima el recurso contencioso-administrativo 844/2022 interpuesto por Amazon Road Transport Spain, S.L. y anula la resolución de la directora de la Agencia Española de Protección de Datos que había puesto fin al expediente sancionador PS/00267/2020 con una multa de dos millones de euros.
La resolución de la AEPD anulada apreciaba una infracción muy grave del artículo 6.1 del RGPD en relación con su artículo 10, y con los artículos 10 y 71 de la LOPDGDD, por exigir a los candidatos a participar en el programa Amazon Flex un certificado negativo de antecedentes penales. La sentencia sostiene que un documento que acredita la inexistencia de condenas no es un dato relativo a condenas e infracciones penales y que, en consecuencia, el consentimiento de los candidatos no estaba viciado por la prohibición del artículo 10. El pronunciamiento se aparta del criterio que la Sala de lo Social de la propia Audiencia Nacional y el Tribunal Supremo habían sostenido sobre la misma clase de documento, y lo hace de forma consciente.
El supuesto de hecho y el itinerario procesal
El 28 de noviembre de 2019, la Unión General de Trabajadores presentó reclamación ante la Agencia Española de Protección de Datos contra Amazon Road Transport Spain, S.L. El objeto era el procedimiento de incorporación al programa de reparto Amazon Flex, en el que los transportistas autónomos aportan su propio vehículo y contratan con la compañía como proveedores de servicios. Entre la documentación exigida a los candidatos figuraba un certificado de ausencia de antecedentes penales. La reclamación añadía otros reproches, relativos al consentimiento solicitado para transferencias internacionales a entidades vinculadas fuera del Espacio Económico Europeo y a la intervención de un encargado del tratamiento externo, Accurate Background, con acceso desde Amazon Development Centre (India) Private Limited.
El expediente sancionador PS/00267/2020 concluyó con una multa de 2.000.000 de euros. La cuantía activaba el artículo 76.4 de la LOPDGDD, que obliga a publicar en el Boletín Oficial del Estado la identidad del infractor, la infracción cometida y el importe de la sanción cuando esta supera el millón de euros.
La construcción jurídica de la Agencia se basaba en que el certificado de antecedentes penales, sea positivo o negativo, supone tratamiento de datos relativos a condenas e infracciones penales. Ese tratamiento queda sujeto al artículo 10 del RGPD, que lo reserva a la supervisión de las autoridades públicas o a los supuestos autorizados por una norma habilitante. Al no existir tal norma para este caso, el consentimiento prestado por los candidatos no podía operar como base legitimadora y el tratamiento resultaba contrario al artículo 6.1.
Amazon Road interpuso recurso el 8 de abril de 2022. Los autos quedaron conclusos por diligencia de ordenación de 17 de febrero de 2023. Tras la suspensión de un primer señalamiento, la votación y fallo tuvo lugar el 9 de junio de 2026.
La reserva de habilitación del artículo 10 y la tesis de la Agencia
El artículo 10 del RGPD no prohíbe el tratamiento de datos relativos a condenas e infracciones penales., establece que solo podrá llevarse a cabo «bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados», y reserva a las autoridades públicas el mantenimiento de un registro completo de condenas penales. La técnica normativa es una reserva de habilitación reforzada con garantías, no una interdicción.
El artículo 10 de la LOPDGDD ejecuta esa remisión en términos estrictos: el tratamiento de datos relativos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, «solo podrá llevarse a cabo cuando se encuentre amparado en una norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal».
Esta es la arquitectura en la que el AEPD se basó para imponer la sanción. Un empleador privado no actúa bajo la supervisión de una autoridad pública, por lo que sería necesario que existiera una norma con rango de ley que habilite ese tratamiento. Y , en este caso, el consentimiento del interesado no puede suplir la ausencia de habilitación. La voluntad del candidato deviene irrelevante, lo que resulta congruente si se atiende a que el desequilibrio de posiciones en el acceso al empleo hace de ese consentimiento un instrumento de fiabilidad discutible.
La resolución de la AEPD añadía un argumento un tanto original: aceptar que el certificado negativo queda fuera del artículo 10 equivaldría a permitir que cualquier sujeto privado construyese un registro de personas sin antecedentes penales, cuando el mantenimiento de registros de esta naturaleza está reservado a los poderes públicos.
Para reforzar su posición, la Agencia se apoyaba en la sentencia de la Sala de lo Social de la Audiencia Nacional de 10 de febrero de 2020, dictada en conflicto colectivo frente a una empresa de seguridad privada y confirmada por la sentencia del Tribunal Supremo 435/2022, de 12 de mayo (recurso de casación 70/2020, ponente María Luz García Paredes). La Sala Cuarta razonó sobre dos ejes. Primero, los vigilantes de seguridad están sujetos a una habilitación administrativa que ya acredita la ausencia de antecedentes, de modo que la empresa carece de necesidad de recabar esa información para ejecutar el contrato de trabajo, y es la Administración la competente para extinguir la habilitación cuando tenga conocimiento fehaciente de aquellos. Segundo, el tratamiento de antecedentes penales para fines ajenos al proceso penal exige amparo legal, que allí no concurría. El Supremo situó además la cuestión en el terreno del derecho fundamental del artículo 18.4 de la Constitución y del artículo 8 del Convenio Europeo de Derechos Humanos.
La ratio de la Sección Primera: literalidad del precepto y canon sancionador
El fundamento tercero afirma que el artículo 10 del RGPD «se refiere literalmente a los datos personales relativos a condenas e infracciones penales» y que «no se refiere a datos relativos a la carencia de antecedentes penales». De ahí extrae una consecuencia categorial: cuando la empresa obtiene el certificado negativo no trata datos sensibles, sino «datos personales que contienen referencias favorables de la conducta de una persona», que no gozan de protección reforzada. Lo prohibido, precisa, es crear ficheros con antecedentes desfavorables, y por eso el Reglamento exige una regulación rigurosa de la legitimación para acceder a los registros que los contienen.
El segundo movimiento es metodológico. La Sala recuerda que se encuentra en el ámbito del Derecho sancionador, «en el que rige el principio de intervención mínima y prohibición de interpretaciones extensivas, también en materia de protección de datos personales cuando de sancionar se trata». No se trata de decidir cuál es la mejor lectura del artículo 10 en abstracto, sino de determinar si la lectura de la Agencia puede sostener un reproche punitivo. El listón, ahí, está más alto.
Sobre esa base, la sentencia desactiva los precedentes invocados mediante una distinción: una cosa es el acceso de terceros a los registros donde constan los antecedentes y otra la exigencia al interesado de que aporte un certificado. Aplicada a la STC 144/1999, la Sala observa que la lesión del derecho a la intimidad se produjo porque una Junta Electoral accedió al Registro de Penados y Rebeldes sin estar legitimada para ello, y que la consecuencia práctica de aquella doctrina es precisamente que se exija al electo la presentación de un certificado negativo. La sentencia del Tribunal Constitucional, concluye, no avala la actuación administrativa impugnada. Respecto de la sentencia del Tribunal de Justicia de la Unión Europea en el asunto C–439/19, la Sala afirma que regulaba igualmente la legitimación para acceder a un registro y lo zanja: «Son cosas distintas».
En cuanto al antecedente de la Sala de lo Social, en esta sentencia no se discute la doctrina de la Sala Cuarta ni la matiza. Admite que la conducta «puede considerarse abusiva desde el punto de vista del derecho laboral», sobre todo en un contexto de sucesión de empresa en el que el empresario venía obligado a asumir la plantilla, y añade: «La conducta puede ser reprobable desde el punto de vista de la legislación social, pero no tiene por qué ser sancionada desde la perspectiva de la protección de datos personales».
Es una operación de deslinde, no de revisión doctrinal. La sentencia no afirma que la Sala Cuarta se equivocara, sino que aclara que su criterio resuelve un conflicto colectivo y no predetermina la tipicidad administrativa.
Un concepto autónomo de Derecho de la Unión sometido a un canon nacional
La sentencia del Tribunal de Justicia (Gran Sala) de 22 de junio de 2021, Latvijas Republikas Saeima (Puntos de penalización), no versa solo sobre la legitimación para acceder a un registro. Su primera cuestión prejudicial pregunta si el artículo 10 del RGPD debe interpretarse en el sentido de que se aplica al tratamiento de datos personales relativos a los puntos de penalización impuestos a los conductores por infracciones de tráfico. Es decir: cuál es el ámbito objetivo del artículo 10. Exactamente la pregunta que la Sección Primera tenía que responder.
El método del Tribunal de Justicia es explícito y presenta tres notas. Primera: los conceptos del artículo 10 son autónomos y de interpretación uniforme en toda la Unión, sin remisión al Derecho nacional, porque lo contrario haría depender el nivel de protección de la calificación que cada Estado dé a una conducta (apartados 81 a 85). Segunda: la finalidad del precepto es dispensar una protección reforzada a los tratamientos que, por la particular sensibilidad de los datos, pueden constituir una injerencia especialmente grave en los derechos de los artículos 7 y 8 de la Carta (apartado 74). Tercera, y decisiva para el caso español: los datos a los que se refiere el artículo 10 se refieren a comportamientos que suscitan reprobación social, de modo que el acceso a ellos puede estigmatizar al interesado y suponer una injerencia grave en su vida privada o profesional (apartado 75).
Para determinar si las infracciones de tráfico eran infracciones penales a estos efectos, el Tribunal aplicó los criterios de la jurisprudencia Bonda: calificación en Derecho nacional, naturaleza intrínseca de la infracción y grado de severidad de la sanción (apartados 87 a 91). Concluyó que lo eran, pese a su calificación administrativa en Letonia. Es, por tanto, una lectura expansiva del ámbito objetivo del precepto.
La Sección Primera resuelve el alcance de un concepto autónomo de Derecho de la Unión aplicando un canon interno de Derecho sancionador. La interpretación estricta de los tipos punitivos es una exigencia constitucional inobjetable, pero opera sobre la norma sancionadora, no sobre la norma sustantiva de la Unión cuyo contenido el Tribunal de Justicia ha declarado autónomo y uniforme. Si el artículo 10 comprende el certificado negativo, sostenerlo no es una interpretación extensiva del tipo: es la determinación previa de su presupuesto.
La conclusión de la Sala encuentra apoyo, sin embargo, y acaso sin buscarlo, en ese mismo apartado 75. Si el artículo 10 protege frente a la estigmatización derivada de comportamientos que suscitan reprobación social, un documento que acredita la ausencia de tales comportamientos no activa ese riesgo. El certificado negativo no estigmatiza a quien lo aporta. Leído en clave teleológica, el resultado es defendible. Lo que no se sostiene con la misma comodidad es el camino: despachar como «cosas distintas» la única resolución del Tribunal de Justicia que fija el método de interpretación del precepto aplicado.
La Sala tampoco planteó cuestión prejudicial. Procesalmente no estaba obligada, porque el artículo 267 del Tratado de Funcionamiento impone la remisión a los órganos cuyas decisiones no son susceptibles de ulterior recurso judicial de Derecho interno, y contra esta sentencia cabe casación. La facultad, sin embargo, existía, y el asunto reunía las condiciones que la hacen aconsejable.
El efecto informativo del cribado: lo que revela la ausencia del documento
En el fundamento tercero, la Sala admite que «una norma laxa de legitimación para el acceso directo por terceros a los registros de antecedentes puede indirectamente inferir, caso de no obtenerse el certificado negativo de antecedentes penales, la existencia de tales antecedentes penales». Y a continuación excluye el supuesto de autos: «no es el caso de una empresa que solo tramita las solicitudes de postulantes que acompañen un certificado negativo de antecedentes penales».
Si el procedimiento de selección solo tramita las candidaturas acompañadas de certificado negativo, la información relevante no reside únicamente en los certificados aportados: reside también en el conjunto de solicitudes que no llegan a tramitarse. El filtro produce, por exclusión, un resultado informativo sobre quienes no lo superan. El tratamiento recae entonces sobre un procedimiento cuyo diseño discrimina en función de un dato registral, y no sobre un documento aislado.
Importa aquí la amplitud con que el artículo 4.2 del RGPD define el tratamiento. Comprende la recogida, la consulta, la utilización, la estructuración y el cotejo, y en ningún momento exige que el responsable acceda a un registro público para que exista tratamiento de datos referidos a lo que ese registro contiene.
Hay además un elemento fáctico que la sentencia no valora y que consta en la propia resolución sancionadora: la documentación de los candidatos no la examinaba directamente Amazon Road, sino empresas externas encargadas del tratamiento que efectuaban una preselección. El certificado no era un papel que alguien miraba y devolvía. Se incorporaba a un procedimiento de cribado gestionado por terceros, y la distinción entre consultar un registro y recibir un documento del interesado se difumina cuando ese documento pasa a ser el criterio de descarte de un proceso industrializado.
El Tribunal de Justicia se enfrentó a una objeción estructuralmente idéntica en el apartado 76 del asunto C–439/19. El Gobierno letón alegaba que las resoluciones sancionadoras de tráfico se inscribían en el registro de condenas, de acceso limitado, y no en el registro de vehículos y conductores, de acceso libre. El Tribunal contestó que la divulgación de los puntos de penalización permite al público averiguar si una persona ha cometido infracciones de tráfico y deducir su gravedad y frecuencia, de manera que ese sistema da acceso efectivamente a datos personales relativos a infracciones de tráfico. Lo decisivo, para el Tribunal, fue el efecto informativo del sistema por encima de la fuente formal del dato.
Por ese camino recupera fuerza el argumento de sistema que la Agencia había formulado y la sentencia no llega a rebatir. Una compañía que solo admite candidatos con certificado negativo acaba disponiendo de un conjunto de personas verificadas como carentes de antecedentes. Aunque este punto se encuentra directamente relacionado con la finalidad y justificación del tratamiento, que se comentan más adelante.
Trasladado al caso, la pregunta es si un procedimiento que condiciona la admisión a la aportación de un certificado negativo permite deducir, respecto de quien no lo aporta, la existencia de antecedentes. La respuesta honesta es que permite formular la inferencia, pero no confirmarla: la no aportación puede obedecer a causas ajenas, desde el desistimiento del candidato hasta la dificultad de obtener el documento a tiempo. La inferencia es probabilística y no llega a certeza. Ese margen es lo que salva el razonamiento de la Sala.
El examen del artículo 5 y la legitimidad ligada al contexto
Descartada la aplicación del artículo 10, la sentencia no concluye. Somete el tratamiento al examen de los principios del artículo 5 del RGPD, y este segundo tramo del fallo es el de consecuencias prácticas más inmediatas.
La Sala valida la exigencia por razones que enumera con precisión: el programa Amazon Flex consiste en la entrega de paquetería al destinatario final, con frecuencia en domicilios particulares y no entre almacenes; a los repartidores se les facilitan datos personales como dirección y teléfono, cuyo uso indebido puede poner en riesgo severo a los clientes; y los paquetes, con independencia de su valor, pueden contener información sobre hábitos íntimos de sus destinatarios. Concluye que es legítimo recabar una información mínima sobre la honorabilidad de la persona para asegurar la seguridad de la contratación de personal al servicio del programa.
El razonamiento es contextual y de ahí se sigue su límite. La legitimidad no se predica del certificado negativo como categoría, sino de su exigencia en un puesto con ese perfil de acceso. Un puesto sin contacto con domicilios ni con datos de clientes no queda cubierto por este pronunciamiento.
Más revelador es el tratamiento que la sentencia dispensa al requisito de honorabilidad de la legislación de transporte. La Ley 16/1987, de Ordenación de los Transportes Terrestres, exige la honorabilidad en su artículo 43.2 para determinadas autorizaciones y la define en su artículo 45, que la vincula a la ausencia de condenas penales y de sanciones en los ámbitos mercantil, social o laboral, de seguridad vial y de ordenación de los transportes terrestres. La Sala observa que ese requisito persigue la seguridad vial y se proyecta sobre vehículos que no son los empleados en Amazon Flex, de modo que no opera aquí como habilitación. Pero añade que ello no impide que el tratamiento de datos sobre la honorabilidad de los postulantes, no focalizado en seguridad vial, sea legítimo. La honorabilidad deja de ser un requisito normativo tasado para convertirse en una finalidad empresarial admisible.
La sentencia recupera, por último, un precedente administrativo que la resolución sancionadora no había abordado: el archivo del expediente E/00037/2013, relativo a una agencia de trabajadores financieros que comercializaban tarjetas de crédito, en el que la Agencia consideró justificada la exigencia del certificado negativo. La Sala subraya que en aquel expediente el análisis no se hizo desde la prohibición del artículo 10, sino desde los principios del artículo 5, y que concluyó en la legitimidad de los fines. El reproche implícito es de coherencia administrativa.
Tres modelos europeos y la posición que la sentencia asigna a España
El propio fallo señala que otros ordenamientos regulan esta materia de forma directa y menciona, como ejemplo, el «código laboral alemán». La referencia es imprecisa: Alemania no dispone de un código laboral que discipline qué certificados puede exigir un empleador. Lo que existe es una arquitectura distinta, y compararla con las de Francia e Italia sitúa el fallo español en su contexto.
Alemania ordena la materia desde la Bundeszentralregistergesetz. Su parágrafo 30 reserva al propio interesado la solicitud del certificado de conducta, y el parágrafo 30a somete el certificado ampliado a dos garantías que el ordenamiento español no contempla: requerimiento escrito de quien lo reclama y borrado de los datos en un plazo máximo de seis meses desde el cese de la actividad. En cuanto al derecho del empleador a preguntar, el Bundesarbeitsgericht negó en 2012 (6 AZR 339/11) que exista interés legítimo en interrogar de forma inespecífica sobre diligencias penales archivadas.
Francia resuelve por la vía de la pertinencia. El artículo L1221–6 del Code du travail dispone que las informaciones solicitadas al candidato solo pueden tener como finalidad apreciar su capacidad para ocupar el empleo propuesto o sus aptitudes profesionales, y que deben presentar «un lien direct et nécessaire» con el empleo o con la evaluación de esas aptitudes. El boletín número 3 del casier judiciaire solo puede solicitarlo el propio interesado. La Comisión Nacional de Informática y Libertades admite que el empleador pida al candidato que se lo muestre, pero le niega la posibilidad de conservar copia: basta anotar el resultado de la verificación, y el rechazo solo cabe si las condenas resultan incompatibles con el empleo.
Italia ofrece el contraste más directo. El artículo 25 bis del Decreto del Presidente de la República 313/2002, introducido por el decreto legislativo 39/2014, obliga al empleador a solicitar el certificado penal cuando vaya a destinar a alguien a actividades con contacto directo y regular con menores. El Garante per la protezione dei dati personali, por su parte, en la medida de 24 de marzo de 2022, número 97, sostuvo que la información obtenida del certificado penal del casellario, y también la procedente de declaraciones del propio trabajador sobre la ausencia de condenas, constituye dato del artículo 10 del RGPD y solo puede tratarse cuando lo autorice una norma de ley o de reglamento.
La posición italiana es, exactamente, la que la Agencia Española de Protección de Datos defendía y la Audiencia Nacional ha rechazado. Dos autoridades de control y dos órganos jurisdiccionales aplican el mismo precepto de un Reglamento directamente aplicable y alcanzan calificaciones opuestas. Ese es el resultado que la interpretación autónoma del artículo 10 pretendía evitar, y el que convierte a esta sentencia en candidata natural a una remisión prejudicial en fase casacional.
En el plano de los resultados, sin embargo, la distancia es menor de lo que sugiere el enunciado. El modelo francés permite la consulta del boletín sin conservación, lo que se aproxima materialmente a lo que la Audiencia Nacional consiente. La divergencia real está en la calificación jurídica, y de la calificación depende el régimen: si el dato pertenece al artículo 10, no hay consentimiento que valga y hace falta ley; si no pertenece, basta con superar el examen del artículo 5.
Consecuencias prácticas y prospectiva
La sentencia no es firme. Es susceptible de recurso de casación ante la Sala Tercera del Tribunal Supremo. La propia Sección Primera dejó constancia de que no imponía costas «en atención a la complejidad de las cuestiones tratadas y a la existencia de un pronunciamiento judicial que sostiene un criterio distinto al que aquí defendemos».
Para quien diseña procesos de selección, el cambio afecta a la calificación jurídica del dato y deja intacto el estándar de diligencia. Sigue siendo necesario superar el examen del artículo 5: finalidad determinada, explícita y legítima, minimización, plazo de conservación acotado e información al interesado. Y sigue siendo necesario poder acreditarlo documentalmente. La diferencia es que, si el criterio se consolida, la ausencia de norma habilitante deja de ser un obstáculo insalvable y pasa a ser un elemento más del juicio de proporcionalidad.
La cautela es doble. Primero, porque el pronunciamiento se apoya en las características concretas del puesto y no admite extrapolación automática a otros perfiles. Segundo, y sobre todo, porque el orden social mantiene su criterio intacto. Una empresa puede ver anulada una sanción de protección de datos y, en el mismo periodo, ver estimada una demanda de conflicto colectivo por la misma práctica. No hay contradicción lógica entre ambos resultados, porque no responden a la misma pregunta ni protegen el mismo bien jurídico, pero desde la perspectiva de quien organiza un procedimiento de contratación la señal es difícil de leer.
Queda una consecuencia menos visible. La resolución anulada procedía de un procedimiento iniciado por denuncia sindical, y la Sala revisa la calificación sin entrar en los restantes reproches que la reclamación había formulado sobre transferencias internacionales y encargados del tratamiento. La anulación alcanza a la resolución impugnada, que sancionaba por la infracción del artículo 6.1 en relación con el artículo 10. Nada de lo resuelto prejuzga cómo habría de valorarse la cadena de tratamiento que rodea al certificado, desde el encargado externo que realiza la preselección hasta los accesos desde terceros países.
El vacío que la sentencia deja a la vista
Este asunto pone de manifiesto una carencia normativa antes que un desacuerdo interpretativo puntual. El artículo 10 del RGPD no prohíbe: reserva. Reenvía al legislador nacional la tarea de decidir en qué supuestos y con qué garantías puede tratarse esta clase de datos fuera del proceso penal. Alemania lo ha hecho mediante el régimen del certificado de conducta, su exigencia de requerimiento escrito y sus plazos de borrado. Francia, mediante una regla de pertinencia y una prohibición de conservación. Italia, mediante una obligación sectorial y una doctrina administrativa expresa. España cuenta con el artículo 10 de la LOPDGDD, que remite a normas de rango legal que, para la mayoría de los supuestos de contratación, no existen.
Mientras ese vacío persista, la respuesta seguirá dependiendo del orden jurisdiccional ante el que se plantee la pregunta, y la seguridad jurídica de quien contrata dependerá de qué demanda le llegue antes. Si el asunto alcanza la casación, lo que el Tribunal Supremo decida determinará si España se alinea con la lectura que el Garante italiano hace del artículo 10 o si abre una divergencia sobre el alcance de un precepto que el Tribunal de Justicia declaró de interpretación autónoma y uniforme. Y, en ese segundo escenario, la pregunta que quedará sin plantear es por qué no se planteó antes en Luxemburgo.
Nota sobre la firmeza de la resolución
Al tiempo de redactarse este artículo, la sentencia 359/2026 de la Audiencia Nacional no es firme. Todo cuanto aquí se comenta debe leerse, por tanto, como criterio de una Sección de instancia sobre el que el Tribunal Supremo no se ha pronunciado, y no como doctrina consolidada.
