Dos millones de euros. Esa fue la sanción que la Agencia Española de Protección de Datos (AEPD) impuso en febrero de 2022 a Amazon Road Transport Spain.
¿El motivo?: exigir a los candidatos del programa Amazon Flex —el reparto de paquetería mediante furgoneta propia— un certificado negativo de antecedentes penales antes de contratarlos.
La Audiencia Nacional acaba de anularla.
La sentencia 359/2026, de 8 de julio, resuelve el recurso 844/2022 y lo hace con una distinción que marcará jurisprudencia: no es lo mismo tratar datos sobre condenas penales que tratar un documento que certifica su ausencia.
Así lo ha determinado el tribunal de la Sección Primera de la Sala de lo Contencioso-Administrativo, formada por los magistrados Fernando Ruiz Piñeiro –presidente de la Sección y de la Sala–, Amalia Basanta Rodríguez, Nieves Buisan García y Helmut Moya Meyer, ponente, que ha dado la razón a Amazon frente al criterio sostenido por la Agencia.
Un litigio nacido en Amazon Flex
La controversia tenía su origen en el funcionamiento de Amazon Flex, programa dedicado al reparto de paquetería en el que el candidato aporta su propia furgoneta. Para participar, Amazon exigía presentar un certificado negativo de antecedentes penales.
Ese documento, junto con otros aportados por los aspirantes, era tratado por empresas externas encargadas de realizar una preselección de candidatos.
Para la AEPD, el consentimiento de los candidatos no bastaba. La Agencia entendió que el certificado estaba incluido en el artículo 10 del RGPD, que exige una habilitación legal específica para el tratamiento de datos personales relativos a condenas e infracciones penales.
Amazon recurrió el 8 de abril de 2022. Su tesis era sencilla: un certificado negativo no informa sobre condenas, sino sobre su inexistencia, y por tanto queda fuera del ámbito de protección especial del artículo 10.
La clave: no es lo mismo tener antecedentes que acreditar que no existen
Aquí reside el núcleo jurídico del fallo. La Sala parte del principio de intervención mínima propio del derecho administrativo sancionador y rechaza cualquier interpretación extensiva de las normas que castigan. Desde esa perspectiva, lee el artículo 10 del RGPD de forma literal: el precepto habla de datos relativos a «condenas e infracciones penales», no de datos relativos a su ausencia.
El tribunal lo resume sin rodeos: «Cuando obtiene el certificado negativo, no está tratando datos personales relativos a condenas o infracciones penales».
Lo que recibe Amazon, señala la sentencia, son datos que aportan «referencias favorables de la conducta de una persona», ajenos por tanto a la protección reforzada del artículo 10.
La Audiencia Nacional distingue este supuesto de dos precedentes invocados en el procedimiento.
La STC 144/1999 sancionó el acceso directo y no autorizado de una Junta Electoral al Registro de Penados y Rebeldes, un escenario distinto de exigir al propio interesado que aporte un certificado.
Y la sentencia del Tribunal Supremo de 12 de mayo de 2022, sobre una empresa de seguridad, se apoyaba en que los vigilantes ya estaban sujetos a una habilitación administrativa previa que exigía carecer de antecedentes —una situación que la Sala no equipara a la de los repartidores de Amazon Flex.
Legítimo, pero no automático
El fallo no abre la puerta a que cualquier empresa exija certificados de antecedentes sin más. Lo que establece es que ese documento no entra automáticamente bajo el paraguas del artículo 10; su tratamiento debe superar después el filtro general del artículo 5 del RGPD —licitud, proporcionalidad, minimización—.
En el caso concreto, la Sala considera que la naturaleza del trabajo lo justifica: los repartidores acceden a domicilios particulares y manejan datos como direcciones y teléfonos, además de paquetes que pueden revelar información íntima sobre hábitos de consumo.
Sobre esa base, concluye que resulta legítimo que Amazon busque una «mínima información sobre la honorabilidad de la persona» antes de contratarla.
Amazon aportó además un precedente propio de la Agencia —el archivo del expediente E/00037/2013, referido a una agencia de trabajadores financieros— en el que la propia AEPD había admitido la exigencia de un certificado negativo por concurrir fines legítimos. La Audiencia Nacional recoge ese antecedente como respaldo a su razonamiento.
Qué cambia y qué no
La sentencia anula la resolución sancionadora y no impone costas a ninguna de las partes, dada la complejidad de la cuestión y la existencia de pronunciamientos judiciales previos con un criterio distinto.
Sigue abierta la vía del recurso de casación ante el Tribunal Supremo.
Lo que queda fijado, en todo caso, es el criterio interpretativo: un certificado negativo de antecedentes penales no es, a efectos del artículo 10 del RGPD, lo mismo que un dato sobre condenas. Su tratamiento puede ser legítimo, pero no queda exento de superar el resto de exigencias del Reglamento ni de eventuales objeciones desde la legislación laboral.
“La Sala considera, sin ambages, legítima la finalidad perseguida por Amazon, porque los repartidores realizan entregas en domicilios particulares y acceden a nombres, direcciones, teléfonos y paquetes que pueden revelar información privada de los destinatarios», explica el abogado laboralista, Alfredo Aspra, socio director de Labormatters Abogados.
«En estas circunstancias, entiende proporcionado que la empresa recabe una información mínima sobre la honorabilidad de los candidatos y compruebe que carecen de antecedentes desfavorables», conluye.
