Recientemente ha saltado a la opinión pública a través de los medios de comunicación una noticia que se producía a consecuencia de una reclamación efectuada por un representante de la Unión General de Trabajadores (en adelante UGT) que revelaba que una filial del gigante norteamericano AMAZON exigía y solicitaba, para la contratación como proveedores de servicios de la empresa, a trabajadores transportistas autónomos diversa documentación en la que se incluía un certificado de ausencia de antecedentes penales. Asimismo, denunciaba UGT que AMAZON, para promover sus intereses legítimos y los de cualquier entidad vinculada, requería el consentimiento de los candidatos para que se llevase a cabo transferencias de datos de carácter personal a cualquier entidad asociada situada fuera del Espacio Económico Europeo.
Esta reclamación interpuesta por UGT ha dado origen a una resolución dictada por la Agencia Española de Protección de Datos (en adelante, AEPD) que finaliza con una cuantiosa sanción a AMAZON ROAD TRANSPORT SPAIN de 2.000.000 de euros por una infracción del artículo 6.1 del Reglamento General de Protección de Datos (en adelante RGPD) en relación con el artículo 10 de la misma norma, así como el artículo 10 de la Ley Orgánica de Protección de Datos y Garantías de los Derechos Digitales (en adelante, LOPDGDD) que ha sido calificada como de muy grave y que pasamos a examinar.
Los hechos se reducen a que la entidad reclamada, AMAZON ROAD TRANSPORT SPAIN (empresa que presta servicios logísticos y de distribución a AMAZON en España) solicitaba para llevar a cabo la selección de su personal el certificado de ausencia de antecedentes penales. Asimismo, se les exigía a los candidatos el consentimiento para realizar transferencias internacionales de sus datos a cualquier entidad vinculada con la compañía y para tratar la información en nombre de Amazon. De esta forma, Amazon Development Centre (asentada en India), entre otras, podría acceder a esta información y realizar la verificación de los antecedentes penales recopilados y cualquier otra comprobación que fuera necesaria.
El artículo 10 del RGPD hace referencia al objeto principal sobre el que versa esta reclamación. Dicho precepto establece el carácter excepcional del tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas que “sólo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados”. Igualmente, el artículo 10 de la LOPDGDD dispone que “el tratamiento de datos personales relativos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, solo podrá llevarse a cabo cuando se encuentre amparado en una norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal”.
En un primer momento puede parecer claro qué es el certificado de antecedentes penales, pero, realmente, ¿cuál es su contenido? El certificado de antecedentes penales es un documento oficial expedido y validado por el Ministerio de Justicia donde figura la información contenida en el Registro Central de Penados. En este Registro se inscriben las resoluciones firmes dictadas a consecuencia de la comisión de un delito que impongan penas o medidas de seguridad dictadas por los Juzgados o Tribunales del orden jurisdiccional penal de España, así como las dictadas por los Juzgados y Tribunales de cualquier Estado extranjero cuando así se determine por los tratados internacionales vigentes en España y por las disposiciones dictadas por la Unión Europea.
Por su parte AMAZON mantiene que este certificado que solicita no proporciona realmente información sobre datos de carácter penal, sino que “consiste en un certificado en blanco en el que no se contiene información alguna relativa a dichos tipos de datos y que, por tanto, no puede equipararse al certificado positivo de antecedentes penales”.
AMAZON justificaba la petición de este certificado aludiendo a un informe dictado por la AEPD donde se hacía referencia a qué debía entenderse por “dato de salud”, concluyendo que el mero dato de que una persona fuese fumadora no implicaba el tratamiento de información directamente relacionada con la salud del afectado. Correlativamente, podía entenderse que el mero conocimiento de la inexistencia de antecedentes penales no puede considerarse como el tratamiento de datos relativos a condenas o infracciones penales en virtud del artículo 10 del RGPD.
A mayor abundamiento, manifestaba que el acceso por parte de los transportistas, a la hora de la entrega de los paquetes, a la entrada de los domicilios particulares de los clientes constituía una intromisión en la esfera privada de los mismos. En consecuencia, AMAZON ROAD debía comprobar la idoneidad de los transportistas y emplear cualquier medida que estuviese a su alcance para garantizar la seguridad y confianza depositada por parte de los clientes. Precisamente, una de estas medidas consistía en la solicitud de los certificados negativos de antecedentes penales.
Desde el punto de vista de AMAZON la demanda de este certificado sería proporcionada por los siguientes motivos:
- “en primer lugar, por la sensibilidad de los datos tratados por los transportistas;
- en segundo lugar, por tratarse de una medida idónea para la finalidad perseguida por la empresa y no invasiva en la esfera de los interesados;
- y en tercer lugar por la obligación de la compañía de actuar de forma diligente y adoptar todas aquellas medidas que estén a su alcance para minimizar el riesgo para sus clientes como consecuencia de los servicios prestados”.
Según la entidad reclamada, otros Estados pertenecientes a la Unión Europea aceptan certificados similares al solicitado por la sociedad y cita el “Verklaring omtrent gedrag” (VOG) de Países Bajos, el “Certificado B3” en Francia o confirmación de que no se tiene antecedentes penales que sean relevantes para el empleo en Alemania.
Analizado el planteamiento de los hechos aducidos por AMAZON, en primer lugar, la AEPD considera, en cuanto a la transferencia internacional de datos a las entidades vinculadas, que es conforme a derecho puesto que dichas entidades tienen suscrito un contrato de encargado de tratamiento y firmadas cláusulas contractuales tipo de la UE establecidas en la Decisión de la Comisión de la CE de 5 de febrero de 2010.
En segundo lugar, en cuanto a la legitimidad del tratamiento de datos relativos a condenas e infracciones penales, la AEPD mantiene que el certificado de ausencia de antecedentes penales se trata de una “información sobre una persona física identificada” a los efectos del artículo 4.1 del RGPD, tanto si se trata de un certificado que refiere la existencia de dichos antecedentes como si pone de manifiesto su ausencia.
El artículo 136.4 del CP establece que “las inscripciones de antecedentes penales en las distintas secciones de Registro Central de Penados y Rebeldes no serán públicas” y que “durante su vigencia sólo se emitirán certificaciones con las limitaciones y garantías previstas en sus normas específicas y en los casos establecidos por la ley”. Dicha norma específica es el Real Decreto 95/2009 de 6 de febrero, cuyo artículo 17 mantiene que “podrán certificarse directamente los datos relativos a su persona contenidos en las inscripciones de los Registros Centrales de Penados, de Medidas Cautelares Requisitorias y Sentencias No Firmes, de Protección de las Víctimas de Violencia Doméstica, de Sentencias de Responsabilidad Penal de los Menores y de Rebeldes Civiles y suscribir certificaciones negativas respecto a personas que no figuren inscritas en los mismos”. De estos preceptos se desprende que la expedición de un certificado de estas características, tanto positivo como negativo, supone la consulta de los registros públicos aludidos. En esta línea la AEPD expresa que “no puede decirse que los certificados negativos o de ausencia de antecedentes penales no contengan información relativa a condenas e infracciones penales o medidas de seguridad conexas”.
En tercer lugar y teniendo por constatado que el certificado de antecedentes penales que solicita AMAZON es, según la AEPD, un tratamiento de datos de carácter penal es preciso determinar si existe una habilitación que permita que la entidad reclamada realice un tratamiento con dicha información.
Del artículo 10 del RGPD anteriormente mencionado se infiere que el tratamiento de datos de carácter penal se encomienda a los poderes públicos y sólo con carácter excepcional podrá realizarse dicho tratamiento por los particulares cuando una norma del Derecho Europeo o una norma nacional con rango de ley así lo dispongan (con la salvedad del tratamiento por parte de abogados y procuradores en virtud del apartado 3 del artículo 10 de la LOPDGDD).
Tras las diligencias de investigación practicadas la AEPD concluye que en este caso “no existe ninguna norma del Derecho de la Unión o una norma legal de nuestro ordenamiento jurídico que permita llevar a cabo el tratamiento de datos de antecedentes penales pretendido por la entidad reclamada”. En este mismo sentido, la Guía de la AEPD sobre la protección de datos en las relaciones laborales, establece que “no es legalmente posible exigir a las personas candidatas a un puesto de trabajo un certificado de antecedentes penales, que no puede ser objeto de tratamiento salvo en aquellos supuestos excepcionales en que, autorizados por una Ley y con las debidas garantías, se contemple dicha medida” (como, por ejemplo, en lo relativo a la seguridad de aeropuertos). En la misma Guía, teniendo en cuenta legislación específica, y haciéndonos eco de un artículo en concreto ya publicado al respecto se indica que “se admite la solicitud de un certificado de antecedentes penales en determinados trabajos que implican el contacto con menores (art. 13.5 de la Ley Orgánica 1/1996 de Protección Jurídica del Menor) o en la contratación de ciertas personas trabajadoras en entidades que deben asumir obligaciones en la prevención del blanqueo de capitales y de la financiación del terrorismo (art. 40 del Reglamento de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, aprobado por el Real Decreto 304/2014)”.
Como conclusión, a falta de habilitación legal, en el presente supuesto y en cualquier otro que nos encontremos, hay que tener presente que no cabe acudir a otras bases jurídicas como el consentimiento del interesado o el interés legítimo para legitimar el tratamiento de datos personales relativos a condenas e infracciones penales. Prácticas contrarias podrían suponer un riesgo para los derechos y las libertades de las personas y otorgar carta blanca para poder admitir que cualquier persona o entidad pudiera crear un registro de personas sin antecedentes penales, a pesar de que se trata de una materia reservada a las autoridades públicas.
