Comentario de la Sentencia de la Audiencia Nacional (Sala de lo Contencioso-Administrativo, Sección 1ª) núm. 359/2026, de 8 de julio de 2026; ponente Ilmo. Sr. D. Luis Helmuth Moya Meyer; recurso núm. 844/2022; ECLI:ES:AN:2026:2996

Hechos y la sanción impugnada

Dos millones de euros es lo que le costó a Amazon pedir a sus repartidores un documento que acredite la ausencia de antecedentes penales, o eso parecía antes de acudir a la Audiencia Nacional. La AEPD sancionó a la compañía el 10 de febrero de 2022 por infracción muy grave del artículo 6.1, en relación con el artículo 10 del RGPD y los artículos 10 y 71 de la LOPDGDD, al exigir a los candidatos del programa Amazon Flex —reparto de paquetería con furgoneta propia— un certificado negativo de antecedentes penales antes de contratarlos. Sin embargo, la Audiencia Nacional ha anulado esa sanción.

El razonamiento de la Agencia, en la resolución impugnada por Amazon, partía de una equiparación que a muchos les resultará llamativa: que el consentimiento prestado por los candidatos al aportar ese certificado (negativo) no era válido. Su argumentación se fundamentaba en que el artículo 10 RGPD exige una norma legal habilitante para tratar datos sobre condenas e infracciones penales, y que un certificado negativo cae dentro de esa categoría exactamente igual que uno positivo.

Curiosamente, la propia AEPD no siempre lo vio así. La sentencia recoge, en sus antecedentes, que la Agencia había considerado justificada esta práctica en expedientes anteriores, pero que cambió de criterio a raíz de una sentencia de la Sala de lo Social de la Audiencia Nacional sobre una empresa de seguridad, confirmada después por la STS de 12 de mayo de 2022 (recurso de casación 70/2020). Como veremos a continuación, esa doctrina nació en un terreno distinto, y trasplantarla al caso de un transportista contratado por Amazon es lo que la Sala de lo Contencioso le reprocha a la AEPD.

Depuración de los precedentes invocados por la AEPD

Buena parte de la sentencia se dedica a poner cada precedente en su sitio, porque la resolución de la AEPD mezclaba casos que resuelven preguntas distintas, por lo que la AN lo resitúa a su debida ubicación. En consecuencia, rechaza dos precedentes que invocaba la agencia (STC 144/1999 y STJUE de 21 de Junio de 2021 (C-439/19)), ya que ambos se referían al acceso directo de un tercero a un registro de antecedentes o infracciones y no a la aportación de un certificado por el propio interesado, que es lo que hace Amazon.

El precedente que sí resultaba pertinente es la STS de 12 de Mayo de 2022, sobre una empresa de seguridad que exigió a los vigilantes que asumía por sucesión de empresa una declaración de carencia de antecedentes penales. En este caso, el Supremo consideró esa exigencia innecesaria, porque esos vigilantes ya estaban sometidos a una habilitación administrativa que exige acreditar previamente la ausencia de antecedentes, por ello, pedirlo de nuevo era redundante. Y añadió una afirmación de alcance general, la cual establecía que tratar antecedentes penales para fines distintos de la persecución penal “sólo puede realizarse cuando esté amparado por una Ley”, y que la empresa de seguridad no contaba con esa ley.

La Audiencia Nacional no cuestiona esa doctrina, pero asume que responde a un contexto distinto (el de un trabajador ya sujeto a un control administrativo previo), ausente en el caso de un repartidor de Amazon Flex. La Sala concluye, eso sí, que la conducta “puede ser reprobable desde el punto de vista de la legislación social, pero no tiene por qué ser sancionada desde la perspectiva de la protección de datos personales”.

Alcance del artículo 10 RGPD y la calificación del certificado negativo

Aquí está el núcleo del fallo, y conviene leerlo con calma porque se apoya en dos razones que no son intercambiables. La primera razón que encontramos es que, al tratarse de un procedimiento sancionador, rige el principio de intervención mínima, y el artículo 10 RGPD habla literalmente de datos relativos a condenas e infracciones penales, no de datos relativos a su ausencia, por lo que estirar esa categoría para poder sancionar es justo lo que el derecho sancionador prohíbe.

La otra razón es de fondo, y en mi opinión, la más interesante. Cuando Amazon recibe un certificado negativo no está tratando el dato protegido (la condena), sino su contrario. Se trata, en palabras de la propia sentencia, de “datos personales que contienen referencias favorables de la conducta de una persona”, que “no están protegidos especialmente” —calificación a la que la Sala llega precisamente por aplicación del principio de prohibición de interpretaciones extensivas propio del derecho sancionador—. Para justificarlo, la Sala matiza que las cosas cambiarían si existiera un acceso al registro que permitiera deducir antecedentes por la simple ausencia del certificado, pero no es el caso, ya que aquí solo se tramitan documentos que los propios candidatos aportan para poder conseguir el trabajo.

Examen de proporcionalidad del artículo 5 RGPD

Hay un detalle que Amazon alegó en su demanda y que la AEPD dejó fuera de su resolución, y que la Audiencia Nacional saca a relucir. Anteriormente, la propia Agencia había examinado un caso parecido, que afectaba a una agencia de trabajadores financieros. En aquella ocasión lo analizó sin recurrir al artículo 10 RGPD, sino teniendo en cuenta la cuestión desde los principios del artículo 5 RGPD, y concluyó que el tratamiento era legítimo. Para la Sala, ese es el camino correcto y la AEPD lo abandonó en este expediente, pese a que la propia Amazon se lo había puesto sobre la mesa.

El artículo 5.1.a) RGPD exige que todo tratamiento de datos personales sea lícito, leal y transparente. Éste es el filtro que debe superar cualquier dato, protegido o no y, es este el motivo por el que esta sentencia no es un cheque en blanco.

La Audiencia Nacional no dice que el tratamiento sea lícito porque el dato haya dejado de ser especial; dice que, al no serlo, hay que comprobar si supera ese examen de licitud, proporcionalidad y minimización. En este caso, los repartidores de Amazon Flex entran en domicilios particulares, manejan datos de los clientes —dirección, teléfono— y transportan paquetes cuyo contenido puede revelar hábitos de consumo o aspectos privados de sus destinatarios. Sobre esta base concreta, la Sala de lo Contencioso-administrativo considera legítimo que la empresa recabe ‘una mínima información sobre la honorabilidad de la persona’ antes de contratarla. Por ende, debemos tener claro que, ese anclaje en el riesgo concreto del puesto del trabajador es lo que impide generalizar el fallo.

Conclusiones prácticas

En el fondo, lo que hace esta sentencia es reordenar dos preguntas que la AEPD nunca llegó a distinguir: si el certificado negativo es un dato protegido (art. 10) y si su tratamiento es proporcionado (art. 5). Como la AEPD respondió que sí a la primera, dio el caso por cerrado sin necesidad de plantearse la segunda. No obstante, la Audiencia Nacional, al responder lo contrario, se obliga a sí misma a abrir la segunda, y en este caso concreto concluye que el tratamiento es lícito porque lo vincula al riesgo específico de los repartidores de Amazon Flex (de ahí que la propia Sala le afee a la AEPD haber aplicado a un transportista una doctrina pensada para vigilantes de seguridad). Por eso el fallo no puede tomarse como regla general ya que caería en el mismo error quien lo extendiera a puestos sin un perfil de riesgo comparable. Una clara señal de esta afirmación es que la Sala no impone costas, ‘en atención a la complejidad de las cuestiones tratadas y a la existencia de un pronunciamiento judicial que sostiene un criterio distinto’.

Finalmente, lo que establece esta sentencia no significa que la solicitud de este tipo de certificados sea ya válida, sino que fija el estándar para defenderla si la AEPD vuelve a cuestionarla por lo que, no basta con exigirlo como trámite sino que hay que justificar por qué el riesgo concreto del puesto lo requiere, y tener resuelta además la base de legitimación del artículo 6.1 RGPD —el precepto que obliga a que todo tratamiento de datos personales se sustente en un título jurídico válido, como el consentimiento o el interés legítimo—. Aquí, al descartar la Sala que el certificado sea un dato del artículo 10, desaparece el único motivo por el que la AEPD había cuestionado el consentimiento de los candidatos, que vuelve a operar como base del artículo 6; pero, la sentencia no llega a examinar si ese consentimiento es realmente libre cuando su aportación es condición para participar en el proceso de selección, cuestión que queda fuera del objeto de este recurso.

Artículo de Diego Buades, licenciado en derecho en prácticas en Buades Legal.