Certificato penale negativo e GDPR: la Audiencia Nacional spagnola annulla la multa da 2 milioni di euro ad Amazon

Una sentenza spagnola destinata a far discutere gli addetti ai lavori della privacy.

L'Agencia Española de Protección de Datos (AEPD) aveva sanzionato Amazon Road Transport Spain per aver richiesto ai candidati del programma Amazon Flex un certificato penale negativo, ritenendo questa richiesta un trattamento di dati "particolari" ai sensi dell'art. 10 GDPR (condanne penali e reati), possibile solo con base giuridica specifica e non tramite il semplice consenso.

La Audiencia Nacional ha ribaltato la decisione, distinguendo nettamente tra:

• dati che attestano l'esistenza di una condanna → art. 10 GDPR
• dati che attestano l'assenza di precedenti → non rientrano in quella disciplina rafforzata

Secondo i giudici, chi riceve un certificato negativo non tratta informazioni su una condotta penalmente rilevante, ma un dato favorevole alla posizione dell'interessato.

Attenzione però: non è un via libera generalizzato. La Corte precisa che il trattamento resta comunque soggetto ai principi generali dell'art. 5 GDPR, liceità, minimizzazione, proporzionalità, e va sempre valutato in relazione alla finalità e alle mansioni concrete. Nel caso Amazon Flex, la richiesta è stata giudicata proporzionata perché i driver accedono al domicilio dei clienti e a informazioni potenzialmente sensibili sulle loro abitudini.

Una sentenza che apre un tema interessante per chi si occupa di compliance e HR: dove finisce l'art. 10 GDPR e dove inizia la valutazione ordinaria di liceità e proporzionalità.

Il caso potrebbe non essere ancora chiuso: resta possibile il ricorso al Tribunal Supremo spagnolo.

#GDPR #Privacy #DataProtection #Compliance #HR #Amazon

Fonte: Federprivacy / Confilegal