PS-00267-2020

1/64  Expediente Nº: PS/00267/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A., en representación de la Unión General de Trabajadores (en lo sucesivo, UGT, el reclamante o entidad reclamante), con fecha 28/11/2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AMAZON ROAD TRANSPORT SPAIN, S.L con CIF B88405303 (en lo sucesivo, AMAZON ROAD, la reclamada o entidad reclamada). Los motivos en que basa la reclamación son los siguientes: 1. Para la contratación de transportistas autónomos como proveedores de servicios, (programa “***PROGRAMA.1”), la entidad reclamada solicita a los candidatos diversa documentación, entre la que se incluye un certificado de ausencia de antecedentes penales. 2. AMAZON ROAD requiere el consentimiento de los candidatos para que “Amazon”, y cualquier entidad vinculada, lleve a cabo transferencias de datos de carácter personal a cualquier entidad vinculada situada fuera del EEE para promover los intereses legítimos de “Amazon” y/o de cualquier entidad vinculada (“Se entiende por Entidad Vinculada “sociedad de cartera de Amazon, sociedad filial o filial de su sociedad de cartera”). 3. “Asimismo, se exige consentimiento para que: . Accurate Background se encargue de recopilar y tratar la información en nombre de Amazon para realizar las verificaciones de antecedentes detalladas anteriormente. . Amazon Development Centre (India) Private Limited, en la India, podrá tener acceso a los datos que proporcione Amazon durante este proceso para dar soporte de la información por mi proporcionada. Por otra parte, requieren consentimiento para exonerar a “Amazon, Accurate Background, sus filiales y sus respectivos agentes que faciliten datos informes sobre mí de cualesquiera reclamaciones, daños y perjuicios, responsabilidades, costes y gastos; o de cualesquiera otros cargos o quejas que surjan de la recopilación, el tratamiento o la divulgación de cualquier información o informe, en la medida permitida por la legislación aplicable”. El reclamante señala que estas dos empresas no tienen sede física ni fiscal en España ni en el territorio de la Unión Europea. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/64 Considera el reclamante que se incumplen los preceptos siguientes: . Artículo 7.5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), “Datos especialmente protegidos”: los relativos a la comisión de infracciones penales o administrativas. . Artículo 10 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD): tratamientos de datos de naturaleza penal. . Artículo 35.3 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo RGPD): supuestos en los que se requiere la evaluación de impacto. Con la reclamación se aporta copia, entre otros, de los documentos siguientes: 1. Contrato mercantil (captura de pantalla), que información en materia de protección de datos personales dirigida a los transportistas, cuyo detalle consta reseñado en el Hecho Probado 9. 2. Apartado de la aplicación de “***PROGRAMA.1” relativo a la verificación de antecedentes (captura de pantalla). “Verificación de antecedentes La verificación de antecedentes podrá incluir, a modo meramente enunciativo, los aspectos enumerados a continuación. Acepto ayudar a Amazon y participar en la realización de estas comprobaciones de la forma necesaria para completar correctamente la verificación de mis antecedentes: 1. El certificado de mi registro en la Seguridad Social. 2. Un certificado del Ministerio de Justicia confirmando que no cuento con antecedentes penales de ningún tipo; 3. Comprobación de cualquier lista de terroristas y sanciones; y 4. Comprobación de que poseo un permiso de conducir válido En relación con este proceso, doy mi consentimiento a que se realicen las comprobaciones mencionadas y otras que se consideren necesarias para el puesto. Entiendo y consiento que Accurate Background se encargue de recopilar y tratar la información en nombre de Amazon para realizar las verificaciones de antecedentes detalladas anteriormente. Entiendo que se me informará de cualesquiera omisiones o falsedades por mi detectadas en el proceso de verificación de antecedentes o en cualquier otra documentación justificativa enviada junto con la solicitud de colaboración, y, a falta de una explicación satisfactoria, esto podrá constituir motivo de terminación o de no contratación para la prestación del servicio o colaboración. Entiendo que la información recibida de Amazon y de cualesquiera agentes que actúen en su nombre será mantenida de forma confidencial y utilizada de forma exclusiva por Amazon y cualesquiera agentes que actúen en su nombre con fines profesionales, y durante la vigencia de mi prestación de servicios a Amazon en caso de ser contratado/a y en la medida permitida C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/64 por la legislación aplicable. Confirmo que he sido informado/a acerca de la inclusión de mis datos personales en un archivo controlado por Amazon, el fin de dicho tratamiento, la identidad del responsable del tratamiento de los datos y los destinatarios de mis datos personales, tales como autoridades y agentes locales, con el objetivo de cumplir con los requisitos legales (p. ej., los dispuestos por la Agencia Tributaria). Entiendo Amazon Development Center (India) Private Limited, en La India, podrá tener acceso a los datos que proporcione a Amazon durante este proceso para dar soporte en la recogida de la información por mí proporcionada, y presto mi consentimiento para dicho acceso. También he sido informado/a de mi derecho a consultar, rectificar y cancelar los datos personales que sobre mí obren en poder de Amazon y cualesquiera agentes que actúen en su nombre, así como a oponerme al tratamiento de aquellos. Soy consciente de que podré ejercer estos derechos en cualquier momento dirigiendo una carta en la que identifique el derecho que quiero ejercitar y adjuntando copia de mi DNI a Avda… Exonero a Amazon, Accurate Background, sus filiales y sus respectivos agentes que faciliten datos o informes sobre mí de cualesquiera reclamaciones, daños y perjuicios, responsabilidades, costes y gastos; o cualesquiera otros cargos o quejas que surjan de la recopilación, el tratamiento o la divulgación de cualquier información o informe, en la medida permitida por la legislación aplicable. ( ) Al marcar esta casilla, doy mi autorización”. 3. Copia de varios correos electrónicos remitidos desde la dirección “***EMAIL.1”, en los que se explica el proceso para completar la solicitud en “***PROGRAMA.1” y la documentación que debe aportarse. En uno de estos correos se indica: “Finaliza el proceso de verificación en la web Accurate. Aún no has finalizado el proceso de verificación en Accurate. Revisa tu cuenta de correo electrónico y busca un email de “***EMAIL.2”, ábrelo y haz clic en el link de acceso. Verás que tu solicitud está en curso, haz clic en “en curso” para continuar y finalizar el proceso” . 4. Copia de un correo electrónico remitido por Accurate Background desde la dirección “***EMAIL.2” acerca del procedimiento para completar la solicitud: “***PROGRAMA.1 España le invita a rellenar el Formulario de Verificación de Antecedentes online a través de Accurate Background como parte del proceso de incorporación. Tendrá que acceder a la página web de Accurate Background a través del enlace de abajo para validar tus datos personales y completar el proceso de solicitud online. Tendrá otros 20 días para subir los documentos requeridos… También se le requerirá presentar una copia del certificado de antecedentes penales en el que se confirme que no tiene antecedentes. Puede encontrar las instrucciones sobre cómo obtener este certificado en el siguiente enlace…”. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó a la reclamada, de conformidad con lo establecido en el artículo 65.4 la LOPDGDD. AMAZON ROAD presentó escrito el día 30/06/2020 en el que pone de manifiesto lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/64 1. De Amazon Road, el programa “***PROGRAMA.1” y otra información relevante Amazon Road es una empresa del grupo Amazon que proporciona servicios de logística y distribución a dicho grupo y que cuenta con la preceptiva licencia o autorización para ejercer la actividad de operador de transporte de mercancías. Amazon Road es la entidad encargada de gestionar el programa “***PROGRAMA.1” que permite a transportistas autónomos registrarse como proveedores de servicios de Amazon Road (“Transportistas Autónomos”). Para poder participar en dicho programa los transportistas autónomos deben aceptar los términos y condiciones que regulan dicho programa, donde se les informa de los tratamientos de datos que la entidad podrá llevar a cabo para la gestión del programa, y descargarse la aplicación “Amazon Delivery” en su dispositivo móvil. A través de dicha aplicación, Amazon Road recaba los datos necesarios de los Transportistas Autónomos a los efectos de (

1. i)verificar que los mismos cumplen con los requisitos para poder participar en el programa, (
2. ii)crear la correspondiente cuenta de usuario necesaria para poder acceder a las ofertas de servicio y (iii) controlar el desarrollo de la prestación de los servicios. Una vez dados de alta en el sistema, los Transportistas Autónomos tienen acceso a la información necesaria para poder prestar los servicios a través del programa “***PROGRAMA.1”. Entre los requisitos que deben cumplir los transportistas autónomos para participar en el programa está la necesidad de disponer un medio de transporte propio para realizar las entregas, (turismo, furgoneta o camión ligero, todos ellos con un peso bruto máximo de 2 toneladas). Las bases legitimadoras de los tratamientos de datos que conlleva el programa citado, dependiendo del tipo de datos recabados y las finalidades previstas, son la ejecución del contrato entre el transportista y la reclamada, el consentimiento informado por el transportista autónomo o el interés legítimo de AMAZON ROAD. 2. De la información solicitada por AMAZON ROAD para poder participar en el programa “***PROGRAMA.1”: los certificados negativos Entre la información que se recaba de los transportistas autónomos que quieren participar en el programa “***PROGRAMA.1” se encuentra un certificado de ausencia de antecedentes penales o certificado negativo, similar al que deben proporcionar los gestores que quieren prestar servicios de transporte, de acuerdo con la regulación en materia de transportes, a los efectos de probar su honorabilidad, pero con un alcance más limitado por cuanto únicamente se refiere a la ausencia de antecedentes penales. Este certificado no proporciona información sobre los antecedentes penales, sino que consiste en un certificado "en blanco" en el que no se contiene información alguna relativa a dicho tipo de datos y que, por tanto, no puede equipararse al certificado “positivo” de antecedentes penales, que sí contiene información relativa a dichos antecedentes, como es el tipo de delito cometido, la fecha de comisión del mismo, la sentencia de condena, el órgano que dicta la sentencia o información sobre la pena C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/64 impuesta y su duración. Ninguno de estos datos figura en los certificados que se requieren a los transportistas, en los que únicamente figuran sus datos identificativos y la mención a la ausencia de antecedentes penales. Esta documentación forma parte de las valoraciones de idoneidad que la reclamada realiza a los potenciales transportistas, considerando que se les proporciona información sensible de los clientes del grupo Amazon (como son sus datos de contacto y dirección) para que estos puedan prestar el servicio contratado (entrega de mercancías). 3. Al recabar un certificado negativo no se tratan datos relativos a condenas o infracciones penales, por cuanto no contiene ningún dato relativo a la comisión de delitos. Sobre esta cuestión, señala que los artículos 10 del RGPD y 10 de la LOPDGDD no se refieren específicamente a los datos de antecedentes penales, sino a datos relativos a condenas e infracciones penales, que es un concepto más específico que, por tanto, no incluiría un certificado de carencia de antecedentes penales. Así pues, de una interpretación literal de lo dispuesto en dichos artículos se desprendería que lo que los mismos prohíben es únicamente el tratamiento de datos relativos a condenas e infracciones penales, de modo que el tratamiento de los certificados negativos quedaría fuera del ámbito de aplicación de estos dos artículos. La única acción que Amazon Road lleva a cabo mediante el tratamiento de dichos certificados es comprobar que no existen datos relativos a condenas o infracciones penales. Y no existiendo dichos datos, difícilmente puede concluirse que se realiza un tratamiento de los mismos. La propia AEPD ha venido aplicando un criterio riguroso en la calificación de la naturaleza de los datos cuando se trata de datos de carácter sensible, como puede verse en el Informe Jurídico 0129/2005, emitido por esta AEPD con anterioridad a la entrada en vigor del RGPD, en el que se indica qué información debe considerarse como dato de salud. En dicho caso la AEPD concluyó que el mero dato de que una persona sea fumadora, sin estar asociado a otros datos que establezcan un determinado hábito, no implica el tratamiento de información directamente relacionada con la salud del afectado: El mismo criterio estricto de calificación sería de aplicación en el caso que ahora nos ocupa: el mero conocimiento de la inexistencia de antecedentes penales no puede considerarse como el tratamiento de datos relativos a condenas o infracciones penales, pues esta información, por sí sola, no comporta el tratamiento de este tipo de datos. 4. El tratamiento llevado a cabo con la recogida de estos certificados negativos es proporcional y no excesivo, que está amparado por la concurrencia de un interés legítimo, de acuerdo con lo dispuesto en el artículo 6.1.
3. f)del RGPD Dicho tratamiento, al no quedar incluido en lo establecido por los artículos antes citados, debe cumplir únicamente los requisitos de licitud del artículo 6 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/64 El acceso por parte de los Transportistas Autónomos a la entrada de los domicilios particulares de los clientes, a los efectos de realizar la entrega de mercancías, y la información personal de los clientes a la que tienen acceso a fin de prestar sus servicios de transporte supone una intromisión en la esfera privada y personal de los clientes del grupo Amazon, protegida de conformidad con el RGPD. Se trata de una intromisión que los clientes de Amazon aceptan como consecuencia de la confianza que tienen depositada en el grupo. Por ello, es importante para AMAZON ROAD proteger esa confianza de los clientes con la selección de los transportistas, extremando las precauciones sobre la idoneidad de los mismos, para lo que ha de adoptar todas las medidas que estén a su alcance, dentro del marco de la legalidad vigente, para garantizar la seguridad y confianza de sus clientes. Y una de estas medidas consiste en la solicitud de los certificados negativos de antecedentes penales. Al realizar el ejercicio de ponderación de los derechos e intereses en juego en el presente caso, Amazon Road ha tenido su propio interés, antes señalado, y el derecho a la protección de datos de dichos transportistas autónomos y, en concreto, el derecho a que no se conozca que éstos carecen de antecedentes penales. A los efectos de valorar qué derecho o interés debería prevalecer, se han tenido en cuenta, entre otros hechos, los siguientes: . La naturaleza de los servicios prestados bajo el programa “***PROGRAMA.1”, que comporta el acceso a los datos de contacto de los clientes y el desplazamiento de los proveedores a los domicilios particulares de éstos para poder efectuar las entregas; . El riesgo inherente a la relación de confianza que establecen las personas que se encuentran dentro de los domicilios particulares, en relación con los Transportistas Autónomos del programa “***PROGRAMA.1”; . La condición de depositarios de las mercancías que adquieren los transportistas, algunas de ellas de alto valor, y el acceso que tienen al inventario de pedidos gestionados por la reclamada, cuando acceden a las instalaciones de esta última para la recogida de pedidos; . La obligación de AMAZON ROAD de asegurar que los servicios se ofrecen con todas las garantías y sin ningún tipo de riesgo para los clientes; y . La leve intrusión e impacto en la intimidad de los transportistas autónomos que supone el hecho de que la entidad reclamada conozca que los mismos carecen de antecedentes penales. La ponderación realizada es similar al juicio de proporcionalidad realizado por la AEPD en la resolución de archivo de las actuaciones dictadas en expediente E/00037/2013, en la que se valoraba el tratamiento por parte de un empleador de un certificado de sus trabajadores sobre la inexistencia de antecedentes penales. En dicha resolución, la AEPD concluyó que el tratamiento por parte del empleador de una declaración de los empleados en cuanto a la ausencia de antecedentes penales constituía un tratamiento proporcional que, atendidas las concretas circunstancias del caso, tendría C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/64 cabida dentro de “las medidas de control empresarial adecuadas a su actividad con respeto a la dignidad humana”. A nuestro entender, el tratamiento de datos efectuado por AMAZON ROAD superaría el juicio de proporcionalidad arriba indicado, atendiendo, en primer lugar, a la sensibilidad de los datos tratados por los transportistas; en segundo lugar, por tratarse de una medida idónea para la finalidad perseguida por la empresa y no invasiva en la esfera de los interesados, por cuanto la información recabada no contiene datos respecto a condenas o infracciones penales; y, en tercer lugar, por la obligación que tiene Amazon Road, en tanto que operador de transporte, de actuar de forma diligente y adoptar todas aquellas medidas que estén a su alcance para minimizar al máximo cualquier riesgo para sus clientes como consecuencia de los servicios prestados. 5. El interés legítimo de la compañía en el tratamiento de datos de carácter personal también vendría justificado por lo dispuesto en la Ley de Ordenación de los Transportes Terrestres, cuyo artículo 119 sujeta la actividad de los operadores de transporte a la obtención de una autorización administrativa, con los mismos requisitos que se exigen para el transporte público de mercancías. Entre dichos requisitos, según los artículos 42 y siguientes de la Ley de Ordenación de los Transportes Terrestres, y 33 del Real Decreto 1211/1991, de 28 de septiembre, por el que se aprueba el Reglamento de Ordenación de Transportes Terrestres, se encuentra el requisito de honorabilidad, esto es, el no haber sido condenado por la comisión de delitos o faltas penales ni sancionado por la comisión de infracciones relacionadas con los ámbitos mercantil, social o laboral, de seguridad vial o de ordenación de los transportes terrestres. Pues bien, mediante el tratamiento de los certificados negativos de los transportistas que participan en el programa “***PROGRAMA.1”, AMAZON ROAD pretende velar porque su posición como operador de transportes no se vea comprometida por aquellos transportistas. A tal fin, aplica un estándar mínimo de diligencia. De ahí que Amazon Road solicite dichos certificados negativos. 6. El tratamiento de los certificados negativos sería también necesario para la ejecución del contrato celebrado entre los transportistas autónomos y AMAZON ROAD. El tratamiento de los certificados negativos es el único medio a través del que Amazon Road puede garantizar la aplicación a los Transportistas Autónomos de los mismos estándares de diligencia que se aplica a ella misma, en tanto que operador de transporte y, al mismo tiempo, garantizar al máximo la seguridad y confianza de los clientes del grupo Amazon. Por dicho motivo, el tratamiento de los repetidos certificados negativos, en tanto que referido a una información necesaria para poder valorar la idoneidad de los transportistas para la prestación de servicios, quedaría amparado también por los dispuesto en el artículo 6.1.
4. b)del RGPD, por cuanto sería necesario para la ejecución del contrato entre la entidad y los transportistas. 7. AMAZON ROAD no comunica a terceros la información recabada a través de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/64 certificados negativos, incluidas las empresas pertenecientes a su mismo grupo. Sin perjuicio de lo anterior, sí cuenta con la ayuda de empresas prestadoras de servicios que le asisten en algunas de las actividades que lleva a cabo en el marco del programa “***PROGRAMA.1”, como son, entre otras, las comprobaciones iniciales para asegurar que los Transportistas Autónomos cumplen los requisitos o las verificaciones de los historiales proporcionados por estos últimos. Entre dichos proveedores estarían las entidades Accurate Background, Inc. y Amazon Development Centre (India) Private Limited, que cita la reclamante en su escrito. Ahora bien, dichas entidades, en tanto que prestadoras de servicios a AMAZON ROAD, tienen suscritos con la reclamada los correspondientes contratos de encargo en virtud de lo dispuesto en la normativa sobre protección de datos, por lo que no pueden ser consideradas como terceras empresas a las que se transfieran datos de carácter personal. Asimismo, la transferencia internacional de datos que comporta el acceso por parte de dichas compañías a los datos de AMAZON ROAD cumple con los requisitos establecidos en los artículos 44 y siguientes del RGPD. 8. De las medidas de seguridad aplicadas en el tratamiento de datos derivados del programa “***PROGRAMA.1”. AMAZON ROAD, como empresa parte del grupo Amazon, tiene implementadas diversas políticas internas dirigidas a garantizar la protección de los tratamientos de datos de carácter personal que lleva a cabo, incluido el tratamiento de datos derivado del programa “***PROGRAMA.1”, que también son exigidas a aquellos proveedores con los que tiene suscritos contratos de tratamiento por encargo. Todas estas medidas han sido adoptadas teniendo en cuenta la naturaleza de los datos a tratar y los riesgos asociados a dicho tratamiento, como los derivados de la pérdida, su comunicación o acceso no autorizado de los datos. 9. Por último, manifiesta la reclamada que desde el pasado mes de marzo de 2020 ha suspendido temporalmente el tratamiento de los datos de carácter personal relativos a los certificados negativos de los transportistas autónomos como consecuencia de la situación provocada por la pandemia del COVID-19, siendo por ello una actividad que no realiza a fecha de la presentación de su escrito. TERCERO. La reclamación fue admitida a trámite mediante acuerdo de 12/08/2020. CUARTO: Con fecha 12/05/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad AMAZON ROAD, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por las presuntas infracciones siguientes: 1. Incumplimiento del artículo 6.1 del RGPD, en relación con el artículo 10 del RGPD y del artículo 10 de la LOPDGDD, tipificada en el artículo 83.5 del RGPD y en el artículo 71 de la LOPDGDD. 2. Incumplimiento del artículo 7 del RGPD, en relación con el artículo 6.1.
5. a)del mismo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/64 Reglamento, tipificada en el artículo 83.5 de dicho texto legal. 3. Incumplimiento del artículo 49.1 del RGPD, tipificada en el artículo 83.5 de la citada norma. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo que resulte de la instrucción, ascendería a un total de 3.300.000 euros (2.000.000 euros por la infracción del artículo 6.1 del RGPD en relación con el artículo 10 de la misma norma, así como el artículo 10 de la LOPDGDD; 300.000 euros por la infracción del artículo 7 del RGPD, en relación con el artículo 6.1.
6. a)del mismo texto legal; y 1.000.000 euros por la infracción del artículo 49.1.
7. a)del RGPD). En el mismo acuerdo de apertura del procedimiento se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la imposición de medidas, de acuerdo con lo establecido en el citado artículo 58.2
8. d)del RGPD. QUINTO: Notificado el citado acuerdo de inicio y ampliado el plazo concedido para formular alegaciones, AMAZON ROAD presentó escrito de fecha 07/06/2021, en el que solicita el archivo del procedimiento sancionador o, subsidiariamente, la imposición de una multa en cuantía mínima, conforme a las consideraciones siguientes: 1. El certificado de ausencia de antecedentes penales que deben aportar los aspirantes a participar en el programa “***PROGRAMA.1” no contiene datos relativos a condenas e infracciones penales, a los que se refieren específicamente el Considerando 75 y el artículo 10 del RGPD y el artículo 10 de la LOPDGDD (interpretación literal). Lo mismo se establecía en la Directiva 95/46/CE, en la derogada Ley Orgánica 15/1999 y también en el Convenio 108 del Consejo de Europa. Todas estas normas se refieren a datos relativos a condenas e infracciones penales y no a datos relacionados con la existencia o ausencia de antecedentes penales. Se trata de un certificado “en blanco” cuyo contenido no es equiparable a un certificado “positivo” de antecedentes penales, que sí incluye información sobre tipo de delito cometido, fecha d comisión, sentencia de condena y pena impuesta. 2. Cita un precedente de la AEPD, señalado con el número de expediente E/00037/2013, que versaba acerca de la solicitud de una declaración responsable en la que los sujetos afirmaran que carecían de antecedentes penales (no la solicitud del certificado). Según Amazon, la Agencia admitió en este precedente el tratamiento de certificados negativos emitidos por los empleados (declaraciones) sin sujetarlos a la regulación específica de los datos relativos a condenas penales. En relación con este precedente, que ya fue citado por la reclamada en el trámite de Traslado, en el acuerdo de apertura se responde que la Sentencia de la Sala de lo Social de la Audiencia Nacional 14/2020, de 10 de febrero de 2020, señala que la solicitud de una declaración responsable sobre la carencia de antecedentes penales ha de ser considerada un tratamiento de datos relativos a condenas penales. Amazon cuestiona este argumento señalando que la sentencia se dicta por la jurisdicción social, que no es la competente para revisar las decisiones de la Agencia; y que dicha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/64 sentencia no justifica por qué un certificado negativo constituye un tratamiento de datos relativos a condenas penales. 3. Según la entidad reclamada, otros Estados miembros vienen aceptando una interpretación distinta en relación con lo establecido en el artículo 10 del RGPD: . Países Bajos acepta los certificados que acreditan la inexistencia de antecedentes penales, conocido como “Verklaring omtrent gedrag” (VOG). . En Francia, los empleadores están autorizados a solicitar, durante un proceso de selección de aspirantes a un empleo, un certificado de sus antecedentes penales, positivo o negativo (“Certificado B3”). . En Alemania se permite solicitar a la persona que se va a contratar confirmación de que no tiene antecedentes penales que sean relevantes para el empleo. 4. La interpretación más coherente con el espíritu y finalidad de las normas indicadas da a entender que su propósito es evitar la creación de ficheros de condenas e infracciones penales. 5. Subsidiariamente, alega falta de culpabilidad en la infracción imputada. Entiende AMAZON ROAD que ha empleado la diligencia que le era exigible, teniendo en cuenta los argumentos expresados anteriormente. Añade que solo Accurate Background accede a estos datos; y que suspendió la solicitud de estos certificados en marzo de 2020 por la pandemia, no habiendo reanudado el tratamiento de los certificados negativos a la vista de las interpretaciones de esta Agencia y de la Sentencia antes citada, tal y como se indicó en el trámite de traslado de la reclamación. 6. No existe incumplimiento de lo dispuesto en el artículo 7 del RGPD por las actividades de tratamiento llevadas a cabo por Accurate Background Inc. y Amazon Development Centre (India) Private Limited, que no actúan como terceros ni esta intervención se basa en el consentimiento de los interesados. Amazon Road no comparte la información relativa a los certificados negativos con ninguna entidad del Grupo o con terceros. Las entidades citadas asisten a la reclamada como empresas prestadoras de servicios en las comprobaciones iniciales sobre los transportistas participantes en el programa, en virtud de un contrato de encargo de tratamiento suscrito por las entidades intervinientes. Siendo así, dichas empresas no pueden ser consideradas como terceros y el tratamiento de datos que realizan no requiere el consentimiento. Esto ya se menciona en el proceso de registro cuando se informa “Entiendo y consiento que Accurate Background se encargue de recopilar y tratar la información en nombre de Amazon para realizar las verificaciones de antecedentes detalladas anteriormente”. Añade que Amazon Development Centre (India) Private Limited actúa como encargada del tratamiento de AMAZON ROAD para el proceso de registro de los participantes en el programa “***PROGRAMA.1”, pero nunca ha tenido acceso a los certificados negativos de antecedentes penales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/64 7. Sobre la imputación de una posible infracción de lo establecido en el artículo 49 del RGPD, después de señalar que el acuerdo de inicio no aclara a qué concretas transferencias internacionales de datos se refiere la AEPD, alega que las transferencias internacionales de datos que realiza a empresas del grupo o a sus proveedores situados fuera del EEE no se basan en el consentimiento de los interesados y cumplen las garantías exigidas por el RGPD. Advierte que tiene suscritas con cada entidad las correspondientes cláusulas contractuales tipo aprobadas por la Comisión Europea mediante la Decisión 2010/87/UE, de 5 de febrero de 2010, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países, de conformidad con la Directiva 95/46/CE, que son una de las garantías que pueden ofrecer los responsables del tratamiento de acuerdo con lo dispuesto en el artículo 46 del RGPD. En relación con Accurate Background Inc. indica que, desde 2016, era una entidad adherida al Escudo de Privacidad UE-EEUU. Y aclara que, aunque el Escudo de Privacidad dejó de surtir efectos con la Sentencia del TJUE de 16/07/2020, en esta fecha ya no recababa ni requería la presentación de los certificados negativos de antecedentes penales. 8. En relación con la graduación de las sanciones alega, subsidiariamente, que deberán tenerse en cuenta las circunstancias siguientes: . El tratamiento de datos relacionado con los certificados negativos de antecedentes penales únicamente afectó al 16,76% de todos los conductores de última milla registrados en España, al representar el programa “***PROGRAMA.1” una pequeña proporción de los proveedores de transporte que realizan entregas en España (nunca han superado el 5%). . El tratamiento de datos relacionado con los certificados negativos de antecedentes penales no puede ser comparado con el tratamiento de datos sobre condenas e infracciones penales. . La actividad que desarrolla AMAZON ROAD, como empresa de logística que actúa como operador de transporte, no es intensiva en el tratamiento de datos personales, ni se basa en la explotación de datos personales. El tratamiento que realiza, para la gestión de personal y la gestión de paquetes para su entrega, es instrumental. . El tratamiento de datos objeto de la reclamación fue suspendido en marzo de 2020 y no ha sido reanudado. . AMAZON ROAD no ha sido sancionada por infracción a la normativa de protección de datos personales ni ha recibido reclamación alguna por parte de ningún tercero en relación con los certificados negativos de antecedentes penales. Con sus alegaciones, AMAZON ROAD aporta, entre otros, los documentos siguientes:
9. a)Aporta copia del “Acuerdo Intra-Grupo para la Transferencia y Tratamiento de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/64 Datos” (“Intra-Group Data Transfer and Processing Agreement”), de fecha 01//01/2019, firmado entre distintas entidades del grupo Amazon, incluidas las entidades AMAZON ROAD, como entidad “exportadora”, y Amazon Development Centre (India) Private Limited, como entidad “importadora/encargada del tratamiento”. El contenido de este “Acuerdo” consta reseñado en el Hecho Probado 3.
10. b)“Acuerdo de Tratamiento de Datos” (“Data Processing Agreement”), de 18/10/2018, firmado por algunas entidades del grupo Amazon y Accurate Background Inc. Entre aquellas entidades del grupo figura la entidad Amazon Spain Fulfillment, S.L.U., que se encargaba de gestionar el negocio de media milla y última milla (“negocio de operador de transporte”). El contenido de este “Acuerdo” consta reseñado en el Hecho Probado 4.
11. c)Proyecto de Escisión Parcial de Amazon Spain Fulfillment, S.L.U., de 28/06/2019, en virtud del cual AMAZON ROAD recibió el “negocio de operador de transporte” y se produjo una sucesión universal de todas las relaciones jurídicas afectas a los elementos patrimoniales del negocio.
12. d)Copia del extracto obtenido de la página web “www.privacyshield.gov” en relación con la adhesión de Accurate Background Inc. el “Escudo de Privacidad UE-EEUU”. En este documento se indica “Fecha de certificación original: 11/08/2016”.
13. e)Información obtenida del Registro Mercantil de Madrid relativa a AMAZON ROAD. Consta como fecha de inicio de operaciones el 31/05/2019 y como objeto social “la prestación de servicios logísticos y de distribución, en particular el transporte, la manipulación y el almacenamiento”. El capital suscrito es de 6.259,00 euros. SEXTO: Con fecha 03/12//021, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la reclamación interpuesta y su documentación, así como los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación; y por presentadas las alegaciones formuladas por AMAZON ROAD al acuerdo de inicio del procedimiento y la documentación que a ellas acompaña. Asimismo, se acordó incorporar a las actuaciones la información relativa a la entidad AMAZON ROAD en “Axesor” (“Informe monitoriza”). (…). SÉPTIMO: Con fecha 29/12/2021, se emitió propuesta de resolución en el sentido siguiente: 1. Que por la Directora de la AEPD se sancione a la entidad AMAZON ROAD, por una infracción del artículo 6.1 del RGPD, en relación con el artículo 10 del mismo Reglamento y del artículo 10 de la LOPDGDD, tipificada en el artículo 83.5 del RGPD y en el artículo 71 de la LOPDGDD, y calificada como muy grave a efectos de prescripción en el artículo 72.1 de la LOPDGDD, con una multa por importe de 2.000.000 euros (dos millones de euros). 2. Que por la Directora de la AEPD se imponga a la entidad AMAZON ROAD, en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/64 plazo que se determine, la adopción de las medidas necesarias para adecuar su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de Derecho VII de la propuesta de resolución. OCTAVO: Notificada la propuesta de resolución y ampliado el plazo concedido para la formulación de alegaciones, se recibió escrito de AMAZON ROAD en el que solicita el sobreseimiento del expediente o, subsidiariamente, la imposición de una sanción en su cuantía mínima, conforme las consideraciones siguientes: 1. Reitera que un certificado negativo de antecedentes penales no comporta un tratamiento de datos relativos a condenas e infracciones penales en el sentido del artículo 10 del RGPD y artículo 10 de la LOPDGDD, señalando al respecto que los artículos 136.4 del Código Penal y 17 del Real Decreto 95/2009, ni la Sentencia de la Audiencia Nacional de 20 de junio de 2017, citados en la Propuesta de Resolución no confirman que así sea. Dichos artículos hacen referencia a la expedición de estos certificados, diferenciando entre certificados negativos y positivos, siendo estos últimos los únicos que contienen datos relativos a condenas e infracciones penales. Estos artículos, a juicio de la reclamada, no avalan lo declarado en la propuesta de resolución. Entiende que la misma conclusión resulta de la Sentencia citada, que analiza la imposibilidad de omitir en un certificado datos relativos a una condena extranjera, y se refiere a certificados positivos, en virtud de lo dispuesto en el artículo 17.2 del Real Decreto 95/2009. 2. Reitera también que no existe un criterio unánime y consolidado entre los Estados miembros sobre la interpretación realizada por la AEPD. Como ya manifestara en las alegaciones a la apertura, señala que la autoridad de protección de datos de Países Bajos acepta estos certificados negativos (Verklaring omtrent gedrag o "VOG") y aporta extractos de la página del Ministerio de Justicia de ese país con información sobre dicho documento; y de la web de la autoridad de control que admite su uso cuando concurra un interés legítimo del empleador. En el caso francés, la autoridad de control (CNIL) ha incluido información en su web según la cual, en ausencia de norma específica que prevea la verificación de este tipo de antecedentes, el empleador podrá solicitar a un empleado que presente un extracto de sus antecedentes penales durante una entrevista y hacer anotación sobre esta verificación “si/no”, sin recabar copia del documento. Es un tratamiento equivalente al certificado negativo que recaba la reclamada. Atendiendo a este criterio, la interpretación más coherente con el espíritu y finalidad de la norma es evitar un tratamiento injustificado y la creación de ficheros con estos datos. 3. Subsidiariamente, alega inexistencia de culpabilidad en la infracción imputada, también invocada en las alegaciones a la apertura del procedimiento, a las que se remite expresamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/64 4. Para el caso de que se considere que ha existido infracción, alega las circunstancias siguientes, para que sean tenidas en cuenta en la graduación de la sanción: A) Sobre las circunstancias agravantes consideradas en la propuesta de resolución.
14. a)Duración de la infracción: los certificados negativos que pudo recabar antes de marzo de 2020 se conservaron durante 90 días para realizar la verificación (aporta certificación de Accurate Background, de 19/01/2022, en el que se pone de manifiesto que, según las instrucciones de la cuenta de Amazon, cualquier dato relativo a candidatos del programa “***PROGRAMA.1” se elimina de la plataforma a los 90 días, incluyendo cualquier documento proporcionado como parte del proceso de comprobación), por lo que desde mayo de 2020 no posee ningún dato de este tipo. Siendo así, no puede considerarse la existencia de una infracción permanente.
15. b)Número de afectados: aunque la propuesta indica que AMAZON ROAD no aportó prueba respecto del número de afectados, en el escrito de alegaciones a la apertura se indicó que el programa “***PROGRAMA.1” representa el 5% de los proveedores que realizan entregas en España y, con respecto a los conductores de última milla, solo el 16,7% son participantes en este programa.
16. c)Nivel de daños y perjuicios: no entiende en qué medida el tratamiento de un certificado negativo ha podido condicionar las opciones de contratación de los sujetos participantes, dado que la entidad ha contratado a los transportistas que disponían de este documento, y los que no disponían del mismo no han sido participantes del programa.
17. d)Intencionalidad o negligencia: La ausencia de un criterio claro y sólido por parte de esta Agencia cuando la entidad empezó a requerir los certificados en cuestión y la aparición posterior de la Sentencia de la Audiencia Nacional de 10 de febrero de 2020, que parecería avalar una de las posibles interpretaciones del artículo 10 del RGPD, no puede una entidad que actuó con toda la diligencia debida y cesó en dicha actividad en cuanto se dieron cuenta de la posible existencia de un criterio contrario a la interpretación que Amazon Road entendía ajustada a derecho, apropiada a las actividades que se iban a llevar a cabo bajo el programa “***PROGRAMA.1”. A lo anterior cabe añadir que otras autoridades de protección de datos sometidas al RGPD, como la de los Países Bajos o Francia, no consideran que este tratamiento sea contrario al artículo 10 del RGPD. Asimismo, existían resoluciones de la propia Agencia que avalaban la interpretación que AMAZON ROAD realizó del artículo 10 del RGPD y tras realizar una consulta telefónica con el Ministerio de Justicia que, con carácter informal, avaló dicha propuesta. Por tanto, siendo una cuestión discutida, en buena fe entendió que su interpretación era la correcta de conformidad con la información disponible en el momento de iniciar el tratamiento y acomodó su conducta tan pronto como tuvo conocimiento de la interpretación sostenida por la Agencia o por una autoridad judicial española. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/64
18. e)El grado de responsabilidad de la responsable habida cuenta las medidas técnicas u organizativas: la infracción declarada por la Agencia, que resulta de una interpretación de la norma, nada tiene que ver con el sistema de gestión de los datos diseñado por AMAZON ROAD a la hora de recabar los datos de los participantes en el programa. En este sentido, se remite a su escrito de alegaciones anterior. Añade que en su respuesta al trámite de traslado expuso las medidas técnicas y organizativas implementadas en relación con el tratamiento de datos derivado del programa “***PROGRAMA.1”, sin que la Propuesta de Resolución indique que estas medidas sean insuficientes o cuáles serían las medidas omitidas.
19. f)Categorías de datos personales: no puede ser equivalente el tratamiento de un certificado en el que se indica que una persona no se encuentra inscrito en un registro, que el que efectivamente se refiere a condenas e infracciones penales, de modo que no puede aplicarse el mismo agravante. Esta interpretación coincide con la que realiza la autoridad de control de Países Bajos.
20. g)Vínculo entre la actividad de AMAZON ROAD y el tratamiento de datos personales: se trata de una empresa de logística que actúa como operador de transporte de mercancías, cuya actividad no es intensiva en el tratamiento de datos personales, aunque implique el tratamiento de datos personales (básicamente para la gestión de su propio personal y para la gestión de paquetes para su entrega), éste es de forma instrumental sin que su actividad principal se base en la explotación de datos personales, ni los utiliza para otras finalidades distintas a la gestión de su actividad. Que trate un determinado número de datos de empleados, clientes y contratistas no debe ser motivo para considerar una "alta" vinculación, siendo únicamente relevante la naturaleza de la actividad desarrollada y, por tanto, el impacto o afectación que dicha actividad tiene en el tratamiento de datos. De hecho, en la Resolución de 26 de octubre de 2021, dictada en el procedimiento sancionador PS/00050/2021, una baja vinculación entre el responsable y la realización de tratamientos de datos se ha considerado por parte de esta Agencia como atenuante: "En contrapartida se observan se observa que concurre como atenuante que la reclamada es una entidad del sector logístico en el que se tratan datos de sus empleados si bien no concurre la vinculación de la actividad del infractor con la realización de tratamientos de datos personales (76.2.b LOPDGDD).
21. h)Condición de gran empresa y volumen de negocio: toma la Agencia en consideración las cifras del año 2020, en el que dejó de tratar los datos de los certificados negativos. Por ello, entiende más ajustado a derecho considerar los datos contables de 2019 y, ello, (
22. i)por ser el 2019 el año anterior al año en que la Agencia emitió su requerimiento de información y (
23. ii)por ser el año en el que se presentó la reclamación que ha dado lugar a este expediente sancionador. La cifra de negocios de Amazon Road relativa al año 2019 ascendió a 237.000.000 euros con un resultado del ejercicio de 1.862.000 euros (aporta extracto de las cuentas). B) Circunstancias atenuantes.
24. a)El tratamiento de datos objeto de la presente reclamación fue suspendido en marzo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/64 de 2020, como ya indicó en el escrito de respuesta al traslado y en el de alegaciones a la apertura del procedimiento. Adjunta el modelo de correo que la entidad envió en marzo de 2020 a los usuarios del Programa “***PROGRAMA.1” que estaban en proceso de registro (si bien el correo lleva fecha de 2022 ello obedece únicamente a que para su aportación a este procedimiento se ha tenido que efectuar un envío de la plantilla modelo, quedando como fecha la del envío). Como puede verse, fueron las circunstancias del momento (esto es, Covid-19) las que llevaron a la entidad a suspender temporalmente la petición de los certificados negativos. Dicha suspensión temporal se convirtió en definitiva tras tener conocimiento de la Sentencia de 10 de febrero de 2020, dictada por la Sala de lo Social de la Audiencia Nacional, aunque no compartiera la interpretación recogida en esta Sentencia, y el certificado negativo dejó de solicitarse, incluso a los transportistas que recibieron aquel correo. Aunque esta parte no compartiera dicha interpretación, lo cierto es que una vez conocida la sentencia cesó definitivamente la petición de los certificados negativos. Todo ello ocurrió antes de dictarse el acuerdo de apertura del procedimiento y sin que dicha decisión fuese adoptada como consecuencia de la intervención de esta Agencia.
25. b)Toda infracción anterior cometida por el responsable del tratamiento. En contra de lo indicado en la propuesta, las resoluciones de la AEPD dictadas en los procedimientos PS/00165/2021, PS/00227/2021 y PS/00015/2021 consideran como atenuante el hecho de no haber sido sancionado con anterioridad: Por ello, entiende la reclamada que, de no constituir dicha circunstancia un atenuante a la luz de lo dispuesto en el artículo 83.2
26. e)del RGPD, como se indica en la Propuesta de Resolución, nada impide que lo constituya al amparo de lo dispuesto en el artículo 83.2 (
27. k)del RGPD, teniendo en cuenta la práctica de esta Agencia. AMAZON ROAD nunca ha sido sancionada por una infracción de la normativa sobre protección de datos, ni ha recibido ninguna reclamación por parte de ningún tercero en cuanto al tratamiento de los certificados negativos.
28. c)AMAZON ROAD no ha obtenido beneficio alguno de los hechos reclamados. Al amparo de lo dispuesto en los artículos 83.2.
29. k)del RGPD y 76.2.
30. c)de la LOPDGDD, entiende esta parte que en el presente caso también debe ser de aplicación este factor atenuante, por cuanto el tratamiento de los certificados negativos no ha reportado ningún beneficio adicional. Este factor de graduación ha sido considerado por la Agencia en su resolución del procedimiento señalado con el número PS/00227/2021.
31. d)La diligencia presente en la actuación de AMAZON ROAD. Si para la AEPD la diligencia con la que ha actuado AMAZON ROAD en todo momento en relación con el tratamiento de los datos de los certificados negativos no es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/64 suficiente como para considerar que concurre en una ausencia de culpabilidad, como sostiene en sus alegaciones, dicha diligencia sí debería ser considerada, cuanto menos, como un atenuante al amparo de lo dispuesto en el artículo 83.2 apartados
32. b)y/o
33. k)del RGPD, tomando en consideración las siguientes circunstancias: . La interpretación literal del artículo 10 del RGPD y 10 de la LOPDGDD sugería que dichos artículos no se refieren a cualquier dato relacionado con antecedentes penales, sino los datos relativos a condenas e infracciones penales, lo que a juicio de esta parte no alcanzaba a la confirmación de la ausencia de antecedentes penales. . La interpretación anterior resultaba acorde con la anterior normativa sobre protección de datos aplicable en territorio español. . No existía un criterio consolidado, expreso y público por parte de la Agencia en cuanto al tratamiento de los datos relativos a la ausencia de antecedentes penales (no en relación con los datos relativos a la comisión de infracciones y existencia de condenas penales). . Existían resoluciones de la propia Agencia que avalan la interpretación que AMAZON ROAD realizó del artículo 10 del RGPD. . AMAZON ROAD llegó incluso a realizar una consulta telefónica con el Ministerio de Justicia que, con carácter informal, avaló dicha propuesta. . Para proceder al tratamiento de los datos relativos a los certificados negativos contrató a una entidad especializada en la selección y control de idoneidad de los contratistas. . La interpretación del artículo 10 del RGPD dada por otras jurisdicciones avalaba también la interpretación de AMAZON ROAD. . En marzo de 2020 Amazon Road suspendió el tratamiento de dichos certificados negativos, según se expuso anteriormente. Estas circunstancias demuestran que la conducta de AMAZON ROAD no puede ser tachada de imprudente o irresponsable, sino más bien de todo lo contrario: diligente y acomodando su comportamiento a la interpretación de la normativa de protección de datos surgida de la propia Agencia y de los tribunales de Justicia. 5. De las medidas correctoras contenidas en la Propuesta de Resolución. Pues bien, habiendo quedado acreditado que no recaba los certificados negativos de los participantes en el programa “***PROGRAMA.1” desde marzo de 2020 y tampoco conserva dichos certificados, entiende que, en el supuesto de que finalmente se considerase que existe una infracción del artículo 6.1 del RGPD en relación con el artículo 10 del RGPD y del artículo 10 de la LOPDGDD, no procedería ninguna de las medidas propuestas. Con su escrito de alegaciones, aporta, entre otros, los documentos siguientes: 1) Extractos de la web del Ministerio de Justicia de los Países Bajos, junto con su traducción, en los que se proporciona información sobre el documento "VOG". En esta información se indica: “¿Qué es un VOG? A menudo se requiere un Certificado de Buena Conducta (VOG) para un trabajo (nuevo). En C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/64 algunos sectores, como el cuidado de los niños, esto es incluso requerido por la ley. Justis maneja las aplicaciones de VOG y es el único organismo en los Países Bajos que emite el VOG. Un VOG es una declaración que muestra que su pasado (judicial) no constituye un obstáculo para cumplir una tarea o función específica en la sociedad. Al evaluar una solicitud de VOG, Justis verifica si ha cometido delitos penales que representan un riesgo para el puesto o propósito para el que está solicitando el VOG. Algunos delitos penales constituyen una objeción para un trabajo o pasantía, pero no para otro… ¿No tiene antecedentes penales o no ha cometido ningún delito penal que sea relevante para el propósito de la solicitud? Luego recibirá un VOG”. “¿Por qué y cuándo deberías hacer un screening? ...Como empleador, usted tiene una gran responsabilidad en la evaluación de la fiabilidad del personal futuro. Uno de los instrumentos que usted, como organización, puede utilizar en su directiva de integridad es el certificado de buena conducta (VOG). Es recomendable seleccionar para todos los puestos donde es importante que el empleado es confiable. Pensar en: gerentes con muchos poderes; empleados que trabajan con grupos vulnerables como niños, ancianos, enfermos o personas con una restricción; empleados que trabajan con dinero y bienes; empleados que pueden acceder a información confidencial… Eso tiene que ver con los poderes y la naturaleza del trabajo… Reglas para el screening La evaluación puede ser muy drástica para la privacidad del solicitante o empleado. Por lo tanto, la detección es solo bajo ciertas condiciones legales (Reglamento General de Protección de Datos (GDPR)) permitido: Debe tener una razón legítima (interés legítimo) para la proyección. El screening debe ser necesario. Debe cumplir con la obligación de proporcionar información. No puede utilizar los datos obtenidos de la proyección para ningún otro propósito que no sea para lo cual los obtuviste. Solo puede conservar los datos durante el tiempo que sea necesario para el propósito del screening. Debe proteger los datos correctamente. ¿No está seguro de si se le permite examinar? Para obtener más información, visite el sitio web de la “Autoridad Holandesa de Protección de Datos”. Pulsando el enlace “Autoridad Holandesa de Protección de Datos” insertado al final del texto se accede a la web de esta entidad, a la información aportada por AMAZON ROAD como “Documento 2”. 2) Extractos de la web de la Autoridad de Control de los Países Bajos (Autoriteit Persoonsgegevens), y su traducción, en relación con el tratamiento de los certificados "VOG". “Investigación de antecedentes (screening) Es importante que los empleadores seleccionen y empleen empleados confiables. El screening es una herramienta para limitar los riesgos. Para ciertos puestos (por ejemplo, en el cuidado de niños) el screening es incluso requerido por la ley. El screening significa que un empleador solicita información sobre un solicitante o empleado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/64 para estimar su integridad. Por ejemplo, llamando a las referencias de un solicitante o buscando si él o ella está en una “Lista negra”. Condiciones del Screening El screening puede ser muy invasivo para la privacidad del solicitante o empleado en cuestión. Por lo tanto, el screening solo está permitido bajo ciertas “condiciones legales”. Las condiciones más importantes son que el empleador tenga una razón legítima (interés legítimo), que el screening sea necesario y que el empleador informe adecuadamente al solicitante o empleado de antemano y después. Interés legítimo El “interés legítimo” de un empleador en una evaluación (screening) es generalmente que debe ser capaz de confiar en que su (futuro) empleado es honesto y confiable. Necesidad El hecho de que el screening debe ser “necesario” significa, entre otras cosas, que el empleador no debe ser capaz de lograr su objetivo con un medio menos drástico que el screening. Informar El empleador debe informar al solicitante o empleado “sobre el screening”. El empleador debe informar a esta persona con anticipación que se llevará a cabo un screening y luego cuáles son los resultados”. “Preguntas de los empleadores sobre el screening […] Como empleador, ¿cómo determino que el screening es necesario? Usted hace un inventario de los riesgos asociados con los diversos grupos de funciones dentro de su organización. Luego verifique si puede limitar los riesgos de otra manera que no sea a través del screening. …Por ejemplo, los puestos en los que el personal trabaja con información confidencial son conscientes del riesgo de vender o transmitir esta información… Mitigación de riesgos ¿Ha trazado los riesgos? Luego, debe configurar su organización de tal manera que reduzca los riesgos inventariados. Se puede pensar en estrictos controles internos o distribución de poderes. Las buenas medidas organizativas pueden garantizar que los riesgos para su organización se eliminen por completo. De lo contrario, puede ser necesaria el screening de solicitantes o empleados. [...]”. “Solicitudes… Período de retención de los datos de la solicitud ¿Un solicitante no obtuvo el puesto? Entonces, es habitual que la organización elimine sus datos a más tardar 4 semanas después del final del procedimiento de solicitud. Los solicitantes pueden dar permiso para conservar sus datos durante más tiempo. Por ejemplo, porque un puesto adecuado puede estar disponible en una fecha posterior. Un período máximo de 1 año después de la terminación del procedimiento de solicitud es razonable para esto”. “Preguntas sobre datos personales en las solicitudes de empleo… Screening en la solicitud de empleo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/64 Es importante que los empleadores contraten empleados confiables. Por lo tanto, el empleador al que está solicitando puede decidir examinarlo… Screening legal El screening es requerido por ley para algunos puestos, por ejemplo, en el cuidado de niños. En el caso de un screening legalmente requerido, el empleador puede solicitar un Certificado de Buena Conducta (VOG). Además, se aplican disposiciones especiales al screening de puestos de confianza, como agentes de policía, empleados de organizaciones de seguridad privada, empleados de organismos de investigación, personal de aviación y algunos puestos gubernamentales”. Por esta Agencia se comprueba la información aportada por AMAZON ROAD. Asimismo, se pulsa el enlace “condiciones legales” que aparece en el documento “Investigación de antecedentes (screening)”, y se accede a las “Preguntas de los empleadores sobre el screening”. De este apartado, además de lo señalado por la reclamada, cabe destacar lo siguiente: “Cuando selecciona candidatos o empleados, está procesando sus datos personales. Esto significa que se aplican el Reglamento general de protección de datos (GDPR) y la Ley de implementación de AVG (UAVG). Como empleador, usted es responsable de garantizar que la evaluación cumpla con los requisitos de estas leyes. En cualquier caso, el RGPD y la UAVG imponen los siguientes requisitos de la selección: .Tiene un interés legítimo en la proyección. . El tamizaje es necesario . Esto significa, entre otras cosas, que no puede lograr su objetivo de otra manera o a través de un medio menos invasivo que la detección. . Usted cumple con la obligación de información . Esto significa que informa al candidato o empleado relevante con anticipación que está realizando una evaluación y luego cuáles son los resultados. . No utiliza los datos obtenidos de la proyección para ningún otro propósito. . No almacena los datos durante más tiempo del necesario para el propósito de la evaluación. . Los datos de la proyección son suficientes, son relevantes y no recopilas más datos de los necesarios. . Proteges bien los datos. . Usted evalúa si necesita realizar una evaluación de impacto de protección de datos (DPIA) , porque la detección es un procesamiento de datos con un alto riesgo de privacidad. . ¿Ha demostrado la DPIA que la detección prevista plantea un alto riesgo? ¿Y no encuentra medidas para limitar este riesgo? Entonces debe consultar con la Autoridad de Protección de Datos (AP) holandesa antes de comenzar la selección. A esto se le llama consulta previa”. “Como empleador, ¿puedo evaluar a alguien sin decírselo? No, eso no está permitido… Información previa a la selección Debe informar al solicitante o empleado en cuestión con anticipación que se está llevando a cabo una evaluación. Además, debe indicar por qué es necesario un examen. También debe hacer saber qué datos está investigando y por qué son relevantes para el puesto en cuestión. Información después de la evaluación… debe informar al solicitante o empleado sobre los resultados de la evaluación”. A través del enlace “interés legítimo” que aparece en el documento “Investigación de antecedentes (screening)”, se accede a la información siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/64 “¿Cuándo puedo confiar en la base del interés legítimo? Solo tiene derecho a procesar datos personales (ordinarios) si puede confiar en 1 de los 6 principios del Reglamento General de Protección de Datos (GDPR). Una de estas bases es que el procesamiento de datos personales es necesario para representar su interés legítimo. Cada vez que procesa datos personales, esto es una invasión de la privacidad de los interesados. Estas son las personas cuyos datos procesa. Todo ser humano tiene derecho a la intimidad, que es un derecho a la intimidad, que es un derecho fundamental. Pero como organización, también puede tener el derecho de su lado. Ese es el caso si se tiene un interés que la sociedad considera tan importante que ha encontrado reconocimiento en la ley. Y solo puede representar este interés procesando datos personales. Llamamos a tal interés un interés legítimo. Conflicto de derechos Esto crea una situación en la que su derecho "choca" con el derecho fundamental de los interesados. Depende entonces de usted sopesar estos derechos entre sí y ver qué pesa más, su interés o el de las partes involucradas. ¿Su interés finalmente lo supera? Luego puede basar su procesamiento en la base (necesaria para la representación de
34. un)interés legítimo”. 3) Extracto de la web de la Autoridad de Control Francesa (CNIL), y su traducción. “Extracto de los antecedentes penales: ¿puede el empleador solicitarlo y conservarlo? A falta de un texto específico que prevea la verificación de los antecedentes penales de los empleados, el empleador puede pedir a un candidato o a un empleado que presente el extracto de sus antecedentes penales (B3) durante una entrevista, por ejemplo, para verificar su historial criminal. No obstante, en este caso, el empresario no puede conservar una copia ni permitir que estos datos sean objeto de un tratamiento específico. La mención de la verificación en las casillas del expediente de gestión de personal en la forma "sí/no" es suficiente. Para el acceso a determinadas funciones denominadas "sensibles", los textos pueden prever la verificación, por parte del empleador o de determinadas autoridades que expidan autorizaciones (por ejemplo, para guardias de seguridad o cuidadores de niños), de los antecedentes penales de los empleados (boletines B2 o B3). Estos textos pueden prever el período durante el cual el empleador está obligado a conservar el extracto del registro de antecedentes penales (se suele utilizar 3 meses, en particular para las administraciones). En ausencia de detalles en el texto, el documento no debe conservarse. Cuando la verificación la realiza una autoridad, el empleador no necesita consultar los antecedentes penales ya que las verificaciones las realiza una autoridad autorizada y la expedición de la autorización es por sí sola suficiente para asegurar la capacidad para ocupar el puesto de trabajo propuesto…”. 4) Extracto de la web de la Autoridad de Control de los Países Bajos (Autoriteit Persoonsgegevens), junto con su traducción, en relación con el contenido de los certificados "VOG". “Como empleador, ¿puedo solicitar información criminal durante una evaluación? Para algunos puestos, puede ser necesario que conozca los antecedentes penales de un solicitante o empleado. En la mayoría de los casos, basta con que el interesado solicite un certificado de buena conducta (VOG). VOG Un VOG es una declaración que muestra que el comportamiento pasado de alguien no constituye un obstáculo para cumplir una posición específica (futura). Un VOG es emitido por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/64 Justis del Ministerio de Justicia y Seguridad. Selección de datos criminales Solo si solicitar un VOG no es suficiente, puede solicitar (otros) datos criminales. Puede procesar datos personales de naturaleza penal si esto es necesario para la evaluación de una solicitud de un interesado para tomar una decisión sobre él o para proporcionarle un servicio. Un ejemplo es una selección durante un procedimiento de solicitud para un puesto de integridad. En determinadas circunstancias, los datos personales de carácter penal pueden ser tratados con tal fin…”. 5) Modelo de correo electrónico que AMAZON ROAD envió en marzo de 2020 en relación con la suspensión de la petición de los certificados negativos. “Verificación de antecedentes Para poder completar el proceso de verificación de antecedentes, es necesario que subas una copia del certificado demostrando la ausencia de antecedentes penales. Dado que actualmente no es posible obtener este certificado de manera presencial debido al estado de alarma, hemos permitido que completes la verificación sin este documento. No obstante, deberás subir este documento en un plazo de 60 días desde la finalización del registro en ***PROGRAMA.1. Si pasado este plazo no has subido el documento, dejarás de ser elegible para participar en el programa ***PROGRAMA.1. Este documento lo deberás subir en la página de Accurate. Revisa el correo periódicamente para seguir instrucciones recibidas por parte de Accurate”. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1. AMAZON ROAD es una empresa del grupo Amazon que proporciona servicios de logística y distribución a dicho grupo. Dicha entidad inició sus operaciones el 31/05/2019 y tiene como objeto social “la prestación de servicios logísticos y de distribución, en particular el transporte, la manipulación y el almacenamiento”. Tras la escisión de Amazon Spain Fulfillment, S.L.U., que tuvo lugar en fecha 28/06/2019, AMAZON ROAD recibió el “negocio de operador de transporte” y sucedió a aquella entidad en todas las relaciones jurídicas afectas a los elementos patrimoniales del negocio. 2. AMAZON ROAD es la entidad encargada de gestionar el programa “***PROGRAMA.1”, que tiene por objeto la contratación de trasportistas autónomos como proveedores de servicios. 3. La entidad Amazon Development Centre (India) Private Limited, con sede en India, presta servicio a la entidad AMAZON ROAD en la gestión del programa “***PROGRAMA.1” en virtud del “Acuerdo Intra-Grupo para la Transferencia y Tratamiento de Datos” (“Intra-Group Data Transfer and Processing Agreement”), de fecha 01//01/2019, firmado entre distintas entidades del grupo Amazon, incluidas las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/64 entidades AMAZON ROAD, como entidad “exportadora”, y Amazon Development Centre (India) Private Limited, como entidad “importadora/encargada del tratamiento”. Por razón de este contrato, la citada prestadora de servicio asiste a AMAZON ROAD en la recogida de la información proporcionada por los transportistas autónomos. El “Acuerdo” citado se ocupa del acceso a los datos personales que las entidades importadoras deberán efectuar para la prestación a las entidades importadoras de los servicios que se especifican en su Anexo 1, entre los que se incluye el acceso a los datos de contratistas y sus empleados y subcontratistas. Se establece que las entidades importadoras tratarán los datos en nombre del responsable y de conformidad con sus instrucciones, con el fin de prestar los servicios, sin que pueda determinar los fines y la forma en que se tratan los datos; y vienen obligadas a notificar al responsable toda instrucción que, en su opinión, infrinja la legislación aplicable, cualquier violación de los datos o reclamación que reciba y a proporcionar al responsable una cooperación y asistencia plenas; así como a establecer las medidas técnicas y organizativas adecuadas para proteger los datos. Se prevé, asimismo, que el encargado del tratamiento devuelva al responsable todos los datos personales o proceda a su destrucción a la terminación del contrato, a elección del responsable del tratamiento. En virtud de este “Acuerdo”, las partes se obligan a cumplir “los términos de las cláusulas tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países, aprobadas mediante Decisión de la Comisión de la CE de 5 de febrero de 2010” (cláusulas contractuales tipo para la transferencia de datos), las cuales constan reproducidas en Anexo 3 de dicho Acuerdo y se suscriben mediante la firma del mismo Acuerdo o mediante una carta de adhesión según el formulario que se incorpora como Anexo 6. Las medidas técnicas y organizativas que debe aplicar y mantener el encargado del tratamiento se enumeran en Anexo 2. El contenido íntegro de este “Acuerdo” se declara reproducido en este acto a efectos probatorios. 4. La entidad Accurate Background Inc., con sede en Estados Unidos, presta servicio a la entidad AMAZON ROAD en la gestión del programa “***PROGRAMA.1” en virtud del “Acuerdo de Tratamiento de Datos” (“Data Processing Agreement”), de 18/10/2018, firmado por algunas entidades del grupo Amazon y Accurate Background Inc. Entre aquellas entidades del grupo figura la entidad Amazon Spain Fulfillment, S.L.U., que se encargaba de gestionar el negocio de media milla y última milla (“negocio de operador de transporte”) hasta la fecha en que se produjo la escisión de dicho negocio a favor de AMAZON ROAD, en el año 2019. Este Acuerdo se formaliza por razón del Contrato Marco celebrado entre las partes el 05/03/2008 (consta en las actuaciones copia del Contrato Marco de Servicios -“Master Service Agreement”- entre Amazon Corporate LLC y Accurate Background Inc. y la específica Orden de Trabajo para España, de 02/12/2017). Por razón de este contrato, la citada prestadora de servicio asiste a AMAZON ROAD en la recogida de la información proporcionada por los transportistas autónomos, así C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/64 como en la verificación del cumplimiento de los requisitos que esta entidad exige a estos transportistas para poder participar en el programa. El “Acuerdo” citado regula el acceso a los datos personales por parte de Accurate Background Inc. en su condición de encargado del tratamiento y contempla la firma de las cláusulas contractuales tipo de la UE, incorporadas como Anexo 3. Los detalles sobre las actividades de tratamiento que debe llevar a cabo el encargado se contienen en el Anexo 1 del “Acuerdo”, figurando entre ellas las relacionadas con el proceso de selección de personal, contratistas y subcontratistas. Se establece que el importador recibe información de terceros y reúne los datos pertinentes en informes de cribado del empleo para el que el exportador de datos evalúe al solicitante. El contenido de este “Acuerdo”, en cuanto a las obligaciones del encargado del tratamiento, es similar al reseñado en el Hecho Probado Tercero y también incluye un Anexo 2 en el que se enumeran las medidas de seguridad que se aplicarán. El contenido íntegro de este “Acuerdo” se declara reproducido en este acto a efectos probatorios. 5. La entidad Accurate Background Inc. figuró adherida al “Escudo de Privacidad UEEEUU”. La “certificación original” de esta adhesión tiene fecha de “11/08/2016”. 6. Para poder participar en el programa “***PROGRAMA.1”, los transportistas autónomos deben descargarse la aplicación “Amazon Delivery” en su dispositivo móvil. A través de dicha aplicación, AMAZON ROAD recaba los datos necesarios de los transportistas autónomos a los efectos de (
35. i)verificar que los mismos cumplen con los requisitos para poder participar en el programa, (
36. ii)crear la correspondiente cuenta de usuario necesaria para poder acceder a las ofertas de servicio y (iii) controlar el desarrollo de la prestación de los servicios. En esta aplicación se ofrece información sobre el proceso de “verificación de antecedentes” requeridos a los transportistas autónomos, cuyo detalle consta reseñado en el Antecedente Primero. Dicha aplicación dispone de una casilla habilitada para que los transportistas puedan prestar su consentimiento a las acciones contenidas en dicha información (“Al marcar esta casilla, doy mi autorización”). 7. Los transportistas interesados en participar en el programa “***PROGRAMA.1” también disponen de un proceso de solicitud online, a través de la página web de Accurate Background Inc., que incluye un “Formulario de verificación de antecedentes”. 8. Para la contratación de transportistas autónomos como proveedores de servicios en el programa “***PROGRAMA.1”, AMAZON ROAD solicita a los candidatos diversa documentación, entre la que se incluye un certificado de ausencia de antecedentes penales (“Un certificado del Ministerio de Justicia confirmando que no cuento con antecedentes penales de ningún tipo”). 9. Los trasportistas que completen el proceso de verificación de antecedentes y sean seleccionados como proveedores de servicios de AMAZON ROAD suscriben un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/64 contrato mercantil que incluye la siguiente información en materia de protección de datos personales: “13. Protección de datos.
37. a)Amazon podrá conservar y tratar datos relativos a usted para la ejecución del contrato que Amazon ha suscrito con usted, y con fines legales, administrativos y de gestión, conforme se describe más detalladamente en el Anexo A.
38. b)Usted presta su consentimiento para que Amazon y cualquier Entidad vinculada (conforme dicho término se define más adelante) lleve a cabo la transferencia de “datos de carácter personal” (en el sentido previsto en el RGPD y en la Ley Orgánica 15/1999) relativos a usted a cualquier Entidad Vinculada fuera del EEE para promover los intereses legítimos de Amazon y/ o cualquier Entidad Vinculada. A los efectos de esta Cláusula 13, por “Entidad Vinculada” se entiende “sociedad de cartera” de Amazon, cualquier “sociedad filial” o una filial de su sociedad de cartera.
39. c)Las partes se obligan a cumplir toda la normativa aplicable en materia de protección de datos… Estoy de acuerdo y acepto lo anterior. ACEPTAR Y CONTINUAR ( ) Estoy de acuerdo y acepto lo anterior”. El contenido íntegro de este contrato se declara reproducido en este acto a efectos probatorios. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada Autoridad de Control y, según lo establecido en los artículos 47 Y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II En el presente procedimiento corresponde analizar, en primer lugar, la presunta ilicitud del tratamiento de datos efectuado por la entidad reclamada al solicitar un certificado de antecedentes penales a los transportistas autónomos que han solicitado suscribir un contrato de servicios con aquel en el programa “***PROGRAMA.1”. El artículo 5.1.
40. a)del RGPD, sobre los Principios relativos al tratamiento, establece que los datos personales serán “tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»)” y el artículo 6.1 concreta los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/64 supuestos en que el tratamiento será lícito: “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
41. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
42. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
43. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
44. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
45. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
46. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño Lo dispuesto en la letra
47. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Por su parte, el artículo 10 de la misma norma se refiere al tratamiento de datos personales relativos a condenas e infracciones penales y dispone lo siguiente: “El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas sobre la base del artículo 6, apartado 1, sólo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Solo podrá llevarse un registro completo de condenas penales bajo el control de las autoridades públicas”. En nuestro ordenamiento, el artículo 10 de la LOPDGDD dispone: “1. El tratamiento de datos personales relativos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, solo podrá llevarse a cabo cuando se encuentre amparado en una norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal. 2. El registro completo de los datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas a que se refiere el artículo 10 del Reglamento (UE) 2016/679, podrá realizarse conforme con lo establecido en la regulación del Sistema de registros administrativos de apoyo a la Administración de Justicia. 3. Fuera de los supuestos señalados en los apartados anteriores, los tratamientos de datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas solo serán posibles cuando sean llevados a cabo por abogados y procuradores y tengan por objeto recoger la información facilitada por sus clientes para el ejercicio de sus funciones”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/64 El RGPD hace referencia, en su Considerando 75 a la posibilidad de que determinados tratamientos de datos puedan entrañar un riesgo para los derechos y libertades de la personas, entre los que se encuentran los datos relativos a las condenas e infracciones penales y medidas de seguridad conexa, de ahí que el artículo 10 del texto legal opte (
48. i)por conferir la legitimidad de su tratamiento a las autoridades públicas o cuando exista una habilitación del Derecho de la Unión o una norma nacional que proporcione las garantías adecuadas, y (
49. ii)por asignar la custodia de los registros donde se inscriben estos datos también a las autoridades públicas. Esta regulación, lejos de ser novedosa en el ámbito europeo, ya se manifestaba en similares términos en la Directiva 95/46 CE, del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de tales datos. El origen de esta especial garantía se encuentra en el Convenio N.º 108 del Consejo de Europa, de 28 de enero de 1981, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, que en su artículo 6 dispone que determinadas categorías de datos, entre las que se incluyen los datos de carácter personal referentes a condenas penales, no podrán tratarse automáticamente a menos que el derecho interno prevea garantías adecuadas. El artículo 10 de la LOPDGDD, por su parte, concreta la referencia al Derecho de los Estados Miembros remarcando que, cuando el tratamiento tenga una finalidad diferente a “prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales” -tratamiento excluido del ámbito material de la normativa de protección de datos en aplicación del artículo 2.1.
50. d)del RGPD-, para que pueda considerarse legítimo su tratamiento, este deberá estar amparado en una norma europea, en la LOPDGDD o en otra norma con rango legal. Con carácter previo a examinar la legitimidad del tratamiento, corresponde analizar si la solicitud de un certificado “negativo” de antecedentes penales constituye un “tratamiento de datos personales relativos a condenas e infracciones penales”, según la redacción del artículo 10 del RGPD, y si dicho tratamiento se encuentra sujeto, no solo a la normativa de genérica de protección de datos, sino también a la consideración de datos incluidos en el campo de aplicación del artículo 10 del RGPD y del artículo 10 de la LOPDGDD y, por lo tanto, merecedores de unas garantías específicas. El certificado de antecedentes penales es el documento público que acredita la carencia o existencia de antecedentes penales que constan inscritos en el Registro Central de Penados. Los antecedentes penales se definen como las resoluciones firmes dictadas por los Jueces y Tribunales del orden penal por la comisión de un delito que imponga penas o medidas de seguridad que se encuentren en vigor atendiendo a lo que dispone el Código Penal. La información contenida en el certificado de antecedentes penales objeto del presente procedimiento constituye un dato personal a la luz de la definición del artículo 4.1 del RGPD ya que se trata de una “información sobre una persona física identificada”, tanto si se trata de un certificado que refiere la existencia de dichos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/64 antecedentes como si pone de manifiesto su ausencia, y su solicitud supone un tratamiento de datos. En relación con la categoría de datos personales sobre la que versa esa información, es precisamente la relativa a las condenas penales firmes de las que haya podido ser objeto (y se encuentren en vigor) una persona en concreto, tanto sea para poner de manifiesto que existen esas resoluciones firmes que imponen penas o medidas y cuáles son éstas, como para acreditar que no existen. Es decir, la información que se está tratando es el dato relativo a las condenas penales -lo que incluye la ausencia de estas- vinculado con una persona física concreta. No puede aceptarse, por tanto, lo expuesto por la reclamada en sus alegaciones cuando señala que un certificado de antecedentes penales que ponga de manifiesto que una persona concreta carece de condenas penales no recoge de manera estricta ningún dato relacionado con condenas e infracciones penales, puesto que sí lo está haciendo al poner de manifiesto y acreditar que dicha persona carece de ellas. Admitir la postura mantenida por AMAZON ROAD al respecto equivaldría a admitir que cualquier persona o entidad pudieran crear un registro de personas sin antecedentes penales, a pesar de que se trata de una materia reservada a las autoridades públicas. Se tiene en cuenta, asimismo, el apartado 4 del artículo 136 de la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, que tras señalar que “Las inscripciones de antecedentes penales en las distintas secciones del Registro Central de Penados y Rebeldes no serán públicas”, prevé que “Durante su vigencia solo se emitirán certificaciones con las limitaciones y garantías previstas en sus normas específicas y en los casos establecidos por la ley”. Esa normativa específica es la contenida en el Real Decreto 95/2009, de 6 de febrero, por el que se regula el Sistema de registros administrativos de apoyo a la Administración de Justicia, que en su artículo 17 establece que “(…), podrán certificarse directamente los datos relativos a su persona contenidos en las inscripciones de los Registros Centrales de Penados, de Medidas Cautelares Requisitorias y Sentencias No Firmes, de Protección de las Víctimas de Violencia Doméstica, de Sentencias de Responsabilidad Penal de los Menores y de Rebeldes Civiles y suscribir certificaciones negativas respecto a personas que no figuren inscritas en los mismos”. Previéndose en el apartado 2 de este mismo artículo que “La certificación positiva contendrá la transcripción de los datos inscritos, tal y como obren en el Registro en el momento de su expedición, excluyendo las inscripciones que, conforme a una norma con rango de Ley, se hallen a disposición únicamente de los órganos jurisdiccionales”. Asimismo, la Audiencia Nacional en diversas sentencias (valga por todas la SAN de 20 de junio de 2017) ha declarado que “No existe un precepto que establezca que el certificado de antecedentes penales omita hacer referencia a antecedentes penales que constan debidamente inscritos, salvo en el caso que una norma con rango de Ley así lo establezca y ello con independencia de que el certificado se solicite para un procedimiento penal o para un fin distinto de un proceso penal”. De ello puede inferirse que el certificado de antecedentes penales negativos también se considera un dato relativo a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/64 Tanto la expedición de un certificado positivo de antecedentes penales como la de un certificado de ausencia de tales antecedentes requieren, por tanto, la consulta de los registros públicos mencionados. Por lo tanto, no puede decirse que los certificados negativos o de ausencia de antecedentes penales no contengan información relativa a condenas e infracciones penales o medidas de seguridad conexas. Un ejemplo de que el certificado negativo de antecedentes penales es un tratamiento de datos personales relativo a condenas e infracciones penales lo podemos ver en relación con el certificado de delitos de naturaleza sexual. Este certificado es similar al que ahora estamos examinando, pues se refiere a la existencia o inexistencia de condenas firmes dictadas por los órganos judiciales, anotadas en el Registro Central de Delincuentes Sexuales. Así, el certificado de delitos de naturaleza sexual se expide indicando la existencia o inexistencia de condenas penales en la fecha en la que es expedido. Amén de que este certificado pueda ser solicitado en atención a lo previsto en la Ley Orgánica 8/2021, de 4 de junio, de protección integral a la infancia y la adolescencia frente a la violencia -norma de rango legal que habilita su petición en relación con el acceso a profesiones, oficios y actividades que impliquen contacto habitual con personas menores de edad-, lo cierto es que el hecho de obtener un certificado negativo pone de manifiesto que alguien carece de condenas penales en relación con delitos de naturaleza sexual. Esto implica tratar datos personales “relativos” a condenas penales, pues los datos contenidos en el citado certificado, de igual forma que en el ahora examinado, tienen que ver de manera indisoluble con la existencia de condenas penales. Son datos personales relativos a condenas penales ya sea por su tenencia o por su ausencia. Y tampoco resultaría acertada la petición que realiza AMAZON ROAD de que por parte de esta Agencia se realice una interpretación estricta de manera análoga al supuesto incluido en el Informe del Gabinete Jurídico 0129/2005. En este sentido, lo que venía a poner de manifiesto el mencionado informe es que el dato de “fumador” por sí mismo considerado no pertenecería a la categoría de datos de salud, por cuanto, de acuerdo con la Recomendación Nº R