Con la sentenza n. 359/2026, i giudici spagnoli hanno annullato una sanzione di 2 milioni di euro irrogata dal Garante della Privacy spagnolo, c.d. Agencia Española de Protección de Datos (AEPD) in relazione alla richiesta, nell’ambito di una procedura di selezione di autisti autonomi, di un certificato negativo dei precedenti penali.
La controversia trae origine dalla prassi di richiedere ai candidati un certificato rilasciato dal Ministero della Giustizia spagnolo, attestante l’assenza di precedenti penali. L’Autorità di controllo aveva ritenuto che anche un certificato negativo costituisse un trattamento di dati relativi a condanne penali e reati ai sensi dell’art. 10 GDPR.
Secondo l’AEPD, tale trattamento avrebbe richiesto una specifica autorizzazione normativa, non ravvisabile nella disciplina nazionale applicabile. L’Autorità aveva inoltre escluso la possibilità di fondare il trattamento sulle ordinarie basi giuridiche dell’art. 6 GDPR, non ritenendo il controllo necessario all’esecuzione del contratto né adeguatamente bilanciato con i diritti degli interessati. Anche il consenso dei candidati era stato considerato inidoneo, in quanto sostanzialmente condizionato all’accesso al rapporto contrattuale.
I giudici spagnoli giungono invece a una conclusione diversa, adottando un’interpretazione letterale e restrittiva dell’art. 10 GDPR. Secondo i giudici, l’informazione negativa, attestante l’assenza di condanne, esula dalla nozione di dato giudiziario di cui all’art. 10 del GDOR e integra un dato comune, il cui relativo trattamento potrebbe quindi essere valutato alla luce delle ordinarie basi giuridiche previste dall’art. 6 GDPR.
La pronuncia si inserisce, quindi, in un quadro europeo non uniforme, nel quale anche altre Autorità di controllo avrebbero adottato approcci meno restrittivi rispetto alla verifica dell’assenza di precedenti penali.