Che cosa ha deciso il giudice
L'autorità spagnola aveva sanzionato per due milioni di euro la richiesta, rivolta ai candidati del programma Amazon Flex — corrieri che consegnano con il proprio veicolo — di produrre un certificato penale. L'Audiencia Nacional, con sentenza n. 359/2026 dell'8 luglio 2026, ha annullato la sanzione: l'art. 10 GDPR disciplina i dati «relativi a condanne penali e reati», e acquisire un certificato che attesta l'assenza di condanne non equivale a conoscere una condanna. Contro la sentenza è ancora possibile ricorrere al Tribunal Supremo.
La tentazione, leggendo il titolo, è concludere che il certificato penale si possa chiedere. Non è quello che dice la sentenza. Il giudice ha tolto di mezzo UN ostacolo — la qualificazione automatica come dato dell'art. 10, che impone una base giuridica rinforzata — e ha lasciato in piedi tutto il resto. Il certificato resta un dato personale, e chiederlo resta un trattamento che ha bisogno di una base giuridica e di superare il test di necessità.
- Il documento contiene comunque dati personali: nome, data di nascita, e il fatto stesso che quella persona sia stata sottoposta a una verifica.
- Serve una base giuridica ai sensi dell'art. 6, e per un datore di lavoro privato il consenso del candidato non regge: nel rapporto di selezione non è libero.
- Resta il test di necessità: per una mansione specifica il certificato può essere proporzionato, per tutte le posizioni indistintamente non lo è.
- Il diritto nazionale conta più della sentenza: in Italia l'art. 2-octies del d.lgs. 196/2003 richiede una previsione normativa per i dati dell'art. 10, e la richiesta del casellario ai candidati è ammessa solo dove una legge la prevede.
E c'è il rovescio della medaglia, che un DPO deve tenere presente. L'orientamento opposto esiste, ed è stato sostenuto con forza: un certificato penale negativo dice comunque qualcosa sulla persona — precisamente, che non ha condanne — e questa è un'informazione sul suo passato giudiziario, anche quando la casella è vuota. È la posizione da cui era nata la sanzione spagnola, ed è quella che orienta oggi la prassi in diversi ordinamenti, Italia compresa.
Come si usa una sentenza che non è definitiva
Non come un via libera. Una pronuncia di primo grado, ancora impugnabile davanti al Tribunal Supremo, e resa su un ordinamento diverso dal proprio, non è una base su cui cambiare la prassi di un cliente. È invece un'ottima ragione per rileggere le richieste di certificato che il cliente già fa: se le fa perché «si è sempre fatto così», questa sentenza non le salva; se le fa perché una norma glielo impone, non ne aveva bisogno.
La domanda pratica da portare al cliente resta la stessa di prima della sentenza, ed è una sola: per quale posizione, e in base a quale norma. Se a entrambe c'è una risposta scritta, la richiesta regge in qualunque lettura dell'art. 10. Se la risposta è che lo chiedono a tutti perché è più prudente, la prudenza sta esattamente dall'altra parte.
Fonte ufficiale:Federprivacy — Annullata la multa da 2 milioni di euro ad Amazon: chiedere un certificato penale negativo non viola il GDPRFonte ufficiale:Federprivacy — Il certificato del casellario giudiziale contiene dati personali anche se non vi è scritto nullaStai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
