1/64
Expediente Nº: PS/00267/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: A.A.A., en representación de la Unión General de Trabajadores (en lo
sucesivo, UGT, el reclamante o entidad reclamante), con fecha 28/11/2019 interpuso
reclamación ante la Agencia Española de Protección de Datos. La reclamación se
dirige contra AMAZON ROAD TRANSPORT SPAIN, S.L con CIF B88405303 (en lo
sucesivo, AMAZON ROAD, la reclamada o entidad reclamada). Los motivos en que
basa la reclamación son los siguientes:
1. Para la contratación de transportistas autónomos como proveedores de servicios,
(programa “***PROGRAMA.1”), la entidad reclamada solicita a los candidatos diversa
documentación, entre la que se incluye un certificado de ausencia de antecedentes
penales.
2. AMAZON ROAD requiere el consentimiento de los candidatos para que “Amazon”, y
cualquier entidad vinculada, lleve a cabo transferencias de datos de carácter personal
a cualquier entidad vinculada situada fuera del EEE para promover los intereses
legítimos de “Amazon” y/o de cualquier entidad vinculada (“Se entiende por Entidad
Vinculada “sociedad de cartera de Amazon, sociedad filial o filial de su sociedad de
cartera”).
3. “Asimismo, se exige consentimiento para que:
. Accurate Background se encargue de recopilar y tratar la información en nombre de
Amazon para realizar las verificaciones de antecedentes detalladas anteriormente.
. Amazon Development Centre (India) Private Limited, en la India, podrá tener acceso
a los datos que proporcione Amazon durante este proceso para dar soporte de la
información por mi proporcionada.
Por otra parte, requieren consentimiento para exonerar a “Amazon, Accurate
Background, sus filiales y sus respectivos agentes que faciliten datos informes sobre
mí de cualesquiera reclamaciones, daños y perjuicios, responsabilidades, costes y
gastos; o de cualesquiera otros cargos o quejas que surjan de la recopilación, el
tratamiento o la divulgación de cualquier información o informe, en la medida permitida
por la legislación aplicable”.
El reclamante señala que estas dos empresas no tienen sede física ni fiscal en España
ni en el territorio de la Unión Europea.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/64
Considera el reclamante que se incumplen los preceptos siguientes:
. Artículo 7.5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos
de Carácter Personal (LOPD), “Datos especialmente protegidos”: los relativos a la
comisión de infracciones penales o administrativas.
. Artículo 10 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD):
tratamientos de datos de naturaleza penal.
. Artículo 35.3 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo,
de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al
Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo
sucesivo RGPD): supuestos en los que se requiere la evaluación de impacto.
Con la reclamación se aporta copia, entre otros, de los documentos siguientes:
1. Contrato mercantil (captura de pantalla), que información en materia de protección
de datos personales dirigida a los transportistas, cuyo detalle consta reseñado en el
Hecho Probado 9.
2. Apartado de la aplicación de “***PROGRAMA.1” relativo a la verificación de
antecedentes (captura de pantalla).
“Verificación de antecedentes
La verificación de antecedentes podrá incluir, a modo meramente enunciativo, los aspectos
enumerados a continuación.
Acepto ayudar a Amazon y participar en la realización de estas comprobaciones de la forma
necesaria para completar correctamente la verificación de mis antecedentes:
1. El certificado de mi registro en la Seguridad Social.
2. Un certificado del Ministerio de Justicia confirmando que no cuento con antecedentes
penales de ningún tipo;
3. Comprobación de cualquier lista de terroristas y sanciones; y
4. Comprobación de que poseo un permiso de conducir válido
En relación con este proceso, doy mi consentimiento a que se realicen las comprobaciones
mencionadas y otras que se consideren necesarias para el puesto.
Entiendo y consiento que Accurate Background se encargue de recopilar y tratar la información
en nombre de Amazon para realizar las verificaciones de antecedentes detalladas
anteriormente.
Entiendo que se me informará de cualesquiera omisiones o falsedades por mi detectadas en el
proceso de verificación de antecedentes o en cualquier otra documentación justificativa
enviada junto con la solicitud de colaboración, y, a falta de una explicación satisfactoria, esto
podrá constituir motivo de terminación o de no contratación para la prestación del servicio o
colaboración.
Entiendo que la información recibida de Amazon y de cualesquiera agentes que actúen en su
nombre será mantenida de forma confidencial y utilizada de forma exclusiva por Amazon y
cualesquiera agentes que actúen en su nombre con fines profesionales, y durante la vigencia
de mi prestación de servicios a Amazon en caso de ser contratado/a y en la medida permitida
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/64
por la legislación aplicable.
Confirmo que he sido informado/a acerca de la inclusión de mis datos personales en un archivo
controlado por Amazon, el fin de dicho tratamiento, la identidad del responsable del tratamiento
de los datos y los destinatarios de mis datos personales, tales como autoridades y agentes
locales, con el objetivo de cumplir con los requisitos legales (p. ej., los dispuestos por la
Agencia Tributaria). Entiendo Amazon Development Center (India) Private Limited, en La India,
podrá tener acceso a los datos que proporcione a Amazon durante este proceso para dar
soporte en la recogida de la información por mí proporcionada, y presto mi consentimiento para
dicho acceso.
También he sido informado/a de mi derecho a consultar, rectificar y cancelar los datos
personales que sobre mí obren en poder de Amazon y cualesquiera agentes que actúen en su
nombre, así como a oponerme al tratamiento de aquellos. Soy consciente de que podré ejercer
estos derechos en cualquier momento dirigiendo una carta en la que identifique el derecho que
quiero ejercitar y adjuntando copia de mi DNI a Avda…
Exonero a Amazon, Accurate Background, sus filiales y sus respectivos agentes que faciliten
datos o informes sobre mí de cualesquiera reclamaciones, daños y perjuicios,
responsabilidades, costes y gastos; o cualesquiera otros cargos o quejas que surjan de la
recopilación, el tratamiento o la divulgación de cualquier información o informe, en la medida
permitida por la legislación aplicable.
( ) Al marcar esta casilla, doy mi autorización”.
3. Copia de varios correos electrónicos remitidos desde la dirección “***EMAIL.1”, en
los que se explica el proceso para completar la solicitud en “***PROGRAMA.1” y la
documentación que debe aportarse. En uno de estos correos se indica:
“Finaliza el proceso de verificación en la web Accurate.
Aún no has finalizado el proceso de verificación en Accurate. Revisa tu cuenta de correo
electrónico y busca un email de “***EMAIL.2”, ábrelo y haz clic en el link de acceso. Verás que
tu solicitud está en curso, haz clic en “en curso” para continuar y finalizar el proceso” .
4. Copia de un correo electrónico remitido por Accurate Background desde la dirección
“***EMAIL.2” acerca del procedimiento para completar la solicitud:
“***PROGRAMA.1 España le invita a rellenar el Formulario de Verificación de Antecedentes
online a través de Accurate Background como parte del proceso de incorporación.
Tendrá que acceder a la página web de Accurate Background a través del enlace de abajo
para validar tus datos personales y completar el proceso de solicitud online. Tendrá otros 20
días para subir los documentos requeridos…
También se le requerirá presentar una copia del certificado de antecedentes penales en el que
se confirme que no tiene antecedentes. Puede encontrar las instrucciones sobre cómo obtener
este certificado en el siguiente enlace…”.
SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se
trasladó a la reclamada, de conformidad con lo establecido en el artículo 65.4 la
LOPDGDD.
AMAZON ROAD presentó escrito el día 30/06/2020 en el que pone de manifiesto lo
siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/64
1. De Amazon Road, el programa “***PROGRAMA.1” y otra información relevante
Amazon Road es una empresa del grupo Amazon que proporciona servicios de
logística y distribución a dicho grupo y que cuenta con la preceptiva licencia o
autorización para ejercer la actividad de operador de transporte de mercancías.
Amazon Road es la entidad encargada de gestionar el programa “***PROGRAMA.1”
que permite a transportistas autónomos registrarse como proveedores de servicios de
Amazon Road (“Transportistas Autónomos”).
Para poder participar en dicho programa los transportistas autónomos deben aceptar
los términos y condiciones que regulan dicho programa, donde se les informa de los
tratamientos de datos que la entidad podrá llevar a cabo para la gestión del programa,
y descargarse la aplicación “Amazon Delivery” en su dispositivo móvil.
A través de dicha aplicación, Amazon Road recaba los datos necesarios de los
Transportistas Autónomos a los efectos de (i) verificar que los mismos cumplen con los
requisitos para poder participar en el programa, (ii) crear la correspondiente cuenta de
usuario necesaria para poder acceder a las ofertas de servicio y (iii) controlar el
desarrollo de la prestación de los servicios. Una vez dados de alta en el sistema, los
Transportistas Autónomos tienen acceso a la información necesaria para poder prestar
los servicios a través del programa “***PROGRAMA.1”.
Entre los requisitos que deben cumplir los transportistas autónomos para participar en
el programa está la necesidad de disponer un medio de transporte propio para realizar
las entregas, (turismo, furgoneta o camión ligero, todos ellos con un peso bruto
máximo de 2 toneladas).
Las bases legitimadoras de los tratamientos de datos que conlleva el programa citado,
dependiendo del tipo de datos recabados y las finalidades previstas, son la ejecución
del contrato entre el transportista y la reclamada, el consentimiento informado por el
transportista autónomo o el interés legítimo de AMAZON ROAD.
2. De la información solicitada por AMAZON ROAD para poder participar en el
programa “***PROGRAMA.1”: los certificados negativos
Entre la información que se recaba de los transportistas autónomos que quieren
participar en el programa “***PROGRAMA.1” se encuentra un certificado de ausencia
de antecedentes penales o certificado negativo, similar al que deben proporcionar los
gestores que quieren prestar servicios de transporte, de acuerdo con la regulación en
materia de transportes, a los efectos de probar su honorabilidad, pero con un alcance
más limitado por cuanto únicamente se refiere a la ausencia de antecedentes penales.
Este certificado no proporciona información sobre los antecedentes penales, sino que
consiste en un certificado "en blanco" en el que no se contiene información alguna
relativa a dicho tipo de datos y que, por tanto, no puede equipararse al certificado
“positivo” de antecedentes penales, que sí contiene información relativa a dichos
antecedentes, como es el tipo de delito cometido, la fecha de comisión del mismo, la
sentencia de condena, el órgano que dicta la sentencia o información sobre la pena
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/64
impuesta y su duración. Ninguno de estos datos figura en los certificados que se
requieren a los transportistas, en los que únicamente figuran sus datos identificativos y
la mención a la ausencia de antecedentes penales.
Esta documentación forma parte de las valoraciones de idoneidad que la reclamada
realiza a los potenciales transportistas, considerando que se les proporciona
información sensible de los clientes del grupo Amazon (como son sus datos de
contacto y dirección) para que estos puedan prestar el servicio contratado (entrega de
mercancías).
3. Al recabar un certificado negativo no se tratan datos relativos a condenas o
infracciones penales, por cuanto no contiene ningún dato relativo a la comisión de
delitos.
Sobre esta cuestión, señala que los artículos 10 del RGPD y 10 de la LOPDGDD no se
refieren específicamente a los datos de antecedentes penales, sino a datos relativos a
condenas e infracciones penales, que es un concepto más específico que, por tanto,
no incluiría un certificado de carencia de antecedentes penales.
Así pues, de una interpretación literal de lo dispuesto en dichos artículos se
desprendería que lo que los mismos prohíben es únicamente el tratamiento de datos
relativos a condenas e infracciones penales, de modo que el tratamiento de los
certificados negativos quedaría fuera del ámbito de aplicación de estos dos artículos.
La única acción que Amazon Road lleva a cabo mediante el tratamiento de dichos
certificados es comprobar que no existen datos relativos a condenas o infracciones
penales. Y no existiendo dichos datos, difícilmente puede concluirse que se realiza un
tratamiento de los mismos.
La propia AEPD ha venido aplicando un criterio riguroso en la calificación de la
naturaleza de los datos cuando se trata de datos de carácter sensible, como puede
verse en el Informe Jurídico 0129/2005, emitido por esta AEPD con anterioridad a la
entrada en vigor del RGPD, en el que se indica qué información debe considerarse
como dato de salud. En dicho caso la AEPD concluyó que el mero dato de que una
persona sea fumadora, sin estar asociado a otros datos que establezcan un
determinado hábito, no implica el tratamiento de información directamente relacionada
con la salud del afectado:
El mismo criterio estricto de calificación sería de aplicación en el caso que ahora nos
ocupa: el mero conocimiento de la inexistencia de antecedentes penales no puede
considerarse como el tratamiento de datos relativos a condenas o infracciones
penales, pues esta información, por sí sola, no comporta el tratamiento de este tipo de
datos.
4. El tratamiento llevado a cabo con la recogida de estos certificados negativos es
proporcional y no excesivo, que está amparado por la concurrencia de un interés
legítimo, de acuerdo con lo dispuesto en el artículo 6.1.f) del RGPD
Dicho tratamiento, al no quedar incluido en lo establecido por los artículos antes
citados, debe cumplir únicamente los requisitos de licitud del artículo 6 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/64
El acceso por parte de los Transportistas Autónomos a la entrada de los domicilios
particulares de los clientes, a los efectos de realizar la entrega de mercancías, y la
información personal de los clientes a la que tienen acceso a fin de prestar sus
servicios de transporte supone una intromisión en la esfera privada y personal de los
clientes del grupo Amazon, protegida de conformidad con el RGPD. Se trata de una
intromisión que los clientes de Amazon aceptan como consecuencia de la confianza
que tienen depositada en el grupo.
Por ello, es importante para AMAZON ROAD proteger esa confianza de los clientes
con la selección de los transportistas, extremando las precauciones sobre la idoneidad
de los mismos, para lo que ha de adoptar todas las medidas que estén a su alcance,
dentro del marco de la legalidad vigente, para garantizar la seguridad y confianza de
sus clientes. Y una de estas medidas consiste en la solicitud de los certificados
negativos de antecedentes penales.
Al realizar el ejercicio de ponderación de los derechos e intereses en juego en el
presente caso, Amazon Road ha tenido su propio interés, antes señalado, y el derecho
a la protección de datos de dichos transportistas autónomos y, en concreto, el derecho
a que no se conozca que éstos carecen de antecedentes penales. A los efectos de
valorar qué derecho o interés debería prevalecer, se han tenido en cuenta, entre otros
hechos, los siguientes:
. La naturaleza de los servicios prestados bajo el programa “***PROGRAMA.1”, que
comporta el acceso a los datos de contacto de los clientes y el desplazamiento de los
proveedores a los domicilios particulares de éstos para poder efectuar las entregas;
. El riesgo inherente a la relación de confianza que establecen las personas que se
encuentran dentro de los domicilios particulares, en relación con los Transportistas
Autónomos del programa “***PROGRAMA.1”;
. La condición de depositarios de las mercancías que adquieren los transportistas,
algunas de ellas de alto valor, y el acceso que tienen al inventario de pedidos
gestionados por la reclamada, cuando acceden a las instalaciones de esta última para
la recogida de pedidos;
. La obligación de AMAZON ROAD de asegurar que los servicios se ofrecen con todas
las garantías y sin ningún tipo de riesgo para los clientes; y
. La leve intrusión e impacto en la intimidad de los transportistas autónomos que
supone el hecho de que la entidad reclamada conozca que los mismos carecen de
antecedentes penales.
La ponderación realizada es similar al juicio de proporcionalidad realizado por la AEPD
en la resolución de archivo de las actuaciones dictadas en expediente E/00037/2013,
en la que se valoraba el tratamiento por parte de un empleador de un certificado de
sus trabajadores sobre la inexistencia de antecedentes penales. En dicha resolución,
la AEPD concluyó que el tratamiento por parte del empleador de una declaración de
los empleados en cuanto a la ausencia de antecedentes penales constituía un
tratamiento proporcional que, atendidas las concretas circunstancias del caso, tendría
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/64
cabida dentro de “las medidas de control empresarial adecuadas a su actividad con
respeto a la dignidad humana”.
A nuestro entender, el tratamiento de datos efectuado por AMAZON ROAD superaría
el juicio de proporcionalidad arriba indicado, atendiendo, en primer lugar, a la
sensibilidad de los datos tratados por los transportistas; en segundo lugar, por tratarse
de una medida idónea para la finalidad perseguida por la empresa y no invasiva en la
esfera de los interesados, por cuanto la información recabada no contiene datos
respecto a condenas o infracciones penales; y, en tercer lugar, por la obligación que
tiene Amazon Road, en tanto que operador de transporte, de actuar de forma diligente
y adoptar todas aquellas medidas que estén a su alcance para minimizar al máximo
cualquier riesgo para sus clientes como consecuencia de los servicios prestados.
5. El interés legítimo de la compañía en el tratamiento de datos de carácter personal
también vendría justificado por lo dispuesto en la Ley de Ordenación de los
Transportes Terrestres, cuyo artículo 119 sujeta la actividad de los operadores de
transporte a la obtención de una autorización administrativa, con los mismos requisitos
que se exigen para el transporte público de mercancías.
Entre dichos requisitos, según los artículos 42 y siguientes de la Ley de Ordenación de
los Transportes Terrestres, y 33 del Real Decreto 1211/1991, de 28 de septiembre, por
el que se aprueba el Reglamento de Ordenación de Transportes Terrestres, se
encuentra el requisito de honorabilidad, esto es, el no haber sido condenado por la
comisión de delitos o faltas penales ni sancionado por la comisión de infracciones
relacionadas con los ámbitos mercantil, social o laboral, de seguridad vial o de
ordenación de los transportes terrestres.
Pues bien, mediante el tratamiento de los certificados negativos de los transportistas
que participan en el programa “***PROGRAMA.1”, AMAZON ROAD pretende velar
porque su posición como operador de transportes no se vea comprometida por
aquellos transportistas. A tal fin, aplica un estándar mínimo de diligencia. De ahí que
Amazon Road solicite dichos certificados negativos.
6. El tratamiento de los certificados negativos sería también necesario para la
ejecución del contrato celebrado entre los transportistas autónomos y AMAZON
ROAD.
El tratamiento de los certificados negativos es el único medio a través del que Amazon
Road puede garantizar la aplicación a los Transportistas Autónomos de los mismos
estándares de diligencia que se aplica a ella misma, en tanto que operador de
transporte y, al mismo tiempo, garantizar al máximo la seguridad y confianza de los
clientes del grupo Amazon.
Por dicho motivo, el tratamiento de los repetidos certificados negativos, en tanto que
referido a una información necesaria para poder valorar la idoneidad de los
transportistas para la prestación de servicios, quedaría amparado también por los
dispuesto en el artículo 6.1.b) del RGPD, por cuanto sería necesario para la ejecución
del contrato entre la entidad y los transportistas.
7. AMAZON ROAD no comunica a terceros la información recabada a través de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/64
certificados negativos, incluidas las empresas pertenecientes a su mismo grupo.
Sin perjuicio de lo anterior, sí cuenta con la ayuda de empresas prestadoras de
servicios que le asisten en algunas de las actividades que lleva a cabo en el marco del
programa “***PROGRAMA.1”, como son, entre otras, las comprobaciones iniciales
para asegurar que los Transportistas Autónomos cumplen los requisitos o las
verificaciones de los historiales proporcionados por estos últimos. Entre dichos
proveedores estarían las entidades Accurate Background, Inc. y Amazon Development
Centre (India) Private Limited, que cita la reclamante en su escrito.
Ahora bien, dichas entidades, en tanto que prestadoras de servicios a AMAZON
ROAD, tienen suscritos con la reclamada los correspondientes contratos de encargo
en virtud de lo dispuesto en la normativa sobre protección de datos, por lo que no
pueden ser consideradas como terceras empresas a las que se transfieran datos de
carácter personal. Asimismo, la transferencia internacional de datos que comporta el
acceso por parte de dichas compañías a los datos de AMAZON ROAD cumple con los
requisitos establecidos en los artículos 44 y siguientes del RGPD.
8. De las medidas de seguridad aplicadas en el tratamiento de datos derivados del
programa “***PROGRAMA.1”.
AMAZON ROAD, como empresa parte del grupo Amazon, tiene implementadas
diversas políticas internas dirigidas a garantizar la protección de los tratamientos de
datos de carácter personal que lleva a cabo, incluido el tratamiento de datos derivado
del programa “***PROGRAMA.1”, que también son exigidas a aquellos proveedores
con los que tiene suscritos contratos de tratamiento por encargo.
Todas estas medidas han sido adoptadas teniendo en cuenta la naturaleza de los
datos a tratar y los riesgos asociados a dicho tratamiento, como los derivados de la
pérdida, su comunicación o acceso no autorizado de los datos.
9. Por último, manifiesta la reclamada que desde el pasado mes de marzo de 2020 ha
suspendido temporalmente el tratamiento de los datos de carácter personal relativos a
los certificados negativos de los transportistas autónomos como consecuencia de la
situación provocada por la pandemia del COVID-19, siendo por ello una actividad que
no realiza a fecha de la presentación de su escrito.
TERCERO. La reclamación fue admitida a trámite mediante acuerdo de 12/08/2020.
CUARTO: Con fecha 12/05/2021, la Directora de la Agencia Española de Protección
de Datos acordó iniciar procedimiento sancionador a la entidad AMAZON ROAD, con
arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por las presuntas infracciones siguientes:
1. Incumplimiento del artículo 6.1 del RGPD, en relación con el artículo 10 del RGPD y
del artículo 10 de la LOPDGDD, tipificada en el artículo 83.5 del RGPD y en el artículo
71 de la LOPDGDD.
2. Incumplimiento del artículo 7 del RGPD, en relación con el artículo 6.1.a) del mismo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/64
Reglamento, tipificada en el artículo 83.5 de dicho texto legal.
3. Incumplimiento del artículo 49.1 del RGPD, tipificada en el artículo 83.5 de la citada
norma.
En el acuerdo de apertura se determinó que la sanción que pudiera corresponder,
atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo
que resulte de la instrucción, ascendería a un total de 3.300.000 euros (2.000.000
euros por la infracción del artículo 6.1 del RGPD en relación con el artículo 10 de la
misma norma, así como el artículo 10 de la LOPDGDD; 300.000 euros por la infracción
del artículo 7 del RGPD, en relación con el artículo 6.1.a) del mismo texto legal; y
1.000.000 euros por la infracción del artículo 49.1.a) del RGPD).
En el mismo acuerdo de apertura del procedimiento se advertía que las infracciones
imputadas, de confirmarse, podrán conllevar la imposición de medidas, de acuerdo
con lo establecido en el citado artículo 58.2 d) del RGPD.
QUINTO: Notificado el citado acuerdo de inicio y ampliado el plazo concedido para
formular alegaciones, AMAZON ROAD presentó escrito de fecha 07/06/2021, en el
que solicita el archivo del procedimiento sancionador o, subsidiariamente, la
imposición de una multa en cuantía mínima, conforme a las consideraciones
siguientes:
1. El certificado de ausencia de antecedentes penales que deben aportar los
aspirantes a participar en el programa “***PROGRAMA.1” no contiene datos relativos a
condenas e infracciones penales, a los que se refieren específicamente el
Considerando 75 y el artículo 10 del RGPD y el artículo 10 de la LOPDGDD
(interpretación literal). Lo mismo se establecía en la Directiva 95/46/CE, en la
derogada Ley Orgánica 15/1999 y también en el Convenio 108 del Consejo de Europa.
Todas estas normas se refieren a datos relativos a condenas e infracciones penales y
no a datos relacionados con la existencia o ausencia de antecedentes penales.
Se trata de un certificado “en blanco” cuyo contenido no es equiparable a un
certificado “positivo” de antecedentes penales, que sí incluye información sobre tipo de
delito cometido, fecha d comisión, sentencia de condena y pena impuesta.
2. Cita un precedente de la AEPD, señalado con el número de expediente
E/00037/2013, que versaba acerca de la solicitud de una declaración responsable en
la que los sujetos afirmaran que carecían de antecedentes penales (no la solicitud del
certificado). Según Amazon, la Agencia admitió en este precedente el tratamiento de
certificados negativos emitidos por los empleados (declaraciones) sin sujetarlos a la
regulación específica de los datos relativos a condenas penales.
En relación con este precedente, que ya fue citado por la reclamada en el trámite de
Traslado, en el acuerdo de apertura se responde que la Sentencia de la Sala de lo
Social de la Audiencia Nacional 14/2020, de 10 de febrero de 2020, señala que la
solicitud de una declaración responsable sobre la carencia de antecedentes penales
ha de ser considerada un tratamiento de datos relativos a condenas penales. Amazon
cuestiona este argumento señalando que la sentencia se dicta por la jurisdicción
social, que no es la competente para revisar las decisiones de la Agencia; y que dicha
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/64
sentencia no justifica por qué un certificado negativo constituye un tratamiento de
datos relativos a condenas penales.
3. Según la entidad reclamada, otros Estados miembros vienen aceptando una
interpretación distinta en relación con lo establecido en el artículo 10 del RGPD:
. Países Bajos acepta los certificados que acreditan la inexistencia de antecedentes
penales, conocido como “Verklaring omtrent gedrag” (VOG).
. En Francia, los empleadores están autorizados a solicitar, durante un proceso de
selección de aspirantes a un empleo, un certificado de sus antecedentes penales,
positivo o negativo (“Certificado B3”).
. En Alemania se permite solicitar a la persona que se va a contratar confirmación de
que no tiene antecedentes penales que sean relevantes para el empleo.
4. La interpretación más coherente con el espíritu y finalidad de las normas indicadas
da a entender que su propósito es evitar la creación de ficheros de condenas e
infracciones penales.
5. Subsidiariamente, alega falta de culpabilidad en la infracción imputada.
Entiende AMAZON ROAD que ha empleado la diligencia que le era exigible, teniendo
en cuenta los argumentos expresados anteriormente. Añade que solo Accurate
Background accede a estos datos; y que suspendió la solicitud de estos certificados en
marzo de 2020 por la pandemia, no habiendo reanudado el tratamiento de los
certificados negativos a la vista de las interpretaciones de esta Agencia y de la
Sentencia antes citada, tal y como se indicó en el trámite de traslado de la
reclamación.
6. No existe incumplimiento de lo dispuesto en el artículo 7 del RGPD por las
actividades de tratamiento llevadas a cabo por Accurate Background Inc. y Amazon
Development Centre (India) Private Limited, que no actúan como terceros ni esta
intervención se basa en el consentimiento de los interesados.
Amazon Road no comparte la información relativa a los certificados negativos con
ninguna entidad del Grupo o con terceros. Las entidades citadas asisten a la
reclamada como empresas prestadoras de servicios en las comprobaciones iniciales
sobre los transportistas participantes en el programa, en virtud de un contrato de
encargo de tratamiento suscrito por las entidades intervinientes.
Siendo así, dichas empresas no pueden ser consideradas como terceros y el
tratamiento de datos que realizan no requiere el consentimiento. Esto ya se menciona
en el proceso de registro cuando se informa “Entiendo y consiento que Accurate
Background se encargue de recopilar y tratar la información en nombre de Amazon
para realizar las verificaciones de antecedentes detalladas anteriormente”.
Añade que Amazon Development Centre (India) Private Limited actúa como
encargada del tratamiento de AMAZON ROAD para el proceso de registro de los
participantes en el programa “***PROGRAMA.1”, pero nunca ha tenido acceso a los
certificados negativos de antecedentes penales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/64
7. Sobre la imputación de una posible infracción de lo establecido en el artículo 49 del
RGPD, después de señalar que el acuerdo de inicio no aclara a qué concretas
transferencias internacionales de datos se refiere la AEPD, alega que las
transferencias internacionales de datos que realiza a empresas del grupo o a sus
proveedores situados fuera del EEE no se basan en el consentimiento de los
interesados y cumplen las garantías exigidas por el RGPD.
Advierte que tiene suscritas con cada entidad las correspondientes cláusulas
contractuales tipo aprobadas por la Comisión Europea mediante la Decisión
2010/87/UE, de 5 de febrero de 2010, relativa a las cláusulas contractuales tipo para la
transferencia de datos personales a los encargados del tratamiento establecidos en
terceros países, de conformidad con la Directiva 95/46/CE, que son una de las
garantías que pueden ofrecer los responsables del tratamiento de acuerdo con lo
dispuesto en el artículo 46 del RGPD.
En relación con Accurate Background Inc. indica que, desde 2016, era una entidad
adherida al Escudo de Privacidad UE-EEUU. Y aclara que, aunque el Escudo de
Privacidad dejó de surtir efectos con la Sentencia del TJUE de 16/07/2020, en esta
fecha ya no recababa ni requería la presentación de los certificados negativos de
antecedentes penales.
8. En relación con la graduación de las sanciones alega, subsidiariamente, que
deberán tenerse en cuenta las circunstancias siguientes:
. El tratamiento de datos relacionado con los certificados negativos de antecedentes
penales únicamente afectó al 16,76% de todos los conductores de última milla
registrados en España, al representar el programa “***PROGRAMA.1” una pequeña
proporción de los proveedores de transporte que realizan entregas en España (nunca
han superado el 5%).
. El tratamiento de datos relacionado con los certificados negativos de antecedentes
penales no puede ser comparado con el tratamiento de datos sobre condenas e
infracciones penales.
. La actividad que desarrolla AMAZON ROAD, como empresa de logística que actúa
como operador de transporte, no es intensiva en el tratamiento de datos personales, ni
se basa en la explotación de datos personales. El tratamiento que realiza, para la
gestión de personal y la gestión de paquetes para su entrega, es instrumental.
. El tratamiento de datos objeto de la reclamación fue suspendido en marzo de 2020 y
no ha sido reanudado.
. AMAZON ROAD no ha sido sancionada por infracción a la normativa de protección
de datos personales ni ha recibido reclamación alguna por parte de ningún tercero en
relación con los certificados negativos de antecedentes penales.
Con sus alegaciones, AMAZON ROAD aporta, entre otros, los documentos siguientes:
a) Aporta copia del “Acuerdo Intra-Grupo para la Transferencia y Tratamiento de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/64
Datos” (“Intra-Group Data Transfer and Processing Agreement”), de fecha 01//01/2019,
firmado entre distintas entidades del grupo Amazon, incluidas las entidades AMAZON
ROAD, como entidad “exportadora”, y Amazon Development Centre (India) Private
Limited, como entidad “importadora/encargada del tratamiento”.
El contenido de este “Acuerdo” consta reseñado en el Hecho Probado 3.
b) “Acuerdo de Tratamiento de Datos” (“Data Processing Agreement”), de 18/10/2018,
firmado por algunas entidades del grupo Amazon y Accurate Background Inc. Entre
aquellas entidades del grupo figura la entidad Amazon Spain Fulfillment, S.L.U., que
se encargaba de gestionar el negocio de media milla y última milla (“negocio de
operador de transporte”).
El contenido de este “Acuerdo” consta reseñado en el Hecho Probado 4.
c) Proyecto de Escisión Parcial de Amazon Spain Fulfillment, S.L.U., de 28/06/2019,
en virtud del cual AMAZON ROAD recibió el “negocio de operador de transporte” y se
produjo una sucesión universal de todas las relaciones jurídicas afectas a los
elementos patrimoniales del negocio.
d) Copia del extracto obtenido de la página web “www.privacyshield.gov” en relación
con la adhesión de Accurate Background Inc. el “Escudo de Privacidad UE-EEUU”. En
este documento se indica “Fecha de certificación original: 11/08/2016”.
e) Información obtenida del Registro Mercantil de Madrid relativa a AMAZON ROAD.
Consta como fecha de inicio de operaciones el 31/05/2019 y como objeto social “la
prestación de servicios logísticos y de distribución, en particular el transporte, la
manipulación y el almacenamiento”. El capital suscrito es de 6.259,00 euros.
SEXTO: Con fecha 03/12//021, el instructor del procedimiento acordó la apertura de un
período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la
reclamación interpuesta y su documentación, así como los documentos obtenidos y
generados durante la fase de admisión a trámite de la reclamación; y por presentadas
las alegaciones formuladas por AMAZON ROAD al acuerdo de inicio del procedimiento
y la documentación que a ellas acompaña.
Asimismo, se acordó incorporar a las actuaciones la información relativa a la entidad
AMAZON ROAD en “Axesor” (“Informe monitoriza”). (…).
SÉPTIMO: Con fecha 29/12/2021, se emitió propuesta de resolución en el sentido
siguiente:
1. Que por la Directora de la AEPD se sancione a la entidad AMAZON ROAD, por una
infracción del artículo 6.1 del RGPD, en relación con el artículo 10 del mismo
Reglamento y del artículo 10 de la LOPDGDD, tipificada en el artículo 83.5 del RGPD
y en el artículo 71 de la LOPDGDD, y calificada como muy grave a efectos de
prescripción en el artículo 72.1 de la LOPDGDD, con una multa por importe de
2.000.000 euros (dos millones de euros).
2. Que por la Directora de la AEPD se imponga a la entidad AMAZON ROAD, en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/64
plazo que se determine, la adopción de las medidas necesarias para adecuar su
actuación a la normativa de protección de datos personales, con el alcance expresado
en el Fundamento de Derecho VII de la propuesta de resolución.
OCTAVO: Notificada la propuesta de resolución y ampliado el plazo concedido para la
formulación de alegaciones, se recibió escrito de AMAZON ROAD en el que solicita el
sobreseimiento del expediente o, subsidiariamente, la imposición de una sanción en su
cuantía mínima, conforme las consideraciones siguientes:
1. Reitera que un certificado negativo de antecedentes penales no comporta un
tratamiento de datos relativos a condenas e infracciones penales en el sentido del
artículo 10 del RGPD y artículo 10 de la LOPDGDD, señalando al respecto que los
artículos 136.4 del Código Penal y 17 del Real Decreto 95/2009, ni la Sentencia de la
Audiencia Nacional de 20 de junio de 2017, citados en la Propuesta de Resolución no
confirman que así sea.
Dichos artículos hacen referencia a la expedición de estos certificados, diferenciando
entre certificados negativos y positivos, siendo estos últimos los únicos que contienen
datos relativos a condenas e infracciones penales. Estos artículos, a juicio de la
reclamada, no avalan lo declarado en la propuesta de resolución.
Entiende que la misma conclusión resulta de la Sentencia citada, que analiza la
imposibilidad de omitir en un certificado datos relativos a una condena extranjera, y se
refiere a certificados positivos, en virtud de lo dispuesto en el artículo 17.2 del Real
Decreto 95/2009.
2. Reitera también que no existe un criterio unánime y consolidado entre los Estados
miembros sobre la interpretación realizada por la AEPD.
Como ya manifestara en las alegaciones a la apertura, señala que la autoridad de
protección de datos de Países Bajos acepta estos certificados negativos (Verklaring
omtrent gedrag o "VOG") y aporta extractos de la página del Ministerio de Justicia de
ese país con información sobre dicho documento; y de la web de la autoridad de
control que admite su uso cuando concurra un interés legítimo del empleador.
En el caso francés, la autoridad de control (CNIL) ha incluido información en su web
según la cual, en ausencia de norma específica que prevea la verificación de este tipo
de antecedentes, el empleador podrá solicitar a un empleado que presente un extracto
de sus antecedentes penales durante una entrevista y hacer anotación sobre esta
verificación “si/no”, sin recabar copia del documento. Es un tratamiento equivalente al
certificado negativo que recaba la reclamada.
Atendiendo a este criterio, la interpretación más coherente con el espíritu y finalidad de
la norma es evitar un tratamiento injustificado y la creación de ficheros con estos
datos.
3. Subsidiariamente, alega inexistencia de culpabilidad en la infracción imputada,
también invocada en las alegaciones a la apertura del procedimiento, a las que se
remite expresamente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/64
4. Para el caso de que se considere que ha existido infracción, alega las
circunstancias siguientes, para que sean tenidas en cuenta en la graduación de la
sanción:
A) Sobre las circunstancias agravantes consideradas en la propuesta de resolución.
a) Duración de la infracción: los certificados negativos que pudo recabar antes de
marzo de 2020 se conservaron durante 90 días para realizar la verificación (aporta
certificación de Accurate Background, de 19/01/2022, en el que se pone de manifiesto
que, según las instrucciones de la cuenta de Amazon, cualquier dato relativo a
candidatos del programa “***PROGRAMA.1” se elimina de la plataforma a los 90 días,
incluyendo cualquier documento proporcionado como parte del proceso de
comprobación), por lo que desde mayo de 2020 no posee ningún dato de este tipo.
Siendo así, no puede considerarse la existencia de una infracción permanente.
b) Número de afectados: aunque la propuesta indica que AMAZON ROAD no aportó
prueba respecto del número de afectados, en el escrito de alegaciones a la apertura
se indicó que el programa “***PROGRAMA.1” representa el 5% de los proveedores
que realizan entregas en España y, con respecto a los conductores de última milla,
solo el 16,7% son participantes en este programa.
c) Nivel de daños y perjuicios: no entiende en qué medida el tratamiento de un
certificado negativo ha podido condicionar las opciones de contratación de los sujetos
participantes, dado que la entidad ha contratado a los transportistas que disponían de
este documento, y los que no disponían del mismo no han sido participantes del
programa.
d) Intencionalidad o negligencia: La ausencia de un criterio claro y sólido por parte de
esta Agencia cuando la entidad empezó a requerir los certificados en cuestión y la
aparición posterior de la Sentencia de la Audiencia Nacional de 10 de febrero de 2020,
que parecería avalar una de las posibles interpretaciones del artículo 10 del RGPD, no
puede una entidad que actuó con toda la diligencia debida y cesó en dicha actividad
en cuanto se dieron cuenta de la posible existencia de un criterio contrario a la
interpretación que Amazon Road entendía ajustada a derecho, apropiada a las
actividades que se iban a llevar a cabo bajo el programa “***PROGRAMA.1”.
A lo anterior cabe añadir que otras autoridades de protección de datos sometidas al
RGPD, como la de los Países Bajos o Francia, no consideran que este tratamiento sea
contrario al artículo 10 del RGPD.
Asimismo, existían resoluciones de la propia Agencia que avalaban la interpretación
que AMAZON ROAD realizó del artículo 10 del RGPD y tras realizar una consulta
telefónica con el Ministerio de Justicia que, con carácter informal, avaló dicha
propuesta.
Por tanto, siendo una cuestión discutida, en buena fe entendió que su interpretación
era la correcta de conformidad con la información disponible en el momento de iniciar
el tratamiento y acomodó su conducta tan pronto como tuvo conocimiento de la
interpretación sostenida por la Agencia o por una autoridad judicial española.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/64
e) El grado de responsabilidad de la responsable habida cuenta las medidas técnicas
u organizativas: la infracción declarada por la Agencia, que resulta de una
interpretación de la norma, nada tiene que ver con el sistema de gestión de los datos
diseñado por AMAZON ROAD a la hora de recabar los datos de los participantes en el
programa. En este sentido, se remite a su escrito de alegaciones anterior.
Añade que en su respuesta al trámite de traslado expuso las medidas técnicas y
organizativas implementadas en relación con el tratamiento de datos derivado del
programa “***PROGRAMA.1”, sin que la Propuesta de Resolución indique que estas
medidas sean insuficientes o cuáles serían las medidas omitidas.
f) Categorías de datos personales: no puede ser equivalente el tratamiento de un
certificado en el que se indica que una persona no se encuentra inscrito en un registro,
que el que efectivamente se refiere a condenas e infracciones penales, de modo que
no puede aplicarse el mismo agravante. Esta interpretación coincide con la que realiza
la autoridad de control de Países Bajos.
g) Vínculo entre la actividad de AMAZON ROAD y el tratamiento de datos personales:
se trata de una empresa de logística que actúa como operador de transporte de
mercancías, cuya actividad no es intensiva en el tratamiento de datos personales,
aunque implique el tratamiento de datos personales (básicamente para la gestión de
su propio personal y para la gestión de paquetes para su entrega), éste es de forma
instrumental sin que su actividad principal se base en la explotación de datos
personales, ni los utiliza para otras finalidades distintas a la gestión de su actividad.
Que trate un determinado número de datos de empleados, clientes y contratistas no
debe ser motivo para considerar una "alta" vinculación, siendo únicamente relevante la
naturaleza de la actividad desarrollada y, por tanto, el impacto o afectación que dicha
actividad tiene en el tratamiento de datos.
De hecho, en la Resolución de 26 de octubre de 2021, dictada en el procedimiento
sancionador PS/00050/2021, una baja vinculación entre el responsable y la realización
de tratamientos de datos se ha considerado por parte de esta Agencia como
atenuante: "En contrapartida se observan se observa que concurre como atenuante
que la reclamada es una entidad del sector logístico en el que se tratan datos de sus
empleados si bien no concurre la vinculación de la actividad del infractor con la
realización de tratamientos de datos personales (76.2.b LOPDGDD).
h) Condición de gran empresa y volumen de negocio: toma la Agencia en
consideración las cifras del año 2020, en el que dejó de tratar los datos de los
certificados negativos. Por ello, entiende más ajustado a derecho considerar los datos
contables de 2019 y, ello, (i) por ser el 2019 el año anterior al año en que la Agencia
emitió su requerimiento de información y (ii) por ser el año en el que se presentó la
reclamación que ha dado lugar a este expediente sancionador. La cifra de negocios de
Amazon Road relativa al año 2019 ascendió a 237.000.000 euros con un resultado del
ejercicio de 1.862.000 euros (aporta extracto de las cuentas).
B) Circunstancias atenuantes.
a) El tratamiento de datos objeto de la presente reclamación fue suspendido en marzo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/64
de 2020, como ya indicó en el escrito de respuesta al traslado y en el de alegaciones a
la apertura del procedimiento.
Adjunta el modelo de correo que la entidad envió en marzo de 2020 a los usuarios del
Programa “***PROGRAMA.1” que estaban en proceso de registro (si bien el correo
lleva fecha de 2022 ello obedece únicamente a que para su aportación a este
procedimiento se ha tenido que efectuar un envío de la plantilla modelo, quedando
como fecha la del envío). Como puede verse, fueron las circunstancias del momento
(esto es, Covid-19) las que llevaron a la entidad a suspender temporalmente la
petición de los certificados negativos.
Dicha suspensión temporal se convirtió en definitiva tras tener conocimiento de la
Sentencia de 10 de febrero de 2020, dictada por la Sala de lo Social de la Audiencia
Nacional, aunque no compartiera la interpretación recogida en esta Sentencia, y el
certificado negativo dejó de solicitarse, incluso a los transportistas que recibieron aquel
correo. Aunque esta parte no compartiera dicha interpretación, lo cierto es que una vez
conocida la sentencia cesó definitivamente la petición de los certificados negativos.
Todo ello ocurrió antes de dictarse el acuerdo de apertura del procedimiento y sin que
dicha decisión fuese adoptada como consecuencia de la intervención de esta Agencia.
b) Toda infracción anterior cometida por el responsable del tratamiento.
En contra de lo indicado en la propuesta, las resoluciones de la AEPD dictadas en los
procedimientos PS/00165/2021, PS/00227/2021 y PS/00015/2021 consideran como
atenuante el hecho de no haber sido sancionado con anterioridad:
Por ello, entiende la reclamada que, de no constituir dicha circunstancia un atenuante
a la luz de lo dispuesto en el artículo 83.2 e) del RGPD, como se indica en la
Propuesta de Resolución, nada impide que lo constituya al amparo de lo dispuesto en
el artículo 83.2 (k) del RGPD, teniendo en cuenta la práctica de esta Agencia.
AMAZON ROAD nunca ha sido sancionada por una infracción de la normativa sobre
protección de datos, ni ha recibido ninguna reclamación por parte de ningún tercero en
cuanto al tratamiento de los certificados negativos.
c) AMAZON ROAD no ha obtenido beneficio alguno de los hechos reclamados.
Al amparo de lo dispuesto en los artículos 83.2.k) del RGPD y 76.2.c) de la
LOPDGDD, entiende esta parte que en el presente caso también debe ser de
aplicación este factor atenuante, por cuanto el tratamiento de los certificados negativos
no ha reportado ningún beneficio adicional.
Este factor de graduación ha sido considerado por la Agencia en su resolución del
procedimiento señalado con el número PS/00227/2021.
d) La diligencia presente en la actuación de AMAZON ROAD.
Si para la AEPD la diligencia con la que ha actuado AMAZON ROAD en todo momento
en relación con el tratamiento de los datos de los certificados negativos no es
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/64
suficiente como para considerar que concurre en una ausencia de culpabilidad, como
sostiene en sus alegaciones, dicha diligencia sí debería ser considerada, cuanto
menos, como un atenuante al amparo de lo dispuesto en el artículo 83.2 apartados b)
y/o k) del RGPD, tomando en consideración las siguientes circunstancias:
. La interpretación literal del artículo 10 del RGPD y 10 de la LOPDGDD sugería
que dichos artículos no se refieren a cualquier dato relacionado con antecedentes
penales, sino los datos relativos a condenas e infracciones penales, lo que a juicio
de esta parte no alcanzaba a la confirmación de la ausencia de antecedentes
penales.
. La interpretación anterior resultaba acorde con la anterior normativa sobre
protección de datos aplicable en territorio español.
. No existía un criterio consolidado, expreso y público por parte de la Agencia en
cuanto al tratamiento de los datos relativos a la ausencia de antecedentes penales
(no en relación con los datos relativos a la comisión de infracciones y existencia de
condenas penales).
. Existían resoluciones de la propia Agencia que avalan la interpretación que
AMAZON ROAD realizó del artículo 10 del RGPD.
. AMAZON ROAD llegó incluso a realizar una consulta telefónica con el Ministerio
de Justicia que, con carácter informal, avaló dicha propuesta.
. Para proceder al tratamiento de los datos relativos a los certificados negativos
contrató a una entidad especializada en la selección y control de idoneidad de los
contratistas.
. La interpretación del artículo 10 del RGPD dada por otras jurisdicciones avalaba
también la interpretación de AMAZON ROAD.
. En marzo de 2020 Amazon Road suspendió el tratamiento de dichos certificados
negativos, según se expuso anteriormente.
Estas circunstancias demuestran que la conducta de AMAZON ROAD no puede ser
tachada de imprudente o irresponsable, sino más bien de todo lo contrario: diligente y
acomodando su comportamiento a la interpretación de la normativa de protección de
datos surgida de la propia Agencia y de los tribunales de Justicia.
5. De las medidas correctoras contenidas en la Propuesta de Resolución.
Pues bien, habiendo quedado acreditado que no recaba los certificados negativos de
los participantes en el programa “***PROGRAMA.1” desde marzo de 2020 y tampoco
conserva dichos certificados, entiende que, en el supuesto de que finalmente se
considerase que existe una infracción del artículo 6.1 del RGPD en relación con el
artículo 10 del RGPD y del artículo 10 de la LOPDGDD, no procedería ninguna de las
medidas propuestas.
Con su escrito de alegaciones, aporta, entre otros, los documentos siguientes:
1) Extractos de la web del Ministerio de Justicia de los Países Bajos, junto con su
traducción, en los que se proporciona información sobre el documento "VOG". En esta
información se indica:
“¿Qué es un VOG?
A menudo se requiere un Certificado de Buena Conducta (VOG) para un trabajo (nuevo). En
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/64
algunos sectores, como el cuidado de los niños, esto es incluso requerido por la ley. Justis
maneja las aplicaciones de VOG y es el único organismo en los Países Bajos que emite el
VOG.
Un VOG es una declaración que muestra que su pasado (judicial) no constituye un obstáculo
para cumplir una tarea o función específica en la sociedad. Al evaluar una solicitud de VOG,
Justis verifica si ha cometido delitos penales que representan un riesgo para el puesto o
propósito para el que está solicitando el VOG.
Algunos delitos penales constituyen una objeción para un trabajo o pasantía, pero no para
otro… ¿No tiene antecedentes penales o no ha cometido ningún delito penal que sea relevante
para el propósito de la solicitud? Luego recibirá un VOG”.
“¿Por qué y cuándo deberías hacer un screening?
...Como empleador, usted tiene una gran responsabilidad en la evaluación de la fiabilidad del
personal futuro. Uno de los instrumentos que usted, como organización, puede utilizar en su
directiva de integridad es el certificado de buena conducta (VOG).
Es recomendable seleccionar para todos los puestos donde es importante que el empleado es
confiable. Pensar en: gerentes con muchos poderes; empleados que trabajan con grupos
vulnerables como niños, ancianos, enfermos o personas con una restricción; empleados que
trabajan con dinero y bienes; empleados que pueden acceder a información confidencial…
Eso tiene que ver con los poderes y la naturaleza del trabajo…
Reglas para el screening
La evaluación puede ser muy drástica para la privacidad del solicitante o empleado. Por lo
tanto, la detección es solo bajo ciertas condiciones legales (Reglamento General de Protección
de Datos (GDPR))
permitido:
Debe tener una razón legítima (interés legítimo) para la proyección.
El screening debe ser necesario.
Debe cumplir con la obligación de proporcionar información.
No puede utilizar los datos obtenidos de la proyección para ningún otro propósito que no sea
para lo cual los obtuviste.
Solo puede conservar los datos durante el tiempo que sea necesario para el propósito del
screening. Debe proteger los datos correctamente.
¿No está seguro de si se le permite examinar? Para obtener más información, visite el sitio
web de la “Autoridad Holandesa de Protección de Datos”.
Pulsando el enlace “Autoridad Holandesa de Protección de Datos” insertado al final del
texto se accede a la web de esta entidad, a la información aportada por AMAZON
ROAD como “Documento 2”.
2) Extractos de la web de la Autoridad de Control de los Países Bajos (Autoriteit
Persoonsgegevens), y su traducción, en relación con el tratamiento de los certificados
"VOG".
“Investigación de antecedentes (screening)
Es importante que los empleadores seleccionen y empleen empleados confiables. El screening
es una herramienta para limitar los riesgos. Para ciertos puestos (por ejemplo, en el cuidado de
niños) el screening es incluso requerido por la ley.
El screening significa que un empleador solicita información sobre un solicitante o empleado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/64
para estimar su integridad.
Por ejemplo, llamando a las referencias de un solicitante o buscando si él o ella está en una
“Lista negra”.
Condiciones del Screening
El screening puede ser muy invasivo para la privacidad del solicitante o empleado en cuestión.
Por lo tanto, el screening solo está permitido bajo ciertas “condiciones legales”.
Las condiciones más importantes son que el empleador tenga una razón legítima (interés
legítimo), que el screening sea necesario y que el empleador informe adecuadamente al
solicitante o empleado de antemano y después.
Interés legítimo
El “interés legítimo” de un empleador en una evaluación (screening) es generalmente que debe
ser capaz de confiar en que su (futuro) empleado es honesto y confiable.
Necesidad
El hecho de que el screening debe ser “necesario” significa, entre otras cosas, que el
empleador no debe ser capaz de lograr su objetivo con un medio menos drástico que el
screening.
Informar
El empleador debe informar al solicitante o empleado “sobre el screening”. El empleador debe
informar a esta persona con anticipación que se llevará a cabo un screening y luego cuáles son
los resultados”.
“Preguntas de los empleadores sobre el screening
[…]
Como empleador, ¿cómo determino que el screening es necesario?
Usted hace un inventario de los riesgos asociados con los diversos grupos de funciones dentro
de su organización. Luego verifique si puede limitar los riesgos de otra manera que no sea a
través del screening.
…Por ejemplo, los puestos en los que el personal trabaja con información confidencial son
conscientes del riesgo de vender o transmitir esta información…
Mitigación de riesgos
¿Ha trazado los riesgos? Luego, debe configurar su organización de tal manera que reduzca
los riesgos inventariados. Se puede pensar en estrictos controles internos o distribución de
poderes. Las buenas medidas organizativas pueden garantizar que los riesgos para su
organización se eliminen por completo. De lo contrario, puede ser necesaria el screening de
solicitantes o empleados. [...]”.
“Solicitudes…
Período de retención de los datos de la solicitud
¿Un solicitante no obtuvo el puesto? Entonces, es habitual que la organización elimine sus
datos a más tardar 4 semanas después del final del procedimiento de solicitud.
Los solicitantes pueden dar permiso para conservar sus datos durante más tiempo. Por
ejemplo, porque un puesto adecuado puede estar disponible en una fecha posterior. Un
período máximo de 1 año después de la terminación del procedimiento de solicitud es
razonable para esto”.
“Preguntas sobre datos personales en las solicitudes de empleo…
Screening en la solicitud de empleo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/64
Es importante que los empleadores contraten empleados confiables. Por lo tanto, el empleador
al que está solicitando puede decidir examinarlo…
Screening legal
El screening es requerido por ley para algunos puestos, por ejemplo, en el cuidado de niños.
En el caso de un screening legalmente requerido, el empleador puede solicitar un Certificado
de Buena Conducta (VOG).
Además, se aplican disposiciones especiales al screening de puestos de confianza, como
agentes de policía, empleados de organizaciones de seguridad privada, empleados de
organismos de investigación, personal de aviación y algunos puestos gubernamentales”.
Por esta Agencia se comprueba la información aportada por AMAZON ROAD.
Asimismo, se pulsa el enlace “condiciones legales” que aparece en el documento
“Investigación de antecedentes (screening)”, y se accede a las “Preguntas de los
empleadores sobre el screening”. De este apartado, además de lo señalado por la
reclamada, cabe destacar lo siguiente:
“Cuando selecciona candidatos o empleados, está procesando sus datos personales. Esto
significa que se aplican el Reglamento general de protección de datos (GDPR) y la Ley de
implementación de AVG (UAVG). Como empleador, usted es responsable de garantizar que
la evaluación cumpla con los requisitos de estas leyes.
En cualquier caso, el RGPD y la UAVG imponen los siguientes requisitos de la selección:
.Tiene un interés legítimo en la proyección.
. El tamizaje es necesario . Esto significa, entre otras cosas, que no puede lograr su
objetivo de otra manera o a través de un medio menos invasivo que la detección.
. Usted cumple con la obligación de información . Esto significa que informa al candidato
o empleado relevante con anticipación que está realizando una evaluación y luego
cuáles son los resultados.
. No utiliza los datos obtenidos de la proyección para ningún otro propósito.
. No almacena los datos durante más tiempo del necesario para el propósito de la
evaluación.
. Los datos de la proyección son suficientes, son relevantes y no recopilas más datos de
los necesarios.
. Proteges bien los datos.
. Usted evalúa si necesita realizar una evaluación de impacto de protección de datos
(DPIA) , porque la detección es un procesamiento de datos con un alto riesgo de
privacidad.
. ¿Ha demostrado la DPIA que la detección prevista plantea un alto riesgo? ¿Y no
encuentra medidas para limitar este riesgo? Entonces debe consultar con la Autoridad de
Protección de Datos (AP) holandesa antes de comenzar la selección. A esto se le
llama consulta previa”.
“Como empleador, ¿puedo evaluar a alguien sin decírselo?
No, eso no está permitido…
Información previa a la selección
Debe informar al solicitante o empleado en cuestión con anticipación que se está llevando a
cabo una evaluación. Además, debe indicar por qué es necesario un examen. También
debe hacer saber qué datos está investigando y por qué son relevantes para el puesto en
cuestión.
Información después de la evaluación… debe informar al solicitante o empleado sobre los
resultados de la evaluación”.
A través del enlace “interés legítimo” que aparece en el documento “Investigación de
antecedentes (screening)”, se accede a la información siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/64
“¿Cuándo puedo confiar en la base del interés legítimo?
Solo tiene derecho a procesar datos personales (ordinarios) si puede confiar en 1 de los 6
principios del Reglamento General de Protección de Datos (GDPR). Una de estas bases es
que el procesamiento de datos personales es necesario para representar su interés
legítimo.
Cada vez que procesa datos personales, esto es una invasión de la privacidad de los
interesados. Estas son las personas cuyos datos procesa. Todo ser humano tiene derecho a
la intimidad, que es un derecho a la intimidad, que es un derecho fundamental.
Pero como organización, también puede tener el derecho de su lado. Ese es el caso si se
tiene un interés que la sociedad considera tan importante que ha encontrado reconocimiento
en la ley. Y solo puede representar este interés procesando datos personales. Llamamos a
tal interés un interés legítimo.
Conflicto de derechos
Esto crea una situación en la que su derecho "choca" con el derecho fundamental de los
interesados. Depende entonces de usted sopesar estos derechos entre sí y ver qué pesa
más, su interés o el de las partes involucradas.
¿Su interés finalmente lo supera? Luego puede basar su procesamiento en la base
(necesaria para la representación de un) interés legítimo”.
3) Extracto de la web de la Autoridad de Control Francesa (CNIL), y su traducción.
“Extracto de los antecedentes penales: ¿puede el empleador solicitarlo y conservarlo?
A falta de un texto específico que prevea la verificación de los antecedentes penales de los
empleados, el empleador puede pedir a un candidato o a un empleado que presente el extracto
de sus antecedentes penales (B3) durante una entrevista, por ejemplo, para verificar su
historial criminal.
No obstante, en este caso, el empresario no puede conservar una copia ni permitir que estos
datos sean objeto de un tratamiento específico. La mención de la verificación en las casillas del
expediente de gestión de personal en la forma "sí/no" es suficiente.
Para el acceso a determinadas funciones denominadas "sensibles", los textos pueden prever la
verificación, por parte del empleador o de determinadas autoridades que expidan
autorizaciones (por ejemplo, para guardias de seguridad o cuidadores de niños), de los
antecedentes penales de los empleados (boletines B2 o B3).
Estos textos pueden prever el período durante el cual el empleador está obligado a conservar
el extracto del registro de antecedentes penales (se suele utilizar 3 meses, en particular para
las administraciones). En ausencia de detalles en el texto, el documento no debe conservarse.
Cuando la verificación la realiza una autoridad, el empleador no necesita consultar los
antecedentes penales ya que las verificaciones las realiza una autoridad autorizada y la
expedición de la autorización es por sí sola suficiente para asegurar la capacidad para ocupar
el puesto de trabajo propuesto…”.
4) Extracto de la web de la Autoridad de Control de los Países Bajos (Autoriteit
Persoonsgegevens), junto con su traducción, en relación con el contenido de los
certificados "VOG".
“Como empleador, ¿puedo solicitar información criminal durante una evaluación?
Para algunos puestos, puede ser necesario que conozca los antecedentes penales de un
solicitante o empleado. En la mayoría de los casos, basta con que el interesado solicite un
certificado de buena conducta (VOG).
VOG
Un VOG es una declaración que muestra que el comportamiento pasado de alguien no
constituye un obstáculo para cumplir una posición específica (futura). Un VOG es emitido por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/64
Justis del Ministerio de Justicia y Seguridad.
Selección de datos criminales
Solo si solicitar un VOG no es suficiente, puede solicitar (otros) datos criminales.
Puede procesar datos personales de naturaleza penal si esto es necesario para la evaluación
de una solicitud de un interesado para tomar una decisión sobre él o para proporcionarle un
servicio.
Un ejemplo es una selección durante un procedimiento de solicitud para un puesto de
integridad. En determinadas circunstancias, los datos personales de carácter penal pueden ser
tratados con tal fin…”.
5) Modelo de correo electrónico que AMAZON ROAD envió en marzo de 2020 en
relación con la suspensión de la petición de los certificados negativos.
“Verificación de antecedentes
Para poder completar el proceso de verificación de antecedentes, es necesario que subas una
copia del certificado demostrando la ausencia de antecedentes penales.
Dado que actualmente no es posible obtener este certificado de manera presencial debido al
estado de alarma, hemos permitido que completes la verificación sin este documento. No
obstante, deberás subir este documento en un plazo de 60 días desde la finalización del
registro en ***PROGRAMA.1. Si pasado este plazo no has subido el documento, dejarás de ser
elegible para participar en el programa ***PROGRAMA.1.
Este documento lo deberás subir en la página de Accurate.
Revisa el correo periódicamente para seguir instrucciones recibidas por parte de Accurate”.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
1. AMAZON ROAD es una empresa del grupo Amazon que proporciona servicios de
logística y distribución a dicho grupo. Dicha entidad inició sus operaciones el
31/05/2019 y tiene como objeto social “la prestación de servicios logísticos y de
distribución, en particular el transporte, la manipulación y el almacenamiento”.
Tras la escisión de Amazon Spain Fulfillment, S.L.U., que tuvo lugar en fecha
28/06/2019, AMAZON ROAD recibió el “negocio de operador de transporte” y sucedió
a aquella entidad en todas las relaciones jurídicas afectas a los elementos
patrimoniales del negocio.
2. AMAZON ROAD es la entidad encargada de gestionar el programa
“***PROGRAMA.1”, que tiene por objeto la contratación de trasportistas autónomos
como proveedores de servicios.
3. La entidad Amazon Development Centre (India) Private Limited, con sede en India,
presta servicio a la entidad AMAZON ROAD en la gestión del programa
“***PROGRAMA.1” en virtud del “Acuerdo Intra-Grupo para la Transferencia y
Tratamiento de Datos” (“Intra-Group Data Transfer and Processing Agreement”), de
fecha 01//01/2019, firmado entre distintas entidades del grupo Amazon, incluidas las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/64
entidades AMAZON ROAD, como entidad “exportadora”, y Amazon Development
Centre (India) Private Limited, como entidad “importadora/encargada del tratamiento”.
Por razón de este contrato, la citada prestadora de servicio asiste a AMAZON ROAD
en la recogida de la información proporcionada por los transportistas autónomos.
El “Acuerdo” citado se ocupa del acceso a los datos personales que las entidades
importadoras deberán efectuar para la prestación a las entidades importadoras de los
servicios que se especifican en su Anexo 1, entre los que se incluye el acceso a los
datos de contratistas y sus empleados y subcontratistas.
Se establece que las entidades importadoras tratarán los datos en nombre del
responsable y de conformidad con sus instrucciones, con el fin de prestar los servicios,
sin que pueda determinar los fines y la forma en que se tratan los datos; y vienen
obligadas a notificar al responsable toda instrucción que, en su opinión, infrinja la
legislación aplicable, cualquier violación de los datos o reclamación que reciba y a
proporcionar al responsable una cooperación y asistencia plenas; así como a
establecer las medidas técnicas y organizativas adecuadas para proteger los datos. Se
prevé, asimismo, que el encargado del tratamiento devuelva al responsable todos los
datos personales o proceda a su destrucción a la terminación del contrato, a elección
del responsable del tratamiento.
En virtud de este “Acuerdo”, las partes se obligan a cumplir “los términos de las
cláusulas tipo para la transferencia de datos personales a los encargados del
tratamiento establecidos en terceros países, aprobadas mediante Decisión de la
Comisión de la CE de 5 de febrero de 2010” (cláusulas contractuales tipo para la
transferencia de datos), las cuales constan reproducidas en Anexo 3 de dicho Acuerdo
y se suscriben mediante la firma del mismo Acuerdo o mediante una carta de adhesión
según el formulario que se incorpora como Anexo 6.
Las medidas técnicas y organizativas que debe aplicar y mantener el encargado del
tratamiento se enumeran en Anexo 2.
El contenido íntegro de este “Acuerdo” se declara reproducido en este acto a efectos
probatorios.
4. La entidad Accurate Background Inc., con sede en Estados Unidos, presta servicio a
la entidad AMAZON ROAD en la gestión del programa “***PROGRAMA.1” en virtud
del “Acuerdo de Tratamiento de Datos” (“Data Processing Agreement”), de 18/10/2018,
firmado por algunas entidades del grupo Amazon y Accurate Background Inc. Entre
aquellas entidades del grupo figura la entidad Amazon Spain Fulfillment, S.L.U., que
se encargaba de gestionar el negocio de media milla y última milla (“negocio de
operador de transporte”) hasta la fecha en que se produjo la escisión de dicho negocio
a favor de AMAZON ROAD, en el año 2019. Este Acuerdo se formaliza por razón del
Contrato Marco celebrado entre las partes el 05/03/2008 (consta en las actuaciones
copia del Contrato Marco de Servicios -“Master Service Agreement”- entre Amazon
Corporate LLC y Accurate Background Inc. y la específica Orden de Trabajo para
España, de 02/12/2017).
Por razón de este contrato, la citada prestadora de servicio asiste a AMAZON ROAD
en la recogida de la información proporcionada por los transportistas autónomos, así
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/64
como en la verificación del cumplimiento de los requisitos que esta entidad exige a
estos transportistas para poder participar en el programa.
El “Acuerdo” citado regula el acceso a los datos personales por parte de Accurate
Background Inc. en su condición de encargado del tratamiento y contempla la firma de
las cláusulas contractuales tipo de la UE, incorporadas como Anexo 3.
Los detalles sobre las actividades de tratamiento que debe llevar a cabo el encargado
se contienen en el Anexo 1 del “Acuerdo”, figurando entre ellas las relacionadas con el
proceso de selección de personal, contratistas y subcontratistas. Se establece que el
importador recibe información de terceros y reúne los datos pertinentes en informes de
cribado del empleo para el que el exportador de datos evalúe al solicitante.
El contenido de este “Acuerdo”, en cuanto a las obligaciones del encargado del
tratamiento, es similar al reseñado en el Hecho Probado Tercero y también incluye un
Anexo 2 en el que se enumeran las medidas de seguridad que se aplicarán.
El contenido íntegro de este “Acuerdo” se declara reproducido en este acto a efectos
probatorios.
5. La entidad Accurate Background Inc. figuró adherida al “Escudo de Privacidad UE-
EEUU”. La “certificación original” de esta adhesión tiene fecha de “11/08/2016”.
6. Para poder participar en el programa “***PROGRAMA.1”, los transportistas
autónomos deben descargarse la aplicación “Amazon Delivery” en su dispositivo móvil.
A través de dicha aplicación, AMAZON ROAD recaba los datos necesarios de los
transportistas autónomos a los efectos de (i) verificar que los mismos cumplen con los
requisitos para poder participar en el programa, (ii) crear la correspondiente cuenta de
usuario necesaria para poder acceder a las ofertas de servicio y (iii) controlar el
desarrollo de la prestación de los servicios.
En esta aplicación se ofrece información sobre el proceso de “verificación de
antecedentes” requeridos a los transportistas autónomos, cuyo detalle consta
reseñado en el Antecedente Primero. Dicha aplicación dispone de una casilla
habilitada para que los transportistas puedan prestar su consentimiento a las acciones
contenidas en dicha información (“Al marcar esta casilla, doy mi autorización”).
7. Los transportistas interesados en participar en el programa “***PROGRAMA.1”
también disponen de un proceso de solicitud online, a través de la página web de
Accurate Background Inc., que incluye un “Formulario de verificación de
antecedentes”.
8. Para la contratación de transportistas autónomos como proveedores de servicios en
el programa “***PROGRAMA.1”, AMAZON ROAD solicita a los candidatos diversa
documentación, entre la que se incluye un certificado de ausencia de antecedentes
penales (“Un certificado del Ministerio de Justicia confirmando que no cuento con
antecedentes penales de ningún tipo”).
9. Los trasportistas que completen el proceso de verificación de antecedentes y sean
seleccionados como proveedores de servicios de AMAZON ROAD suscriben un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/64
contrato mercantil que incluye la siguiente información en materia de protección de
datos personales:
“13. Protección de datos.
a) Amazon podrá conservar y tratar datos relativos a usted para la ejecución del contrato que
Amazon ha suscrito con usted, y con fines legales, administrativos y de gestión, conforme se
describe más detalladamente en el Anexo A.
b) Usted presta su consentimiento para que Amazon y cualquier Entidad vinculada (conforme
dicho término se define más adelante) lleve a cabo la transferencia de “datos de carácter
personal” (en el sentido previsto en el RGPD y en la Ley Orgánica 15/1999) relativos a usted a
cualquier Entidad Vinculada fuera del EEE para promover los intereses legítimos de Amazon y/
o cualquier Entidad Vinculada. A los efectos de esta Cláusula 13, por “Entidad Vinculada” se
entiende “sociedad de cartera” de Amazon, cualquier “sociedad filial” o una filial de su sociedad
de cartera.
c) Las partes se obligan a cumplir toda la normativa aplicable en materia de protección de
datos…
Estoy de acuerdo y acepto lo anterior.
ACEPTAR Y CONTINUAR
( ) Estoy de acuerdo y acepto lo anterior”.
El contenido íntegro de este contrato se declara reproducido en este acto a efectos
probatorios.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada Autoridad de
Control y, según lo establecido en los artículos 47 Y 48 de la LOPDGDD, la Directora
de la Agencia Española de Protección de Datos es competente para iniciar y resolver
este procedimiento.
El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la
Agencia Española de Protección de Datos se regirán por lo dispuesto en el
Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.
II
En el presente procedimiento corresponde analizar, en primer lugar, la presunta ilicitud
del tratamiento de datos efectuado por la entidad reclamada al solicitar un certificado
de antecedentes penales a los transportistas autónomos que han solicitado suscribir
un contrato de servicios con aquel en el programa “***PROGRAMA.1”.
El artículo 5.1.a) del RGPD, sobre los Principios relativos al tratamiento, establece que
los datos personales serán “tratados de manera lícita, leal y transparente en relación
con el interesado («licitud, lealtad y transparencia»)” y el artículo 6.1 concreta los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/64
supuestos en que el tratamiento será lícito:
“El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o
varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte
o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona
física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público
o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el
responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del interesado que
requieran la protección de datos personales, en particular cuando el interesado sea un niño
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por
las autoridades públicas en el ejercicio de sus funciones”.
Por su parte, el artículo 10 de la misma norma se refiere al tratamiento de datos
personales relativos a condenas e infracciones penales y dispone lo siguiente:
“El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de
seguridad conexas sobre la base del artículo 6, apartado 1, sólo podrá llevarse a cabo bajo la
supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los
Estados miembros que establezca garantías adecuadas para los derechos y libertades de los
interesados. Solo podrá llevarse un registro completo de condenas penales bajo el control de
las autoridades públicas”.
En nuestro ordenamiento, el artículo 10 de la LOPDGDD dispone:
“1. El tratamiento de datos personales relativos a condenas e infracciones penales, así como a
procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de los de
prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución
de sanciones penales, solo podrá llevarse a cabo cuando se encuentre amparado en una
norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal.
2. El registro completo de los datos referidos a condenas e infracciones penales, así como a
procedimientos y medidas cautelares y de seguridad conexas a que se refiere el artículo 10 del
Reglamento (UE) 2016/679, podrá realizarse conforme con lo establecido en la regulación del
Sistema de registros administrativos de apoyo a la Administración de Justicia.
3. Fuera de los supuestos señalados en los apartados anteriores, los tratamientos de datos
referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares
y de seguridad conexas solo serán posibles cuando sean llevados a cabo por abogados y
procuradores y tengan por objeto recoger la información facilitada por sus clientes para el
ejercicio de sus funciones”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
27/64
El RGPD hace referencia, en su Considerando 75 a la posibilidad de que
determinados tratamientos de datos puedan entrañar un riesgo para los derechos y
libertades de la personas, entre los que se encuentran los datos relativos a las
condenas e infracciones penales y medidas de seguridad conexa, de ahí que el
artículo 10 del texto legal opte (i) por conferir la legitimidad de su tratamiento a las
autoridades públicas o cuando exista una habilitación del Derecho de la Unión o una
norma nacional que proporcione las garantías adecuadas, y (ii) por asignar la custodia
de los registros donde se inscriben estos datos también a las autoridades públicas.
Esta regulación, lejos de ser novedosa en el ámbito europeo, ya se manifestaba en
similares términos en la Directiva 95/46 CE, del Parlamento y del Consejo, de 24 de
octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al
tratamiento de datos personales y a la libre circulación de tales datos.
El origen de esta especial garantía se encuentra en el Convenio N.º 108 del Consejo
de Europa, de 28 de enero de 1981, para la protección de las personas con respecto
al tratamiento automatizado de datos de carácter personal, que en su artículo 6
dispone que determinadas categorías de datos, entre las que se incluyen los datos de
carácter personal referentes a condenas penales, no podrán tratarse automáticamente
a menos que el derecho interno prevea garantías adecuadas.
El artículo 10 de la LOPDGDD, por su parte, concreta la referencia al Derecho de los
Estados Miembros remarcando que, cuando el tratamiento tenga una finalidad
diferente a “prevención, investigación, detección o enjuiciamiento de infracciones
penales o de ejecución de sanciones penales” -tratamiento excluido del ámbito
material de la normativa de protección de datos en aplicación del artículo 2.1.d) del
RGPD-, para que pueda considerarse legítimo su tratamiento, este deberá estar
amparado en una norma europea, en la LOPDGDD o en otra norma con rango legal.
Con carácter previo a examinar la legitimidad del tratamiento, corresponde analizar si
la solicitud de un certificado “negativo” de antecedentes penales constituye un
“tratamiento de datos personales relativos a condenas e infracciones penales”, según
la redacción del artículo 10 del RGPD, y si dicho tratamiento se encuentra sujeto, no
solo a la normativa de genérica de protección de datos, sino también a la
consideración de datos incluidos en el campo de aplicación del artículo 10 del RGPD y
del artículo 10 de la LOPDGDD y, por lo tanto, merecedores de unas garantías
específicas.
El certificado de antecedentes penales es el documento público que acredita la
carencia o existencia de antecedentes penales que constan inscritos en el Registro
Central de Penados. Los antecedentes penales se definen como las resoluciones
firmes dictadas por los Jueces y Tribunales del orden penal por la comisión de un
delito que imponga penas o medidas de seguridad que se encuentren en vigor
atendiendo a lo que dispone el Código Penal.
La información contenida en el certificado de antecedentes penales objeto del
presente procedimiento constituye un dato personal a la luz de la definición del artículo
4.1 del RGPD ya que se trata de una “información sobre una persona física
identificada”, tanto si se trata de un certificado que refiere la existencia de dichos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
28/64
antecedentes como si pone de manifiesto su ausencia, y su solicitud supone un
tratamiento de datos.
En relación con la categoría de datos personales sobre la que versa esa información,
es precisamente la relativa a las condenas penales firmes de las que haya podido ser
objeto (y se encuentren en vigor) una persona en concreto, tanto sea para poner de
manifiesto que existen esas resoluciones firmes que imponen penas o medidas y
cuáles son éstas, como para acreditar que no existen. Es decir, la información que se
está tratando es el dato relativo a las condenas penales -lo que incluye la ausencia de
estas- vinculado con una persona física concreta.
No puede aceptarse, por tanto, lo expuesto por la reclamada en sus alegaciones
cuando señala que un certificado de antecedentes penales que ponga de manifiesto
que una persona concreta carece de condenas penales no recoge de manera estricta
ningún dato relacionado con condenas e infracciones penales, puesto que sí lo está
haciendo al poner de manifiesto y acreditar que dicha persona carece de ellas.
Admitir la postura mantenida por AMAZON ROAD al respecto equivaldría a admitir que
cualquier persona o entidad pudieran crear un registro de personas sin antecedentes
penales, a pesar de que se trata de una materia reservada a las autoridades públicas.
Se tiene en cuenta, asimismo, el apartado 4 del artículo 136 de la Ley Orgánica
10/1995, de 23 de noviembre, del Código Penal, que tras señalar que “Las
inscripciones de antecedentes penales en las distintas secciones del Registro Central
de Penados y Rebeldes no serán públicas”, prevé que “Durante su vigencia solo se
emitirán certificaciones con las limitaciones y garantías previstas en sus normas
específicas y en los casos establecidos por la ley”. Esa normativa específica es la
contenida en el Real Decreto 95/2009, de 6 de febrero, por el que se regula el Sistema
de registros administrativos de apoyo a la Administración de Justicia, que en su
artículo 17 establece que “(…), podrán certificarse directamente los datos relativos a
su persona contenidos en las inscripciones de los Registros Centrales de Penados, de
Medidas Cautelares Requisitorias y Sentencias No Firmes, de Protección de las
Víctimas de Violencia Doméstica, de Sentencias de Responsabilidad Penal de los
Menores y de Rebeldes Civiles y suscribir certificaciones negativas respecto a
personas que no figuren inscritas en los mismos”. Previéndose en el apartado 2 de
este mismo artículo que “La certificación positiva contendrá la transcripción de los
datos inscritos, tal y como obren en el Registro en el momento de su expedición,
excluyendo las inscripciones que, conforme a una norma con rango de Ley, se hallen
a disposición únicamente de los órganos jurisdiccionales”.
Asimismo, la Audiencia Nacional en diversas sentencias (valga por todas la SAN de 20
de junio de 2017) ha declarado que “No existe un precepto que establezca que el
certificado de antecedentes penales omita hacer referencia a antecedentes penales
que constan debidamente inscritos, salvo en el caso que una norma con rango de Ley
así lo establezca y ello con independencia de que el certificado se solicite para un
procedimiento penal o para un fin distinto de un proceso penal”. De ello puede inferirse
que el certificado de antecedentes penales negativos también se considera un dato
relativo a condenas e infracciones penales, así como a procedimientos y medidas
cautelares y de seguridad conexas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
29/64
Tanto la expedición de un certificado positivo de antecedentes penales como la de un
certificado de ausencia de tales antecedentes requieren, por tanto, la consulta de los
registros públicos mencionados. Por lo tanto, no puede decirse que los certificados
negativos o de ausencia de antecedentes penales no contengan información relativa a
condenas e infracciones penales o medidas de seguridad conexas.
Un ejemplo de que el certificado negativo de antecedentes penales es un tratamiento
de datos personales relativo a condenas e infracciones penales lo podemos ver en
relación con el certificado de delitos de naturaleza sexual. Este certificado es similar al
que ahora estamos examinando, pues se refiere a la existencia o inexistencia de
condenas firmes dictadas por los órganos judiciales, anotadas en el Registro Central
de Delincuentes Sexuales. Así, el certificado de delitos de naturaleza sexual se expide
indicando la existencia o inexistencia de condenas penales en la fecha en la que es
expedido.
Amén de que este certificado pueda ser solicitado en atención a lo previsto en la Ley
Orgánica 8/2021, de 4 de junio, de protección integral a la infancia y la adolescencia
frente a la violencia -norma de rango legal que habilita su petición en relación con el
acceso a profesiones, oficios y actividades que impliquen contacto habitual con
personas menores de edad-, lo cierto es que el hecho de obtener un certificado
negativo pone de manifiesto que alguien carece de condenas penales en relación con
delitos de naturaleza sexual. Esto implica tratar datos personales “relativos” a
condenas penales, pues los datos contenidos en el citado certificado, de igual forma
que en el ahora examinado, tienen que ver de manera indisoluble con la existencia de
condenas penales. Son datos personales relativos a condenas penales ya sea por su
tenencia o por su ausencia.
Y tampoco resultaría acertada la petición que realiza AMAZON ROAD de que por
parte de esta Agencia se realice una interpretación estricta de manera análoga al
supuesto incluido en el Informe del Gabinete Jurídico 0129/2005. En este sentido, lo
que venía a poner de manifiesto el mencionado informe es que el dato de “fumador”
por sí mismo considerado no pertenecería a la categoría de datos de salud, por
cuanto, de acuerdo con la Recomendación Nº R (97) 5, del Comité de Ministros del
Consejo de Europa, referente a la protección de datos médicos, el dato referido al
mero consumo de tabaco, sin especificación de la cantidad consumida, no sería en
principio un dato vinculado con la salud, si el mismo no viene acompañado con una
información complementaria que permita determinar que se produce la situación de
“abuso de nicotina”. Sin embargo, en el caso objeto del presente procedimiento, tal y
como se ha expuesto, la relación entre certificado de antecedentes penales y la
categoría de datos relativos a condenas e infracciones penales es unívoca, ya que su
información se refiere a ellas, tanto sea para poner de manifiesto su existencia como
su ausencia.
Interesa, además, traer a colación en este punto el expediente al E/00037/2013 que la
reclamada hace referencia en su escrito de contestación al traslado. En este
expediente, el tema versaba acerca de la solicitud de una declaración responsable en
la que los sujetos afirmaran que carecían de antecedentes penales (no la solicitud del
certificado). Pues bien, sobre un supuesto de carácter análogo, la Sentencia de la Sala
de lo Social de la Audiencia Nacional 14/2020, de 10 de febrero de 2020, señala que
incluso la solicitud de una declaración responsable de que se carece de antecedentes
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
30/64
penales ha de ser considerada como un tratamiento de datos relativos a condenas
penales.
AMAZON ROAD, en sus alegaciones a la apertura del procedimiento, descarta la
declaración efectuada por la Audiencia Nacional en esta Sentencia señalando que la
misma fue dictada por la Sala de lo Social, que no es la competente para revisar las
decisiones de esta Agencia, negando con ello la capacidad que tienen los jueces y
tribunales de interpretar las normas que resulten de aplicación al supuesto objeto del
proceso de que se trate.
Respecto de esta alegación, hemos de significar que, si bien la Sala de lo Social de la
Audiencia Nacional no es competente para revisar las resoluciones administrativas
dictadas por la AEPD, en atención a la competencia atribuida al orden social, artículo
25 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial (LOPJ), ello no le
impide interpretar y aplicar la normativa de protección de datos o cualquier otra que
pudiera ser relevante para la resolución del asunto litigioso; a mayor abundamiento, el
artículo 4.bis de la LOPJ mandata a los jueces y tribunales la aplicación del Derecho
de la Unión Europea.
Como consecuencia de lo anterior, una vez sentado que el certificado de antecedentes
penales que solicita AMAZON ROAD supone una información relativa a las condenas
penales de una persona física identificada y, por ende, un dato personal sujeto a las
especiales garantías que establecen los artículos 10 del RGPD y 10 de la LOPDGDD,
procede examinar si existe una habilitación que permita que la entidad reclamada trate
dicha información.
Estos preceptos confieren el tratamiento de los referidos datos a los poderes públicos
restringiendo a los particulares su tratamiento únicamente para aquellos casos en que
una norma de derecho europeo o una norma nacional con rango de ley lo habiliten
(amén de lo establecido en el punto 10.3 para el tratamiento de datos penales por
parte de abogados y procuradores).
Solamente, por tanto, en aquellos supuestos excepcionales en que, autorizados por
una Ley y con las debidas garantías, se contemple dicha medida, podría exigirse dicho
certificado; en este sentido existen específicas normativas que, en distintos ámbitos, lo
contemplan expresamente. En relación con este punto, no existe una norma del
Derecho de la Unión o una norma legal de nuestro ordenamiento que permita llevar a
cabo el tratamiento de datos de antecedentes penales pretendido por la entidad
reclamada.
Analizando la normativa sectorial traída a colación por la reclamada en su escrito, el
artículo 43.2 de la Ley 16/1987, de 30 de julio, de Ordenación de los Transportes
Terrestres (en adelante, LOTT) dispone que “cuando la autorización habilite para la
realización de transporte público de viajeros en autobús o de mercancías en vehículos
o conjuntos de vehículos con capacidad de tracción propia cuya masa máxima
autorizada sea superior a 3,5 toneladas, deberán cumplir los requisitos de
establecimiento, honorabilidad, capacidad financiera y competencia profesional
exigidos por la reglamentación de la Unión Europea por la que se establecen normas
comunes relativas a las condiciones que han de cumplirse para el ejercicio de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
31/64
profesión de transportista por carretera, de conformidad con lo que en dicha
reglamentación se dispone y con lo que en esta ley y en sus normas de desarrollo se
señala para la ejecución de tales disposiciones”. El artículo 45, se refiere
específicamente al requisito de honorabilidad disponiendo que “De conformidad con lo
dispuesto en la reglamentación de la Unión Europea por la que se establecen normas
comunes relativas a las condiciones que han de cumplirse para el ejercicio de la
profesión de transportista por carretera, a fin de cumplir el requisito de honorabilidad,
ni la empresa ni su gestor de transporte podrán haber sido condenados por la
comisión de delitos o faltas penales ni sancionados por la comisión de infracciones
relacionadas con los ámbitos mercantil, social o laboral, de seguridad vial o de
ordenación de los transportes terrestres que den lugar a la pérdida de este requisito,
de conformidad con lo que se dispone en esta ley y en la reglamentación de la Unión
Europea.
Por su parte, el Reglamento de la Ley de Ordenación de los Transportes Terrestres
(ROTT), aprobado por Real Decreto 1211/1990, de 28 de septiembre, recoge en su
artículo 109 que “De conformidad con lo dispuesto en el artículo 43.2 de la LOTT, para
la obtención y mantenimiento de las autorizaciones de transporte público de viajeros
en autobús y de transporte público de mercancías en vehículos que puedan superar
las 3,5 toneladas de masa máxima autorizada, deberá resultar acreditado que la
empresa cumple, además de la condiciones señaladas en el artículo 43.1 de la LOTT,
los requisitos de establecimiento, competencia profesional, honorabilidad y capacidad
financiera, con las concreciones señaladas en este Reglamento”; y en el artículo 115
que “1. A efectos de lo dispuesto en el artículo 45 de la LOTT, tanto el propio titular de
la autorización, ya sea una persona física o jurídica, como el gestor de transporte de la
empresa a título personal, deberán cumplir el requisito de honorabilidad. 2. En la
comprobación del cumplimiento de las condiciones señaladas en el apartado anterior,
el órgano competente deberá atenerse exclusivamente a los datos obrantes en el
Registro de Empresas y Actividades de Transporte y en el Registro Europeo de
Empresas de Transporte por Carretera”. En los artículos 116 a 120 se regula
detalladamente el régimen jurídico y las especificaciones a tener en cuenta en torno al
concepto de honorabilidad.
En base a lo anterior, puede deducirse que únicamente sería exigible el cumplimiento
del requisito de honorabilidad para aquellas autorizaciones que impliquen el uso de
vehículos cuya masa máxima autorizada sea superior a 3,5 toneladas. Su examen
correspondería, en todo caso, a la Administración competente para conceder y
gestionar las autorizaciones de transporte, y además con la limitación añadida de
atenerse exclusivamente a lo inscrito en el Registro de Empresas y Actividades de
Transporte y en el Registro Europeo de Empresas de Transporte de Carretera. Es
decir, ni siquiera la Administración competente para gestionar la autorización puede,
en estos casos, solicitar ni entrar a examinar un certificado de antecedentes penales,
sino que deberá atenerse a la información que se haya inscrito en los mencionados
registros. A mayor abundamiento, se significa que ni siquiera la existencia de una
condena penal o sanción administrativa determina automáticamente la pérdida de la
honorabilidad necesaria para ser titular de una autorización de transporte, puesto que
existe un procedimiento administrativo posterior, una vez inscrita dicha condena o
resolución en el Registro de Empresas y Actividades de Transporte, conforme resulta
de los artículos 118 y 119 del Reglamento de la Ley de Ordenación de los Transportes
Terrestres (ROTT), según el cual la autoridad competente de transporte puede
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
32/64
determinar que incluso existiendo dicha condena o sanción, la consecuencia de la
pérdida de la honorabilidad, y por tanto de la autorización, es desproporcionada. El
propio ROTT adicionalmente establece una circunstancia en la que, aun existiendo
resolución sancionadora, considera que no cabe en ningún caso la pérdida de la
honorabilidad (artículo 119.3 del ROTT). Luego de estos preceptos resulta que pueden
existir transportistas con condenas o sanciones que no conlleven la pérdida de este
requisito.
En cualquier caso, sería tan solo en el supuesto de que AMAZON ROAD pretendiese
suscribir contratos de prestación de servicios con transportistas autónomos en los que
los vehículos a utilizar por estos tuviesen una masa máxima autorizada superior a 3,5
toneladas (situación que no concurre en el presente supuesto por cuanto la masa
máxima de los vehículos admitidos en el programa ha de ser inferior a 2 toneladas)
cuando los datos de ciertos antecedentes penales, como componentes del requisito de
honorabilidad tal y como se define en la LOTT, entrarían en juego para la concesión y
mantenimiento de la autorización preceptiva por parte de la Administración que la
otorga. Sin embargo, la competencia exclusiva para su control corresponde a dicha
Administración con las limitaciones indicadas anteriormente, y sin que en ningún caso
exista legitimación que habilite a la empresa a solicitar un certificado de antecedentes
penales o a verificar dicha información.
A falta de habilitación legal, no cabe, en este caso, acudir a otras bases jurídicas para
legitimar el tratamiento de datos personales relativos a condenas e infracciones
penales.
No obstante, AMAZON ROAD, en su escrito de respuesta al trámite de traslado de la
reclamación, manifestó que las bases legitimadoras de los tratamientos de datos que
realiza, dependiendo del tipo de datos recabados y de las finalidades previstas, son la
ejecución del contrato entre el transportista autónomo y la entidad, el consentimiento
de aquellos y el interés legítimo.
En relación con el tratamiento de los datos personales contenidos en los certificados
de antecedentes penales que recaba de los transportistas que participan en el
programa “Amazon lex”, señala que la base jurídica es la ejecución del contrato y el
interés legítimo de AMAZON ROAD en proteger la confianza que los clientes tienen
depositada en la entidad y en garantizar que su posición como operador de transporte
no se vea comprometida.
Por otra parte, en la información que se ofrece a los interesados durante el proceso de
“verificación de antecedentes” (los detalles constan reseñados en el Antecedente
Primero) se indica como base jurídica para aquellos tratamientos de datos el
consentimiento de los interesados (“En relación con este proceso, doy mi
consentimiento a que se realicen las comprobaciones mencionadas…”, entre las que
figura “Un certificado del Ministerio de Justicia confirmando que no cuento con
antecedentes penales de ningún tipo”).
Ninguna de estas bases jurídicas puede legitimar un tratamiento de datos personales
que, como se ha dicho, solo puede llevarse a cabo en aquellos supuestos en los que
exista habilitación legal, de modo que no resulta necesario su análisis.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
33/64
No obstante, se estima oportuno realizar algunas precisiones al respecto:
a) La entidad reclamada considera que el tratamiento de los certificados en cuestión
es necesario para la ejecución del contrato que suscribe con los transportistas
autónomos, para garantizar la seguridad y confianza de los clientes, aplicar un
estándar mínimo de diligencia en la contratación de servicios de proveedores y para
evitar que su posición de operador de transportes se vea comprometida (las mismas
razones que aduce para justificar el interés legítimo).
No comparte esta Agencia que los certificados de antecedentes penales que la
reclamada solicita a los transportistas autónomos se necesaria para la ejecución de
este contrato de prestación de servicios, por las razones ya expuestas al referirnos a la
normativa que regula el transporte de mercancías.
Son los poderes públicos los encargados de conceder las autorizaciones necesarios
para el transporte público de mercancías, de modo que a AMAZON ROAD únicamente
le compete comprobar que el transportista autónomo pretende contratar cuenta con
esta concesión.
b) En relación con la base jurídica del interés legítimo, el artículo 6 del RGPD
establece:
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el
responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del interesado que
requieran la protección de datos personales, en particular cuando el interesado sea un niño...”.
El Considerando 47 del RGPD precisa el contenido y alcance de esta base
legitimadora del tratamiento:
“(47) El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que
se puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica
para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del
interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su
relación con el responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una
relación pertinente y apropiada entre el interesado y el responsable, como en situaciones en
las que el interesado es cliente o está al servicio del responsable. En cualquier caso, la
existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un
interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de
datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y
los derechos fundamentales del interesado podrían prevalecer sobre los intereses del
responsable del tratamiento cuando se proceda al tratamiento de los datos personales en
circunstancias en las que el interesado no espere razonablemente que se realice un
tratamiento ulterior. Dado que corresponde al legislador establecer por ley la base jurídica para
el tratamiento de datos personales por parte de las autoridades públicas, esta base jurídica no
debe aplicarse al tratamiento efectuado por las autoridades públicas en el ejercicio de sus
funciones. El tratamiento de datos de carácter personal estrictamente necesario para la
prevención del fraude constituye también un interés legítimo del responsable del tratamiento de
que se trate. El tratamiento de datos personales con fines de mercadotecnia directa puede
considerarse realizado por interés legítimo”.
Los criterios interpretativos que se extraen de este Considerando son, entre otros, (i)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
34/64
que el interés legítimo del responsable prevalezca sobre los intereses o derechos y
libertades fundamentales del titular de los datos, a la vista de las expectativas
razonables que éste tenga, fundadas en la relación que mantiene con el responsable
del tratamiento; (ii) será imprescindible que se efectúe una “evaluación meticulosa” de
los derechos e interés en juego, también en aquellos supuestos en los que el
interesado pueda prever de forma razonable, en el momento y en el contexto de la
recogida de datos, que pueda producirse el tratamiento con tal fin; (iii) los intereses y
derechos fundamentales del titular de los datos personales podrían prevalecer frente a
los intereses legítimos del responsable cuando el tratamiento de los datos se efectúe
en circunstancias tales en las que el interesado “no espere razonablemente” que se
lleve a cabo un tratamiento ulterior de sus datos personales.
La entidad reclamada no realizó este análisis previo, aunque se refiera al mismo en su
escrito de alegaciones a la propuesta, y no consta que haya informado debidamente a
los interesados sobre esta base legitimadora.
Al faltar la información relativa a la prueba de ponderación, el interesado se ve privado
de su derecho a conocer la base jurídica del tratamiento alegada por el responsable, y
en concreto, al referirse al interés legítimo, se ve privado de su derecho a conocer
cuáles son dichos intereses legítimos alegados por el responsable o de un tercero que
justificarían el tratamiento.
Del mismo modo, el interesado se ve privado de su derecho a alegar por qué causas
dicho interés legítimo del responsable del tratamiento podría ser contrarrestado por los
derechos o intereses del interesado. No habiéndosele dado oportunidad al interesado
de alegarlos frente al responsable, cualquier sopesamiento que realice el responsable
sin tener en cuenta las circunstancias que pudiera alegar el interesado a quien no se la
ha permitido hacerlo estaría viciado, por ser un acto contrario a una norma imperativa.
No cabe, por tanto, invocar esta base jurídica del interés legítimo con ocasión de un
trámite administrativo, como el de traslado de la reclamación. Aceptarlo sería tanto
como admitir un interés legítimo sobrevenido, o a posteriori, respecto del cual no se
han respetado las exigencias previstas en la normativa de protección de datos
personales y sobre el que no se informa a los interesados.
Aunque el interés legítimo no es aplicable, interesa analizar los términos en que debe
llevarse a cabo la ponderación que prevé el artículo 6.1.f) del RGPD entre el legítimo
interés del responsable de los datos y la protección de datos de carácter personal del
interesado, es decir, cómo juega dicho interés legítimo, si fuera aplicable.
El TJUE, en su sentencia de 04/05/2017, C-13/16, Rigas Satskime, apartado 28 a 34,
determinó cuáles son los requisitos para que un tratamiento pueda resultar lícito sobre
la base del interés legítimo. La sentencia TJUE de 29/07/2019, C-40/17, Fashion ID,
haciéndose eco de la sentencia citada, recoge dichos requisitos.
28. A tal respecto, el artículo 7, letra f), de la Directiva 95/46 -(actual artículo 6.1.f) del RGPD)-
fija tres requisitos acumulativos para que el tratamiento de datos personales resulte lícito:
primero, que el responsable del tratamiento o el tercero o terceros a quienes se comuniquen
los datos persigan un interés legítimo; segundo, que el tratamiento sea necesario para la
satisfacción de ese interés legítimo y, tercero, que no prevalezcan los derechos y libertades
fundamentales del interesado en la protección de los datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
35/64
Esta base jurídica requiere la existencia de intereses reales, no especulativos y que,
además, sean legítimos. Y no solo la existencia de ese interés legítimo significa que
puedan realizarse aquellas operaciones de tratamiento. Es preciso también que estos
tratamientos sean necesarios para satisfacer ese interés y considerar la repercusión
para el interesado, el nivel de intrusismo en su privacidad y los efectos que pueden
repercutirle negativamente.
Aunque el responsable tenga dicho interés legítimo, ello no significa, en sí mismo
considerado, que pueda simplemente invocarse esta base jurídica como fundamento
del tratamiento. La legitimidad de este interés es solo un punto de partida, uno solo de
los elementos que deben ponderarse.
En esta caso, se considera que el tratamiento de datos personales que realiza
AMAZON ROAD no es necesario o estrictamente necesario para la satisfacción del
interés legítimo alegado (la sentencia citada de 04/05/2017, C-13/16, Rigas Satskime,
en su apartado 30, declara “Por lo que atañe al requisito de que el tratamiento de
datos sea necesario, procede recordar que las excepciones y restricciones al principio
de protección de los datos de carácter personal deben establecerse sin sobrepasar los
límites de lo estrictamente necesario”).
Este principio, según el cual el tratamiento debe ser estrictamente necesario para la
satisfacción del interés legítimo, hay que interpretarlo de conformidad con lo
establecido en el artículo 5.1.c) RGPD, que hace referencia al principio de
minimización de datos, señalando que los datos personales serán “adecuados,
pertinentes y limitados a lo necesario en relación con los fines para los que son
tratados”.
De esta forma, deberán preferirse siempre medios menos invasivos para servir a un
mismo fin. Necesidad supone aquí que el tratamiento resulte imprescindible para la
satisfacción del referido interés, de modo que, si dicho objetivo se puede alcanzar de
forma razonable de otra manera que produzca menos impacto o menos intrusiva, el
interés legítimo no puede ser invocado.
El término “necesidad” que utiliza el artículo 6.1 f) del RGPD tiene a juicio del TJUE un
significado propio e independiente en la legislación comunitaria. Se trata de un
“concepto autónomo del Derecho Comunitario” (STJUE de 16/12/2008, asunto C-
524/2006, apartado 52). De otra parte, el Tribunal Europeo de Derechos Humanos
(TEDH) ha ofrecido también directrices para interpretar el concepto de necesidad. En
su Sentencia de 25/03/1983 precisó que, sin perjuicio de que el tratamiento de los
datos de los reclamantes sea “útil”, “deseable” o “razonable”, como precisó el TEDH en
su Sentencia de 25/3/1983, el término “necesario” no tiene la flexibilidad que está
implícita en esas expresiones.
Cuanto más “negativo” o “incierto” pueda ser el impacto del tratamiento, más
improbable es que el tratamiento en su conjunto pueda considerarse legítimo.
Como puede apreciarse, lo expresado anteriormente se ajusta a la doctrina del
Tribunal Constitucional sobre el juicio de proporcionalidad que debe realizarse sobre
una medida restrictiva de un derecho fundamental. Según esta doctrina, deberán
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
36/64
constatarse tres requisitos: idoneidad (si la medida permite conseguir el objetivo
propuesto); necesidad (que no exista otra medida más moderada); proporcionalidad en
sentido estricto (más beneficios o ventajas que perjuicios).
En definitiva, se entiende que la recogida y utilización del certificado de antecedentes
penales que la entidad reclamada realiza supone un tratamiento de datos personales
excesivo, considerando que existen otras formas menos intrusivas para proteger la
confianza que los clientes tienen depositada en la entidad y para garantizar que su
posición como operador de transporte no se vea comprometida.
Por tanto, el interés legítimo invocado por AMAZON ROAD no prevalece frente los
derechos y libertades fundamentales de los interesados en la protección de sus datos
personales, por lo que no cabe considerar que el tratamiento de datos personales que
lleva a cabo esté amparado por el interés legítimo que prevé el artículo 6.1.f) del
RGPD.
c) Y tampoco la aceptación por los transportistas interesados del proceso de
“verificación de antecedentes” supone un consentimiento válido para el tratamiento de
datos personales relativos a antecedentes penales. De acuerdo con lo expresado en
las normas reseñadas, los tratamientos de datos personales objeto de la reclamación
requieren la existencia de una base legal que lo legitime, como el consentimiento del
interesado prestado válidamente, necesario cuando no concurra alguna otra base
jurídica de la mencionadas en el artículo 6.1 del RGPD o el tratamiento persiga un fin
compatible con aquel para el que se recogieron los datos, y siempre que el tratamiento
no requiera, como en este caso, de una habilitación legal.
El artículo 4 del RGPD define el “consentimiento” en los términos siguientes:
“Artículo 4 Definiciones
A efectos del presente Reglamento se entenderá por:
11. «consentimiento del interesado»: toda manifestación de voluntad libre, específica,
informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una
clara acción afirmativa, el tratamiento de datos personales que le conciernen”.
En relación con la prestación del consentimiento, debe tenerse en cuenta lo
establecido en el artículo 6 del RGPD, ya citado, y en los artículos 7 del RGPD y 7 de
la LOPDGDD.
Artículo 7 “Condiciones para el consentimiento” del RGPD:
“1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá
ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.
2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que
también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma
que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y
utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que
constituya infracción del presente Reglamento.
3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada
del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a
su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil
retirar el consentimiento como darlo.
4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
37/64
medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la
prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que
no son necesarios para la ejecución de dicho contrato”.
Artículo 6 “Tratamiento basado en el consentimiento del afectado” de la LOPDGDD:
“1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se
entiende por consentimiento del afectado toda manifestación de voluntad libre, específica,
informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara
acción afirmativa, el tratamiento de datos personales que le conciernen.
2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado
para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca
que dicho consentimiento se otorga para todas ellas.
3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de
los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo
o control de la relación contractual”.
El consentimiento se entiende como un acto afirmativo claro que refleje una
manifestación de voluntad libre, específica, informada e inequívoca del interesado de
aceptar el tratamiento de datos de carácter personal que le conciernan, prestada con
garantías suficientes para acreditar que el interesado es consciente del hecho de que
da su consentimiento y de la medida en que lo hace. Y debe darse para todas las
actividades de tratamiento realizadas con el mismo o mismos fines, de modo que,
cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos
ellos de manera específica e inequívoca, sin que pueda supeditarse la ejecución del
contrato a que el afectado consienta el tratamiento de sus datos personales para
finalidades que no guarden relación con el mantenimiento, desarrollo o control de la
relación negocial. A este respecto, la licitud del tratamiento exige que el interesado sea
informado sobre los fines a que están destinados los datos (consentimiento
informado).
El consentimiento ha de prestarse libremente. Se entiende que el consentimiento no
es libre cuando el interesado no goza de verdadera o libre elección o no puede
denegar o retirar su consentimiento sin sufrir perjuicio alguno; o cuando no se le
permita autorizar por separado las distintas operaciones de tratamiento de datos
personales pese a ser adecuado en el caso concreto, o cuando el cumplimiento de un
contrato o prestación de servicio sea dependiente del consentimiento, aún cuando éste
no sea necesario para dicho cumplimiento. Esto ocurre cuando el consentimiento se
incluye como una parte no negociable de las condiciones generales o cuando se
impone la obligación de estar de acuerdo con el uso de datos personales adicionales a
los estrictamente necesarios.
Sin estas condiciones, la prestación del consentimiento no ofrecería al interesado un
verdadero control sobre sus datos personales y el destino de los mismos, y ello haría
ilegal la actividad del tratamiento.
El Grupo de Trabajo del Artículo 29 analizó estas cuestiones en su documento
“Directrices sobre el consentimiento en virtud del Reglamente 2016/679”, revisadas y
aprobadas el 10/04/2018; que ha sido actualizado por el Comité Europeo de
Protección de Datos el 04/05/2020 mediante el documento “Directrices 05/2020 sobre
el consentimiento con arreglo al Reglamento 2016/679”. De lo indicado en este
documento, interesa ahora destacar algunos aspectos relacionados con la validez del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
38/64
consentimiento, en concreto sobre los elementos “específico”, “informado” e
“inequívoco”:
“3.2. Manifestación de voluntad específica
El artículo 6, apartado 1, letra a), confirma que el consentimiento del interesado para el
tratamiento de sus datos debe darse «para uno o varios fines específicos» y que un interesado
puede elegir con respecto a cada uno de dichos fines. El requisito de que el consentimiento
deba ser «específico» tiene por objeto garantizar un nivel de control y transparencia para el
interesado. Este requisito no ha sido modificado por el RGPD y sigue estando estrechamente
vinculado con el requisito de consentimiento «informado». Al mismo tiempo, debe interpretarse
en línea con el requisito de «disociación» para obtener el consentimiento «libre». En suma,
para cumplir con el carácter de «específico» el responsable del tratamiento debe aplicar:
i) la especificación del fin como garantía contra la desviación del uso,
ii) la disociación en las solicitudes de consentimiento, y
iii) una clara separación entre la información relacionada con la obtención del consentimiento
para las actividades de tratamiento de datos y la información relativa a otras cuestiones.
Ad. i): De conformidad con el artículo 5, apartado 1, letra b), del RGPD, la obtención del
consentimiento válido va siempre precedida de la determinación de un fin específico, explícito y
legítimo para la actividad de tratamiento prevista. La necesidad del consentimiento específico
en combinación con la noción de limitación de la finalidad que figura en el artículo 5, apartado
1, letra b), funciona como garantía frente a la ampliación o difuminación gradual de los fines
para los que se realiza el tratamiento de los datos una vez que un interesado haya dado su
autorización a la recogida inicial de los datos. Este fenómeno, también conocido como
desviación del uso, supone un riesgo para los interesados ya que puede dar lugar a un uso
imprevisto de los datos personales por parte del responsable del tratamiento o de terceras
partes y a la pérdida de control por parte del interesado.
Si el responsable del tratamiento se basa en el artículo 6, apartado 1, letra a), los interesados
deberán siempre dar su consentimiento para un fin específico para el tratamiento de los datos.
En consonancia con el concepto de limitación de la finalidad, con el artículo 5, apartado 1, letra
b), y con el considerando 32, el consentimiento puede abarcar distintas operaciones, siempre
que dichas operaciones tengan un mismo fin. Huelga decir que el consentimiento específico
solo puede obtenerse cuando se informa expresamente a los interesados sobre los fines
previstos para el uso de los datos que les conciernen.
Sin perjuicio de las disposiciones sobre la compatibilidad de los fines, el consentimiento debe
ser específico para cada fin. Los interesados darán su consentimiento entendiendo que tienen
control sobre sus datos y que estos solo serán tratados para dichos fines específicos. Si un
responsable trata datos basándose en el consentimiento y, además, desea tratar dichos datos
para otro fin, deberá obtener el consentimiento para ese otro fin, a menos que exista otra base
jurídica que refleje mejor la situación…
Ad. ii) Los mecanismos de consentimiento no solo deben estar separados con el fin de cumplir
el requisito de consentimiento «libre», sino que también deben cumplir con el de
consentimiento «específico». Esto significa que un responsable del tratamiento que busque el
consentimiento para varios fines distintos, debe facilitar la posibilidad de optar por cada fin, de
manera que los usuarios puedan dar consentimiento específico para fines específicos.
Ad. iii) Finalmente, los responsables del tratamiento deben facilitar, con cada solicitud de
consentimiento separada, información específica sobre los datos que se tratarán para cada fin,
con el objeto de que los interesados conozcan la repercusión de las diferentes opciones que
tienen. De este modo, se permite a los interesados dar un consentimiento específico. Esta
cuestión se solapa con el requisito de que los responsables faciliten información clara, tal y
como se ha expuesto anteriormente en la sección 3.3”.
“3.3. Manifestación de voluntad informada
El RGPD refuerza el requisito de que el consentimiento debe ser informado. De conformidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
39/64
con el artículo 5 del RGPD, el requisito de transparencia es uno de los principios
fundamentales, estrechamente relacionado con los principios de lealtad y licitud. Facilitar
información a los interesados antes de obtener su consentimiento es esencial para que puedan
tomar decisiones informadas, comprender qué es lo que están autorizando y, por ejemplo,
ejercer su derecho a retirar su consentimiento. Si el responsable no proporciona información
accesible, el control del usuario será ilusorio y el consentimiento no constituirá una base válida
para el tratamiento de los datos.
Si no se cumplen los requisitos relativos al consentimiento informado, el consentimiento no
será válido y el responsable podrá estar incumpliendo el artículo 6 de RGPD.
3.3.1. Requisitos mínimos de contenido para que el consentimiento sea «informado»
Para que el consentimiento sea informado es necesario comunicar al interesado ciertos
elementos que son cruciales para poder elegir. Por tanto, el GT29 opina que se requiere, al
menos, la información siguiente para obtener el consentimiento válido:
i) la identidad del responsable del tratamiento,
ii) el fin de cada una de las operaciones de tratamiento para las que se solicita el
consentimiento,
iii) qué (tipo de) datos van a recogerse y utilizarse,
iv) la existencia del derecho a retirar el consentimiento,
v) información sobre el uso de los datos para decisiones automatizadas de conformidad con el
artículo 22, apartado 2, letra c), cuando sea pertinente, e
vi) información sobre los posibles riesgos de transferencia de datos debido a la ausencia de
una decisión de adecuación y de garantías adecuadas, tal y como se describen en el artículo
46”.
En el supuesto denunciado no existen evidencias sobre la prestación de un
consentimiento válido por parte de los transportistas autónomos participantes en el
programa “***PROGRAMA.1” que ampare los tratamientos de datos personales que
AMAZON ROAD lleva a cabo con los antecedentes penales que solicita. Esta entidad
ni siquiera informa debidamente sobre este tratamiento de datos, sobre su finalidad y
base jurídica o el derecho a retirar el consentimiento, de conformidad con lo
establecido en el artículo 13 del RGPD; ni ha establecido ningún mecanismo para que
los interesados puedan consentir esta recogida de datos personales mediante un acto
afirmativo separado para estas concretas operaciones de tratamiento; ni el
consentimiento puede considerarse libre, al imponerse el tratamiento de datos
personales como un requisito para acceder a la contratación.
Es significativo que AMAZON ROAD, en su escrito de alegaciones a la propuesta de
resolución, no haya realizado ni una sola argumentación de contrario sobre los
razonamientos desarrollados en el presente Fundamento de Derecho, ya sea en
relación con la naturaleza de dato personal relativo a condenas e infracciones penales
que debe atribuirse al certificado negativo de antecedentes, o con la inexistencia de
habilitación legal que ampare el tratamiento de datos cuestionado en las actuaciones.
Tampoco hace mención si quiera a los motivos expuestos para justificar la
imposibilidad de acudir, en este caso, a otras bases jurídicas que pudieran hacer lícito
dicho tratamiento de datos, como son el interés legítimo o el consentimiento del
interesado válidamente prestado. Cabe destacar que hubiese invocado el interés
legítimo como base legitimadora del tratamiento y ahora, en su escrito de alegaciones
a la propuesta de resolución, no realice ninguna alegación que dé respuesta a los
argumentos anteriores, que ya figuraban en la propuesta elaborada por el instructor
del procedimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
40/64
En dicho escrito de alegaciones a la propuesta, AMAZON ROAD se ha limitado a
afirmar nuevamente, sin aportar ningún razonamiento, que el certificado de ausencia
de antecedentes penales no comporta un tratamiento de datos relativos a condenas e
infracciones penales y a señalar al respecto que el Código Penal, el Real Decreto
95/2009 y la Sentencia de la Audiencia Nacional de 20 de junio de 2017 no confirman
que así sea.
Sin embargo, lo señalado por la reclamada no coincide con lo indicado en esta
resolución y en la propuesta. Lo indicado anteriormente expresa que el Código Penal
establece que las anotaciones en el “Registro Central de Penados y Rebeldes” no son
públicas; que el Real Decreto 95/2009 prevé la expedición de certificados sobre las
inscripciones incluidas en los registros de apoyo a la Administración de Justicia y
“certificaciones negativas respecto a personas que no figuren inscritas en los mismos”,
que requieren una consulta a los mismos registros en ambos casos; y sobre la
Sentencia citada, se dice que de la misma se infiere que el certificado de antecedentes
penales negativos también se considera un dato relativo a condenas e infracciones
penales, en la medida en que plantea cuál es la información que debe suministrarse
por parte del Registro Central y que debe constar en el certificado de antecedentes
penales.
Por otra parte, en el mencionado escrito de alegaciones a la propuesta de resolución,
AMAZON ROAD alega no existe un criterio unánime y consolidado sobre la utilización
de los certificados negativos de antecedentes penales entre los Estados miembros
sobre la interpretación realizada por la AEPD.
En el escrito de alegaciones a la apertura ya planteó esta cuestión en relación que
Países Bajos, Francia o Alemania, señalando que en estos países se admite una
interpretación distinta en relación con lo establecido en el artículo 10 del RGPD y
permiten a los empleadores confirmar que una persona aspirante a un empleo no tiene
antecedentes penales.
En la propuesta de resolución se advirtió que la entidad reclamada no había aportado
ninguna prueba sobre esta alegación ni comprobado si en dichos países existe una
norma que habilite esa comprobación de datos y en qué casos, como ocurre también
en nuestro ordenamiento jurídico para distintos ámbitos de empleo (entre otros,
abogados, administradores de Lotería y casas de apuestas, agencias encargadas de
adopciones internacionales, conductores de taxi, algunos empleados de casinos,
funcionarios públicos, o los mismos conductores de vehículos de pasajeros y
mercancías en los casos antes señalados).
Ahora, en respuesta a lo indicado en la propuesta, AMAZON ROAD reitera que la
autoridad de protección de datos de Países Bajos acepta estos certificados negativos
(Verklaring omtrent gedrag o "VOG") y aporta extractos de la página del Ministerio de
Justicia de ese país con información sobre dicho documento; y de la web de la
autoridad de control que admite su uso cuando concurra un interés legítimo del
empleador.
En relación con el caso francés, indica la reclamada que la autoridad de control (CNIL)
ha incluido información en su web según la cual, en ausencia de norma específica que
prevea la verificación de este tipo de antecedentes, el empleador podrá solicitar a un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
41/64
empleado que presente un extracto de sus antecedentes penales durante una
entrevista y hacer anotación sobre esta verificación “si/no”, sin recabar copia del
documento, lo que equivale, a su juicio, al certificado negativo que recaba la
reclamada. Y aporta información obtenida de la web de la CNIL.
Nada indica esta vez, en cambio, en relación con la posición mantenida al respecto por
Alemania.
Analizada la información obtenida de las páginas web del Ministerio de Justicia y de la
autoridad de protección de datos de Países Bajos y de la web de la CNIL, considera
esta Agencia que coincide sustancialmente con lo argumentado en la presente
resolución.
En relación con Países Bajos, la entidad reclamada obtiene una conclusión que no
considera algunos aspectos reflejados en la información facilitada por aquellas
entidades, como son:
Según la información disponible en la web del Ministerio de Justicia, el certificado
“VOG” que emite dicho Ministerio verifica si el interesado ha cometido delitos penales
que representen un riesgo para el puesto de trabajo de que se trate.
Se informa al empleador que este certificado “VOG” es uno de los instrumentos que
puede utilizar para evaluar la fiabilidad del personal futuro, recomendable para los
puestos donde es importante la confianza en el empleado, si bien, se advierte que esta
evaluación afecta a la privacidad del empleado y que, por ello, solo puede darse esa
evaluación bajo ciertas condiciones legales, mencionando expresamente el RGPD.
Se refiere esta información al interés legítimo, señalando que debe existir ese interés y
ser necesario. Y añade a este respecto que el empleador tiene la obligación de
proporcionar información, no utilizar los datos con otro propósito y conservar los datos
sólo por el tiempo necesario.
En cuanto a la autoridad de protección de datos de Países Bajos, informa igualmente a
través de su web que la evaluación solo está permitida bajo ciertas condiciones
legales, siendo de la más importantes que el empleador tenga una razón legítima,
exigiéndose que la evaluación sea necesaria, que se informe adecuadamente al
solicitante o empleado, que los datos recabados sean relevantes, de modo que no se
recopilen más datos de los necesarios, no utilizarlos para ningún otro propósito y se
sopesen los derechos entre sí para ver qué interés pesa más, el del empleador o el de
los empleados o solicitantes.
Pero también se indica que el “VOG” puede solicitarse para algunos supuestos en los
que el chequeo es requerido por ley. Y que se aplican disposiciones especiales para
puestos de confianza, como agentes de policía, seguridad privada, personal de
aviación y otros.
En relación con el interés legítimo y el significado de aquel requisito de “necesidad” se
aclara que el empleador no debe ser capaz de lograr su objetivo con un medio menos
drástico.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
42/64
Aconseja, asimismo, que se realice un inventario de los riesgos asociados a las
funciones dentro de su organización para verificar si estos riesgos pueden limitarse de
una manera distinta, resaltando que una buena organización, con controles internos o
distribución de poderes, puede garantizar que los riesgos se eliminen por completo y
no hacer necesaria la repetida evaluación del empleado.
Por otra parte, se recuerda la necesidad de analizar si procede realizar una evaluación
de impacto de protección de datos y la posibilidad de remitir una consulta previa a la
autoridad de protección de datos si no encuentra una forma de limitar el riesgo.
En el caso francés, su normativa distingue tres tipos de certificados de antecedentes
penales, que denomina Boletín nº 1, 2 y 3 (B1, B2 y B3). El primero incluye todas las
condenas y decisiones registradas, y solo puede ser entregado a autoridades
judiciales y establecimientos penitenciarios; el B2 contiene condenas por delitos
policiales, penas condicionales, etc., y puede expedirse a determinadas autoridades y
organismos privados por razones enumeradas exhaustivamente por la ley; y el B3
contiene únicamente las condenas más graves por delitos o faltas, penas privativas de
libertad y ciertas inhabilitaciones o incapacidades en curso, medidas de seguimiento y
prohibiciones de ejercer una actividad que implique contacto con menores, el cual sólo
puede ser entregado al interesado, a petición de éste.
La información ofrecida por la entidad CNIL en su web distingue dos supuestos. Por un
lado, la verificación de antecedentes prevista en una norma para determinadas
funciones “sensibles” (boletines B2 y B3); y, por otro, a falta de una norma que prevea
la verificación de antecedentes, la posibilidad de que el empleador solicite a un
candidato o empleado un extracto de sus antecedentes penales (B3) durante una
entrevista, sin que el empresario pueda obtener copia ni tratar los datos (solo anotar la
verificación en las casillas del expediente de gestión de personal las formas “si/no”).
Pero, en contra de lo señalado por AMAZON ROAD, no menciona en la información
aportada ninguna base jurídica que ampare este tratamiento de datos.
Esta información se completa señalando que cuando la verificación la realiza una
autoridad, el empleador no necesita consultar los antecedentes penales. Como así
ocurre en el caso que nos ocupa, en el que la normativa sectorial de transporte ya
contempla esta verificación para los casos en que resulta necesaria en orden a expedir
la autorización de transportista.
De acuerdo con todo lo expuesto, no cabe estimar la alegación formulada por
AMAZON ROAD sobre la ausencia de culpabilidad.
En consecuencia, de conformidad con las evidencias expuestas, los citados hechos
suponen una vulneración de lo dispuesto en el artículo 6 del RGPD, que da lugar a la
aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a
la Agencia Española de Protección de datos.
III
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
43/64
El segundo aspecto de los incluidos en la reclamación a analizar es el que hace
referencia a la posición jurídica que en el tratamiento de datos ocupan las empresas
Accurate Background, Inc. y Amazon Development Centre (India) Private Limited.
La información de que se dispone proviene del texto de las capturas del contrato
mercantil, del apartado de verificación de antecedentes de la aplicación (aportadas por
el reclamante junto a la reclamación) y las respuestas proporcionadas por la
reclamada en sus escritos de 30/06/2020 y 07/06/2021, de respuesta al traslado y de
alegaciones a la apertura del procedimiento.
En la cláusula clausula 4(d) del contrato se recoge que el participante se obliga “a
proporcionar respuestas completas y exactas a todas las preguntas relacionadas con
la verificación de su historial profesional y facilitar un certificado de ausencia de
antecedentes penales e información sobre su permiso de conducción”. Y en la
cláusula 13 se informa que los datos de los participantes se tratan para la ejecución
del contrato y con fines legales, administrativos y de gestión.
Por su parte, en el apartado de verificación de antecedentes de la aplicación, que
aparece configurado como un procedimiento en el que se evalúa la idoneidad de los
participantes para determinar su admisión a participar en el programa
“***PROGRAMA.1” y llevar a cabo la prestación de servicios, se hace referencia a las
entidades Accurate Background, Inc. y Amazon Development Centre (India) Private
Limited en los términos siguientes:
“Entiendo y consiento que Accurate Background se encargue de recopilar y tratar la
información en nombre de Amazon para realizar las verificaciones de antecedentes detalladas
anteriormente”.
“Entiendo Amazon Development Centre (India) Private Limited, en la India, podrá tener acceso
a los datos que proporcione a Amazon durante este proceso para dar soporte en la recogida de
la información por mi proporcionada, y presto mi consentimiento para dicho acceso”.
De los textos transcritos resulta evidente que intervienen en el proceso de verificación
de antecedentes las mercantiles Accurate Background, Inc. (recopilación y tratamiento
de la información) y Amazon Development Centre (India) Private Limited (acceso a los
datos para dar soporte a su recogida).
Ahora bien, resulta cierta confusión del hecho de que la verificación de antecedentes
se presente como una obligación surgida del contrato mientras que en la pantalla de
verificación de antecedentes se solicita el consentimiento del participante para este
proceso y para que aquellas entidades recopilen y traten su información o se dé
soporte.
Y esta confusión se incrementa si se consideran las dudas que generan los párrafos
transcritos, en los que se indica que Accurate Background, Inc. recopila y trata la
información “en nombre de Amazon” y que Amazon Development Centre (India)
Private Limited podrá tener acceso a la información para dar “soporte” a “Amazon”;
junto con las manifestaciones de AMAZON ROAD contenidas en su escrito de
respuesta de 30/06/2020, según las cuales aquellas entidades ostentan la naturaleza
de encargados de tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
44/64
Esta indefinición sobre la condición bajo la que intervienen en el proceso las repetidas
mercantiles y la inexistencia de prueba alguna que acreditase el acceso por parte de
éstas a los datos personales como encargadas del tratamiento (la reclamada no aportó
ninguna documentación a este respecto con su escrito de 30/06/2020), motivó que en
el acuerdo de apertura del presente procedimiento sancionador se calificara a las
citadas entidades como “terceros” en relación con el tratamiento de datos, y determinó
la imputación de una infracción por el presunto incumplimiento de lo establecido en el
artículo 7 del RGPD, en relación con el artículo 6.1.a) del mismo texto legal.
Bajo esta premisa, dicha imputación se fundamentó en el hecho de que el tratamiento
de los datos personales de los participantes en el programa “***PROGRAMA.1” por
parte de Accurate Background, Inc. y Amazon Development Centre (India) Private
Limited requería el consentimiento de los interesados; y que el consentimiento
prestado en este caso no reunía los requisitos previstos para que pueda considerarse
un consentimiento válido, ya que no sería libre ni podría considerarse informado, en el
sentido expresado en el artículo 7 y Considerandos 32, 42 y 43 del RGPD, artículo 6
de la LOPDGDD y según las interpretaciones del Comité Europeo de Protección de
Datos contenidas en las Directrices 5/2020.
No obstante, AMAZON ROAD, con su escrito de alegaciones a la apertura del
procedimiento ha aportado copia de los contratos de encargo del tratamiento suscritos
con Accurate Background, Inc. y Amazon Development Centre (India) Private Limited,
en los que se estipula que estas entidades tratarán los datos en nombre de AMAZON
ROAD y de conformidad con sus instrucciones, con el fin de prestar los servicios.
Según estos contratos aquellas entidades intervienen como encargadas del
tratamiento y, como tales, vienen obligadas a notificar al responsable toda instrucción
que, en su opinión, infrinja la legislación aplicable, cualquier violación de los datos o
reclamación que reciba y a proporcionar al responsable una cooperación y asistencia
plenas; así como a establecer las medidas técnicas y organizativas adecuadas para
proteger los datos. Se prevé, asimismo, que el encargado del tratamiento devuelva al
responsable todos los datos personales o proceda a su destrucción a la terminación
del contrato, a elección del responsable del tratamiento.
Se trata, por tanto, de empresas que prestan servicio a AMAZON ROAD en las
comprobaciones iniciales sobre los transportistas participantes en el programa
“***PROGRAMA.1”, para lo cual tienen suscrito contrato de encargo de tratamiento.
De acuerdo con esto, las citadas entidades no pueden ser consideradas como terceros
y el tratamiento de los datos que realizan no requiere el consentimiento de los
interesados.
Las figuras de “responsable del tratamiento” y “encargado del tratamiento” se definen
en el artículo 4 del RGPD como sigue:
. “Responsable del tratamiento o responsable: la persona física o jurídica, autoridad pública,
servicio u otro organismo que, solo o junto con otros, determine los fines y medios del
tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios
del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento
podrá establecerlos el Derecho de la Unión o de los Estados miembros”.
. “Encargado del tratamiento o encargado: la persona física o jurídica, autoridad pública,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
45/64
servicio u otro organismo que trate datos personales por cuenta del responsable del
tratamiento”.
Los conceptos de responsable y encargado de tratamiento no son formales, sino
funcionales y deben atender al caso concreto, a las actividades concretas en un
contexto específico.
El responsable del tratamiento lo es desde el momento que decide los fines y los
medios del tratamiento, no perdiendo tal condición el hecho de dejar cierto margen de
actuación al encargado del tratamiento. Así se expresa indubitadamente en las
Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) sobre los
conceptos de responsable del tratamiento y encargado en el RGPD:
“Un responsable del tratamiento es quien determina los propósitos y los medios del
tratamiento, es decir, el porqué y el cómo del tratamiento. El responsable del tratamiento debe
decidir sobre ambos propósitos y medios. Sin embargo, algunos aspectos más prácticos de la
implementación ("medios no esenciales") se pueden dejar en manos del encargado del
tratamiento. No es necesario que el responsable tenga realmente acceso a los datos que se
están tratando para calificarse como responsable” (la traducción es nuestra).
En el presente caso, consta que AMAZON ROAD es la responsable de los
tratamientos de datos ahora analizados, toda vez que, conforme define el artículo 4.7
del RGPD, es la entidad que determina la finalidad y medios de los tratamientos
realizados. En su condición de responsable del tratamiento está obligada a cumplir con
lo dispuesto en el transcrito artículo 24 del RGPD y, en especial, en cuanto al control
efectivo y continuado de las “medidas técnicas y organizativas apropiadas a fin de
garantizar y poder demostrar que el tratamiento es conforme con el presente
Reglamento”, entre las que se encuentran las dispuestas en el artículo 28 del RGPD
en relación con los encargados de los tratamientos que actúen en nombre y por cuenta
del responsable. En el apartado 3 de este artículo 28 se establece lo siguiente:
“3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al
Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del
responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el
tipo de datos personales y categorías de interesados, y las obligaciones y derechos del
responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
a) tratará los datos personales únicamente siguiendo instrucciones documentadas del
responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o
una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión
o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al
responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por
razones importantes de interés público;
b) garantizará que las personas autorizadas para tratar datos personales se hayan
comprometido a respetar la confidencialidad o estén sujetas a una obligación de
confidencialidad de naturaleza estatutaria;
c) tomará todas las medidas necesarias de conformidad con el artículo 32;
d) respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del
tratamiento;
e) asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas
técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con
su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos
de los interesados establecidos en el capítulo III;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
46/64
f) ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los
artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a
disposición del encargado;
g) a elección del responsable, suprimirá o devolverá todos los datos personales una vez
finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos
que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de
los Estados miembros;
h) pondrá a disposición del responsable toda la información necesaria para demostrar el
cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y
contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de
otro auditor autorizado por dicho responsable.
En relación con lo dispuesto en la letra h) del párrafo primero, el encargado informará
inmediatamente al responsable si, en su opinión, una instrucción infringe el presente
Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los
Estados miembros”.
Es AMAZON ROAD, como responsable, la que puede decidir realizar por si misma
determinadas operaciones de tratamiento o contratar la totalidad o parte del
tratamiento con un encargado.
La esencia de la función del encargado el tratamiento es que los datos personales
sean tratados en nombre y por cuenta del responsable del tratamiento. En la práctica,
es el responsable el que determina la finalidad y los medios, al menos los esenciales,
mientras que el encargado del tratamiento tiene la función de prestar servicios a los
responsables del tratamiento. En otras palabras, “actuando en nombre y por cuenta
del responsable del tratamiento” significa que el encargado del tratamiento está al
servicio del interés del responsable del tratamiento en llevar a cabo una tarea
específica y que, por tanto, sigue las instrucciones establecidas por éste, al menos en
lo que se refiere a la finalidad y a los medios esenciales del tratamiento encomendado.
El responsable del tratamiento es quien tiene la obligación de garantizar la aplicación
de la normativa de protección de datos y la protección de los derechos de los
interesados, así como ser capaz de demostrarlo (artículos 5.2, 24, 28 y 32 del RGPD).
El control del cumplimiento de la legalidad se extiende durante todo el tratamiento,
desde el principio hasta el final. El responsable del tratamiento debe actuar, en
cualquier caso, de forma diligente, consciente, comprometida y activa.
Ese mandato del legislador es independiente de que el tratamiento lo realice
directamente el responsable del tratamiento o de que lo efectúe valiéndose de un
encargado del tratamiento.
Además, el tratamiento ejecutado materialmente por un encargado de tratamiento por
cuenta del responsable del tratamiento pertenece a la esfera de actuación de éste
último, de igual forma que si lo realizara directamente él mismo. El encargado de
tratamiento, en el supuesto examinado, es una extension del responsable del
tratamiento.
A la luz del principio de responsabilidad proactiva (art 5.2 RGPD), el responsable del
tratamiento debe poder demostrar que ha tomado en cuenta todos los elementos
previstos en el RGPD. Antes de externalizar un tratamiento y a fin de evitar posibles
vulneraciones de derechos y libertades de los afectados, el responsable del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
47/64
tratamiento debe celebrar un contrato, otro acto jurídico o un acuerdo vinculante con la
otra entidad que establezca obligaciones claras y precisas en materia de protección de
datos.
El encargado del tratamiento solo puede realizar tratamientos sobre las instrucciones
documentadas del responsable, a menos que esté obligado a hacerlo por el Derecho
de la Unión o de un Estado miembro, que no es el caso. A este respecto, el artículo 29
del RGPD se refiere al “Tratamiento bajo la autoridad del responsable o del encargado
del tratamiento” en los términos siguientes:
“El encargado del tratamiento y cualquier persona que actúe bajo la autoridad del responsable
o del encargado y tenga acceso a datos personales solo podrán tratar dichos datos siguiendo
instrucciones del responsable, a no ser que estén obligados a ello en virtud del Derecho de la
Unión o de los Estados miembros”.
El encargado del tratamiento tiene también la obligación de colaborar con el
responsable en garantizar los derechos de los interesados y cumplir las obligaciones
del responsable del tratamiento de conformidad con lo dispuesto en el citado art 28 del
RGPD (y conexos).
Por tanto, el responsable del tratamiento debe establecer modalidades claras para
dicha asistencia y dar instrucciones precisas al encargado del tratamiento sobre cómo
cumplirlas de forma adecuada y documentarlo previamente a través de un contrato o
bien en otro acuerdo (vinculante) y comprobar en todo momento del desarrollo del
contrato su cumplimiento en la forma establecida en el mismo.
En el presente caso, las entidades intervinientes han formalizado el correspondiente
contrato de encargo del tratamiento, que incluye las previsiones del artículo 28 del
RGPD, y han dispuesto las medidas técnicas y organizativas que debe aplicar y
mantener la entidad encargada del tratamiento.
Se concluye, en consecuencia, que los hechos que determinaron la apertura del
procedimiento sancionador, en relación con el acceso y tratamiento de los datos por
parte de Accurate Background, Inc. y Amazon Development Centre (India) Private
Limited, no son constitutivos de una infracción de lo establecido en el artículo 7 del
RGPD, en relación con el artículo 6.1.a) del mismo Reglamento.
IV
El RGPD, como norma común y aplicable de manera directa a los Estados miembros
de la Unión Europea, establece un sistema de protección en aquellos supuestos en
que se prevea la transferencia internacional de datos personales amparados por su
regulación. La finalidad de este sistema es lograr garantizar que la protección que
otorga la norma comunitaria no se vea mermada por la exportación de dichos datos a
países externos a la Unión Europea.
El principio general de este sistema de protección, establecido en el artículo 44 del
RGPD, consiste en que los datos únicamente podrán ser exportados si, por un lado, el
tratamiento objeto de la transferencia es lícito y cumple con lo dispuesto en el RGPD y,
por otro, si cumple con las condiciones que se establecen en el Capítulo V del mismo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
48/64
texto legal (artículos 44 a 50).
El artículo 45 del RGPD establece, como regla principal, que se podrá realizar una
transferencia de datos personales si el país, territorio u organización internacional
destinataria garantiza un nivel de protección adecuado reconocido por una decisión de
adecuación dictada por la Comisión Europea.
En ausencia de dicha decisión de adecuación, el artículo 46 del RGPD autoriza a
celebrar transferencias si el responsable o el encargado hubiera ofrecido garantías
adecuadas. Estas garantías adecuadas, que se pueden materializar a través de una
serie de instrumentos a que se refiere el mismo artículo, se subdividen a su vez en dos
grupos: aquellos a los que el propio RGPD otorga la naturaleza de garantía adecuada
por sí mismos, y aquellos que adicionalmente necesitarán la autorización de la
autoridad de control competente.
El siguiente escenario que contempla el RGPD, en ausencia de decisión de
adecuación y de garantías adecuadas (incluidas las normas corporativas vinculantes)
es permitir la realización de las transferencias si se cumple alguna de las condiciones
que enuncia el artículo 49.1. del RGPD, que establece lo siguiente:
“1. En ausencia de una decisión de adecuación de conformidad con el artículo 45, apartado 3,
o de garantías adecuadas de conformidad con el artículo 46, incluidas las normas corporativas
vinculantes, una transferencia o un conjunto de transferencias de datos personales a un tercer
país u organización internacional únicamente se realizará si se cumple alguna de las
condiciones siguientes:
a) el interesado haya dado explícitamente su consentimiento a la transferencia propuesta, tras
haber sido informado de los posibles riesgos para él de dichas transferencias debido a la
ausencia de una decisión de adecuación y de garantías adecuadas;
b) la transferencia sea necesaria para la ejecución de un contrato entre el interesado y el
responsable del tratamiento o para la ejecución de medidas precontractuales adoptadas a
solicitud del interesado;
c) la transferencia sea necesaria para la celebración o ejecución de un contrato, en interés del
interesado, entre el responsable del tratamiento y otra persona física o jurídica;
d) la transferencia sea necesaria por razones importantes de interés público;
e) la transferencia sea necesaria para la formulación, el ejercicio o la defensa de
reclamaciones;
f) la transferencia sea necesaria para proteger los intereses vitales del interesado o de otras
personas, cuando el interesado esté física o jurídicamente incapacitado para dar su
consentimiento;
g) la transferencia se realice desde un registro público que, con arreglo al Derecho de la Unión
o de los Estados miembros, tenga por objeto facilitar información al público y esté abierto a la
consulta del público en general o de cualquier persona que pueda acreditar un interés legítimo,
pero sólo en la medida en que se cumplan, en cada caso particular, las condiciones que
establece el Derecho de la Unión o de los Estados miembros para la consulta.
Cuando una transferencia no pueda basarse en disposiciones de los artículos 45 o 46,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
49/64
incluidas las disposiciones sobre normas corporativas vinculantes, y no sea aplicable ninguna
de las excepciones para situaciones específicas a que se refiere el párrafo primero del
presente apartado, solo se podrá llevar a cabo si no es repetitiva, afecta solo a un número
limitado de interesados, es necesaria a los fines de intereses legítimos imperiosos perseguidos
por el responsable del tratamiento sobre los que no prevalezcan los intereses o derechos y
libertades del interesado, y el responsable del tratamiento evaluó todas las circunstancias
concurrentes en la transferencia de datos y, basándose en esta evaluación, ofreció garantías
apropiadas con respecto a la protección de datos personales. El responsable del tratamiento
informará a la autoridad de control de la transferencia. Además de la información a que hacen
referencia los artículos 13 y 14, el responsable del tratamiento informará al interesado de la
transferencia y de los intereses legítimos imperiosos perseguidos”.
En este caso, como ya se expuso en el Fundamento de Derecho III, el proceso previo
de verificación de antecedentes solicita el consentimiento de los interesados para la
comunicación de datos a las mercantiles Accurate Background, Inc. y Amazon
Development Centre (India) Private Limited. Al encontrarse estas empresas ubicadas
en Estados Unidos e India, respectivamente, se estaría produciendo una transferencia
internacional de datos para cuya ejecución sería necesario cumplir con las exigencias
que en torno a esta figura establece el RGPD.
Además, el contrato de servicios que AMAZON ROAD y los participantes en el
programa “***PROGRAMA.1” suscriben, en su cláusula 13(b), hace referencia a la
cuestión de las transferencias internacionales de la siguiente manera:
“Usted presta su consentimiento para que Amazon y cualquier Entidad Vinculada (conforme
dicho término se define más adelante) lleve a cabo la transferencia de “datos de carácter
personal” (en el sentido previsto en el Reglamento General de Protección de Datos –
Reglamento (UE) 2016/679 y la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de
Datos de Carácter Personal relativos a usted a cualquier Entidad Vinculada situada fuera del
Espacio Económico Europeo (el “EEE”) para promover los intereses legítimos de Amazon y/o
cualquier Entidad Vinculada […] se entiende por “Entidad Vinculada” la “sociedad de cartera”
de Amazon, cualquier “sociedad filial” o una filial de su sociedad de cartera”.
Del ello parece desprenderse, en principio, que la entidad reclamada pretende
fundamentar la transferencia internacional de datos personales en la figura del
consentimiento del interesado, que el artículo 49.1.a) del RGPD configura como una
de las condiciones que, excepcionalmente, permiten la realización de transferencias
internacionales en ausencia de una decisión de adecuación y de garantías adecuadas.
Ahora bien, para que pudiera concurrir esta circunstancia, este consentimiento deberá
no solo cumplir con los requisitos generales que el RGPD impone en relación con el
consentimiento (libre, informado, específico e inequívoco), sino que además tendría
que otorgarse de manera explícita y la información a proporcionar con carácter previo
debería hacer referencia a los riesgos para el interesado acerca de la realización de
una transferencia internacional en ausencia de decisión de adecuación y de garantías
adecuadas.
El requisito suplementario de que el consentimiento en esta circunstancia revista la
formalidad de ser explícito equivale, de acuerdo con las Directrices 5/2020 del Comité
Europeo de Protección de Datos, a realizar una declaración expresa del
consentimiento. La forma más evidente sería realizando una declaración escrita,
aunque en el entorno digital o en línea pueden habilitarse formas que podrían suponer
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
50/64
un consentimiento explícito válido, como, por ejemplo, rellenar un impreso electrónico
o utilizar la firma electrónica. Igualmente, en el caso de páginas web, este
consentimiento explícito se podría recoger insertando unas casillas con las opciones
de aceptar y no aceptar junto a un texto referido al consentimiento que sea claro para
el interesado, siempre que se adopten medidas de seguridad adecuadas al entorno en
el que se presta el consentimiento.
En este caso, teniendo en cuenta lo expuesto sobre los requisitos que debe reunir el
consentimiento, en el acuerdo de apertura del procedimiento se realizó un análisis del
clausulado del contrato en referencia a las transferencias internacionales (cláusula
13.b), resultando que el consentimiento solicitado no sería acorde con lo dispuesto en
el RGPD, atendiendo a la indefinida información facilitada a los interesados y que
únicamente se habilita la aceptación final del clausulado del contrato. Con este motivo,
dicho acuerdo de apertura contiene una imputación por infracción de lo establecido en
el artículo 49.1 del RGPD, tipificada en el artículo 83.5 de la misma norma.
Posteriormente, con ocasión del trámite de alegaciones a la apertura, AMAZON ROAD
ha manifestado que las transferencias internacionales que realiza a empresas del
grupo o a sus proveedores situados fuera del EEE no están basadas en el
consentimiento del interesado y cumplen con las garantías exigidas por el RGPD.
Y señala al respecto que tiene suscritas con cada entidad las correspondientes
cláusulas contractuales tipo aprobadas por la Comisión Europea mediante la Decisión
2010/87/UE, de 5 de febrero de 2010, relativa a las cláusulas contractuales tipo para la
transferencia de datos personales a los encargados del tratamiento establecidos en
terceros países, de conformidad con la Directiva 95/46/CE, las cuales constituyen una
de las garantías que pueden ofrecer los responsables del tratamiento de acuerdo con
lo dispuesto en el artículo 46 del RGPD.
Además, ha acreditado que Accurate Background Inc, desde el 11/08/2016, era una
entidad adherida al Escudo de Privacidad UE-EEUU.
Con las alegaciones a la apertura ha aportado los contratos de encargo del
tratamiento, las cláusulas tipo suscritas y las medidas que deben aplicarse. Dichas
cláusulas contractuales tipo se corresponden con las aprobadas por la Comisión
Europea mediante la Decisión 2010/87/UE.
Según se expuso anteriormente, el artículo 46 del RGPD admite que puedan
realizarse transferencias internacionales, sin que se requiera ninguna autorización
expresa de una autoridad de control, cuando el responsable o el encargado ofrezcan
garantías adecuadas. Este artículo establece lo siguiente:
“Artículo 46. Transferencias mediante garantías adecuadas
1. A falta de decisión con arreglo al artículo 45, apartado 3, el responsable o el encargado del
tratamiento solo podrá transmitir datos personales a un tercer país u organización internacional
si hubiera ofrecido garantías adecuadas y a condición de que los interesados cuenten con
derechos exigibles y acciones legales efectivas.
2. Las garantías adecuadas con arreglo al apartado 1 podrán ser aportadas, sin que se
requiera ninguna autorización expresa de una autoridad de control, por:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
51/64
[…]
d) cláusulas tipo de protección de datos adoptadas por una autoridad de control y aprobadas
por la Comisión con arreglo al procedimiento de examen a que se refiere en el artículo 93,
apartado 2;
[…]”.
Este sería el caso de las transferencias amparadas en las garantías proporcionadas
por los contratos basados en las cláusulas contractuales tipo de la Decisión
2010/87/UE, como las suscritas por AMAZON ROAD, que permanecen en vigor.
La Decisión de Ejecución (UE) 2021/914, de la Comisión, de 4 de junio de 2021, que
aprueba las nuevas cláusulas contractuales tipo para la transferencia de datos
personales a terceros países de conformidad con el RGPD, establece un período de
validez transitorio para los contratos celebrados en el marco de la decisión 2010/87/UE
hasta el 27/09/2022 (se deroga esta decisión con efectos a partir del 27/09/2021, pero
se considera que los contratos celebrados antes de esta fecha ofrecen garantías
adecuadas en el sentido del artículo 46.1 del RGPD hasta el 27/09/2022, siempre que
las operaciones de tratamiento que sean objeto del contrato permanezcan inalteradas
y que las cláusulas contractuales tipo garanticen que la transferencia de datos
personales esté sujeta a garantías adecuadas -artículo 4 de la Decisión de Ejecución
(UE) 2021/914).
En consecuencia, de acuerdo con lo expuesto, las transferencias internacionales
objeto de las actuaciones no requieren que el interesados preste su consentimiento, ya
que este consentimiento solo opera, según el artículo 49.1.a) del RGPD, como una
excepción que habilitaría para llevar a cabo esta transferencia en ausencia de decisión
específica de adecuación y de garantías adecuadas de conformidad con el artículo 46
del mismo Reglamento.
Procede concluir, por tanto, que los hechos que determinaron la apertura del
procedimiento sancionador, en relación con las transferencias internacionales que
AMAZON lleva a cabo en el marco del programa “***PROGRAMA.1”, no son
constitutivos de una infracción de lo establecido en el artículo 49.1 del RGPD.
V
Para el caso de que concurra una infracción de los preceptos del RGPD, entre los
poderes correctivos de los que dispone la Agencia Española de Protección de Datos,
como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los
siguientes:
“2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a
continuación:
(…)
b) sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las
operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;”
(...)
d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
52/64
manera y dentro de un plazo especificado;
(…)
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;”.
Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra d)
anterior es compatible con la sanción consistente en multa administrativa.
VI
Los hechos expuestos incumplen lo establecido en el artículo 6.1 del RGPD, en
relación con el artículo 10 de la misma norma, así como el artículo 10 de la
LOPDGDD, en lo referente al tratamiento de datos personales relativos a condenas e
infracciones penales, lo que supone la comisión de una infracción tipificada en el
artículo 83.5 del RGPD y en el artículo 71 de la LOPDGDD.
El artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de
multas administrativas” dispone lo siguiente:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una
empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a
tenor de los artículos 5, 6, 7 y 9”.
Asimismo, el artículo 71 de la LOPDGDD señala que “Constituyen infracciones los
actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del
Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley
orgánica.”
Por su parte, el artículo 72.1 de la LOPDGDD considera como “muy grave”, a efectos
del plazo de prescripción de las infracciones:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del
tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.
[…]
f) El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de
seguridad conexas fuera de los supuestos permitidos por el artículo 10 del Reglamento (UE)
2016/679 y en el artículo 10 de esta ley orgánica.
[…]”.
A fin de determinar la multa administrativa a imponer se han de observar las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
53/64
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas administrativas con
arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los
apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso
individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58,
apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su cuantía
en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate así como el número de
interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los
daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta
de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el
responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el mismo
asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación
aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los
beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de
la infracción”.
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE)
2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el
apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también
podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la
infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción,
que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan
controversias entre aquellos y cualquier interesado”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
54/64
En este caso, considerando la gravedad de la infracción constatada, procede la
imposición de multa y, en su caso, la adopción de medidas. A este respecto, La multa
que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y
disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD.
De acuerdo con los preceptos indicados, a efectos de fijar el importe de las sanciones
a imponer en el presente caso, se considera que procede graduar las multas de
acuerdo con los siguientes criterios:
1. Infracción del artículo 6.1 del RGPD en relación con el artículo 10 de la misma
norma, así como el artículo 10 de la LOPDGDD, tipificada en el artículo 83.5.a) y en el
artículo 71 de la LOPDGDD, y calificada como muy grave a efectos de prescripción en
el artículo 72.1 de la LOPDGDD:
Se estiman concurrentes como agravantes los criterios de graduación siguientes:
. Artículo 83.2.a) del RGPD: “a) la naturaleza, gravedad y duración de la
infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación
de tratamiento de que se trate así como el número de interesados afectados y el
nivel de los daños y perjuicios que hayan sufrido”.
. La naturaleza y gravedad de la infracción, atendiendo a la naturaleza de la
información personal a la que se refiere la conducta infractora.
. La duración de la infracción, considerando el período durante el cual
AMAZON ROAD exigió a los transportistas el certificado de ausencia de
antecedentes penales.
Además, la infracción que se sanciona tiene carácter de infracción
permanente, considerando que sus efectos se mantienen en el tiempo más
allá del hecho inicial y durante todo el tiempo que dura la conducta infractora.
Con la recogida y conservación del certificado de ausencia de antecedentes
penales se crea un estado antijurídico que perdura en el tiempo, cuya
cesación depende de quien comete la infracción. Sobre este concepto, en
Sentencia de 27/05/2006, el TS ha declarado que “constituyen infracciones
permanentes aquellas conductas antijurídicas que persisten en el tiempo y no
se agotan con un solo acto, determinando el mantenimiento de la situación
antijurídica a voluntad del autor, caso del desarrollo en el tiempo de
actividades sin las preceptivas autorizaciones y otros supuestos semejantes”.
En relación con este factor de graduación, la reclamada ha alegado que los
certificados negativos se conservaron durante 90 días para realizar la
verificación, por lo que, en la actualidad y desde mayo de 2020 (tres meses
después de suspender la recogida de estos certificados en marzo de 2020),
no posee ningún dato de este tipo. Como prueba, aporta una “certificación” de
Accurate Background, de 19/01/2022, en el que declara que cualquier dato
relativo a los candidatos del programa “***PROGRAMA.1” se elimina a los 90
días, según las instrucciones de la cuenta de Amazon. Así, entiende dicha
entidad que la infracción no puede calificarse como permanente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
55/64
Sin embargo, estas circunstancias no se ajustan a las constataciones puestas
de manifiesto en las actuaciones, ni habían sido manifestadas por AMAZON
ROAD con anterioridad. Las únicas instrucciones impartidas por esa entidad a
Accurate Background sobre el tratamiento de los datos son las que constan
en el contrato de encargo del tratamiento, las cuales, en cuanto a la
conservación de los datos, estipulan que el encargado del tratamiento
devuelva al responsable todos los datos personales o proceda a su
destrucción a la terminación del contrato, a elección del responsable del
tratamiento, y que los datos personales serán tratados por el encargado del
tratamiento durante el período de vigencia de los servicios.
Además, al tratarse de un requisito que condicionaba la contratación, ya
conoce la reclamada que los transportistas adheridos al programa
“***PROGRAMA.1” no tienen antecedentes penales.
En todo caso, la infracción no perdería su carácter de permanente, en la
medida en que vino produciéndose desde que AMAZON ROAD recibió el
“negocio de operador de transporte” y sucedió a Amazon Spain Fulfillment,
S.L.U. en todas las relaciones jurídicas afectas a dicho negocio, tras la
escisión que tuvo lugar en fecha 28/06/2019.
. El número de interesados: las operaciones de tratamiento que incurren en la
infracción señalada derivan de un procedimiento general establecido por la
reclamada que afecta a todos los aspirantes a participar en el programa
“***PROGRAMA.1”, respecto a los cuales se solicita el certificado de
antecedentes penales.
La reclamada ha manifestado que el tratamiento de datos relacionado con los
certificados negativos de antecedentes penales únicamente afectó al 16,76%
de todos los conductores de última milla registrados en España, al
representar el programa “***PROGRAMA.1” una pequeña proporción de los
proveedores de transporte que realizan entregas en España (nunca han
superado el 5%). Sin embargo, no aporta prueba alguna al respecto ni detalla
cuánto son los afectados que quedan incluidos en tales porcentajes.
En las alegaciones a la propuesta, la reclamada insiste en las cifras
señaladas, pero sin aportar prueba alguna y sin especificar el número de
afectados que supuestamente representan esos porcentajes, a pesar de que
esta falta de justificación y detalle ya se hizo patente en la propuesta de
resolución.
. El nivel de daños y perjuicios sufrido por los interesados, en la medida en
que el tratamiento de los datos relativos a antecedentes penales ha
condicionado sus opciones de contratación y ha incrementado los riesgos
sobre su privacidad.
Sobre este factor agravante, AMAZON ROAD señala que requerir la
certificación negativa de antecedentes penales no ha perjudicado a los
participantes en el programa porque contrató a todos los transportistas que
disponían de ese documento, lo que implica, de contrario, que no contrató a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
56/64
aquellos que no disponían de tal documento cuando optaron al trabajo;
asimismo, no considera a posibles interesaos que pudieron optar por no
acudir al programa por este motivo.
Nada alega, en cambio, sobre la intrusión en la privacidad de los interesados
y los riesgos que para la misma representa ese certificado.
. Artículo 83.2.b) del RGPD: “b) la intencionalidad o negligencia en la infracción".
La negligencia apreciada en la comisión de la infracción, teniendo en cuenta que
los requisitos exigidos por la entidad reclamada a los transportistas van más allá
de lo requerido por la normativa reguladora del transporte de mercancías.
Esta circunstancia, además de las significadas en el apartado anterior, ponen de
manifiesto la actuación negligente de AMAZON ROAD. A este respecto, se tiene
en cuenta lo declarado en Sentencia de la Audiencia Nacional de 17/10/2007 (rec.
63/2006) que, partiendo de que se trata de entidades cuya actividad lleva
aparejado en continuo tratamiento de datos, indica que “…el Tribunal Supremo
viene entendiendo que existe imprudencia siempre que se desatiende un deber
legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia
exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el
caso ahora examinado, cuando la actividad de la recurrente es de constante y
abundante manejo de datos de carácter personal ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las prevenciones legales al respecto”.
Se trata de una empresa que realiza tratamientos de datos personales de manera
sistemática y continua y que debe extremar el cuidado en el cumplimiento de sus
obligaciones en materia de protección de datos.
AMAZON ROAD cuestiona la negligencia apreciada en la comisión de la
infracción y considera, incluso, que su actuación no puede ser tachada de
imprudente o irresponsable, sino diligente y merecedora de ser valorada como
una atenuante, al haber acomodado su comportamiento a la interpretación de la
normativa de protección de datos surgida de la propia Agencia y de los tribunales
de Justicia.
Según dicha entidad, empezó a requerir los certificados de ausencia de
antecedentes penales antes de que la Agencia tuviese un criterio claro,
consolidado, expreso y público al respecto, el cual, además, no coincide con el de
otras autoridades de protección de datos; y antes de que fuese dictada la
Sentencia de la Audiencia Nacional de 10 de febrero de 2020; habiendo cesado
en esta recogida del certificado tan pronto conoció la existencia de un criterio
contrario a la interpretación que, de buena fe, entendió apropiada a las actividades
que se iban a llevar a cabo.
Asimismo, alega al respecto que existían resoluciones de la propia Agencia que
avalaban la interpretación que Amazon Road realizó del artículo 10 del RGPD;
realizó una consulta telefónica al Ministerio de Justicia que, con carácter informal,
avaló dicha propuesta; que la interpretación literal del artículo 10 del RGPD y 10
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
57/64
de la LOPDGDD sugería que dichos artículos no se refieren a cualquier dato
relacionado con antecedentes penales, sino los datos relativos a condenas e
infracciones penales; que esta interpretación está avalada por otras jurisdicciones;
y resultaba acorde con la anterior normativa sobre protección de datos; y que en
marzo de 2020 suspendió el tratamiento de dichos certificados negativos.
La pretensión de AMAZON ROAD no puede aceptarse. Entiende esta Agencia
que la diligencia tiene que deducirse de hechos concluyentes, que consten
debidamente acreditados y directamente relacionados con los elementos que
configuran la infracción en la normativa vigente, de tal modo que pueda deducirse
que la misma se ha producido a pesar de todos los medios dispuestos por el
responsable para evitarla.
En este caso, no entiende esta Agencia que los argumentos defendidos por la
entidad reclamada tengan ese carácter.
No explica dicha entidad cómo puede aceptarse que su conducta ha sido diligente
por estar ajustada a una normativa no vigente, para el caso de que así fuese, que
no lo es. En los fundamentos de esta resolución ya se ha explicado que la
normativa anterior ya contemplaba la prohibición de tratar datos personales
relativos a infracciones penales, con referencia expresa a la Directiva 95/46/CE y
al Convenio N.º 108 del Consejo de Europa. La derogada Ley Orgánica 15/1999,
de 13 de diciembre, de protección de datos de carácter personal, en su artículo
7.5, establecía que estos datos sólo podían anotarse en registros de las
Administraciones Públicas competentes.
Tampoco explica AMAZON ROAD qué otras jurisdicciones han avalado su
“interpretación” de las normas aplicables.
Menos aceptable aún es defender esa diligencia en base a una supuesta consulta
telefónica que la propia entidad reclamada califica como “informal”. Frente a ello,
el RGPD ha previsto un mecanismo como la “consulta previa” para que los
responsables puedan consultar a la autoridad de control antes de realizar un
tratamiento de datos que entrañe un alto riesgo.
Sí consta acreditado, por otra parte, que la suspensión en la recogida de los
certificados de antecedentes penales se adoptó en marzo con carácter temporal,
pero por razones ajenas a las expresadas. Esta decisión se adoptó por la
situación de estado de alarma y la dificultad de obtener los repetidos certificados
durante ese período.
Nada se dice, en cambio sobre los análisis previos realizados para determinar la
viabilidad del tratamiento de datos y su base jurídica; nada sobre los riesgos que
conlleva y las evaluaciones de impacto realizadas; y tampoco sobre la
ponderación de intereses en juego que requiere un tratamiento de datos basado
en el interés legítimo del responsable.
AMAZON ROAD ha pretendido en general reducir la cuestión suscitada, también
en relación con la diligencia, a una cuestión interpretativa de la norma, pero
omitiendo aspectos sustanciales de la misma que determinarían igualmente la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
58/64
ilicitud del tratamiento de datos personales, aunque se aceptara la “interpretación”
de la reclamada. No niega que se traten datos personales, pero omite que el
tratamiento de estos datos requiere en todo caso de una base jurídica y omite
también todos los argumentos que se exponen a este respecto en los
Fundamentos de Derecho de este acto. De acuerdo con estos argumentos,
suficientemente desarrollados, que han sido completamente ignorados por
AMAZON ROAD, no puede concluirse que la actuación de esta entidad ha sido
diligente.
. Artículo 83.2.d) del RGPD: “d) el grado de responsabilidad del responsable o del
encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas
que hayan aplicado en virtud de los artículos 25 y 32”.
La entidad imputada no tiene implantados procedimientos adecuados de
actuación en la recogida y tratamiento de los datos de carácter personal, en lo que
se refiere a la recogida y tratamiento de datos personales de los transportistas
aspirantes a participar en el programa “***PROGRAMA.1”, de modo que la
infracción no es consecuencia de una anomalía en el funcionamiento de dichos
procedimientos sino un defecto del sistema de gestión de los datos personales
diseñado por la responsable. Dicho procedimiento se adoptó por la reclamada a
iniciativa propia estableciendo unas exigencias que excedían las previsiones
normativas aplicables.
En opinión de AMAZON ROAD, la infracción resulta de una interpretación de la
norma y nada tiene que ver con el sistema de gestión de datos personales
diseñado por la misma, y añade que en sus escritos anteriores expuso las
medidas técnicas y organizativas implementadas. Sin embargo, lo que aquí se
valora tiene que ver, como bien se ha expresado anteriormente, con la decisión
adoptada por la propia entidad reclamada, en su ámbito de responsabilidad, de
incluir la recogida de los certificados de antecedentes penales en cuestión entre la
documentación que debía aportar un participante en “***PROGRAMA.1”. La
infracción responde, por tanto, a una decisión de procedimiento y no a una
anomalía puntual. Como se ha dicho, esa decisión se adopta más allá de lo
exigido por el marco normativo que regula la actividad de los contratistas.
. Artículo 83.2.g) del RGPD: “g) las categorías de los datos de carácter personal
afectados por la infracción”.
Se recopilan y tratan datos de carácter personal relativos a condenas e
infracciones penales, categoría especialmente merecedora de garantías.
Alega AMAZON ROAD que el tratamiento de datos relacionado con los
certificados negativos de antecedentes penales no puede ser comparado con el
tratamiento de datos sobre condenas e infracciones penales. A este respecto, nos
remitimos a lo expresado en los Fundamentos de derecho de este acto.
. Artículo 76.2.b) de la LOPDGDD: “b) La vinculación de la actividad del infractor
con la realización de tratamientos de datos personales”.
La alta vinculación de la actividad del infractor con la realización de tratamientos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
59/64
de datos personales, considerando el nivel de implantación de la entidad y la
actividad que desarrolla, en la que se ven implicados datos personales de miles
de interesados, ya sean clientes destinatarios de los envío, empleados o
contratistas autónomos. Esta circunstancia determina un mayor grado de
exigencia y profesionalidad y, consiguientemente, de responsabilidad de la
entidad reclamada en relación con el tratamiento de los datos.
Señala la reclamada a este respecto que su actividad está relacionada con la
logística, como operador de transporte, y no con la explotación de bases de datos.
Sin embargo, este hecho no contradice las circunstancias consideradas en el
párrafo anterior, las cuales conllevan la exigencia de un grado alto de
profesionalidad en el tratamiento de los datos personales.
Lo mismo puede decirse, específicamente, en relación con el tratamiento de datos
en el ámbito laboral, considerando el número de empleados de que dispone y de
profesionales que le prestan servicio.
Nada que ver con el precedente que cita en sus alegaciones, referido a una
empresa con un único cliente, frente a los miles que atiende AMAZON ROAD.
. Artículo 83.2.k) del RGPD: “k) cualquier otro factor agravante o atenuante
aplicable a las circunstancias del caso, como los beneficios financieros obtenidos
o las pérdidas evitadas, directa o indirectamente, a través de la infracción”.
La condición de gran empresa y volumen de negocio de AMAZON ROAD. Consta
en las actuaciones que dicha entidad tiene la condición de (…).
Solicita AMAZON ROAD que esta circunstancia agravante se valore atendiendo a
las cifras del ejercicio 2019, inferiores a las ofrecidas en 2020, pero no considera
dicha entidad que el período de desarrollo de operaciones en 2019 es inferior a
seis meses, contados desde la fecha en que recibió de Amazon Spain Fulfillment,
S.L.U. el negocio de operador de transporte. Extrapolando las cifras de 2019 a un
período de un año, las diferencias con 2020 no son significativas.
Considerando los factores expuestos, la valoración que alcanza la multa, por la
Infracción del artículo 6.1 del RGPD en relación con el artículo 10 de la misma norma,
así como el artículo 10 de la LOPDGDD, es de 2.000.000 euros (dos millones de
euros).
Ninguno de los factores de graduación considerados queda atenuado por el hecho de
que la entidad reclamada no haya sido objeto de un procedimiento sancionador con
anterioridad, circunstancia esta que ha sido alegada por la entidad reclamada para que
sea considerada como una atenuante.
A este respecto, la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, indica:
“Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una
infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta
para la imposición de la multa administrativa, entre otras, la circunstancia "e) toda infracción
anterior cometida por el responsable o el encargado del tratamiento". Se trata de una
circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
60/64
conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende
la actora, su aplicación como atenuante”.
Según el citado artículo 83.2 del RGPD, al decidir la imposición de una multa
administrativa y su cuantía de debe tener en cuenta “toda infracción anterior cometida
por el responsable”. Es una previsión normativa que no incluye la inexistencia de
infracciones precedentes como factor de graduación de la multa, el cual debe
entenderse como un criterio próximo a la reincidencia, aunque más amplio.
Lo mismo puede decirse respecto de la ausencia de beneficios también alegada como
atenuante por la entidad reclamada. Sobre este criterio, el artículo 76.2 de la
LOPDGDD, en su letra c), incluye entre los criterios que deben sopesarse a la hora de
fijar la cuantía de la sanción “los beneficios obtenidos como consecuencia de la
comisión de la infracción” y no la ausencia de estos beneficios. La misma Sentencia de
la Audiencia Nacional citada, de 05/05/2021, se refiere a la necesidad de que concurra
el “presupuesto” de hecho contemplado en la norma para que pueda aplicarse un
determinado criterio de graduación, y, como se ha dicho, la ausencia de beneficios no
está entre las circunstancias reguladas en el artículo citado.
Este criterio de graduación se establece en la LOPDGDD de acuerdo con lo previsto
en el artículo 83.2.k) del RGPD, según el cual las multas administrativas se impondrán
teniendo en cuenta cualquier “factor agravante o atenuante aplicable a las
circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas
evitadas, directa o indirectamente, a través de la infracción”, entendiéndose que evitar
una pérdida tiene la misma naturaleza a estos efectos que la obtención de beneficios.
Si a esto añadimos que las sanciones deberán ser “en cada caso individual” efectivas,
proporcionadas y disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD,
admitir la ausencia de beneficios como una atenuante, no solo es contrario a los
presupuestos de hechos contemplados en el artículo 76.2.c), sino también contrario a
lo establecido en el artículo 83.2.k) del RGPD y a los principios señalados.
Así, valorar la ausencia de beneficios como una atenuante anularía el efecto
disuasorio de la multa, en la medida en que minora el efecto de las circunstancias que
inciden efectivamente en su cuantificación, reportando al responsable un beneficio al
que no se ha hecho merecedor. Sería una rebaja artificial de la sanción que puede
llevar a entender que infringir la norma sin obtener beneficios, financieros o del tipo
que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho
infractor.
En todo caso, las multas administrativas establecidas en el RGPD, conforme a lo
establecido en su artículo 83.2, se imponen en función de las circunstancias de cada
caso individual y, en el presente, no se estima que la ausencia de beneficios sea un
factor de graduación adecuado y determinante para valorar la gravedad de la conducta
infractora. Solo en el caso de que esta ausencia de beneficios sea relevante para
determinar el grado de antijuricidad y de culpabilidad presentes en la concreta
actuación infractora podrá considerarse como una atenuante, en aplicación del artículo
83.2.k) del RGPD, que se refiere a “cualquier otro factor agravante o atenuante
aplicable a las circunstancias del caso”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
61/64
Sobre el hecho de que la reclamada no haya sido sancionada con anterioridad, en sus
últimas alegaciones, cita tres precedentes en los que esta Agencia ha considerado
esta circunstancia como una atenuante. Uno de estos precedentes también se invoca
para solicitar que se trate como atenuante la no obtención de beneficio alguno por los
hechos reclamados.
A este respecto, se considera lo establecido en el artículo 35.1.c) de la Ley 39/2015,
de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas, según el cual un acto administrativo puede separarse del criterio seguido en
actuaciones precedentes, siempre que se motive adecuadamente dicha decisión
Por otra parte, con el propósito de que sea considerada una circunstancia atenuante,
la reclamada ha manifestado que el tratamiento de datos objeto de la reclamación fue
suspendido en marzo de 2020 y no ha sido reanudado. Sobre esta cuestión, debe
señalarse que la citada entidad no ha aportado prueba alguna; que dicha decisión, de
confirmarse, habría sido adoptada con la intervención previa de la AEPD y por razón
de la reclamación que ha motivado las actuaciones; y que resulta insuficiente para
“poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción”,
según los términos del artículo 83.2.f) del RGPD, o “para paliar los daños y perjuicios
sufridos por los interesados”, según el apartado 2.c) del mismo artículo. No puede
entenderse como atenuante, en ningún caso, la cesación de la conducta vulneradora
del ordenamiento jurídico. Mitigar los efectos adversos o paliar los daños y perjuicios
causados implican actuaciones a mayores que la mera cesación de la conducta, a los
efectos de restablecer, en la medida de los posible, los derechos de los interesados.
AMAZON ROAD insiste en este hecho en el escrito de alegaciones a la propuesta,
aclarando que esta decisión estuvo motivada por las circunstancias del momento, en
referencia expresa a la situación de pandemia, y que así lo comunicó a los usuarios
del programa “***PROGRAMA.1” mediante correo electrónico de marzo de 2020.
Señala, asimismo, que dicha suspensión temporal se convirtió en definitiva tras
conocer la Sentencia de 10/02/2020, dictada por la Sala de lo Social de la Audiencia
Nacional, sin detallar cuándo se tomó esa decisión; y que todo ello ocurrió antes de la
apertura del procedimiento sancionador.
Aporta copia del correo supuestamente enviado a los transportistas en marzo, pero
ninguna prueba sobre su envío efectivo. En todo caso, cabe destacar que, según se
expresa en el texto del correo aportado, la suspensión temporal de la recogida del
certificado de antecedentes penales se adopta por la imposibilidad de obtenerlo debido
al estado de alarma. En este mismo correo se emplaza a los destinatarios a aportar el
certificado de antecedentes penales en un plazo de 60 días (“No obstante, deberás
subir este documento en un plazo de 60 días desde la finalización del registro en
***PROGRAMA.1. Si pasado este plazo no has subido el documento, dejarás de ser
elegible para participar en el programa ***PROGRAMA.1”).
Debe significarse, además, que AMAZON ROAD, en el escrito de respuesta al traslado
de la reclamación, de fecha 30/06/2020, aun calificaba aquella suspensión como
temporal. Luego, la decisión de no recabar aquellos certificados se adopta una vez
conocida la reclamación por medio de esta Agencia.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
62/64
VII
La infracción cometida puede conllevar la imposición al responsable de la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2.d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado […]”.
Así, procede requerir a la entidad responsable para que, en el plazo que se indica en
la parte dispositiva, adecúe a la normativa de protección de datos personales las
operaciones de tratamiento que realiza y la información que facilita a los interesados,
con el alcance expresado en los Fundamentos de Derecho del presente acuerdo.
En concreto, procede requerir a AMAZON ROAD para que cese en la conducta
infractora, en cuanto a la exigencia de un certificado de ausencia de antecedentes
penales a los aspirantes en el programa “***PROGRAMA.1”; se corrijan los efectos de
la infracción que se hubiese cometido, lo que conlleva la supresión de toda la
información relativa a dichos certificados que hubiesen podido aportar los
transportistas contratados o aspirantes; y se lleve a cabo la necesaria adecuación, en
este caso, a las exigencias contempladas en los artículos 6.1 del RGPD, en relación
con el artículo 10 de la misma norma, y artículo 10 de la LOPDGDD.
La entidad reclamada afirma que no recaba los certificados negativos de los
participantes en el programa “***PROGRAMA.1” desde marzo de 2020 y que tampoco
conserva dichos certificados, alegando que se conservaban únicamente por 60 días
desde la verificación de antecedentes. Sin embargo, no ha aportado ninguna
documentación al respecto que acredite que efectivamente ha adoptado estas
medidas, habiendo suprimido esta exigencia en los procesos de selección que sigue
en la actualidad. Así, no consta en las actuaciones que haya rectificado la información
relativa a estos procesos o el proceso de registro en su aplicación móvil, el contrato
que se suscribe con los interesados, etc.
Sobre la eliminación de los certificados de antecedentes penales a los 90 días, ya se
ha dicho con anterioridad que esa supuesta eliminación no se ajusta a las
estipulaciones que constan en los contratos suscritos por AMAZON ROAD con el
encargado del tratamiento, que tiene encomendada la función de recabar y analizar la
documentación de los aspirantes al programa “***PROGRAMA.1”. No consta
acreditado que AMAZON ROAD haya modificado sus instrucciones iniciales al
respecto.
Por otra parte, dicha entidad deberá efectuar las aclaraciones oportunas en la
información en materia de protección de datos personales que facilita a los
interesados, en relación con la naturaleza que se atribuye a la intervención en el
tratamiento de los datos por parte de Accurate Background, Inc. y Amazon
Development Centre (India) Private Limited y sobre las circunstancias que sirven de
base a las transferencias internacionales de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
63/64
AMAZON ROAD deberá, asimismo, aportar los medios acreditativos del cumplimiento
de lo requerido.
A este respecto, se advierte que la no atención de los requerimientos de este
organismo puede ser considerado como una infracción administrativa grave al “no
cooperar con la Autoridad de control” ante tales requerimientos, pudiendo ser valorada
tal conducta a la hora de la apertura de un procedimiento administrativo sancionador
con multa pecuniaria.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a la entidad AMAZON ROAD TRANSPORT SPAIN, S.L., con
CIF B88405303, por una infracción del artículo 6.1 del RGPD, en relación con el
artículo 10 del RGPD y del artículo 10 de la LOPDGDD, tipificadas en el artículo 83.5
del RGPD y en el artículo 71 de la LOPDGDD, y calificada como muy grave a efectos
de prescripción en el artículo 72.1 de la LOPDGDD, una multa de 2.000.000 euros
(dos millones de euros).
SEGUNDO: DECLARAR la inexistencia de infracciones en relación con la imputación
a la entidad AMAZON ROAD TRANSPORT SPAIN, S.L. de una posible vulneración de
lo establecido en los artículos 7 y 49.1 del RGPD.
TERCERO: REQUERIR a la entidad AMAZON ROAD TRANSPORT SPAIN, S.L., para
que, en el plazo de un mes, contado desde la notificación de la presente resolución,
adecúe a la normativa de protección de datos personales las operaciones de
tratamiento que realiza y la información que facilita a los interesados, con el alcance
expresado en el Fundamento de Derecho VII de esta resolución. En el plazo indicado,
AMAZON ROAD TRANSPORT SPAIN, S.L. deberá justificar ante esta Agencia
Española de Protección de Datos la atención del presente requerimiento.
CUARTO: NOTIFICAR la presente resolución a la entidad AMAZON ROAD
TRANSPORT SPAIN, S.L.
QUINTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
64/64
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y dado que el
importe de la sanción impuesta es superior a un millón de euros, será objeto de
publicación en el Boletín Oficial del Estado la información que identifique al infractor, la
infracción cometida y el importe de la sanción.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-231221
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es