Quadro normativo di riferimento

L’art. 10 del GDPR introduce un regime speciale per il trattamento di dati relativi a condanne penali, reati e misure di sicurezza, denominati “dati giudiziari”. Perché il trattamento sia lecito, è necessario soddisfare simultaneamente due requisiti:

    • esistenza di una base giuridica adeguata (punto i);
    • presenza di una norma – europea o nazionale – che autorizzi espressamente il trattamento, prevedendo garanzie appropriate (punto ii).

Il Codice privacy, all’art. 2-octies, comma 1, ribadisce tali principi e, nel contesto lavorativo, sembra introdurre regole ancora più stringenti per i dati giudiziari.

Qualificazione delle dichiarazioni di assenza di condanne

Il Garante per la protezione dei dati personali, con il provvedimento del 10 marzo 2022 (doc. web n. 9761383), ha chiarito che anche le dichiarazioni rilasciate dai lavoratori sull’assenza di condanne penali sono da considerarsi “dati relativi a condanne penali o reati”.

Di conseguenza, la prassi cautelativa suggerisce di trattare tali dichiarazioni come dati giudiziari, richiedendo quindi una norma specifica di autorizzazione.

Tuttavia, se la dichiarazione non fosse qualificata come dato giudiziario, la liceità del trattamento dovrebbe fondarsi su una delle basi giuridiche dell’art. 6 del GDPR, ad esempio:

    • consenso esplicito del candidato;
    • legittimo interesse del datore di lavoro, valutato mediante test di necessità e proporzionalità.

In quest’ultimo caso, è fondamentale verificare che la raccolta dell’informazione sia strettamente necessaria per la funzione lavorativa e che non sia sproporzionata rispetto al diritto alla privacy del candidato.

Il ruolo della necessità e della proporzionalità

Per i ruoli critici – ad esempio chi gestisce sistemi informativi, reti o accessi privilegiati – il datore di lavoro può sostenere un legittimo interesse più forte, poiché la sicurezza dell’intera azienda dipende dalla affidabilità del personale. Tuttavia, anche in tali contesti, la mancanza di una norma specifica può rendere vulnerabile la posizione del datore di lavoro.

La sentenza spagnola della Audiencia Nacional (caso Amazon Flex)

Il 8 luglio 2026, la Audiencia Nacional ha emesso la sentenza n. 359 in risposta al ricorso di Amazon Road Transport Spain S.L. contro l’AEPD. Il caso riguardava la richiesta da parte di Amazon di un certificato negativo di antecedenti penali per i candidati al programma Amazon Flex.

L’AEPD, in linea con l’orientamento del Garante italiano, aveva ritenuto che il certificato costituisse trattamento di dati giudiziari, invalidando il consenso dei candidati per mancanza di una norma di autorizzazione ex art. 10.

Il giudice spagnolo ha adottato una lettura diversa:

    • l’art. 10 del GDPR si applica ai dati relativi a condanne e infrazioni, non a dati che attestano l’assenza di tali condanne;
    • il certificato negativo è quindi un “dato favorevole” sulla condotta del candidato;
    • il trattamento è lecito se rispetta i principi di liceità, correttezza, trasparenza e proporzionalità richiesti dall’art. 5 del GDPR.

Secondo il giudice, la creazione di archivi con dati sfavorevoli è vietata, ma non lo è la raccolta di informazioni positive che dimostrano l’onorabilità del candidato, purché siano proporzionate allo scopo di garantire la sicurezza dell’attività lavorativa.

Motivazioni della sentenza

Il giudice ha sottolineato tre ragioni chiave per considerare legittimo il trattamento:

    • necessità di garantire la sicurezza del servizio di consegna;
    • minimizzazione dei dati, poiché il certificato negativo fornisce solo l’informazione strettamente necessaria;
    • assenza di un archivio permanente di dati sfavorevoli, limitando il trattamento a una finalità specifica e temporanea.

Confronto tra le due posizioni

Le autorità italiane e spagnole condividono l’obiettivo di proteggere i dati personali, ma divergono sull’interpretazione dell’art. 10. Il Garante italiano adotta un approccio più restrittivo, includendo anche le dichiarazioni di assenza di condanne, mentre la sentenza spagnola distingue tra dati negativi e dati favorevoli.

Questa divergenza ha implicazioni pratiche per le imprese che operano a livello transfrontaliero:

    • le aziende italiane tendono a richiedere una normativa esplicita o a basare il trattamento sul consenso informato con forte documentazione;
    • le aziende spagnole possono avvalersi della più ampia interpretazione della Audiencia Nacional, a patto che dimostrino la necessità e la proporzionalità.

Raccomandazioni operative per i datori di lavoro

Per evitare sanzioni e garantire la conformità, i datori di lavoro dovrebbero adottare le seguenti misure:

    • Valutare la qualificazione del dato: determinare se la dichiarazione di assenza di condanne è da considerare dato giudiziario o meno, tenendo conto della giurisprudenza vigente.
    • Identificare la base giuridica: se il dato è giudiziario, cercare una norma specifica (es. provvedimenti del Garante). Se non lo è, valutare il consenso o il legittimo interesse.
    • Condurre una DPIA (Data Protection Impact Assessment): soprattutto per ruoli critici, per dimostrare la necessità e la proporzionalità del trattamento.
    • Limitare la conservazione: archiviare i certificati negativi solo per il tempo strettamente necessario alla fase di assunzione.
    • Garantire la trasparenza: informare i candidati, con chiarezza, sul tipo di dati raccolti, sulla finalità, sulla base giuridica e sui loro diritti.
    • Documentare il consenso: se si sceglie questa base, il consenso deve essere specifico, informato e revocabile in ogni momento.
    • Monitorare gli aggiornamenti normativi: tenere sotto controllo nuove pronunce del Garante e sentenze europee che potrebbero modificare l’interpretazione dell’art. 10.

Conclusioni

Il dibattito tra l’orientamento restrittivo del Garante italiano e la lettura più flessibile della Audiencia Nacional evidenzia la complessità dell’applicazione dell’art. 10 del GDPR al certificato penale nelle assunzioni. Le aziende devono bilanciare la necessità di sicurezza e affidabilità del personale con il rispetto dei principi fondamentali di protezione dei dati. In assenza di una norma esplicita, la via più sicura è trattare le dichiarazioni di assenza di condanne come dati giudiziari, adottando misure rigorose di documentazione, limitazione e trasparenza, oppure dimostrare, tramite una valutazione di legittimo interesse, che il trattamento sia strettamente necessario e proporzionato allo scopo legittimo perseguito.