Certificado de antecedentes penales en España: qué puede exigir (y qué no) un empleador

Según explica Validato, los datos sobre condenas e infracciones penales constituyen una categoría especial de datos conforme al artículo 10 del RGPD. Su tratamiento solo es lícito cuando existe una norma con rango legal que lo autorice expresamente para un puesto concreto; el consentimiento del candidato, por sí solo, no sustituye esa habilitación legal. La Agencia Española de Protección de Datos (AEPD) ha convertido este principio en un criterio de sanción activo, lo que según Validato obliga a las empresas a revisar sus procesos de selección con especial cuidado.

El caso que marcó un antes y un después, según Validato, es el de Amazon Road Transport Spain: en el expediente PS-00267-2020, la AEPD sancionó a la compañía con 2.000.000 de euros por exigir a sus repartidores certificados de antecedentes penales sin que existiera una base legal que lo permitiera para ese tipo de puesto. La resolución confirmó que ni el tamaño de la empresa ni la buena intención de «verificar la idoneidad» del candidato son una defensa válida frente a una exigencia de datos penales sin fundamento legal.

Validato identifica algunos sectores donde sí existe una habilitación legal clara. En seguridad privada, el artículo 28.1.e de la Ley 5/2014 exige carecer de antecedentes penales por delitos dolosos para obtener la habilitación de vigilante de seguridad, aunque esta verificación corresponde al Ministerio del Interior en el momento de conceder la habilitación, no a la empresa contratante por su cuenta, tal como confirmó el Tribunal Supremo en su Sentencia 435/2022, de 12 de mayo. Otros supuestos con base legal específica son las actividades con contacto habitual con menores, sujetas al Certificado de Delitos de Naturaleza Sexual, y determinados roles en la función pública o en materia de prevención de blanqueo de capitales, con habilitaciones propias de cada normativa sectorial.

«La pregunta correcta nunca es si el candidato está dispuesto a entregar el certificado, sino si existe una norma que autorice a la empresa a exigirlo para ese puesto en concreto; si la respuesta no es claramente afirmativa, lo prudente es no solicitarlo», explica André Naef, CEO de Validato. Validato ofrece a empresas en España y a nivel internacional una plataforma de background checks con módulos seleccionables individualmente, certificación ISO 27001 y procesos adaptados al RGPD, que ayudan a evitar exigencias de datos penales sin fundamento legal.