In fase di selezione e assunzione del personale, il (futuro) datore di lavoro può acquisire dal candidato una dichiarazione di non aver riportato condanne penali?
La risposta al (ricorrente) quesito dipende in prima battuta da come vengono qualificate tali informazioni, ossia se la dichiarazione di assenza di condanne penali sia o meno un dato relativo a condanne penali. Solo in caso affermativo, infatti, troverà applicazione l’art. 10 del GDPR e, semplificando al massimo, la risposta al quesito iniziale sarà di regola la seguente: è possibile trattare tali dichiarazioni negative solamente in presenza di una norma specifica che ne autorizza il trattamento[1].
Indice degli argomenti
Dichiarazioni di assenza di condanne penali e art. 10 GDPR
L’art. 10 del GDPR, infatti, prevede un regime speciale per poter trattare dati relativi a condanne penali, reati e connesse misure di sicurezza (di seguito, per comodità, “dati giudiziari”). Parafrasando la norma, affinché il trattamento di dati giudiziari possa ritenersi lecito, devono essere rispettate entrambe le seguenti condizioni:
- deve sussistere almeno una delle condizioni di liceità previste dall’art. 6, par. 1, del GDPR; e, salvo il caso in cui il trattamento avvenga sotto il controllo dell’autorità pubblica,
- il trattamento deve essere autorizzato dal diritto dell’Unione o degli Stati membri, che preveda garanzie appropriate per i diritti e le libertà degli interessati.
In altre parole, oltre alla sussistenza di un’idonea base giuridica (punto i), deve necessariamente esistere una norma – europea o nazionale – che autorizzi il trattamento dei dati giudiziari, prevedendo al contempo garanzie appropriate (punto ii). Il concetto è sostanzialmente ribadito dall’art. 2-octies, comma 1, del Codice privacy, che tra le righe sembrerebbe addirittura introdurre regole ancora più stringenti per il trattamento dei dati giudiziari nel contesto lavorativo.
Quando la dichiarazione negativa non è un dato giudiziario
Se, invece, si ritiene che la dichiarazione di non aver riportato condanne penali non sia un dato giudiziario, la liceità del relativo trattamento, anche nel contesto lavorativo, andrà trovata in una delle basi giuridiche di cui all’art. 6 del GDPR.
Assumendo che un’adeguata base giuridica possa essere, per il caso in esame, il consenso del candidato piuttosto che la necessità per il datore di lavoro di perseguire un legittimo interesse proprio o di terzi (questioni da verificare in base alle circostanze), allora l’analisi si sposta su piani diversi, ossia: la verifica e la valutazione della necessità e della proporzionalità di raccogliere e trattare tale informazione. La risposta dipenderà dal contesto e dalle circostanze del caso concreto.
Il Garante sulle dichiarazioni di assenza di condanne penali
Fatte queste precisazioni preliminari, va segnalato che il Garante per la protezione dei dati personali ritiene che le dichiarazioni circa l’assenza di condanne penali sarebbero qualificabili come “dati relativi a condanne penali o reati”, con conseguente applicazione della specifica normativa sopra richiamata.
Si richiama, tra molti, il Provvedimento del 10 marzo 2022 [doc. web n. 9761383], in cui l’Autorità ribadisce il proprio orientamento in merito alla qualificazione dei dati giudiziari nel contesto lavorativo. Qui un estratto significativo del provvedimento: “D’altra parte, con riguardo al contesto lavorativo, numerosi provvedimenti del Garante hanno chiarito che le informazioni ottenute dal certificato penale del casellario giudiziale o da dichiarazioni rilasciate dai lavoratori in merito all’assenza di condanne penali costituiscono comunque dati relativi a condanne penali e reati ai fini della normativa in materia di protezione dei dati […]” (grassetto aggiunto).
Alla luce di ciò, un approccio cautelativo suggerirebbe pertanto di trattare le dichiarazioni negative alla stregua di dati giudiziari.
Una strada, però, che precluderebbe in tanti casi al datore di lavoro di poter svolgere opportune e adeguate verifiche in determinati contesti e in relazione a figure professionali che assumono un ruolo critico in azienda. Si pensi, giusto per fare un esempio, alla selezione, in quei settori in cui non vi è norma autorizzatoria espressa, di figure professionali che devono essere incaricate della gestione e manutenzione dei sistemi informativi e di rete, o di parti di essi, e devono essere dotati di accessi privilegiati a tali sistemi per configurarli, monitorarli, aggiornarli o controllarli.
Si tratta di persone che l’azienda ha tutto l’interesse a selezionare anche in base al livello di competenza, professionalità, affidabilità, onorabilità che possono garantire.
Vale la pena, allora, tornare a riflettere se sia davvero corretto trattare le dichiarazioni negative alla stregua di dati giudiziari, e se sia necessario mettere in discussione la conclusione del Garante. Questa, infatti, seppur evidentemente sorretta dalla volontà di tutelare gli interessati in un contesto in cui il trattamento dei relativi dati giudiziari è intrinsecamente molto rischioso, si scontra con un dato oggettivo: una dichiarazione di assenza di condanne penali non contiene dati relativi a condanne penali.
Assenza di condanne penali nel caso Amazon Flex
E in questo senso, una diversa lettura arriva da un recentissimo provvedimento della Audiencia Nacional spagnola, ossia la sentenza n. 359 dell’8 luglio 2026, emessa a seguito del ricorso presentato da Amazon Road Transport Spain S.L. contro un provvedimento dell’Agencia Española de Protección de Datos (AEPD). Di seguito si riassume brevemente il caso, richiamandone alcune questioni che qui assumono particolare rilevanza.
La richiesta del certificato nel programma Amazon Flex
A coloro che erano interessati a partecipare al programma Amazon Flex, consistente nella consegna di pacchi mediante un furgone fornito dal richiedente, per ragioni di sicurezza Amazon chiedeva di presentare un certificato negativo di antecedenti penali, da allegare alla candidatura con il consenso del candidato.
La posizione dell’AEPD sulle dichiarazioni negative
L’AEPD – in linea con l’orientamento del Garante privacy – riteneva che anche il trattamento di dati riguardanti l’insussistenza di tali antecedenti costituisse trattamento di dati relativi a condanne e infrazioni penali. Per tale motivo considerava viziato il consenso prestato dai candidati, ritenendolo contrario all’esigenza di una norma di legge che, ai sensi dell’art. 10 del GDPR, autorizzi il trattamento di questa categoria di dati.
La lettura dell’Audiencia Nacional sull’art. 10 GDPR
Il giudice spagnolo – dopo aver ricordato che ci si trova nell’ambito del diritto sanzionatorio, in cui vige il principio di intervento minimo e di divieto di interpretazioni estensive, anche in materia di protezione dei dati personali quando si tratta di sanzionare – evidenzia che l’art. 10 del GDPR si riferisce testualmente ai dati personali relativi a condanne e infrazioni penali, e non ai dati relativi all’assenza di antecedenti penali.
E, ritiene il giudice, quando l’azienda ottiene il certificato negativo di antecedenti penali allegato alle domande dei candidati, quell’azienda non sta trattando dati relativi a condanne o infrazioni penali, ma semplicemente dati che contengono informazioni favorevoli sulla condotta di una persona.
Il giudice ricorda che ciò che è proibito è creare archivi con antecedenti sfavorevoli per le persone, ma non il trattamento di dati personali favorevoli riguardanti i candidati a una determinata posizione, purché superi il vaglio alla luce dei principi enunciati all’art. 5 del GDPR.
Sicurezza dei clienti e liceità del trattamento
Il giudice spagnolo non si limita a pronunciarsi sull’applicabilità o meno dell’art. 10 del GDPR. In relazione al caso Amazon Flex, il giudice spagnolo ritiene che le ragioni addotte da Amazon per richiedere ai candidati al programma Amazon Flex un certificato negativo di antecedenti penali risultano sufficienti per affermare che il trattamento di tali dati personali è legittimo, in quanto volto a garantire la sicurezza nell’assunzione del personale al servizio del programma.
In particolare, ritiene legittimo che Amazon cerchi di raccogliere un’informazione minima sull’onorabilità del candidato e si assicuri che questi non abbia antecedenti sfavorevoli.
Tra le circostanze fondanti la liceità del trattamento c’è il fatto che il programma Amazon Flex non consiste in trasporti tra magazzini, ma nel trasporto dei pacchi al destinatario finale, con consegna che avviene spesso presso il domicilio privato, e che pertanto ai corrieri vengono forniti dati personali quali indirizzo e numero di telefono, che potrebbero esporre i clienti di Amazon Road a un rischio grave, nel caso in cui cadessero nelle mani di persone non affidabili.
Anche i pacchi – sottolinea l’Audiencia Nacional – indipendentemente dal loro valore, possono contenere informazioni intime sulle abitudini dei destinatari, che potrebbero essere messe a rischio se giungessero in possesso di persone non affidabili.
Dichiarazioni negative e limiti del GDPR: le conclusioni
L’auspicio, dunque, è che la pronuncia spagnola possa riaccendere il dibattito, e che possa essere accolta anche dalle autorità sulla protezione dei dati personali una lettura meno estensiva dell’art. 10 del GDPR, onde permettere alle organizzazioni, nel rispetto dei principi e dell’accountability, di applicare serenamente gli adeguati presidi per garantire la sicurezza e perseguire gli ulteriori legittimi interessi.
Una lettura del genere, tra l’altro, non pregiudicherebbe i diritti e le libertà degli interessati coinvolti: i principi di liceità, necessità e proporzionalità (art. 5 GDPR) continuerebbero comunque a operare come presidio, indipendentemente dalla qualificazione delle dichiarazioni negative come dati giudiziari.
***
Ti aspetto a Lecce al Digeat Festival (5 – 8 novembre) per approfondire insieme il tema.
Note
[1] In alcuni ambiti è intervenuto il legislatore con norme autorizzatorie espresse: si pensi, a titolo esemplificativo, alle verifiche dei requisiti di onorabilità svolte in ambito bancario e assicurativo nei confronti di determinati esponenti e funzioni aziendali, oppure ai controlli che devono essere svolti da chi intenda impiegare al lavoro una persona per lo svolgimento di attività professionali o attività volontarie organizzate che comportino contatti diretti e regolari con minori. ↩
Partecipa alla community