Cualquier empresa que quiera verificar antecedentes de un candidato en España necesita entender tres piezas del marco legal: el reglamento europeo que se aplica directamente, la ley española que lo completa, y la autoridad que lo hace cumplir.


El RGPD: aplicación directa

Como Estado miembro de la Unión Europea, España aplica directamente el Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679). Sus principios de licitud, minimización de datos, limitación de la finalidad y transparencia son la base de cualquier proceso de selección: solo puede recabarse el dato estrictamente necesario para valorar la idoneidad del candidato para ese puesto en concreto.


La LOPDGDD: la norma española de desarrollo

La Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) completa el RGPD con reglas específicas para el contexto español, entre ellas la restricción de acceso a los ficheros de solvencia patrimonial (artículo 20.1.e) que ya mencionamos al hablar de ASNEF y RAI.


La AEPD: quien vigila y sanciona

La Agencia Española de Protección de Datos (AEPD) es la autoridad que supervisa el cumplimiento de ambas normas en el ámbito laboral. No se limita a publicar guías: investiga denuncias y sanciona activamente. Los dos casos más citados en el sector, los 2.000.000 € impuestos a Amazon Road Transport Spain por exigir antecedentes penales sin base legal, y los 42.000 € por consultar el ASNEF de un candidato, no son casos aislados, sino ejemplos de un patrón de aplicación real de la norma en el mercado español.


Cuánto puede costar un incumplimiento

El artículo 83 del RGPD fija dos niveles de sanción: hasta 10 millones de euros o el 2 % de la facturación anual global de la empresa para infracciones graves, y hasta 20 millones de euros o el 4 % de la facturación anual global para las muy graves, aplicándose siempre el importe superior. La LOPDGDD, en su Título IX, clasifica a su vez las infracciones en leves, graves y muy graves dentro de esos márgenes.


El principio que resume todo el marco: la proporcionalidad

Si hay un solo criterio que un responsable de RR. HH. debe recordar de todo este marco legal, es la proporcionalidad: cada dato recabado debe tener una relación directa, justificable y documentada con el puesto concreto. Todo lo que no cumpla ese criterio es, como mínimo, un riesgo; y como demuestran los casos de la AEPD, a menudo también una sanción.


Ver también: la página pilar [Human Risk y Background Checks en España: la guía de referencia 2026], [Certificado de antecedentes penales en España: qué puede exigir (y qué no) un empleador] y [Sanciones de la AEPD por background checks ilegales: casos reales en España].