PS-00448-2013

1/17 Procedimiento Nº PS/00448/2013 RESOLUCIÓN: R/03014/2013 En el procedimiento sancionador PS/00448/2013, instruido por la Agencia Española de Protección de Datos a la entidad AUTOPISTAS DE NAVARRA S.A., vista la denuncia presentada por D. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 2 de noviembre de 2012 tiene entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante), en el que denuncia que es trabajador de la empresa AUTOPISTAS DE NAVARRA, S.A. (en lo sucesivo el denunciado) y tiene constancia de que en los sistemas de la entidad existe un fichero que contiene los diagnósticos médicos de las bajas por enfermedad común de los trabajadores de la empresa, recopilados durante 15 años. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 5 de junio de 2013, se realiza inspección en los locales de la empresa AUTOPISTAS DE NAVARRA, S.A., poniéndose de manifiesto los siguientes hechos durante la inspección: 1.1. AUTOPISTAS DE NAVARRA, S.A., (en adelante AUDENASA), cuenta en la actualidad con un total de 129 trabajadores, de los cuales la mayoría prestan sus servicios en puestos de peaje de las autopistas. 1.2. Cuando un trabajador se ausenta de su puesto de trabajo por enfermedad, deben avisar a la empresa, en ese momento se solicita información sobre el motivo de la ausencia y un cálculo aproximado de los días que durará, con el fin de cubrir el puesto de trabajo, sobre todo en el caso de los trabajadores que cubren los puestos de peaje, ya que son puestos que han de ser cubiertos inmediatamente, y además deben hacer un cálculo aproximado de los días que durará la sustitución. 1.3. A los tres días del comienzo de la enfermedad, el trabajador debe remitir a la empresa el correspondiente parte de baja (ejemplar para la empresa), muchos de ellos remiten, además, el ejemplar que ha de remitirse a la Mutua, unos lo envían en sobre cerrado y otros lo envían junto con el de la empresa, en todos los casos, dichos partes de baja se incluyen en un sobre cerrado y se remiten C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 todos juntos a la Mutua. 1.4. Los ejemplares del parte de baja que han de entregar en la empresa, son escaneados y se incluyen en un fichero dentro de la aplicación de personal. En dichos partes no consta ningún diagnóstico y en ningún momento la empresa obtiene diagnósticos de los partes de baja que son remitidos a la Mutua. 1.5. Solamente dos personas tiene acceso a la información contenida en la aplicación de PERSONAL, el Jefe de Personal y el Adjunto 1.6. Mediante acceso a los sistemas informáticos de la entidad, a la carpeta PERSONAL, se comprueba que existe otra carpeta denominada INCAPACIDAD LABORAL PARTES, en la cual existe un fichero Excel denominado Listado Bajas. Xlsx. Se accede al contenido del fichero Excel, verificándose la existencia de datos asociados a 75 personas, donde constan la siguiente información: Apellido o Nombre y apellido en algunos casos, Año en el que se produce la incidencia por enfermedad, días de ausencia y Motivo de la enfermedad. 1.7. A la vista de la información contenida en el citado fichero, el Jefe de Personal manifiesta que: 1.7.1.hasta ese momento no tenían constancia de la existencia de dicho fichero. Suponen que fue creado para llevar un control de los días de ausencia por enfermedad de los trabajadores a efectos de gestiones internas de la empresa para sustituciones y permisos. 1.7.2.Dicho fichero no es utilizado en la actualidad, siendo la última fecha que consta en el mismo del año 2011, no obstante, el último acceso que consta fue realizado en febrero de 2012. 1.7.3. La única persona que ha podido incluir datos en el citado fichero, era el anterior adjunto al Jefe de Personal, que es el denunciante, ya que solo ellos dos tenían permisos para acceder al contenido de la carpeta PERSONAL, el cual ocupó el puesto de adjunto desde el 1 de enero de 2008, hasta el 15 de octubre de 2011, fecha en la que le fueron cancelados todos los permisos al área informática relativa a temas de PERSONAL. 1.8. Mediante acceso al sistema se accede al fichero donde se encuentra almacenada la información relativa a las bajas de los empleados, que según el representante de la entidad es el denominado “NÓMINAS”, verificándose que la información relativa a las fechas de ausencia por enfermedad coinciden en todos los casos consultados con el Listado EXCEL consultado anteriormente, no obstante no existe ningún tipo de información relativa a datos de salud, constando únicamente la siguiente información: Tipo: Enfermedad o Accidente Laboral, Inicio de la incidencia, Final Incidencia, Recaída, Inicio Recaída, Base Cálculo. 1.9. Mediante acceso al fichero donde se encuentran escaneados los partes de baja, se verifica, que una vez consultadas las mismas personas que en la anterior búsqueda en el fichero NOMINAS, que todos los partes de baja almacenados en el sistema, son los correspondientes a la empresa y en ninguno de ellos figuran datos de diagnóstico. 1.10.Con relación al Listado EXCEL, tras la recuperación de la copia de seguridad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 correspondiente al año 2011, se verifica la existencia de dicho fichero Excel denominado LISTADO BAJAS.xls, creado con fecha 28/10/2010 por el anterior Adjunto al Jefe de Personal, protegido con una clave. 1.11.Se restaura la copia de seguridad del año 2010, verificándose la existencia de un fichero Excel denominado Libro1.xls, creado el 28/10/2010 por el anterior Adjunto al Jefe de Personal, el cual se encuentra también protegido con clave, no obstante, se fuerza el acceso al mismo mediante un procedimiento informático, el cual muestra parte de la información existente, comprobándose que se trata del mismo fichero. 1.12.Asimismo, se comprueba que el autor del último acceso, de fecha dos de febrero de 2012, fue realizado por el actual adjunto. 1.13.A la vista de la información recabada de las copias de seguridad, los representantes de la entidad manifiestan desconocer el origen de dicha información. 1.14.En el transcurso de la inspección se procede al borrado de dicho fichero, tanto de la CARPETA donde se encuentra, como de la Papelera de reciclaje. TERCERO: Con fecha 13 de septiembre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad Autopistas de Navarra S.A., por presunta infracción del artículo 7.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como muy grave en el artículo 44.4.

1. b)de dicha norma, pudiendo ser sancionada, con multa de 300.001 a 600.000 € de acuerdo con el artículo 45.3 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la entidad Autopistas de Navarra S.A. presentó escrito solicitando la ampliación del plazo otorgado para presentar alegaciones, solicitud que se concedió. También se solicitó copia completa del expediente, que se entregó. QUINTO: La entidad Autopistas de Navarra S.A. formuló alegaciones, significando, que: “... desde el principio el procedimiento viene lastrado por la falta de determinación bastante de los hechos que motivan su apertura, cabe manifestar, sin embargo, que, en todo caso es gravemente errónea la tipificación de aquellos como infracción muy grave, al considerar, con carácter preliminar, que la conducta desplegada se incardina en la letra
2. b)del nº 4 del artículo 44. En forma alguna puede estimarse que haya existido un tratamiento de datos de carácter personal que hagan referencia a la salud (...) la finalidad era en su caso otra, perfectamente lícita, asociada a las bajas y obligadas sustituciones y las derivadas de nóminas. Por tanto, la existencia y, en su caso, llevanza, de ese fichero excluye la eventualidad de su calificación en el tipo infractor que la Agencia indica con carácter inicial, procediendo, si acaso, su tipificación como infracción leve (art. 44.2.c). Si bien este extremo, descartada la eventual calificación de los hechos como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 constitutivos de infracción, se sitúa ya en un plano subalterno, parece en todo caso necesario apuntar la falta de responsabilidad de AUDENASA en la comisión de los mismos, responsabilidad que puede atribuirse, justamente, a quien los realizó al margen de cualquier decisión societaria.” Concluyen las alegaciones solicitando que se notifiquen los hechos precisos que pudieran resultar indiciarios de la infracción que se imputa y se ordene abrir un nuevo periodo de alegaciones y prueba, que permitan evacuar el trámite con conocimiento preciso y específico de los hechos pretendidamente infractores. Que se tengan por aportadas las pruebas que se señalan y se ordene la práctica de aquellas que permitan acreditar los hechos. Que se proponga la declaración de no existencia de infracción o responsabilidad. Se acompañan las siguientes pruebas documentales: “... las sucesivas comunicaciones cruzadas entre la empresa y el trabajador denunciante, a partir de que AUDENASA tuvo cabal conocimiento de la existencia del fichero objeto del presente expediente, que sirven para demostrar de una parte, la ausencia de responsabilidad de AUDENASA en la gestión del trabajador y, de otra, el rechazo de conductas como la desplegada por aquél, así como ponen en entredicho el verdadero sentido de la denuncia y los términos de la misma. ... las declaraciones prestadas por cuatro trabajadores de la compañía, en relación con el uso habitual en materia de gestión de los partes de baja, que adveran la finalidad y forma en que los datos se obtuvieron y el acceso a los mismos. Queda así probado que no era la salud el objeto del fichero, sino el recoger la bajas a efectos de nóminas, sustituciones y permisos. Asimismo la obtención del dato la facilita el propio trabajador sin que, como apunta la denuncia, tuviera una intervención ilícita la empresa abriendo sobres cerrados. Queda probado, en fin, que su “creación” es de absoluta responsabilidad del denunciante, sin que quepa sostener participación alguna de la empresa en tal conducta. ... diversos documentos, todos ellos, relativos al cumplimiento por parte de la empresa de sus obligaciones en materia de protección de datos, y relativos a las medidas implantadas en la misma y a los protocolos de información a sus trabajadores, que sirven para descartar de raíz cualquier intento de crear un fichero de la naturaleza que parece otorgarle, siquiera sea indiciariamente, la Agencia Española de Protección de Datos.” Se solicita la práctica de prueba testifical de las siguientes personas, en tanto que responsables de la sociedad, a propósito del conocimiento de la existencia del archivo: Director de Administración, Jefe de Administración y RR.HH, Responsable de Informática y Control, Adjunto al Jefe de Personal. Se solicita también que se incorporen al procedimiento los antecedentes obrantes referentes a AUDENASA. SEXTO: Con fecha 6 de noviembre de 2013 se inició el período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por D. A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante AUTOPISTAS DE NAVARRA S.A., y el Informe de actuaciones previas de Inspección que forman parte del expediente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 E/07424/2012. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00448/2013 presentadas por AUTOPISTAS DE NAVARRA S.A., y la documentación que a ellas acompaña. 3. Denegar la prueba testifical propuesta por Autopistas de Navarra SA, por innecesaria, toda vez que no se pone en duda que el testimonio de todas las personas propuestas ratificará la postura de la entidad denunciada. SÉPTIMO: Con fecha 15 de noviembre de 2013 tiene entrada un escrito de la entidad denunciada en el que expone que: “La ausencia de la testifical propuesta impide la fijación de los hechos determinantes y, por tanto, invalida la resolución que en su día pudiera poner fin al procedimiento. Recuérdese que la presunción de validez de los actos administrativos desplaza la carga del recurso pero no la de prueba que le cumple satisfacerla a la Administración actuante, extremo que, en nuestro criterio, queda conculcado con decisiones como la que constituye el objeto de las presentes alegaciones.” Se solicita en el escrito la práctica de la prueba propuesta. Con la misma fecha tiene entrada otro escrito de la entidad denunciada en el que manifiesta que: “Que con ocasión del inicio del procedimiento sancionador a que se ha hecho mérito, mi mandante ha llevado a cabo determinadas actuaciones que tienen transcendencia en el curso del mismo y respecto de las que solicita sean incorporadas al mismo (...) Que las mencionadas actuaciones han concluido con la imposición al autor de la denuncia, que está en el origen del procedimiento sancionador, de una sanción de despido cuya documentación justificativa se acompaña a este escrito (...) Que dicha documentación acredita la existencia de toda ausencia de culpabilidad de AUDENASA, como presunto responsable de una pretendida conducta infractora.” OCTAVO: Con fecha 19 de diciembre de 2013 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 50.000 € a la entidad AUTOPISTAS DE NAVARRA S.A., por la comisión de una infracción del artículo 7.3 de la LOPD, tipificada como muy grave en el artículo 44.4.
3. b)de dicha Ley. NOVENO: Notificada la propuesta de resolución la entidad AUTOPISTAS DE NAVARRA S.A. realizó alegaciones frente a la misma en las que comunica: “...Lo anterior nos lleva directamente a la única conclusión posible, a saber, la de la ausencia de responsabilidad alguna por parte de AUDENASA, siquiera, como ya se ha dicho, a título de mera inobservancia. No puede en este punto abrirse paso a una suerte de responsabilidad objetiva que el Tribunal Constitucional (5TC76/1990) ha considerado inadmisible en nuestro Ordenamiento. Dicho de otro modo: en el presente caso no es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 que no concurran dolo o culpa, es que tampoco puede sostenerse que hubiere simple negligencia empresarial, por cuanto, como de forma reiterada también se ha afirmado y probado, la empresa actuó con la diligencia exigible sin que esta pudiera alcanzar a una conducta deliberadamente clandestina de uno de sus trabajadores. Resulta indiscutible, a nuestro entender, que la labor investigadora desarrollada por la empresa y por la propia instructora han conducido a la individualización del verdadero responsable de los hechos, de ahí que no entendamos cómo determinado éste, y constatada la naturaleza de aquéllos como ajena a AUDENASA, puede concluirse la responsabilidad, si bien que atenuada, de ésta.” Concluyen las alegaciones solicitando que se eleve al órgano competente para la resolución del procedimiento, para que se acuerde la declaración de no existencia de infracción o responsabilidad. HECHOS PROBADOS PRIMERO: Consta acreditado en el presente expediente sancionador que con fecha 5 de junio de 2013, se realiza inspección por esta Agencia Española de Protección de Datos en los locales de la empresa AUTOPISTAS DE NAVARRA, S.A. En el acta de inspección de esa visita consta que las inspectoras actuantes informan al representante de la entidad, de que su visita está motivada por una denuncia presentada ante la Agencia Española de Protección de Datos por un trabajador de la empresa, con relación a la existencia de un fichero Excel en la base de datos informática de la compañía, en el que constan datos de salud de los trabajadores, cuyo origen son, al parecer, los partes de las bajas médicas de todos los trabajadores que se han encontrado en esta situación en los últimos 15 años. (folios 8 a 11) SEGUNDO: En la visita de inspección se accede a los sistemas informáticos de la entidad, y se comprueba que en la carpeta PERSONAL, existe otra carpeta denominada INCAPACIDAD LABORAL PARTES, en la cual existe un fichero Excel denominado Listado Bajas. Xlsx. Se accede al contenido de este fichero verificándose la existencia de datos asociados a 75 personas, donde consta la siguiente información: apellido, o nombre y apellido en algunos casos, año en el que se produce la incidencia por enfermedad, días de ausencia y enfermedad que motiva la ausencia. En el documento 1 del acta de inspección en el que se imprime el contenido del fichero Excel, se aprecia que figuran las cuatro columnas descritas, organizadas por cada uno de los empleados y se registran por años, de más reciente a más antiguo, las sucesivas enfermedades que dan lugar a las ausencias del trabajo, en uno de los casos se relacionan desde el año 1991 hasta el 2011 un total de 24 episodios, y en varios trabajadores se relacionan los sucesivos problemas de salud que dan lugar a ausencias del puesto desde el año 1999 y desde el año 2000. En esta cuarta columna se observan, entre otros muchos, los siguientes diagnósticos médicos: bursitis troncanterea, lesión menisco, gastroenteritis, depresión, síndrome cervicobraquial, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 politraumatismo, trastorno adaptativo, lumbociatica... (folios 8 a 21) TERCERO: A la vista de la información contenida en el citado fichero, el Jefe de Personal manifiesta que, hasta ese momento no tenían constancia de la existencia de dicho fichero. Suponen que fue creado para llevar un control de los días de ausencia por enfermedad de los trabajadores a efectos de gestiones internas de la empresa para sustituciones y permisos. Que no se utiliza en la actualidad, siendo la última fecha que consta en el mismo del año 2011, no obstante, el último acceso que consta fue realizado en febrero de 2012. Que la única persona que ha podido incluir datos en el citado fichero, era el anterior adjunto al Jefe de Personal, que es el denunciante, ya que solo ellos dos, el Jefe de Personal y el Adjunto, tenían permisos para acceder al contenido de la carpeta PERSONAL. El denunciante ocupó el puesto de Adjunto desde el 1 de enero de 2008, hasta el 15 de octubre de 2011, fecha en la que le fueron cancelados todos los permisos al área informática relativa a temas de PERSONAL. (folios 8 a 11) CUARTO: Consta en el acta de inspección que se comprobó, en la copia de seguridad correspondiente al año 2010, que el citado fichero fue creado el 28 de octubre de 2010 por el anterior Adjunto al Jefe de Personal, y se comprueba que el autor del último acceso, de fecha 2 de febrero de 2012, fue el actual Adjunto al Jefe de Personal. Respecto del origen de los datos de salud anteriores al año 2010 registrados en el fichero, el representante de la entidad manifestó desconocerlo. (folios 8 a 39) QUINTO: En la inspección se accedió al fichero en el que se almacena la información de las bajas de los empleados que es el denominado “NÓMINAS” inscrito en el Registro General de Protección de Datos, comprobando que las fechas de ausencia por enfermedad coinciden con la información registrada en el fichero Excel denunciado pero que en este caso no existe información relativa a datos de salud, constando la siguiente información: Tipo (enfermedad o accidente laboral), inicio de la incidencia, final incidencia, recaída, inicio recaída, base cálculo. (folios 8 a 27) SEXTO: Que la entidad Autopistas de Navarra no ha podido acreditar en el expediente que contara con el consentimiento para el tratamiento de los datos personales relativos a la salud de sus empleados. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 II En relación con los hechos que se imputan en el presente procedimiento, se hace necesario en primer lugar transcribir los conceptos de datos de carácter personal, fichero, tratamiento de datos y responsable del fichero o del tratamiento que se acuñan en los apartados a), b), c), d),
5. h)e
6. i)del artículo 3 de la LOPD. De este modo, tenemos que: “
7. a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.
8. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
9. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
10. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento. (…)
11. h)Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.
12. i)Cesión o comunicación de datos: Toda revelación de datos realizada a una persona distinta del interesado”. Por su parte, la Directiva 95/46/CE, del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, se refiere en su artículo 2.
13. b)a la cesión, dentro de la definición del tratamiento de datos, y la define como “comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso de los datos, cotejo o interconexión.” III Se imputa a la entidad Autopistas de Navarra S.A. la infracción de lo establecido en el artículo 7.3 de la LOPD. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia de 30 de noviembre de 2000, “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporciona a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)” (F.J. 7 primer párrafo). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal establece el régimen específicamente protector diseñado por el legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que etiqueta bajo la denominación común de “Datos especialmente protegidos”. Para las diversas categorías de éstos el precepto citado establece específicas medidas para su protección. En el supuesto específico de los datos de salud, el legislador español siguiendo al europeo (artículo 6 del Convenio 108/81 Consejo de Europa, para la protección de las personas con respecto al tratamiento de datos de carácter personal) y al de la Comunidad Europea (artículo 8 Directiva 95/46 CEE de 24 de octubre de 1995) los considera como especialmente protegidos, o sensibles, en la denominación europea o comunitaria y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente (artículo 7.3 LOPD). Ello quiere decir que sólo en estos supuestos específicos dichos datos podrán ser tratados. No obstante lo anterior, el artículo 8 la Ley Orgánica 15/99 establece que las instituciones y centros sanitarios, y los profesionales correspondientes podrán tratar sin consentimiento datos relativos a la salud de las personas que a los mismos acudan o hayan de ser tratados en ellos, de acuerdo con la legislación estatal o autonómica sobre sanidad. El artículo 7.2 de la LOPD exige para el tratamiento de datos especialmente protegidos que revelen la ideología, afiliación sindical, religión y creencias el consentimiento expreso y escrito del afectado. El artículo 7.3 reitera, para el tratamiento de los datos de salud la exigencia de consentimiento expreso del afectado, pero no la relativa a que deba constar por escrito. Cabe, en consecuencia, admitir la posibilidad de que la manifestación del consentimiento expreso no conste por escrito. Sin embargo, esta posibilidad debe ponerse en relación con los elementos que integran la definición de consentimiento recogida en el artículo 3.
14. h)de la LOPD; a saber, que sea una manifestación de voluntad libre, inequívoca, específica e informada. De ellos resulta particularmente relevante este último extremo – que sea informada – pues sin él difícilmente concurrirán otros como que sea inequívoca y específica. En resumen, la posibilidad de admitir un consentimiento expreso que no conste por escrito para el tratamiento de los datos de salud, debe subordinarse a que pueda acreditarse que es una manifestación de voluntad libre, inequívoca y específica que se presta previo el conocimiento de una concreta información entre la que necesariamente ha de constar la finalidad determinada y explícita del tratamiento de que sean objeto los datos personales del afectado. Lógicamente, la concurrencia de los extremos expuestos deberá constatarse en cada caso concreto. La entidad Autopistas de Navarra S.A. ha aportado en las alegaciones al acuerdo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 de inicio “las declaraciones prestadas por cuatro trabajadores de la compañía, en relación con el uso habitual en materia de gestión de los partes de baja, que adveran la finalidad y forma en que los datos se obtuvieron y el acceso a los mismos. Queda así probado que no era la salud el objeto del fichero, sino el recoger la bajas a efectos de nóminas, sustituciones y permisos. Asimismo la obtención del dato la facilita el propio trabajador sin que, como apunta la denuncia, tuviera una intervención ilícita la empresa abriendo sobres cerrados. Queda probado, en fin, que su “creación” es de absoluta responsabilidad del denunciante, sin que quepa sostener participación alguna de la empresa en tal conducta.” Las cuatro declaraciones de empleados aportadas informan de que es práctica habitual de la empresa la entrega de los partes de bajas por enfermedad, tanto la copia para la empresa como la copia que hay que enviar a la Mutua, en abierto, sin cerrar. Según la entidad denunciada este hecho prueba la forma en que se obtuvieron los datos y su finalidad que no era la salud sino recoger las bajas a efectos de nóminas sustituciones y permisos, prueba que no se obtuvieron los datos de forma ilícita y que el único responsable de la creación de dicho fichero es el denunciante. El hecho de que los partes en los que se recoge la causa que motiva la baja se entreguen por los afectados en abierto, no faculta a la entidad empleadora a la recogida, grabación, conservación, elaboración (y demás procesos que conforman la definición de tratamiento de datos personales) de los datos en ellos consignados, es decir a su tratamiento y en particular el tratamiento del dato relativo a la salud que, como ya hemos visto, requiere de un consentimiento cualificado para estos datos personales de los afectados que debe ser expreso. Por otra parte tampoco puede aceptarse que, esta práctica habitual en la empresa, la entrega en abierto de los partes de baja, pruebe que la “creación” del fichero “es de absoluta responsabilidad del denunciante sin que quepa sostener participación alguna de la empresa en tal conducta”. Cabe recordar que corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. La Organización Mundial de la Salud en su Carta Magna