Resumen: Para abordar el concepto de “tratamiento de datos personales” y el de “fichero” desde la perspectiva legal, señala la Audiencia Nacional que hemos de partir de la Directiva 95/46, del Parlamento Europeo y del Consejo, de 24 de octubre de 1995 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Que establece que el concepto de “tratamiento” no puede depender de la técnica utilizada para el manejo de los datos, de ahí que incluya tanto el tratamiento automatizado como el manual. Así, lo relevante para que estemos ante un "tratamiento de datos personales" es la realización de determinadas acuaciones en relación con los mismos, actuaciones que en su descripción son muy amplias y variadas.
Las actuaciones que aplicadas a los datos de personales constituyen “tratamiento” son: “cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción”. Y nuestra Ley Orgánica 15/1999, dice que el tratamiento de datos son “ operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas interconexiones y transferencias”. No basta, sin embargo, la realización de una de estas actuaciones en relación con datos personales para que la ley despliegue sus efectos protectores y sus garantías y derechos de afectado. Es preciso algo más: que las actuaciones de recogida, grabación, conservación etc., se realicen de forma automatizada o bien, si se realizan de forma manual, que los datos personales estén contenidos o destinados a un fichero.
Para que una actuación manual sobre datos personales (recogida, grabación, conservación, elaboración, modificación, bloqueo...) tenga la consideración de “tratamiento de datos personales” sujeto al sistema de protección de la Ley en un conjunto estructurado u organizado de datos con arreglo a criterios determinados. Si no es así, el tratamiento manual de datos personales quedará fuera del ámbito de aplicación de la ley, no será un “tratamiento de datos personales” según el concepto normativo que la ley proporciona.