Encargados Del Tratamiento

Centro de Documentación Judicial Id Cendoj: Órgano: Sede: Sección: Nº de Recurso: Nº de Resolución: Procedimiento: Ponente: Tipo de Resolución:

28079130062009100326 Tribunal Supremo. Sala de lo Contencioso Madrid 6 9427/2004 RECURSO CASACIÓN LUIS MARIA DIEZ-PICAZO GIMENEZ Sentencia

Voces: • x AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS x • x PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL x • x DATOS PERSONALES x • x FICHEROS x • x FICHEROS AUTOMATIZADOS x • x DERECHO A CONSENTIR EL TRATAMIENTO DE DATOS PERSONALES x • x CONSENTIMIENTO DEL AFECTADO (DATOS PERSONALES) x • x EXCEPCIONES AL CONSENTIMIENTO DEL AFECTADO (DATOS PERSONALES) x Resumen: Tratamiento de Datos de Carácter Personal. Datos obtenidos de los participantes en un concurso. Movimiento internacional de datos. Sanción

SENTENCIA En la Villa de Madrid, a veintiocho de abril de dos mil nueve Visto por la Sala Tercera, Sección Sexta del Tribunal Supremo constituida por los señores al margen anotados el presente recurso de casación con el número 9427/04 que ante la misma pende de resolución, interpuesto por la representación procesal de EVENTO ORIGINAL DE COMUNICACIÓN, S.L., contra sentencia de fecha 21 de julio de 2004 dictada en el recurso 1894/2001 por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional. Siendo parte recurrida PEUGEOT ESPAÑA S.A., THE SALES MACHINE SPAIN S.A., ASCI DIRECT, S.A.L., y EL ABOGADO DEL ESTADO en la representación que ostenta

ANTECEDENTES DE HECHO PRIMERO.- La sentencia recurrida contiene parte dispositiva del siguiente tenor: "FALLAMOS.- Que estimamos en parte el recurso contencioso administrativo interpuesto por la representación procesal de la entidad PEUGEOT ESPAÑA, S.A., THE SALES MACHINE SPAIN S.A., ASCI DIRECT, S.A y EVENTO ORIGINAL DE COMUNICACIONES, S.L. contra resolución de fecha 26 de septiembre de 2001 dictada por el Director de la Agencia de protección de Datos por la que se desestima el recurso de alzada interpuesto contra la resolución de fecha 12 de julio de 2001, por sanción de la Ley de Protección de Tratamiento de Datos de Carácter Personal, en lo referente a la responsabilidad solidaria de Peugeot España, S.A., en cuyo punto deben ser anuladas ambas resoluciones por disconformes con el ordenamiento jurídico; desestimando el recurso en todo lo demás, así como la pretensión subsidiaria de aplicación del art. 45.5 LOPD , con confirmación de las sanciones impuestas a las entidades recurrentes, y paralelamente de ambas resoluciones; sin costas". SEGUNDO.- Notificada la anterior sentencia, la representación procesal de Evento Original de Comunicación, S.L., presentó escrito ante la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional preparando el recurso de casación contra la misma, así como El Abogado del Estado, en la representación que ostenta. Por Providencia la Sala tuvo por preparados en tiempo y forma los recursos de casación, emplazando a las partes para que comparecieran ante el Tribunal Supremo.

1

Centro de Documentación Judicial TERCERO.- Recibidas las actuaciones ante este Tribunal, la representación procesal de Evento Original de Comunicación, S.L., se personó ante esta Sala e interpuso el anunciado recurso de casación, expresando los motivos en que se funda y suplicando a la Sala: "... acuerde ESTIMAR EL PRESENTE RECURSO DE CASACIÓN, revocando los pronunciamientos de la citada sentencia en el sentido de: (i) DECLARAR LA IMPROCEDENCIA Y ANULAR el acto administrativo sancionador de fecha 12 de julio de 2001 -y el posterior de 12 de septiembre de 2001- en cuanto a la sanción impuesta a EVENTO ORIGINAL DE COMUNICACIÓN por infracción del art. 11 de la LEY 15/1999 ORGÁNICA DE PROTECCIÓN DE DATOS , en relación con los arts. 44.4 b) y 45.3 de dicha Ley , en virtud de las razones expuestas en el cuerpo de este escrito; (ii) a) DECLARAR LA IMPROCEDENCIA Y ANULAR el acto administrativo sancionador de fecha 12 de julio de 2001 -y el posterior de 12 de septiembre de 2001- en cuanto a la sanción impuesta a EVENTO ORIGINAL DE COMUNICACIÓN por infracción del art. 33 de la LEY 15/1999 ORGÁNICA DE PROTECCIÓN DE DATOS , en relación con los arts. 44.4 e) y art. 45.3 de dicha Ley en virtud de las razones expuestas en el cuerpo de este escrito; b) SUBSIDIARIAMENTE a lo anterior, y sólo para el caso de que no se anule la citada sanción por infracción del art. 33 LOPD, ACORDAR haber lugar a la práctica del dictamen pericial propuesto por mi mandante, en relación con la supuesta infracción del art. 33 LEY 15/1999 ORGÁNICA DE PROTECCIÓN DE DATOS , en relación con los arts. 44.4 e) y art. 45.3 de dicha Ley , retrotrayendo las actuaciones al momento procesal en el que se acordó la indebida inadmisión de la prueba; (iii) o, SUBSIDIARIAMENTE A TODO LO ANTERIOR, estimar de aplicación de la facultad de moderación prevista en el art. 45.5 de la LEY 15/1999 ORGÁNICA DE PROTECCIÓN DE DATOS y resolver en consecuencia". CUARTO.- Con fecha 30 de noviembre de 2004, el Abogado del Estado presentó escrito en el que manifiesta que de conformidad con lo previsto en el art. 92.3 de la Ley Jurisdiccional , no sostiene el recurso de casación. QUINTO.- En fecha 19 de enero de 2005, la Sección Primera de la Sala de lo Contencioso-Administrativo del Tribunal Supremo dictó Auto en el que acuerda: "Declarar desierto el recurso de casación preparado por el Abogado del Estado, contra la sentencia de 21 de julio de 2004 dictada por la AUDIENCIA NACIONAL SALA C/A. SECCION 1, en los autos núm. 0001894/2001 ; sin hacer expresa imposición de costas. Asimismo, se tiene por interpuesto recurso de casación por la Procuradora Sra. Sánchez Quero, en nombre y representación de Evento Original de Comunicación, S.L., contra la citada sentencia. Se tiene por personados y parte al Abogado del Estado, en el nombre y representación que le es propia, y al Procurador Sr. Villasante García, en nombre y representación de PEUGEOT ESPAÑA, S.A., ambos en concepto de recurridos, debiéndose entender con los mismos ésta y las sucesivas diligencias". SEXTO.- Con fecha 18 de mayo de 2006 la Sección Primera de la Sala de lo Contencioso-Administrativo del Tribunal Supremo dictó providencia por la que se pone de manifiesto a las partes, para alegaciones por el plazo de diez días, la posible causa de inadmisión en relación con el recurso de casación interpuesto por la representación procesal de Evento Original de Comunicación, S.L. Evacuado dicho trámite la Sala dictó Auto de fecha 17 de mayo de 2007 , en el que se acuerda: "declarar la admisión del recurso de casación interpuesto por la representación de la mercantil Evento Original de Comunicación, SL, contra la Sentencia de 11 de febrero de 2004, (sic) dictada por la Sala de lo Contencioso-Administrativo de la Audiencia Nacional , (Sección Primera), en el recurso nº 1894/01, en cuanto a las infracciones tipificadas como muy graves por infracción de los artículos 11 y 33 de la LO 15/99 , y sancionadas ambas con multas de 50 millones de pesetas". SEPTIMO.- La representación procesal de Evento Original de Comunicación, S.L., presentó con fecha 29 de junio de 2007 escrito en que suplica a la Sala: "... ACLARACIÓN y RECTIFICACIÓN del Fundamento Jurídico cuarto del auto de 17 de mayo de 2007 de esa Excma. Sala , en el sentido no interponer las costas procesales a esta parte". OCTAVO.- Con fecha 5 de mayo de 2008, la Sección Primera de la Sala de lo Contencioso-Administrativo del Tribunal Supremo, dictó Auto en el que se Acuerda: "rectificar el Razonamiento Jurídico cuarto del Auto dictado por esta Sala el 17 de mayo de 2007 en el recurso de casación número 9427/04, y donde dice «De conformidad con lo previsto en el artículo 93.5 de la misma Ley

2

Centro de Documentación Judicial las costas procesales deben ser impuestas a la parte recurrente» deberá decir «sin hacer expresa imposición de las costas procesales causadas en este incidente». Sin costas". NOVENO.- Teniendo por interpuesto y admitido el recurso de casación por esta Sala, se emplazó a las partes recurridas para que en el plazo de treinta días, formalizaran escrito de oposición, lo que realizó, El Abogado del Estado oponiéndose al recurso de casación y suplicando a la Sala: "... lo resuelva por sentencia que lo DESESTIME, CONFIRMANDO LA SENTENCIA RECURRIDA, con imposición de costas causadas". SEXTO.- Evacuado dicho trámite, se dieron por conclusas las actuaciones, señalándose para votación y fallo la audiencia el día 21 de abril de 2009 , en cuyo acto tuvo lugar, habiéndose observado las formalidades legales referentes al procedimiento. Siendo Ponente el Excmo. Sr. D. LUIS MARÍA DÍEZ-PICAZO GIMÉNEZ , .

FUNDAMENTOS DE DERECHO PRIMERO.- El presente recurso de casación es interpuesto por la representación procesal de la entidad mercantil Evento Original de Comunicación S.L. contra la sentencia de la Sala de lo Contencioso-Administrativo (Sección 1ª) de la Audiencia Nacional de 21 de julio de 2004 . SEGUNDO.- La sentencia ahora recurrida recoge la siguiente relación de hechos probados: 1º. Peugeot España, S.A. y The Sales Machine Spain, S.A. firman el 12/01/00 un convenio de confidencialidad y custodia de documentos y ficheros en el que las partes exponen que la empresa Peugeot España, S.A. ha encargado a la empresa The Sales Machine Spain, S.A. la realización de una campaña o servicio de marketing directo que tiene previsto su desarrollo a partir del mes de noviembre de 1999, estando regulado este servicio por el art. 27 de la Ley Orgánica 5/1992, de 29 de octubre. También consta que para esta última empresa pueda prestar el servicio encargado precisa de la utilización del fichero "Base de Datos de Conquista" propiedad de Peugeot España, S.A. y responsable de dicho fichero. En el Pacto Segundo del citado documento se establece que los datos de carácter personal contenidos en los ficheros son de exclusiva propiedad de Peugeot España, S.A. y que The Sales Machine Spain, S.A. no podrá transferir, duplicar o reproducir todo o parte de la información propiedad de la empresa Peugeot España, S.A., añadiéndose en el Pacto Tercero que The Sales Machine Spain, S.A. se compromete a adoptar las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos de carácter personal y evitar así su alteración, pérdida, tratamiento y acceso no autorizado, teniendo en cuenta el estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan éstos de la acción humana o del medio físico o natural. (folios 178 a 181). 2º. Igualmente, el 12/01/00, The Sales Machine Spain, S.A y Asci Direct, S.A.L. firman un convenio de confidencialidad y custodia de documentos y ficheros en el que las partes exponen que la empresa Peugeot España, S.A. ha encargado de The Sales Machine Spain, S.A. la realización de una campaña o servicio de marketing directo iniciada en el mes de noviembre de 1999, estando regulado este servicio por el art. 27 de la Ley Orgánica 5/1992 , y The Sales Machine Spain, S.A. subcontrata a Asci Direct, S.A.L la gestión de la base de datos de su cliente. Para que Asci Direct, S.A.L. pueda prestar el servicio encargado por The Sales Machine Spain, S.A. precisa de la utilización del fichero propiedad de Peugeot España, S.A. Consta en el pacto primero del aludido convenio que The Sales Machine Spain, S.A. entregará a Asci Direct, S.A.L. el material e información necesario para que ésta pueda realizar los trabajos que se soliciten (folios 204 a 207). Y de acuerdo con el certificado aportado por Asci Direct, S.A.L., esta entidad ha realizado las tareas que The Sales Machina Spain, S.A. le ha encargado conforme a los términos del convenio de 12/01/00 (folio 593). 3º. The Sales Machine Spain, S.A. subcontrata con la empresa Evento Original de Comunicación. S.L., según se desprende de la facturación que ésta última emite (folios 218 a 220), los servicios de comunicación on-line y la gestión y mantenimiento de la página Web http//www.ret0206.net para la recogida de datos de los concursantes. Evento Original de Comunicación, S.L. recaba a través del formulario accesible desde la citada página web los datos personales de los participantes en el concurso relativos a nombre, apellidos, dirección, fecha de nacimiento, DNI, teléfono, Universidad, Facultad y curso (folios 158 a 162). En total se recaban los datos de los integrantes de unos 1.444 equipos, formados por cuatro personas (folios 107 a 111).

3

Centro de Documentación Judicial Los participantes que facilitan sus datos personales a través de Internet, deben rellenar para ello un formulario accesible desde la citada web en la que se incluye el siguiente texto: "los datos que aquí se reflejan podrán se utilizados en ficheros informatizados por el GRUPO PEUGEOT, sus filiales y su red comercial en aquellos asuntos que guarden relación con el presente documento y con la finalidad estrictamente comercial" (folios 158 a 162). Evento Original de Comunicación, S.L. elabora con dichos datos un fichero que contiene además datos referentes al concurso: clasificación de los equipos, respuestas de los equipos, preguntas. En una de las tablas del mencionado fichero, la denominada "Equipos", se almacenan los datos facilitados por los participantes (folios 690 a 693). Todo ello sin haber obtenido previamente el consentimiento de los afectados para tratar sus datos personales (folio 158). No existe contrato entre The Sales Machine Spain, S.A y Evento Original de Comunicación, S.L., aunque sí hay facturas de esta última entidad a la primera por los servicios prestados (folios 218 a 220). 4º. Por encargo de The Sales Machine Spain, S.A, y a fin de que Asci Direct, S.A.L. pueda gestionar la base de datos obtenida por Evento Original de Comunicación, S.L. a través de la web, Evento Original de Comunicación, S.L. remite semanalmente a Asci Direct, S.A.L. los datos obtenidos de los participantes en el concurso (folios 107 a 111 y 686 a 688), sin que Evento Original de Comunicación, S.L. haya obtenido el consentimiento de los afectados para la cesión a Asci Direct, S.A.L. de sus datos personales (folio 158). 5º. Asci Direct, S.A.L. incorpora a la base de datos "Peugeot Reto 206" los datos personales que Evento Original de Comunicaciones, S.L. le remite, registrando en dicha base de datos los datos personales obtenidos de cuestionarios en papel, de marketing telefónico y cupones de inscripción (folios 637 a 643 y 678), sin que conste que Asci Direct, S.A.L. cuente con el consentimiento de los afectados para el tratamiento de sus datos personales (folio 158). La base de datos "Peugeot Reto 206" se encuentra ubicada en los locales de Asci Direct, S.A y consta de un conjunto de ficheros encuadrados en el fichero "Bases de Datos de Conquista" propiedad de Peugeot España, S.A (folio 636). Tal y como se deduce de las facturas que constan en el procedimiento Asci Direct, S.A.L. realiza por encargo de The Sales Machine Spain, S.A las tareas de custodia, mantenimiento y gestión de la base de datos "Peugeot Reto 206", así como el análisis y la programación para la generación de informes sobre intención de compra del Peugeot 206 (folios 208 a 214) sin que exista ninguna relación contractual ente Asci Direct S.A.L y Peugeot España, S.A acerca de la realización de las aludidas tareas. 6º. Para transmitir los datos del servidor a Asci Direct, S.A.L., con carácter semanal, Evento Original de Comunicación, S.L. crea a partir de la tabla "Equipos" del fichero (donde se almacenan los datos de los participantes), un fichero de texto: fichero de intercambio que contiene en gran medida los datos registrados en la precitada tabla. Evento Original de Comunicación, S.L. remite tal fichero de intercambio, sin encriptar, a una dirección de correo electrónico de Asci Direct, S.A.L. (folios 686 a 689, 693 y 694). En febrero de 2000, debido a problemas técnicos surgidos en el servidor de correo, Evento Original de Comunicación, S.L. no puede remitir los envíos semanales a Asci Direct, S.A.L. y utiliza otra vía distinta para remitir los datos de los concursantes a dicha empresa. En esta ocasión Evento Original de Comunicación, S.L. ubica el fichero con los datos de los participantes en un directorio público FTP (de acceso no restringido) para que Asci Direct, S.A.L tenga acceso directo a él, pero sin adoptar las medidas técnicas precisas para evitar que tales datos puedan ser recogidos también por otras personas conectadas a internet (folios 107 a 111, 688 y 689), lo que permite que el denunciante tenga acceso a la totalidad de dichos datos. El fichero aportado por el denunciante contiene 4.811 registros que incluyen datos de nombre, apellidos, domicilio completo, dos números de teléfono, fecha de nacimiento, centro y curso académico (folios 44 a 90). 7º. Evento Original de Comunicación, S.L. a fin de realizar la gestión y mantenimiento de la página web utilizada para la recogida de los datos de los concursantes, transfiere los datos a un servidor ubicado en EE.UU., propiedad de la compañía Digital Daza (folios 107 a 111 y 473 a 492), sin que se informe a los afectados de ello, ni se obtenga su consentimiento (folio158) ni la preceptiva autorización del Director de la Agencia de Protección de Datos para transferir datos a un país que no dispone de un nivel adecuado de protección de datos personales. 8º. Peugeot España, S.A es conocedora de los tratamientos que Asci Direct, S.A.L. y Evento Original de Comunicación, S.L. están realizando por encargo de The Sales Machine Spain, S.A con motivo de la

4

Centro de Documentación Judicial ejecución del Proyecto "Peugeot 206 Coche Universitario del Año", proyecto de marketing elaborado por The Sales Machine Spain, S.A para Peugeot España, S.A, encargándose también la primera de su ejecución según las facturas de ésta a Peugeot España, S.A (folios 182 a 203). En el proyecto sólo detalla la forma de captar los datos. No contiene ninguna indicación acerca de las medidas de seguridad que deben adoptarse en la configuración del fichero automatizado creado a tal efecto y tampoco hace ninguna referencia a la entidad que va a realizar la captación de datos (folios 113 a 130). TERCERO.- En relación con estos hechos, la Agencia Española de Protección de Datos incoó un expediente sancionador, que concluyó por resolución de su Director de 26 de septiembre de 2001 imponiendo multas a The Sales Machine Spain S.A., Asci Direct S.A.L. y Evento Original de Comunicación S.L. Por lo que ahora específicamente interesa, esta ultima entidad mercantil fue sancionada con cuatro multas: dos por importe de 10.000.000 pesetas cada una por vulneración de los arts. 6 y 9 de la Ley Orgánica de Protección de Datos de Carácter Personal de 13 de diciembre de 1999 (en adelante, LOPD), y otras dos de 50.000.000 pesetas cada una por vulneración de los arts. 11 y 33 LOPD . Del pago de las multas impuestas por vulneración de los arts. 9, 11 y 33 LOPD fue declarada solidariamente responsable Peugeot España S.A. Las cuatro empresas referidas presentaron recurso contencioso-administrativo, bajo una única representación procesal y dirección letrada, que fue desestimado por la sentencia ahora recurrida excepto en lo relativo a la responsabilidad solidaria de Peugeot España S.A. Contra esta sentencia se dirige el presente recurso de casación, interpuesto por Evento Original de Comunicación S.L. CUARTO.- El recurso de casación de Evento Original de Comunicación S.L. se basa en cuatro motivos. En el primer motivo, formulado al amparo del art. 88.1.d) LJCA , se alega infracción del art. 11 LOPD , por entender que la recurrente no hizo una comunicación de datos sin consentimiento de los interesados a Asci Direct S.A.L. En el segundo motivo, formulado al amparo del art. 88.1.d) LJCA , se alega infracción del art. 33 LOPD , por entender que la recurrente no llevó a cabo un movimiento internacional de datos o que, si lo hizo, estaba cubierto por la excepción del art. 34.k) LOPD . En el tercer motivo, formulado al amparo del art. 88.1.c) LJCA , se alega denegación indebida de prueba relativa a la idoneidad del servidor estadounidense utilizado por la recurrente. En el cuarto motivo, formulado al amparo del art. 88.1.d) LJCA , se alega infracción del art. 45.5 LOPD , por no haberse utilizado la facultad de atemperar la sanción a la vista de la culpabilidad del imputado y la antijuridicidad del hecho. QUINTO.- En el primer motivo, como se ha dejado indicado, la recurrente niega que el envío periódico a Asci Direct S.A.L. de los datos de concursantes recogidos en su página web constituyese una comunicación de datos sin consentimiento de los interesados en el sentido del art. 11 LOPD. A este respecto, es importante comenzar subrayando que el mero hecho de que varias empresas colaboren en un proyecto común no es, por sí solo, suficiente para quedar dispensadas del requisito del consentimiento de los interesados en la cesión de datos; es decir, no pueden cederse libremente cuantos datos estimen convenientes para la realización del proyecto común. En la medida en que se trata de personas distintas, cada una de las empresas implicadas mantendrá su propia posición a efectos de la legislación de protección de datos. Ello quiere decir que responsable del fichero seguirá siendo únicamente la empresa que decida sobre su finalidad, contenido y uso, mientras que las demás tendrán la consideración de terceros y, por consiguiente, sólo podrán ser cesionarias de los datos del fichero si cumplen los requisitos generalmente exigidos para la comunicación de datos. En pocas palabras, la recurrente no puede defenderse diciendo que el art. 11 LOPD no era aplicable porque todas las empresas implicadas llevaban a cabo, a fin de cuentas, una misma campaña publicitaria. Una vez establecido este punto crucial, la argumentación de la recurrente resulta endeble. La advertencia que se hacía a quienes depositaban sus datos en la página web de la recurrente decía sólo que dichos datos "podrán ser utilizados en ficheros informatizados por el Grupo Peugeot, sus filiales y su red comercial en aquellos asuntos que guarden relación con el presente documento y con la finalidad estrictamente comercial". Esto, aparte de ser excesivamente genérico, no da cobertura a la comunicación de datos a empresas como Asci Direct S.A.L., de las que no consta que pertenezcan a lo que vagamente se denomina "Grupo Peugeot". Esta advertencia no satisface, así, las exigencias de especificidad e información que el art. 3.h) LOPD impone para que pueda haber consentimiento válido. Ello implica que la comunicación de datos efectuada periódicamente por la recurrente no se hacía con consentimiento de los interesados, tal como ordena el art. 11 LOPD . Frente a ello no vale argüir, como hace la recurrente, que estaba amparada por la excepción del art. 12 LOPD. El apartado primero de este precepto dispone: "No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al

5

Centro de Documentación Judicial responsable del tratamiento." Esta excepción no es aplicable al presente caso, porque no consta la existencia de una relación contractual entre la recurrente y Peugeot España S.A., que sería la responsable del tratamiento; e incluso si esa relación contractual hubiese existido, habría sido necesario, como dispone al apartado segundo de ese mismo precepto legal, hacerla "constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación a otras personas". Dado que estas condiciones legales no fueron observadas, la recurrente no puede considerarse prestadora de un servicio por cuenta de Peugeot España S.A. a efectos del art. 12 LOPD . Tampoco puede la recurrente arrogarse tal consideración con respecto a The Sales Machine S.A. -quien, según la sentencia recurrida, había subcontratado con ella parte del servicio que debía prestar a Peugeot España S.A.- ni con respecto a Asci Direct S.A.L. En cuanto a The Sales Machine S.A., su relación con la recurrente no quedó documentada por escrito, por lo que no podía cumplir lo exigido por el apartado segundo del art. 12 LOPD. Y no es aquí pertinente la invocación por la recurrente de la libertad de formas contractuales proclamada por el art. 1278 CC , ya que en todo caso habría debido dejar constancia de los extremos exigidos por el art. 12 LOPD. A ello hay que añadir, como bien observa el Abogado del Estado en su escrito de oposición al recurso de casación, que siendo The Sales Machine S.A. contratista de Peugeot España S.A. habría debido obtener la autorización de ésta para que la subcontratación de parte de la prestación hubiera podido quedar cubierta por la excepción del art. 12 LOPD . Por lo que se refiere, en fin, a Asci Direct S.A.L., no tenía ninguna relación contractual con la recurrente y, desde luego, los contactos entre ellas no podían ser subsumidos en el supuesto de hecho del art. 12 LOPD . Por todo lo expuesto, el primer motivo de este recurso de casación debe ser desestimado. SEXTO.- El segundo motivo gira en torno al movimiento internacional de datos, en relación con el hecho de que la recurrente utilizó un servidor situado en los Estados Unidos para la gestión de la página web. Sostiene la recurrente que no hubo movimiento internacional datos a efectos del art. 33 LOPD , porque quienes depositaban su datos lo hacían directamente en la citada página web, dependiente de un servidor estadounidense. Ello significaría, siempre según la recurrente, que, más que transferencia de datos de España a Estados Unidos, habría habido transferencia de datos de Estados Unidos a España cuando periódicamente enviaba los datos recogidos en la página web a Asci Direct S.A.L.; lo que quedaría fuera del ámbito de aplicación del art. 33 LOPD , que se refiere sólo a la salida de datos de España, no a su entrada. Pues bien, este argumento es especioso: como señala el Abogado del Estado, aparte de que los particulares no podían saber dónde se hallaba el servidor, el hecho de valerse de un servidor situado en Estados Unidos para recoger datos solicitados en España y para una campaña publicitaria a desarrollar en España mal puede calificarse como mera transferencia de Estados Unidos a España. Esto es puro formalismo. La verdad es que los datos -recabados por la recurrente al posible público español interesadoviajaban primero a los Estados Unidos, donde quedaban depositados en la página web, y regresaban luego a España mediante los envíos periódicos a Asci Direct S.A.L. Dicho de otra manera, incluso si se acepta el dato formal de que eran los propios interesados quienes transferían sus datos a los Estados Unidos al depositarlos en la página web, no cabe pasar por alto que no sabían dónde se hallaba el servidor de ésta y, sobre todo, que lo hacían en España, inducidos por una empresa española y para una campaña publicitaria a desarrollar en España; cúmulo de circunstancias que impide considerar a los interesados como los verdaderos responsables de que sus datos viajaran a los Estados Unidos. La responsabilidad de ello era, sin duda alguna, de la recurrente, que no puede así decirse fuera del ámbito de aplicación del art. 33 LOPD . La recurrente no puede excusarse de ello diciendo que, en todo caso, los datos estuvieron siempre bajo su control, sin ser cedidos a terceros. Incluso si esto fuera cierto, sería irrelevante, pues el art. 33 LOPD regula el movimiento internacional de datos con independencia de que éstos sean o no objeto de comunicación. Tampoco puede la recurrente, por lo demás, sostener que, aun cuando hubiese habido movimiento internacional de datos, éste habría quedado amparado por la excepción del art. 34.k) LOPD . Esta norma permite la libre transferencia de datos que "tenga como destino un Estado miembro de la Unión Europea, o un Estado respecto del cual la Comisión de las Comunidades Europeas, en el ejercicio de sus , haya declarado que garantiza un nivel de protección adecuado". Pues bien, la propia recurrente reconoce, en su escrito de interposición del recurso de casación, que su servidor estadounidense no estaba formalmente acogido a los llamados "principios de puerto seguro", en los que la Comisión Europea cifra el "nivel de

6

Centro de Documentación Judicial protección adecuado" para los Estados Unidos. Así, el segundo motivo de este recurso de casación ha de ser también desestimado. SÉPTIMO.- Tampoco pueden prosperar los motivos tercero y cuarto, por razones que no necesitan una prolija explicación. La prueba pericial propuesta por la recurrente, que tenía por objeto demostrar que el servidor estadounidense era adecuado al objetivo perseguido y que era práctica habitual la contratación de servidores como ése, era irrelevante para determinar si había habido o no una violación del art. 33 LOPD . El movimiento internacional de datos sólo es lícito cuando respeta las condiciones establecidas por dicho precepto legal, con independencia de que sea técnicamente necesario para el objetivo que se proponga quien lo realiza o que haya muchas otras personas que hagan lo mismo. Dado que la prueba cuya práctica fue denegada era irrelevante, no ha habido quebrantamiento alguno de formas esenciales del juicio. En cuanto a la pretendida infracción del art. 45.5 LOPD , hay que dar la razón una vez más al Abogado del Estado: la apreciación de circunstancias que puedan conducir a una reducción de la cuantía de la sanción, contemplada por dicha norma, implica una valoración de hechos; y, por consiguiente, corresponde exclusivamente al órgano judicial de instancia, cuyo criterio en esa materia no puede ser controlado en sede de casación. OCTAVO.- Con arreglo al art. 139 LJCA , la desestimación de todos los motivos del recurso de casación conlleva la imposición de las costas a la recurrente, quedando en el presente caso fijadas en un máximo de tres mil euros en cuanto a honorarios de abogado.

FALLAMOS No haber lugar al recurso de casación interpuesto por la representación procesal de la entidad mercantil Evento Original de Comunicación S.L. contra la sentencia de la Sala de lo Contencioso-Administrativo (Sección 1ª) de la Audiencia Nacional de 21 de julio de 2004 , con imposición de las costas a la recurrente hasta un máximo de tres mil euros en cuanto a honorarios de abogado. Así por esta nuestra sentencia, lo pronunciamos, mandamos y firmamos

7