Centro de Documentación Judicial

Id Cendoj: 28079130062009100326
Órgano: Tribunal Supremo. Sala de lo Contencioso
Sede: Madrid
Sección: 6
Nº de Recurso: 9427/2004
Nº de Resolución:
Procedimiento: RECURSO CASACIÓN
Ponente: LUIS MARIA DIEZ-PICAZO GIMENEZ
Tipo de Resolución: Sentencia

Voces:
• x AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS x
• x PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL x
• x DATOS PERSONALES x
• x FICHEROS x
• x FICHEROS AUTOMATIZADOS x
• x DERECHO A CONSENTIR EL TRATAMIENTO DE DATOS PERSONALES x
• x CONSENTIMIENTO DEL AFECTADO (DATOS PERSONALES) x
• x EXCEPCIONES AL CONSENTIMIENTO DEL AFECTADO (DATOS PERSONALES) x
Resumen:
Tratamiento de Datos de Carácter Personal. Datos obtenidos de los participantes en un
concurso. Movimiento internacional de datos. Sanción

SENTENCIA

En la Villa de Madrid, a veintiocho de abril de dos mil nueve

Visto por la Sala Tercera, Sección Sexta del Tribunal Supremo constituida por los señores al margen
anotados el presente recurso de casación con el número 9427/04 que ante la misma pende de resolución,
interpuesto por la representación procesal de EVENTO ORIGINAL DE COMUNICACIÓN, S.L., contra
sentencia de fecha 21 de julio de 2004 dictada en el recurso 1894/2001 por la Sección Primera de la Sala
de lo Contencioso-Administrativo de la Audiencia Nacional. Siendo parte recurrida PEUGEOT ESPAÑA
S.A., THE SALES MACHINE SPAIN S.A., ASCI DIRECT, S.A.L., y EL ABOGADO DEL ESTADO en la
representación que ostenta

ANTECEDENTES DE HECHO

PRIMERO.- La sentencia recurrida contiene parte dispositiva del siguiente tenor: "FALLAMOS.- Que
estimamos en parte el recurso contencioso administrativo interpuesto por la representación procesal de la
entidad PEUGEOT ESPAÑA, S.A., THE SALES MACHINE SPAIN S.A., ASCI DIRECT, S.A y EVENTO
ORIGINAL DE COMUNICACIONES, S.L. contra resolución de fecha 26 de septiembre de 2001 dictada por
el Director de la Agencia de protección de Datos por la que se desestima el recurso de alzada interpuesto
contra la resolución de fecha 12 de julio de 2001, por sanción de la Ley de Protección de Tratamiento de
Datos de Carácter Personal, en lo referente a la responsabilidad solidaria de Peugeot España, S.A., en cuyo
punto deben ser anuladas ambas resoluciones por disconformes con el ordenamiento jurídico;
desestimando el recurso en todo lo demás, así como la pretensión subsidiaria de aplicación del art. 45.5
LOPD , con confirmación de las sanciones impuestas a las entidades recurrentes, y paralelamente de
ambas resoluciones; sin costas".

SEGUNDO.- Notificada la anterior sentencia, la representación procesal de Evento Original de

Comunicación, S.L., presentó escrito ante la Sección Primera de la Sala de lo Contencioso-Administrativo
de la Audiencia Nacional preparando el recurso de casación contra la misma, así como El Abogado del
Estado, en la representación que ostenta. Por Providencia la Sala tuvo por preparados en tiempo y forma
los recursos de casación, emplazando a las partes para que comparecieran ante el Tribunal Supremo.

1
 Centro de Documentación Judicial

TERCERO.- Recibidas las actuaciones ante este Tribunal, la representación procesal de Evento
Original de Comunicación, S.L., se personó ante esta Sala e interpuso el anunciado recurso de casación,
expresando los motivos en que se funda y suplicando a la Sala: "... acuerde ESTIMAR EL PRESENTE
RECURSO DE CASACIÓN, revocando los pronunciamientos de la citada sentencia en el sentido de: (i)
DECLARAR LA IMPROCEDENCIA Y ANULAR el acto administrativo sancionador de fecha 12 de julio de
2001 -y el posterior de 12 de septiembre de 2001- en cuanto a la sanción impuesta a EVENTO ORIGINAL
DE COMUNICACIÓN por infracción del art. 11 de la LEY 15/1999 ORGÁNICA DE PROTECCIÓN DE
DATOS , en relación con los arts. 44.4 b) y 45.3 de dicha Ley , en virtud de las razones expuestas en el
cuerpo de este escrito;

(ii) a) DECLARAR LA IMPROCEDENCIA Y ANULAR el acto administrativo sancionador de fecha 12

de julio de 2001 -y el posterior de 12 de septiembre de 2001- en cuanto a la sanción impuesta a EVENTO
ORIGINAL DE COMUNICACIÓN por infracción del art. 33 de la LEY 15/1999 ORGÁNICA DE
PROTECCIÓN DE DATOS , en relación con los arts. 44.4 e) y art. 45.3 de dicha Ley en virtud de las
razones expuestas en el cuerpo de este escrito;

b) SUBSIDIARIAMENTE a lo anterior, y sólo para el caso de que no se anule la citada sanción por
infracción del art. 33 LOPD, ACORDAR haber lugar a la práctica del dictamen pericial propuesto por mi
mandante, en relación con la supuesta infracción del art. 33 LEY 15/1999 ORGÁNICA DE PROTECCIÓN
DE DATOS , en relación con los arts. 44.4 e) y art. 45.3 de dicha Ley , retrotrayendo las actuaciones al
momento procesal en el que se acordó la indebida inadmisión de la prueba;

(iii) o, SUBSIDIARIAMENTE A TODO LO ANTERIOR, estimar de aplicación de la facultad de

moderación prevista en el art. 45.5 de la LEY 15/1999 ORGÁNICA DE PROTECCIÓN DE DATOS y resolver
en consecuencia".

CUARTO.- Con fecha 30 de noviembre de 2004, el Abogado del Estado presentó escrito en el que
manifiesta que de conformidad con lo previsto en el art. 92.3 de la Ley Jurisdiccional , no sostiene el recurso
de casación.

QUINTO.- En fecha 19 de enero de 2005, la Sección Primera de la Sala de lo

Contencioso-Administrativo del Tribunal Supremo dictó Auto en el que acuerda: "Declarar desierto el
recurso de casación preparado por el Abogado del Estado, contra la sentencia de 21 de julio de 2004
dictada por la AUDIENCIA NACIONAL SALA C/A. SECCION 1, en los autos núm. 0001894/2001 ; sin hacer
expresa imposición de costas. Asimismo, se tiene por interpuesto recurso de casación por la Procuradora
Sra. Sánchez Quero, en nombre y representación de Evento Original de Comunicación, S.L., contra la
citada sentencia. Se tiene por personados y parte al Abogado del Estado, en el nombre y representación
que le es propia, y al Procurador Sr. Villasante García, en nombre y representación de PEUGEOT ESPAÑA,
S.A., ambos en concepto de recurridos, debiéndose entender con los mismos ésta y las sucesivas
diligencias".

SEXTO.- Con fecha 18 de mayo de 2006 la Sección Primera de la Sala de lo

Contencioso-Administrativo del Tribunal Supremo dictó providencia por la que se pone de manifiesto a las
partes, para alegaciones por el plazo de diez días, la posible causa de inadmisión en relación con el recurso
de casación interpuesto por la representación procesal de Evento Original de Comunicación, S.L.

Evacuado dicho trámite la Sala dictó Auto de fecha 17 de mayo de 2007 , en el que se acuerda:
"declarar la admisión del recurso de casación interpuesto por la representación de la mercantil Evento
Original de Comunicación, SL, contra la Sentencia de 11 de febrero de 2004, (sic) dictada por la Sala de lo
Contencioso-Administrativo de la Audiencia Nacional , (Sección Primera), en el recurso nº 1894/01, en
cuanto a las infracciones tipificadas como muy graves por infracción de los artículos 11 y 33 de la LO 15/99 ,
y sancionadas ambas con multas de 50 millones de pesetas".

SEPTIMO.- La representación procesal de Evento Original de Comunicación, S.L., presentó con fecha
29 de junio de 2007 escrito en que suplica a la Sala: "... ACLARACIÓN y RECTIFICACIÓN del Fundamento
Jurídico cuarto del auto de 17 de mayo de 2007 de esa Excma. Sala , en el sentido no interponer las costas
procesales a esta parte".

OCTAVO.- Con fecha 5 de mayo de 2008, la Sección Primera de la Sala de lo

Contencioso-Administrativo del Tribunal Supremo, dictó Auto en el que se Acuerda: "rectificar el
Razonamiento Jurídico cuarto del Auto dictado por esta Sala el 17 de mayo de 2007 en el recurso de
casación número 9427/04, y donde dice «De conformidad con lo previsto en el artículo 93.5 de la misma Ley

2
 Centro de Documentación Judicial

las costas procesales deben ser impuestas a la parte recurrente» deberá decir «sin hacer expresa
imposición de las costas procesales causadas en este incidente». Sin costas".

NOVENO.- Teniendo por interpuesto y admitido el recurso de casación por esta Sala, se emplazó a
las partes recurridas para que en el plazo de treinta días, formalizaran escrito de oposición, lo que realizó, El
Abogado del Estado oponiéndose al recurso de casación y suplicando a la Sala: "... lo resuelva por
sentencia que lo DESESTIME, CONFIRMANDO LA SENTENCIA RECURRIDA, con imposición de costas
causadas".

SEXTO.- Evacuado dicho trámite, se dieron por conclusas las actuaciones, señalándose para
votación y fallo la audiencia el día 21 de abril de 2009 , en cuyo acto tuvo lugar, habiéndose observado las
formalidades legales referentes al procedimiento.

Siendo Ponente el Excmo. Sr. D. LUIS MARÍA DÍEZ-PICAZO GIMÉNEZ , .

FUNDAMENTOS DE DERECHO

PRIMERO.- El presente recurso de casación es interpuesto por la representación procesal de la

entidad mercantil Evento Original de Comunicación S.L. contra la sentencia de la Sala de lo
Contencioso-Administrativo (Sección 1ª) de la Audiencia Nacional de 21 de julio de 2004 .

SEGUNDO.- La sentencia ahora recurrida recoge la siguiente relación de hechos probados:

1º. Peugeot España, S.A. y The Sales Machine Spain, S.A. firman el 12/01/00 un convenio de
confidencialidad y custodia de documentos y ficheros en el que las partes exponen que la empresa Peugeot
España, S.A. ha encargado a la empresa The Sales Machine Spain, S.A. la realización de una campaña o
servicio de marketing directo que tiene previsto su desarrollo a partir del mes de noviembre de 1999,
estando regulado este servicio por el art. 27 de la Ley Orgánica 5/1992, de 29 de octubre. También consta
que para esta última empresa pueda prestar el servicio encargado precisa de la utilización del fichero "Base
de Datos de Conquista" propiedad de Peugeot España, S.A. y responsable de dicho fichero.

En el Pacto Segundo del citado documento se establece que los datos de carácter personal
contenidos en los ficheros son de exclusiva propiedad de Peugeot España, S.A. y que The Sales Machine
Spain, S.A. no podrá transferir, duplicar o reproducir todo o parte de la información propiedad de la empresa
Peugeot España, S.A., añadiéndose en el Pacto Tercero que The Sales Machine Spain, S.A. se
compromete a adoptar las medidas técnicas y organizativas necesarias para garantizar la seguridad de los
datos de carácter personal y evitar así su alteración, pérdida, tratamiento y acceso no autorizado, teniendo
en cuenta el estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están
expuestos, ya provengan éstos de la acción humana o del medio físico o natural. (folios 178 a 181).

2º. Igualmente, el 12/01/00, The Sales Machine Spain, S.A y Asci Direct, S.A.L. firman un convenio de
confidencialidad y custodia de documentos y ficheros en el que las partes exponen que la empresa Peugeot
España, S.A. ha encargado de The Sales Machine Spain, S.A. la realización de una campaña o servicio de
marketing directo iniciada en el mes de noviembre de 1999, estando regulado este servicio por el art. 27 de
la Ley Orgánica 5/1992 , y The Sales Machine Spain, S.A. subcontrata a Asci Direct, S.A.L la gestión de la
base de datos de su cliente. Para que Asci Direct, S.A.L. pueda prestar el servicio encargado por The Sales
Machine Spain, S.A. precisa de la utilización del fichero propiedad de Peugeot España, S.A.

Consta en el pacto primero del aludido convenio que The Sales Machine Spain, S.A. entregará a Asci
Direct, S.A.L. el material e información necesario para que ésta pueda realizar los trabajos que se soliciten
(folios 204 a 207). Y de acuerdo con el certificado aportado por Asci Direct, S.A.L., esta entidad ha realizado
las tareas que The Sales Machina Spain, S.A. le ha encargado conforme a los términos del convenio de
12/01/00 (folio 593).

3º. The Sales Machine Spain, S.A. subcontrata con la empresa Evento Original de Comunicación.
S.L., según se desprende de la facturación que ésta última emite (folios 218 a 220), los servicios de
comunicación on-line y la gestión y mantenimiento de la página Web http//www.ret0206.net para la recogida
de datos de los concursantes. Evento Original de Comunicación, S.L. recaba a través del formulario
accesible desde la citada página web los datos personales de los participantes en el concurso relativos a
nombre, apellidos, dirección, fecha de nacimiento, DNI, teléfono, Universidad, Facultad y curso (folios 158 a
162). En total se recaban los datos de los integrantes de unos 1.444 equipos, formados por cuatro personas
(folios 107 a 111).

3
 Centro de Documentación Judicial

Los participantes que facilitan sus datos personales a través de Internet, deben rellenar para ello un
formulario accesible desde la citada web en la que se incluye el siguiente texto: "los datos que aquí se
reflejan podrán se utilizados en ficheros informatizados por el GRUPO PEUGEOT, sus filiales y su red
comercial en aquellos asuntos que guarden relación con el presente documento y con la finalidad
estrictamente comercial" (folios 158 a 162).

Evento Original de Comunicación, S.L. elabora con dichos datos un fichero que contiene además
datos referentes al concurso: clasificación de los equipos, respuestas de los equipos, preguntas. En una de
las tablas del mencionado fichero, la denominada "Equipos", se almacenan los datos facilitados por los
participantes (folios 690 a 693). Todo ello sin haber obtenido previamente el consentimiento de los
afectados para tratar sus datos personales (folio 158).

No existe contrato entre The Sales Machine Spain, S.A y Evento Original de Comunicación, S.L.,
aunque sí hay facturas de esta última entidad a la primera por los servicios prestados (folios 218 a 220).

4º. Por encargo de The Sales Machine Spain, S.A, y a fin de que Asci Direct, S.A.L. pueda gestionar
la base de datos obtenida por Evento Original de Comunicación, S.L. a través de la web, Evento Original de
Comunicación, S.L. remite semanalmente a Asci Direct, S.A.L. los datos obtenidos de los participantes en el
concurso (folios 107 a 111 y 686 a 688), sin que Evento Original de Comunicación, S.L. haya obtenido el
consentimiento de los afectados para la cesión a Asci Direct, S.A.L. de sus datos personales (folio 158).

5º. Asci Direct, S.A.L. incorpora a la base de datos "Peugeot Reto 206" los datos personales que
Evento Original de Comunicaciones, S.L. le remite, registrando en dicha base de datos los datos personales
obtenidos de cuestionarios en papel, de marketing telefónico y cupones de inscripción (folios 637 a 643 y
678), sin que conste que Asci Direct, S.A.L. cuente con el consentimiento de los afectados para el
tratamiento de sus datos personales (folio 158).

La base de datos "Peugeot Reto 206" se encuentra ubicada en los locales de Asci Direct, S.A y
consta de un conjunto de ficheros encuadrados en el fichero "Bases de Datos de Conquista" propiedad de
Peugeot España, S.A (folio 636). Tal y como se deduce de las facturas que constan en el procedimiento
Asci Direct, S.A.L. realiza por encargo de The Sales Machine Spain, S.A las tareas de custodia,
mantenimiento y gestión de la base de datos "Peugeot Reto 206", así como el análisis y la programación
para la generación de informes sobre intención de compra del Peugeot 206 (folios 208 a 214) sin que exista
ninguna relación contractual ente Asci Direct S.A.L y Peugeot España, S.A acerca de la realización de las
aludidas tareas.

6º. Para transmitir los datos del servidor a Asci Direct, S.A.L., con carácter semanal, Evento Original
de Comunicación, S.L. crea a partir de la tabla "Equipos" del fichero (donde se almacenan los datos de los
participantes), un fichero de texto: fichero de intercambio que contiene en gran medida los datos registrados
en la precitada tabla. Evento Original de Comunicación, S.L. remite tal fichero de intercambio, sin encriptar,
a una dirección de correo electrónico de Asci Direct, S.A.L. (folios 686 a 689, 693 y 694).

En febrero de 2000, debido a problemas técnicos surgidos en el servidor de correo, Evento Original
de Comunicación, S.L. no puede remitir los envíos semanales a Asci Direct, S.A.L. y utiliza otra vía distinta
para remitir los datos de los concursantes a dicha empresa. En esta ocasión Evento Original de
Comunicación, S.L. ubica el fichero con los datos de los participantes en un directorio público FTP (de
acceso no restringido) para que Asci Direct, S.A.L tenga acceso directo a él, pero sin adoptar las medidas
técnicas precisas para evitar que tales datos puedan ser recogidos también por otras personas conectadas
a internet (folios 107 a 111, 688 y 689), lo que permite que el denunciante tenga acceso a la totalidad de
dichos datos. El fichero aportado por el denunciante contiene 4.811 registros que incluyen datos de nombre,
apellidos, domicilio completo, dos números de teléfono, fecha de nacimiento, centro y curso académico
(folios 44 a 90).

7º. Evento Original de Comunicación, S.L. a fin de realizar la gestión y mantenimiento de la página
web utilizada para la recogida de los datos de los concursantes, transfiere los datos a un servidor ubicado
en EE.UU., propiedad de la compañía Digital Daza (folios 107 a 111 y 473 a 492), sin que se informe a los
afectados de ello, ni se obtenga su consentimiento (folio158) ni la preceptiva autorización del Director de la
Agencia de Protección de Datos para transferir datos a un país que no dispone de un nivel adecuado de
protección de datos personales.

8º. Peugeot España, S.A es conocedora de los tratamientos que Asci Direct, S.A.L. y Evento Original
de Comunicación, S.L. están realizando por encargo de The Sales Machine Spain, S.A con motivo de la

4
 Centro de Documentación Judicial

ejecución del Proyecto "Peugeot 206 Coche Universitario del Año", proyecto de marketing elaborado por
The Sales Machine Spain, S.A para Peugeot España, S.A, encargándose también la primera de su
ejecución según las facturas de ésta a Peugeot España, S.A (folios 182 a 203).

En el proyecto sólo detalla la forma de captar los datos. No contiene ninguna indicación acerca de las
medidas de seguridad que deben adoptarse en la configuración del fichero automatizado creado a tal efecto
y tampoco hace ninguna referencia a la entidad que va a realizar la captación de datos (folios 113 a 130).

TERCERO.- En relación con estos hechos, la Agencia Española de Protección de Datos incoó un
expediente sancionador, que concluyó por resolución de su Director de 26 de septiembre de 2001
imponiendo multas a The Sales Machine Spain S.A., Asci Direct S.A.L. y Evento Original de Comunicación
S.L. Por lo que ahora específicamente interesa, esta ultima entidad mercantil fue sancionada con cuatro
multas: dos por importe de 10.000.000 pesetas cada una por vulneración de los arts. 6 y 9 de la Ley
Orgánica de Protección de Datos de Carácter Personal de 13 de diciembre de 1999 (en adelante, LOPD), y
otras dos de 50.000.000 pesetas cada una por vulneración de los arts. 11 y 33 LOPD . Del pago de las
multas impuestas por vulneración de los arts. 9, 11 y 33 LOPD fue declarada solidariamente responsable
Peugeot España S.A.

Las cuatro empresas referidas presentaron recurso contencioso-administrativo, bajo una única
representación procesal y dirección letrada, que fue desestimado por la sentencia ahora recurrida excepto
en lo relativo a la responsabilidad solidaria de Peugeot España S.A. Contra esta sentencia se dirige el
presente recurso de casación, interpuesto por Evento Original de Comunicación S.L.

CUARTO.- El recurso de casación de Evento Original de Comunicación S.L. se basa en cuatro

motivos. En el primer motivo, formulado al amparo del art. 88.1.d) LJCA , se alega infracción del art. 11
LOPD , por entender que la recurrente no hizo una comunicación de datos sin consentimiento de los
interesados a Asci Direct S.A.L. En el segundo motivo, formulado al amparo del art. 88.1.d) LJCA , se alega
infracción del art. 33 LOPD , por entender que la recurrente no llevó a cabo un movimiento internacional de
datos o que, si lo hizo, estaba cubierto por la excepción del art. 34.k) LOPD . En el tercer motivo, formulado
al amparo del art. 88.1.c) LJCA , se alega denegación indebida de prueba relativa a la idoneidad del
servidor estadounidense utilizado por la recurrente. En el cuarto motivo, formulado al amparo del art. 88.1.d)
LJCA , se alega infracción del art. 45.5 LOPD , por no haberse utilizado la facultad de atemperar la sanción
a la vista de la culpabilidad del imputado y la antijuridicidad del hecho.

QUINTO.- En el primer motivo, como se ha dejado indicado, la recurrente niega que el envío periódico
a Asci Direct S.A.L. de los datos de concursantes recogidos en su página web constituyese una
comunicación de datos sin consentimiento de los interesados en el sentido del art. 11 LOPD. A este
respecto, es importante comenzar subrayando que el mero hecho de que varias empresas colaboren en un
proyecto común no es, por sí solo, suficiente para quedar dispensadas del requisito del consentimiento de
los interesados en la cesión de datos; es decir, no pueden cederse libremente cuantos datos estimen
convenientes para la realización del proyecto común. En la medida en que se trata de personas distintas,
cada una de las empresas implicadas mantendrá su propia posición a efectos de la legislación de protección
de datos. Ello quiere decir que responsable del fichero seguirá siendo únicamente la empresa que decida
sobre su finalidad, contenido y uso, mientras que las demás tendrán la consideración de terceros y, por
consiguiente, sólo podrán ser cesionarias de los datos del fichero si cumplen los requisitos generalmente
exigidos para la comunicación de datos. En pocas palabras, la recurrente no puede defenderse diciendo
que el art. 11 LOPD no era aplicable porque todas las empresas implicadas llevaban a cabo, a fin de
cuentas, una misma campaña publicitaria.

Una vez establecido este punto crucial, la argumentación de la recurrente resulta endeble. La
advertencia que se hacía a quienes depositaban sus datos en la página web de la recurrente decía sólo que
dichos datos "podrán ser utilizados en ficheros informatizados por el Grupo Peugeot, sus filiales y su red
comercial en aquellos asuntos que guarden relación con el presente documento y con la finalidad
estrictamente comercial". Esto, aparte de ser excesivamente genérico, no da cobertura a la comunicación
de datos a empresas como Asci Direct S.A.L., de las que no consta que pertenezcan a lo que vagamente se
denomina "Grupo Peugeot". Esta advertencia no satisface, así, las exigencias de especificidad e
información que el art. 3.h) LOPD impone para que pueda haber consentimiento válido. Ello implica que la
comunicación de datos efectuada periódicamente por la recurrente no se hacía con consentimiento de los
interesados, tal como ordena el art. 11 LOPD .

Frente a ello no vale argüir, como hace la recurrente, que estaba amparada por la excepción del art.
12 LOPD. El apartado primero de este precepto dispone: "No se considerará comunicación de datos el
acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al

5
 Centro de Documentación Judicial

responsable del tratamiento." Esta excepción no es aplicable al presente caso, porque no consta la
existencia de una relación contractual entre la recurrente y Peugeot España S.A., que sería la responsable
del tratamiento; e incluso si esa relación contractual hubiese existido, habría sido necesario, como dispone
al apartado segundo de ese mismo precepto legal, hacerla "constar por escrito o en alguna otra forma que
permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del
tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que
no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para
su conservación a otras personas". Dado que estas condiciones legales no fueron observadas, la recurrente
no puede considerarse prestadora de un servicio por cuenta de Peugeot España S.A. a efectos del art. 12
LOPD .

Tampoco puede la recurrente arrogarse tal consideración con respecto a The Sales Machine S.A.
-quien, según la sentencia recurrida, había subcontratado con ella parte del servicio que debía prestar a
Peugeot España S.A.- ni con respecto a Asci Direct S.A.L. En cuanto a The Sales Machine S.A., su relación
con la recurrente no quedó documentada por escrito, por lo que no podía cumplir lo exigido por el apartado
segundo del art. 12 LOPD. Y no es aquí pertinente la invocación por la recurrente de la libertad de formas
contractuales proclamada por el art. 1278 CC , ya que en todo caso habría debido dejar constancia de los
extremos exigidos por el art. 12 LOPD. A ello hay que añadir, como bien observa el Abogado del Estado en
su escrito de oposición al recurso de casación, que siendo The Sales Machine S.A. contratista de Peugeot
España S.A. habría debido obtener la autorización de ésta para que la subcontratación de parte de la
prestación hubiera podido quedar cubierta por la excepción del art. 12 LOPD .

Por lo que se refiere, en fin, a Asci Direct S.A.L., no tenía ninguna relación contractual con la
recurrente y, desde luego, los contactos entre ellas no podían ser subsumidos en el supuesto de hecho del
art. 12 LOPD .

Por todo lo expuesto, el primer motivo de este recurso de casación debe ser desestimado.

SEXTO.- El segundo motivo gira en torno al movimiento internacional de datos, en relación con el
hecho de que la recurrente utilizó un servidor situado en los Estados Unidos para la gestión de la página
web. Sostiene la recurrente que no hubo movimiento internacional datos a efectos del art. 33 LOPD ,
porque quienes depositaban su datos lo hacían directamente en la citada página web, dependiente de un
servidor estadounidense. Ello significaría, siempre según la recurrente, que, más que transferencia de datos
de España a Estados Unidos, habría habido transferencia de datos de Estados Unidos a España cuando
periódicamente enviaba los datos recogidos en la página web a Asci Direct S.A.L.; lo que quedaría fuera del
ámbito de aplicación del art. 33 LOPD , que se refiere sólo a la salida de datos de España, no a su entrada.
Pues bien, este argumento es especioso: como señala el Abogado del Estado, aparte de que los
particulares no podían saber dónde se hallaba el servidor, el hecho de valerse de un servidor situado en
Estados Unidos para recoger datos solicitados en España y para una campaña publicitaria a desarrollar en
España mal puede calificarse como mera transferencia de Estados Unidos a España. Esto es puro
formalismo. La verdad es que los datos -recabados por la recurrente al posible público español interesado-
viajaban primero a los Estados Unidos, donde quedaban depositados en la página web, y regresaban luego
a España mediante los envíos periódicos a Asci Direct S.A.L. Dicho de otra manera, incluso si se acepta el
dato formal de que eran los propios interesados quienes transferían sus datos a los Estados Unidos al
depositarlos en la página web, no cabe pasar por alto que no sabían dónde se hallaba el servidor de ésta y,
sobre todo, que lo hacían en España, inducidos por una empresa española y para una campaña publicitaria
a desarrollar en España; cúmulo de circunstancias que impide considerar a los interesados como los
verdaderos responsables de que sus datos viajaran a los Estados Unidos. La responsabilidad de ello era,
sin duda alguna, de la recurrente, que no puede así decirse fuera del ámbito de aplicación del art. 33 LOPD
.

La recurrente no puede excusarse de ello diciendo que, en todo caso, los datos estuvieron siempre
bajo su control, sin ser cedidos a terceros. Incluso si esto fuera cierto, sería irrelevante, pues el art. 33
LOPD regula el movimiento internacional de datos con independencia de que éstos sean o no objeto de
comunicación.

Tampoco puede la recurrente, por lo demás, sostener que, aun cuando hubiese habido movimiento
internacional de datos, éste habría quedado amparado por la excepción del art. 34.k) LOPD . Esta norma
permite la libre transferencia de datos que "tenga como destino un Estado miembro de la Unión Europea, o
un Estado respecto del cual la Comisión de las Comunidades Europeas, en el ejercicio de sus , haya
declarado que garantiza un nivel de protección adecuado". Pues bien, la propia recurrente reconoce, en su
escrito de interposición del recurso de casación, que su servidor estadounidense no estaba formalmente
acogido a los llamados "principios de puerto seguro", en los que la Comisión Europea cifra el "nivel de

6
 Centro de Documentación Judicial

protección adecuado" para los Estados Unidos.

Así, el segundo motivo de este recurso de casación ha de ser también desestimado.

SÉPTIMO.- Tampoco pueden prosperar los motivos tercero y cuarto, por razones que no necesitan
una prolija explicación. La prueba pericial propuesta por la recurrente, que tenía por objeto demostrar que el
servidor estadounidense era adecuado al objetivo perseguido y que era práctica habitual la contratación de
servidores como ése, era irrelevante para determinar si había habido o no una violación del art. 33 LOPD .
El movimiento internacional de datos sólo es lícito cuando respeta las condiciones establecidas por dicho
precepto legal, con independencia de que sea técnicamente necesario para el objetivo que se proponga
quien lo realiza o que haya muchas otras personas que hagan lo mismo. Dado que la prueba cuya práctica
fue denegada era irrelevante, no ha habido quebrantamiento alguno de formas esenciales del juicio.

En cuanto a la pretendida infracción del art. 45.5 LOPD , hay que dar la razón una vez más al
Abogado del Estado: la apreciación de circunstancias que puedan conducir a una reducción de la cuantía de
la sanción, contemplada por dicha norma, implica una valoración de hechos; y, por consiguiente,
corresponde exclusivamente al órgano judicial de instancia, cuyo criterio en esa materia no puede ser
controlado en sede de casación.

OCTAVO.- Con arreglo al art. 139 LJCA , la desestimación de todos los motivos del recurso de
casación conlleva la imposición de las costas a la recurrente, quedando en el presente caso fijadas en un
máximo de tres mil euros en cuanto a honorarios de abogado.

FALLAMOS

No haber lugar al recurso de casación interpuesto por la representación procesal de la entidad

mercantil Evento Original de Comunicación S.L. contra la sentencia de la Sala de lo
Contencioso-Administrativo (Sección 1ª) de la Audiencia Nacional de 21 de julio de 2004 , con imposición de
las costas a la recurrente hasta un máximo de tres mil euros en cuanto a honorarios de abogado.

Así por esta nuestra sentencia, lo pronunciamos, mandamos y firmamos