STS, 30 de Octubre de 2012

La Sección Primera de la Sala de lo Contencioso Administrativo de la Audiencia Nacional dictó sentencia el 19 de noviembre de 2009 , con los siguientes pronunciamientos:

Que estimando parcialmente el recurso contencioso administrativo interpuesto por la representación procesal de INVERTRED SL frente a la resolución de la Agencia Española de Protección de Datos de 25 de mayo de 2007 que desestima el recurso de reposición contra la anterior resolución de 28 de marzo de 2007, revocamos parcialmente dichas resoluciones en cuanto anulamos la sanción de 300.506,05 euros que, por una infracción muy grave del artículo 44.4.e) de la LOPD , se impone a dicha entidad recurrente, confirmando las otras tres sanciones impuestas a la misma, sin expresa imposición de costas a ninguna de las partes.

Notificada la sentencia, el Abogado del Estado y la representación de Invertred SL presentaron escritos ante la Sala de lo Contencioso Administrativo de la Audiencia Nacional, manifestando su intención de interponer recurso de casación y dicha Sala, por providencias de 13 y 25 de enero de 2010, tuvo por preparados los recursos, con emplazamiento de las partes ante esta Sala del Tribunal Supremo.

Por escrito de 25 de febrero de 2010 la representación procesal de Invertred, S.L. presentó escrito de interposición del recurso de casación, en el que tras exponer los fundamentos en que se amparaba, articulados en cinco motivos de recurso, solicitó a esta Sala que dicte sentencia que estime el recurso de casación y anule y deje sin efecto la sentencia impugnada, en cuanto a los pronunciamientos recurridos, dictando otra en virtud de la cual absuelva a la recurrente de las infracciones imputadas y recurridas, o devolviendo las actuaciones a la Audiencia Nacional a fin de que dicte sentencia ajustada a derecho, con lo demás que en derecho proceda, y el Abogado del Estado, por escrito de 9 de abril de 2010, presentó su escrito de interposición del recurso de casación, en el que expuso los argumentos que convinieron a su derecho, articulados en un único motivo de recurso, y solicitó la Sala que acuerde casar la sentencia impugnada y dicte otra por la que acuerde la plena conformidad a derecho del acto impugnado en la instancia.

Esta Sala, por auto de 30 de septiembre de 2010 , declaró la admisión del recurso de casación interpuesto por el Abogado del Estado, y del recurso interpuesto por la entidad Invertred SL. en relación con la sanción por importe de 300.506,05 €, por una infracción muy grave del artículo 44.4.b) de la LOPD , inadmitiéndose con respeto a las sanciones por importe de 601,01 € por infracciones leves del artículo 44.2.d) y del artículo 44.2.c) de la LOPD , declarándose la firmeza de la sentencia en cuanto a las mismas.

Admitido a trámite el recurso, se dio traslado a las partes recurridas, que manifestaron su oposición al recurso de la contraparte, el Abogado del Estado en escrito de 10 de enero de 2011, en el que solicitó que se desestime el recurso, confirmando la sentencia recurrida, salvo en lo que se refiere a la sanción muy grave del artículo 44.4.e) LOPD , que se tendrá por no revocada, conforme a lo solicitado en su escrito de casación, e Invertred, S.L. en escrito de 12 de enero de 2011, en el que solicitó se tuviera por formulada oposición al recurso de casación interpuesto por el Abogado del Estado.

Conclusas las actuaciones, se señaló para votación y fallo el día 23 de octubre de 2011, fecha en que tal diligencia ha tenido lugar.

Siendo Ponente el Excmo. Sr. D. Jose Maria del Riego Valledor, Magistrado de la Sala.

Se interpone recurso de casación contra la sentencia de la Sección Primera de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, de 19 de noviembre de 2009 , que estimó en parte el recurso interpuesto por la representación de Invertred SL frente a la Resolución de la Agencia Española de Protección de Datos de 25 de mayo de 2007, que había desestimado un recurso de reposición contra la anterior resolución de 28 de marzo de 2007, que había impuesto a dicha entidad las siguientes sanciones por las infracciones que se indican:

1. Una multa de 601,01 € por una infracción del artículo 5.1 LOPD , tipificada como leve en el artículo 44.2.d) de dicha norma .

2. Una multa de 601,01 € por una infracción del artículo 26.1 LOPD , tipificada como leve en el artículo 44.2.c) de dicha norma .

3. Una multa de 300.506,05 € por una infracción del artículo 11.1 LOPD , tipificada como muy grave en el artículo 44.4.b) de dicha norma .

4. Una multa de 300.506,05 € por una infracción del artículo 33 LOPD , tipificada como muy grave en el artículo 44.4.eb) de dicha norma .

5. Una multa de 60.101,21 € por una infracción del artículo 6.1 LOPD , tipificada como grave en el artículo 44.3.d) de dicha norma

Los hechos declarados probados en la Resolución sancionadora de la AEPD, que reproduce la sentencia impugnada, son los siguientes:

PRIMERO: Según la "Información Legal" que consta en los sitios Web "grandesjuegos.com.", videochaterotico.com", "promocionesweb.com" y "centralamateur.com", las comprobaciones sobre titularidad de dominios realizadas por los Servicios de Inspección de la Agencia Española de Protección de Datos y las manifestaciones de los representantes de INVERTRED que constan en Acta de Inspección, de fecha 18/10/2005, dicha entidad figura como responsable de los citados sitios.

SEGUNDO: A través de los sitios web mencionados en el hecho probado anterior, INVERTRED recaba datos de carácter personal de los usuarios que pretenden adquirir un producto o contratar un servicio, así como de aquellos que solicitan el envío de un boletín de novedades de la entidad y de las personas de contacto pertenecientes a las entidades que actúan como comisionistas o afiliadas de INVERTRED. Para ello, la citada entidad emplea unos formularios de recogida de datos personales en los que no consta ninguna cláusula informativa en materia de protección de datos.

TERCERO: Los datos de carácter personal recabados por INVERTRED son incorporados a distintos ficheros automatizados:

Las entidades que utilizan los servicios de INVERTRED en calidad de afiliados acceden al sitio Web "www.promocionesweb.com", previa cumplimentación de un formulario en el que se solicitan datos relativos a la entidad que pretende afiliarse y a la persona de contacto (empresa, CIF, persona de contacto, domicilio, población, provincia, código postal, país, teléfono, email, página Web, ICQ, messenger, nombre de usuario y password).

En el sitio web "www. centralamateur.com." se recogen datos de los usuarios que solicitan el envío del boletín de novedades de la entidad. En el momento en que tuvo lugar la inspección realizada por la Agencia Española de Protección de Datos, el fichero correspondiente a estos usuarios contenía un total de 8489 direcciones de correo electrónico.

Las transacciones que se realizan para el pago de los productos o servicios adquiridos por los usuarios se recogen en un fichero, en el que se detalla, al menos, la dirección de correo electrónico desde la que se realiza la compra, fecha de la compra, hora de la compra y dirección "IP" origen, así como la información sobre la tarjeta de crédito, que es incluida en el fichero a través del sitio Web "e-ocio.net".

En las "Condiciones General" accesibles a través del sitio web"www.grandesjuegos.com.", al igual que en la "Información Legal" insertada en la página web "invertred.com.", se indica que "Los datos proporcionados (e-mail) serán incorporados a un fichero de datos de carácter personal titularidad de Invertred, S.L. debidamente inscrito en la Agencia de Protección de Datos".

CUARTO: En fecha 28/07/2005, en el Registro General de Protección de Datos no figuraba inscrito ningún fichero a nombre de INVERTRED. Posteriormente, en fecha 23/01/2006, dicha entidad notificó al citado Registro General el fichero denominado "WEBMASTERSPROMOCIONESWEB.COM", descrito como Base de datos de webmasters afiliados o comisionistas del producto "videochaterotico.com", promocionado mediante el dominio "promocionesweb.com", que contiene datos identificativos relativos a DNI/NIF, nombre y apellidos, dirección (postal y electrónica), teléfono y otros (nombre de empresa, ICQ, MSN y Web) además de datos bancarios.

QUINTO: INVERTRED tiene como actividad principal la comercialización de productos y servicios de video Chat a través de la red Internet, a cambio de una contraprestación económica que deben satisfacer los usuarios. Para el cobro de esta contraprestación, en aquellos casos en los que el pago se realiza mediante tarjeta de crédito, INVERTRED utiliza los servicios de la entidad CLICK2CASH, que actúa bajo la marca comercial "E-Ocio", sin que ambas entidades hubiesen suscrito el correspondiente contrato de prestación de servicios. Para la gestión de aquellos pagos, CLICK2CASH accede y trata los datos de carácter personal de los clientes de INVERTRED, relativos a la dirección de correo electrónico desde la que se realiza la compra y dirección "IP" origen, así como la información sobre la tarjeta de crédito.

A este respecto, INVERTRED ha declarado lo siguiente:

"Invertred mostraba al usuario un formulario para que introdujera sus datos y proceder así a realizar la compra de bonos de acceso por tiempo limitado a los servicios ofertados a través de la página web de Invertred. Este formulario actualmente está en desuso, pero se puede ver un ejemplo del mismo en la siguiente url: https //www .videochaterotico.com/acceso-eocio.php

En el momento en el que el cliente enviaba el formulario, esos datos se mandaban directamente a un servidor de E-ocio, cuya dirección url era http://www.e-ocio.net/core/core.php (actualmente no existe) pasando a procesar ellos mismos la información suministrada por el usuario en ese momento.

Antes de proceder a comprobar el pago, E-ocio, aplicaba una serie de filtros con esa información, cotejando datos que guardaban en su base de datos, para impedir fraude, tarjetas banneadas, límites de compras diarios, mensuales, etc...

Una vez E-ocio había procesado la información, redirigía al cliente a una url del servidor de INVERTRED, que variaba dependiendo de si la operación había sido aceptada o no, y enviando también un e-mail al usuario con sus datos de acceso.

Paralelamente E-ocio, remitía a INVERTRED una petición entre servidores, con información necesaria para dar acceso al usuario al contenido de la página web de INVERTRED.

Del mismo modo, INVERTRED disponía de acceso a un panel de control proporcionado por E-Ocio para que INVERTRED pudiera acceder a consultar datos de las compras, httw//control.e-oeio.net/.

SEXTO: Los datos de carácter personal tratados por INVERTRED están ubicados físicamente en Sistemas de Información radicados en Estados Unidos. INVERTRED no ha aportado prueba relativa a la prestación, por los titulares de tales datos personales, del consentimiento informado para la transferencia internacional de los datos contenidos en sus ficheros.

El recurso de casación de Invertred, S.L., se articula en cuatro motivos, numerados del primero al quinto, con omisión del motivo cuarto. Los motivos primero, segundo y tercero se fundamentan en infracciones del apartado d) del artículo 88.1 de la Ley de la Jurisdicción, y el motivo quinto en infracciones del apartado c) del mismo precepto legal .

El primer motivo alega infracción del artículo 11 LOPD , en relación con el artículo 44.4.b) LOPD , al entender la parte recurrente que no se puede hablar materialmente de cesión de datos, además se informaba al usuario del tratamiento de sus datos y, si existiera cesión de datos, estaría amparada por el artículo 11.2.c), el segundo motivo refiere vulneración del artículo 5 de la LOPD , en relación con el artículo 44.2.d) LOPD , sobre recogida de datos sin información al afectado, el motivo tercero denuncia violación de los principios generales del derecho administrativo sancionador consagrados en nuestro ordenamiento: presunción de inocencia, culpabilidad y proporcionalidad, y el motivo quinto denuncia vulneración de las normas reguladoras de la sentencia, por falta de claridad y precisión exigida por el artículo 209 LEC y de motivación requerida por los artículos 120.3 , 248 LOPJ y 209 LEC .

El Abogado del Estado fundamenta su recurso de casación en un único motivo, al amparo del artículo 88.1.d) de la Ley de la Jurisdicción , por infracción de los artículos 11.1 , 44.4.e ), y 33.1 LOPD , al efectuar el Tribunal de instancia una valoración de la prueba irracional, arbitraria o ilógica.

Examinamos en primer lugar los motivos del recurso de casación formulado por Invertred, S.L., en relación exclusivamente con la sanción de multa de 300.506,05 € impuesta por una infracción muy grave de los artículos 11.1 y 44.4.b) LOPD , al haber sido inadmitido el recurso de casación, por falta de cuantía, en relación con las dos multas leves de 601,01 € de los artículos 44.2, letras c ) y d) LOPD , por auto de esta Sala de 30 de septiembre de 2010 , antes citado.

La parte recurrente impugna la comisión de la infracción del artículo 11 LOPD , que establece que "los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado", oponiendo: a) la inexistencia de cesión de datos puesto que la parte nunca estuvo en posesión de los mismos, b) en todo caso, se informaba al usuario del tratamiento de datos que iba a efectuar click2cash, 3) de todas formas acontecería el supuesto previsto en el artículo 11.2.c) LOPD , y 4) existencia de un contrato que regula la relación entre Invertred y click2 cash.

La sentencia impugnada considera como hecho probado que la recurrente cedía los datos de los usuarios de sus páginas web de video chat a la empresa Click2cash, para que esta realizara el cobro por la utilización de esas páginas web, y que dicha cesión se efectuaba sin consentimiento de los afectados. Todo ello resulta expuesto con toda claridad en el Fundamento de Derecho Cuarto:

Ya se ha indicado que Invertred tiene como actividad principal la comercialización de productos y servicios de video-Chat a través de Internet, a cambio de una contraprestación económica que deben satisfacer los usuarios. La resolución combatida imputa a la recurrente tal comunicación o cesión de los datos de los usuarios de sus páginas web a la entidad Click2cash, pues esta última se ocupaba de las actuaciones o gestiones necesarias para el cobro de los productos y servicios que aquélla comercializaba, sin consentimiento de los afectados, y sin que dicha actuación estuviera amparada en una Ley.

Este Tribunal de casación tiene vedada la rectificación de la valoración probatoria de la Sala de instancia y de sus resultados. Es doctrina reiterada de esta Sala, que por todas se recoge en la sentencia de de 24 septiembre de 2008 (recurso 2114/2006 ) que la formación de la convicción sobre los hechos para resolver las cuestiones objeto del debate procesal "... está atribuida al órgano judicial que, con inmediación, se encuentra en condiciones de examinar los medios probatorios, sin que pueda ser sustituido en tal cometido por este Tribunal de casación, puesto que la errónea valoración no ha sido incluida como motivo de casación en el orden Contencioso-Administrativo en la LJCA, lo cual se cohonesta con la naturaleza de la casación como recurso especial, cuya finalidad es la de corregir errores en la interpretación y aplicación del ordenamiento jurídico, y no someter a revisión la valoración de la prueba realizada por el Tribunal de instancia" , sin que en este caso se haya alegado por la parte recurrente que la Sala de instancia hubiera incurrido en una valoración de la prueba irrazonable, arbitraria o ilógica que, excepcionalmente, nos hubieran permitido adentrarnos en tal actuación procesal de instancia.

En el presente caso la parte actora muestra su disconformidad con las conclusiones fácticas sobre las que se asienta la sentencia impugnada sin atacar en debida forma la valoración de la prueba efectuada por la Sala de instancia.

Además de lo anterior, que es suficiente para desestimar el presente motivo, cabe añadir que no incurre la Sala de instancia en apreciación arbitraria o irrazonable de la prueba cuando afirma que existe la cesión de datos por la empresa recurrente, pues dicha cesión fue admitida por la propia parte en su escrito de alegaciones posteriores al trámite de prueba, de fecha de entrada en la APD de 5 de febrero de 2007 (folios 237 a 245 del expediente), que explica que la recurrente ofrecía un servicio de video chat para adultos por internet, si bien, como no disponía de medios de pago propios, contrató los mismos con otras empresas, y en el caso del pago con tarjetas de crédito, contrató los servicios de E-ocio, que era el nombre comercial del sistema de Click2cash, detallando seguidamente el procedimiento, que en síntesis consistía en que la pagina web de la empresa recurrente mostraba un formulario al usuario de las salas de video chat para que introdujera sus datos y proceder así a la compra de bonos de acceso por tiempo limitado a esas salas de video chat, añadiendo la recurrente que "... en el momento en que el cliente enviaba el formulario, los datos se mandaban directamente a un servidor de E-ocio, cuya dirección url era..."

Tampoco incurren la Sala en valoración irrazonable o arbitraria de la prueba, que se insiste ni siquiera es alegada, ni menos aún demostrada por la parte recurrente, cuando niega el consentimiento previo de los usuarios a la cesión de datos, pues no puede equipararse con dicho consentimiento la advertencia a la que se refiere la parte recurrente. Expone en concreto la parte recurrente que en las páginas web se advertía a los usuarios que sus datos iban a ser procesados por Click2cash, si bien no puede considerarse, como pretende la parte recurrente, que la advertencia a los usuarios que se muestra en los folios 87 y 108 del expediente, sea equiparable al previo consentimiento exigido por el artículo 11 LOPD , pues este supone la concurrencia de una manifestación de voluntad expresa o tácita, mientras la advertencia a los usuarios contenida en los folios del expediente citados por la parte recurrente se refiere, en un caso, a una cláusula de las condiciones generales de acceso y utilización del sitio web, que no ofrece ninguna constancia ni de su conocimiento por los usuarios, ni de su aceptación, y en otro caso ni siquiera se expresan los datos que se ceden ni la empresa a la que se comunican los datos.

La Sala de instancia no incurre, por tanto, en valoración arbitraria o irrazonable de la prueba al establecer que no mediaba el previo consentimiento de los interesados a la cesión de los datos.

De acuerdo con la narración fáctica de la sentencia impugnada y de la Resolución sancionadora de la APD, los datos de carácter personal de los usuarios de páginas web de la recurrente a los que Click2casch tenía acceso y trataba eran, al menos, los relativos a la dirección de correo electrónico desde la que se realizaba la compra, la dirección IP de origen, así como los datos de la tarjeta de crédito con la que se efectuaba el pago, considerando seguidamente la Sala de instancia que la comunicación de los datos personales de los usuarios de sus páginas efectuada por la recurrente a Click2cash no era necesaria para el desarrollo y cumplimiento de la relación contractual existente entre ambas entidades, sin que como se viene diciendo, la parte recurrente haya cuestionada en este recurso que la sentencia de instancia haya incurrido, a fijar los hechos que considera probados, en una valoración irrazonable, arbitrario o ilógico de las pruebas.

Añade la parte recurrente que, aun no siendo necesario, a los efectos del artículo 12 LOPD , existe un contrato que regula la relación entre la recurrente y el proveedor de los medios de pago mediante tarjeta de crédito o "pasarela de pago", que inicialmente fue suscrito con la empresa ARJ Informática SL, a la que sucedió posteriormente Click2Cash.

La sentencia impugnada admite la existencia de un contrato entre la recurrente Invertred y ARJ Electrónica y Mantenimiento, SL, pero también considera probado que, en contra de la tesis que defiende la recurrente, la empresa Click2Cash no es sucesora de ARJ Electrónica y Mantenimiento SL, y nunca se ha subrogado en contrato alguno suscrito por esta, lo que tiene la Sala de instancia por acreditado a la vista de la contundente contestación a la demanda de Click2Cash, y de los documentos 1 a 10 acompañados a dicha contestación, debiendo estar esta Sala a los hechos acogidos en la sentencia de instancia, por las razones antes expuestas, sin que sea aplicable por tanto el régimen establecido por el artículo 12 LOPD , que no considera comunicación de datos el acceso de un tercero a los datos, cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento y esté regulado en un contrato.

Se desestima por las razones anteriores el primer motivo del recurso de casación.

El segundo motivo del recurso se refiere de forma exclusiva a la infracción leve del artículo 5, en relación con el artículo 44.2.d), ambos de la LOPD , consistente en proceder a la recogida de datos de carácter personal de los afectados sin proporcionales la información exigible, y como hemos comentado con anterioridad, el recurso de casación ha resultado inadmitido en relación con las sanciones por infracciones leves confirmadas por la sentencia impugnada.

El tercer motivo del recurso denuncia violación de diversos principios generales del derecho administrativo sancionador (presunción de inocencia, culpabilidad y proporcionalidad).

La parte recurrente considera, en relación con el primer principio, que la cesión de datos que aprecia la sentencia impugnada se sustenta en la mera posibilidad de que la recurrente accediera a los datos que eran tratados por Click2Cash, y que ha confirmado una condena sin la mínima actividad de cargo que desvirtúe la presunción de inocencia.

El examen del expediente y de las actuaciones judiciales demuestra que la alegación de la parte recurrente no es exacta, pues la sentencia impugnada se apoya, para declarar como hecho probado la cesión de datos, en las pruebas practicadas en el expediente, y entre ellas, en la propia declaración de la parte recurrente, así como en la documentación aportada por la recurrente y por la empresa Click2Cash, de la que resulta la ausencia de consentimiento de los afectados, así como la inaplicación de los artículos 11.2 y 12 LPPD sobre supuestos de cesión de datos excluidos de la infracción.

La sentencia impugnada da acertada respuesta a la solicitud que la parte recurrente incorporó a su demanda, sobre la apreciación de una cualificada disminución de la culpabilidad, que por disposición del artículo 45.5 LOPD , permite la reducción de la cuantía de la sanción aplicando la correspondiente a la infracción que preceda inmediatamente en gravedad, en este caso, la sanción prevista para las infracciones graves, al considerar la Sala de instancia que no concurren circunstancias en este caso concreto que demuestren una sustancial atenuación de la culpabilidad. Las alegaciones de la parte recurrente resultan vagas y genéricas, pues se limitan a señalar que su actuación siempre ha estado encaminada al cumplimiento de la ley, pero no precisan las circunstancias que, en relación con los hechos imputados, demuestran la disminución de su culpabilidad, teniendo en cuenta además que el artículo 45.5 LOPJ exige que esa disminución de la responsabilidad sea cualificada.

Tampoco puede acogerse la alegación relativa a la infracción del principio de proporcionalidad, que la parte recurrente basa en la importancia económica de las sanciones, que puede ocasionar el final de su actividad mercantil, pues tal alegación se efectúa sin proporcionar siquiera la parte recurrente referencia alguna a los datos económicos de su actividad que permitan ponderar el riesgo que denuncia.

No puede acogerse el tercer motivo del recurso de casación.

El quinto motivo del recurso de casación, aunque en realidad es el cuarto motivo, pues el recurso omite el número cuatro en su numeración, se ampara en la letra c) del artículo 88.1 de la Ley de la Jurisdicción , y alega falta de claridad y precisión de la sentencia impugnada y falta de motivación.

La sentencia impugnada no incurre en falta de claridad y precisión en relación con la cesión de datos, pues afirma, sin que quepa margen de duda, que existió la cesión de datos personales de la empresa recurrente a otra empresa, sin consentimiento de los afectados, y rechaza también, de forma razonada y motivada, la inaplicación de los supuestos descritos en los artículos 11.2 y 12 LOPD . La contradicción que aprecia la parte recurrente en la sentencia impugnada no es tal, pues compara un hecho que la sentencia tiene por acreditado, que es la cesión de datos personales, con otro hecho que la sentencia advierte que plantea a efectos dialécticos como hipótesis alternativa, para valorar un argumento de oposición de la recurrente, pero es claro que el hecho que integra la infracción es el que la Sala de instancia declara como acreditado y no el que considera como mera hipótesis.

La falta de motivación que se denuncia en este motivo se refiere al examen y pronunciamiento que la Sala de instancia efectúa sobre la infracción leve de recogida de datos sin información al afectado, respecto de la que el recurso de casación fue inadmitido, como antes se ha dicho.

Se desestima el motivo examinado del recurso de casación.

El motivo único del recurso de casación del Abogado del Estado denuncia que, al anular la sanción por la infracción muy grave de transferencia internacional de datos, el Tribunal de instancia incurrió en valoración irracional, arbitraria o ilógica de la prueba.

La sentencia impugnada, al examinar la prueba practicada, tiene en cuenta que el acta de inspección indica que todo el contenido de que es responsable la empresa recurrente, así como el soporte lógico y físico, se encuentra en EEUU, siendo administrado por un profesional, si bien la única prueba de la relación entre dicho profesional y la recurrente es una factura de 1 de octubre de 2005 (folio número 31 del expediente), por el alquiler de unos servidores, documento que considera insuficiente para tener por acreditada la infracción.

En línea con dicha argumentación y según se explica algo más detalladamente en el expediente administrativo, concretamente en el Acta de Inspección que obra en el folio 9 del mismo, todo el contenido del que es responsable la entidad, así como el soporte lógico y físico del mismo, se ubica en Estados Unidos, siendo administrado por un profesional con el que se mantiene un contrato verbal. La labor de éste esta limitada a la administración de los sistemas, mientras que los contenidos son creados y mantenidos por Invertred.

Y se añade que se adjunta como documento 3 copia de una factura de fecha 1 de octubre de 2005, relativa a la prestación de los servicios mencionados.

Explicaciones que se recogen en términos muy similares en el Informe de Actuaciones Previas que obra en el folio 112 del mismo expediente.

Pues bien, si acudimos a dicho documento 3 (folio 31 del expediente) tenemos que como toda acreditación de la meritada transferencia internacional de los datos personales de los usuarios de Invertred a EEUU, figura una factura pagada a un tal Sr. Eladio , con domicilio en Palencia, exclusivamente por los conceptos de alquiler de cinco distintos servidores de: RAM 2 x 120 Gb (fotos privadas); 40 Gb (juegos); 80 Gb (carpe); 1500 Gb (tgp); y 2000 Gb (sms4ever).Medio documental del que la AEPD deduce que ha quedado acreditada la transferencia internacional de datos personales a Estados Unidos, e impone una sanción muy grave del articulo 44.4.e) LOPD a pesar de lo que también se recoge, en el mismo Acta de Inspección, de que los contenidos (de los sistemas) son creados y mantenidos por Invertred.

Tras examinar seguidamente la doctrina constitucional sobre la presunción de inocencia y la carga que recae sobre la Administración actuante de probar la comisión del ilícito y la participación del denunciado, concluye la sentencia impugnada declarando que no ha quedado probada la transferencia internacional de los datos que se imputan a Invertred.

En definitiva, la Sala de instancia ha razonado como hemos visto la valoración que llevó a cabo de las pruebas y el sentido de sus conclusiones, sin que el Abogado del Estado justifique en su recurso un resultado arbitrario o carente de razón en las apreciaciones de la Sala de instancia, ni da razón tampoco de hechos concretos, acreditados en el recurso, que hubieran dejado de valorarse y, ni siquiera, explica que los hechos apreciados por la Sala admitieran otra valoración más razonable.

Se desestima el único motivo del recurso de casación del Abogado del Estado.

La resolución sancionadora de la APD calificó los hechos como infracción muy grave del artículo 44.4.b) LOPD , en la redacción vigente en el momento de los hechos y, de conformidad con el artículo 45.3 y 4 del mismo texto legal , impuso a la entidad recurrente la sanción de multa en la cuantía mínima prevista para dichas infracciones de 300.506,05 euros.

El artículo 44.4.b) LOPD aplicado por la resolución sancionadora establecía que era infracción muy grave: "...la comunicación o cesión de los datos de carácter personal, fuera de los casos en que estén permitidas."

Sin embargo, con posterioridad a la fecha de la sentencia impugnada, y en el curso de la tramitación del presente recurso de casación, la disposición final 56ª de la ley 2/2011, de 4 de marzo, de Economía Sostenible , modificó entre otros el artículo 44.4.b) LOPD , que en su nueva redacción califica de infracción muy grave:

Tratar o ceder los datos de carácter personal a los que se refieren los apartados 2 , 3 y 5 del artículo 7 de esta Ley salvo en los supuestos en que la misma lo autoriza o violentar la prohibición contenida en el apartado 4 del artículo 7 .

De esta manera, tras la entrada en vigor de la reforma operada en la LOPD por la ley 2/2011, sólo está tipificado como infracción muy grave el tratamiento o cesión que afecte a los datos especialmente protegidos a que se refieren los apartados 2 , 3 y 5 del artículo 7 LOPD , que son los relativos a la ideología, afiliación sindical, religión y creencias, los que hagan referencia al origen racial, a la salud y a la vida sexual y los relativos a la comisión de infracciones penales o administrativas, mientras que las demás cesiones que no tenga por objeto esta clase de datos se tipifican como falta grave en el artículo 44.3.k) LOPD , que se refiere a:

La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave .

En este recurso no consta que los datos comunicados por la empresa recurrente estuvieran incluidos entre los datos de especial protección del artículo 7 de la LOPD , por lo que en la redacción de la LOPD efectuada por la reforma legislativa a que hemos hecho referencia, la cesión de datos objeto del expediente constituye la falta grave del artículo 44.3.k) LOPD .

De acuerdo con el artículo 128.2 de la ley 30/1992 , de 28 de noviembre, las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor.

Esta Sala ha señalado en sentencias de 24 de enero de 2006 (recurso 419/2002 ), 31 de enero de 2007 (recurso 8873/2003 ) y 13 de febrero de 2008 (recurso 2110/2004 ), que el principio de retroactividad de las normas administrativas sancionadoras obliga a aplicar retroactivamente dichas normas en todo aquello que pudiera ser más beneficioso para el presunto infractor, y "...tal aplicación debe llevarse a cabo en cualquier instancia administrativa o judicial donde se encuentre pendiente de enjuiciamiento o ejecución una resolución sancionadora, ya que no tendría sentido confirmar judicialmente la legalidad de una resolución administrativa, según la normativa vigente cuando fue dictada, para que la Administración proceda a dictar seguidamente otra que aplique retroactivamente la nueva norma sancionadora más favorable, resolución esta última que podría ser objeto de un nuevo recurso judicial."

En aplicación del anterior criterio jurisprudencial, que hemos aplicado en supuestos similares en sentencias de 23 de enero de 2012 (recurso 5962/08 ) y 7 de mayo de 2012 (recurso 3346/09 ), entre otras, procede que, no obstante la desestimación de los motivos del recurso de casación formulado por la empresa sancionada, apliquemos de forma retroactiva el nuevo régimen sancionador de la LOPD, más favorable para la recurrente al tipificar los hechos como falta grave, declarando procedente la sanción establecida por el artículo 45.2 LOPD para dichas faltas, en su cuantía mínima de 40.001 euros al no haber apreciado la resolución sancionadora la concurrencia de ningún criterio de graduación.

Al declararse no haber lugar al recurso de casación, procede condenar a los recurrentes en las costas del mismo, de conformidad con la regla del artículo 139.2 LJCA , si bien, siendo en este caso dos los recursos interpuestos, y habiendo comparecido cada una de las partes recurrentes también como parte recurrida, oponiéndose al recurso de la contraparte, se consideran compensadas las costas causadas.