ranman, POR FAVOR lee el link que puse, esta es la respuesta del jefe de Atención de la AEPD:
Cita: Las Transferencias Internacionales a otros países distintos de los mencionados (por ejemplo EE.UU o Canadá) requieren la previa autorización del Director de la Agencia Española de Protección de Datos, que es quien valorará los aspectos relativos al nivel de seguridad del país, salvo que se tenga el consentimiento inequívoco de los interesados o que las empresas a las que se transmitan los datos estén acogidas a los principios de puerto seguro o "safe harbour".
así que no, lo que dices no es totalmente cierto... no es Y, es O