Resulta do considerando 19 da Diretiva 95/46, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, uma conceção flexível do conceito de estabelecimento, que afasta qualquer abordagem formalista segundo a qual uma empresa só se pode considerar estabelecida no lugar em que estiver registada. Assim, para determinar se uma sociedade, responsável por um tratamento de dados, dispõe de um estabelecimento, na aceção da Diretiva 95/46, num Estado‑Membro diferente do Estado‑Membro ou do país terceiro em que está registada, há que avaliar tanto o grau de estabilidade da instalação como a realidade do exercício das atividades nesse outro Estado‑Membro, tendo em conta a natureza específica das atividades económicas e das prestações de serviços em causa. Este entendimento vale especialmente para as empresas que se dedicam a oferecer serviços exclusivamente na Internet.

Para determinar se tal se verifica em concreto, o órgão jurisdicional de reenvio pode, designadamente, ter em conta, por um lado, que a atividade do responsável pelo referido tratamento, em cujo contexto este teve lugar, consiste na exploração de sítios Internet de anúncios de imóveis situados no território desse Estado‑Membro e que foram redigidos na língua deste e que, por conseguinte, essa atividade é, principalmente, ou mesmo totalmente, direcionada ao referido Estado‑Membro e, por outro lado, que esse responsável dispõe de um representante no referido Estado‑Membro, encarregado de cobrar os créditos resultantes dessa atividade e de representá‑lo em procedimentos administrativos e judiciais relativos ao tratamento dos dados em causa.

O artigo 4.o, n.o 1, alínea a), da Diretiva 95/46, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, deve ser interpretado no sentido de que permite que seja aplicada a legislação relativa à proteção de dados pessoais de um Estado‑Membro diferente daquele em que o responsável pelo tratamento desses dados está registado, desde que este exerça, através de uma instalação estável no território desse Estado‑Membro, uma atividade efetiva e real, ainda que mínima, em cujo contexto esse tratamento é efetuado.

Na hipótese de a autoridade de controlo de um Estado‑Membro à qual tenham sido apresentadas queixas, nos termos do artigo 28.o, n.o 4, da Diretiva 95/46, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, concluir que o direito aplicável ao tratamento dos dados pessoais em causa não é o direito desse Estado‑Membro, mas o direito de outro Estado‑Membro, o artigo 28.o, n.os 1, 3 e 6, desta diretiva deve ser interpretado no sentido de que essa autoridade de controlo apenas poderá exercer os poderes efetivos de intervenção, que lhe são conferidos em conformidade com o artigo 28.o, n.o 3, da referida diretiva, no território do Estado‑Membro a que essa autoridade pertence. Por conseguinte, não pode aplicar sanções com base no direito desse Estado‑Membro ao responsável pelo tratamento daqueles dados que não esteja estabelecido nesse território, devendo, em aplicação do artigo 28.o, n.o 6, da mesma diretiva, solicitar a intervenção da autoridade de controlo pertencente ao Estado‑Membro cujo direito é aplicável.

Com efeito, resulta das exigências decorrentes da soberania territorial do Estado‑Membro em causa, do princípio da legalidade e do conceito de Estado de Direito que o poder de aplicar sanções não pode, em princípio, ser exercido fora dos limites legais dentro dos quais uma autoridade administrativa está autorizada a agir, em observância do direito do Estado‑Membro a que pertence.

(cf. n.os 56, 60, disp. 2)