CELEX: 62014CC0230
Language: es
Date: 2015-06-25 00:00:00
Title: Conclusiones del Abogado General Cruz Villalón presentadas el 25 de junio de 2015. # Weltimmo s.r.o. contra Nemzeti Adatvédelmi és Információszabadság Hatóság. # Petición de decisión prejudicial: Kúria - Hungría. # Procedimiento prejudicial - Protección de las personas físicas en lo que respecta al tratamiento de datos personales - Directiva 95/46/CE - Artículos 4, apartado 1, y 28, apartados 1, 3 y 6 - Responsable del tratamiento establecido formalmente en un Estado miembro - Vulneración del derecho a la protección de los datos personales relativos a las personas físicas en otro Estado miembro - Determinación del Derecho aplicable y de la autoridad de control competente - Ejercicio de las facultades de la autoridad de control - Potestad sancionadora. # Asunto C-230/14.

CONCLUSIONES DEL ABOGADO GENERAL
      PEDRO CRUZ VILLALÓN
      presentadas el 25 de junio de 2015 (1)
      
      Asunto C‑230/14
      Weltimmo s.r.o.
      contra
      Nemzeti Adatvédelmi és Információszabadság Hatóság
      [Petición de decisión prejudicial planteada por la Kúria (Hungría)]
      «Protección de datos de carácter personal — Directiva 95/46/CE — Artículos 4, apartado 1, y 28, apartados 1, 3 y 6 — Responsable del tratamiento de datos establecido en el territorio de otro Estado miembro — Determinación del Derecho aplicable y de la autoridad de control competente — Poderes de la autoridad de control — Poder de sanción — Concepto de “tratamiento de datos”»1.        Las cuestiones prejudiciales planteadas por la Kúria (Tribunal Supremo de Hungría) tienen su origen en un litigio que enfrenta
         a la Magyar Adatvédelmi és Információszabadság Hatóság (en lo sucesivo, «Autoridad húngara de protección de datos») a una
         empresa que gestiona una «página web» de intermediación inmobiliaria, registrada en Eslovaquia, en la que se anuncian inmuebles
         sitos en Hungría.
      
      2.        Así expuesto, el presente asunto ofrece de nuevo al Tribunal de Justicia la oportunidad de pronunciarse sobre la determinación
         del Derecho aplicable al tratamiento de datos con arreglo al artículo 4, apartado 1, letra  a), de la Directiva 95/46/CE,
         relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación
         de estos datos, (2) ya interpretado en la sentencia Google Spain y Google. (3) Adicionalmente, el presente asunto plantea cuestiones inéditas tanto sobre la determinación de la autoridad de control competente
         como sobre el Derecho nacional aplicable por dicha autoridad y sus poderes de actuación, en particular, en lo que a la facultad
         de imponer sanciones respecta.
      
      I.      Marco normativo
      A.      Derecho de la Unión 
      3.        La Directiva 95/46 establece distintos criterios para la determinación de la ley aplicable al tratamiento de datos personales.
         Su considerando 18 señala que, «[…] para evitar que una persona sea excluida de la protección garantizada por la presente
         Directiva, es necesario que todo tratamiento de datos personales efectuado en la Comunidad respete la legislación de uno de
         sus Estados miembros; […] a este respecto, resulta conveniente someter el tratamiento de datos efectuado por cualquier persona
         que actúe bajo la autoridad del responsable del tratamiento establecido en un Estado miembro a la aplicación de la legislación
         de tal Estado».
      
      4.        Por otra parte, el considerando 19 de la Directiva 95/46 pone de relieve que […] «el establecimiento en el territorio de un
         Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable; que la forma jurídica
         de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante
         al respecto […]». Este mismo considerando señala que «cuando un mismo responsable esté establecido en el territorio de varios
         Estados miembros, en particular por medio de una empresa filial, debe garantizar, en particular para evitar que se eluda la
         normativa aplicable, que cada uno de los establecimientos cumpla las obligaciones impuestas por el Derecho nacional aplicable
         a estas actividades».
      
      5.        El artículo 4, párrafo 1, de la Directiva 95/46, cuya letra a) es pertinente a los efectos del presente litigio, constituye
         la norma relativa al derecho aplicable al tratamiento de datos, estableciendo que:
      
      «1.      Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva
         a todo tratamiento de datos personales cuando:
      
      a)      el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio
         del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros
         deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas
         por el Derecho nacional aplicable;
      
      […]».
      6.        El artículo 28, que constituye la disposición relativa a las autoridades de control en materia de protección de datos, dispone
         lo siguiente en sus apartados 1, 3, 4 y 6:
      
      «1.      Los Estados miembros dispondrán que una o más autoridades públicas se encarguen de vigilar la aplicación en su territorio
         de las disposiciones adoptadas por ellos en aplicación de la presente Directiva.
      
      Estas autoridades ejercerán las funciones que les son atribuidas con total independencia.
      […]
      3.      La autoridad de control dispondrá, en particular, de:
      –        poderes de investigación, como el derecho de acceder a los datos que sean objeto de un tratamiento y el de recabar toda la
         información necesaria para el cumplimiento de su misión de control;
      
      –        poderes efectivos de intervención, como, por ejemplo, el de formular dictámenes antes de realizar los tratamientos, con arreglo
         al artículo 20, y garantizar una publicación adecuada de dichos dictámenes, o el de ordenar el bloqueo, la supresión o la
         destrucción de datos, o incluso prohibir provisional o definitivamente un tratamiento, o el de dirigir una advertencia o amonestación
         al responsable del tratamiento o el de someter la cuestión a los parlamentos u otras instituciones políticas nacionales;
      
      –        capacidad procesal en caso de infracciones a las disposiciones nacionales adoptadas en aplicación de la presente Directiva
         o de poner dichas infracciones en conocimiento de la autoridad judicial.
      
      Las decisiones de la autoridad de control lesivas de derechos podrán ser objeto de recurso jurisdiccional.
      4.      Toda autoridad de control entenderá de las solicitudes que cualquier persona, o cualquier asociación que la represente, le
         presente en relación con la protección de sus derechos y libertades respecto del tratamiento de datos personales. Esa persona
         será informada del curso dado a su solicitud.
      
      Toda autoridad de control entenderá, en particular, de las solicitudes de verificación de la licitud de un tratamiento que
         le presente cualquier persona cuando sean de aplicación las disposiciones nacionales tomadas en virtud del artículo 13 de
         la presente Directiva. Dicha persona será informada en todos los casos de que ha tenido lugar una verificación.
      
      […]
      6.      Toda autoridad de control será competente, sean cuales sean las disposiciones de Derecho nacional aplicables al tratamiento
         de que se trate, para ejercer en el territorio de su propio Estado miembro los poderes que se le atribuyen en virtud del apartado
         3 del presente artículo. Dicha autoridad podrá ser instada a ejercer sus poderes por una autoridad de otro Estado miembro.
      
      Las autoridades de control cooperarán entre sí en la medida necesaria para el cumplimiento de sus funciones, en particular
         mediante el intercambio de información que estimen útil.
      
      […]»
      B.      Derecho húngaro 
      7.        La Ley CXII de 2011, sobre el derecho de autodeterminación en materia de información y la libertad de información (2011. évi CXII.
         törvény az információs önrendelkezési jogról és az információszabadságról szóló 2011; en lo sucesivo, «Ley Info»), constituye
         la norma nacional de transposición de la Directiva 95/46.
      
      8.        El artículo 2 de la Ley Info establece lo siguiente:
      
      «(1)      El ámbito de aplicación de esta Ley comprende todo tratamiento y procesamiento de datos operado en el territorio de Hungría
         en relación con datos de personas físicas así como con datos de interés público o con datos accesibles por razones de interés
         público.
      
      (2)      Esta Ley resulta aplicable tanto al tratamiento como al procesamiento de datos, operados bien por medios total o parcialmente
         automáticos, bien manualmente.
      
      (3)      Procederá aplicar lo dispuesto por esta Ley cuando el responsable del tratamiento de datos que trata datos personales fuera
         del territorio de la Unión Europea encomienda el procesamiento de datos a un encargado del procesamiento de datos que tenga
         en el territorio de Hungría su domicilio social o un establecimiento, sucursal, domicilio privado o residencia, o bien utiliza
         algún medio situado en este territorio, salvo en caso de que dicho medio se utilice solamente con fines de tránsito por el
         territorio de la Unión Europea. Tal responsable de tratamiento de datos deberá designar un representante en el territorio
         de Hungría.»
      
      9.        Por su parte, el artículo 3 de la Ley Info establece que, a los efectos de la aplicación de esta Ley, se entenderá por:
      
      «(9)      responsable del tratamiento de datos (“adatkezelőˮ): persona física o jurídica o entidad sin personalidad jurídica que, sola
         o conjuntamente con otros, determina la finalidad del tratamiento de datos, toma las decisiones sobre dicho tratamiento (incluidos
         los medios empleados para ello) y las ejecuta por sí mismo o a través de un encargado del procesamiento de datos (“adatfeldolgozóˮ);
      
      (10)      tratamiento de datos (“adatkezelésˮ): toda operación o conjunto de operaciones realizadas respecto de los datos, cualquiera
         que sea el procedimiento empleado, en particular la recogida, captación, registro, organización, conservación, modificación,
         utilización, solicitud, transmisión, publicación, cotejo o interconexión, bloqueo, supresión o destrucción, así como impedir
         otra utilización de los datos, captar fotografías, sonidos o imágenes, o registrar las características físicas que sirven
         para la identificación de las personas (por ejemplo, huellas dactilares o de la palma de la mano, muestras de ADN o imagen
         del iris);
      
      (11)      transmisión de datos: la puesta de datos a disposición de un tercero determinado;
      […]
      (17)      procesamiento de datos (“adatfeldolgozásˮ): la ejecución de tareas técnicas en relación con las operaciones de tratamiento
         de datos, cualquiera que sea el método y el medio empleado para realizar las operaciones, así como el lugar en que se desarrollen,
         siempre que las tareas técnicas se ejecuten en los datos;
      
      (18)      encargado del procesamiento de datos (“adatfeldolgozóˮ): persona física o jurídica o entidad sin personalidad jurídica que,
         en virtud de un contrato ―incluidos los contratos celebrados por imperativo legal―, lleva a cabo el procesamiento de datos;
      
      […]».
      II.    Los hechos y el procedimiento en el litigio principal
      10.      La presente cuestión prejudicial se plantea con ocasión de un recurso de casación promovido ante la Kúria contra la sentencia
         del Fővárosi Közigazgatási és Munkaügyi Bíróság (Tribunal de lo contencioso-administrativo y de lo social de la capital),
         en el procedimiento contencioso-administrativo de protección de datos entre la sociedad Weltimmo s.r.o. (en lo sucesivo, «Weltimmo»)
         y la Autoridad húngara de protección de datos. 
      
      11.      Weltimmo es una sociedad que gestiona una página de Internet de intermediación inmobiliaria, con domicilio social en Eslovaquia.
         Su actividad consiste en la gestión de la referida página web, la cual publica anuncios de inmuebles situados en Hungría.
         Dichos anuncios son gratuitos para el anunciante durante el primer mes, trascurrido el cual, el servicio pasa a ser de pago.
         Un alto número de anunciantes solicitó por correo electrónico la supresión de sus respectivos anuncios así como de sus propios
         datos personales al no desear pasar, tras el primer mes, a la modalidad de servicio de pago. Weltimmo no dio curso sin embargo
         a tales demandas, facturando consiguientemente sus servicios. Ante el impago de dichas facturas, Weltimmo procedió a transmitir
         los datos personales de los anunciantes a empresas de cobro de impagados.
      
      12.      En respuesta a las quejas presentadas por los anunciantes, la Autoridad húngara de protección de datos declaró su propia competencia,
         así como la aplicabilidad de la ley nacional (en virtud del artículo 3, apartado 10, de la Ley Info, la recogida de datos
         constituye un tratamiento de datos), e impuso una sanción de diez millones de forintos húngaros (HUF). Dicha resolución fue
         recurrida por Weltimmo ante el tribunal contencioso-administrativo y de lo social de la capital que, si bien no puso en cuestión
         la competencia de la autoridad de protección de datos ni la ley aplicable, anuló la resolución administrativa por falta de
         suficiente esclarecimiento de algunos de los hechos alegados. 
      
      13.      En su recurso de casación, Weltimmo solicita, entre otras cosas, que se declare que no procede un mayor esclarecimiento de
         los hechos, ya que, conforme al artículo 4, apartado 1, letra a), de la Directiva 95/46, la Autoridad húngara de protección
         de datos carece de competencia para tramitar un procedimiento y aplicar el Derecho húngaro a un prestador de servicios establecido
         en otro Estado miembro, señalando particularmente a este respecto que, conforme al artículo 28, apartado 6, de la Directiva
         95/46, dicha autoridad debería haber instado a su homóloga eslovaca a que actuara contra la demandante.
      
      14.      La Autoridad húngara de protección de datos alega en el procedimiento principal, en orden a fundamentar su competencia y la
         aplicabilidad de la legislación húngara, que Weltimmo tiene una «persona de contacto húngara» —uno de sus propietarios, de
         nacionalidad húngara—, quien la ha representado tanto en el procedimiento administrativo como en el proceso judicial nacional.
         Asimismo, señala que los propietarios de Weltimmo son residentes en Hungría. En todo caso, considera esta autoridad que el
         artículo 28, apartado 6, de la Directiva 95/46 establece una competencia a su favor, con independencia del Derecho aplicable.
      
      III. Las cuestiones prejudiciales y el procedimiento ante el Tribunal de Justicia
      15.      En este marco, al considerar que las disposiciones pertinentes de la Directiva 95/46 no son suficientemente claras, la Kúria
         ha planteado, en su resolución de 22 de abril de 2014, que hizo entrada en el Tribunal de Justicia el 12 de mayo de 2014,
         las siguientes cuestiones prejudiciales:
      
      «1)      ¿Procede interpretar el artículo 28, apartado 1, de la Directiva 95/46 […], en el sentido de que la normativa nacional de
         un Estado miembro puede aplicarse en su territorio a un responsable de tratamiento de datos establecido exclusivamente en
         otro Estado miembro, que gestiona una página web de intermediación inmobiliaria y anuncia, entre otros, inmuebles situados
         en el territorio del primer Estado miembro, habiendo transmitido los propietarios de los inmuebles sus datos personales a
         un medio (servidor) de almacén y procesamiento de datos que pertenece al gestor de la página web y que está situado en otro
         Estado miembro?
      
      2)      ¿Procede interpretar el artículo 4, apartado 1, letra a), de la Directiva de protección de datos, a la luz de sus considerandos
         18 a 20 y de sus artículos 1, apartado 2, y 28, apartado 1, en el sentido de que la [Autoridad húngara de protección de datos]
         no puede aplicar la ley húngara de protección de datos, como Derecho nacional, a un gestor de una página web de intermediación
         inmobiliaria establecido exclusivamente en otro Estado miembro, ni aun cuando éste anuncie, entre otros, inmuebles húngaros
         cuyos propietarios transmitieron, probablemente desde el territorio de Hungría, los datos relativos a sus inmuebles a un medio
         (servidor) de almacén y procesamiento de datos que pertenece al gestor de la página web y que está situado en otro Estado
         miembro?
      
      3)      ¿Es significativo, a efectos de la interpretación, que el servicio prestado por el responsable de tratamiento de datos que
         gestiona la página web esté dirigido al territorio de otro Estado miembro?
      
      4)      ¿Es significativo, a efectos de la interpretación, que los datos relativos a los inmuebles situados en el territorio del otro
         Estado miembro y los datos personales de los propietarios se hayan cargado efectivamente desde el territorio de ese otro Estado
         miembro?
      
      5)      ¿Es significativo, a efectos de la interpretación, que los datos personales en relación con dichos inmuebles sean datos personales
         de ciudadanos de otro Estado miembro? 
      
      6)      ¿Es significativo, a efectos de la interpretación, que los propietarios de la empresa establecida en Eslovaquia dispongan
         de domicilio en Hungría?
      
      7)      Si de las respuestas dadas a las preguntas anteriores resulta que la Autoridad húngara de protección de datos puede tramitar
         un procedimiento, pero que no puede aplicar el Derecho nacional, sino que debe aplicar el Derecho del Estado miembro de establecimiento,
         ¿debe interpretarse el artículo 28, apartado 6, de la Directiva de protección de datos en el sentido de que la Autoridad húngara
         de protección de datos sólo puede ejercer las facultades establecidas en el artículo 28, apartado 3, de la Directiva de protección
         de datos de conformidad con lo dispuesto en la normativa del Estado miembro de establecimiento, y que por ello no está facultada
         para imponer una multa?
      
      8)      En la terminología de la Directiva de protección de datos, ¿puede considerarse que el concepto de “adatfeldolgozásˮ empleado
         tanto en el artículo 4, apartado 1, letra a), como en el artículo 28, apartado 6, de la [versión húngara de la] Directiva,
         es idéntico al concepto de “adatkezelésˮ?»
      
      16.      Han presentado observaciones escritas el Gobierno húngaro, el Gobierno eslovaco, el Gobierno del Reino Unido, la Autoridad
         húngara de protección de datos y la Comisión Europea. Han participado en la vista oral, celebrada 12 de marzo de 2015, el
         Gobierno húngaro, el Gobierno eslovaco, el Gobierno polaco, la Autoridad húngara de protección de datos y la Comisión Europea.
      
      IV.    Análisis
      17.      Las diversas cuestiones prejudiciales planteadas por la Kúria versan sobre dos problemas que, aunque presentados de manera
         interrelacionada, merecen una atención diferenciada —como así se refleja también en las observaciones escritas y orales presentadas
         en el procedimiento ante el Tribunal de Justicia—, a saber, el de la ley aplicable al tratamiento de datos y el de la determinación
         de la autoridad de control competente. Por esta razón, estructuraré mi razonamiento esencialmente en dos partes. En primer
         lugar, abordaré la cuestión de la ley aplicable al tratamiento de los datos, y en definitiva, la cuestión del «establecimiento»,
         examinando de manera conjunta las cuestiones primera a sexta. En segundo lugar, examinaré la cuestión de la determinación
         de la autoridad de control competente y de sus competencias —analizando, asimismo, la cuestión de la posible disociación entre
         la autoridad de control competente y la ley aplicable— (cuestión séptima). Por último, habré de ocuparme de la cuestión terminológica
         planteada por la octava de las cuestiones prejudiciales.
      
      A.      Sobre la ley aplicable al tratamiento de datos y sobre el concepto de establecimiento (cuestiones prejudiciales primera a
            sexta)
      18.      A través de sus cuestiones prejudiciales primera a sexta, que procede examinar conjuntamente, la Kúria desea saber, en esencia,
         si los artículos 4, apartado 1, letra a), y 28, apartado 1 de la Directiva 95/46, pueden interpretarse en el sentido de que,
         en unas circunstancias tales como las del litigio principal, permiten la aplicación de la ley húngara de protección de datos,
         así como que sea la autoridad húngara de protección de datos quien aplique dicha ley a un gestor de una página web establecido
         exclusivamente en otro Estado miembro. A este respecto, la Kúria pregunta, además, sobre la incidencia de una serie de factores
         específicos, tales como que los servicios de dicha empresa estén dirigidos al territorio de otro Estado miembro, el lugar
         desde el cual los datos relativos a los inmuebles han sido cargados, la nacionalidad de los afectados o el hecho de que los
         propietarios de la empresa dispongan de domicilio en Hungría.
      
      19.      La Kúria, en sus dos primeras preguntas, ha hecho referencia tanto al artículo 28, apartado 1, como al artículo 4, apartado
         1, letra a), de la Directiva. A efectos, sin embargo, de la respuesta a sus preguntas considero que es perfectamente posible
         prescindir del análisis del alcance del primero de los preceptos citados. En efecto, el artículo 28, apartado 1, se limita
         a establecer que «los Estados miembros dispondrán que una o más autoridades públicas se encarguen de vigilar la aplicación
         en su territorio de las disposiciones adoptadas por ellos en aplicación de la presente Directiva». Considero que esta disposición
         no es determinante a los efectos del establecimiento de la ley aplicable. En primer lugar, y desde una perspectiva sistemática,
         el artículo 28 se sitúa en el capítulo VI de la Directiva, destinado a la regulación de las autoridades de control así como
         del grupo de protección de las personas en lo que respecta al tratamiento de datos personales, y no a la cuestión de la ley
         aplicable. En segundo lugar, el propio tenor literal del artículo 28, apartado 1, de la Directiva, no ofrece criterio adicional
         alguno para la determinación de la ley aplicable al tratamiento de los datos. En suma, dicha disposición no contiene ningún
         elemento cuya interpretación permita conducir a una respuesta diferente a la cuestión de la determinación de la ley aplicable
         resultante de los criterios establecidos por el artículo 4 de dicha Directiva, que es el que específicamente regula la cuestión
         de la ley aplicable. 
      
      20.      Centrándonos ya en el artículo 4, apartado 1, letra a), de la Directiva, conviene comenzar indicando que tanto las observaciones
         presentadas en la vista oral como las presentadas durante el procedimiento escrito coinciden en señalar la relevancia de esta
         disposición para responder a las cuestiones relacionadas con la ley aplicable, al igual que la particular importancia de determinar
         el lugar de establecimiento de Weltimmo. 
      
      21.      La problemática de la ley aplicable en situaciones transfronterizas de tratamiento de datos constituye una cuestión controvertida
         desde hace décadas en el ámbito internacional. (4) El artículo 4 de la Directiva, destinado a la determinación del Derecho nacional aplicable, ha venido a ser la primera norma
         que ha conseguido establecer una regla de determinación de Derecho aplicable a este respecto. (5) Dicha disposición establece distintos criterios para determinar si el Derecho nacional aprobado para la transposición de
         la Directiva es aplicable, estableciendo así, de manera indirecta (a través del señalamiento de la aplicabilidad de dichas
         normas nacionales), el ámbito de aplicación territorial de la propia Directiva.
      
      22.      De particular significado para las situaciones en las que es relevante la cuestión de la ley aplicable entre Estados miembros
         de la Unión es, pues, el artículo 4, apartado 1, letra a), de la Directiva 95/46, que establece que «los Estados miembros
         aplicarán las disposiciones nacionales que haya[n] [(6)] aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando: a) el tratamiento sea
         efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado
         miembro».
      
      23.      El artículo 4, apartado 1, letra a), desempeña así una doble función. Por una parte, posibilita la aplicación del Derecho
         de la Unión a través del Derecho de uno de sus Estados miembros cuando el tratamiento de datos tiene exclusivamente lugar
         «en el marco» de las actividades de un establecimiento sito en ellos, y ello por más que el tratamiento de datos «propiamente
         dicho» se efectúe en un tercer Estado (cual era el caso en el asunto Google Spain y Google) (7). Por otra parte, dicha disposición funciona como la norma que determina la ley aplicable entre Estados miembros (que es la
         cuestión aquí debatida). En esta segunda situación, el artículo 4, apartado 1, letra a), de la Directiva constituye la disposición
         que determina la ley aplicable en tanto que norma de conflicto entre las legislaciones de los distintos Estados miembros.
      
      24.      A este respecto, ha de ponerse de relieve que la jurisdicción nacional formula sus cuestiones en relación con un gestor de
         una página de Internet dedicada a anuncios inmobiliarios que está exclusivamente establecido en otro Estado Miembro —afirmación que es rebatida por la Autoridad de control húngara—. El Reino Unido considera
         evidente que ha de estimarse que la ley aplicable en el presente asunto debe ser la del Estado miembro de establecimiento,
         en este caso, Eslovaquia, estando la autoridad húngara privada de la posibilidad de aplicar las normas de su propio Derecho
         nacional. En la misma línea, la Comisión subraya la circunstancia de que, con independencia de que pudiera aceptarse la aplicación
         de la ley húngara si se estimase que la demandante está también establecida en territorio húngaro, la Kúria ha señalado que
         la empresa está en este caso exclusivamente establecida en otro Estado miembro.
      
      25.      A este respecto, y más allá de la estimación fáctica inserta en el tenor de las cuestiones prejudiciales relativa al efectivo
         lugar del establecimiento, las preguntas tercera a sexta planteadas por la Kúria permiten adivinar cierta incertidumbre por
         parte de la jurisdicción de remisión en relación con la noción de establecimiento, en el sentido de la Directiva, en tanto
         que noción acaso no puramente formal. Por esta razón, estimo que una respuesta útil a las preguntas primera a sexta exige
         determinar los criterios que permitan concluir si existe un tratamiento de datos que se ha efectuado «en el marco de las actividades
         de un establecimiento del responsable del tratamiento» en territorio húngaro, en el sentido del artículo 4, párrafo 1, letra a)
         de la Directiva.
      
      26.      Para determinar, pues, en el presente asunto, si la legislación aplicable es la húngara o, por el contrario, la eslovaca,
         resultaría preciso desarrollar un examen en dos etapas, siguiendo el método adoptado en la sentencia Google Spain y Google. (8) Así, procedería, en primer lugar, dilucidar si Weltimmo disponía de un establecimiento en el territorio de Hungría y, en
         segundo lugar, si el tratamiento de datos se ha producido en el ámbito de las actividades de dicho establecimiento. No obstante,
         ha de señalarse que, en las circunstancias del presente asunto, y a diferencia de las que subyacían al asunto Google Spain
         y Google, no resulta controvertida la cuestión relativa a si el tratamiento de los datos se ha producido en el «marco de las
         actividades de un establecimiento». La cuestión determinante es propiamente la de la existencia o no de un establecimiento
         en Hungría y/o en Eslovaquia. Por lo tanto, mi análisis se centrará, fundamentalmente, en esta primera etapa de análisis.
      
      27.      Sobre esta cuestión, el Gobierno húngaro ha señalado en sus observaciones escritas que las diferentes versiones lingüísticas
         de esta disposición apoyan una interpretación de la noción de establecimiento que pudiera no contentarse con la mera referencia
         al establecimiento en el sentido del Derecho de sociedades. El Gobierno eslovaco, apuntando igualmente a una concepción no
         formalista de la noción de establecimiento, señala que es pertinente, en este contexto, referirse a la jurisprudencia del
         Tribunal de Justicia relativa a la libertad de establecimiento. Asimismo, la Autoridad húngara de protección de datos aboga
         por una concepción de la noción de establecimiento en la cual no sea determinante la forma jurídica, y señala que el establecimiento
         puede estar constituido por el representante en Hungría de Weltimmo, el Sr. Benkö, en el caso. Esta persona, en efecto, ha
         representado a dicha empresa en el procedimiento administrativo y contencioso en primera instancia, ha estado en contacto
         con los afectados que presentaron las quejas y figura inscrito en el registro de sociedades eslovaco con una dirección en
         Hungría. Además, la Autoridad puso de relieve en la vista oral que Weltimmo cuenta con un apartado de correos en Hungría para
         la gestión de sus negocios corrientes y que, tras una consulta informal con la Autoridad eslovaca de protección de datos,
         ésta le confirmó la ausencia de actividad efectiva en Eslovaquia por parte de la empresa. Únicamente el Gobierno polaco ha
         hecho hincapié, en sus observaciones presentadas en la vista oral, en la necesidad de que sea exclusivamente tenido en cuenta
         el registro de la sociedad en un Estado miembro en tanto que único elemento objetivo y verificable.
      
      28.      Dicho esto, resulta de obligada referencia el considerando 19 de la Directiva 95/46, que constituye un elemento interpretativo
         fundamental para determinar el contenido de la noción de establecimiento, en el sentido de esta misma Directiva. El referido
         considerando apunta, en efecto, a una concepción flexible de la noción, apartándose de un enfoque formalista, en virtud del
         cual una empresa estaría establecida únicamente en el lugar en el cual se encuentre registrada. Así, en primer lugar, dicho
         considerando incorpora un criterio de efectividad y un elemento de permanencia al señalar que «el establecimiento en el territorio
         de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable […]». En segundo
         lugar, ofrece una considerable flexibilidad al determinar que «la forma jurídica de dicho establecimiento, sea una simple
         sucursal o una empresa filial con personalidad jurídica, no es un factor determinante al respecto».
      
      29.      Esta concepción de la noción de establecimiento está en línea con la interpretación que dicho concepto ha recibido por la
         jurisprudencia del Tribunal de Justicia en otras esferas del Derecho de la Unión. Particularmente, según jurisprudencia reiterada,
         «el concepto de establecimiento, en el sentido de las disposiciones del Tratado relativas a la libertad de establecimiento,
         implica el ejercicio efectivo de una actividad económica por medio de una instalación permanente en dicho Estado por una duración
         indeterminada», (9) lo que «supone una implantación real de la sociedad de que se trate en el Estado miembro de acogida y el ejercicio de una
         actividad económica efectiva en éste». (10)
      
      30.      Por otra parte, el Dictamen 8/2010 del Grupo de Protección de Datos del Artículo 29 (en lo sucesivo, «Grupo del artículo 29»), (11) se refiere a la interpretación de la noción de establecimiento en tanto que criterio de conexión a efectos fiscales en materia
         de IVA. (12) La jurisprudencia del Tribunal en esta materia resulta particularmente interesante —al actuar la noción de establecimiento
         como criterio de conexión para determinar la sujeción a una legislación fiscal nacional―, y profundiza en la noción de establecimiento
         permanente, el cual «[…] debe caracterizarse por un grado suficiente de permanencia y una estructura adecuada en términos
         de medios humanos y técnicos que le permitan recibir y utilizar los servicios que le sean prestados para las necesidades propias
         de dicho establecimiento». (13) Adicionalmente, la noción de establecimiento presente tanto en el ámbito del Convenio de Roma, (14) como en el Convenio de Bruselas (15) aboga igualmente por una concepción no formalista. (16)
      
      31.      Con independencia de la obvia divergencia de contextos y objetivos entre los ámbitos en los que se inserta la jurisprudencia
         del Tribunal en las materias a las que se acaba de hacer referencia y el asunto que nos ocupa, resulta en todo caso significativo
         que el Derecho de la Unión, en distintos ámbitos, haga hincapié en una concepción de la noción de establecimiento basada en
         la efectividad del ejercicio de las actividades económicas y en un grado cierto de estabilidad, coincidiendo así con las indicaciones
         que se reflejan asimismo en el considerando 19 de la Directiva 95/46.
      
      32.      Por otra parte, teniendo en cuenta el objeto específico de la Directiva 95/46, tal y como queda recogido en su artículo 1,
         apartado 1, de «garantizar la protección de las libertades y de los derechos fundamentales de las personas físicas, y, en
         particular, del derecho a la intimidad en lo que respecta al tratamiento de los datos personales», considero que procede interpretar
         tanto el grado de estabilidad de la instalación como la efectividad del desarrollo de las actividades tomando en consideración
         la naturaleza específica de las actividades económicas y de las prestaciones de servicios en cuestión.
      
      33.      Así, tal y como señalan la Autoridad húngara de protección de datos y el Gobierno eslovaco, y siguiendo asimismo los criterios
         ofrecidos por el Grupo del artículo 29, (17) un único agente bastaría para considerar que se está en presencia de una instalación estable si el mismo actúa con un grado
         de estabilidad suficiente a través de la presencia de los medios necesarios para la prestación de los servicios concretos
         de los que se trate en el Estado miembro en cuestión. 
      
      34.      En efecto, tal y como señaló el Abogado General Jääskinen en sus conclusiones en el asunto Google Spain y Google, el modelo
         de negocios del actor en cuestión debe tenerse en cuenta en la apreciación de las condiciones del artículo 4 de la Directiva
         95/46. (18) Por ello, es necesario aquí apreciar la particularidad de las empresas que operan exclusivamente a través de Internet, cuyo
         modelo de negocio relativiza la noción de instalación física permanente, condicionando también la intensidad de los medios
         tanto humanos como materiales. En efecto, en determinadas circunstancias, un agente con presencia duradera equipado con poco
         más que un ordenador portátil, puede constituir una estructura suficiente de cara a poder desempeñar una actividad efectiva,
         real y con un grado suficiente de estabilidad. A la luz de estas consideraciones, se hace necesario, a la hora de valorar
         dichos medios humanos y técnicos, considerar con cuidado las especificidades de las empresas que se dedican a ofrecer servicios
         a través de Internet, atendiendo a las particularidades de cada situación concreta.
      
      35.      La especificidad de las actividades económicas prestadas a través de Internet ha sido ya, en efecto, tomada en consideración
         a los efectos de determinar el contenido de la noción de establecimiento en otros instrumentos de Derecho de la Unión. En
         particular, la Directiva sobre el comercio electrónico (19) establece en su considerando 19 que «[…] cuando se trata de una sociedad que proporciona servicios mediante un sitio Internet,
         [el] lugar de establecimiento no se encuentra allí donde está la tecnología que mantiene el sitio ni allí donde se puede acceder
         al sitio, sino el lugar donde se desarrolla la actividad económica». Esta definición ha sido considerada pertinente por el
         Grupo del artículo 29 a los efectos de interpretar el artículo 4 de la Directiva 95/46. (20)
      
      36.      Atendiendo a estas consideraciones, puede concluirse que, sin poner en discusión que Weltimmo es una sociedad formalmente
         inscrita en Eslovaquia, no cabe excluir que dicha sociedad ejerza efectiva y realmente su actividad en el territorio de otro
         Estado, en el presente caso, Hungría, a través de una instalación estable —que puede venir dada por un único agente—. Si este
         fuera el caso, Weltimmo contaría con un establecimiento en Hungría, en el sentido del artículo 4, apartado 1, letra a), de
         la Directiva 95/46.
      
      37.      Los diversos factores adicionales señalados por la Kúria en sus cuestiones prejudiciales —el lugar desde dónde se han cargado
         los datos, el Estado miembro al que estén dirigidos los servicios, la nacionalidad de los afectados o el lugar de residencia
         de los propietarios de la empresa— no tienen, a este respecto, una incidencia directa y determinante en la fijación del derecho
         aplicable. (21) En efecto, dichos elementos no figuran en la Directiva en tanto que criterios pertinentes que permitieran apartarse del criterio
         establecido por el artículo 4, apartado 1, letra a). (22)
      
      38.      No obstante lo anterior, varios de tales factores podrían constituir, en determinadas circunstancias, indicios del carácter
         real y efectivo de la actividad —a los efectos de determinar el lugar de establecimiento— y, en particular, a la hora de determinar
         si el tratamiento de datos ha tenido lugar en el marco de las operaciones de un establecimiento del responsable del tratamiento.
      
      39.      Así, en particular, en relación con el segundo de los elementos ―que el tratamiento de datos se efectúe en el marco de las actividades del establecimiento situado en un Estado miembro—, procede referirse a la interpretación fijada por la sentencia Google Spain
         y Google. (23) Con arreglo a la misma, el artículo 4, apartado 1, letra a), de la Directiva 95/46 «no exige que el tratamiento de datos
         personales controvertido sea efectuado “por” el propio establecimiento en cuestión, sino que se realice “en el marco de las
         actividades” de éste». (24) Además —continúa el Tribunal—, atendiendo al objetivo de la Directiva «esta expresión no puede ser objeto de una interpretación
         restrictiva». (25)
      
      40.      La aplicación de este segundo criterio resulta de particular relevancia para el caso de que la jurisdicción de reenvío estime
         que Weltimmo se encuentra establecido —en aplicación de los criterios previamente enunciados— en los dos Estados miembros
         en cuestión. En este caso, tal y como ponen de relieve en sus observaciones escritas el Gobierno eslovaco y la Comisión, habrá
         de atenderse precisamente a las actividades en el marco de las cuales se ha realizado el tratamiento y, en particular, a su
         grado de conexión con  un establecimiento en particular. (26) Asimismo, otros elementos determinantes a este respecto han sido apuntados por el Grupo del artículo 29 en relación con los
         motores de búsqueda, pudiendo resultar de utilidad para la determinación de si las actividades se sitúan en el contexto del
         establecimiento: el hecho de que el establecimiento sea responsable de las relaciones con los usuarios; que participe en la
         venta de publicidad orientada a los habitantes de este Estado o que responda ante las autoridades competentes de un Estado
         miembro respecto a los datos de los usuarios. (27)
      
      41.      En definitiva, para determinar, en el presente asunto, si el Derecho húngaro puede ser aplicable a la actividad de Weltimmo
         en Hungría, habría que constatar si Weltimmo dispone de un establecimiento en dicho Estado miembro, en el ámbito de cuyas
         actividades se ha efectuado el tratamiento de datos controvertido. Para ello, habría que determinar si el agente al que se
         refiere la resolución de remisión dispone de una instalación estable, independientemente de su forma jurídica, a través de
         la cual desempeña el ejercicio efectivo y real de una actividad, en cuyo marco se haya desarrollado el tratamiento de datos
         controvertido.
      
      42.      En conclusión, considero que procede responder conjuntamente a las cuestiones primera a sexta de la Kúria en el sentido de
         que el artículo 4, apartado 1, letra a) de la Directiva 95/46, impide que la Autoridad húngara de protección de datos pueda
         aplicar la ley húngara a un responsable de tratamiento de datos establecido exclusivamente en otro Estado miembro. A estos
         efectos, la noción de establecimiento ha de interpretarse como la existencia de una instalación estable, independientemente
         de su forma jurídica, a través de la cual desempeña el ejercicio efectivo y real de una actividad. Un único agente puede ser
         considerado como una instalación estable si presenta un grado de estabilidad suficiente a través de la presencia de medios
         humanos y técnicos necesarios para la prestación de los servicios concretos de los que se trate.
      
      Otros elementos, tales como el lugar desde donde se han cargado los datos, la nacionalidad de los afectados, el domicilio
         de los propietarios de la empresa responsable del tratamiento de datos, o el hecho de que el servicio prestado por dicho responsable
         esté dirigido al territorio de otro Estado miembro, carecen de relevancia directa y determinante para la fijación de la ley
         aplicable, con independencia de que puedan constituir indicios del carácter real y efectivo de la actividad —a los efectos
         de determinar el lugar de establecimiento— y, en particular, a la hora de determinar si el tratamiento de datos ha tenido
         lugar en el marco de las operaciones de dicho establecimiento.
      
      B.      Sobre la autoridad de control competente y la posible disociación entre derecho aplicable y autoridad competente (séptima
            cuestión prejudicial)
      43.      Por medio de la séptima cuestión prejudicial la Kúria pregunta al Tribunal de Justicia, «en el supuesto de que de las respuestas
         dadas a las preguntas anteriores resulte que la Autoridad húngara de protección de datos puede tramitar un procedimiento,
         pero que no puede aplicar el Derecho nacional, sino que debe aplicar el Derecho del Estado miembro de establecimiento, [si]
         debe interpretarse el artículo 28, apartado 6, de la Directiva en el sentido de que la Autoridad húngara de protección de
         datos sólo puede ejercer las facultades establecidas en el artículo 28, apartado 3, de conformidad con lo dispuesto en la
         normativa del Estado miembro de establecimiento, y que, por ello, no está facultada para imponer una multa».
      
      44.      Como se ve, esta cuestión prejudicial resulta únicamente determinante para el caso de que la jurisdicción de reenvío considere
         que, de conformidad con los criterios previamente enunciados, Weltimmo no dispone de un establecimiento en Hungría, sino que
         está exclusivamente establecida en Eslovaquia. Para poder dar una respuesta útil a la presente cuestión prejudicial es preciso
         contemplar, por lo tanto, y con carácter previo —ya que ello no resulta expresamente de la respuesta dada a las cuestiones
         anteriores— la posibilidad de que una autoridad de control de un Estado miembro pueda actuar incluso cuando, en función de
         los criterios del artículo 4, apartado 1, letra a), de la Directiva, resulte aplicable el Derecho de otro Estado miembro.
         Una respuesta positiva a esta cuestión conduciría, en segundo término, a la necesidad de determinar la amplitud y el contenido
         de las competencias de dicha autoridad.
      
      45.      Con carácter preliminar se plantea, por lo tanto, el interrogante de si el artículo 4, relativo a la ley aplicable constituye,
         además de una cláusula de determinación de la ley aplicable, una cláusula de jurisdicción y, en su caso, el valor de las precisiones
         aportadas por el artículo 28 en relación con la competencia de las autoridades públicas. Y todo ello, en la tesitura de una
         reforma de envergadura del Derecho de la Unión en materia de protección de datos. (28)
      
      46.      Las observaciones presentadas ante el Tribunal de Justicia avanzan distintas interpretaciones de los apartados 1, 3 y 6 del
         artículo 28 de la Directiva. Así, la Autoridad húngara de protección de datos sostiene su propia competencia para imponer
         una sanción pecuniaria incluso cuando fuese aplicable la legislación de otro Estado miembro. En este mismo sentido se pronuncia
         también el Gobierno húngaro, según el cual resulta evidente que las modalidades del estatuto y del procedimiento para el ejercicio
         de las competencias de las autoridades de control enunciadas en el artículo 28, apartado 3, de la Directiva, quedarían regidas
         por el Derecho nacional del Estado en el que dicha autoridad tiene su sede, con la consecuencia de que la imposición de sanciones
         deberá llevarse a cabo conforme a su propio Derecho nacional. 
      
      47.      Por su parte, la Comisión considera que las autoridades de control de un Estado miembro tienen el derecho de ejercer las competencias
         enumeradas en el artículo 28, apartado 3, de la Directiva, en tanto en cuanto puedan ejercerlas en su propio territorio, conforme
         al artículo 28, apartados 1 y 6. Por el contrario, si una competencia únicamente pudiera ser ejercida en el territorio de
         otro Estado miembro, esta autoridad no tendría otra opción que la de solicitar la cooperación administrativa de la autoridad
         de control de dicho Estado miembro. La autoridad de control del primer Estado miembro no podría pues infligir una sanción
         a un responsable del tratamiento establecido exclusivamente en otro Estado miembro. En el mismo sentido, el Gobierno eslovaco
         considera que, si fuese aplicable el Derecho eslovaco, la Autoridad húngara de protección de datos tendría la competencia,
         en aplicación del artículo 28, apartados 3 y 6, de llevar a cabo una investigación y de examinar las quejas interpuestas ante
         ella, actuando según sus propias reglas de procedimiento, pero debería dirigir una demanda de cooperación a la autoridad del
         Estado miembro cuya ley es aplicable, ya que sería esta autoridad de control la que debería pronunciarse sobre la eventual
         imposición de una sanción. Polonia subraya que la posibilidad de aplicar el Derecho material de un Estado miembro por las
         autoridades de otro no está prevista por la Directiva, aduciendo que si el legislador hubiese deseado prever tal ambiciosa
         posibilidad, la misma contendría disposiciones precisas definiendo su ámbito de aplicación. Por último, el Gobierno del Reino
         Unido estima que, teniendo en cuenta que el Derecho eslovaco es aplicable, la Autoridad húngara de protección de datos carece
         de competencia. 
      
      48.      Llama la atención, a la vista de lo anterior, la división de posiciones en las observaciones presentadas, de las cuales, únicamente
         las del Reino Unido y Polonia parecen asumir una absoluta necesidad de coherencia entre el Derecho aplicable y la jurisdicción
         de la autoridad de control —de tal forma que la determinación del Derecho aplicable conforme al artículo 4, apartado 1, letra b),
         de la Directiva, determinaría también la autoridad de control competente. (29)
      
      49.      Como argumentaré a continuación, considero que la compleja cuestión que nos ocupa ha de resolverse tratando de conciliar los
         objetivos particulares de la Directiva y los principios que rigen la actuación de las autoridades administrativas de control.
      
      50.      A la problemática planteada por esta cuestión prejudicial subyace una cuestión de fondo de envergadura, como es la de si cabe
         admitir que la Directiva mitigue o incluso derogue la validez de la regla según la cual las autoridades administrativas de
         un Estado, en principio, actúan conforme a y aplican su Derecho propio nacional. En efecto, en relación con la competencia
         de las autoridades públicas, y tratándose por tanto del ejercicio de potestades de Derecho público, en particular, del ius puniendi, resulta imperativo partir de las exigencias derivadas de la soberanía territorial del Estado, (30) del principio de legalidad y, en definitiva, de la noción del Estado de Derecho, (31) las cuales impondrían la necesidad de coincidencia entre la jurisdicción de la autoridad de control con la ley aplicable. (32) En este sentido, el ejercicio de la potestad sancionadora —que es la que específicamente nos ocupa en el presente asunto—
         no puede tener lugar, como regla de principio, fuera de los límites legales dentro de los cuales una autoridad administrativa
         está autorizada para actuar sujeta a su Derecho nacional. (33) Una separación de dicha regla parece requerir, cuanto menos, un fundamento legal específico que autorice y delimite la aplicación
         del Derecho público de otro Estado miembro, y que además haga posible, con precisión y claridad, que los sujetos de derecho
         puedan prever a qué Derecho se encuentra sometida su conducta, así como sus consecuencias. (34)
      
      51.      En coherencia con lo más arriba señalado, no considero que el artículo 28, apartado 6, primera frase, cuyo tenor literal dispone
         que «toda autoridad de control será competente, sean cuales sean las disposiciones de Derecho nacional aplicables al tratamiento de que se trate, para ejercer en el territorio de su propio Estado miembro los poderes que se le atribuyen en virtud del apartado 3 del presente
         artículo», constituya una disposición suficiente para abocar a tan relevante consecuencia. (35) Dicha disposición no establece, en efecto, especificación alguna en cuanto al ámbito de aplicación, alcance y garantías que
         pudieran posibilitar una aplicación por parte de las autoridades administrativas de un Estado miembro de las disposiciones
         —en particular, sancionadoras— de otro.
      
      52.      El artículo 28, apartado 1, de la Directiva tampoco constituye, a mi parecer, un fundamento legal suficiente de esta pretensión
         con base en la mera circunstancia, alegada por el Gobierno húngaro y la Autoridad húngara de protección de datos, de que esta
         disposición utiliza el plural al establecer que «los Estados miembros dispondrán que una o más autoridades públicas se encarguen
         de vigilar la aplicación en su territorio de las disposiciones adoptadas por ellos en aplicación de la presente Directiva.» (36)
      
      53.      No obstante lo anterior, estas disposiciones apuntan a la posibilidad de que se produzca una cierta disociación entre la autoridad
         competente y el Derecho aplicable. En todo caso, admiten la posibilidad de que la autoridad de un Estado miembro vigile las actividades ejercidas en su territorio incluso cuando resulte aplicable la legislación de otro Estado miembro.
      
      54.      Llegado a este punto, considero posible conciliar una interpretación del artículo 28, apartados 1, 3 y 6, con los principios
         básicos que rigen el ejercicio de la potestad administrativa sancionadora. Ello se vería facilitado por una consideración
         conjunta de la primera frase del primer párrafo del apartado 6 del artículo 28, con la segunda frase del mismo párrafo —que
         estima que la autoridad que ejerce los poderes en el territorio de su propio Estado miembro «podrá ser instada a ejercer sus
         poderes por una autoridad de otro Estado miembro»—, y con el segundo párrafo de la misma disposición —que establece que «las
         autoridades de control cooperarán entre sí en la medida necesaria para el cumplimiento de sus funciones […]»—.
      
      55.      En este sentido, la posibilidad de actuación que brinda el artículo 28, apartado 6, a las autoridades de control incluso cuando
         el Derecho de su Estado miembro no resulta aplicable ha de ser objeto de una interpretación sistemática que tome en consideración
         tanto la existencia de un mandato claro de cooperación entre autoridades administrativas, como la circunstancia de que una
         autoridad pueda ser instada a ejercer sus poderes por parte de otra. Una apreciación de conjunto de esta disposición apunta,
         en efecto, a una división de tareas entre las distintas autoridades de control, en un marco de cooperación y asistencia mutua.
         
      
      56.      El hecho de que la legislación aplicable resulte ser la de un Estado miembro no priva a las autoridades de control de otros
         Estados miembros de sus posibilidades de actuar, en particular, teniendo en cuenta que, en determinadas situaciones, a pesar
         de que sea aplicable el Derecho de otro Estado miembro conforme al criterio del artículo 4, apartado 1, letra a), de la Directiva,
         pueden existir muchos otros elementos de conexión con el territorio —tales como los medios técnicos o, en particular, las
         personas afectadas por el tratamiento de datos—. Todo ello haría necesario, a los efectos de la efectiva aplicación de la
         Directiva, que la autoridad local pueda investigar y adoptar ciertas medidas, y ello incluso antes de que haya podido determinarse
         cuál es el Derecho aplicable.
      
      57.      Dicho más concretamente, una autoridad de control instada a actuar a través de una reclamación o petición individual presentada
         ante ella, ha de poder activar sus capacidades de instrucción en su propio territorio. Esto resulta indubitado a la luz del
         artículo 28, apartado 4, de la Directiva, —que establece la obligación de las autoridades de control de entender de las solicitudes
         que cualquier persona les presente en relación con la protección de sus derechos y libertades respecto del tratamiento de
         datos personales—. Al mismo tiempo, esta apreciación está en consonancia con lo dispuesto por el Convenio 108 del Consejo
         de Europa de 1981, sobre la protección de las personas con respecto al tratamiento automatizado de los datos de carácter personal, (37) cuyo artículo 14 prevé que, si una persona residiese en el territorio de otra Parte contratante, «deberá tener la facultad
         de presentar su demanda por intermedio de la autoridad designada por esa Parte».
      
      58.      Este modo de proceder puede dar ya respuesta suficiente a la preocupación manifestada por el Gobierno húngaro durante la vista
         oral, al señalar que, de no disponer de competencia la Autoridad húngara de protección de datos, la efectividad de los remedios
         establecidos por la Directiva quedaría menoscabada si los interesados fueran obligados a dirigirse a autoridades extranjeras
         en idiomas que desconocen.
      
      59.      En definitiva, las autoridades de control, independientemente del Derecho sustantivo aplicable que en su caso proceda, disponen
         de las competencias de investigación y de intervención enunciadas por el apartado 3 del artículo 28 de la Directiva, pero
         únicamente reguladas por su Derecho nacional, en su ámbito de actuación territorial, (38) y en consideración del respeto a los principios señalados en el apartado 50 de las presentes conclusiones.
      
      60.      Así, es obvio que la capacidad de actuación de la autoridad de control de un Estado miembro cuando resulte aplicable la ley
         sustantiva de otro Estado miembro no es ilimitada. En este punto, ha de señalarse que sigue siendo válido el principio según
         el cual, en el ejercicio de sus competencias, la autoridad de control estará vinculada por los límites que le impone su condición
         de sujeto de Derecho público sometido a la ley de su propio Estado miembro, y que únicamente podrá desarrollar las competencias
         en su propio territorio. En particular, la eventual estimación del ilícito y la igualmente eventual imposición de sanciones
         por las infracciones derivadas de la ilicitud del tratamiento de los datos habrán de llevarse a cabo inevitablemente por la
         autoridad del Estado miembro cuyo Derecho material es aplicable al tratamiento de datos, de acuerdo con el criterio del artículo
         4, apartado 1, letra a), de la Directiva.
      
      61.      Por lo tanto, si bien nada impide que el poder de imponer sanciones pueda ser considerado como uno de los poderes a los que
         se refiere el artículo 28, apartado 3, de la Directiva (cuyo tercer punto se refiere a la «capacidad procesal en caso de infracciones»
         de las autoridades de control), atendiendo a la obligación de cooperación establecida en el artículo 28, apartado 6, de la
         Directiva, deberá instarse a la autoridad del Estado miembro cuya ley es aplicable al tratamiento de los datos para proceder
         a la eventual determinación de la infracción de conformidad con la ley aplicable así como a la eventual imposición de sanciones,
         sobre la base de las informaciones recabadas, y en su caso transmitidas, por la autoridad del primer Estado miembro.
      
      62.      Esta interpretación no contradice el parecer expresado en distintos documentos por el Grupo del artículo 29. En primer lugar,
         tal y como pone de relieve su Dictamen 8/2010, sobre el Derecho aplicable, el propósito del artículo 28, apartado 6, es precisamente
         el de «colmar la posible diferencia entre Derecho aplicable y competencia de la autoridad de control que puede presentarse
         en el campo de la protección de datos dentro del mercado interior.» (39) A estos efectos, si bien dicho Dictamen manifiesta expresamente que «[…] cuando es aplicable el Derecho de protección de
         datos de otro Estado miembro, la autoridad de control estará en condiciones de ejercer en su territorio todos los poderes
         que se le atribuyan por su sistema jurídico nacional», expresa asimismo dudas importantes en relación con la extensión de
         las competencias de las autoridades de control en este ámbito. (40) En efecto, como fruto de las reflexiones posteriores del Grupo del artículo 29, a instancias de la Comisión, éste ha especificado
         su posición en relación con la cuestión de la disociación entre Derecho aplicable y jurisdicción en su informe sobre la implementación
         práctica del artículo 28, apartado 6. (41) En una situación fáctica de disociación, el Grupo concluye que la autoridad tendrá que aplicar las disposiciones procedimentales
         y administrativas de su propio sistema jurídico, mientras que los aspectos materiales de la protección de datos corresponderán
         al Estado miembro cuya legislación es aplicable. (42)
      
      63.      Las consideraciones anteriores se insertan en un contexto jurídico particular en el que el instrumento de intervención del
         Derecho de la Unión es una Directiva, lo que ha permitido el mantenimiento de una latitud considerable por parte de las legislaciones
         de los Estados miembros en lo que se refiere singularmente a la regulación y las posibilidades de sanción por parte de las
         Autoridades de control. (43) Así, sería difícilmente conciliable con las exigencias de los principios de soberanía territorial y de legalidad, en ausencia
         de un fundamento legal claro y de garantías que aseguren la estrecha cooperación en la interpretación de las infracciones
         y la equivalencia de las sanciones, (44) que la disociación entre autoridad competente y Derecho aplicable condujese, ya fuera a la imposición de sanciones de acuerdo
         con el Derecho del Estado de la autoridad de control local —que pueden no estar previstas en el ordenamiento jurídico del
         Estado cuya legislación resulta aplicable al tratamiento de datos—, ya fuera a la aplicación por parte de una autoridad local
         del derecho sancionador de otro Estado miembro.
      
      64.      Por fin, no conduce a una conclusión diferente la invocación de la aplicación analógica de la sentencia del Tribunal de Justicia
         en el asunto UPC DTH, (45) instada por el Gobierno húngaro y por la Autoridad de control húngara para justificar la competencia de esta última para
         la imposición de sanciones en el caso que nos ocupa. En esta sentencia, relativa a la interpretación de determinados instrumentos
         del marco regulador de las comunicaciones electrónicas, (46) el Tribunal de Justicia declaró que «los procedimientos de vigilancia relativos a los servicios de comunicaciones electrónicas
         […] son competencia de las autoridades del Estado miembro en el que residan los destinatarios de los citados servicios». (47)
      
      65.      En respuesta a dicho alegato, baste señalar que, con independencia de que dicha interpretación se refiriese a una situación
         de libre prestación de servicios y estuviera circunscrita a un marco jurídico cuyos objetivos y estructura difieren marcadamente
         del que nos ocupa en el presente asunto, de forma más relevante, es el caso que estas consideraciones se pronunciaron en una
         situación en la que no existía discusión sobre el Derecho aplicable. (48)
      
      66.      Por todas estas razones, en el estado actual del Derecho de la Unión, considero que la séptima de las cuestiones prejudiciales
         planteadas por la Kúria debe responderse en los términos siguientes:
      
      En el caso de que la jurisdicción nacional determine que no resulta aplicable su Derecho nacional, de acuerdo con el criterio
         establecido en el artículo 4, apartado 1, letra a), de la Directiva 95/46, el artículo 28, apartado 6, de dicha Directiva
         ha de interpretarse en el sentido de que la imposición de sanciones por las infracciones relacionadas con el tratamiento de
         los datos corresponde a la autoridad de control del Estado miembro cuyo Derecho es aplicable, con independencia de qué autoridad
         de control local pueda ejercer el conjunto de las facultades enumeradas en el artículo 28, apartado 3, en su territorio, y
         según las modalidades definidas en su derecho nacional.
      
      C.      Sobre la noción de «tratamiento» de datos (octava cuestión prejudicial)
      67.      En su octava cuestión prejudicial la jurisdicción de reenvío pregunta al Tribunal de Justicia lo siguiente: «En la terminología
         de la Directiva de protección de datos, ¿puede considerarse que el concepto de “adatfeldolgozás” empleado tanto en el artículo
         4, apartado 1, letra a), como en el artículo 28, apartado 6, de la [versión húngara de la] Directiva, es idéntico al concepto
         de “adatkezelés”?»
      
      68.      Todas las observaciones presentadas ante el Tribunal de Justicia coinciden en concluir la ausencia de incidencia de la distinción
         terminológica apuntada por la resolución de remisión.
      
      69.      La Directiva 95/46 utiliza de manera sistemática en sus disposiciones únicamente el término «[adat]feldolgozás» para referirse
         a la noción de tratamiento de datos, tal y como queda definida en el artículo 2, letra b), de la Directiva. Es únicamente
         en la Ley Info donde aparece la disociación entre las nociones de «adatkezelés» y «adatfeldolgozás», (49) definiendo este último término como «la ejecución de tareas técnicas en relación con las operaciones de tratamiento de datos
         […]». (50)
      
      70.      Pues bien, la definición de la noción de «[adat]feldolgozás» contenida en el artículo 2, letra b), de la Directiva, y empleada
         tanto en el artículo 4, apartado 1, letra a), como en el artículo 28, apartado 6, es muy amplia e incluye cualquier operación
         aplicada a datos personales, realizada o no a través de procedimientos automatizados. Así, esta noción amplia de tratamiento incluiría la noción más limitada de la ejecución
         de tareas técnicas en relación con las operaciones de tratamiento de datos.
      
      71.      Por esta razón, propongo al Tribunal de Justicia responder a la octava cuestión prejudicial de la siguiente forma: 
      
      El concepto de «adatfeldolgozás» empleado en los artículos 4, apartado 1, letra a), y 28, apartado 6, de la versión húngara
         de la Directiva 95/46, ha de ser interpretado en el sentido de que incluye tanto el tratamiento de datos en sentido amplio,
         como la ejecución de tareas técnicas realizadas en relación con las operaciones de tratamiento de datos.
      
      V.      Conclusión
      72.      A la vista de los argumentos expuestos, propongo al Tribunal de Justicia que responda del siguiente modo a las preguntas planteadas
         por la Kúria: 
      
      «1)      El artículo 4, apartado 1, letra a), de la Directiva 95/46, impide que la Autoridad húngara de protección de datos pueda aplicar
         la ley húngara a un responsable de tratamiento de datos establecido exclusivamente en otro Estado miembro. A estos efectos,
         la noción de establecimiento ha de interpretarse como la existencia de una instalación estable, independientemente de su forma
         jurídica, a través de la cual desempeña el ejercicio efectivo y real de una actividad. Un único agente puede ser considerado
         como una instalación estable si presenta un grado de estabilidad suficiente a través de la presencia de medios humanos y técnicos
         necesarios para la prestación de los servicios concretos de los que se trate.
      
      Otros elementos, tales como el lugar desde donde se han cargado los datos, la nacionalidad de los afectados, el domicilio
         de los propietarios de la empresa responsable del tratamiento de datos, o el hecho de que el servicio prestado por dicho responsable
         esté dirigido al territorio de otro Estado miembro, carecen de relevancia directa y determinante para la fijación de la ley
         aplicable, con independencia de que puedan constituir indicios del carácter real y efectivo de la actividad —a los efectos
         de determinar el lugar de establecimiento— y, en particular, a la hora de determinar si el tratamiento de datos ha tenido
         lugar en el marco de las operaciones de dicho establecimiento.
      
      2)      En el caso de que la jurisdicción nacional determine que no resulta aplicable su Derecho nacional, de acuerdo con el criterio
         establecido en el artículo 4, apartado 1, letra a), de la Directiva 95/46, el artículo 28, apartado 6, de dicha Directiva
         ha de interpretarse en el sentido de que la imposición de sanciones por las infracciones relacionadas con el tratamiento de
         los datos corresponde a la autoridad de control del Estado miembro cuyo Derecho es aplicable, con independencia de qué autoridad
         de control local pueda ejercer el conjunto de las facultades enumeradas en el artículo 28, apartado 3, en su territorio, y
         según las modalidades definidas en su derecho nacional. 
      
      3)      El concepto de “adatfeldolgozásˮ empleado en los artículos 4, apartado 1, letra a), y 28, apartado 6, de la versión húngara
         de la Directiva 95/46, ha de ser interpretado en el sentido de que incluye tanto el tratamiento de datos en sentido amplio,
         como las tareas técnicas realizadas en relación con las operaciones de tratamiento de datos.»
      
      
      1 –	Lengua original: español.
      
      2 –	Directiva del Parlamento Europeo y del Consejo, de 24 de octubre de 1995 (DO L 281, p. 31).
      
      3 –	C‑131/12, EU:C:2014:317.
      
      4 –	Véase, por todos, Rigaux, F. «La loi applicable à la protection des individus à l’égard du traitement automatisé des données
         à caractère personnel», Revue critique de droit international privé, 1980, pp. 443 a 478.
      
      5 –	Bygrave, L., «Determining applicable law pursuant to European Data Protection Legislation», Computer Law and Security Report, nº 16, 2000, p. 252.
      
      6 –	Existe un pequeño error en la traducción española de esta disposición en tanto en cuanto el verbo aparece en singular.
         Ello parece quedar confirmado por otras versions lingüisticas «each Member State shall apply the national provisions it adopts
         pursuant to this Directive (…)», «chaque État membre applique les dispositions nationales qu'il arrête en vertu de la présente
         directive», etc.
      
      7 –	C‑131/12, EU:C:2014:317.
      
      8 –	C‑131/12, EU:C:2014:317, apartados 48 a 50.
      
      9 –	Véanse las sentencias Factortame y otros, C‑221/89, EU:C:1991:320, apartado 20, así como Comisión/Reino Unido, C‑246/89,
         EU:C:1991:375, apartado 21.
      
      10 –	Sentencia Cadbury Schweppes y Cadbury Schweppes Overseas, C‑196/04, EU:C:2006:544, apartado 54.
      
      11 –	Dictamen sobre el Derecho aplicable, emitido el 16 de diciembre de 2010, 0836-02/10/ES, WP 179. 
      
      12 –	En efecto, dicho Dictamen hace referencia a las sentencia Berkholz, 168/84, EU:C:1985:299, apartado 18, y Lease Plan, C‑390/96,
         EU:C:1998:206, que versaban sobre la interpretación del artículo 9, apartado 1, de la Directiva 77/388/CEE del Consejo, de
         17 de mayo de 1977, Sexta Directiva en materia de armonización de las legislaciones de los Estados miembros relativas a los
         impuestos sobre el volumen de negocios — Sistema común del impuesto sobre el valor añadido: base imponible uniforme (DO L 145,
         p. 1; EE 09/01, p. 54).
      
      13 –	Sentencia Welmory, C‑605/12, EU:C:2014:2298, apartado 58, en relación con la interpretación del artículo 44 de la Directiva
         2006/112/CE del Consejo, de 28 de noviembre de 2006, relativa al sistema común del impuesto sobre el valor añadido (DO L 347,
         p. 1), en su versión modificada por la Directiva 2008/8/CE del Consejo, de 12 de febrero de 2008 (DO L 44, p. 11). Véase,
         asimismo, la sentencia Planzer Luxembourg, C‑73/06, EU:C:2007:397, apartado 54 y jurisprudencia citada.
      
      14 –	Convenio sobre la ley aplicable a las obligaciones contractuales, abierto a la firma en Roma el 19 de junio de 1980 (DO
         L 266, p. 1; EE 01/03, p. 36).
      
      15 –	Convenio de Bruselas, de 27 de septiembre de 1968, relativo a la competencia judicial y a la ejecución de resoluciones
         judiciales en materia civil y mercantil (DO 1972, L 299, p. 32; texto consolidado en DO 1998, C 27, p. 1).
      
      16 –	Señalando que «el concepto de sucursal, agencia o cualquier otro establecimiento, supone un centro de operaciones, que
         se manifiesta de modo duradero hacia el exterior como la prolongación de una empresa principal, dotado de una dirección y
         materialmente equipado para poder realizar negocios con terceros […]» (sentencias Somafer, 33/78, EU:C:1978:205, apartado
         12, y Blanckaert & Willems, 139/80, EU:C:1981:70, apartado 11), e insistiendo en que «[…] el término “establecimiento” se
         refiere a todas las estructuras estables de una empresa. En consecuencia, no sólo las filiales y las sucursales, sino también
         otras unidades, como las oficinas de una empresa, pueden constituir establecimientos en el sentido del artículo 6, apartado
         2, letra b), del Convenio de Roma, incluso aunque carezcan de personalidad jurídica.» (sentencia Voogsgeerd, C‑384/10, EU:C:2011:842,
         apartado 54).
      
      17 –	Dictamen 8/2010, p. 14.
      
      18 –	 C‑131/12, EU:C:2013:424, punto 65. 
      
      19 –	Directiva 2000/31/CE, del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa a determinados aspectos jurídicos
         de los servicios de la sociedad de la información, en particular el comercio electrónico en el mercado interior (DO L 178,
         p. 1). 
      
      20 –	Véase el Documento de trabajo relativo a la aplicación internacional de la legislación comunitaria sobre protección de
         datos al tratamiento de los datos personales en Internet por sitios web establecidos fuera de la UE, WP 56, 5035/01/ES/Final,
         30 de mayo de 2002, p. 8.
      
      21 –	Las observaciones presentadas ante el Tribunal de Justicia difieren entre sí al considerar estos factores. Mientras que
         la Autoridad húngara de protección de datos estima que estos elementos son pertinentes, el Reino Unido considera que ninguno
         de los factores enunciados es relevante, ya que el artículo 4, apartado 1, de la Directiva no hace mención de ninguno de ellos.
         En un sentido similar se pronuncia la Comisión europea. Para el Gobierno húngaro, únicamente serían relevantes el hecho de
         que los servicios estén dirigidos al territorio de un Estado miembro y el lugar donde los datos han sido cargados al sistema
         informático. El Gobierno eslovaco considera que no son pertinentes para determinar el derecho nacional aplicable ni el lugar
         desde donde se comunican los datos, ni la nacionalidad de los afectados, ni la residencia de los propietarios de la empresa.
      
      22 –	En este sentido se pronuncia también el Grupo del artículo 29, al señalar que  «ni la nacionalidad o el lugar de residencia
         habitual de los interesados, ni la ubicación física de los datos personales son decisivos [a efectos de determinar el derecho
         aplicable.]» Dictamen 8/2010, p. 10. Véase, asimismo, los puntos 55 a 58 de las conclusiones del Abogado General Jääskinen
         en el asunto Google Spain y Google, C‑131/12, EU:C:2013:424.
      
      23 –	C‑131/12, EU:C:2014:317, apartados 48 a 50.
      
      24 –	Ibídem, apartado 52. 
      
      25 –	Ibídem, apartado 53. 
      
      26 –      Véase también, sobre este particular, el Dictamen 8/2010 del Grupo del artículo 29.
      
      27 –	Dictamen 1/2008 sobre cuestiones de protección de datos relacionadas con motores de búsqueda emitido el 4 de abril de 2008,
         WP 148, 00737/ES.
      
      28 –	Propuesta de reglamento del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que
         respecta al tratamiento de datos personales y a la libre circulación de estos datos, COM(2012) 11 final.
      
      29 –	Por lo demás, la doctrina se encuentra dividida a este respecto. Algunos autores consideran el artículo 4 de la Directiva
         como la norma también determinante de la jurisdicción (por ejemplo, Bing, J., «Data Protection, Jurisdiction and the Choice
         of Law», Privacy Law & Policy Reporter, 1999), mientras que otros consideran lo contrario. Véase, por ejemplo, Swire, P. P., «Of Elephants, Mice and Privacy: International
         Choice of Law and the Internet», The International Lawyer, 1998, p. 991. Asimismo, sobre esta discusión, Kuner, C., «Data Protection Law and International Jurisdiction on the Internet
         (Part 1)», International Journal of Law and Information Technology, nº 18, 2010, p. 176.
      
      30 –	El considerando 21 de la Directiva señala expresamente que la misma «no afecta a las normas de territorialidad aplicables
         en materia penal». Considero que la misma apreciación puede aplicarse a las sanciones administrativas.
      
      31 –	Cuyo núcleo fundamental puede ser definido en el sentido de que todas las autoridades públicas, a todos los niveles, «must
         exercise the powers conferred on them reasonably, in good faith, for the purpose for which the powers were conferred and without
         exceeding the limits of such powers», Lord Bingham, «The Rule of Law», The Cambridge Law Journal, nº 66, 2007, p. 78. 
      
      32 –      La doctrina ha señalado que, «como consecuencia del carácter básicamente administrativo o jurídico-público del régimen de
         control, existe una estrecha correlación entre ley aplicable y autoridad competente para sancionar eventuales infracciones»,
         de Miguel Asensio, P.A., Derecho Privado de Internet, 4ª ed., Madrid, 2011, p. 333. En sentido análogo se ha pronunciado la doctrina en relación con las competencias de las autoridades
         de control en materia de competencia, señalando que, en el ámbito de la actuación pública, la aplicabilidad de la norma determina
         la competencia de la autoridad que ha de aplicarla. Véase, por ejemplo, Basedow, J. «Antitrust or Competition Law, International»,
         en Wolfrum, R. (ed.), Max Planck Encyclopedia of Public International Law, 2009.
      
      33 –      En este sentido, Rigaux: “On ne conçoit guère que les autorités administratives, les commissions de contrôle […] les organes
         de surveillance soumettent les fichiers du secteur privé à d’autres normes de conduite et qu’ils obéissent eux-mêmes à d’autres
         règles de fonctionnement qu’à celles qui sont contenues dans la lex fori», op. cit. p. 469. 
      
      34 –      C. Ohler, Die Kollisionsordnung des allgemeinen Verwaltungsrechts, Mohr Siebeck, 2005, pp. 109 y 314. 
      
      35 –      Énfasis añadido. 
      
      36 –      Énfasis añadido. Sobre esta discusión, véase Damman U. y Simitis S., EG-Datenschutzrichtlinie, Nomos Verlagsgesellschaft, Baden-Baden, 1997, p. 306. 
      
      37 –      (ETS 108), del que son parte todos los Estados miembros. Según el considerando 11 de la Directiva, la misma precisa y amplía
         la protección ofrecida por dicho Convenio.
      
      38 –      Sobre esta cuestión, Damman U. y Simitis S., op. cit. p. 313.
      
      39 –      Dictamen 8/2010 sobre el Derecho aplicable, p. 29
      
      40 –      Así, por una parte, el Dictamen 8/2010 del Grupo del artículo 29 pone de relieve que el contenido de la cooperación entre
         autoridades de control, como bien indica, no abarca únicamente el intercambio de información, sino también «la tramitación
         de reclamaciones transfronterizas, obtención de pruebas para otras autoridades de protección de datos o imposición de sanciones».
         (p. 31). No obstante, dicho dictamen expresa dudas respecto del ámbito de las competencias que deben ejercerse por cada autoridad
         de protección: «en particular, ¿hasta qué punto ejercerá la autoridad de protección de datos del lugar sus poderes respecto
         de la aplicación de los principios materiales y las sanciones? ¿Debería limitar el ejercicio de sus poderes a la verificación
         de los hechos? ¿Puede adoptar medidas de ejecución provisionales o incluso medidas definitivas? ¿Puede dar su propia interpretación
         de las disposiciones del Derecho aplicable o es la prerrogativa de la autoridad de protección de datos del Estado miembro
         cuyo Derecho sea el aplicable? […]» (p. 30).
      
      41 –      Advice paper on the practical implementation of the Article 28(6) of the Directive 95/46/EC, Ref. Ares (2011) 444105, de 20
         de abril de 2011.
      
      42 –      ibídem, p. 31. Es muy ilustrativo a estos efectos el ejemplo nº 10 ofrecido por el dictamen, según el cual un hipotético caso
         en el cual el Derecho alemán es aplicable a un tratamiento de datos realizado en Reino Unido, señala que «es preciso que la
         autoridad de control del Reino Unido tenga el poder de inspeccionar los locales ubicados en el Reino Unido y establecer las
         conclusiones que han de remitirse a la autoridad de control alemana. La autoridad de control alemana debería poder imponer
         una sanción al responsable del tratamiento establecido en Alemania sobre la base de los resultados establecidos por la autoridad
         de control del Reino Unido».
      
      43 –      Así lo reconoce el considerando 9 de la Directiva. A este respecto, puede verse el documento elaborado por la Agencia Europea
         de Derechos Fundamentales, Data Protection in the European Union: the role of National Data Protection Authorities, 2010, que pone de relieve las distintas potestades de las autoridades de control en los Estados miembros.
      
      44 –      En este sentido, es indudable la relevancia y carácter innovador del derecho de la Unión en materia de protección de datos
         en el espacio administrativo europeo. La propuesta de futuro Reglamento general de protección de datos, de salir adelante,
         supondrá una transformación de envergadura en la materia, en particular, en lo relativo a la puesta en marcha de un complejo
         y elaborado sistema de cooperación, coherencia y reparto de responsabilidades entre las distintas autoridades de control.
      
      45 –      C‑475/12, EU:C:2014:285.
      
      46 –      En particular, la Directiva 2002/20/CE del Parlamento Europeo y del Consejo, de 7 de marzo de 2002, relativa a la autorización
         de redes y servicios de comunicaciones electrónicas (DO L 108, p. 21), en su versión resultante de la Directiva 2009/140/CE
         del Parlamento Europeo y del Consejo, de 25 de noviembre de 2009 (Directiva autorización) (DO L 337, p. 37) y la Directiva
         2002/21/CE del Parlamento Europeo y del Consejo, de 7 de marzo de 2002, relativa a un marco regulador común de las redes y
         los servicios de comunicaciones electrónicas (DO L 108, p. 33), en su versión resultante de la Directiva 2009/140.
      
      47 –      Sentencia UPC DTH, C‑475/12, EU:C:2014:285, apartado 88.
      
      48 –      En efecto, la sanción impuesta en dicho asunto traía causa de la negativa de la sociedad en cuestión a facilitar información
         a la Autoridad nacional de comunicaciones. El Tribunal de Justicia señaló que «en virtud del artículo 11, apartado 1, letra b),
         de la Directiva “autorización” […] las autoridades nacionales pueden exigir a las empresas que faciliten información que resulte
         adecuada y pueda justificarse objetivamente para permitirles comprobar que se respetan las condiciones de protección del consumidor
         cuando reciban una reclamación o emprendan una investigación por iniciativa propia», ibídem, apartado 85.
      
      49 –      Únicamente aparece en la Directiva una palabra derivada del término «adatkezelés», al referirse al responsable del tratamiento
         de datos.
      
      50 –      Artículo 3, apartado 17, de la Ley Info. El apartado 10 del artículo 3 de la Ley Info define la noción de «adatkezelés» de
         una manera amplia, que se corresponde, en lo sustancial, con la noción de tratamiento de datos definida en el artículo 2,
         letra b) de la Directiva.