—

en nombre de la Nemzeti Adatvédelmi és Információszabadság Hatóság, por el Sr. A. Péterfalvi, en calidad de agente, asistido por el Sr. G. Dudás, ügyvéd;

—

en nombre del Gobierno húngaro, por los Sres. M.Z. Fehér y G. Koós y la Sra. A. Pálfy, en calidad de agentes;

—

en nombre del Gobierno polaco, por el Sr. B. Majczyna y las Sras. M. Kamejsza y M. Pawlicka, en calidad de agentes;

—

en nombre del Gobierno eslovaco, por la Sra. B. Ricziová, en calidad de agente;

—

en nombre del Gobierno del Reino Unido, por el Sr. M. Holt en calidad de agente, asistido por el Sr. J. Holmes, Barrister;

—

en nombre de la Comisión Europea, por los Sres. A. Tokár y B. Martenczuk y la Sra. J. Vondung, en calidad de agentes;

1

La petición de decisión prejudicial tiene por objeto la interpretación de los artículos 4, apartado 1, letra a), y 28, apartados 1, 3 y 6, de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO L 281, p. 31).

2

Esta petición se ha presentado en el marco de un litigio entre Weltimmo s. r. o. (en lo sucesivo, «Weltimmo»), sociedad cuyo domicilio social se encuentra en Eslovaquia, y la Nemzeti Adatvédelmi és Információszabadság Hatóság (autoridad nacional encargada de la protección de datos y de la libertad de información; en lo sucesivo, «autoridad húngara de control») en relación con una multa impuesta por ésta por infracción de la Ley no CXII de 2011, sobre sobre el derecho de autodeterminación en materia de información y la libertad de información (az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi Törvény; en lo sucesivo, «Ley sobre la información»), que transpuso la Directiva 95/46 al Derecho húngaro.

3

En los considerandos 3, 18 y 19 de la Directiva 95/46 se manifiesta lo siguiente:

[...]

4

El artículo 2 de la Directiva 95/46 establece lo siguiente:

«A efectos de la presente Directiva, se entenderá por:

[...]

[...]»

5

El artículo 4, apartado 1, letra a), de la Directiva 95/46 dispone cuanto sigue:

«1.   Los Estados miembros aplicarán las disposiciones nacionales que [hayan] aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:

6

A tenor del artículo 28, apartados 1, 3 y 6, de la Directiva 95/46:

«1.   Los Estados miembros dispondrán que una o más autoridades públicas se encarguen de vigilar la aplicación en su territorio de las disposiciones adoptadas por ellos en aplicación de la presente Directiva.

Estas autoridades ejercerán las funciones que les son atribuidas con total independencia.

[...]

3.   La autoridad de control dispondrá, en particular, de:

Las decisiones de la autoridad de control lesivas de derechos podrán ser objeto de recurso jurisdiccional.

[...]

6.   Toda autoridad de control será competente, sean cuales sean las disposiciones de Derecho nacional aplicables al tratamiento de que se trate, para ejercer en el territorio de su propio Estado miembro los poderes que se le atribuyen en virtud del apartado 3 del presente artículo. Dicha autoridad podrá ser instada a ejercer sus poderes por una autoridad de otro Estado miembro.

Las autoridades de control cooperarán entre sí en la medida necesaria para el cumplimiento de sus funciones, en particular mediante el intercambio de información que estimen útil.»

7

El artículo 2, apartado 1, de la Ley sobre la información establece lo siguiente:

«El ámbito de aplicación de esta Ley comprende todo tratamiento y procesamiento de datos operado en el territorio de Hungría en relación con datos relativos a personas físicas, así como con datos de interés público o con datos accesibles por razones de interés público.»

8

El artículo 3, apartados 10 y 17, de la Ley sobre la información contiene las siguientes definiciones:

«10.   “tratamiento de datos”: toda operación o conjunto de operaciones realizadas respecto de los datos, cualquiera que sea el procedimiento empleado, en particular la recogida, captación, registro, organización, conservación, modificación, utilización, solicitud, transmisión, publicación, cotejo o interconexión, bloqueo, supresión o destrucción, así como impedir otra utilización de los datos, captar fotografías, sonidos o imágenes, o registrar las características físicas que sirven para la identificación de las personas (por ejemplo, huellas dactilares o de la palma de la mano, muestras de ADN o imagen del iris);

[...]

17.   “procesamiento de datos” [“adatfeldolgozás”]: la ejecución de tareas técnicas en relación con las operaciones de tratamiento de datos, cualquiera que sea el método y el medio empleado para realizar las operaciones, así como el lugar en que se desarrollen, siempre que las tareas técnicas se ejecuten en los datos».

9

Weltimmo, sociedad constituida en Eslovaquia, gestiona un sitio de Internet de anuncios de inmuebles situados en Hungría. En dicho contexto, trata los datos personales de los anunciantes. Los anuncios son gratuitos durante un mes, trascurrido el cual, el servicio pasa a ser de pago. Numerosos anunciantes solicitaron, por correo electrónico, la retirada de sus anuncios a partir de dicho plazo así como la supresión de sus datos personales. Sin embargo, Weltimmo no los suprimió y facturó sus servicios a los interesados. Ante el impago de las facturas, dicha sociedad transmitió los datos personales de los anunciantes en cuestión a empresas de cobro de impagados.

10

Los referidos anunciantes presentaron denuncias ante la autoridad húngara de control. Ésta se declaró competente basándose en el artículo 2, apartado 1, de la Ley sobre la información, por estimar que la recogida de los datos de que se trataba había tenido lugar en el territorio húngaro y que constituía un tratamiento o un procesamiento de datos relativos a unas personas físicas. Dicha autoridad de control consideró que Weltimmo había infringido la Ley sobre la información e impuso a la citada sociedad una multa de diez millones de forintos húngaros (HUF) (alrededor de 32000 euros).

11

Weltimmo acudió entonces al tribunal contencioso-administrativo y de lo social de Budapest (Fővárosi Közigazgatási és Munkaügyi Bíróság), el cual consideró que el hecho de que esta sociedad no dispusiera de domicilio social o de establecimiento en Hungría no constituía un argumento de defensa válido, puesto que tanto la prestación de los datos relativos a los inmuebles húngaros de que se trata como el tratamiento de dichos datos se habían realizado en Hungría. No obstante, dicho tribunal anuló la resolución de la autoridad húngara de control por otros motivos, referentes a la imprecisión de algunos hechos.

12

Weltimmo recurrió en casación ante el órgano jurisdiccional remitente alegando que no era necesario un mayor esclarecimiento de los hechos, ya que, en virtud del artículo 4, apartado 1, letra a), de la Directiva 95/46, la autoridad húngara de control, en el presente caso, carecía de competencia y no podía aplicar el Derecho húngaro a un prestador de servicios establecido en otro Estado miembro. Weltimmo sostuvo que, con arreglo al artículo 28, apartado 6, de la Directiva 95/46, dicha autoridad debió haber instado a la autoridad eslovaca competente en la materia a que actuara en su lugar.

13

La autoridad húngara de control alegó que Weltimmo tenía, en Hungría, un representante de nacionalidad húngara, concretamente uno de los propietarios de esta sociedad, que la representó en los procedimientos administrativo y judicial seguidos en dicho Estado miembro. La citada autoridad añadió que los servidores de Internet de Weltimmo estaban instalados aparentemente en Alemania o en Austria, pero que los propietarios de dicha sociedad vivían en Hungría. Por último, según esta autoridad, del artículo 28, apartado 6, de la Directiva 95/46 se deriva, en cualquier caso, su propia competencia, con independencia del Derecho aplicable.

14

Al albergar dudas en cuanto a la determinación del Derecho aplicable y a las facultades de que dispone la autoridad húngara de control a la luz de los artículos 4, apartado 1, y 28 de la Directiva 95/46, la Kúria decidió suspender el procedimiento y plantear al Tribunal de Justicia las cuestiones prejudiciales siguientes:

15

Por lo que respecta, en primer lugar, a los antecedentes de hecho del litigio principal, procede mencionar varios elementos adicionales de información, presentados por la autoridad húngara de control en sus observaciones escritas y en la vista ante el Tribunal de Justicia.

16

De tales elementos resulta, primero, que dicha autoridad tuvo conocimiento, de manera informal, por su homóloga eslovaca, de que Weltimmo no ejercía ninguna actividad donde radicaba su domicilio social, en Eslovaquia. Por otra parte, Weltimmo desplazó dicho domicilio, en reiteradas ocasiones, de un Estado a otro. Segundo, Weltimmo desarrolló dos sitios de anuncios inmobiliarios, redactados exclusivamente en húngaro. Abrió una cuenta bancaria en Hungría, destinada al cobro de sus créditos, y dispuso de un apartado de correos en dicho Estado miembro, para sus asuntos corrientes. El correo se recogía regularmente y se remitía a Weltimmo por vía electrónica. Tercero, eran los propios anunciantes quienes debían no sólo inscribir los datos relativos a sus inmuebles en el sitio de Weltimmo, sino también suprimirlos de dicho sitio si no deseaban que siguieran figurando en él una vez transcurrido el plazo de un mes señalado anteriormente. Weltimmo adujo un problema de gestión informática para explicar que dicha supresión no se había podido realizar. Cuarto, Weltimmo es una sociedad compuesta solamente por una o dos personas. Su representante en Hungría intentó negociar con los anunciantes el pago de los créditos impagados.

17

Por lo que respecta, en segundo lugar, a la redacción de las cuestiones prejudiciales planteadas, aun cuando el órgano jurisdiccional remitente utiliza los términos «establecido exclusivamente» en sus cuestiones primera y segunda, de la resolución de remisión y de las observaciones escritas y orales presentadas por la autoridad húngara de control se desprende que si bien Weltimmo está registrada en Eslovaquia y, en consecuencia, está establecida en ese Estado miembro, en el sentido del Derecho de sociedades, existe la duda de si está «establecida» únicamente en dicho Estado miembro, a efectos del artículo 4, apartado 1, letra a), de la Directiva 95/46. Al preguntar al Tribunal de Justicia sobre la interpretación de esta disposición, el órgano jurisdiccional remitente desea saber qué comprende el concepto de «establecimiento» utilizado en dicha disposición.

18

Por último, es preciso señalar que en las cuestiones prejudiciales primera y segunda, el órgano jurisdiccional remitente manifiesta que el servidor utilizado por Weltimmo está instalado en Eslovaquia, mientras que, en otro pasaje de la resolución de remisión, menciona la posibilidad de que los servidores de dicha sociedad se encuentren en Alemania o en Austria. En estas circunstancias, resulta oportuno considerar que no está zanjado el extremo de en qué Estado miembro están instalados el servidor o los servidores utilizados por la citada sociedad.

19

Mediante sus cuestiones prejudiciales primera a sexta, que procede examinar conjuntamente, el órgano jurisdiccional remitente pregunta, en esencia, si los artículos 4, apartado 1, letra a), y 28, apartado 1, de la Directiva 95/46 deben interpretarse en el sentido de que, en circunstancias como las controvertidas en el litigio principal, permiten a la autoridad de control de un Estado miembro aplicar su legislación nacional sobre protección de datos al responsable del tratamiento, cuya sociedad está registrada en otro Estado miembro y que gestiona un sitio de Internet de intermediación inmobiliaria que anuncia inmuebles situados en el territorio del primero de esos dos Estados. En particular, pregunta si es relevante que dicho Estado miembro sea aquel:

20

Por lo que respecta al Derecho aplicable, el órgano jurisdiccional remitente menciona más concretamente los Derechos eslovaco y húngaro, siendo el primero de ellos el del Estado miembro en el que está registrado el responsable del tratamiento de los datos personales en cuestión y el segundo, el del Estado miembro que constituye el objetivo de los sitios de Internet de que se trata en el litigio principal, en cuyo territorio están situados los inmuebles objeto de los anuncios publicados.

21

Sobre este particular, es preciso señalar que el artículo 4 de la Directiva 95/46, titulado «Derecho nacional aplicable», que figura en el capítulo 1 de esta Directiva, la cual lleva por rúbrica «Disposiciones generales», regula precisamente la pregunta planteada.

22

El artículo 28 de la Directiva 95/46, titulado «Autoridad de control», se dedica, en cambio, a la función y facultades de dicha autoridad. En virtud del artículo 28, apartado 1, se encarga de vigilar la aplicación, en el territorio de su propio Estado miembro, de las disposiciones adoptadas por los Estados miembros en aplicación de esta Directiva. Conforme al artículo 28, apartado 6, de la citada Directiva, la autoridad de control ejerce los poderes que se le atribuyen, sean cuales sean las disposiciones de Derecho nacional aplicables al tratamiento de los datos personales.

23

Por lo tanto, es preciso determinar a la luz del artículo 4 de la Directiva 95/46, y no de su artículo 28, el Derecho nacional aplicable al responsable de dicho tratamiento.

24

A tenor del artículo 4, apartado 1, letra a), de la Directiva 95/46, los Estados miembros aplicarán las disposiciones nacionales que hayan aprobado para la aplicación de esta Directiva a todo tratamiento de datos personales cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro.

25

Visto el objetivo perseguido por la Directiva 95/46, consistente en garantizar una protección eficaz y completa de las libertades y de los derechos fundamentales de las personas físicas, concretamente del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales, la expresión «en el marco de las actividades de un establecimiento» no puede ser objeto de interpretación restrictiva (véase, en este sentido, la sentencia Google Spain y Google, C‑131/12, EU:C:2014:317, apartado 53).

26

A fin de alcanzar este objetivo y evitar que una persona sea excluida de la protección garantizada por la citada Directiva, en el considerando 18 de ésta se manifiesta que es necesario que todo tratamiento de datos personales efectuado en la Unión Europea respete la legislación de uno de sus Estados miembros y que resulta conveniente someter el tratamiento de datos efectuados por cualquier persona que actúe bajo la autoridad del responsable del tratamiento establecido en un Estado miembro a la aplicación de la legislación de este Estado.

27

Así pues, el legislador de la Unión estableció un ámbito de aplicación territorial de la Directiva 95/46 particularmente extenso, que recogió en el artículo 4 de ésta (véase, en este sentido, la sentencia Google Spain y Google, C‑131/12, EU:C:2014:317, apartado 54).

28

En primer lugar, por lo que respecta al concepto de «establecimiento», es preciso recordar que según el considerando 19 de la Directiva 95/46, el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable y que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante (véase la sentencia Google Spain y Google, C‑131/12, EU:C:2014:317, apartado 48). Por otra parte, este considerando puntualiza que, cuando un mismo responsable esté establecido en el territorio de varios Estados miembros debe garantizar, en particular para evitar que se eluda la normativa aplicable, que cada uno de los establecimientos cumpla las obligaciones impuestas por el Derecho nacional aplicable a estas actividades.

29

De lo anterior se deriva, como señaló en esencia el Abogado General en los puntos 28 y 32 a 34 de sus conclusiones, una concepción flexible de la noción de establecimiento, que rechaza cualquier enfoque formalista según el cual una empresa estaría establecida únicamente en el lugar en que se encontrase registrada. Por lo tanto, para determinar si una sociedad, responsable de un tratamiento de datos, dispone de un establecimiento, en el sentido de la Directiva 95/46, en un Estado miembro distinto del Estado miembro o del tercer país en el que está registrada, procede interpretar tanto el grado de estabilidad de la instalación como la efectividad del desarrollo de las actividades en ese otro Estado miembro tomando en consideración la naturaleza específica de las actividades económicas y de las prestaciones de servicios en cuestión. Esto es válido concretamente para las empresas que se dedican a ofrecer servicios exclusivamente a través de Internet.

30

A este respecto, es preciso considerar, habida cuenta del objetivo perseguido por la citada Directiva —consistente en garantizar una protección eficaz y completa del derecho a la intimidad y evitar que se eluda la normativa aplicable— que la presencia de un único representante puede bastar, en determinadas circunstancias, para constituir una instalación estable si actúa con un grado de estabilidad suficiente a través de los medios necesarios para la prestación de los servicios concretos de los que se trate en el Estado miembro en cuestión.

31

Además, a fin de alcanzar dicho objetivo, procede considerar que el concepto de «establecimiento», en el sentido de la Directiva 95/46, se extiende a cualquier actividad real y efectiva, aun mínima, ejercida mediante una instalación estable.

32

En el caso de autos, la actividad ejercida por Weltimmo consiste, como mínimo, en la gestión de uno o varios sitios de Internet de anuncios de inmuebles situados en Hungría, que están redactados en húngaro y que pasan a ser de pago transcurrido el primer mes. Por lo tanto, procede señalar que dicha sociedad ejerce una actividad real y efectiva en Hungría.

33

Además, de las puntualizaciones aportadas por la autoridad húngara de control se desprende que Weltimmo dispone de un representante en Hungría, que se menciona en el registro de sociedades eslovaco con una dirección en Hungría y que intentó negociar con los anunciantes el pago de los créditos impagados. Dicho representante sirvió de enlace entre la citada sociedad y los denunciantes y la representó en los procedimientos administrativo y judicial. Por añadidura, la referida sociedad abrió una cuenta bancaria en Hungría, destinada al cobro de sus créditos, y utiliza un apartado de correos en el territorio de dicho Estado miembro para la gestión de sus asuntos corrientes. Estos factores, que corresponde al órgano jurisdiccional remitente comprobar, pueden demostrar, en una situación como la controvertida en el litigio principal, la existencia de un «establecimiento», a efectos del artículo 4, apartado 1, letra a), de la Directiva 95/46.

34

En segundo lugar, es necesario saber si el tratamiento de los datos personales de que se trata se realizó «en el marco de las actividades» de dicho establecimiento.

35

El Tribunal de Justicia ya ha declarado que el artículo 4, apartado 1, letra a), de la Directiva 95/46 no exige que el tratamiento de datos personales controvertido sea efectuado «por» el propio establecimiento en cuestión, sino únicamente «en el marco de las actividades» de éste (sentencia Google Spain y Google, C‑131/12, EU:C:2014:317, apartado 52).

36

En el caso de autos, el tratamiento controvertido en el litigio principal consiste, concretamente, en la publicación, en los sitios de Internet de anuncios inmobiliarios de Weltimmo, de datos personales relativos a los propietarios de dichos bienes y, en su caso, en la utilización de esos datos para la facturación de los anuncios transcurrido un plazo de un mes.

37

A este respecto, es preciso recordar que, en lo que atañe concretamente a Internet, el Tribunal de Justicia ya ha tenido ocasión de declarar que la conducta que consiste en hacer referencia, en una página de Internet, a datos personales debe considerarse un «tratamiento» en el sentido del artículo 2, letra b), de la Directiva 95/46 (sentencias Lindqvist, C‑101/01, EU:C:2003:596, apartado 25, y Google Spain y Google, C‑131/12, EU:C:2014:317, apartado 26).

38

Pues bien, no cabe duda de que dicho tratamiento tiene lugar en el marco de las actividades, descritas en el apartado 32 de la presente sentencia, a las que se dedica Weltimmo en Hungría.

39

Por lo tanto, sin perjuicio de las comprobaciones recordadas en el apartado 33 de la presente sentencia, que incumbe realizar al órgano jurisdiccional remitente a efectos de determinar, en su caso, la existencia de un establecimiento del responsable del tratamiento en Hungría, procede considerar que dicho tratamiento se efectúa en el marco de las actividades de ese establecimiento y que el artículo 4, apartado 1, letra a), de la Directiva 95/46 permite, en una situación como la controvertida en el litigio principal, aplicar el Derecho húngaro relativo a la protección de los datos personales.

40

En cambio, el hecho de que los propietarios de los bienes objeto de los anuncios inmobiliarios tengan la nacionalidad húngara no es en absoluto relevante para determinar el Derecho nacional aplicable al tratamiento de los datos de que se trata en el litigio principal.

41

Habida cuenta de todas las consideraciones anteriores, procede responder a la cuestiones prejudiciales primera a sexta como sigue:

42

La séptima cuestión prejudicial sólo se plantea en el supuesto de que la autoridad húngara de control considerase que Weltimmo dispone de un establecimiento, no en Hungría, sino en otro Estado miembro, a efectos del artículo 4, apartado 1, letra a), de la Directiva 95/46 y ejerce actividades en cuyo marco se efectúa el tratamiento de los datos personales de que se trata.

43

Mediante esta cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si, en el supuesto de que la autoridad húngara de control llegara a la conclusión de que el Derecho aplicable al tratamiento de los datos personales no es el Derecho húngaro, sino el Derecho de otro Estado miembro, el artículo 28, apartados 1, 3 y 6, de la Directiva 95/46 debe interpretarse en el sentido de que dicha autoridad sólo podría ejercer las facultades establecidas en el artículo 28, apartado 3, de esta Directiva de conformidad con lo dispuesto en el Derecho de ese otro Estado miembro, y no podría imponer sanciones.

44

Por lo que respecta, en primer lugar, a la competencia de una autoridad de control para actuar en ese supuesto, es preciso señalar que, en virtud del artículo 28, apartado 4, de la Directiva 95/46, toda autoridad de control entenderá de las solicitudes que cualquier persona le presente en relación con la protección de sus derechos y libertades respecto del tratamiento de datos personales.

45

Por consiguiente, en una situación como la controvertida en el litigio principal, pueden acudir a la autoridad húngara de control personas como los anunciantes de inmuebles de que se trata en el litigio principal, que se consideren víctimas de un tratamiento ilícito de sus datos personales en el Estado miembro en el que poseen tales bienes.

46

Es preciso examinar, en segundo lugar, cuáles son las facultades de dicha autoridad de control a la luz del artículo 28, apartados 1, 3 y 6, de la Directiva 95/46.

47

Del artículo 28, apartado 1, de dicha Directiva resulta que toda autoridad de control establecida por un Estado miembro vela por el cumplimiento, en el territorio de dicho Estado miembro, de las disposiciones adoptadas por los Estados miembros en aplicación de la Directiva 95/46.

48

En virtud del artículo 28, apartado 3, de la Directiva 95/46, dichas autoridades de control disponen, en particular, de facultades de investigación, como la de recabar toda la información necesaria para el cumplimiento de su misión de control, y de facultades efectivas de intervención, como las de ordenar el bloqueo, la supresión o la destrucción de datos, o incluso prohibir provisional o definitivamente un tratamiento, o dirigir una advertencia o amonestación al responsable del tratamiento.

49

Habida cuenta del carácter no exhaustivo de las facultades así enumeradas y del tipo de facultades de intervención mencionadas en esta disposición, así como del margen de maniobra de que disponen los Estados miembros para transponer la Directiva 95/46, es preciso considerar que dichas facultades de intervención pueden comprender la de sancionar al responsable del tratamiento de datos imponiéndole, en su caso, una multa.

50

Las facultades otorgadas a las autoridades de control deben ejercerse de conformidad con el Derecho procesal de sus propios Estados miembros.

51

Del artículo 28, apartados 1 y 3, de la Directiva 95/46 se desprende que la autoridad de control ejerce todas las facultades que se le han conferido en el territorio de su propio Estado miembro, a fin de garantizar en dicho territorio el respeto de las normas en materia de protección de datos.

52

Esta aplicación territorial de las facultades de la autoridad de control se confirma en el artículo 28, apartado 6, de la Directiva 95/46, en el que se establece que sean cuales sean las disposiciones de Derecho nacional aplicables, toda autoridad de control es competente para ejercer en el territorio de su propio Estado miembro las facultades que se le atribuyen en virtud del artículo 28, apartado 3, de la citada Directiva. El artículo 28, apartado 6, precisa también que dicha autoridad podrá ser instada a ejercer sus facultades por una autoridad de otro Estado miembro y que las autoridades de control cooperarán entre sí en la medida necesaria para el cumplimiento de sus funciones, en particular mediante el intercambio de información que estimen útil.

53

Esta disposición es necesaria para garantizar la libre circulación de los datos personales en la Unión, velando por el respeto de las normas dirigidas a proteger la intimidad de las personas físicas que se establecen en la Directiva 95/46. De no existir dicha disposición, en el supuesto de que el responsable del tratamiento de los datos personales estuviera sujeto al Derecho de un Estado miembro, pero vulnerase el derecho a la protección de la intimidad de las personas físicas en otro Estado miembro, en concreto, dirigiendo su actividad hacia ese otro Estado miembro sin estar allí establecido, en el sentido de la citada Directiva, sería difícil, incluso imposible, que dichas personas pudieran hacer respetar su derecho a esa protección.

54

Así pues, del artículo 28, apartado 6, de la Directiva 95/46 se desprende que la autoridad de control de un Estado miembro, que entiende de una reclamación relativa al tratamiento de los datos personales que le presentan las personas físicas afectadas, sobre la base del artículo 28, apartado 4, de dicha Directiva, puede examinar dicha reclamación sea cual sea el Derecho aplicable y, por consiguiente, incluso si el Derecho aplicable al tratamiento de los datos de que se trata es el de otro Estado miembro.

55

No obstante, en tal supuesto, las facultades de la referida autoridad no comprenden necesariamente todas aquellas de las que está investida conforme al Derecho de su propio Estado miembro.

56

En efecto, como señaló el Abogado General en el punto 50 de sus conclusiones, de las exigencias derivadas de la soberanía territorial del Estado miembro de que se trate, del principio de legalidad y del concepto de Estado de Derecho se desprende que el ejercicio de la potestad sancionadora no puede tener lugar, en principio, fuera de los límites legales dentro de los cuales una autoridad administrativa está autorizada para actuar, sujeta al Derecho de su propio Estado miembro.

57

Así pues, cuando una autoridad de control entienda de una denuncia, de conformidad con el artículo 28, apartado 4, de la Directiva 95/46, puede ejercer sus facultades de investigación sea cual sea el Derecho aplicable e incluso antes de saber cuál es el Derecho nacional aplicable al tratamiento de que se trata. Sin embargo, si llega a la conclusión de que es aplicable el Derecho de otro Estado miembro, no puede imponer sanciones fuera del territorio de su propio Estado miembro. En tal situación, le corresponde instar, en ejecución de la obligación de cooperación que se establece en el artículo 28, apartado 6, de la citada Directiva, a la autoridad de control de ese otro Estado miembro a declarar una eventual infracción de ese Derecho y a imponer sanciones si éste lo permite, basándose, en su caso, en la información que ella le haya remitido.

58

La autoridad de control que entienda de tal denuncia puede verse obligada, en el marco de esta cooperación, a efectuar otras investigaciones, siguiendo las directrices de la autoridad de control del otro Estado miembro.

59

De lo anterior se desprende que, en una situación como la controvertida en el litigio principal, en el supuesto de que el Derecho aplicable sea el de un Estado miembro que no sea Hungría, la autoridad húngara de control no podría ejercer la potestad sancionadora que le confiere el Derecho húngaro.

60

De las consideraciones anteriores se desprende que procede responder a la séptima cuestión prejudicial que, en el supuesto de que la autoridad de control de un Estado miembro que entiende de unas denuncias, de conformidad con el artículo 28, apartado 4, de la Directiva 95/46, llegue a la conclusión de que el Derecho aplicable al tratamiento de los datos personales de que se trata no es el Derecho de ese Estado miembro, sino el de otro Estado miembro, el artículo 28, apartados 1, 3 y 6, de esa misma Directiva debe interpretarse en el sentido de que dicha autoridad de control sólo podría ejercer en el territorio de su propio Estado miembro las facultades efectivas de intervención que se le han conferido conforme al artículo 28, apartado 3, de la citada Directiva. Por lo tanto, no puede imponer sanciones basándose en el Derecho de ese Estado miembro al responsable del tratamiento de tales datos que no está establecido en dicho territorio, sino que, con arreglo al artículo 28, apartado 6, de la misma Directiva, debe instar la intervención de la autoridad de control dependiente del Estado miembro cuyo Derecho es aplicable.

61

Mediante su octava cuestión prejudicial, el órgano jurisdiccional remitente pregunta al Tribunal de Justicia sobre el alcance del concepto de «adatfeldolgozás» (procesamiento de datos) utilizado, en particular, en el artículo 4, apartado 1, letra a), de la Directiva 95/46, relativo a la determinación del Derecho aplicable, y en el artículo 28, apartado 6, de esa misma Directiva, relativo a la competencia de la autoridad de control.

62

De la versión húngara de la Directiva 95/46 resulta un uso sistemático del término «adatfeldolgozás».

63

El órgano jurisdiccional remitente señala que la Ley sobre la información utiliza, concretamente en sus disposiciones dirigidas a aplicar las disposiciones de la Directiva 95/46 relativas a la competencia de las autoridades de control, el término «adatkezelés» (tratamiento de datos). Ahora bien, como se desprende del artículo 3, apartado 10, de esta Ley, este término tiene un sentido más amplio que el del término «adatfeldolgozás», definido en el artículo 3, apartado 17, de dicha Ley y engloba este último término.

64

Si bien el concepto de «adatfeldolgozás», según su acepción habitual y como resulta de la Ley sobre la información, tiene un sentido más estricto que el concepto de «adatkezelés», es preciso no obstante señalar que la versión húngara de la Directiva 95/46 define el término «adatfeldolgozás» en su artículo 2, letra b), de modo amplio, correspondiente al término «adatkezelés».

65

De lo anterior se desprende que procede responder a la octava cuestión prejudicial que la Directiva 95/46 debe interpretarse en el sentido de que el concepto de «adatfeldolgozás» (procesamiento de datos), utilizado en la versión húngara de esta Directiva, en particular en sus artículos 4, apartado 1, letra a), y 28, apartado 6, tiene el mismo sentido que el término «adatkezelés» (tratamiento de datos).

66

Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional nacional, corresponde a éste resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes del litigio principal, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.

En virtud de todo lo expuesto, el Tribunal de Justicia (Sala Tercera) declara: