Falta de competencia territorial de la Agencia Española de Protección de Datos al no ser una empresa establecida en España
Protección de datos de carácter personal. Falta de competencia de la AEPD. Concepto legal de establecimiento. Empresa establecida en Luxemburgo, que tiene en España un apartado de correos y una cuenta bancaria, pero carece de más estructura en nuestro país. Una operación de tratamiento de datos de carácter personal solo puede estar sujeta al Derecho de un único Estado miembro, especifica que dicho Estado miembro será aquel en que el responsable del tratamiento disponga de un establecimiento, en el sentido de que desarrolle en él una actividad real y efectiva a través de una instalación estable, en el marco de cuyas actividades se efectúe la operación en cuestión, correspondiendo al órgano jurisdiccional nacional llevar a cabo tal apreciación. La Sala considera que la AEPD es competente siempre que la responsable tenga "establecimiento ubicado en territorio español".
No puede considerarse que se tenga establecimiento en España, por el mero hecho de tener una cuenta bancaria y un apartado de correos, pues se requiere el desarrollo en España de una actividad real y efectiva a través de una instalación estable. No procede sancionar a la recurrente, por falta de competencia.