Ley de Servicios Digitales (DSA): Obligaciones, Cambios y Consejos para Empresas

La Ley de Servicios Digitales (DSA) de la UE establece un nuevo marco normativo para los servicios intermediarios en internet (grandes plataformas, comercio electrónico y redes sociales), con el objetivo de hacerlos más responsables y transparentes y crear así un entorno online más seguro y equitativo.

En este artículo explicamos qué es la Ley de Servicios Digitales y repasamos sus aspectos clave.

¿Qué es la Ley de Servicios Digitales de la UE?

La Ley de Servicios Digitales (DSA) es un marco normativo para toda la UE en el que se establecen las obligaciones legales para los intermediarios en línea, desde proveedores de servicios básicos como el almacenamiento de datos, hasta grandes plataformas online como redes sociales y motores de búsqueda. Aprobada en 2022, su objetivo principal es modernizar la normativa vigente y responder a los desafíos actuales del ecosistema digital.

La DSA (Digital Services Act) es la consecución de un proyecto legislativo de la UE para regular los denominados servicios digitales, que hasta ahora se venían regulando a través de la Directiva sobre Comercio Electrónico del año 2000 (años antes de que existieran Facebook, Twitter o Amazon tuviera el alcance que tiene ahora), una normativa que ha quedado desfasada y que era necesario sustituir por una ley actualizada y acorde con los tiempos que vivimos y el impacto en la sociedad de las plataformas digitales.

El proyecto de Ley de Servicios Digitales fue aprobado por el Parlamento Europeo en enero de 2021 y finalmente aprobado como la nueva Ley de Servicios Digitales en abril de 2022, tiene, entre otros objetivos, limitar el poder que actualmente tienen las denominadas grandes tecnológicas, Google, Amazon, Meta (antes Facebook) y Apple, y además, afectará a cualquier servicio digital, por pequeño que sea, que opere en la UE, si bien es cierto, que cuanto mayor sea la plataforma (más millones de usuarios tenga), más afectada se verá por las obligaciones de esta ley.

Esta ley para la regulación de plataformas online es la primera de su tipo en aprobarse en el mundo y, como ya ha ocurrido con el RGPD, es muy probable que sirva de paradigma para otros países que quieran regular el espacio digital.

Cabe recordar que por servicios digitales nos referimos a todos aquellos servicios que usamos o contratamos a través de internet y que incluyen, entre otros, a: redes sociales, comercios electrónicos, plataformas de streaming, aplicaciones, servicios de mensajería instantánea, medios digitales, servicios de almacenamiento en la nube, de cloud computing, consultoría TIC, juego online, etc.

 

¿A quién afecta el Reglamento de Servicios Digitales?

El Reglamento de Servicios Digitales afecta a:

• Servicios de intermediación que ofrecen infraestructuras de red, como son proveedores de acceso a internet, registradores de nombres de dominio, entre otros.
• Servicios de alojamiento de datos, como son servicios de cloud computing y de alojamiento web.
• Plataformas en línea como son marketplaces, tiendas de aplicaciones, plataformas de economía colaborativa y plataformas de medios sociales (redes sociales), entre otros.
• Plataformas en línea de muy gran tamaño, que son aquellas cuyo número de usuarios supera el 10% de la población de la UE (en torno a los 45 millones de usuarios) y que por su tamaño y capacidad de difusión plantean especiales riesgos en lo que respecta a la difusión de contenidos ilícitos y nocivos para los ciudadanos. Las plataformas así calificadas deberán cumplir con una serie de obligaciones adicionales (que veremos más adelante).

Es importante señalar que un servicio o plataforma puede pertenecer a una, dos, tres o las cuatro categorías, ya que, por ejemplo, una plataforma online puede almacenar información y difundirla. Lo que quiere decir que las obligaciones son acumulativas.

Cabe señalar, además, que la DSA no se aplica en el mismo grado para todas las entidades y que, por tanto, no todas deben cumplir las mismas obligaciones.

La Comisión Europea es quien se encarga de designar qué servicios o plataformas digitales forman parte de cada categoría. Actualmente, tienen categoría de plataformas en línea de muy gran tamaño 22 servicios, entre los que se cuentan Amazon Store, AliExpress, Apple AppStore, Facebook, LinkedIn, Instagram, Google Play, Google Search, Twitter (actual X), TikTok o YouTube, por citar algunos.

Así mismo, esta normativa europea de servicios digitales es de aplicación a todas las empresas y organizaciones que presten sus servicios digitales u operen a través de la red en cualquier Estado miembro de la UE, con independencia de que su sede principal se encuentre en un tercer país, de manera que, si estas entidades digitales hacen negocio dentro de la UE, aunque no tengan sedes en ella, deben cumplir con la Ley (de la misma forma que ocurre con el RGPD).

¿Cuáles son los objetivos y obligaciones de la Ley de Servicios Digitales europea?

La Ley de Servicios Digitales de la UE se basa en una idea fundamental (y muy sencilla); que lo que es ilegal en el mundo físico, también sea ilegal en el mundo digital.

Para ello, la ley contiene medidas para, entre otros, frenar la publicación de contenido ilícito, y, aunque no hace responsables a las plataformas de lo que sus usuarios publican en ellas, sí que incide en su responsabilidad a la hora de eliminar contenidos ilícitos y mejorar la moderación. Así mismo, las obliga a ser más transparentes en cuanto a sus algoritmos y a someter a una mayor supervisión a las tecnológicas.

Además, dará a los usuarios un mayor control sobre los datos e información que comparten con las plataformas.

Contenido ilícito y desinformación

La Ley de Servicios Digitales exige a las tecnológicas y plataformas digitales una mayor responsabilidad sobre el contenido que se publica en ella, especialmente sobre contenidos ilícitos o que puedan resultar nocivos para los usuarios, así como sobre la desinformación.

Con ella se establece un mecanismo de «aviso y acción» para que las tecnológicas procedan a la retirada sin demora innecesaria de contenidos, servicios o productos ilegales de sus plataformas. Además, se pedirá a las plataformas que sean más diligentes con la eliminación de los mensajes de odio y los contenidos basados en la desinformación, para poder mitigar así riesgos sociales.

Para evitar que la ley conduzca a la censura o entorpezca la libertad de expresión, se han incluido en el texto medidas para garantizar que los avisos sobre estos contenidos no se produzcan de forma arbitraria o discriminatoria y que respeten los derechos fundamentales.

Este aspecto de la ley también afectará al comercio electrónico, obligando a las plataformas como Amazon o eBay a verificar la identidad real de los vendedores (si bien, no las hará responsables de la posible venta de productos ilegales). Regulación que se extenderá a los proveedores de servicios como los registros de nombres de dominio o las redes de distribución de contenido; en la práctica significa que para poder crear una página web, es necesario verificar la identidad de su creador.

Así mismo, la DSA contempla la creación de la figura de los «alertadores de confianza», que permitirá una comprobación de reclamaciones más rápida a las plataformas. Esta condición se otorgará a entidades que puedan acreditar conocimientos y experiencia en la lucha contra los contenidos ilícitos, que representen intereses colectivos y que sean objetivas. El encargado de designar esta condición de alertador de confianza será el coordinador de servicios digitales del Estado miembro del solicitante.

Las plataformas podrán, en determinadas condiciones, suspender temporalmente las cuentas de aquellos usuarios que muestren comportamientos abusivos, como son:

• La publicación frecuente de contenidos claramente ilícitos.
• El envío frecuente de avisos o reclamaciones manifiestamente infundados a través de los sistemas habilitados para ello.

Transparencia para los algoritmos

Aunque la Ley de Servicios Digitales no obliga a las tecnológicas a desvelar los secretos detrás de sus algoritmos, sí que tienen la obligación de informar a los usuarios de por qué reciben determinada publicidad o se les recomienda determinado contenido (por ejemplo, en los vídeos recomendados en la página de inicio de YouTube, los productos que nos recomienda Amazon o las series y películas que nos recomienda Netflix).

Se trata de que el usuario comprenda con mayor claridad cómo funcionan las recomendaciones y por qué motivos las recibe.

En ese sentido, la ley establece que los prestadores de servicios deberán asegurar que los usuarios puedan conocer en tiempo real y de manera clara la siguiente información relativa por cada anuncio publicitario que reciban:

• Que la información que reciben es un anuncio publicitario.
• La persona física o jurídica detrás del anuncio publicitario.
• Información significativa relativa a los principales parámetros utilizados para determinar quiénes son los destinatarios del anuncio publicitario.

Así mismo, las plataformas o prestadores de servicios digitales deben permitir a los usuarios desactivar el algoritmo si así lo desean (de ahí que en muchas redes sociales haya ahora dos apartados: «siguiendo» y «para ti», o similar) o «reiniciarlo», es decir, volver a entrenarlo como si usará la plataforma o aplicación por primera vez.

Recogida de datos online y publicidad personalizada

La Ley de Servicios Digitales también regula la recogida de datos online y la limitación de la publicidad personalizada para dar mayor control a los usuarios sobre sus datos (reforzando así lo ya dispuesto por el RGPD). En ese sentido, se prohíbe el uso de datos sensibles (raza, orientación sexual, ideología política, religión…) para segmentar los anuncios. Así mismo, se prohíbe recabar datos de menores de edad para mostrarles publicidad dirigida a ellos. En definitiva, la ley busca limitar la publicidad basada en la vigilancia que empresas como Google o Meta vienen desarrollando desde hace años.

La ley también prohíbe el uso de los llamados «dark patterns» o «patrones oscuros», es decir, el uso de engaños o técnicas para condicionar a los usuarios e influir en su comportamiento. Se consideran «patrones oscuros» desde los botones de descarga que nos llevan al banner de publicidad, hacer que sea complejo darse de baja de un servicio o recurrir a mensajes del tipo «solo queda 1 en stock» cuando no sean ciertos.

La ley establece, además, que las plataformas deben permitir a los usuarios que puedan usarlas sin ser rastreados mientras lo hacen, es decir, que un usuario pueda usar una red social sin que esta rastree su comportamiento mientras navega por ella o a dónde se dirige después.

Obligaciones adicionales

Además de las obligaciones generales señaladas más arriba, la Ley de Servicios Digitales establece las siguientes obligaciones adicionales para todos los servicios intermediarios:

• Crear un punto de contacto para la comunicación directa con los Estados miembros, la Comisión y la Junta. Así como la creación de un punto de contacto para los usuarios que permita una comunicación directa, eficiente y rápida.
• Designar una persona como representante legal si el prestador se encuentra fuera de la UE.
• Indicar en sus condiciones la información relativa las medidas que pueden llevar a la restricción de la prestación de servicios. E incluir las normas para la tramitación interna de reclamaciones.
• Publicar informes sobre su actividad de moderación de contenidos como mínimo una vez al año.
• Informar a las autoridades policiales sobre la posible comisión de un delito por un destinatario o usuario.

Obligaciones adicionales para los prestadores de servicios de alojamiento, incluidas las plataformas en línea:

• Establecer mecanismos que permitan la notificación o denuncia de contenidos y productos presuntamente ilícitos (incluidos productos falsificados).
• Establecer un sistema interno para tramitar reclamaciones respecto a las decisiones adoptadas por la plataforma.

Obligaciones específicas para las plataformas de muy gran tamaño:

• Adaptación a la nueva ley de los sistemas de moderación de contenidos o de recomendación, de los procesos decisorios, las características o el funcionamiento de sus servicios o sus condiciones.
• Realizar evaluaciones y análisis de riesgos sistémicos que se deriven del diseño de las plataformas y servicios, incluidos los algoritmos empleados, el funcionamiento y el uso de los servicios. La DSA identifica los siguientes riesgos sistémicos:
  • Riesgos asociados al uso indebido de un servicio a través de la difusión de contenidos ilícitos (difusión de materiales de abuso sexual de menores o delitos de incitación al odio, venta de productos o servicios prohibidos).
  • Riesgos del servicio para el ejercicio de los derechos fundamentales, incluida la libertad de expresión e información, el derecho a la vida privada, el derecho a la no discriminación y los derechos del niño.
  • Manipulación deliberada que tenga efectos para la salud, el discurso cívico, los procesos electorales, la seguridad pública y la protección de menores.
• Establecer medidas para limitar la presentación de anuncios publicitarios.
• Reforzar los procesos internos o la supervisión de sus actividades, especialmente respecto a la detección de riesgos sistémicos.
• Cooperar con los alertadores fiables.
• Cooperación con otras plataformas en línea a través de códigos de conducta y protocolos de crisis.
• Someterse a auditorías independientes.

Así mismo, la Ley de Servicios Digitales también contempla que los proveedores de servicios adopten medidas voluntarias como la creación de códigos de conducta relativos a: publicidad, accesibilidad y protocolos de crisis.

Finalmente, la DSA también promueve la resolución extrajudicial de litigios por organismos certificados independientes, de manera complementaria al recurso judicial. En estos casos, además, la ley contempla que los consumidores puedan retirarse en cualquier momento del procedimiento si no están satisfechos con el funcionamiento o la tramitación del mismo.

Órganos competentes supervisar el cumplimiento de la DSA

La aplicación de la DSA se basa en una colaboración entre las autoridades nacionales y la Comisión Europea. Cada Estado miembro debe designar un Coordinador de Servicios Digitales responsable de supervisar el cumplimiento a nivel local, en España es la CNMC (Comisión Nacional de los Mercados y la Competencia). Este coordinador trabaja junto con la Junta Europea de Servicios Digitales, que coordina las actividades de supervisión a nivel comunitario.

Para las plataformas de muy gran tamaño, la Comisión Europea asume un papel central, con competencias para llevar a cabo inspecciones, auditorías y, en caso de incumplimiento, imponer sanciones significativas.

Por lo tanto, tenemos los siguientes órganos competentes y sus funciones:

• Coordinador de servicios digitales a nivel estatal (CNMC en España): Competencias exclusivas sobre los prestadores de servicios intermediarios que tienen su sede principal en su territorio:
  • Supervisión
  • Investigación:
    • Solicitud de información sobre posibles infracciones
    • Inspección de instalaciones
    • Petición de explicaciones
  • Ejecución:
    • Aceptar compromisos y declaraciones vinculantes
    • Emitir órdenes de cesación a través de las autoridades judiciales
    • Sanciones
    • Adopción de medidas cautelares
  • Certificación de alertadores de confianza
  • Certificación de órganos extrajudiciales de resolución de litigios
• Junta Europea de Servicios Digitales:
  • Apoyo en la coordinación de investigaciones conjuntas
  • Apoyo en el análisis de informes y resultados de las auditorías independientes aplicables a las plataformas de gran tamaño y motores de búsqueda
  • Dictámenes, recomendaciones y asesoramiento
  • Asesoramiento a la Comisión Europea en la incoación de procedimientos frente plataformas de gran tamaño y motores de búsqueda
  • Apoyo, promoción y elaboración de normas europeas, directrices, informes, modelos y códigos de conducta
• Comisión Europea: Competencias exclusivas sobre las plataformas de gran tamaño y motores de búsqueda en materia de riesgos sistémicos y no exclusivas en materia de cumplimiento:
  • Investigación en materia de cumplimiento
  • Incoación de procedimientos
  • Solicitudes de información
  • Realizar entrevistas y tomar declaraciones
  • Hacer inspecciones
  • Adoptar medidas cautelares
  • Negociar y adoptar compromisos
  • Acciones de seguimiento
  • Decisiones en materia de incumplimiento
  • Sanciones
  • Restricción de acceso

Régimen sancionador de la normativa europea de servicios digitales

En caso de incumplimiento de las obligaciones establecidas en la Ley de Servicios Digitales, está previsto el siguiente régimen sancionador:

• Multas de hasta el 6% de la facturación anual mundial en caso de incumplimiento.
• Multas coercitivas periódicas de hasta el 5% del volumen de negocios medio diario mundial o de los ingresos anuales del prestador de servicios intermediarios por cada día de retraso en el cumplimiento de las sanciones.
• Sanciones de hasta el 1% de los ingresos anuales o del volumen de negocios anual en todo el mundo de prestador de servicios intermediarios, por proporcionar información incorrecta, incompleta o engañosa, por no responder o por no rectificar información incorrecta, incompleta o engañosa y por no someterse a una inspección.

Así mismo, para las plataformas de muy gran tamaño y los motores de búsqueda, la Comisión podrá imponer las citadas sanciones cuando constate que el prestador, de forma intencionada o por negligencia:

• Infringe las disposiciones pertinentes del Reglamento.
• Incumple una decisión por la que se ordenan medidas cautelares.
• Incumple un compromiso que se haya declarado vinculante por medio de una decisión adoptada por la Comisión.

Además, la DSA contempla una última medida en caso de que la infracción persista y cause un perjuicio grave a los usuarios y conlleve delitos penales que supongan una amenaza para la vida o la seguridad de las personas, la Comisión puede solicitar al órgano competente del Estado miembro que pida a los tribunales nacionales una restricción temporal de acceso de los destinatarios al servicio.

Entrada en vigor y plazos de la DSA

La Ley de Servicios Digitales de la Unión Europea entró en vigor el 16 de noviembre de 2022, desde ese momento los prestadores de servicios digitales y plataformas en línea tuvieron de plazo hasta el 17 de febrero de 2023 para comunicar su número de usuarios finales activos. Sobre estos números, la Comisión determinó si el prestador o plataforma se designaba como plataforma o motor de búsqueda en línea de muy gran tamaño. Si se la consideraba como tal, la entidad dispondría de 4 meses para cumplir con las obligaciones de DSA, lo que incluye la realización de la primera evaluación de riesgos sistémicos y su comunicación a la Comisión.

Los Estados miembros tuvieron hasta el 17 de febrero de 2024 para facultar a sus coordinadores de servicios digitales, fecha desde la que DSA es aplicable a todas las entidades que afecta.

Cabe señalar que estamos ante un reglamento europeo y, por tanto, su aplicación es directa en todos los Estados miembros de la UE, por lo que la Ley de Servicios Digitales en España es de aplicación sin necesidad de transposición.

Resumen de las obligaciones de la Ley de Servicios Digitales (Tabla)

Obligaciones DSA	Servicios de intermediación	Servicios de alojamiento de datos	Plataformas en línea	Plataformas de muy gran tamaño
Informes de transparencia	●	●	●	●
Condiciones de los servicios	●	●	●	●
Cooperación con las autoridades nacionales	●	●	●	●
Puntos de contacto y, si procede, representante legal	●	●	●	●
Información de a los usuarios de la adopción de medidas		●	●	●
Denuncia de delitos		●	●	●
Mecanismos de reclamación y recurso y resolución extrajudicial de conflictos			●	●
Alertadores fiables			●	●
Medidas contra las reclamaciones abusivas			●	●
Obligaciones adicionales para los mercados digitales			●	●
Prohibición de anuncios dirigidos a menores y los que se basan en datos sensibles de los usuarios			●	●
Transparencia de los sistemas de recomendación			●	●
Transparencia en la publicidad			●	●
Obligaciones en evaluación y gestión de riesgos y respuestas a crisis				●
Auditorías externas				●
Libertad para que los usuarios no reciban recomendaciones basadas en la elaboración de perfiles				●
Intercambio de datos con administraciones e investigadores				●
Códigos de conducta				●
Cooperación en respuestas a crisis				●

(Todas estas obligaciones son acumulativas. Fuente: Comisión Europea).

Preguntas frecuentes

¿Qué empresas están sujetas a la DSA?

La DSA afecta a todos los intermediarios y plataformas digitales que operan dentro de la Unión Europea, independientemente de dónde se encuentren sus sedes. Esto incluye desde proveedores de servicios básicos como redes de acceso a internet, hasta grandes plataformas como redes sociales y mercados en línea.

Sin embargo, las obligaciones varían según el tipo y tamaño de la empresa. Por ejemplo, las plataformas de muy gran tamaño y los motores de búsqueda de muy gran tamaño tienen requisitos adicionales, como evaluaciones anuales de riesgos y auditorías independientes, debido a su impacto sistémico en el ecosistema digital​

¿Cómo afecta la DSA a las pequeñas empresas?

Las pequeñas y medianas empresas tienen un tratamiento diferenciado en la DSA. Aunque deben cumplir con las disposiciones generales, como la eliminación de contenido ilegal cuando se notifique, están exentas de ciertas obligaciones impuestas a las plataformas más grandes, como la obligación de realizar evaluaciones de riesgos y auditorías anuales. Este enfoque tiene como objetivo no sobrecargar a las pymes y fomentar la innovación y la competencia en el mercado digital​.

Sin embargo, si una pequeña empresa crece hasta alcanzar más de 45 millones de usuarios en la UE, perderá su exención y deberá cumplir con las obligaciones adicionales para plataformas de muy gran tamaño.

¿Qué sanciones pueden aplicarse por incumplimiento del Reglamento de Servicios Digitales?

El régimen sancionador del Reglamento de Servicios Digitales es uno de los más estrictos en el ámbito digital. Las sanciones por incumplimiento pueden alcanzar hasta el 6% del volumen de negocios global de la empresa infractora. Además, las autoridades competentes tienen la facultad de imponer sanciones diarias para garantizar el cumplimiento, y en casos extremos, incluso prohibir que una plataforma opere dentro de la UE.

Estas sanciones buscan disuadir comportamientos negligentes o intencionadamente abusivos por parte de las plataformas digitales, garantizando un entorno más seguro y responsable para los usuarios.

¿Cómo protege la Ley de Servicios Digitales la privacidad de los usuarios?

La Ley de Servicios Digitales introduce medidas específicas para proteger la privacidad de los usuarios, particularmente en lo que respecta a la publicidad personalizada. Está prohibido el uso de datos sensibles, como la orientación sexual, las creencias religiosas o el origen étnico, para personalizar anuncios. Además, las plataformas no pueden dirigir anuncios personalizados a menores.

Otro aspecto clave es la mayor transparencia en el uso de algoritmos y sistemas de recomendación. Los usuarios deben ser informados de cómo se utilizan sus datos y por qué se les muestran ciertos contenidos o anuncios, con la opción de desactivar la personalización​.

¿Cuándo deben las empresas cumplir con la DSA?

La DSA se implementa de forma gradual. Las plataformas de muy gran tamaño y los motores de búsqueda con más de 45 millones de usuarios tuvieron que cumplir con la normativa desde agosto de 2023. Para el resto de plataformas y servicios digitales, el plazo final para cumplir con todas las obligaciones fue el 17 de febrero de 2024.