• Introducción

En los últimos años, la Unión Europea (UE) se ha propuesto convertirse en un faro en materia de regulación de tecnologías emergentes, especialmente en IA[1] y en tecnologías de registros distribuidos[2], creando nuevos marcos jurídicos e incluso espacios de prueba controlados -regulatory sandboxes-[3] que buscan desarrollar nuevos sectores y nuevos actores[4] en la Economía de los Datos.

Con tal objetivo en miras, la Comisión Europea (CE) ha impulsando recientemente dos normas muy disruptivas: Digital Markets Act (en adelante, DMA) y la Digital Services Act (en adelante, DSA), que se analizarán en el presente, y que buscan crear un espacio digital más seguro, en el que se protejan los derechos fundamentales de los usuarios y donde se establezcan condiciones de competencia equitativas para las empresas[5].

En este sentido, la DMA entró en vigor ya en Noviembre de 2022[6], pero algunas normas han entrado en vigor entre Mayo y Junio de 2023 y otras lo harán en Marzo de 2024[7]. En cambio, la DSA[8] entrará en vigor el 17 de Febrero de 2024[9], debiendo los Estados miembros de la UE designar a sus coordinadores de servicios digitales antes de esa fecha, fecha en la que las plataformas con más de 45 millones de usuarios activos en la UE tendrán ya que cumplir todas las obligaciones previstas en la DSA[10]. Se analizará primero la DMA y luego la DSA, y se esbozan luego algunas conclusiones.

• DMA: Evaluación e Impacto

La DMA[11] es una norma comunitaria con un marcado tinte de lealtad comercial y antitrust[12], que busca proteger a las startups y PyMEs europeas. En 54 artículos repartidos en 6 capítulos y un anexo, DMA busca poner fin a ciertas prácticas anticompetitivas o desleales que la CE detectó, y que oportunamente endilgó[13] a los guardianes de acceso -o gatekeepers: gigantescas empresas de base tecnológica que prestan ciertos servicios que han quedado dentro del perímetro regulatorio de la DMA definidas en el Art. 3.

Así, en la visión de la CE, la DMA tiene por objeto evitar que los guardianes de acceso impongan condiciones injustas a las empresas y los usuarios finales, y garantizar el carácter abierto de importantes servicios digitales[14]. Subyace una presunción de que las características específicas de los denominados servicios básicos de plataforma definidos en el Art. 2(2) hace que este tipo de empresas tengan una natural inclinación del mercado a su favor[15]: una vez que ha logrado cierta ventaja sobre sus rivales o potenciales competidores en términos de tamaño o poder de intermediación, su posición podría volverse inexpugnable y la situación podría evolucionar hasta un punto en el que sea probable que goce de una posición afianzada y duradera en un futuro cercano. Entonces, es ahí donde parece apropiado intervenir, antes de que se produzca una inclinación irreversible del mercado[16].

Por ejemplo, los guardianes de acceso recogen directamente datos personales de los usuarios finales para prestar servicios de publicidad on line cuando los usuarios finales utilizan sitios web y aplicaciones informáticas de terceros, e incluso éstos mismos también facilitan a los guardianes de acceso los datos personales de sus usuarios finales, para hacer un mejor uso de determinados servicios digitales prestados por los guardianes de acceso.

Desde la óptica del online advertising, el tratamiento de datos personales de terceros que utilizan servicios básicos de plataforma otorga de facto a los guardianes de acceso grandes ventajas potenciales en términos de acumulación de datos, dado que tratan datos personales de un número considerablemente mayor de terceros que otras empresas. Esto crea, potencialmente, obstáculos a la entrada al mercado de publicidad on line, obstáculos que se potencian cuando el gatekeeper, además: (i) combina datos personales de usuarios finales recogidos de un servicio básico de plataforma con datos recogidos de otros servicios, (ii) utiliza datos personales de un servicio básico de plataforma en otros servicios que el mismo guardián de acceso presta por separado; e (iii) inicia la sesión de usuarios finales en diferentes servicios de guardianes de acceso para combinar datos personales[17]. Para garantizar que los guardianes de acceso no menoscaben deslealmente la disputabilidad de los servicios básicos de plataforma, los guardianes deben permitir que los usuarios finales puedan elegir libremente participar en tales prácticas de tratamiento de datos e inicio de sesión, sin condicionar el uso del servicio básico de plataforma o de determinadas funcionalidades al consentimiento del usuario final. No prestar el consentimiento no debe ser más difícil que prestarlo[18].

Por otro lado, mediante la imposición de condiciones contractuales, los guardianes de acceso pueden restringir la capacidad de los usuarios profesionales -PyMEs y startups- para ofrecer productos o servicios a sus usuarios finales en condiciones más favorables, incluido el precio, a través de otros servicios de intermediación on line o de sus canales de venta directa. Cuando tales restricciones se refieren a servicios de intermediación en línea de terceros, limitan la disputabilidad entre plataformas, lo que, a su vez, limita las opciones de servicios alternativos de intermediación para los usuarios finales. Cuando tales restricciones se refieren a canales de venta directa, pueden limitar injustamente la libertad de los usuarios profesionales para utilizar dichos canales. Entonces luce evidente que no debe aceptarse que los guardianes de acceso limiten la posibilidad de que los usuarios profesionales escojan diferenciar las condiciones comerciales, incluido el precio o medidas de efecto equivalente, como el aumento de los porcentajes de comisión o la supresión de las ofertas de los usuarios profesionales[19].

Otro ámbito donde se ve claro el riesgo potencial antiturst es en el cloud computing: la obligación de no utilizar los datos de usuarios profesionales -PyMEs y startups- debe extenderse a los datos proporcionados o generados por los usuarios profesionales del guardián de acceso, cuando utilizan el servicio de computación cloud del guardián de acceso[20].

Análisis de Considerandos y Artículos Clave

A lo largo de casi 26 páginas con 109 considerandos, el Parlamento Europeo (PE) ratificó la visión de la CE y del Consejo de la Unión Europea (CUE), sancionando una norma de enorme impacto en el sector tecnológico global.

DMA reconoce lo evidente: que los servicios digitales en general y las plataformas on line[21] en particular desempeñan un papel cada vez más importante en la economía, especialmente en el mercado interior, posibilitando que las empresas lleguen a usuarios de toda la UE, facilitando el comercio transfronterizo y ofreciendo oportunidades de negocio completamente nuevas a un gran número de empresas en la UE en beneficio de los consumidores[22].

En la visión de la CE y del PE, entre esos servicios digitales existen los servicios básicos de plataforma -i.e. objeto de regulación de la DMA- que presentan características especiales: (i) economías de escala extremas, lo que implica costos marginales prácticamente nulos para sumar nuevos usuarios profesionales (empresas) o usuarios finales; (ii) efectos de red muy potentes; (iii) importante grado de dependencia de los usuarios profesionales y los usuarios finales, efectos de cautividad[23], falta de multiconexión para el mismo propósito por parte de los usuarios finales, integración vertical y enormes ventajas derivadas de los datos; y (iv) prácticas desleales de las empresas prestadoras de tales servicios básicos de plataforma, todo lo cual confiere al proveedor de esos servicios una posición que la CE ha bautizado “guardián de acceso”[24].

Esta plataforma fáctica justifica que un reducido número de grandes empresas prestadoras de servicios básicos de plataforma hayan acumulado un gran poder económico, que además les permite conectar a muchos usuarios profesionales con muchos usuarios finales a través de sus servicios, lo que, a su vez, les permite trasladar sus ventajas en materia de datos de un ámbito de actividad -i.e. en términos antitrust, de un mercado relevante de servicios- hacia otro u otros mercados.

En este sentido, la CE es consciente que algunas de estas empresas controlan ecosistemas completos de plataformas en la economía digital, y que a los operadores del mercado existentes o nuevos les resulta sumamente difícil, por motivos estructurales, competir con ellos o disputarles el mercado[25]. Ello además se completa con enormes obstáculos a la entrada -altos costos de inversión- o para la salida del mercado -ausencia de algunos insumos clave como los datos-. Por todo ello, aumenta la probabilidad de que los mercados subyacentes no funcionen bien[26]. Esta es la razón por la cual DMA se aplica a priori sólo a grandes empresas que, en los hechos: (i) son una puerta de acceso importante a tales servicios, y dicha (ii) empresa tiene una gran influencia en el mercado interior y cuenta con (iii) una posición afianzada y duradera[27], o es previsible que alcance tal posición en el futuro[28]. Respecto de tales tipos de empresas, la CE debe poder designarlos directamente como guardianes de acceso[29].

Una vez designados como guardianes de acceso, estas empresas deberán cumplir las 25 obligaciones que se analizan más abajo, y que prohíben prácticas que menoscaban la disputabilidad del mercado[30] o que no son equitativas[31], o ambas cosas, y que tienen un impacto directo especialmente negativo en los usuarios profesionales -PyMEs- y los usuarios finales[32].     

Por otro lado, la usual integración vertical de los gatekeepers permite que ofrezcan determinados productos o servicios a los usuarios finales a través de sus propios servicios básicos de plataforma, o a través de un usuario profesional sobre el que ejercen control, lo que con frecuencia conduce a conflictos de intereses, por ejemplo cuando un guardián de acceso presta sus propios servicios de intermediación a través de un propio motor de búsqueda. Al ofrecer esos productos o servicios dentro del servicio básico de plataforma, los guardianes de acceso pueden reservar una posición mejor a su propia oferta en términos de clasificación y de las funciones relacionadas de indexado y rastreo, comparado con los productos o servicios de terceros que también operan en ese servicio básico de plataforma[33].

Finalmente, aunque existan normas comunitarias antitrust[34], su aplicación no garantiza un funcionamiento óptimo de los mercados digitales y de todos los servicios en ellos prestados[35], y por tal razón, la DMA busca que los usuarios profesionales y los usuarios finales de servicios básicos de plataforma prestados por guardianes de acceso tengan garantías normativas adecuadas contra las prácticas desleales de los guardianes de acceso, a fin de facilitar las actividades comerciales transfronterizas dentro de la UE[36].

Servicios básicos de plataforma. Designación como guardián de acceso

La esencia de la DMA viene dada, en primer término, por la definición de servicios básicos de plataforma, que son servicios: (1) de intermediación incluyendo tiendas de descargas de Apps; (2) de motores de búsqueda; (3)  de redes sociales; (4) de plataforma de intercambio de vídeos; (5) de comunicaciones interpersonales independientes de la numeración; (6) de sistemas operativos; (7) de navegadores web; (8) de asistentes virtuales; (9) de computación en nube; y (10) de publicidad on line, incluidas las redes de publicidad, las plataformas de intercambio de publicidad y cualquier otro servicio de intermediación publicitaria, prestados por una empresa que preste cualquiera de los nueve servicios básicos listados[37].

En segundo término, es esencial la definición de guardián de acceso: una empresa que presta cualquiera de los diez servicios enumerados[38] y que ha sido declarada como tal por la CE[39]. La norma también faculta a la CE a iniciar investigaciones de mercado para determinar si una empresa debe ser designada guardián de acceso, incluso si no tiene una posición afianzada en el mercado[40].

Obligaciones de los guardianes de acceso y prácticas prohibidas

El capítulo III -Arts. 5, 6 y 7- es el corazón de la DMA. Contienen 25 obligaciones[41] esenciales que los guardianes designados como tales deben cumplir con relación a cada servicio básico de plataforma. Bajo petición debidamente fundada por el guardián, la CE puede suspender el cumplimiento total o parcial de alguna de las obligaciones[42]. La CE también puede eximir motu proprio al guardián por razones de salud o seguridad públicas[43].

La lista de obligaciones del guardián es la siguiente: (1) no debe tratar, con el fin de prestar servicios de publicidad, los datos personales de los usuarios finales que utilicen servicios de terceros que hagan uso de los servicios básicos de plataforma del guardián de acceso; (2) no debe combinar datos personales de los servicios básicos de plataforma pertinentes con datos personales de cualesquiera servicios básicos de plataforma adicionales o de cualquier otro servicio prestado por el mismo guardián de acceso o con datos personales de servicios de terceros; (3) no debe cruzar datos personales del servicio básico de plataforma pertinente con otros servicios que preste el guardián de acceso por separado, otros servicios básicos de plataforma, y viceversa; (4) no debe iniciar la sesión de usuarios finales en otros servicios del guardián de acceso para combinar datos personales -salvo con consentimiento del usuario final-; (5) no debe aplicar obligaciones que impidan a los usuarios profesionales ofrecer los mismos productos o servicios a usuarios finales a través de servicios de intermediación de terceros, o de su propio canal de venta directa a precios o condiciones que sean diferentes de los ofrecidos a través de los servicios de intermediación del guardián de acceso; (6) debe permitir a los usuarios profesionales, de forma gratuita, comunicar y promover ofertas, en particular con condiciones diferentes, entre los usuarios finales adquiridos a través de su servicio básico de plataforma u otros canales y celebrar contratos con esos usuarios finales, independientemente de si utilizan los servicios básicos de plataforma del guardián de acceso; (7) debe permitir a los usuarios finales, a través de sus servicios básicos de plataforma, acceder a contenidos, suscripciones, prestaciones u otros elementos y hacer uso de ellos mediante aplicaciones informáticas de un usuario profesional, también cuando dichos usuarios finales hayan adquirido estos elementos a través del usuario profesional pertinente pero sin utilizar los servicios básicos de plataforma del guardián de acceso; (8) no impedirá directa o indirectamente que los usuarios profesionales o usuarios finales puedan presentar reclamaciones por incumplimiento; (9) no exigirá a los usuarios finales que utilicen un servicio de identificación, un motor de navegación web o un servicio de pago o servicios técnicos de ese guardián de acceso que permitan la prestación de servicios de pago, tales como los sistemas de pago para realizar compras integradas en una aplicación del guardián de acceso, en el marco de los servicios prestados por los usuarios profesionales que utilicen los servicios básicos de plataforma de dicho guardián de acceso; y, en el caso de los usuarios profesionales, el guardián de acceso no les puede exigir que utilicen y ofrezcan estos servicios ni que interoperen con ellos; (10) no exigirá a los usuarios profesionales o a los usuarios finales que se suscriban o registren en cualquier servicio básico de plataforma adicional, como condición para poder utilizar cualquiera de los servicios básicos de plataforma de ese guardián de acceso; (11) entregará a cada anunciante al que preste servicios de publicidad- o a terceros autorizados por los anunciantes a petición del anunciante- información diaria y gratuita sobre cada anuncio del anunciante, sobre el precio y comisiones pagados, incluidas deducciones y recargos, por cada uno de los servicios de publicidad prestados por el guardián de acceso; incluyendo la remuneración recibida por el editor con su consentimiento, incluidas deducciones y recargos, y las medidas a partir de las que se calculan precios, comisiones y remuneraciones; (12) entregará a cada editor al que preste servicios de publicidad -o a terceros autorizados por los editores, a petición del editor- información diaria y gratuita sobre cada anuncio que aparezca en el inventario del editor, respecto a la remuneración recibida, las comisiones pagadas por ese editor, incluidas deducciones y recargos, por cada uno de los servicios de publicidad brindados por el guardián de acceso, incluyendo el precio pagado por el anunciante y la métrica a partir de la que se calculan cada uno de los precios y remuneraciones[44]; (13) no utilizará, en competencia con los usuarios profesionales, ningún dato que no sea públicamente accesible generado o proporcionado por dichos usuarios profesionales en el contexto de su uso de los servicios básicos de plataforma pertinentes, incluidos los datos generados o proporcionados por los clientes de dichos usuarios profesionales[45]; (14) permitirá y posibilitará técnicamente a los usuarios finales desinstalar cualquier aplicación informática del sistema operativo de dicho guardián de acceso, aunque dicho guardián pueda restringir la desinstalación de aplicaciones informáticas preinstaladas esenciales para el funcionamiento del sistema operativo o el dispositivo siempre que, desde un punto de vista técnico, no puedan ser ofrecidos de manera autónoma por terceros[46]; (15) permitirá y posibilitará técnicamente la instalación y el uso de aplicaciones informáticas o tiendas de aplicaciones informáticas de terceros que utilicen su sistema operativo o interoperen con él, y permitirá el acceso a estas aplicaciones o tiendas por medios distintos a los servicios básicos de plataforma pertinentes de dicho guardián de acceso[47]; (16) no tratará más favorablemente, ni en la clasificación ni en las funciones relacionadas de indexado y rastreo, a los servicios y productos ofrecidos por el propio guardián de acceso que a los servicios o productos similares de terceros y aplicará condiciones transparentes, equitativas y no discriminatorias a dicha clasificación; (17) no restringirá, técnicamente o de otra manera, la capacidad de los usuarios finales para cambiar entre diferentes aplicaciones informáticas y servicios accesibles mediante los servicios básicos de plataforma del guardián de acceso, y suscribirse a ellos, también en lo que respecta a la elección de los servicios de acceso a internet para los usuarios finales; (18) permitirá a los prestadores de servicios y a los proveedores de hardware interoperar de forma gratuita y efectiva con las mismas funciones del hardware y el software accesibles o controlables a través del sistema operativo o del asistente virtual que se encuentren disponibles para los servicios o el hardware prestados o suministrados por el guardián de acceso; permitirá también el acceso a esas funciones con fines de interoperabilidad, y permitirá a los usuarios profesionales y prestadores alternativos de servicios prestados junto con los servicios básicos de plataforma la interoperabilidad gratuita y efectiva con las mismas funciones del sistema operativo, el hardware o el software, y el acceso a esas funciones con fines de interoperabilidad, con independencia de si tales funciones forman o no parte del sistema operativo, de si están disponibles para ese guardián de acceso o de si las utiliza a la hora de prestar tales servicios, pero no se impedirá al guardián de acceso adoptar medidas necesarias y proporcionadas para garantizar que la interoperabilidad no comprometa la integridad de las funciones del sistema operativo, del asistente virtual, el hardware o el software suministrados por el guardián de acceso; (19) proporcionará a los anunciantes y los editores, así como a terceros autorizados por los anunciantes y los editores, a petición de estos y de forma gratuita, acceso a los instrumentos de medición del rendimiento del guardián de acceso y a los datos necesarios para que los anunciantes y los editores puedan realizar su propia verificación independiente del inventario de anuncios, incluidos los datos agregados y desagregados, de tal manera que se posibilite a los anunciantes y los editores utilizar sus propios instrumentos de verificación y medición para valorar el rendimiento de los servicios básicos de plataforma prestados por el guardián de acceso; (20) proporcionará a los usuarios finales y a terceros autorizados por un usuario final, a petición de estos y de forma gratuita, la portabilidad efectiva de los datos proporcionados por el usuario final o generados por la actividad del usuario final en el contexto del uso del servicio básico de plataforma pertinente, proporcionando instrumentos gratuitos para facilitar el ejercicio efectivo de dicha portabilidad de los datos, así como acceso continuo y en tiempo real a tales datos; (21) proporcionará a los usuarios profesionales y a terceros autorizados por un usuario profesional, a petición de estos y de forma gratuita, el acceso efectivo, de calidad, continuo y en tiempo real a los datos agregados o desagregados, y el uso de tales datos, incluidos los datos personales, que se proporcionen o se generen en el contexto de la utilización de los servicios básicos de plataforma o de los servicios prestados junto con los servicios básicos de plataforma pertinentes por parte de dichos usuarios profesionales y de los usuarios finales que recurran a los productos o servicios prestados por dichos usuarios profesionales[48]; (22) proporcionará a terceras empresas proveedoras de motores de búsqueda, a petición de estas, el acceso en condiciones equitativas, razonables y no discriminatorias a datos sobre clasificaciones, consultas, clics y visualizaciones en relación con la búsqueda gratuita y de pago generados por los usuarios finales en sus motores de búsqueda -los datos sobre consultas, clics y visualizaciones que sean datos personales se anonimizarán-; (23) aplicará a los usuarios profesionales condiciones generales equitativas, razonables y no discriminatorias de acceso a sus tiendas de aplicaciones, motores de búsqueda y servicios de redes sociales; (24) no establecerá condiciones generales para poner fin a la prestación de un servicio básico de plataforma que sean desproporcionadas; y (25) hará que las funcionalidades básicas[49] de sus servicios de comunicaciones interpersonales independientes de la numeración (e.g. WhatsApp) sean interoperables con los servicios de otro proveedor, proporcionando las interfaces técnicas necesarias o soluciones similares que faciliten la interoperabilidad, previa solicitud y de forma gratuita.

Norma antielusión. Merger control. Auditoría

Para evitar que los guardianes de acceso escapen de sus responsabilidades, el Art. 13 dispone que una empresa prestadora de servicios básicos de plataforma no segmentará, dividirá, subdividirá, fragmentará o separará servicios a través de medios contractuales, comerciales, técnicos o de otro tipo con el fin de eludir los umbrales cuantitativos del Art. 3, y  ninguna de estas prácticas impedirá que la CE la designe guardián de acceso. Además, los guardianes deben garantizar que se cumplen plena y eficazmente las obligaciones establecidas en los artículos 5, 6 y 7, y no deben incurrir en ningún comportamiento que menoscabe el cumplimiento con independencia de que ese comportamiento sea contractual, comercial, técnico o de cualquier otra naturaleza, o consista en el recurso a técnicas basadas en el comportamiento o al diseño de interfaces. Los guardianes de acceso no deben degradar las condiciones o la calidad de ninguno de los servicios básicos de plataforma prestados a los usuarios profesionales o los usuarios finales que se acojan a los derechos u opciones establecidos en los artículos 5, 6 y 7, ni dificultará indebidamente el ejercicio de esos derechos u opciones, incluido el hecho de ofrecer a los usuarios finales opciones de una manera que no sea neutra, o de subvertir la autonomía y la toma de decisiones o la capacidad de elección de los usuarios finales o de los usuarios profesionales a través de la estructura, el diseño, la función o el modo de funcionamiento de la interfaz de usuario o sus componentes.

Por otro lado, el Art. 14 establece una obligación expresa de notificación a la CE para casos de concentración económica entre empresas que presten servicios básicos de plataforma[50]. A su turno, el Art. 15 ha dispuesto la obligación de entregar a la CE una descripción auditada de manera independiente respecto de las técnicas para elaborar perfiles de los consumidores que apliquen en sus servicios básicos de plataforma, que será hecho público mediante un resumen que debe presentarse en Marzo de 2024 y que debe actualizarse anualmente[51].

Investigaciones de mercado. Cautelares en sede administrativa. Compliance Officer. Multas. Cooperación antitrust. Otras autoridades

La DMA otorga importantes facultades a la CE para investigar posibles incumplimientos de los guardianes respecto de las obligaciones que se les imponen[52], o sobre nuevos servicios o nuevas prácticas que deban ser regulados o prohibidos, respectivamente[53]. También se faculta a la CE a dictar medidas cautelares[54] y se obliga a los guardianes a designar un agente de cumplimiento para garantizar el cumplimiento de las obligaciones[55]. Los incumplimientos intencionados o negligentes debidamente comprobados pueden ser multados con hasta el 10% del volumen de negocios total a nivel mundial en el ejercicio anterior[56], multa que puede escalar hasta el 20% en caso de reincidencia[57]. También se prevén multas coercitivas diarias para ciertos incumplimientos[58]. Se fija en 5 años el plazo de prescripción para imponer sanciones[59] o ejecutarlas[60].

Finalmente, la DMA prevé que la CE coopere con las autoridades nacionales competentes de los Estados miembros encargadas de hacer cumplir las normas de defensa de la competencia, estando facultadas para comunicarse entre sí cualquier información sobre cuestiones de hecho y de derecho, incluida información confidencial. Además, se establece que cuando la autoridad nacional competente tenga la intención de iniciar una investigación antitrust sobre los guardianes de acceso sobre la base de la legislación nacional, informará por escrito a la CE de su primera medida formal de investigación, antes o inmediatamente después del inicio de dicha medida[61]. También se prevé que que 3 o más Estados miembros pueden solicitar a la CE que inicie una investigación de mercado para designar a una empresa como guardián de acceso[62]. Dispone la creación de un Grupo de Alto Nivel que asiste a la CE en su labor[63] y la creación de un Comité Consultivo sobre DMA[64].

• DSA: Evaluación e Impacto

Como se adelantó, la DSA[65] entrará en vigor el 17 de Febrero de 2024[66], debiendo los Estados miembros de la UE designar a sus coordinadores de servicios digitales antes de esa fecha, fecha en la que las plataformas con más de 45 millones de usuarios activos tengan que cumplir todas las normas de la DSA[67].

De la lectura de las 40 páginas con 156 considerandos, y de sus 93 artículos repartidos en 5 capítulos, se extrae que el dictado de DSA reconoce que han aparecido nuevos e innovadores modelos de negocio y servicios -e.g. redes sociales y las plataformas- que permiten a los consumidores celebrar contratos a distancia con comerciantes, que permiten también a los usuarios profesionales -PyMEs y startups- y a los consumidores comunicar información y acceder a ella, y efectuar transacciones de formas novedosas.

Sin embargo, la transformación digital y el creciente uso de tales servicios también entraña nuevos riesgos[68], los que deben ser abordados de manera comunitaria para evitar la fragmentación del mercado de la UE por el dictado de normas nacionales inconexas. Con tal objetivo, DSA establece las condiciones mínimas para que en el mercado interior surjan y se desarrollen servicios digitales innovadores, buscando también garantizar la seguridad jurídica, de modo que se reduzca la incertidumbre para los desarrolladores y se fomente la interoperabilidad[69].

En este sentido DSA se aplica a ciertos servicios de la sociedad de la información, previamente definidos en la Directiva (UE) 2015/1535 del Parlamento Europeo y del Consejo[70]: cualquier servicio prestado normalmente a cambio de una remuneración, a distancia, por vía electrónica y a petición de un destinatario a título individual, lo que incluye a los prestadores de servicios intermediarios[71], en particular los conocidos como de “mera transmisión[72]”, de “memoria caché[73]” y de “alojamiento de datos[74]”, sin importar el lugar de establecimiento o ubicación, en la medida en que ofrezcan servicios en la UE[75], si el número de destinatarios del servicio en uno o varios Estados es significativo en relación con su población, o cuando se orienten actividades hacia uno o más Estados miembros[76].

A diferencia de DMA que tiene, como se dijo, un tinte más antitrust motivado en jurisprudencia europea, DSA busca garantizar un entorno on line seguro, predecible y digno de confianza, abordando la difusión de contenidos ilícitos[77] y los riesgos de la difusión de desinformación u otros contenidos[78].  En este sentido, se establece un régimen de exclusión de responsabilidad para los prestadores de servicios intermediarios en relación con contenidos ilícitos proporcionados por los destinatarios del servicio[79], sujeto a que el intermediario no tenga control efectivo ni conocimiento sobre tales contenidos[80].

Entrando a las características de los servicios regulados, es preciso distinguir una categoría general de prestadores de servicios de alojamiento de datos, con varias  subcategorías: (i) las plataformas en línea[81], como las redes sociales o las plataformas que permiten a los consumidores celebrar contratos a distancia con comerciantes -market places-, como prestadores de servicios de alojamiento de datos que no solo almacenan información proporcionada por los destinatarios del servicio a petición de estos, sino que además difunden dicha información al público a petición de los destinatarios del servicio; y (ii) los servicios de computación en la nube -cloud computing- o de alojamiento web -hosting-, que no deben ser considerados plataformas en línea cuando la difusión al público de información específica constituya una característica menor y auxiliar o una funcionalidad menor de dichos servicios[82].

Debida diligencia. Cláusulas contractuales. Uso abusivo. Prohibición de diseño engañoso. Regulación de la publicidad on line. Grandes plataformas y buscadores

A fin de garantizar un entorno en línea seguro y transparente, DSA establece obligaciones comunitarias de diligencia debida para los prestadores de servicios intermediarios, adaptadas al tipo, el tamaño y la naturaleza del servicio intermediario de que se trate[83]. Por tanto, DSA establece: (i) obligaciones básicas aplicables a todos los prestadores de servicios intermediarios, (ii) ciertas obligaciones adicionales[84] para los prestadores de servicios de alojamiento de datos[85] y, más concretamente, (iii) para los prestadores de plataformas en línea[86], (iv) para las plataformas de muy gran tamaño[87] y (v) para los motores de búsqueda de muy gran tamaño. Respecto de éstos, DSA entiende que pueden usarse de modo que influyan en gran medida en la seguridad on line, en la opinión y el discurso públicos, así como en el e-commerce. Por esta razón, DSA dispone que deben evaluar los riesgos sistémicos[88] que entrañan el diseño, funcionamiento y uso de sus servicios, así como los posibles usos indebidos por parte de los destinatarios de estos servicios, y deben adoptar medidas de reducción de riesgos apropiadas respetando los derechos fundamentales[89], las que deben ser auditadas por terceros independientes[90].

En la medida en que los prestadores de servicios intermediarios pertenezcan a varias de las diferentes categorías en función de la naturaleza de sus servicios y de su tamaño, deben cumplir con todas las obligaciones, pero nótese que se tiene en cuenta el tamaño de la empresa: a las micro y PyMEs no se exigirán las mismas obligaciones que a las grandes plataformas o buscadores[91].

Por otro lado, la DSA establece determinadas normas sobre el contenido, la aplicación y la ejecución de las condiciones generales de dichos prestadores por motivos de transparencia y protección de los destinatarios del servicio y para evitar resultados injustos o arbitrarios[92], incluyendo la prohibición del diseño de interfaces engañosas[93]. Además, los prestadores de plataformas deben suspender temporalmente sus actividades pertinentes respecto de una persona que muestre comportamientos abusivos[94].

En materia de publicidad -muy relacionada con la prestación de servicios de plataformas cuando ésta se remunera total o parcialmente, directa o indirectamente vía ingresos publicitarios- DSA entiende que, no regulada, la publicidad on line puede efectivamente contribuir a la generación de riesgos significativos, desde anuncios publicitarios que sean en sí mismos contenidos ilícitos hasta contribuir a incentivar económicamente la publicación o amplificación de contenidos y actividades en línea que sean ilícitos o de otro modo nocivos, o la presentación discriminatoria de anuncios que afecten a la igualdad de trato y oportunidades de los ciudadanos[95].  Lo anterior se refuerza cuando se trata de una gran plataforma o buscador (e.g. más de 45 millones de usuarios[96]). El legislador europeo entiende que cuando se presentan anuncios basados en técnicas de segmentación optimizadas para responder a sus intereses y apelar potencialmente a sus vulnerabilidades, los efectos negativos pueden ser especialmente graves, y hasta pueden afectar negativamente a grupos enteros y amplificar perjuicios sociales, por ejemplo, contribuyendo a campañas de desinformación o discriminando a determinados grupos[97]. Por tal razón, se prohíben ciertos anuncios basados en la elaboración de perfiles que utilzan ciertos datos personales[98] y se obliga a las grandes plataformas y buscadores a entregar información esencial respecto del funcionamiento de sus sistemas[99].

Por otro lado, DSA también entiende que una parte fundamental del negocio de una plataforma es la manera en que prioriza y presenta la información para facilitar y optimizar el acceso a ella, mediante la recomendación, clasificación y priorización algorítmica de la información, la distinción de texto u otras representaciones visuales, o la organización de manera diferente de la información facilitada por los destinatarios[100]. Estos sistemas también desempeñan un papel importante en la amplificación de determinados mensajes, la difusión viral de información y la promoción de comportamientos en línea. Por tanto, DSA exige a las plataformas que informen a sus destinatarios cómo los sistemas de recomendación afectan la forma en que se muestra la información y pueden influir en la manera en que la información se les presenta, explicitando los criterios más importantes a la hora de determinar la información sugerida al destinatario del servicio y las razones de su importancia respectiva, también cuando se dé prioridad a la información basada en la elaboración de perfiles y en su comportamiento en línea[101].

Know-Your-Business (KYB). Compliance Officer. Códigos de Conducta

Para disuadir a los comerciantes de vender productos o servicios que infrinjan normas, DSA dispone que las plataformas que permitan a los consumidores celebrar contratos a distancia con los comerciantes -i.e. marketplaces- deben asegurarse de que dichos comerciantes puedan ser objeto de trazabilidad, y exigirle a los mismos determinada información esencial que permita a los consumidores celebrar contratos a distancia con los comerciantes, incluso para promocionar mensajes o realizar ofertas sobre productos, a fin de posibilitar la presentación de reclamaciones contra el comerciante o la ejecución de órdenes relacionadas con el comerciante[102]. Sin embargo, los prestadores de plataformas no deben estar obligados a realizar actividades excesivas o costosas de búsqueda de hechos ni a realizar comprobaciones sobre el terreno desproporcionadas, ni debe entenderse que garanticen la fiabilidad de la información al consumidor u otros interesados[103].  Notablemente, DSA dispone que la CE debe fomentar la trazabilidad de los productos intermediados a través de soluciones tecnológicas, como códigos de respuesta rápida firmados digitalmente -códigos QR- o tokens no fungibles (NFTs)[104].

Por otro lado, respecto de las grandes plataformas o buscadores, DSA dispone que deben establecer una función de cumplimiento, independiente de las funciones operativas, y que debe reportar directamente a la dirección. Estos DSA compliance officers deben poseer la cualificación, la experiencia, la capacidad y los conocimientos necesarios para poner en práctica medidas y vigilar el cumplimiento de la DSA[105]. Asimismo, la CE debe fomentar la elaboración de códigos de conducta voluntarios[106], donde se definan claramente la naturaleza de los objetivos de interés público que se persiguen, los mecanismos para la evaluación independiente y que presenten una definición clara de la función de las autoridades competentes[107], y, especialmente, deben contemplar medidas de reducción de riesgos relativas a tipos concretos de contenidos ilícitos a través de acuerdos de autorregulación y corregulación. La adhesión de una plataforma o de un buscador de muy gran tamaño a un determinado código de conducta y su cumplimiento puede considerarse una medida apropiada de reducción de riesgos.

Reparto de competencias. Cautelares administrativas. Non bis in idem.

En materia de competencias nacionales, DSA dispone que cada Estado debe designar un coordinador de servicios digitales[108] independiente[109] -creando una nueva oficina o designando a una ya existente- para aplicar este reglamento, debidamente dotado de recursos humanos y financieros, y con el fin último de: (i) buscar un correcto funcionamiento del mercado interior de servicios intermediarios para un entorno on line seguro, predecible y fiable que facilite la innovación, y (ii) verificar el cumplimiento de las obligaciones de diligencia debida aplicables a las diferentes categorías de prestadores de servicios intermediarios, para garantizar el cumplimiento de los derechos fundamentales[110].

En este sentido, los coordinadores nacionales pueden iniciar investigaciones conjuntas[111], derivar investigaciones a la CE[112], y, en el caso de la CE, está facultada para dictar medidas cautelares administrativas[113] en caso de riesgo de perjuicios graves[114], debiendo conseguir órden judicial para allanamientos y respetar el secreto profesional abogado-cliente[115]. Deben además informar sobre las denuncias recibidas y sanciones aplicadas[116]. Ahora bien, DSA reserva para la CE la competencia exclusiva para investigar y sancionar -secundada por autoridades nacionales- cuestiones de riesgos sistémicos asociados a los prestadores de plataformas de muy gran tamaño[117] y motores de búsqueda de muy gran tamaño[118]. Tanto la CE como las autoridades nacionales tienen competencia concurrente para verificar el cumplimiento de las obligaciones de diligencia debida, y es la CE la que debe evaluar si considera adecuado ejercer esas competencias compartidas en un caso determinado y, una vez que inicie el procedimiento, precluye la posibilidad para los Estados miembros[119].

Multas. Prescripción. Junta Europea de Servicios Digitales. Observatorio de la Economía de las Plataformas en línea. Impacto en PyMEs.

En materia de sanciones previstas en la DSA -multas sancionadoras y disuasorias o coercitivas, de similar tenor a las previstas en DMA[120]-, éstas deben ser proporcionadas y disuasorias en función de la naturaleza, gravedad, recurrencia y duración del incumplimiento, y de la  capacidad económica del infractor, el número de destinatarios del servicio afectados, el carácter intencionado o negligente de la infracción y si el prestador mantiene actividad en varios Estados miembros. Prescriben a los 5 años las infracciones a la DSA, y en el mismo plazo prescribe la acción de la CE para sancionarlas, sujetos ambos a supuestos de interrupción y suspensión[121].

Respecto de proveedores de servicios regulados que no tengan asiento legal o representante designado en la UE, como se adelantó, todos los Estados miembros o la CE, en su caso, deben tener competencia para aplicar las normas de DSA, siempre que el prestador no esté sujeto a procedimientos de ejecución por los mismos hechos ante otra autoridad competente o la CE. Para esto, cada Estado miembro que tenga la intención de ejercer su competencia con respecto a dichos prestadores debe informar sin dilación indebida a todas las demás autoridades, incluida la CE, a través del sistema de intercambio de información establecido en DSA[122].

El tejido institucional se completa con la creación de la Junta Europea de Servicios Digitales (JESD), un grupo consultivo independiente a escala de la UE que presta apoyo a la CE, integrada por los coordinadores de servicios digitales, y que coordina las acciones de éstos[123]. Además, debe colaborar en la preparación de modelos y códigos de conducta, y emitir  dictámenes o recomendaciones no vinculantes[124] sobre asuntos relacionados con las normas. Específicamente respecto de las plataformas y buscadores de muy gran tamaño, se espera que la JESD y la CE, en cooperación con los coordinadores de servicios digitales, desarrollen conocimientos especializados para la supervisión efectiva de estas grandes  plataformas y buscadores. A tal fin, la CE también puede confiar en los conocimientos especializados y las capacidades del Observatorio de la Economía de las Plataformas en Línea[125].

Finalmente, la CE debe evaluar las consecuencias de las obligaciones para las pequeñas empresas y las microempresas en un plazo de tres años a partir del comienzo de su aplicación[126].

•  Conclusión

El célebre profesor de Derecho de Harvard, Lawrence Lessig, recientemente afirmó[127] que cuando nació Internet -al irrumpir la Web1-, John Perry Barlow[128] decía que Internet simplemente “es” un lugar donde no se puede regular el comportamiento, y eso llevó -erróneamente- a la sociedad en general a no prestar atención a la forma en que la arquitectura de la Internet estaba evolucionando para hacer realmente fácil identificar, rastrear y regular todo tipo de comportamientos, justamente lo opuesto a lo que, quizás ingenuamente, se pensaba que Internet iba a proteger y evitar.

En la misma línea, afirma Lessig que aún hoy -en la época de la Web3 y con una Web4[129] del Metaverso a pocos años de irrumpir- nos falta reconocer esta realidad, dado que el hecho de disponer de potentes computadoras que ejecutan modelos de AI para orientar la publicidad en función de las preferencias de las personas impulsó la tecnología del Capitalismo de la Vigilancia.

Esta es una característica o un error de esta tecnología, cada vez más sofisticada y eficiente para decidir: “Sé quién eres, y voy a alimentarte con lo que quieres, y no voy a alimentarte con lo que sé que no quieres porque no me mirarás tanto si lo hago”. Afirma Lessig que ha llegado el momento de ser sensibles y críticos respecto de tales valores implícitos en la arquitectura actual de la Internet, dado que es evidente que tales valores son a priori incoherentes con y opuestos a los que decimos que son nuestros valores occidentales[130], y es entonces necesario re-plantearnos ¿Qué vamos a hacer al respecto? ¿Vamos a aceptarlo sin más?

Redoblando el punto, afirma Lessig que esta arquitectura actual de la Internet, que permite el Capitalismo de Vigilancia, sumado a los incentivos de los modelos de negocio de las plataformas Web2, producen un mercado político de ideas que tiene un incentivo para mantener a la gente ignorante y enojada con la gente del otro lado -polarización-, y eso puede afectar gravemente la posibilidad de la democracia, como ya nos ilustró el caso Cambridge Analytica[131]. Cuando eso se reconoce, aparecen allí las preguntas incómodas, afirma Lessig: ¿Qué vamos a hacer al respecto? ¿Nada? ¿Vamos a quedarnos sentados y dejar que la democracia[132] se derrumbe a causa de esta interacción?

Sin dudas, es difícil no coincidir con Lessig. Explicitar estas conexiones y realidades de la actual Internet facilita la reflexión sobre cómo pueden intervenir los Estados soberanos, qué pueden hacer. En ese sentido, es muy probable que no se tomen medidas contra la tecnología per se más allá de algunas prohibiciones expresas a ciertos usos no deseables[133], pero sí se puede empezar a pensar en cómo gravar mejor el modelo de negocios de las plataformas y los gatekeepers, para incentivar o desincentivar comportamientos corporativos deseables.

Afirma Lessig que hay un montón de maneras de intervenir para hacer frente a este problema, y los Estados deben prepararse para enfrentar el hecho de que la intervención es necesaria. Afirma Lessig que lo que el regulador tiene que hacer es dar un paso atrás y analizar: ¿Cuál es la intervención más fácil o el tipo de intervención menos restrictiva? Dada la dimensión que se está tratando de maximizar, ¿Cuál es la forma correcta de intervenir para lograr el resultado que se está tratando de alcanzar?

Pues bien, DMA y DSA constituyen, sin dudas, el primer intento geopolítico de envergadura global, realmente dirigido a embeber y a hacer respetar los valores europeos dentro de los modelos de negocios de las grandes empresas tecnológicas. Lo hace creando un catálogo de disruptivas obligaciones, aplicables tanto a los mercados de datos como a los servicios, y en general, regulando la forma en la que la oferta global de servicios digitales puede contactar con la demanda de los usuarios europeos. También lo hace teniendo en especial consideración la proporcionalidad de las nuevas normas, y su impacto eventual en las micro, PyMEs y startups europeas.

Ahora bien, sólo el tiempo dirá si las autoridades europeas han logrado o lograrán torcer el brazo a las grandes tecnológicas, varias veces multadas por violar normas europeas de defensa de la competencia, por no respetar el régimen de los datos personales[134], por conductas desleales, y por no respetar los valores de la Carta de los Derechos Fundamentales de la UE[135].