Guía DSA (Digital Services Act): ¿cómo lograr la conformidad?

¿Qué es el DSA?

El DSA moderniza la responsabilidad de los servicios digitales en la UE. Mantiene el principio histórico de exención de responsabilidad de los prestadores de alojamiento mientras desconozcan el carácter ilícito de un contenido, pero añade obligaciones positivas de diligencia, transparencia y protección de los usuarios.

Crea un sistema de supervisión con coordinadores de servicios digitales en cada Estado (la Arcom en Francia) y una supervisión europea directa de las muy grandes plataformas, consideradas sistémicas.

Su objetivo: un espacio digital más seguro, donde lo que es ilegal fuera de línea también lo sea en línea, sin convertir a las plataformas en árbitros de los contenidos.

La pirámide de obligaciones

El DSA acumula obligaciones por categoría: cada nivel añade sus requisitos a los del nivel inferior. Por ello, identificar dónde se sitúa su servicio es el primer paso.

Las microempresas y pequeñas empresas están exentas de varias obligaciones propias de las plataformas.

¿Quién está afectado?

El ámbito es amplio y va mucho más allá de las grandes plataformas. Muchas pymes que operan un mercado en línea o un servicio digital están afectadas, aunque queden exentas de las obligaciones más gravosas.

• Servicios intermediarios (transporte, caché, alojamiento): obligaciones básicas.
• Plataformas en línea (mercados, redes sociales): notificación, trazabilidad de los vendedores, transparencia publicitaria.
• Plataformas muy grandes y motores de búsqueda (más de 45 millones de usuarios en la UE): evaluación de riesgos sistémicos, auditorías, medidas reforzadas.
• Operadores fuera de la UE que ofrecen servicios en la Unión: sujetos al DSA y obligados a designar un representante legal.

¿Cuáles son las obligaciones concretas?

A continuación, las obligaciones más habituales para una plataforma en línea de tamaño estándar.

• Designar un punto de contacto y, para los operadores fuera de la UE, un representante legal.
• Establecer un mecanismo de notificación y actuación sobre contenidos ilícitos («notice and action»).
• Motivar las decisiones de moderación y ofrecer un recurso interno y extrajudicial.
• Garantizar la transparencia de los sistemas de recomendación y de la publicidad.
• Prohibir la publicidad dirigida basada en datos sensibles y la dirigida a menores.
• Publicar informes de transparencia sobre la moderación.
• Para los mercados en línea: rastrear y verificar la identidad de los vendedores profesionales.

¿Qué sanciones se aplican en caso de incumplimiento?

La DSA prevé sanciones disuasorias, especialmente severas para las grandes plataformas, con supervisión directa de la Comisión Europea para los actores sistémicos.

Cómo lograr la conformidad: la hoja de ruta en 7 pasos

Paso 1 — Cualificar su servicio

Determine su categoría (intermediario, alojamiento, plataforma, mercado en línea) y su tamaño. Esta cualificación determina el alcance exacto de sus obligaciones y la posible exención para micro/pequeñas empresas.

Cuente sus usuarios activos mensuales en la UE: esta cifra puede hacerle pasar a la categoría de plataformas en línea de muy gran tamaño.

• Identifique con precisión la naturaleza de su servicio.
• Cuente sus usuarios activos en la UE.
• Verifique la exención para micro/pequeñas empresas.

Paso 2 — Establecer los puntos de contacto

Designe un punto de contacto único para las autoridades y otro para los usuarios, así como un representante legal si está establecido fuera de la UE.

Estos puntos de entrada deben ser fácilmente accesibles y estar operativos.

• Designe los puntos de contacto para autoridades y usuarios.
• Nombre un representante legal si está establecido fuera de la UE.
• Publique esta información de forma accesible.

Paso 3 — Desplegar el mecanismo de notificación

Cree un dispositivo claro de notificación de contenidos ilícitos («notice and action») y un proceso de gestión documentado, con plazos razonables.

Prevea un tratamiento prioritario de las notificaciones procedentes de «alertadores de confianza».

• Ofrezca un formulario de notificación claro y accesible.
• Documente el proceso y los plazos de gestión.
• Dé prioridad a los alertadores de confianza.

Paso 4 — Estructurar la moderación y los recursos

Motive sus decisiones de moderación, informe a los usuarios afectados y ofrezca un mecanismo de reclamación interno, así como una resolución extrajudicial de litigios.

La transparencia de las decisiones es tan importante como la propia decisión.

• Motive y notifique cada decisión de moderación.
• Implemente un recurso interno.
• Prevea la resolución extrajudicial de litigios.

Paso 5 — Garantizar la transparencia

Documente el funcionamiento de sus sistemas de recomendación, la transparencia publicitaria (quién paga, por qué ese targeting) y publique los informes de transparencia requeridos.

Estas obligaciones refuerzan la confianza de los usuarios y el cumplimiento ante las autoridades.

• Explique los criterios de sus sistemas de recomendación.
• Haga la publicidad transparente y trazable.
• Publique los informes de transparencia exigidos.

Paso 6 — Regular la publicidad y proteger a los menores

Suprima la publicidad dirigida basada en datos sensibles y la dirigida a menores, y refuerce la protección de los usuarios menores de edad (configuración predeterminada protectora, ausencia de targeting).

Este apartado se cruza directamente con el RGPD: asegure las bases legales y el consentimiento.

• Prohíba el targeting publicitario sobre datos sensibles y menores.
• Refuerce las protecciones predeterminadas para los menores.
• Articule estas medidas con el RGPD.

Paso 7 — Gestionar los riesgos sistémicos (grandes plataformas)

Para las VLOP/VLOSE, realice la evaluación anual de los riesgos sistémicos (desinformación, vulneración de derechos, efectos sobre los menores), implemente medidas de mitigación y encargue auditorías independientes.

Estas obligaciones de mayor alcance afectan únicamente a los actores sistémicos designados.

• Evalúe anualmente los riesgos sistémicos.
• Implemente medidas de mitigación.
• Encargue auditorías independientes.

Los errores frecuentes que hay que evitar

• Creer que la DSA solo afecta a los gigantes digitales: muchas plataformas y mercados en línea están incluidos.
• Descuidar la trazabilidad de los vendedores en los mercados en línea («know your business customer»).
• Subestimar la articulación con el RGPD en materia de publicidad segmentada y datos de los usuarios.
• Olvidar publicar los informes de transparencia exigidos.
• Hacer que el mecanismo de notificación sea de difícil acceso u opaco.
• No designar un representante legal cuando se está establecido fuera de la UE.