Alcance espacial de los actos de comunicación al público en sitios web y medidas de geobloqueo: la sentencia Anne Frank Fonds

 

Ayer pronunció el Tribunal de Justicia su esperada sentencia en el asunto Anne Frank Fonds, C-788/24, EU:C:2026:559, al que ya me referí, al hilo de las conclusiones del Abogado General, en esta otra reseña. Se trata de una sentencia de gran interés, en la medida en que establece que el empleo de herramientas de geobloqueo “eficaces”, para impedir el acceso a ciertos contenidos de un sitio web desde un determinado Estado miembro, implica que no tenga lugar la comunicación al público de tales contenidos en dicho Estado, incluso aunque internautas ahí situados puedan eludir el bloqueo geográfico y acceder a los contenidos en cuestión recurriendo a una red privada virtual o a un servicio similar. En el análisis de la sentencia interesa detenerse en tres aspectos. Primero, en el significado de las herramientas de geobloqueo como instrumento esencial para limitar el ámbito espacial de difusión de contenidos y actividades desarrolladas a través de sitios web, lo que tiene especial trascendencia en relación con contenidos protegidos mediante derechos de exclusiva territoriales, como es el caso de los derechos de autor, pues determina el territorio en el que la obra accesible a través de la página web es objeto de comunicación al público (II, infra). Segundo, la sentencia aporta indicaciones acerca de los criterios relevantes para establecer si las concretas medidas de bloqueo geográfico empleadas deben considerase “eficaces”, en un contexto en el que se encuentran disponibles servicios que hacen posible su elusión por los internautas situados en los territorios objeto de las medidas, como es el caso de la redes privadas virtuales o VPNs (III, infra).  Tercero, la sentencia aborda el régimen de responsabilidad de los proveedores de servicios de ese tipo, que los internautas pueden utilizar para eludir medidas de bloqueo geográfico (IV, infra). Con carácter previo, interesa reseñar el peculiar litigio principal en el que se enmarca el planteamiento de esta cuestión prejudicial (I, infra). 

Suscripción a servicios de streaming y desistimiento: la sentencia Sky Österreich Fernsehen

 

    La sentencia del Tribunal de Justicia de hoy en el asunto Sky Österreich Fernsehen, C-234/25, EU:C:2026:556, delimita la posibilidad de que los consumidores que contratan un servicio de streaming que les permite acceder a los programas incluidos en su suscripción tanto en directo como a la carta a través de Internet se beneficien del derecho de desistimiento, que les permite desistir durante un período de 14 días de un contrato a distancia, sin indicar el motivo. En la medida en que la sentencia se corresponde en lo sustancial con las propuestas formuladas por el AG Szpunar en sus conclusiones, tomo como referencia para esta reseña la que en su momento dediqué a esas conclusiones. El interés de la nueva sentencia deriva de que entre las excepciones al mencionado derecho de desistimiento se encuentran los contratos para el suministro de contenido digital que no se preste en un soporte material cuando la ejecución haya comenzado con el previo consentimiento expreso del consumidor y con el conocimiento por su parte de que en consecuencia pierde su derecho de desistimiento. En el asunto del litigio principal el prestador del servicio de streaming cumplía con esas exigencias de consentimiento y conocimiento del consumidor con el objetivo de excluir el derecho de desistimiento. Ahora bien, la cuestión controvertida es si el contrato de suscripción al servicio de streaming es un “contrato para el suministro de contenido digital”, pues la exclusión del derecho de desistimiento se limita a esa categoría, de modo que no comprende los contratos relativos a "servicios digitales". Así lo dispone el artículo 16.m) de la Directiva 2011/83 (modificada), que tiene su reflejo en el art. 103.m) TRLGDCU.

Derecho al olvido: interacción con las exenciones de responsabilidad de los prestadores de servicios digitales

 

    La sentencia del Tribunal Supremo (Civil) 2557/2026 de 15 de junio de 2026, ES:TS:2026:2557, constituye un nuevo ejemplo de ejercicio en vía civil (art. 79 RGPD) del derecho de supresión en materia de protección de datos personales (o derecho al olvido, art. 17 RGPD), como alternativa a la mucho más habitual interposición de una reclamación ante una autoridad de control (como la AEPD) (art. 77 RGPD) y un eventual recurso en vía contencioso-administrativa frente a la decisión de esa autoridad de control (art. 78 RGPD). Tanto por una como por otra vía se puede obtener un pronunciamiento relativo a la eliminación por parte del buscador de los enlaces de que se trate entre los resultados generados cuando se busca utilizando el nombre de la persona afectada. En la nueva sentencia, el Tribunal Supremo aprecia que, en el caso concreto, la acción de supresión frente al motor de búsqueda en Internet es procedente, por el tiempo transcurrido desde los hechos objeto de la información enlazada y la pérdida de su interés informativo con el paso de los años, al carecer de actualidad e interés histórico esa información y tener escasa relevancia pública el demandante (punto 7 del Fdto. Dcho. 2).

    El Tribunal Supremo rechaza el criterio de la sentencia objeto de recurso, que había desestimado la pretensión de derecho al olvido.  La Audiencia Provincial había alcanzado ese resultado al entender que no se cumplía el requisito del «conocimiento efectivo» exigido por el art. 17 LSSI para que pudiera responder Google (como recoge el punto 2 del Fdto. Dcho 2 de la STS reseñada). El Tribunal Supremo considera que la Audiencia había aplicado de una manera incorrecta el estándar exigible al evaluar en el contexto de la aplicación del Derecho de supresión “la exigencia de que Google, en cuanto prestador de un servicio que facilita enlaces a contenidos o instrumentos de búsqueda, debiera tener un «conocimiento efectivo» de la ilicitud del tratamiento de esos datos” (en los términos del punto 6 del Fdto. Dcho 2 de la STS) en virtud de lo dispuesto en el artículo 17 LSSI. Ciertamente, la interpretación hecha por la Audiencia Provincial del requisito del conocimiento de la ilicitud por parte de Google a los efectos del artículo 17 LSSI -al exigir un previo pronunciamiento de una autoridad administrativa o judicial que declarara la ilicitud del tratamiento de esos datos- era errónea a la luz de la jurisprudencia del TS relativa a los artículos 16 y 17 LSSI. Ahora bien, aunque en el presente supuesto no altere el resultado alcanzado, lo cierto es que el artículo 17 LSSI resulta en todo caso inaplicable cuando se ejercita el derecho de supresión con base en el artículo 17 RGPD, de modo que su interpretación no puede ser un elemento relevante en estas situaciones.

EU Digital Law

    Hace unos días se ha publicado el libro EU Digital Law, a cuyo índice detallado puede accederse aquí. Información adicional sobre el libro se encuentra disponible aquí.

Concurrencia entre las vías de tutela en materia de protección de datos

 

    El RGPD contempla básicamente dos vías de tutela frente a la infracción de sus normas. Cabe recordar que la aplicación mediante el ejercicio de acciones ante tribunales del orden civil aparece prevista en su artículo 79, relativo al “derecho a la tutela judicial efectiva contra un responsable o encargado del tratamiento”. Ese derecho a la tutela judicial opera “(s)in perjuicio de los recursos administrativos o extrajudiciales disponibles, incluido el derecho a presentar una reclamación ante una autoridad de control en virtud del artículo 77”. Además, el artículo 78 RGPD recoge el derecho de toda persona a la tutela judicial efectiva contra una decisión jurídicamente vinculante de una autoridad de control que le concierna. Ciertamente, los artículos 77 y 78 RGPD (junto con la normativa reguladora de las funciones y poderes de las autoridades de control) contemplan la llamada aplicación pública del RGPD, si bien en el supuesto del artículo 77 RGPD tiene su origen en la reclamación presentada por un interesado ante una autoridad de control. En su sentencia Nemzeti Adatvédelmi és Információszabadság Hatóság, C-132/21, EU:C:2023:2 (reseñada aquí), el Tribunal de Justicia dejó claro que procedimientos relativos a una misma alegación de infracción del RGPD con base en los mismos hechos pueden tramitarse en estas dos diferentes vías, ya que las dos pueden ejercerse de manera concurrente e independiente, sin que entre ellas exista relación jerárquica o excluyente alguna. Al abordar por primera vez las dificultades inherentes a la coexistencia en el marco del RGPD de estas diferentes vías de recurso y el riesgo de resoluciones contradictorias, también estableció el TJUE en esa sentencia que, ante la ausencia de normas en el RGPD sobre el particular, corresponde a las legislaciones nacionales asegurar la coordinación entre ambas vías de recurso, conforme al principio de autonomía procesal de los Estados miembros. La sentencia de ayer en el asunto Datenschutzbehörde (Articulation des recours), C-414/24, EU:C:2026:493, constituye una nueva aportación sobre el particular.

Competencia judicial en materia de vulneración de derechos de la personalidad ¿qué hay de nuevo en la sentencia Idziski?

 

    En su sentencia de hoy en el asunto Idziski, C-232/25, EU:C:2026:494, el TJUE vuelve sobre la interpretación del fuero del lugar de manifestación del daño del artículo 7.2 Reglamento 1215/2012 o Reglamento Bruselas I bis (RBIbis). Sobre su jurisprudencia previa relevante y el estado de la cuestión con carácter previo a la nueva sentencia, puede consultarse este artículo. La sentencia Idziski, aborda básicamente tres cuestiones. En primer lugar, si debe mantenerse el criterio establecido en la sentencia eDate Advertising en el sentido de que el fuero del centro de intereses de la víctima que, de manera excepcional, atribuye competencia judicial con alcance general (no limitada al territorio del Estado miembro de manifestación del daño) opera únicamente cuando la infracción de los derechos se ha producido como consecuencia de la difusión de la información lesiva a través de Internet (y no de otros medios, como la televisión) (II, infra). En segundo lugar, precisa la aportación realizada en su sentencia Mittelbayerischer Verlag, en el sentido de que el criterio del centro de intereses de la víctima en aplicación del artículo 7.2 del Reglamento 1215/2012 (RBIbis) no puede ser invocado por un demandante que no es mencionado en modo alguno ni directa ni indirectamente en el contenido supuestamente lesivo para sus derechos de la personalidad difundido a través de Internet (III, infra). Por último, incluye precisiones adicionales acerca del tipo de medidas frente a la difusión de contenidos infractores que puede adoptar un tribunal del lugar de manifestación del daño cuya competencia se limita a conocer del daño en el territorio del foro (IV, infra).

La lucha contra actividades ilícitas en línea tras la sentencia del Tribunal de Justicia en los asuntos acumulados C-188/24 y C-190/24

 

    En el contexto de la deficiente aplicación en el seno de la UE del ordenamiento jurídico a ciertos prestadores de servicios digitales, interesa detenerse en la sentencia del TJUE (Gran Sala) de ayer (no disponible todavía en español) en los asuntos acumulados WebGroup Czech Republic y NKL Associates y Coyote System, C-188/24 y C-190/24, EU:C:2026:492. Por una parte, la sentencia examina la repercusión del criterio de mercado interior o principio de origen del artículo 3 de la Directiva 2000/31 sobre el comercio electrónico (DCE) -que se mantiene inalterado tras el RSD- como elemento condicionante de la aplicación de medidas restrictivas como las que las autoridades francesas pretendían imponer y que son impugnadas en los litigios principales (II, infra). Se trata, básicamente, de medidas restrictivas de la difusión en línea de contenido pornográfico entre menores, así como de ciertas prohibiciones de retransmitir información suministrada por los usuarios sobre la ubicación de controles policiales en carreteras. Por otra parte, en relación con el empleo de herramientas de IA en el funcionamiento de ciertas plataformas en línea, la sentencia precisa cuándo plataformas de ese tipo no pueden beneficiarse de la exención de responsabilidad con respecto a los datos almacenados por usuarios de sus servicios prevista ahora en el artículo 6 del Reglamento de Servicios Digitales (RSD) (recogida previamente en el art. 14 DCE) y analiza la compatibilidad de ciertas medidas estatales restrictivas con lo dispuesto en los artículos 14 y 15 DCE (6 y 8 RSD) (III, infra).