Protección de menores en línea (I): Directrices relativas al artículo 28(4) del Reglamento de Servicios Digitales

 

Entre los ámbitos en los que la aplicación efectiva del marco legal a las actividades en línea ha presentado mayores carencias se encuentra el relativo a las restricciones de ciertas actividades respecto de menores. Restricciones, por cierto, orientadas a la salvaguarda de derechos fundamentales. Sin ir más lejos, resultan notorias las prohibiciones a la difusión de ciertos contenidos entre menores, las prohibiciones relativas a la comercialización de determinados productos o servicios a quienes no han alcanzado una determinada edad, así como las especiales restricciones al tratamiento de datos personales de quienes no han alcanzado una determinada edad. La exigencia de cumplir con esas prohibiciones en el entorno digital no está subordinada al desarrollo de soluciones tecnológicas que hagan particularmente sencillo y poco gravoso su cumplimiento por quienes llevan a cabo esas actividades de prestación de servicios o tratamiento de datos personales. Al contrario, son quienes llevan a cabo las actividades que infringen de manera sistemática tales prohibiciones -por ejemplo, permitiendo el acceso o facilitando el tratamiento de datos personales con base en una mera autodeclaración del interesado de que alcanza la edad requerida- quienes desde el principio deberían adaptar (haber adaptado) su modelo de negocio para no vulnerar sistemáticamente tales prohibiciones. Sin duda, la deficiente aplicación por las autoridades competentes del marco jurídico ya existente -sin perjuicio de la conveniencia de su progresiva adaptación- se encuentra en el origen de los problemas de desprotección y manipulación de los menores en línea. En este contexto, tiene interés hacer referencia a dos textos recientes. Por una parte, la versión para consulta pública de Directrices de la Comisión Europea para garantizar un elevado nivel de privacidad, seguridad y protección de los menores conforme al artículo 28.4 del Reglamento (UE) 2022/2065 de Servicios Digitales (RSD). Por otra parte, el Proyecto de Ley Orgánica para la protección de las personas menores de edad en los entornos digitales. Comenzaré con el primero de esos dos instrumentos. Tanto en esta reseña como en la siguiente, relativa al Proyecto de Ley Orgánica, me limitaré a hacer referencia a algunos aspectos puntuales que suscitan estas iniciativas.

 

Ofertas promocionales en línea: obligaciones de transparencia

 

      La Directiva (CE) 2000/31 sobre el comercio electrónico (DCE) incorpora en su artículo 6 ciertas obligaciones de transparencia en relación con las comunicaciones comerciales que forman parte o constituyen un servicio de la sociedad de la información. Se trata de obligaciones que se proyectan sobre cualquier mensaje publicitario de una página web en relación con su propia oferta de productos y servicios, y que se encuentran traspuestas en el artículo 20 de la Ley 34/2002 (LSSI). Con el posterior desarrollo del Derecho de la UE en materia de obligaciones de información en el ámbito del comercio electrónico, en particular, las contenidas en la Directiva 2011/83 sobre los derechos de los consumidores -traspuestas fundamentalmente en el TRLGDCU- y en la Directiva 2005/29 -incorporadas en la Ley de Competencia Desleal (LCD)-, las obligaciones establecidas en la DCE han recibido una atención menor, que se ha sumado a las notables carencias en la aplicación efectiva de la LSSI. La sentencia de ayer del Tribunal de Justicia en el asunto bonprix, C-100/24, EU:C:2025:352, tiene el interés de realizar una interpretación amplia del concepto de “ofertas promocionales”, al concretar el alcance de las obligaciones de información acerca de su identificación como tales y de la accesibilidad y presentación de las condiciones que deben cumplirse para accederse a tales ofertas. La relevancia práctica de esa interpretación amplia es que resulta determinante del alcance de obligaciones de información que típicamente se proyectan sobre todo titular de un sitio web que incluya entre sus contenidos tales “ofertas promocionales” -por ejemplo, sobre los procedimientos de pago - y que el responsable del sitio web debe facilitar desde el momento el que el usuario accede al sitio web que muestra ese mensaje. La sentencia aclara también la interacción entre esas obligaciones de transparencia de la DCE (LSSI) y las contenidas en la Directiva 2011/83 (TRLGDCU) y la Directiva 2005/29 (LCD).

Delimitación entre los servicios de comparación de ofertas en línea y la publicidad comparativa

 

           El artículo 4 de la Directiva 2006/114/CE sobre publicidad engañosa y publicidad comparativa (traspuesto mediante la Ley 29/2009 en el artículo 10 de la Ley de Competencia desleal) subordina la licitud de la publicidad comparativa a que la comparación cumpla una serie condiciones. Entre esas condiciones exigibles a la comparación, se incluyen las siguientes: que la comparación no sea engañosa; que compare bienes o servicios que satisfagan las mismas necesidades o tengan la misma finalidad; que compare de modo objetivo una o más características esenciales, pertinentes, verificables y representativas de dichos bienes y servicios; que no desacredite ni denigre a algún competidor; que no obtenga indebidamente ventaja de la reputación de una marca u otro signo de algún competidor; que no dé lugar a confusión entre los comerciantes, entre el anunciante y un competidor o entre signos distintivos o los bienes o servicios del anunciante y los de algún competidor. En su sentencia de ayer en el asunto HUK-COBURG Haftpflicht-Unterstützungs-Kasse, C-697/23, EU:C:2025:338, el Tribunal de Justicia establece que el régimen de la publicidad comparativa no resulta de aplicación típicamente con respecto a las comparaciones de productos o servicios que realizan los comparadores en línea entre ofertas de productos o servicios.

Límites del Derecho de la Unión a la concesión de la nacionalidad por los Estados miembros

 

Distanciándose del criterio propuesto por el Abogado General en sus conclusiones, el Tribunal de Justicia (Gran Sala), en su sentencia de ayer en el asunto Comisión / Malte (Citoyenneté par investissement), C-181/23, EU:C:2025:283, ha decidido que el "programa de ciudadanía (nacionalidad) para inversores", o "procedimiento transaccional de naturalización a cambio de pagos o de inversiones predeterminados", establecido por la República de Malta viola el Derecho de la Unión, en concreto, el artículo 20 TFUE y el artículo 4.3 TUE. Se trata de una sentencia muy significativa, en la medida en que determina que el Derecho de la UE, en particular el principio de cooperación leal (art. 4.3 TUE), en relación con la ciudadanía de la Unión atribuida a toda persona que tenga la nacionalidad de un Estado miembro -y que incluye el derecho a circular y residir libremente en el territorio de todos los Estados miembros- (art. 20 TFUE), limita la libertad de los Estados miembros en un ámbito tan particular de soberanía y de su competencia, como es la concesión de la nacionalidad. El Tribunal de Justicia deriva de esas disposiciones límites al ejercicio por los Estados miembros de su competencia en materia de concesión de la nacionalidad.

Directrices sobre el tratamiento de datos personales mediante tecnologías blockchain

 

La publicación por el Comité Europeo de Protección de Datos (CEPD o EDPB) de sus Guidelines 02/2025 onprocessing of personal data through blockchain technologies (Version 1.1 para consulta pública), de 8 de abril, constituye un hito en el análisis de los desafíos que el cumplimiento del marco legal imperativo de la UE en materia de protección de datos personales plantea en relación con ciertos usos de las tecnologías de registros distribuidos, especialmente algunas de las que han recibido más atención en los últimos años, como las llamadas public permissionless blockchains. Por ejemplo, destaca la constatación de que la persona física o jurídica que controla un nodo de una cadena de bloques de ese tipo puede en determinadas circunstancias ser considerada responsable del tratamiento de datos personales a los efectos del Reglamento (UE) 2016/679 general de protección de datos (RGPD) (apdos. 43 y 130 de las Directrices). Antes de hacer referencia a algunos aspectos del contenido de las Directrices, la lectura del documento se presta a dos reflexiones generales. La primera es que constituye un buen ejemplo de un principio básico aplicable en lo que tiene que ver con la regulación de las nuevas tecnologías y los modelos de negocio disruptivos basados en ellas, aunque frecuentemente olvidado.

De nuevo sobre la competencia judicial internacional de los tribunales de la Unión Europea en materia de infracción de patentes

 

     El auto del Tribunal de Primera Instancia (División Local de París) del Tribunal Unificado de Patentes (TUP) del pasado 21 de marzo constituye el primer supuesto de aplicación del criterio de la STJUE BSH Hausgeräte, del 25 de febrero pasado, que constata la paradójica situación a la que conduce la redacción del artículo 24.4 Reglamento 1215/2012 o Reglamento Bruselas I bis (RBIbis), combinada con el criterio adoptado por el TJUE en esa sentencia (al respecto, aquí y aquí). Más allá del contenido de ese auto, en el marco de un litigio relativo a la infracción, además de una patente europea con efecto unitario, de las expedidas en España, Suiza y el Reino Unido, cabe ilustrar el estado de la cuestión tomando como ejemplo el siguiente supuesto hipotético.

Datos personales de representantes de personas jurídicas

 

    El considerando 20 del RGPD -cuyo objeto se limita a la protección de las personas físicas (art. 1)- señala que este instrumento “no regula el tratamiento de datos personales relativos a personas jurídicas y en particular a empresas constituidas como personas jurídicas, incluido el nombre y la forma de la persona jurídica y sus datos de contacto”. En su sentencia de ayer, Ministerstvo zdravotnictví (Données relatives au représentant d’une personne morale), C-710/23, EU:C:2025:231, el Tribunal de Justicia confirma que lo anterior no es obstáculo para apreciar que la información relativa a las personas físicas que, como órgano de una sociedad o miembro de este, tengan poder para obligar a una sociedad con respecto a terceros constituye «datos personales», siempre que se trate de datos vinculados a una persona física identificada o identificable. Por lo tanto, es necesario diferenciar entre los datos de contacto de la persona física que representa a la persona jurídica y los datos de contacto de la propia persona jurídica. A diferencia de estos últimos, los primeros pueden ir referidos a personas físicas identificadas o identificables y en esa medida quedan comprendidos dentro del RGPD. En consecuencia, la comunicación a terceros de datos personales -como el nombre, la firma o los datos de contacto- de tales personas físicas representantes de la persona jurídica constituyen un tratamiento de datos personales conforme al artículo 4.2 RGPD.