Acerca del concepto de servicio intermediario en el Reglamento de Servicios Digitales

 

En los últimos días el Tribunal General ha adoptado sus primeras sentencias relativas a la interpretación del Reglamento (UE) 2022/2065 de Servicios Digitales (RSD). Por una parte, en sus sentencias de ayer en los asuntos Meta Platforms Ireland / Comisión, T-55/24, EU:T:2025:842; y Tiktok Technology / Comisión, T-58/24, EU:T:2025:843, el Tribunal General ha anulado las Decisiones de Ejecución de la Comisión relativas a la determinación de las tasas de supervisión previstas en el artículo 43 RSD aplicables, de una parte, a Facebook y a Instagram, y, de otra, a TikTok, si bien las sentencias acuerdan mantener temporalmente los efectos de esas decisiones, al no apreciar un error respecto a la obligación de las empresas de pagar la tasa. En síntesis, la anulación se fundamenta en que la Comisión, con base en lo dispuesto en los artículos 33.3, 43 y 87 del RSD, debería haber adoptado la metodología de cálculo del promedio mensual de destinatarios activos en un acto delegado y no en meros actos de ejecución como las decisiones anuladas. El Tribunal considera que, habida cuenta del vínculo entre la metodología de determinación de las tasas de supervisión anuales, que debe fijarse mediante un acto delegado (art. 44.4 RSD), y los promedios mensuales de destinatarios activos de los servicios a la luz de los cuales deben determinarse las tasas, elementos suficientemente detallados de la metodología para calcular tales promedios mensuales deben establecerse mediante acto delegado, lo que no hizo la Comisión al adoptar el Reglamento Delegado 2023/1127, en el marco del cual se adoptaron las decisiones de ejecución anuladas en las que se incluyeron esos elementos.

Por otra parte, en su sentencia de la semana pasada en el asunto Zalando / Comisión,  T-348/23, EU:T:2025:821, el Tribunal General desestimó el recurso de anulación interpuesto por Zalando contra la decisión de la Comisión Europea relativa a su designación como plataforma en línea de muy gran tamaño en el marco del artículo 33 RSD. Una parte importante de la sentencia va referida a la desestimación de los argumentos de Zalando en relación con la aplicación del umbral fijado en el artículo 33 para esa designación: que la plataforma en línea tenga un promedio mensual de destinatarios del servicio activos en la Unión igual o superior a cuarenta y cinco millones. Se trata de una parte de la sentencia que contiene precisiones significativas acerca de los criterios para llevar a cabo tal cálculo, y que avala el sistema establecido al respecto en el RSD. Con carácter previo, la sentencia desestima el motivo de impugnación de Zalando basado en considerar que el RSD no le resulta aplicable. Según Zalando, su actividad no consiste en la prestación de un servicio intermediario, pues no constituye un servicio de alojamiento de datos ni de plataforma en línea en el sentido del RSD, de modo que no le resultaría aplicable este instrumento. Por su interés en relación con la delimitación del ámbito de aplicación subjetivo del RSD en su conjunto (y especialmente de sus obligaciones de diligencia debida), interesa detenerse en esta parte de la sentencia.

Acciones de cesación y derecho a indemnización en materia de datos personales

 

En su sentencia del pasado jueves en el asunto C‑655/23, Quirin Privatbank, EU:C:2025:655, el Tribunal de Justicia vuelve sobre la cuestión de la interpretación del concepto de «daños y perjuicios inmateriales», a los efectos del derecho de quien sufre daños y perjuicios materiales o inmateriales como consecuencia de una infracción del Reglamento General de Protección de Datos (RGPD) a recibir del responsable del tratamiento una indemnización por tales daños y perjuicios, de conformidad con su artículo 82. En concreto, el Tribunal aborda en qué medida sentimientos negativos -como el temor o el enfado - que el interesado experimenta cuando se transmiten sin autorización sus datos personales a un tercero son susceptibles de ser considerados daños y perjuicios inmateriales susceptibles de indemnización (II, infra). Con carácter previo, el Tribunal se pronuncia acerca de en qué medida cabe que el interesado, cuando no solicite que se supriman sus datos, ejercite una acción judicial preventiva en la que se ordene al responsable del tratamiento que se abstenga en el futuro de ulteriores tratamientos ilícitos de sus datos personales (I, infra).

Aplicación de las reglas sobre modelos de IA de uso general (II): ámbito territorial y determinación del proveedor que introduce el modelo en el mercado de la Unión

 

Especialmente en el contexto global en el que se desarrollan y pretenden ser explotados los modelos IA de uso general, un aspecto relevante de las Directrices de la Comisión sobre el alcance de las obligaciones de los proveedores de modelos de IA de uso general (como continuación de la entrada anterior), es la determinación de quién es el proveedor que introduce en el mercado de la Unión el modelo (o sistema de IA relevante) en situaciones en las que tal modelo es desarrollado y puesto a disposición desde un tercer Estado. Se trata de una cuestión que resulta determinante para establecer quién está obligado a cumplir con lo dispuesto en el Capítulo V RIA, así como en qué medida proveedores de sistemas de IA que integran modelos GPAI deben cumplir con las normas relevantes del RIA. Tras una referencia a los presupuestos del ámbito de aplicación territorial del Capítulo V del RIA (I, infra), se aborda a continuación la determinación del proveedor del modelo de IA al que resulta aplicable el Capítulo V RIA (II), así como la determinación de la aplicación del Capítulo V del RIA en los casos en los que los modelos GPAI están integrados en sistemas de IA (III), para concluir con un par de reflexiones finales (IV).

Aplicación de las reglas sobre modelos de IA de uso general (I): ámbito material de las Directrices de la Comisión

 

         Desde el pasado día 2, conforme al artículo 113 del Reglamento(UE) 2024/1689 de Inteligencia Artificial (RIA), son aplicables las normas de su capítulo V sobre modelos de IA de uso general. Es bien conocido que, pese a no figurar en la propuesta de Reglamento, las normas del RIA sobre modelos de IA de uso general (GPAI models) han pasado a ser, al hilo de la expansión y el desarrollo de tales modelos, un elemento esencial del nuevo marco normativo. Los proveedores de modelos de IA de uso general introducidos en el mercado (de la UE) después de esa fecha deben cumplir con lo dispuesto en el Capítulo V (artículos 51 a 56). Además, los proveedores de modelos de IA de uso general que se hubieran introducido en el mercado antes del 2 de agosto, deben adoptar las medidas necesarias para cumplir las obligaciones establecidas en el RIA a más tardar el 2 de agosto de 2027 (art. 111(3) RIA). Para facilitar su aplicación, la Comisión ha publicado justo antes del pasado día 2 sus Directrices sobre el alcance de las obligaciones de los proveedores de modelos de IA de uso general (Guidelines on the scope of obligations for providers of general-purpose AI models under the AI Act), que, sin ser, obviamente, vinculantes para los tribunales, pretenden, al recoger la posición de la Comisión, ayudar a “los agentes del ecosistema de IA a comprender si las obligaciones se les aplican y qué se espera de ellos” (aquí). También ha hecho público el GPAI Code of Practice, como instrumento voluntario con orientaciones para ayudar a los proveedores a cumplir con sus obligaciones, así como el Template for the public summary oftraining content of GPAI models, a modo de plantilla para que los proveedores proporcionen una visión general de los datos utilizados para entrenar sus modelos, incluidas las fuentes de las que se obtuvieron los datos e información sobre los aspectos del tratamiento de datos para que las partes con intereses legítimos puedan ejercer sus derechos con base en la legislación de la UE.

Criptoactivos: Directrices de ESMA sobre la aplicación de MiCA a empresas de terceros países (y quienes contribuyen a captar clientes para ellas)

 

          El elemento determinante del ámbito territorial del Reglamento (UE) 2023/1114 relativo a los mercados de criptoactivos (MICA) es que resulta aplicable a toda persona y a determinadas empresas que participen en la emisión, la oferta pública y la admisión a negociación de criptoactivos o que presten servicios relacionados con los criptoactivos en la Unión (articulo 2.1, junto a otras disposiciones referidas a la oferta de criptoactivos o servicios al público en la Unión). Determinante para concretar la existencia de ofrecimiento al público en la Unión es que el emisor o prestador de servicios pretenda captar clientes en la Unión, en particular, mediante la promoción o publicidad de los servicios o actividades relativos a  criptoactivos en la Unión. Al margen del Reglamento (y de la exigencia de autorización conforme a MiCA del prestador de servicios de criptoactivos del tercer país) quedan las situaciones en las que personas con residencia en la Unión reciben, por iniciativa propia, servicios de criptoactivos prestados por empresas de terceros países, pues en tal caso se considera que esos servicios no han sido prestados en la Unión (exención de captación inversa). El párrafo segundo del artículo 61.1 MICA, así como su considerando 75, precisan que esa excepción no concurre cuando la empresa de un tercer país capte clientes en la Unión, o anuncie o promocione servicios o actividades relacionados con criptoactivos en la Unión. Conforme al párrafo tercero del artículo 61, la anterior conclusión no puede verse modificada por ninguna cláusula o declaración de exención de responsabilidad, incluidas aquellas que afirmen que la prestación de servicios por la empresa del tercer país se considera como un servicio prestado a iniciativa exclusiva del cliente.

           La publicación por ESMA (European Securities and Markets Authority) el pasado día 1 de su tabla acerca del cumplimiento de sus “Directrices sobre las situaciones en las que se considera que unaempresa de un tercer país capta clientes establecidos o situados en la Unión, ysobre las prácticas de supervisión para detectar y prevenir la elusión de laexención de captación inversa en virtud del Reglamento sobre los mercados de criptoactivos(MiCA)”, justifica volver sobre este texto (basado en este informe previo), que aborda, con un enfoque actualizado, una cuestión central de la regulación de las actividades en línea transfronterizas. Basta tener presente que la cuestión abordada en esas Directrices es, en realidad, la misma que plantea la interpretación del criterio de las “actividades dirigidas” para determinar la competencia judicial internacional y la ley aplicable en los contratos de consumo en el marco del artículo 17.1.c) Reglamento Bruselas Ibis y del artículo 6.1.c) del Reglamento de Roma. Incluso, dejando al margen el Derecho internacional privado, la cuestión abordada es muy similar al tipo de análisis que es necesario para determinar, por ejemplo, cuándo la venta de un producto en línea está destinada al mercado en el que una marca está protegida cuando el litigio trata sobre la eventual infracción de tal marca (como, por ejemplo, en la entrada inmediatamente anterior) o incluso el análisis que resulta pertinente para concretar la aplicación el RGPD con base en su artículo 3 a los responsables y encargados del tratamiento no tienen un establecimiento en la UE.

Territorialidad y derecho de marcas: el almacenamiento para la venta en línea en el extranjero como acto de infracción

 

        A raíz del carácter estrictamente territorial de los derechos de propiedad industrial, podría pensarse que los actos -por ejemplo, de almacenamiento de productos infractores- realizados en el país A no pueden infringir una marca en el país B. No obstante, es cierto que la jurisprudencia del Tribunal de Justicia había puesto ya de relieve que, en el contexto del comercio electrónico, ciertas actividades llevadas a cabo en el país A pueden infringir una marca en el país B, como sucede cuando a través de un interfaz en línea el supuesto infractor desde el país A ofrece y comercializa en línea en el país B productos que infringen una marca en este último país. En su sentencia del pasado día 1, Tradeinn Retail Services, C-76/24, EU:C:2025:593 el Tribunal de Justicia ha establecido que de su jurisprudencia previa al respecto se desprende también que el almacenamiento de productos en el país A (en el litigio principal era España) para su venta en línea en el país B (en el litigio principal, Alemania) puede constituir una infracción de marca en el país B, lo que determina que los tribunales del país B puedan prohibir a la empresa establecida en el país A el almacenamiento en el país A de los productos en cuestión con el fin de ofrecerlos a la venta o comercializarlos en el país B (Estado miembro en el que esa marca esté protegida) (I, infra). La sentencia precisa también el alcance de la noción de “almacenamiento” como hecho preparatorio de la infracción en situaciones en las que el supuesto infractor no ejerce el dominio directo y efectivo sobre los productos almacenados (II, infra).

 

Neutralidad de la Red: prohibición de medidas que diferencian entre categorías de tráfico

 

El Reglamento (UE) 2015/2120 por el que se establecen medidas en relación con el acceso a una Internet abierta dispone con carácter general una obligación de neutralidad respecto de la prestación de servicios de acceso a Internet, si bien lo hace en términos en los que su efectividad se ve condicionada por las excepciones permitidas. La obligación de neutralidad aparece recogida con carácter general en el párrafo 1 del artículo 3.3, que impone a los proveedores de servicios de acceso a Internet la obligación de tratar «todo el tráfico de manera equitativa, sin discriminación, restricción o interferencia, e independientemente del emisor y el receptor, el contenido al que se accede o que se distribuye, las aplicaciones o servicios utilizados o prestados, o el equipo terminal empleado». Sin embargo, esa obligación de los proveedores de acceso no impide, conforme al párrafo 2 del artículo 3.3, que puedan aplicar medidas razonables de gestión de tráfico que cumplan determinados requisitos. En consecuencia, el alcance de tales medidas resulta fundamental para valorar los límites de la neutralidad. Además, ciertas excepciones a la prohibición de adoptar medidas de gestión del tráfico que vayan más allá de las consideradas razonables en el párrafo segundo y, en particular, a la obligación de abstenerse de bloquear, ralentizar, alterar, restringir, interferir, degradar y discriminar entre contenidos, aplicaciones o servicios aparecen previstas taxativamente en el tercer párrafo del artículo 3.3 del Reglamento. La sentencia del Tribunal de Justicia del pasado jueves en el asunto Telekom România Mobile Communications, C-367/24, EU:C:2025:561 complementa su jurisprudencia anterior sobre la interpretación de la obligación de neutralidad y sus excepciones.