Archivos de la etiqueta: Derechos de los Consumidores

31Ene/24

Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo, de 19 de octubre de 2022

Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo, de 19 de octubre de 2022 relativo a un mercado único de servicios digitales y por el que se modifica la Directiva 2000/31/CE (Reglamento de Servicios Digitales) (Diario Oficial de la Unión Europea) de 27.10.2022)

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 114,

Vista la propuesta de la Comisión Europea,

Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales,

Visto el dictamen del Comité Económico y Social Europeo (1),

Visto el dictamen del Comité de las Regiones (2),

De conformidad con el procedimiento legislativo ordinario (3),

Considerando lo siguiente:

(1) Los servicios de la sociedad de la información y especialmente los servicios intermediarios se han convertido en una parte importante de la economía de la Unión y de la vida cotidiana de sus ciudadanos. Veinte años después de la adopción del marco jurídico vigente aplicable a dichos servicios establecido en la Directiva 2000/31/CE del Parlamento Europeo y del Consejo (4), han aparecido nuevos e innovadores modelos de negocio y servicios, como las redes sociales y las plataformas en línea que permiten a los consumidores celebrar contratos a distancia con comerciantes, que han permitido a los usuarios profesionales y a los consumidores comunicar información y acceder a ella, y efectuar transacciones de formas novedosas. La mayoría de los ciudadanos de la Unión utiliza ahora este tipo de servicios a diario. Sin embargo, la transformación digital y el creciente uso de esos servicios también entraña nuevos riesgos y desafíos para los destinatarios individuales de los correspondientes servicios, las empresas y la sociedad en su conjunto.

(2) Los Estados miembros están adoptando, o considerando adoptar, un número creciente de normas de Derecho nacional sobre las materias que regula el presente Reglamento, imponiendo, en particular, requisitos de diligencia a los prestadores de servicios intermediarios por lo que se refiere al modo en que deben hacer frente a los contenidos ilícitos, la desinformación y otros riesgos para la sociedad. Habida cuenta del carácter intrínsecamente transfronterizo de internet, que es el medio utilizado en general para la prestación de dichos servicios, las divergencias entre esas normas de Derecho nacional afectan negativamente al mercado interior, el cual, en virtud del artículo 26 del Tratado de Funcionamiento de la Unión Europea (TFUE), implica un espacio sin fronteras interiores, en el que la libre circulación de mercancías y servicios y la libertad de establecimiento están garantizadas. Deben armonizarse las condiciones para la prestación de servicios intermediarios en el mercado interior, a fin de que las empresas tengan acceso a nuevos mercados y puedan aprovechar las ventajas del mercado interior, al tiempo que se permite a los consumidores y otros destinatarios de los servicios disfrutar de una mayor oferta. Se considera que tanto los usuarios profesionales como los consumidores y otros usuarios son «destinatarios de los servicios» a efectos del presente Reglamento.

(3) Es esencial que los prestadores de servicios intermediarios se comporten de modo responsable y diligente para crear un entorno en línea seguro, predecible y digno de confianza, y para que los ciudadanos de la Unión y otras personas puedan ejercer los derechos garantizados por la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»), en particular la libertad de expresión y de información, la libertad de empresa, el derecho a la no discriminación y la garantía de un nivel elevado de protección de los consumidores.

(4) Por tanto, a fin de salvaguardar y mejorar el funcionamiento del mercado interior, debe adoptarse un conjunto específico de normas uniformes, eficaces y proporcionadas de obligado cumplimiento en el ámbito de la Unión. En el presente Reglamento se establecen las condiciones para que en el mercado interior surjan y se desarrollen servicios digitales innovadores. Es necesario aproximar en el ámbito de la Unión las disposiciones reguladoras nacionales referidas a los requisitos aplicables a los prestadores de servicios intermediarios a fin de evitar y eliminar la fragmentación del mercado interior y garantizar la seguridad jurídica, de modo que se reduzca la incertidumbre para los desarrolladores y se fomente la interoperabilidad. Si se aplican requisitos tecnológicamente neutros, la innovación no debería verse obstaculizada sino estimulada.

(5) El presente Reglamento debe aplicarse a los prestadores de determinados servicios de la sociedad de la información definidos en la Directiva (UE) 2015/1535 del Parlamento Europeo y del Consejo (5), es decir, cualquier servicio prestado normalmente a cambio de una remuneración, a distancia, por vía electrónica y a petición de un destinatario a título individual. En concreto, el presente Reglamento debe aplicarse a los prestadores de servicios intermediarios, en particular los servicios intermediarios consistentes en servicios conocidos como de «mera transmisión», de «memoria caché» y de «alojamiento de datos», dado que el crecimiento exponencial del uso de dichos servicios, principalmente para todo tipo de fines legítimos y beneficiosos para la sociedad, también ha incrementado su importancia en la intermediación y propagación de información y actividades ilícitas o de otras que también resultan nocivas.

(6) En la práctica, algunos prestadores de servicios intermediarios sirven de intermediarios en servicios que pueden prestarse o no por vía electrónica, como servicios de tecnologías de la información a distancia o servicios de transporte, de hospedaje o de reparto. El presente Reglamento solo debe aplicarse a los servicios intermediarios y no afectar a los requisitos impuestos por el Derecho de la Unión o nacional en relación con productos o servicios intermediados a través de servicios intermediarios, incluidas las situaciones en las que el servicio intermediario constituye una parte integrante de otro servicio que no es un servicio intermediario como se reconoce en la jurisprudencia del Tribunal de Justicia de la Unión Europea.

(7) A fin de garantizar la eficacia de las normas establecidas en el presente Reglamento y la igualdad de condiciones de competencia en el mercado interior, dichas normas deben aplicarse a los prestadores de servicios intermediarios con independencia de su lugar de establecimiento o ubicación, en la medida en que ofrezcan servicios en la Unión, lo que se pone de manifiesto por medio de una conexión sustancial con la Unión.

(8) Debe considerarse que existe tal conexión sustancial con la Unión cuando el prestador de servicios tenga un establecimiento en la Unión o, a falta de dicho establecimiento, cuando el número de destinatarios del servicio en uno o varios Estados miembros sea significativo en relación con su población, o cuando se orienten actividades hacia uno o más Estados miembros. La orientación de las actividades hacia uno o más Estados miembros puede determinarse en función de todas las circunstancias pertinentes, incluidos factores como el uso de una lengua o una moneda utilizada generalmente en ese Estado miembro, o la posibilidad de encargar productos o servicios, o el uso de un dominio de primer nivel pertinente. La orientación de las actividades hacia un Estado miembro también puede derivarse de la disponibilidad de una aplicación en la tienda de aplicaciones nacional correspondiente, de la existencia de publicidad local o publicidad en una lengua utilizada en dicho Estado miembro, o de una gestión de las relaciones con los clientes que incluya, por ejemplo, la prestación de servicios a los clientes en una lengua comúnmente utilizada en ese Estado miembro. También debe presumirse una conexión sustancial cuando el prestador de servicios dirija sus actividades hacia uno o más Estados miembros, en el sentido del artículo 17, apartado 1, letra c), del Reglamento (UE) nº1215/2012 del Parlamento Europeo y del Consejo (6). Por el contrario, no cabe considerar que la mera accesibilidad técnica de un sitio web desde la Unión demuestre, por ese único motivo, la existencia de una conexión sustancial con la Unión.

(9) El presente Reglamento armoniza plenamente las normas aplicables a los servicios intermediarios en el mercado interior con el objetivo de garantizar un entorno en línea seguro, predecible y digno de confianza y aborda la difusión de contenidos ilícitos en línea y los riesgos para la sociedad que puede generar la difusión de desinformación u otros contenidos, dentro del cual se protegen eficazmente los derechos fundamentales reconocidos en la Carta y se facilita la innovación. De este modo, los Estados miembros no deben adoptar ni mantener otros requisitos nacionales relativos a las materias comprendidas en el ámbito de aplicación del presente Reglamento, a menos que este prevea expresamente tal posibilidad, ya que ello afectaría a la aplicación directa y uniforme de las normas plenamente armonizadas aplicables a los prestadores de servicios intermediarios de conformidad con los objetivos del presente Reglamento. Lo anterior no debe excluir la posibilidad de aplicar otras normas de Derecho nacional aplicables a los prestadores de servicios intermediarios, en cumplimiento del Derecho de la Unión, incluida la Directiva 2000/31/CE, en particular su artículo 3, cuando las disposiciones del Derecho nacional persigan otros objetivos legítimos de interés público distintos de los perseguidos por el presente Reglamento.

(10) El presente Reglamento ha de entenderse sin perjuicio de otros actos del Derecho de la Unión que regulan la prestación de servicios de la sociedad de la información en general, que regulan otros aspectos de la prestación de servicios intermediarios en el mercado interior o que precisan y complementan las normas armonizadas establecidas en el presente Reglamento, como la Directiva 2010/13/UE del Parlamento Europeo y del Consejo (7) incluidas las disposiciones establecidas en ella por lo que se refiere a las plataformas de distribución de vídeos, los Reglamentos (UE) 2019/1148 (8), (UE) 2019/1150 (9), (UE) 2021/784 (10) y (UE) 2021/1232 (11) del Parlamento Europeo y del Consejo y la Directiva 2002/58/CE del Parlamento Europeo y del Consejo (12) y las disposiciones de Derecho de la Unión establecidas en un Reglamento sobre las órdenes europeas de entrega y conservación de pruebas electrónicas a efectos de enjuiciamiento penal y en una Directiva por la que se establecen normas armonizadas para la designación de representantes legales a efectos de recabar pruebas para procesos penales.

Análogamente, por motivos de claridad, el presente Reglamento ha de entenderse sin perjuicio del Derecho de la Unión en materia de protección de los consumidores, en particular los Reglamentos (UE) 2017/2394 (13) y (UE) 2019/1020 (14) del Parlamento Europeo y del Consejo, las Directivas 2001/95/CE (15), 2005/29/CE (16), 2011/83/UE (17) y 2013/11/UE (18) del Parlamento Europeo y del Consejo, y la Directiva 93/13/CEE del Consejo (19), y en materia de protección de los datos personales, en particular el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (20).

El presente Reglamento también ha de entenderse sin perjuicio de las normas de la Unión en el ámbito del Derecho internacional privado, en particular las relativas a la competencia judicial, el reconocimiento y la ejecución de resoluciones judiciales en materia civil y mercantil, como el Reglamento (UE) nº1215/2012, y a la ley aplicable a las obligaciones contractuales y extracontractuales. La protección de las personas físicas con respecto al tratamiento de los datos personales se rige exclusivamente por las disposiciones del Derecho de la Unión sobre esa materia, en particular el Reglamento (UE) 2016/679 y la Directiva 2002/58/CE. El presente Reglamento ha de entenderse, además, sin perjuicio del Derecho de la Unión en materia de condiciones laborales y del Derecho de la Unión en el ámbito de la cooperación judicial en materia civil y penal. No obstante, en la medida en que dichos actos jurídicos de la Unión persiguen los mismos objetivos que los establecidos en el presente Reglamento, las normas del presente Reglamento se deben aplicar a cuestiones que esos otros actos jurídicos no resuelven, o no resuelven por completo, así como a problemas para los que esos otros actos jurídicos dejan abierta la posibilidad de que los Estados miembros adopten determinadas medidas de ámbito nacional.

(11) Conviene aclarar que el presente Reglamento ha de entenderse sin perjuicio del Derecho de la Unión en materia de derechos de autor y derechos conexos, incluidas las Directivas 2001/29/CE (21), 2004/48/CE (22) y (UE) 2019/790 (23) del Parlamento Europeo y del Consejo, que establecen normas y procedimientos específicos que no deben verse afectados.

(12) A fin de alcanzar el objetivo de garantizar un entorno en línea seguro, predecible y digno de confianza, para los efectos del presente Reglamento, el concepto de «contenido ilícito» debe reflejar a grandes rasgos las normas vigentes en el entorno fuera de línea. Concretamente, el concepto de «contenido ilícito» debe definirse de manera amplia para abarcar la información relacionada con contenidos, productos, servicios y actividades de carácter ilícito. En particular, debe entenderse que dicho concepto se refiere a información, sea cual sea su forma, que sea de por sí ilícita en virtud del Derecho aplicable, como los delitos de incitación al odio o los contenidos terroristas y los contenidos discriminatorios ilícitos, o que las normas aplicables consideren ilícita por estar relacionada con actividades ilícitas. Ejemplos de ello son el intercambio de imágenes que representen abusos sexuales de menores, el intercambio ilícito no consentido de imágenes privadas, el acoso en línea, la venta de productos no conformes o falsificados, la venta de productos o la prestación de servicios que infrinjan el Derecho en materia de protección de los consumidores, el uso no autorizado de material protegido por derechos de autor, la oferta ilegal de servicios de alojamiento o la venta ilegal de animales vivos. En cambio, el vídeo de un testigo presencial de un posible delito no debe considerarse contenido ilícito por el mero hecho de que muestre un acto ilícito, cuando la grabación o difusión pública de dicho vídeo no sea ilícita con arreglo al Derecho nacional o de la Unión. En este sentido, es irrelevante tanto que el carácter ilícito de la información o actividad se derive del Derecho de la Unión o del Derecho nacional que sea conforme con el Derecho de la Unión, como la naturaleza o materia precisa del Derecho aplicable.

(13) Habida cuenta de las características concretas de los servicios considerados y la correspondiente necesidad de someter a sus prestadores a determinadas obligaciones específicas, es preciso distinguir, dentro de la categoría general de prestadores de servicios de alojamiento de datos que se define en el presente Reglamento, la subcategoría de las plataformas en línea. Cabe definir a las plataformas en línea, como las redes sociales o las plataformas en línea que permiten a los consumidores celebrar contratos a distancia con comerciantes, como prestadores de servicios de alojamiento de datos que no solo almacenan información proporcionada por los destinatarios del servicio a petición de estos, sino que además difunden dicha información al público a petición de los destinatarios del servicio. Sin embargo, a fin de evitar la imposición de obligaciones excesivamente generales, los prestadores de servicios de alojamiento de datos no deben ser considerados plataformas en línea cuando la difusión al público sea tan solo una característica menor o meramente accesoria que esté inextricablemente unida a otro servicio o una funcionalidad menor del servicio principal, y dicha característica o funcionalidad no pueda utilizarse, por razones técnicas objetivas, sin ese otro servicio o servicio principal, y la integración de dicha característica o funcionalidad no sea un medio para eludir la aplicabilidad de las disposiciones del presente Reglamento aplicables a las plataformas en línea. Por ejemplo, la sección de comentarios de un periódico en línea podría ser una característica de esta índole, cuando no quepa duda de que es auxiliar al servicio principal constituido por la publicación de noticias bajo la responsabilidad editorial del editor. En cambio, el almacenamiento de comentarios en una red social debe ser considerado un servicio de plataforma en línea cuando quede claro que no es una característica menor del servicio ofrecido, aunque sea accesorio a la publicación de las entradas de los destinatarios del servicio. A efectos del presente Reglamento, los servicios de computación en nube o de alojamiento web no deben ser considerados plataformas en línea cuando la difusión al público de información específica constituya una característica menor y auxiliar o una funcionalidad menor de dichos servicios.

Además, los servicios de computación en nube y de alojamiento web que sirven como infraestructura, como los servicios infraestructurales de almacenamiento y computación para una aplicación basada en internet, un sitio web o una plataforma en línea, no deben ser considerados en sí mismos servicios de difusión al público de la información almacenada o tratada a petición de un destinatario de la aplicación, el sitio web o la plataforma que alojen.

(14) El concepto de «difusión al público», tal como se utiliza en el presente Reglamento, debe implicar que la información se ponga a disposición de un número potencialmente ilimitado de personas, es decir, hacer que la información sea fácilmente accesible para los destinatarios del servicio en general, sin necesidad de que el destinatario del servicio que proporciona la información haga nada más, con independencia de si dichas personas acceden efectivamente a la información en cuestión. Por consiguiente, cuando el acceso a la información requiera la inscripción o la admisión en un grupo de destinatarios del servicio, solo debe considerarse que dicha información ha sido difundida al público cuando los destinatarios del servicio que deseen acceder a la información se inscriban o sean admitidos automáticamente sin que un ser humano decida o escoja a quién se concede el acceso. Los servicios de comunicaciones interpersonales definidos en la Directiva (UE) 2018/1972 del Parlamento Europeo y del Consejo (24), como los correos electrónicos o los servicios de mensajería privada, quedan fuera del ámbito de la definición de plataformas en línea, ya que se utilizan para la comunicación interpersonal entre un número finito de personas determinado por el remitente de la comunicación. No obstante, las obligaciones establecidas en el presente Reglamento para los prestadores de plataformas en línea pueden aplicarse a los servicios que permitan poner información a disposición de un número potencialmente ilimitado de destinatarios, no determinado por el remitente de la comunicación, por ejemplo a través de grupos públicos o canales abiertos. La información solo debe considerarse difundida al público en el sentido del presente Reglamento cuando dicha difusión ocurra a petición directa del destinatario del servicio que ha proporcionado la información.

(15) Cuando algunos de los servicios prestados por un prestador estén sujetos al presente Reglamento y otros no, o cuando los servicios prestados por un prestador estén sujetos a diferentes secciones del presente Reglamento, las disposiciones pertinentes del Reglamento solo deben aplicarse a los servicios que entren en su ámbito de aplicación.

(16) La seguridad jurídica que proporciona el marco horizontal de exenciones condicionales de la responsabilidad de los prestadores de servicios intermediarios, establecido en la Directiva 2000/31/CE, ha hecho posible que en el mercado interior surjan y se desarrollen muchos servicios novedosos. Por consiguiente, dicho marco debe conservarse. Sin embargo, en vista de las divergencias en la transposición y aplicación de las normas pertinentes en el ámbito nacional, y por motivos de claridad y coherencia, dicho marco debe incorporarse al presente Reglamento. También es necesario precisar determinados elementos de ese marco teniendo en cuenta de la jurisprudencia del Tribunal de Justicia de la Unión Europea.

(17) Las normas de responsabilidad de los prestadores de servicios intermediarios establecidas en el presente Reglamento solo deben determinar cuándo no se pueden exigir responsabilidades al prestador de servicios intermediarios de que se trate en relación con contenidos ilícitos proporcionados por los destinatarios del servicio. No cabe entender que esas disposiciones sienten una base positiva para establecer cuándo se pueden exigir responsabilidades a un prestador, lo que corresponde determinar a las normas aplicables del Derecho de la Unión o nacional. Asimismo, las exenciones de responsabilidad establecidas en el presente Reglamento deben aplicarse a cualquier tipo de responsabilidad respecto de cualquier tipo de contenido ilícito, sea cual sea la materia o naturaleza precisa de dichas normas.

(18) Las exenciones de responsabilidad establecidas en el presente Reglamento no deben aplicarse cuando, en lugar de limitarse a la prestación neutra de los servicios mediante un tratamiento meramente técnico y automático de la información proporcionada por el destinatario del servicio, el prestador de servicios intermediarios desempeñe un papel activo de tal índole que le confiera conocimiento de dicha información o control sobre ella. En consecuencia, no cabe acogerse a dichas exenciones cuando las responsabilidades se deriven de información no proporcionada por el destinatario del servicio, sino por el propio prestador del servicio intermediario, incluido el caso en que la información se haya elaborado bajo la responsabilidad editorial de dicho prestador.

(19) En vista de la distinta naturaleza de las actividades de «mera transmisión», «memoria caché» y «alojamiento de datos» y la diferente posición y capacidad de los prestadores de los servicios de que se trate, es necesario diferenciar las normas aplicables a dichas actividades, en la medida en que, en virtud del presente Reglamento, estén sujetas a distintos requisitos y condiciones y su ámbito de aplicación sea diferente, a la luz de la interpretación del Tribunal de Justicia de la Unión Europea.

(20) Cuando un prestador de servicios intermediarios colabore deliberadamente con un destinatario del servicio a fin de llevar a cabo actividades ilícitas, se ha de considerar que el servicio no se ha prestado de forma neutra y, por tanto, el prestador no debe poder acogerse a las exenciones de responsabilidad establecidas en el presente Reglamento. Así debe ser, por ejemplo, cuando el prestador ofrece sus servicios con el propósito principal de facilitar actividades ilícitas, por ejemplo, manifestando expresamente que su propósito es el de facilitar actividades ilícitas o que sus servicios son adecuados a tal fin. El mero hecho de que un servicio ofrezca transmisiones cifradas o cualquier otro sistema que impida la identificación del usuario no debe considerarse en sí mismo que facilite actividades ilícitas.

(21) Un prestador debe poder acogerse a las exenciones de responsabilidad en el caso de servicios de «mera transmisión» y «memoria caché» cuando no tenga nada que ver con la información que se ha transmitido o a la que se accede. Esto requiere, entre otras cosas, que el prestador no modifique la información que transmite o a la que da acceso. Sin embargo, no cabe entender que este requisito se aplique a manipulaciones de carácter técnico que tengan lugar durante la transmisión o el acceso, siempre que dichas manipulaciones no alteren la integridad de la información que se transmite o a la que se da acceso.

(22) Para poder acogerse a la exención de responsabilidad de los servicios de alojamiento de datos, el prestador debe, en el momento en que tenga conocimiento efectivo o consciencia de actividades o contenidos ilícitos, actuar de manera diligente para retirar dichos contenidos o bloquear el acceso a ellos. La retirada o bloqueo del acceso debe llevarse a cabo respetando los derechos fundamentales de los destinatarios del servicio, incluido el derecho a la libertad de expresión y de información. El prestador puede obtener dicho conocimiento efectivo o consciencia del carácter ilícito de los contenidos, entre otras vías, a través de investigaciones realizadas por iniciativa propia o de notificaciones recibidas de personas físicas o entidades de conformidad con el presente Reglamento en la medida en que dichas notificaciones sean suficientemente precisas y estén adecuadamente fundamentadas para que un operador económico diligente, de manera razonable, pueda detectar y evaluar el contenido presuntamente ilícito y, en su caso, actuar contra él. Sin embargo, no cabe considerar que dicho conocimiento efectivo o consciencia se obtenga por el mero hecho de que el prestador sea consciente, de manera general, de que su servicio también se utiliza para almacenar contenidos ilícitos. Además, el hecho de que el prestador indexe automáticamente la información cargada en su servicio, tenga una función de búsqueda y recomiende información basándose en los perfiles o preferencias de los destinatarios del servicio no es motivo suficiente para considerar que dicho prestador tenga un conocimiento «específico» de las actividades ilegales llevadas a cabo en esa plataforma o de los contenidos ilícitos almacenados en ella.

(23) La exención de responsabilidad no debe aplicarse cuando el destinatario del servicio actúe bajo la autoridad o el control del prestador de un servicio de alojamiento de datos. Por ejemplo, cuando el prestador de una plataforma en línea que permite a los consumidores celebrar contratos a distancia con comerciantes determine el precio de los productos o servicios ofertados por el comerciante, se podría considerar que el comerciante actúa bajo la autoridad o el control de dicha plataforma en línea.

(24) A fin de garantizar la protección efectiva de los consumidores que efectúan transacciones comerciales intermediadas en línea, determinados prestadores de servicios de alojamiento de datos, en concreto, las plataformas en línea que permiten a los consumidores celebrar contratos a distancia con comerciantes, no deben poder acogerse a la exención de responsabilidad aplicable a los prestadores de servicios de alojamiento de datos establecida en el presente Reglamento, en la medida en que dichas plataformas en línea presenten la información pertinente relativa a las transacciones en cuestión de manera que induzca a los consumidores a creer que dicha información ha sido facilitada por las propias plataformas en línea o por comerciantes que actúan bajo su autoridad o control, y que dichas plataformas en línea tienen por tanto conocimiento de la información o control sobre ella, aunque puede que en realidad no sea así. Entre los ejemplos de estas prácticas encontramos el de una plataforma en línea que no muestre claramente la identidad del comerciante como exige el presente Reglamento, el de una plataforma en línea que no revele la identidad o los datos de contacto del comerciante hasta después de la formalización del contrato celebrado entre el comerciante y el consumidor, o el de una plataforma en línea cuando comercialice el producto o servicio en su propio nombre en lugar de en nombre del comerciante que suministrará el producto o servicio. A este respecto, debe determinarse de manera objetiva, teniendo en cuenta todas las circunstancias pertinentes, si la presentación podría inducir a un consumidor medio a creer que la información en cuestión ha sido proporcionada por la propia plataforma en línea o por comerciantes que actúen bajo su autoridad o control.

(25) Las exenciones de responsabilidad establecidas en el presente Reglamento no deben afectar a la posibilidad de que se dicten requerimientos de distinta índole contra los prestadores de servicios intermediarios, aunque cumplan las condiciones establecidas como parte de tales exenciones. Dichos requerimientos podrían consistir, en particular, en órdenes de órganos jurisdiccionales o autoridades administrativas, dictadas en cumplimiento del Derecho de la Unión, por las que se exija poner fin a una infracción o impedirla, por ejemplo, mediante la retirada de los contenidos ilícitos especificados en dichas órdenes, o el bloqueo del acceso a esos contenidos.

(26) A fin de crear seguridad jurídica y no desincentivar las actividades destinadas a detectar e identificar contenidos ilícitos y actuar contra ellos que los prestadores de todas las categorías de servicios intermediarios llevan a cabo de forma voluntaria, conviene aclarar que el mero hecho de que los prestadores realicen esa clase de actividades no supone que ya no puedan acogerse a las exenciones de responsabilidad establecidas en el presente Reglamento, siempre que esas actividades se lleven a cabo de buena fe y con diligencia. La condición de actuar de buena fe y con diligencia debe implicar actuar de manera objetiva, no discriminatoria y proporcionada, teniendo debidamente en cuenta los derechos e intereses legítimos de todas las partes implicadas, y proporcionar las garantías necesarias contra la retirada injustificada de contenidos lícitos, de conformidad con el objetivo y los requisitos del presente Reglamento. A tal fin, los prestadores de que se trate deben, por ejemplo, adoptar medidas razonables para garantizar que, cuando se utilicen herramientas automatizadas para llevar a cabo tales actividades, la tecnología de que se trate tenga la fiabilidad suficiente para limitar en la mayor medida posible el porcentaje de errores. Además, conviene aclarar que el mero hecho de que los prestadores adopten medidas, de buena fe, para cumplir los requisitos del Derecho de la Unión, incluidos los establecidos en el presente Reglamento en lo que respecta a la aplicación de sus condiciones generales, no debe excluir la posibilidad de que se acojan a las exenciones de responsabilidad establecidas en el presente Reglamento. Por consiguiente, las actividades y medidas que un determinado prestador pueda haber adoptado no deben tenerse en cuenta a la hora de determinar si el prestador puede acogerse a una exención de responsabilidad, en particular en lo que se refiere a si presta su servicio de forma neutra y, por tanto, puede quedar sujeto al ámbito de aplicación de la disposición pertinente, sin que este criterio implique, no obstante, que el prestador pueda necesariamente acogerse a ella. Las acciones voluntarias no deben utilizarse para eludir las obligaciones de los prestadores de servicios intermediarios en virtud del presente Reglamento.

(27) Si bien las normas de responsabilidad de los prestadores de servicios intermediarios establecidas en el presente Reglamento se concentran en la exención de responsabilidad de los prestadores de servicios intermediarios, es importante recordar que, pese al importante papel que, por lo general, desempeñan dichos prestadores, el problema de los contenidos y las actividades ilícitos en línea no debe abordarse poniendo el foco únicamente en sus responsabilidades. En la medida de lo posible, los terceros afectados por contenidos ilícitos transmitidos o almacenados en línea deben intentar resolver los conflictos relativos a dichos contenidos sin implicar a los prestadores de servicios intermediarios de que se trate. Los destinatarios del servicio deben responder, cuando así lo dispongan las normas aplicables del Derecho de la Unión y nacional que determinen tales responsabilidades, de los contenidos ilícitos que proporcionen y puedan difundir al público a través de servicios intermediarios. En su caso, otros actores, por ejemplo, los moderadores de grupos en entornos en línea cerrados, especialmente grandes grupos, también deben contribuir a evitar la propagación de contenidos ilícitos en línea, de conformidad con el Derecho aplicable. Además, cuando sea necesario implicar a los prestadores de servicios de la sociedad de la información, incluidos los prestadores de servicios intermediarios, cualquier solicitud u orden de implicarlos debe dirigirse, por regla general, al prestador específico que posea la capacidad técnica y operativa para actuar contra elementos de contenido ilícito concretos, a fin de prevenir y minimizar los posibles efectos negativos para la disponibilidad y accesibilidad de información que no constituya contenido ilícito.

(28) Desde el año 2000, han aparecido nuevas tecnologías que mejoran la disponibilidad, eficiencia, velocidad, fiabilidad, capacidad y seguridad de los sistemas de transmisión, localización y almacenamiento de datos en línea, de forma que se ha creado un ecosistema en línea cada vez más complejo. En este sentido, conviene recordar que los prestadores de servicios que establecen y facilitan la arquitectura lógica subyacente y el correcto funcionamiento de internet, incluidas las funciones técnicas accesorias, también pueden acogerse a las exenciones de responsabilidad establecidas en el presente Reglamento, en la medida en que sus servicios cumplan los requisitos para considerarse de «mera transmisión», «memoria caché» o «alojamiento de datos». Dichos servicios pueden incluir, según el caso, redes de área local inalámbricas, sistemas de nombres de dominio (DNS), registros de nombres de dominio de primer nivel, registradores, autoridades de certificación que expiden certificados digitales, redes virtuales privadas, motores de búsqueda en línea, servicios de infraestructura en nube o redes de suministro de contenidos, que habiliten, localicen o mejoren las funciones de otros prestadores de servicios intermediarios. Del mismo modo, los servicios utilizados con fines de comunicación también han evolucionado de forma considerable, así como los medios técnicos para su prestación, dando lugar a servicios en línea como la transmisión de voz por internet, los servicios de mensajería y los servicios de correo electrónico vía web, que envían las comunicaciones a través de un servicio de acceso a internet. También esos servicios pueden acogerse a las exenciones de responsabilidad, en la medida en que cumplan los requisitos para ser considerados de «mera transmisión», «memoria caché» o «alojamiento de datos».

(29) Los servicios intermediarios abarcan una gran variedad de actividades económicas que tienen lugar en línea y que se desarrollan continuamente para ofrecer una transmisión de información rápida, segura y protegida, y para garantizar la comodidad de todos los participantes del ecosistema en línea. Por ejemplo, los servicios intermediarios de «mera transmisión» incluyen categorías genéricas de servicios como los puntos de intercambio de internet, los puntos de acceso inalámbrico, las redes privadas virtuales, los servicios de DNS y traductores DNS, los registros de nombres de dominio de primer nivel, los registradores, las autoridades de certificación que expiden certificados digitales, la transmisión de voz por internet y otros servicios de comunicación interpersonal, mientras que entre los ejemplos genéricos de servicios intermediarios de «memoria caché» se incluyen el suministro únicamente de redes de distribución de contenidos, los proxies inversos o los proxies de adaptación de contenidos. Estos servicios son cruciales para garantizar una transmisión fluida y eficiente de la información suministrada en internet. Entre los ejemplos de «servicios de alojamiento de datos» se incluyen categorías de servicios como la computación en nube, el alojamiento web, los servicios remunerados de referenciación o los servicios que permiten compartir información y contenidos en línea, incluido el almacenamiento y el intercambio de archivos. Los servicios intermediarios pueden prestarse de forma aislada, como parte de otro tipo de servicio intermediario, o al mismo tiempo que otros servicios intermediarios. La cuestión de si un servicio específico constituye un servicio de «mera transmisión», de «memoria caché» o de «alojamiento de datos» depende únicamente de sus funcionalidades técnicas, que pueden evolucionar con el tiempo, y debe dilucidarse caso por caso.

(30) Los prestadores de servicios intermediarios no deben estar sujetos, ni de iure ni de facto, a una obligación de monitorización con respecto a obligaciones de carácter general. Ello no afecta a las obligaciones de monitorización en un caso específico y, en particular, no afecta a las órdenes de las autoridades nacionales de conformidad con el Derecho nacional, en cumplimiento del Derecho de la Unión, conforme a la interpretación del Tribunal de Justicia de la Unión Europea y de conformidad con las condiciones establecidas en el presente Reglamento. Nada de lo dispuesto en el presente Reglamento debe interpretarse como la imposición de una obligación general de monitorización o de una búsqueda activa de hechos general, o una obligación general de que los prestadores adopten medidas proactivas en relación con contenidos ilícitos.

(31) En función del ordenamiento jurídico de cada Estado miembro y de la rama del Derecho de que se trate, las autoridades nacionales judiciales o administrativas, incluidas las autoridades policiales, pueden ordenar a los prestadores de servicios intermediarios que actúen contra uno o más elementos de contenido ilícito concretos o que proporcionen determinada información concreta. El Derecho nacional que sirve de base para dictar tales órdenes presenta diferencias considerables y las órdenes se han de aplicar cada vez más en situaciones transfronterizas. A fin de garantizar que esas órdenes puedan cumplirse de manera efectiva y eficiente, en particular en un contexto transfronterizo, de modo que las autoridades públicas afectadas puedan desempeñar su cometido y los prestadores no se vean sometidos a cargas desproporcionadas, sin afectar indebidamente a los derechos e intereses legítimos de terceros, es necesario someter tales órdenes a determinadas condiciones y establecer ciertos requisitos complementarios relativos a su tramitación. Por consiguiente, el presente Reglamento solo debe armonizar determinadas condiciones mínimas específicas que dichas órdenes deben cumplir para que se genere la obligación de los prestadores de servicios intermediarios de informar a las autoridades pertinentes sobre el curso dado a dichas órdenes. El presente Reglamento no proporciona, por tanto, un fundamento jurídico para la emisión de tales órdenes ni regula su ámbito de aplicación territorial o su ejecución transfronteriza.

(32) El Derecho de la Unión o nacional aplicable sobre la base del cual se dicten dichas órdenes puede exigir más condiciones y también debe servir de base para la ejecución de las órdenes respectivas. En caso de incumplimiento de tales órdenes, el Estado miembro emisor debe poder ejecutarlas de conformidad con su Derecho nacional. El Derecho nacional aplicable debe cumplir el Derecho de la Unión, incluidas la Carta y las disposiciones del TFUE relativas a la libertad de establecimiento y a la libre prestación de servicios dentro de la Unión, en particular por lo que respecta a los servicios de apuestas y juego en línea. De modo análogo, la aplicación de dicho Derecho nacional para la ejecución de las órdenes respectivas se entiende sin perjuicio de los actos jurídicos aplicables de la Unión o de los acuerdos internacionales celebrados por la Unión o por los Estados miembros en relación con el reconocimiento, la aplicación y la ejecución transfronterizos de dichas órdenes, en particular en materia civil y penal. Por otra parte, la ejecución de la obligación de informar a las autoridades pertinentes sobre el curso dado a esas órdenes, a diferencia de la ejecución de las propias órdenes, debe estar sujeta a las normas establecidas en el presente Reglamento.

(33) El prestador de servicios intermediarios debe informar a la autoridad emisora del curso dado a dichas órdenes sin dilación indebida, observando los plazos establecidos en el Derecho o de la Unión o nacional pertinente.

(34) Las autoridades nacionales pertinentes deben poder dictar tales órdenes contra contenidos considerados ilícitos u órdenes de entrega de información sobre la base del Derecho de la Unión o del Derecho nacional en cumplimiento del Derecho de la Unión, en particular la Carta, y dirigirlas a los prestadores de servicios intermediarios, incluidos los establecidos en otro Estado miembro. No obstante, el presente Reglamento debe entenderse sin perjuicio del Derecho de la Unión en el ámbito de la cooperación judicial en materia civil o penal, incluidos el Reglamento (UE) nº1215/2012 y un Reglamento sobre las órdenes europeas de entrega y conservación de pruebas electrónicas a efectos de enjuiciamiento penal, y del Derecho procesal penal o civil nacional. Por consiguiente, cuando dicho Derecho nacional establezca, en el contexto de procedimientos penales o civiles, condiciones adicionales o incompatibles con las establecidas en el presente Reglamento en relación con las órdenes de actuación contra contenidos ilícitos o de entrega de información, las condiciones establecidas en el presente Reglamento pueden no aplicarse o adaptarse. En particular, la obligación del coordinador de servicios digitales del Estado miembro de la autoridad emisora de transmitir una copia de las órdenes a todos los demás coordinadores de servicios digitales puede no aplicarse en el contexto de un proceso penal o puede adaptarse, cuando así lo disponga el Derecho procesal penal nacional que sea aplicable.

Además, la obligación de que las órdenes contengan una motivación que explique los motivos por los que la información es ilícita debe adaptarse, en caso necesario, con arreglo al Derecho procesal penal nacional aplicable para la prevención, investigación, detección y enjuiciamiento de infracciones penales. Por último, la obligación de los prestadores de servicios intermediarios de informar al destinatario del servicio puede retrasarse de conformidad con el Derecho de la Unión o nacional aplicable, en particular en el contexto de un proceso penal, civil o administrativo. Además, las órdenes deben dictarse de conformidad con el Reglamento (UE) 2016/679, y con la prohibición establecida en el presente Reglamento de imponer obligaciones generales de supervisar información o de buscar activamente hechos o circunstancias que indiquen actividades ilícitas. Las condiciones y requisitos establecidos en el presente Reglamento que se aplican a las órdenes de actuación contra contenidos ilícitos han de entenderse sin perjuicio de otros actos de la Unión que establecen sistemas similares de actuación contra determinados tipos de contenidos ilícitos, como el Reglamento (UE) 2021/784, el Reglamento (UE) 2019/1020 o el Reglamento (UE) 2017/2394, que confiere competencias específicas para ordenar la entrega de información a las autoridades de los Estados miembros encargadas de la aplicación del Derecho de protección de los consumidores, mientras que las condiciones y requisitos que se aplican a las órdenes de entrega de información han de entenderse sin perjuicio de otros actos de la Unión que establecen disposiciones pertinentes análogas en sectores concretos. Dichos requisitos y condiciones han de entenderse sin perjuicio de las normas de retención y conservación establecidas en el Derecho nacional aplicable, en cumplimiento del Derecho de la Unión, y las solicitudes de confidencialidad efectuadas por las autoridades policiales en relación con la no revelación de información. Esas condiciones y requisitos aplicables no deben afectar a la posibilidad de que los Estados miembros exijan a un prestador de servicios intermediarios que impida una infracción, en cumplimiento del Derecho de la Unión, incluido el presente Reglamento, y en particular con la prohibición de la obligación general de monitorización.

(35) Las condiciones y requisitos establecidos en el presente Reglamento deben cumplirse a más tardar en el momento de transmisión de la orden al prestador de que se trate. Por consiguiente, la orden puede dictarse en una de las lenguas oficiales de la autoridad emisora del Estado miembro de que se trate. Ahora bien, cuando dicha lengua sea distinta de la declarada por el prestador de servicios intermediarios, o de otra lengua oficial de los Estados miembros, acordada entre la autoridad que dicte la orden y el prestador de servicios intermediarios, la transmisión de la orden debe ir acompañada de una traducción de, al menos, los elementos de la orden que se establecen en el presente Reglamento. Cuando un prestador de servicios intermediarios haya acordado con las autoridades de un Estado miembro utilizar una determinada lengua, se le debe exhortar a que acepte las órdenes en la misma lengua dictadas por autoridades de otros Estados miembros. Las órdenes deben incluir elementos que permitan al destinatario saber cuál es la autoridad emisora, incluidos, en su caso, los datos de contacto de un punto de contacto de dicha autoridad, y verificar la autenticidad de la orden.

(36) El ámbito territorial de las órdenes de actuación contra contenidos ilícitos debe establecerse con claridad sobre la base del Derecho de la Unión o nacional aplicable que permita dictarlas y no debe exceder de lo estrictamente necesario para el cumplimiento de sus objetivos. En ese sentido, la autoridad judicial o administrativa nacional, como podrían ser las autoridades policiales, que dicte la orden debe buscar un equilibrio entre el objetivo que la orden pretenda alcanzar, de acuerdo con el fundamento jurídico que haya permitido dictarla, y los derechos e intereses legítimos de todos los terceros que puedan verse afectados por dicha orden, en particular sus derechos fundamentales amparados por la Carta. En particular en los contextos transfronterizos, el efecto de la orden debe limitarse, en principio, al territorio del Estado miembro emisor, a menos que el carácter ilícito del contenido se derive directamente del Derecho de la Unión o la autoridad emisora considere que los derechos en cuestión requieren un ámbito territorial más amplio, de conformidad con el Derecho de la Unión y el Derecho internacional, teniendo en cuenta al mismo tiempo los intereses de la cortesía internacional.

(37) Las órdenes de entrega de información reguladas por el presente Reglamento afectan al suministro de información específica acerca de destinatarios individuales del servicio intermediario de que se trate, que estén identificados en dichas órdenes con el fin de determinar si los destinatarios del servicio cumplen con las normas de la Unión o nacionales aplicables. Dichas órdenes deben solicitar información al objeto de permitir la identificación de los destinatarios del servicio de que se trate. Por consiguiente, las órdenes relativas a información sobre un grupo de destinatarios del servicio que no estén identificados específicamente, incluidas las órdenes de entrega de información agregada necesaria para fines estadísticos o para la formulación de políticas basadas en datos contrastados, no están cubiertas por las obligaciones del presente Reglamento relativas a la entrega de información.

(38) Las órdenes de actuación contra contenidos ilícitos y de entrega de información están sujetas a las normas que salvaguardan la competencia del Estado miembro de establecimiento del prestador de servicios al que se dirigen y a las normas que establecen posibles excepciones a dicha competencia en determinados casos, contemplados en el artículo 3 de la Directiva 2000/31/CE, únicamente si se cumplen las condiciones de dicho artículo. Dado que las órdenes en cuestión se refieren, respectivamente, a elementos de contenido e información concretos de carácter ilícito, cuando se dirigen a prestadores de servicios intermediarios establecidos en otro Estado miembro, no limitan, en principio, la libertad de dichos prestadores de prestar sus servicios a través de las fronteras. Por consiguiente, no se aplican con respecto a esas órdenes las normas del artículo 3 de la Directiva 2000/31/CE, incluidas las que se refieren a la necesidad de justificar medidas de excepción a la competencia del Estado miembro de establecimiento del prestador de servicios por determinados motivos que se especifican y las que se refieren a la notificación de dichas medidas.

(39) Entre las obligaciones de informar sobre los mecanismos de recurso a disposición del prestador del servicio intermediario y del destinatario del servicio que haya suministrado el contenido está la de informar sobre los mecanismos administrativos de gestión de reclamaciones y los recursos judiciales, incluidos los recursos contra las órdenes dictadas por las autoridades judiciales. Además, los coordinadores de servicios digitales podrían desarrollar herramientas y orientaciones nacionales en relación con los mecanismos de reclamación y recurso aplicables en sus respectivos territorios, a fin de facilitar el acceso de los destinatarios del servicio a dichos mecanismos. Por último, al aplicar el presente Reglamento, los Estados miembros deben respetar el derecho fundamental a la tutela judicial efectiva y a un juez imparcial, tal como se establece en el artículo 47 de la Carta. Por tanto, el presente Reglamento no debe impedir a las autoridades judiciales o administrativas nacionales pertinentes dictar, sobre la base del Derecho de la Unión o nacional aplicable, una orden para restablecer contenidos cuando dichos contenidos cumplían las condiciones generales del prestador de servicios intermediarios, pero dicho prestador los hubiera considerado ilícitos erróneamente y se hubiesen retirado.

(40) A fin de cumplir los objetivos del presente Reglamento, y en particular de mejorar el funcionamiento del mercado interior y garantizar un entorno en línea seguro y transparente, es necesario establecer un conjunto claro, eficaz, predecible y equilibrado de obligaciones armonizadas de diligencia debida para los prestadores de servicios intermediarios. Esas obligaciones deben aspirar en particular a garantizar diferentes objetivos de interés público, como la seguridad y confianza de los destinatarios del servicio, incluidos los consumidores, los menores y los usuarios especialmente vulnerables al riesgo de ser víctimas de discursos de odio, acoso sexual u otras conductas discriminatorias, la protección de los derechos fundamentales pertinentes amparados por la Carta, la rendición de cuentas significativa por parte de dichos prestadores y el empoderamiento de los destinatarios y otros afectados, facilitando al mismo tiempo la necesaria vigilancia por parte de las autoridades competentes.

(41) En ese sentido, es importante que las obligaciones de diligencia debida se adapten al tipo, el tamaño y la naturaleza del servicio intermediario de que se trate. Por tanto, el presente Reglamento establece obligaciones básicas aplicables a todos los prestadores de servicios intermediarios, así como obligaciones adicionales para los prestadores de servicios de alojamiento de datos y, más concretamente, los prestadores de plataformas en línea, de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño. En la medida en que los prestadores de servicios intermediarios pertenezcan a varias de las diferentes categorías en función de la naturaleza de sus servicios y de su tamaño, deben cumplir con todas las obligaciones correspondientes del presente Reglamento en relación con dichos servicios. Esas obligaciones armonizadas de diligencia debida, que deben ser razonables y no arbitrarias, son necesarias para afrontar los objetivos de interés público identificados, como la salvaguardia de los intereses legítimos de los destinatarios del servicio, la lucha contra las prácticas ilícitas y la protección de los derechos fundamentales amparados por la Carta. Las obligaciones de diligencia debida son independientes de la cuestión de la responsabilidad de los prestadores de servicios intermediarios y, por tanto, deben apreciarse por separado.

(42) A fin de facilitar la fluidez y la eficiencia de las comunicaciones en ambos sentidos relativas a las materias reguladas por el presente Reglamento —también, en su caso, acusando recibo de dichas comunicaciones—, los prestadores de servicios intermediarios deben estar obligados a designar un punto único de contacto electrónico y a publicar y mantener actualizada información pertinente relativa a dicho punto de contacto, incluidas las lenguas que deban utilizarse en tales comunicaciones. El punto de contacto electrónico también puede ser utilizado por los alertadores fiables y por entidades profesionales que mantengan una relación específica con el prestador de servicios intermediarios. A diferencia del representante legal, el punto de contacto electrónico debe cumplir fines operativos y no se le debe exigir una localización física. Los prestadores de servicios intermediarios pueden establecer el mismo punto único de contacto para cumplir los requisitos del presente Reglamento y las finalidades de otros actos de Derecho de la Unión. Al especificar las lenguas de comunicación, se alienta a los prestadores de servicios intermediarios a que garanticen que las lenguas escogidas no constituyan, de por sí, un obstáculo a la comunicación. En caso necesario, debe ser posible que los prestadores de servicios intermediarios y las autoridades de los Estados miembros alcancen un acuerdo por separado acerca de la lengua de comunicación, o que busquen medios alternativos para superar la barrera lingüística, incluida la utilización de todos los medios tecnológicos disponibles o recursos humanos internos y externos.

(43) También se debe exigir a los prestadores de servicios intermediarios que designen un punto único de contacto para los destinatarios del servicio que posibilite una comunicación rápida, directa y eficiente, en particular por medios de fácil acceso, como un número de teléfono, direcciones de correo electrónico, formularios electrónicos de contacto, chatbots o la mensajería instantánea. Cuando un destinatario del servicio se esté comunicando con un chatbot, esta circunstancia debe indicarse expresamente. Los prestadores de servicios intermediarios deben permitir a los destinatarios del servicio elegir medios de comunicación directa y eficiente que no dependan únicamente de herramientas automatizadas. Los prestadores de servicios intermediarios deben hacer todos los esfuerzos que resulten razonables para garantizar que se destinan recursos humanos y financieros suficientes para que esta comunicación tenga lugar de manera rápida y eficiente.

(44) Los prestadores de servicios intermediarios establecidos en un tercer país y que ofrezcan servicios en la Unión deben designar a un representante legal en la Unión suficientemente habilitado y proporcionar información a las autoridades pertinentes relativa a sus representantes legales y hacerla pública. A fin de cumplir con dicha obligación, dichos prestadores de servicios intermediarios deben garantizar que el representante legal designado disponga de los poderes y recursos necesarios para cooperar con las autoridades pertinentes. Así podría ocurrir, por ejemplo, cuando un prestador de servicios intermediarios designe a una empresa filial del mismo grupo del prestador o a su empresa matriz, si dicha empresa filial o matriz está establecida en la Unión. No obstante, podría no ser el caso, por ejemplo, cuando el representante legal esté sujeto a procedimientos de reestructuración de deuda, quiebra o insolvencia personal o empresarial. Dicha obligación debe permitir la supervisión efectiva y, en caso necesario, la exigencia de cumplimiento del presente Reglamento a dichos prestadores. Debe existir la posibilidad de que un representante legal sea mandatado, de conformidad con el Derecho nacional, por más de un prestador de servicios intermediarios. También debe ser posible que el representante legal funcione como un punto de contacto, siempre que se cumplan los requisitos correspondientes del presente Reglamento.

(45) Aunque en principio debe respetarse la libertad contractual de los prestadores de servicios intermediarios, es oportuno establecer determinadas normas sobre el contenido, la aplicación y la ejecución de las condiciones generales de dichos prestadores por motivos de transparencia y protección de los destinatarios del servicio y para evitar resultados injustos o arbitrarios. Los prestadores de servicios intermediarios deben indicar con claridad y actualizar en sus condiciones generales la información relativa a los motivos por los que pueden restringir la prestación de sus servicios. En particular, deben incluir información sobre cualesquiera políticas, procedimientos, medidas y herramientas empleadas para moderar los contenidos, incluidas la toma de decisiones mediante algoritmos y la revisión humana, así como las normas de procedimiento de su sistema interno de gestión de reclamaciones. También deben facilitar información de fácil acceso sobre el derecho a poner fin al uso del servicio. Los prestadores de servicios intermediarios pueden utilizar elementos gráficos en sus condiciones generales de servicio, como iconos o imágenes, para ilustrar los principales elementos de las obligaciones de información establecidas en el presente Reglamento. Los prestadores deben informar a los destinatarios del servicio a través de medios adecuados de los cambios significativos realizados en sus condiciones generales, por ejemplo, cuando modifiquen las normas sobre la información permitida en su servicio, u otros cambios que puedan afectar directamente a la capacidad de los destinatarios de hacer uso del servicio.

(46) Los prestadores de servicios intermediarios que estén dirigidos principalmente a menores, habida cuenta, por ejemplo, del diseño o la comercialización del servicio, o que sean utilizados predominantemente por menores, deben realizar un esfuerzo especial para que la explicación de sus condiciones generales pueda ser comprendida con facilidad por los menores.

(47) Al definir, aplicar y hacer cumplir esas restricciones, los prestadores de servicios intermediarios deben actuar de manera no arbitraria y no discriminatoria y tener en cuenta los derechos e intereses legítimos de los destinatarios del servicio, incluidos los derechos fundamentales amparados por la Carta. Por ejemplo, es preciso que los prestadores de plataformas en línea de muy gran tamaño, en particular, tomen debidamente en consideración la libertad de expresión y de información, incluida la libertad y el pluralismo de los medios de comunicación. Todos los prestadores de servicios intermediarios también deben tener debidamente en cuenta las normas internacionales pertinentes para la protección de los derechos humanos, como los Principios Rectores de las Naciones Unidas sobre las Empresas y los Derechos Humanos.

(48) Dado su particular papel y alcance, conviene imponer a las plataformas en línea de muy gran tamaño y a los motores de búsqueda en línea de muy gran tamaño obligaciones adicionales en materia de información y transparencia de sus condiciones generales. Por consiguiente, los prestadores de plataformas en línea de muy gran tamaño y motores de búsqueda en línea de muy gran tamaño deben facilitar sus condiciones generales en las lenguas oficiales de todos los Estados miembros en los que ofrezcan sus servicios y también deben facilitar a los destinatarios de los servicios un resumen conciso y de fácil lectura de los principales elementos de las condiciones generales. En dichos resúmenes se deben indicar los principales elementos de las obligaciones de información, incluida la posibilidad de excluir fácilmente las cláusulas opcionales.

(49) Para garantizar un nivel adecuado de transparencia y rendición de cuentas, los prestadores de servicios intermediarios deben hacer público un informe anual en un formato legible por máquina, de conformidad con los requisitos armonizados recogidos en el presente Reglamento, sobre la moderación de contenidos que lleven a cabo, incluidas las medidas adoptadas como consecuencia de la aplicación y ejecución de sus condiciones generales. Sin embargo, a fin de evitar cargas desproporcionadas, esas obligaciones de transparencia informativa no deben aplicarse a los prestadores que sean microempresas o pequeñas empresas, tal como estas se definen en la Recomendación 2003/361/CE de la Comisión (25), y que no sean plataformas en línea de muy gran tamaño en el sentido del presente Reglamento.

(50) Los prestadores de servicios de alojamiento de datos desempeñan un papel especialmente importante para hacer frente a los contenidos ilícitos en línea, ya que almacenan información proporcionada por los destinatarios del servicio y a petición de estos, y normalmente facilitan el acceso de otros destinatarios a dicha información, a veces a gran escala. Es importante que todos los prestadores de servicios de alojamiento de datos, sea cual sea su tamaño, establezcan mecanismos de notificación y acción de fácil acceso y uso que faciliten la notificación, al prestador de los servicios de alojamiento de datos de que se trate, de elementos de información concretos que la parte notificante considere contenidos ilícitos (en lo sucesivo, «notificación»), en virtud de la cual el prestador pueda decidir si está o no de acuerdo con esa valoración y si desea retirar o bloquear el acceso a dicho contenido (en lo sucesivo, «acción»). Estos mecanismos deben ser claramente identificables, estar situados cerca de la información en cuestión y ser tan fáciles de encontrar y utilizar, al menos, como los mecanismos de notificación de contenidos que infrinjan las condiciones generales del prestador de servicios de alojamiento de datos. Siempre que se cumplan los requisitos sobre las notificaciones, debe ser posible que las personas físicas o entidades notifiquen múltiples elementos de contenido concretos presuntamente ilícitos por medio de una única notificación, con el fin de garantizar el funcionamiento eficaz de los mecanismos de notificación y acción. El mecanismo de notificación debe permitir, pero no exigir, la identificación de la persona física o entidad que envíe la notificación. En el caso de algunos tipos de elementos de información objeto de una notificación, la identidad de la persona física o entidad que envíe la notificación podría ser necesaria para determinar si la información en cuestión supone un contenido ilícito, como se alega. La obligación de establecer mecanismos de notificación y acción debe aplicarse, por ejemplo, a los servicios de almacenamiento e intercambio de archivos, los servicios de alojamiento web, los servidores de publicidad y los pastebins (aplicaciones para compartir código fuente en internet), en la medida en que cumplan los requisitos para ser considerados servicios de alojamiento de datos sujetos al presente Reglamento.

(51) Dada la necesidad de tener debidamente en cuenta los derechos fundamentales garantizados por la Carta de todas las partes afectadas, toda acción emprendida por un prestador de servicios de alojamiento de datos a raíz de la recepción de una notificación debe estar estrictamente orientada, es decir, debe servir para retirar los elementos de información concretos que se consideren contenidos ilícitos o para bloquear el acceso a ellos, sin afectar indebidamente a la libertad de expresión y de información de los destinatarios del servicio. Por lo tanto, las notificaciones deben dirigirse, por regla general, a los prestadores de servicios de alojamiento de datos de los que razonablemente quepa esperar que disponen de la capacidad técnica y operativa para actuar contra dichos elementos concretos. Los prestadores de servicios de alojamiento de datos que reciban una notificación y que, por razones técnicas u operativas, no puedan retirar el elemento de información concreto deben informar a la persona física o entidad que haya enviado la notificación.

(52) Las normas que regulen estos mecanismos de notificación y acción deben armonizarse a escala de la Unión, para facilitar el tratamiento oportuno, diligente y no arbitrario de las notificaciones conforme a unas normas uniformes, transparentes y claras que establezcan unas sólidas salvaguardas para proteger los derechos e intereses legítimos de todos los afectados, en particular los derechos fundamentales que les garantiza la Carta, sea cual sea el Estado miembro de establecimiento o residencia de dichos afectados y la rama del Derecho de que se trate. Dichos derechos fundamentales incluyen, entre otros: en el caso de los destinatarios del servicio, el derecho a la libertad de expresión e información, el derecho al respeto de la vida privada y familiar, el derecho a la protección de los datos personales, el derecho a la no discriminación y el derecho a la tutela judicial efectiva; en el caso de los prestadores de servicios, la libertad de empresa, incluida la libertad contractual; en el caso de las partes afectadas por contenidos ilícitos, el derecho a la dignidad humana, los derechos del niño, el derecho a la protección de la propiedad, incluida la propiedad intelectual, y el derecho a la no discriminación. Los prestadores de servicios de alojamiento de datos deben actuar ante una notificación con la debida rapidez, en particular teniendo en cuenta el tipo de contenido ilícito que se notifica y la urgencia de tomar medidas. Por ejemplo, cabe esperar que dichos prestadores actúen sin dilación cuando se notifiquen contenidos presuntamente ilícitos que supongan una amenaza para la vida o la seguridad de las personas. El prestador de servicios de alojamiento de datos debe informar a la persona física o entidad que notifica el contenido específico sin dilación indebida tras tomar la decisión de actuar o no en respuesta a la notificación.

(53) Los mecanismos de notificación y acción deben permitir el envío de notificaciones con la suficiente precisión y la fundamentación adecuada para que el prestador de servicios de alojamiento de datos de que se trate pueda adoptar una decisión informada y diligente, compatible con la libertad de expresión y de información, en relación con el contenido al que se refiere la notificación, en particular para decidir si dicho contenido debe considerarse ilícito y debe retirarse o debe bloquearse el acceso a él. Estos mecanismos deben estar configurados de modo que faciliten la comunicación de notificaciones que expliquen las razones por las que la persona física o entidad que envía la notificación considera que el contenido es ilícito y una indicación clara de la localización del contenido. Cuando una notificación contenga información suficiente para permitir a un prestador diligente de servicios de alojamiento de datos determinar, sin un examen jurídico detallado, que el contenido es manifiestamente ilícito, debe considerarse que la notificación da lugar a un conocimiento efectivo o consciencia del carácter ilícito. Salvo en el caso del envío de notificaciones relativas a los delitos a que se refieren los artículos 3 a 7 de la Directiva 2011/93/UE del Parlamento Europeo y del Consejo (26), dichos mecanismos deben pedir a la persona física o entidad que envía la notificación que revele su identidad a fin de evitar abusos.

(54) Cuando, por considerar que la información proporcionada por los destinatarios constituye contenido ilícito o es incompatible con sus condiciones generales, un prestador de servicios de alojamiento de datos decida retirar la información proporcionada por un destinatario del servicio, o bloquear el acceso a ella, o restringir de otro modo su visibilidad o monetización, por ejemplo después de recibir una notificación o de actuar por propia iniciativa, también cuando lo haga exclusivamente mediante herramientas automatizadas, dicho prestador debe comunicar al destinatario, de forma clara y fácilmente compresible, su decisión, los motivos de su decisión y las vías de recurso para impugnar la decisión, en vista de las consecuencias negativas que tales decisiones puedan tener para el destinatario, por ejemplo, en lo que se refiere al ejercicio de su derecho fundamental a la libertad de expresión. Esa obligación debe aplicarse con independencia de los motivos de la decisión, en particular si se ha actuado porque se considera que la información notificada es un contenido ilícito o porque se considera incompatible con las condiciones generales aplicables. Cuando la decisión se haya adoptado tras la recepción de una notificación, el prestador de servicios de alojamiento de datos solo debe revelar al destinatario del servicio la identidad de la persona física o entidad que haya enviado la notificación cuando esta información sea necesaria para identificar el carácter ilícito del contenido, por ejemplo en casos de vulneración de los derechos de propiedad intelectual.

(55) La restricción de la visibilidad puede consistir en una relegación en las clasificaciones o en los sistemas de recomendación, así como en limitar la accesibilidad por parte de uno o más destinatarios del servicio o en bloquear al usuario de una comunidad en línea sin que este sea consciente de ello («exclusión oculta»). La monetización a través de ingresos publicitarios de información proporcionada por el destinatario del servicio puede restringirse mediante la suspensión o el cese de los pagos monetarios o de los ingresos asociados a dicha información. No obstante, la obligación de proporcionar una declaración de motivos no debe aplicarse con respecto a los contenidos comerciales engañosos de gran volumen difundidos a través de la manipulación intencionada del servicio, en particular el uso no auténtico del servicio, como el uso de bots o cuentas falsas u otros usos engañosos del servicio. Con independencia de otras posibilidades de impugnar la decisión del prestador de servicios de alojamiento de datos, el destinatario del servicio siempre debe conservar el derecho a la tutela judicial efectiva de un órgano jurisdiccional de conformidad con el Derecho nacional.

(56) En algunos casos, un prestador de servicios de alojamiento de datos puede tener conocimiento, por ejemplo a raíz de la notificación de una parte notificante o a través de sus propias medidas voluntarias, de información relativa a una determinada actividad de un destinatario del servicio, como el suministro de determinados tipos de contenidos ilícitos, que, habida cuenta de todas las circunstancias pertinentes de las que dicho prestador de servicios de alojamiento de datos sea consciente, funde razonablemente la sospecha de que dicho destinatario pueda haber cometido, pueda estar cometiendo o pueda cometer probablemente un delito que amenace la vida o la seguridad de una o varias personas, como los delitos especificados en la Directiva 2011/36/UE del Parlamento Europeo y del Consejo (27), en la Directiva 2011/93/UE o en la Directiva (UE) 2017/541 del Parlamento Europeo y del Consejo (28). Por ejemplo, determinados elementos de contenido podrían dar lugar a la sospecha de una amenaza para el público, como la incitación al terrorismo en el sentido del artículo 21 de la Directiva (UE) 2017/541. En tales casos, el prestador de servicios de alojamiento de datos debe informar sin dilación a las autoridades policiales competentes de dicha sospecha. El prestador de servicios de alojamiento de datos debe facilitar toda la información pertinente de que disponga, incluidos, en su caso, los contenidos en cuestión y, si están disponibles, el momento en que se publicó el contenido, incluido el huso horario designado, una explicación de su sospecha y la información necesaria para localizar e identificar al destinatario pertinente del servicio. El presente Reglamento no sienta el fundamento jurídico para elaborar perfiles de los destinatarios de los servicios con miras a la posible detección de delitos cometidos por los prestadores de servicios de alojamiento de datos. Los prestadores de servicios de alojamiento de datos también deben respetar otras normas aplicables del Derecho de la Unión o nacional en materia de protección de los derechos y las libertades de las personas físicas cuando informen a las autoridades policiales.

(57) A fin de evitar cargas desproporcionadas, las obligaciones adicionales impuestas en virtud del presente Reglamento a los prestadores de plataformas en línea, incluidas las plataformas que permiten a los consumidores celebrar contratos a distancia con comerciantes, no deben aplicarse a los prestadores que sean microempresas o pequeñas empresas, tal como se definen en la Recomendación 2003/361/CE. Por la misma razón, esas obligaciones adicionales tampoco deben aplicarse a los prestadores de plataformas en línea que previamente cumpliesen los requisitos para ser considerados microempresas o pequeñas empresas durante el período de doce meses siguientes a la pérdida esa condición. Dichos prestadores no deben quedar excluidos de la obligación de facilitar información sobre el promedio mensual de destinatarios del servicio activos a petición del coordinador de servicios digitales de establecimiento o de la Comisión. No obstante, teniendo en cuenta que las plataformas en línea de muy gran tamaño o los motores de búsqueda en línea de muy gran tamaño tienen un alcance más amplio y un mayor impacto a la hora de influir en la forma en que los destinatarios del servicio obtienen información y se comunican en línea, dichos prestadores no deben acogerse a dicha exclusión, independientemente de que cumplan los requisitos para ser considerados microempresas o pequeñas empresas o los hayan cumplido recientemente. Las normas de consolidación establecidas en la Recomendación 2003/361/CE contribuyen a evitar que se puedan eludir dichas obligaciones adicionales. Nada de lo dispuesto en el presente Reglamento impide a los prestadores de plataformas en línea a los que se aplica dicha exclusión establecer, con carácter voluntario, un sistema que cumpla una o varias de esas obligaciones.

(58) Los destinatarios del servicio deben poder impugnar de manera fácil y efectiva determinadas decisiones de los prestadores de plataformas en línea que se refieran al carácter ilícito de los contenidos o su incompatibilidad con las condiciones generales y que les afecten negativamente. Por consiguiente, los prestadores de plataformas en línea deben estar obligados a establecer sistemas internos de gestión de reclamaciones que cumplan determinadas condiciones al objeto de garantizar que los sistemas sean fácilmente accesibles y produzcan resultados rápidos, no discriminatorios, no arbitrarios y justos, y que estén sujetos a revisión humana cuando se usen medios automáticos. Estos sistemas deben permitir a todos los destinatarios del servicio presentar una reclamación y no deben establecer requisitos formales, como la remisión a las correspondientes disposiciones jurídicas concretas o a explicaciones jurídicas complejas. Los destinatarios del servicio que hayan enviado una notificación a través del mecanismo de notificación y acción previsto en el presente Reglamento o a través del mecanismo de notificación de contenidos que infrinjan las condiciones generales del prestador de plataformas en línea deben tener derecho a utilizar el mecanismo de reclamación para impugnar la decisión del prestador de plataformas en línea sobre sus notificaciones, también en el caso de que consideren que la acción emprendida por dicho prestador no fue adecuada. La posibilidad de presentar una reclamación para que se revoquen de las decisiones impugnadas debe estar disponible durante al menos seis meses, contados a partir del momento en que el prestador de plataformas en línea informe de la decisión al destinatario del servicio.

(59) Además, debe contemplarse la posibilidad de buscar, de buena fe, la resolución extrajudicial de este tipo de litigios, incluidos los que no puedan resolverse de una manera satisfactoria a través de los sistemas internos de gestión de reclamaciones, por organismos certificados que posean la independencia, los medios y los conocimientos necesarios para desarrollar sus actividades con equidad, rapidez y eficacia en términos de costes. La independencia de los órganos de resolución extrajudicial de litigios debe garantizarse también respecto de las personas físicas encargadas de resolver los litigios, en particular mediante normas sobre conflictos de intereses. Los honorarios cobrados por los órganos de resolución extrajudicial de litigios deben ser razonables, accesibles, atractivos, poco costosos para los consumidores y proporcionados, y deben valorarse caso por caso. Cuando un órgano de resolución extrajudicial de litigios esté certificado por el coordinador de servicios digitales competente, dicha certificación debe tener validez en todos los Estados miembros. Los prestadores de plataformas en línea deben poder negarse a iniciar procedimientos de resolución extrajudicial de litigios en virtud del presente Reglamento cuando el mismo litigio, en particular en lo que se refiere a la información de que se trate y a los motivos para adoptar la decisión impugnada, a los efectos de la decisión y a los motivos alegados para impugnar la decisión, ya haya sido dirimido por el órgano jurisdiccional competente o por otro órgano de resolución extrajudicial de litigios o ya sea objeto de un procedimiento en curso ante el órgano jurisdiccional competente o ante otro órgano de resolución extrajudicial de litigios competente. Los destinatarios del servicio deben poder elegir entre el mecanismo interno de reclamación, la resolución extrajudicial de litigios y la posibilidad de iniciar, en cualquier momento, un procedimiento judicial. Dado que el resultado del procedimiento de resolución extrajudicial de litigios no es vinculante, no debe impedirse a las partes que inicien un procedimiento judicial en relación con el mismo litigio. Las posibilidades de impugnar las decisiones de los prestadores de plataformas en línea creadas de este modo no deben afectar en ningún aspecto la posibilidad de interponer un recurso judicial de conformidad con el Derecho del Estado miembro de que se trate ni debe afectar, por tanto, al ejercicio del derecho a la tutela judicial efectiva, tal como se establece en el artículo 47 de la Carta. Las disposiciones del presente Reglamento relativas a la resolución extrajudicial de litigios no deben exigir a los Estados miembros que establezcan tales órganos de resolución extrajudicial.

(60) En relación con los litigios contractuales entre consumidores y empresas con respecto a la adquisición de productos o servicios, la Directiva 2013/11/UE garantiza que los consumidores y las empresas de la Unión tengan acceso a entidades de resolución alternativa de litigios de calidad homologada. En este sentido, conviene aclarar que las normas del presente Reglamento sobre la resolución extrajudicial de litigios han de entenderse sin perjuicio de la mencionada Directiva, incluido el derecho que esta confiere a los consumidores de retirarse del procedimiento en cualquier momento si no están satisfechos con el funcionamiento o la tramitación del procedimiento.

(61) Se puede actuar de manera más rápida y fiable contra los contenidos ilícitos cuando los prestadores de plataformas en línea adoptan las medidas necesarias para asegurarse de que las notificaciones enviadas por los alertadores fiables, dentro de su ámbito de especialidad señalado, a través de los mecanismos de notificación y acción exigidos por el presente Reglamento se traten de forma prioritaria, sin perjuicio de la obligación de tratar todas las notificaciones recibidas a través de dichos mecanismos, y tomar decisiones al respecto, de manera oportuna, diligente y no arbitraria. La condición de alertador fiable debe ser otorgada por el coordinador de servicios digitales del Estado miembro donde el solicitante esté establecido y debe ser reconocida por todos los prestadores de plataformas en línea incluidos en el ámbito de aplicación del presente Reglamento. Esta condición de alertador fiable solo debe otorgarse a entidades, y no personas físicas, que hayan demostrado, entre otras cosas, que poseen conocimientos y competencias específicos para hacer frente a los contenidos ilícitos y que trabajan de manera diligente, precisa y objetiva. Estas entidades pueden ser de carácter público, como por ejemplo, en el caso de los contenidos terroristas, las unidades de notificación de contenidos de internet de las autoridades policiales nacionales o de la Agencia de la Unión Europea para la Cooperación Policial («Europol») o pueden ser organizaciones no gubernamentales y organismos privados o semipúblicos, como las organizaciones que forman parte de la red INHOPE de líneas directas para denunciar materiales relacionados con abusos sexuales a menores y organizaciones comprometidas con la notificación de manifestaciones racistas y xenófobas ilegales en línea. Para que el valor añadido de este mecanismo no se reduzca, debe limitarse el número total de alertadores fiables designados de conformidad con el presente Reglamento. En particular, se alienta a las asociaciones del sector que representen los intereses de sus miembros a solicitar la condición de alertadores fiables, sin perjuicio del derecho de las entidades privadas o las personas físicas a celebrar acuerdos bilaterales con los prestadores de plataformas en línea.

(62) Los alertadores fiables deben publicar informes fácilmente comprensibles y detallados sobre las notificaciones enviadas de conformidad con el presente Reglamento. Dichos informes deben contener información como el número de notificaciones categorizadas por el prestador de servicios de alojamiento de datos, el tipo de contenido y las medidas adoptadas por el prestador. Dado que los alertadores fiables han demostrado sus conocimientos y competencia, cabe esperar que el tratamiento de notificaciones de los alertadores fiables sea menos gravosa y, por tanto, más rápida que el tratamiento de notificaciones presentadas por otros destinatarios del servicio. Sin embargo, el tiempo medio de tratamiento puede variar en función de factores como el tipo de contenido ilícito, la calidad de las notificaciones o los procedimientos técnicos efectivamente establecidos para el envío de dichas notificaciones.

Por ejemplo, mientras que el Código de conducta para la lucha contra la incitación ilegal al odio en internet de 2016 establece un criterio de referencia para las empresas participantes con respecto al tiempo necesario para tratar notificaciones válidas para la eliminación de la incitación ilícita al odio, otros tipos de contenidos ilícitos pueden llevar plazos de tratamiento considerablemente diferentes, dependiendo de los hechos y circunstancias concretos y de los tipos de contenidos ilícitos de que se trate. A fin de evitar abusos de la condición de alertador fiable, debe ser posible suspender esta condición cuando un coordinador de servicios digitales de establecimiento inicie una investigación por motivos legítimos. No cabe entender que las normas del presente Reglamento relativas a los alertadores fiables impidan a los prestadores de plataformas en línea dar un tratamiento análogo a las notificaciones enviadas por entidades o personas físicas a las que no se haya otorgado la condición de alertadores fiables con arreglo al presente Reglamento, o colaborar de otra manera con otras entidades, de conformidad con el Derecho aplicable, incluido el presente Reglamento y el Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo (29). Las normas del presente Reglamento no deben impedir que los prestadores de plataformas en línea recurran a tales alertadores fiables o a mecanismos similares para actuar de forma rápida y fiable contra contenidos incompatibles con sus condiciones generales, en particular contra los contenidos perjudiciales para los destinatarios vulnerables del servicio, como los menores.

(63) El uso indebido de las plataformas en línea mediante la publicación frecuente de contenidos manifiestamente ilícitos o mediante el envío frecuente de notificaciones o reclamaciones manifiestamente infundados a través de los mecanismos y sistemas, respectivamente, establecidos en virtud del presente Reglamento merma la confianza y perjudica los derechos e intereses legítimos de las partes afectadas. Por lo tanto, es necesario establecer salvaguardias apropiadas, proporcionadas y eficaces contra dicho uso indebido, que deben respetar los derechos e intereses legítimos de todas las partes implicadas, incluidos los derechos y libertades fundamentales aplicables amparados por la Carta, en particular la libertad de expresión. Una información debe tener la consideración de contenido manifiestamente ilícito y las notificaciones o reclamaciones deben tener la consideración de manifiestamente infundados cuando sea evidente para una persona lega en la materia, sin un análisis de fondo, que dicho contenido es ilícito o que las notificaciones o reclamaciones son infundados.

(64) En determinadas condiciones, los prestadores de plataformas en línea deben suspender temporalmente sus actividades pertinentes respecto de la persona que muestre comportamientos abusivos. Lo anterior debe entenderse sin perjuicio de la libertad que tienen los prestadores de plataformas en línea para determinar sus condiciones generales y establecer medidas más rigurosas para el caso de contenidos manifiestamente ilícitos relacionados con delitos graves, como los materiales relacionados con abusos sexuales a menores. Por razones de transparencia, esta posibilidad debe quedar establecida, de forma clara y suficientemente detallada, en las condiciones generales de las plataformas en línea. Siempre deben existir vías de recurso contra las decisiones adoptadas en este sentido por los prestadores de plataformas en línea y estas deben estar sujetas a la supervisión del coordinador de servicios digitales competente. Los prestadores de plataformas en línea deben enviar una advertencia previa antes de decidir sobre la suspensión, advertencia que debe incluir los motivos de la posible suspensión y las vías de recurso contra la decisión de los prestadores de la plataforma en línea. Cuando decidan sobre la suspensión, los prestadores de plataformas en línea deben remitir una declaración de motivos de conformidad con las normas establecidas en el presente Reglamento. Las normas del presente Reglamento relativas al uso indebido no deben impedir a los prestadores de plataformas en línea adoptar otras medidas para combatir la publicación de contenidos ilícitos por los destinatarios de su servicio u otros usos indebidos de sus servicios, incluidos los que impliquen la infracción de sus condiciones generales, de conformidad con el Derecho de la Unión y nacional aplicable. Dichas normas han de entenderse sin perjuicio de las posibilidades de exigir responsabilidades a las personas que efectúen el uso indebido, incluso por daños y perjuicios, que estén establecidas en el Derecho de la Unión y nacional aplicable.

(65) En vista de sus responsabilidades y obligaciones específicas, los prestadores de plataformas en línea deben estar sujetos a obligaciones de transparencia informativa que se apliquen acumulativamente con las obligaciones de transparencia informativa aplicables a todos los prestadores de servicios intermediarios en virtud del presente Reglamento. A fin de determinar si las plataformas en línea y los motores de búsqueda en línea pueden ser plataformas en línea de muy gran tamaño o motores de búsqueda en línea de muy gran tamaño, respectivamente, que están sujetos a determinadas obligaciones adicionales en virtud del presente Reglamento, las obligaciones de transparencia informativa de las plataformas en línea y los motores de búsqueda en línea deben incluir determinadas obligaciones relativas a la publicación y comunicación de información sobre el promedio mensual de destinatarios del servicio activos en la Unión.

(66) Al objeto de garantizar la transparencia y permitir el control de las decisiones de moderación de contenidos de los prestadores de plataformas en línea y el seguimiento de la difusión de contenidos ilícitos en línea, la Comisión debe mantener y hacer pública una base de datos que contenga las decisiones y declaraciones de motivos que los prestadores de plataformas en línea elaboran cuando retiran información o restringen de otro modo la disponibilidad de dicha información y el acceso a ella. A fin de mantener la base de datos actualizada permanentemente, los prestadores de plataformas en línea deben transmitir, en un formato normalizado, las decisiones y la declaración de motivos sin dilación indebida tras haber adoptado una decisión, de modo que se puedan llevar a cabo actualizaciones en tiempo real cuando sea técnicamente posible y proporcionado a los medios de la plataforma en línea en cuestión. La base de datos estructurada debe permitir el acceso a la información pertinente, así como su consulta, en particular en lo que se refiere al tipo de contenido presuntamente ilícito.

(67) Las interfaces engañosas de las plataformas en línea son prácticas que distorsionan o merman sustancialmente, de forma deliberada o efectiva, la capacidad de los destinatarios del servicio de tomar decisiones autónomas y con conocimiento de causa. Estas prácticas pueden utilizarse para persuadir a los destinatarios del servicio de que adopten comportamientos no deseados o decisiones no deseadas que tienen consecuencias negativas para ellos. Por esta razón, debe prohibirse a los prestadores de plataformas en línea engañar o empujar en esta dirección a los destinatarios del servicio y distorsionar u obstaculizar la autonomía, la toma de decisiones o la capacidad de elección de los destinatarios del servicio a través de la estructura, el diseño o las funcionalidades de una interfaz en línea o una parte de esta. Entre estas prácticas se han de incluir, entre otras, las opciones de diseño abusivas que dirigen al destinatario hacia acciones que benefician al prestador de plataformas en línea, pero que pueden no favorecer los intereses de los destinatarios, al presentar opciones de una manera que no es neutra, por ejemplo, dando más protagonismo a determinadas opciones mediante componentes visuales, auditivos o de otro tipo, cuando se le pide al destinatario del servicio que tome una decisión.

Otras prácticas que también deben estar incluidas son solicitar repetidamente al destinatario del servicio que tome una decisión cuando esa decisión ya ha sido tomada, hacer que el procedimiento de anulación de un servicio sea considerablemente más engorroso que la suscripción a dicho servicio, hacer que determinadas opciones sean más difíciles o lleven más tiempo que otras, dificultar excesivamente la interrupción de las compras o la desconexión de una plataforma en línea determinada que permite a los consumidores celebrar contratos a distancia con comerciantes, y engañar a los destinatarios del servicio empujándoles a tomar decisiones sobre transacciones o mediante ajustes por defecto que sean muy difíciles de cambiar, dirigiendo de forma injustificada la toma de decisiones del destinatario del servicio, de manera que se distorsione y merme su autonomía, su toma de decisiones y su capacidad de elección. Sin embargo, las normas contra las interfaces engañosas no deben entenderse en el sentido de que impidan a los prestadores interactuar directamente con los destinatarios del servicio y ofrecerles servicios nuevos o adicionales. Las prácticas legítimas, como las publicitarias, que sean conformes con el Derecho de la Unión no deben considerarse en sí mismas interfaces engañosas. Dichas normas sobre interfaces engañosas deben interpretarse en el sentido de que se aplican a las prácticas prohibidas que entran en el ámbito de aplicación del presente Reglamento en la medida en que no estén ya cubiertas por la Directiva 2005/29/CE o el Reglamento (UE) 2016/679.

(68) La publicidad en línea desempeña un papel importante en el entorno en línea, también en relación con la prestación de plataformas en línea, cuando en ocasiones la prestación del servicio se remunera total o parcialmente, directa o indirectamente, a través de ingresos publicitarios. La publicidad en línea puede contribuir a la generación de riesgos significativos, desde anuncios publicitarios que sean en sí mismos contenidos ilícitos hasta contribuir a incentivar económicamente la publicación o amplificación de contenidos y actividades en línea que sean ilícitos o de otro modo nocivos, o la presentación discriminatoria de anuncios que afecten a la igualdad de trato y oportunidades de los ciudadanos. Además de los requisitos derivados del artículo 6 de la Directiva 2000/31/CE, los prestadores de plataformas en línea, por tanto, deben estar obligados a velar por que los destinatarios del servicio posean determinada información individualizada que les sea necesaria para saber cuándo y en nombre de quién se presenta el anuncio. Deben garantizar que esta información esté destacada, también por medio de marcas visuales o sonoras normalizadas, sea claramente identificable e inequívoca para el destinatario medio del servicio y se adapte a la naturaleza de la interfaz en línea de cada servicio. Además, los destinatarios del servicio deben poder acceder directamente, desde la interfaz en línea en la que se presente el anuncio publicitario, a información sobre los principales parámetros utilizados para determinar que se les presente un anuncio publicitario específico, ofreciendo explicaciones útiles de la lógica utilizada con ese fin, también cuando se base en la elaboración de perfiles.

Dichas explicaciones deben incluir información sobre el método utilizado para presentar el anuncio publicitario, por ejemplo, si se trata de publicidad contextual o de otro tipo, y, en su caso, los principales criterios utilizados para la elaboración de perfiles. También deben informar al destinatario de cualquier medio de que este disponga para modificar dichos criterios. Los requisitos del presente Reglamento sobre la facilitación de información relativa a publicidad han de entenderse sin perjuicio de la aplicación de las disposiciones pertinentes del Reglamento (UE) 2016/679, en particular las relativas al derecho de oposición, las decisiones individuales automatizadas, incluida la elaboración de perfiles, y en concreto la necesidad de obtener el consentimiento del interesado antes del tratamiento de los datos personales para producir publicidad personalizada. Del mismo modo, han de entenderse sin perjuicio de las disposiciones de la Directiva 2002/58/CE, en particular las relativas al almacenamiento de información en equipos terminales y al acceso a la información en ellos almacenada. Por último, el presente Reglamento complementa la aplicación de la Directiva 2010/13/UE, que impone medidas para que los usuarios declaren comunicaciones comerciales audiovisuales en vídeos generados por los usuarios. También complementa las obligaciones de los comerciantes relativas a la divulgación de comunicaciones comerciales derivadas de la Directiva 2005/29/CE.

(69) Cuando se presentan a los destinatarios del servicio anuncios basados en técnicas de segmentación optimizadas para responder a sus intereses y apelar potencialmente a sus vulnerabilidades, los efectos negativos pueden ser especialmente graves. En algunos casos, las técnicas de manipulación pueden afectar negativamente a grupos enteros y amplificar perjuicios sociales, por ejemplo, contribuyendo a campañas de desinformación o discriminando a determinados grupos. Las plataformas en línea son entornos especialmente delicados para tales prácticas y plantean un riesgo mayor para la sociedad. Por consiguiente, los prestadores de plataformas en línea no deben presentar anuncios basados en la elaboración de perfiles como se definen en el artículo 4, punto 4, del Reglamento (UE) 2016/679, utilizando las categorías especiales de datos personales a que se refiere el artículo 9, apartado 1, de dicho Reglamento, ni utilizando categorías de elaboración de perfiles basadas en dichas categorías especiales. Esta prohibición se entiende sin perjuicio de las obligaciones aplicables a los prestadores de plataformas en línea o a cualquier otro prestador de servicios o anunciante que participen en la difusión de los anuncios en virtud del Derecho de la Unión en materia de protección de datos personales.

(70) Una parte fundamental del negocio de una plataforma en línea es la manera en que prioriza y presenta la información en su interfaz en línea para facilitar y optimizar el acceso a ella por los destinatarios del servicio. Esto se hace, por ejemplo, mediante la recomendación, clasificación y priorización algorítmica de la información, la distinción de texto u otras representaciones visuales, o la organización de manera diferente de la información facilitada por los destinatarios. Estos sistemas de recomendación pueden tener un impacto significativo en la capacidad de los destinatarios de recuperar información en línea e interactuar con ella, en particular a la hora de facilitar la búsqueda de información pertinente para los destinatarios del servicio y contribuir a mejorar la experiencia de los usuarios. También desempeñan un papel importante en la amplificación de determinados mensajes, la difusión viral de información y la promoción de comportamientos en línea. En consecuencia, las plataformas en línea deben asegurarse de un modo coherente de que los destinatarios de su servicio estén adecuadamente informados sobre cómo los sistemas de recomendación afectan a la forma en que se muestra la información y pueden influir en la manera en que la información se les presenta. Deben presentar con claridad los parámetros de dichos sistemas de recomendación de manera fácilmente comprensible con el fin de asegurarse de que los destinatarios del servicio entienden cómo se prioriza la información para ellos. Dichos parámetros deben incluir, como mínimo, los criterios más importantes a la hora de determinar la información sugerida al destinatario del servicio y las razones de su importancia respectiva, también cuando se dé prioridad a la información basada en la elaboración de perfiles y en su comportamiento en línea.

(71) La protección de los menores es un objetivo político importante de la Unión. Puede considerarse que una plataforma en línea es accesible para los menores cuando sus condiciones generales permiten a los menores utilizar el servicio, cuando su servicio está dirigido a menores o es utilizado predominantemente por ellos, o cuando el prestador es consciente de que algunos de los destinatarios de su servicio son menores, por ejemplo, porque ya trata para otros fines datos personales de los destinatarios de su servicio que revelan su edad. Los prestadores de plataformas en línea utilizadas por menores deben adoptar medidas adecuadas y proporcionadas para proteger a los menores, por ejemplo, diseñando sus interfaces en línea o partes de estas con el máximo nivel de privacidad, seguridad y protección de los menores por defecto, cuando proceda, o adoptando normas para la protección de los menores, o participando en códigos de conducta para la protección de los menores. Deben tener en cuenta las mejores prácticas y las orientaciones disponibles, como las que ofrece la Comunicación de la Comisión titulada «Una década digital para los niños y los jóvenes: la nueva estrategia europea para una internet mejor para los niños (BIK+)». Los prestadores de plataformas en línea no deben presentar anuncios basados en la elaboración de perfiles mediante la utilización de datos personales del destinatario del servicio cuando sean conscientes con una seguridad razonable de que el destinatario del servicio es un menor. De conformidad con el Reglamento (UE) 2016/679, en particular el principio de minimización de datos previsto en su artículo 5, apartado 1, letra c), esta prohibición no debe llevar al prestador de la plataforma en línea a mantener, obtener o tratar más datos personales de los que ya dispone para evaluar si el destinatario del servicio es un menor. Por lo tanto, esta obligación no debe incentivar a los prestadores de plataformas en línea a capturar la edad del destinatario del servicio antes de su uso. Esto debe aplicarse sin perjuicio del Derecho de la Unión en materia de protección de datos personales.

(72) A fin de contribuir a la creación de un entorno en línea seguro, fiable y transparente para los consumidores, así como para otros interesados tales como comerciantes competidores y titulares de derechos de propiedad intelectual, y para disuadir a los comerciantes de vender productos o servicios que infrinjan las normas aplicables, las plataformas en línea que permitan a los consumidores celebrar contratos a distancia con los comerciantes deben asegurarse de que dichos comerciantes puedan ser objeto de trazabilidad. Por consiguiente, debe exigirse al comerciante que facilite determinada información esencial a los prestadores de la plataforma en línea que permita a los consumidores celebrar contratos a distancia con los comerciantes, incluso para promocionar mensajes o realizar ofertas sobre productos. Dicho requisito también debe aplicarse a los comerciantes que promocionen mensajes sobre productos o servicios en nombre de las marcas, en virtud de acuerdos subyacentes. Dichos prestadores de plataformas en línea deben almacenar toda la información de manera segura durante la vigencia de su relación contractual con el comerciante, así como durante los seis meses posteriores, a fin de posibilitar la presentación de reclamaciones contra el comerciante o la ejecución de órdenes relacionadas con el comerciante.

Esta obligación es necesaria y proporcionada, de modo que las autoridades públicas y los particulares que tengan un interés legítimo puedan acceder a la información de conformidad con el Derecho aplicable, incluido el relativo a la protección de los datos personales, también a través de las órdenes de entrega de información a que se refiere el presente Reglamento. Esta obligación no afecta a otras posibles obligaciones de conservar determinados contenidos durante períodos más largos, sobre la base de otras normas de Derecho de la Unión o nacional, en cumplimiento del Derecho de la Unión. Sin perjuicio de la definición que figura en el presente Reglamento, cualquier comerciante, con independencia de que sea una persona física o jurídica, identificado sobre la base del artículo 6 bis, apartado 1, letra b), de la Directiva 2011/83/UE y del artículo 7, apartado 4, letra f), de la Directiva 2005/29/CE, debe poder ser objeto de trazabilidad cuando ofrezca un producto o servicio a través de una plataforma en línea. La Directiva 2000/31/CE obliga a todos los prestadores de servicios de la sociedad de la información a que permitan a los destinatarios del servicio y a las autoridades competentes acceder con facilidad y de forma directa y permanente a determinada información que permita la identificación de todos los prestadores. Los requisitos de trazabilidad para los prestadores de plataformas en línea que permitan a los consumidores celebrar contratos a distancia con los comerciantes establecidos en el presente Reglamento no afectan a la aplicación de la Directiva (UE) 2021/514 del Consejo (30), que persigue otros objetivos legítimos de interés público.

(73) A fin de garantizar una aplicación eficiente y adecuada de esa obligación, sin imponer cargas desproporcionadas, los prestadores de plataformas en línea que permitan a los consumidores celebrar contratos a distancia con comerciantes deben hacer todo lo posible por evaluar la fiabilidad de la información proporcionada por los comerciantes afectados, en particular mediante el uso de bases de datos en línea e interfaces en línea oficiales de libre disponibilidad, como los registros mercantiles nacionales y el sistema de intercambio de información sobre el IVA, o solicitar a los comerciantes afectados que proporcionen documentos justificativos fiables, como copias de documentos de identidad, estados bancarios certificados de cuentas de pago, certificados empresariales y certificados del registro mercantil. También pueden recurrir a otras fuentes, disponibles para su uso a distancia, que ofrezcan un grado análogo de fiabilidad al efecto de cumplir con esta obligación. Sin embargo, los prestadores de plataformas en línea de que se trate no deben estar obligados a realizar actividades excesivas o costosas de búsqueda de hechos ni a realizar comprobaciones sobre el terreno desproporcionadas. Tampoco cabe entender que esos prestadores que hayan hecho todo lo posible, como exige el presente Reglamento, garanticen la fiabilidad de la información al consumidor u otros interesados.

(74) Los prestadores de plataformas en línea que permitan a los consumidores celebrar contratos a distancia con comerciantes deben diseñar y organizar su interfaz en línea de manera que permita a los comerciantes cumplir con sus obligaciones en virtud del Derecho de la Unión aplicable, en particular los requisitos establecidos en los artículos 6 y 8 de la Directiva 2011/83/UE, el artículo 7 de la Directiva 2005/29/CE, los artículos 5 y 6 de la Directiva 2000/31/CE, y el artículo 3 de la Directiva 98/6/CE del Parlamento Europeo y del Consejo (31). A tal fin, los prestadores de plataformas en línea de que se trate deben hacer todo lo posible por evaluar si los comerciantes que utilizan sus servicios han cargado la información completa en sus interfaces en línea, de conformidad con el Derecho de la Unión aplicable. Los prestadores de plataformas en línea deben garantizar que no se ofrezcan productos o servicios en tanto que dicha información no esté completa. Esto no debe equivaler a una obligación para los prestadores de plataformas en línea de que se trate de monitorizar en general los productos o servicios ofrecidos por los comerciantes a través de sus servicios ni como una obligación general de comprobar los datos, en particular de comprobar la exactitud de la información facilitada por los comerciantes. Las interfaces en línea deben ser fáciles de usar y accesibles para los comerciantes y los consumidores. Además, y después de permitir la oferta del producto o servicio por parte del comerciante, los prestadores de plataformas en línea de que se trate deben hacer todos los esfuerzos que resulten razonables para comprobar aleatoriamente si los productos o servicios ofrecidos han sido identificados como ilícitos en cualquier base de datos en línea o interfaz en línea oficial, de libre acceso y legible por máquina disponible en un Estado miembro o en la Unión. La Comisión también debe fomentar la trazabilidad de los productos a través de soluciones tecnológicas, como códigos de respuesta rápida firmados digitalmente (o «códigos QR») o fichas no fungibles. La Comisión debe promover el desarrollo de normas y, a falta de ellas, soluciones basadas en el mercado que puedan ser aceptables para las partes afectadas.

(75) Dada la importancia que por su alcance tienen las plataformas en línea de muy gran tamaño, en particular como se refleja en el número de destinatarios del servicio, para facilitar el debate público, las transacciones económicas y la difusión al público de información, opiniones e ideas y para influir en la forma en que los destinatarios obtienen y comunican información en línea, es necesario imponer obligaciones específicas a los prestadores de esas plataformas, además de las obligaciones aplicables a todas las plataformas en línea. Debido a su papel fundamental a la hora de localizar y hacer que la información pueda obtenerse en línea, también es necesario imponer esas obligaciones, en la medida en que sean aplicables, a los prestadores de motores de búsqueda en línea de muy gran tamaño. Dichas obligaciones adicionales para los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño son necesarias para abordar esos objetivos de interés público, no existiendo medidas alternativas y menos restrictivas que puedan alcanzar el mismo resultado de manera efectiva.

(76) Las plataformas en línea de muy gran tamaño y los motores de búsqueda en línea de muy gran tamaño pueden entrañar riesgos para la sociedad, de distinto alcance y repercusión que los generados por plataformas más pequeñas. Los prestadores de dichas plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño han de cumplir, por tanto, las obligaciones de diligencia debida más exigentes, proporcionadas en relación con su impacto social. Una vez que el número de destinatarios activos de una plataforma o de destinatarios activos de un motor de búsqueda en línea, calculado como un promedio durante un período de seis meses, asciende a un porcentaje importante de la población de la Unión, los riesgos sistémicos que la plataforma en línea o el motor de búsqueda en línea entraña pueden tener un impacto desproporcionado en la Unión. Debe considerarse que existe un alcance tan significativo cuando dicho número exceda de un umbral operativo fijado en cuarenta y cinco millones, es decir, una cifra equivalente al 10 % de la población de la Unión. Este umbral operativo debe mantenerse actualizado por lo que la Comisión debe estar facultada para completar las disposiciones del presente Reglamento mediante la adopción de actos delegados, cuando sea necesario.

(77) A fin de determinar el alcance de una determinada plataforma en línea o motor de búsqueda en línea, es necesario establecer el promedio de destinatarios activos de cada servicio individualmente. En consecuencia, el número medio mensual de destinatarios activos de una plataforma en línea debe reflejar todos los destinatarios que realmente participan en el servicio al menos una vez en un período de tiempo determinado estando expuestos a información difundida en la interfaz en línea de la plataforma en línea, por ejemplo, al verlos o escucharlos, o facilitando información, como los comerciantes en plataformas en línea que permitan a los consumidores celebrar contratos a distancia con comerciantes.

A efectos del presente Reglamento, la participación no se limita a interactuar con información pulsando, comentando, enlazando, compartiendo, comprando o realizando transacciones en una plataforma en línea. Por consiguiente, el concepto de destinatario activo del servicio no coincide necesariamente con el de usuario registrado de un servicio. Por lo que se refiere a los motores de búsqueda en línea, el concepto de destinatarios activos del servicio debe comprender a quienes visualizan información en su interfaz en línea, pero no, por ejemplo, a los propietarios de los sitios web indexados por el motor de búsqueda en línea, ya que no participan activamente en el servicio. El número de destinatarios activos de un servicio debe incluir a todos los destinatarios únicos del servicio que participan en el servicio en cuestión. A tal fin, un destinatario del servicio que utilice diferentes interfaces en línea, como sitios web o aplicaciones, incluso cuando se acceda a los servicios a través de diferentes localizadores uniformes de recursos (URL) o nombres de dominio, debe contarse, en la medida de lo posible, una sola vez. Sin embargo, el concepto de destinatario activo del servicio no debe incluir el uso incidental del servicio por parte de destinatarios de otros prestadores de servicios intermediarios que pongan a disposición indirectamente información alojada por los prestadores de plataformas en línea a través de enlaces o indexaciones por parte de un prestador de motores de búsqueda en línea. Además, el presente Reglamento no exige que los prestadores de plataformas en línea o de motores de búsqueda en línea realicen un seguimiento específico de las personas en línea. Cuando dichos prestadores sean capaces de descontar los usuarios automatizados, como los bots o los extractores de información, sin necesidad de tratamiento adicional de los datos personales ni seguimiento, podrán hacerlo. La determinación del número de destinatarios activos del servicio puede verse afectada por los avances técnicos y del mercado, por lo que la Comisión debe estar facultada para completar las disposiciones del presente Reglamento mediante la adopción de actos delegados que establezcan la metodología para determinar los destinatarios activos de una plataforma en línea o de un motor de búsqueda en línea, cuando sea necesario, que reflejen la naturaleza del servicio y la forma en que los destinatarios del servicio interactúan con él.

(78) En vista de los efectos de red que caracterizan a la economía de plataformas, la base de usuarios de una plataforma en línea o de un motor de búsqueda en línea puede aumentar rápidamente y alcanzar la dimensión de una plataforma en línea de muy gran tamaño o de un motor de búsqueda en línea de muy gran tamaño, con la consiguiente repercusión para el mercado interior. Tal puede ser el caso cuando experimente un crecimiento exponencial en un corto período de tiempo, o cuando su gran presencia mundial y volumen de negocios permitan a la plataforma en línea o al motor de búsqueda en línea explotar al máximo los efectos de red y las economías de escala y de alcance. En particular, un elevado volumen de negocios anual o capitalización del mercado puede indicar una rápida escalabilidad en términos de alcance de usuarios. En esos casos, el coordinador de servicios digitales de establecimiento o la Comisión deben poder solicitar al prestador de la plataforma en línea o del motor de búsqueda en línea que aporte con más frecuencia información sobre el número de destinatarios activos de su servicio a fin de poder determinar oportunamente el momento en que dicha plataforma o dicho motor de búsqueda deba considerarse una plataforma en línea de muy gran tamaño o un motor de búsqueda en línea de muy gran tamaño, respectivamente, para los fines del presente Reglamento.

(79) Las plataformas en línea de muy gran tamaño y los motores de búsqueda en línea de muy gran tamaño pueden usarse de modo que influyan en gran medida en la seguridad en línea, en la opinión y el discurso públicos, así como en el comercio en línea. El diseño de sus servicios se optimiza en general para beneficio de sus modelos de negocio, a menudo basados en la publicidad, y pueden causar inquietudes en la sociedad. Son necesarias una regulación y una ejecución efectivas para detectar y reducir eficazmente los riesgos y los perjuicios sociales y económicos que puedan surgir. Por tanto, de acuerdo con el presente Reglamento, los prestadores de plataformas en línea de muy gran tamaño y motores de búsqueda en línea de muy gran tamaño deben evaluar los riesgos sistémicos que entraña el diseño, funcionamiento y uso de sus servicios, así como los posibles usos indebidos por parte de los destinatarios de estos servicios, y deben adoptar medidas de reducción de riesgos apropiadas respetando los derechos fundamentales. Al determinar la importancia de los posibles efectos e impactos negativos, los prestadores deben tener en cuenta la gravedad del impacto potencial y la probabilidad de todos esos riesgos sistémicos. Por ejemplo, podrían evaluar si el potencial impacto negativo puede afectar a un gran número de personas, su posible irreversibilidad o la dificultad de subsanarlo y restablecer la situación existente antes del impacto potencial.

(80) Los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño deben evaluar en profundidad cuatro categorías de riesgos sistémicos. La primera categoría se refiere a los riesgos asociados a la difusión de contenidos ilícitos, como la difusión de materiales de abuso sexual de menores o delitos de incitación al odio, u otros tipos de usos indebidos de sus servicios para cometer delitos, y la realización de actividades ilícitas como la venta de productos o servicios prohibidos por el Derecho de la Unión o nacional, incluidos los productos peligrosos o falsificados o el comercio ilegal de animales. Por ejemplo, esa difusión o esas actividades pueden constituir un riesgo sistémico significativo cuando el acceso a contenidos ilícitos pueda propagarse rápida y ampliamente a través de cuentas con un alcance especialmente amplio o de otros medios de amplificación. Los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño deben evaluar el riesgo de difusión de contenidos ilícitos, con independencia de que la información sea o no además incompatible con sus condiciones generales. Esta evaluación se entiende sin perjuicio de la responsabilidad personal del destinatario del servicio de plataformas en línea de muy gran tamaño o de los propietarios de sitios web indexados por motores de búsqueda en línea de muy gran tamaño ante la posible ilegalidad de su actividad con arreglo al Derecho aplicable.

(81) Una segunda categoría se refiere a los efectos reales o previsibles del servicio para el ejercicio de los derechos fundamentales, tal como los protege la Carta, entre ellos, la dignidad humana, la libertad de expresión y de información, incluidos la libertad de los medios de comunicación y su pluralismo, el derecho a la vida privada, el derecho a la protección de datos, el derecho a la no discriminación, los derechos del niño y la protección de los consumidores. Estos riesgos pueden derivarse, por ejemplo, del diseño de los sistemas algorítmicos utilizados por la plataforma en línea de muy gran tamaño o el motor de búsqueda en línea de muy gran tamaño o por el uso indebido de su servicio mediante el envío de notificaciones abusivas u otros métodos destinados a limitar la expresión u obstaculizar la competencia. Al evaluar los riesgos para los derechos del niño, los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño deben tener en cuenta, por ejemplo, cuan fácil les resulta a los menores comprender el diseño y el funcionamiento del servicio, así como la manera en que los menores pueden verse expuestos, a través de su servicio, a contenidos que puedan perjudicar su salud y su desarrollo físico, mental y moral. Tales riesgos pueden surgir, por ejemplo, con interfaces en línea que estén diseñadas de manera que exploten intencionada o involuntariamente las debilidades y la inexperiencia de los menores o que puedan generar un comportamiento adictivo.

(82) Una tercera categoría de riesgos se refiere a los efectos negativos reales o previsibles sobre los procesos democráticos, el discurso cívico y los procesos electorales, así como sobre la seguridad pública.

(83) Una cuarta categoría de riesgos se deriva de preocupaciones similares relacionadas con el diseño, el funcionamiento o la utilización, también mediante la manipulación, de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño, con un efecto negativo real o previsible en la protección de la salud pública, los menores y graves consecuencias negativas para el bienestar físico y mental de una persona, o en la violencia de género. Estos riesgos también pueden derivarse de campañas coordinadas de desinformación relacionadas con la salud pública, o del diseño de interfaces en línea que puedan estimular adicciones comportamentales de los destinatarios del servicio.

(84) Al evaluar dichos riesgos sistémicos, los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño deben centrarse en los sistemas u otros elementos que puedan contribuir a los riesgos, incluidos todos los sistemas algorítmicos que puedan ser pertinentes, en particular sus sistemas de recomendación y de publicidad, dedicando atención a las prácticas conexas de recogida y uso de datos. También deben evaluar si sus condiciones generales y su cumplimiento son adecuados, así como sus procesos de moderación de contenidos, herramientas técnicas y recursos asignados. Al evaluar los riesgos sistémicos identificados en el presente Reglamento, dichos prestadores también deben centrarse en la información que no sea ilícita, pero que contribuya a los riesgos sistémicos identificados en el presente Reglamento. Por consiguiente, dichos prestadores deben dedicar especial atención a cómo se utilizan sus servicios para difundir o amplificar contenidos incorrectos o engañosos, incluida la desinformación. Cuando la amplificación algorítmica de la información contribuya a los riesgos sistémicos, dichos prestadores deben reflejarlo debidamente en sus evaluaciones de riesgos. Cuando los riesgos estén localizados o existan diferencias lingüísticas, dichos prestadores también deben tenerlo en cuenta en sus evaluaciones de riesgos. Los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño deben evaluar, en particular, cómo contribuyen a tales riesgos el diseño y el funcionamiento de su servicio, así como la manipulación intencionada y, a menudo, coordinada y el uso de sus servicios, o la infracción sistémica de sus condiciones generales de servicio. Estos riesgos pueden derivarse, por ejemplo, del uso no auténtico del servicio, como la creación de cuentas falsas, el uso de bots o el uso engañoso de un servicio, y otros comportamientos total o parcialmente automatizados, que pueden dar lugar a la difusión rápida y extendida de información al público que sea un contenido ilícito o incompatible con las condiciones generales de una plataforma en línea o un motor de búsqueda en línea y que contribuya a campañas de desinformación.

(85) Con el fin de hacer posible que las evaluaciones de riesgos posteriores se completen mutuamente y muestren la evolución de los riesgos detectados, así como para facilitar las investigaciones y las medidas de ejecución, los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño deben conservar todos los documentos justificativos relativos a las evaluaciones de riesgos que hayan llevado a cabo, como la información relativa a su preparación, los datos subyacentes y los datos sobre la realización de pruebas de sus sistemas algorítmicos.

(86) Los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño deben desplegar los medios necesarios para reducir diligentemente los riesgos sistémicos determinados en las evaluaciones de riesgos, respetando los derechos fundamentales. Cualquier medida que se adopte debe respetar los requisitos de diligencia debida del presente Reglamento y ser eficaz y apropiada para reducir los riesgos sistémicos específicos detectados. Deben ser proporcionadas a la luz de la capacidad económica del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño y de la necesidad de evitar restricciones innecesarias al uso de su servicio, teniendo debidamente en cuenta los posibles efectos negativos en dichos derechos fundamentales. Dichos prestadores deben dedicar especial atención al impacto en la libertad de expresión.

(87) Los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño deben considerar, entre esas medidas de mitigación, por ejemplo, la adaptación de cualquier diseño, característica o funcionamiento necesario de su servicio, como el diseño de la interfaz en línea. Deben adaptar y aplicar sus condiciones generales, según sea necesario y de conformidad con las normas del presente Reglamento relativas a las condiciones generales. Otras medidas adecuadas podrían incluir la adaptación de sus sistemas de moderación de contenidos y procesos internos o la adaptación de sus procesos y recursos de toma de decisiones, incluido el personal de moderación de contenidos, su formación y su experiencia local. Esto afecta, en particular, a la rapidez y la calidad del tratamiento de las notificaciones. A este respecto, por ejemplo, el Código de conducta para la lucha contra la incitación ilegal al odio en internet de 2016 establece un punto de referencia para tratar notificaciones válidas para la eliminación de la incitación ilegal al odio en menos de 24 horas. Los prestadores de plataformas en línea de muy gran tamaño, en particular las utilizadas principalmente para la difusión al público de contenidos pornográficos, deben cumplir con diligencia todas sus obligaciones en virtud del presente Reglamento en lo que respecta a los contenidos ilícitos que constituyen ciberviolencia, incluidos los contenidos pornográficos ilícitos, especialmente en lo que se refiere a garantizar que las víctimas puedan ejercer eficazmente sus derechos en relación con contenidos que representen el intercambio no consensuado de material íntimo o manipulado mediante el tratamiento rápido de notificaciones y la retirada de dichos contenidos sin dilación indebida. Otros tipos de contenidos ilícitos pueden requerir plazos más largos o más cortos para el tratamiento de las notificaciones, que dependerán de los hechos, las circunstancias y los tipos de contenidos ilícitos de que se trate. Dichos prestadores también pueden iniciar o aumentar la cooperación con alertadores fiables y organizar sesiones de formación e intercambios con organizaciones de alertadores fiables.

(88) Los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño también deben ser diligentes en las medidas que adopten para probar y, en caso necesario, adaptar sus sistemas algorítmicos, en particular sus sistemas de recomendación. Pueden tener que mitigar los efectos negativos de las recomendaciones personalizadas y corregir los criterios utilizados en sus recomendaciones. Los sistemas publicitarios utilizados por los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño pueden ser, asimismo, un catalizador de riesgos sistémicos. Dichos prestadores deben también sopesar medidas correctoras, como suspender la recaudación de ingresos por publicidad de información específica, u otro tipo de medidas, como mejorar la visibilidad de fuentes autorizadas de información, o de forma más estructural adaptar sus sistemas publicitarios. Los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño pueden tener que reforzar sus procesos internos o la supervisión de cualquiera de sus actividades, en particular en lo que respecta a la detección de riesgos sistémicos, y llevar a cabo evaluaciones de riesgos más frecuentes o específicas relacionadas con nuevas funciones. En particular, cuando los riesgos se compartan entre plataformas en línea o motores de búsqueda en línea diferentes, deben colaborar con otros prestadores de servicios, por ejemplo, mediante la adopción de nuevos códigos de conducta o la suscripción a los ya existentes, u otras medidas de autorregulación. También deben sopesar medidas de concienciación, en especial cuando los riesgos estén relacionados con campañas de desinformación.

(89) Los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño deben tener en cuenta el interés superior de los menores a la hora de adoptar medidas como adaptar el diseño de su servicio y su interfaz en línea, en especial cuando sus servicios se dirijan principalmente a menores o sean utilizados predominantemente por ellos. Deben velar por que sus servicios se organicen de manera que permitan a los menores acceder fácilmente a los mecanismos previstos en el presente Reglamento, cuando proceda, incluidos los mecanismos de notificación, acción y reclamación. También deben adoptar medidas a fin de proteger a los menores de contenidos que puedan perjudicar su desarrollo físico, mental o moral y proporcionar herramientas que permitan el acceso condicional a dicha información. Al seleccionar las medidas de mitigación adecuadas, los prestadores pueden tener en cuenta, cuando proceda, las mejores prácticas del sector, en particular las establecidas mediante la cooperación en materia de autorregulación, como los códigos de conducta, y deben tener en cuenta las directrices de la Comisión.

(90) Los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño deben garantizar que su enfoque de la evaluación y reducción de riesgos se basa en la mejor información disponible y los mejores conocimientos científicos, y que prueban sus hipótesis con los grupos más afectados por los riesgos y las medidas que adopten. A tal efecto, deben realizar sus evaluaciones de riesgos y diseñar sus medidas de reducción del riesgo contando con la participación de representantes de los destinatarios del servicio, representantes de grupos potencialmente afectados por sus servicios, expertos independientes y organizaciones de la sociedad civil. Deben tratar de integrar dichas consultas en sus metodologías de evaluación de riesgos y de diseño de medidas de reducción, incluidas, en su caso, encuestas, grupos de discusión, mesas redondas y otros métodos de consulta y diseño. Al evaluar si una medida es razonable, proporcionada y efectiva, debe prestarse especial atención al derecho a la libertad de expresión.

(91) En tiempos de crisis puede ser necesario que los prestadores de plataformas en línea de muy gran tamaño adopten con urgencia determinadas medidas específicas, además de las medidas que adoptarían en vista de sus otras obligaciones en virtud del presente Reglamento. A este respecto, debe considerarse que se produce una crisis cuando se producen circunstancias extraordinarias que pueden dar lugar a una amenaza grave para la seguridad pública o la salud pública en la Unión o en partes significativas de la Unión. Estas crisis podrían derivarse de conflictos armados o actos de terrorismo, incluidos los conflictos o actos de terrorismo emergentes, las catástrofes naturales como terremotos y huracanes, así como las pandemias y otras amenazas transfronterizas graves para la salud pública. La Comisión debe poder exigir a los prestadores de plataformas en línea de muy gran tamaño y a los prestadores de motores de búsqueda en línea de muy gran tamaño, previa recomendación de la Junta Europea de Servicios Digitales (en lo sucesivo, «Junta»), que inicien urgentemente una respuesta a la crisis. Las medidas que dichos prestadores pueden determinar y considerar aplicar pueden incluir, por ejemplo, la adaptación de los procesos de moderación de contenidos y el aumento de los recursos dedicados a la moderación de contenidos, la adaptación de las condiciones generales, los sistemas algorítmicos pertinentes y los sistemas publicitarios, la intensificación de la cooperación con los alertadores fiables, la adopción de medidas de concienciación y la promoción de información fiable y la adaptación del diseño de sus interfaces en línea. Deben establecerse los requisitos necesarios al objeto de garantizar que dichas medidas se adopten en un plazo muy breve y que el mecanismo de respuesta a las crisis solo se utilice cuando y en la medida en que sea estrictamente necesario y que cualquier medida adoptada en el marco de este mecanismo sea eficaz y proporcionada, teniendo debidamente en cuenta los derechos e intereses legítimos de todas las partes afectadas. El uso del mecanismo debe entenderse sin perjuicio de las demás disposiciones del presente Reglamento, como las relativas a las evaluaciones de riesgos y las medidas de reducción y su aplicación, así como las relativas a los protocolos de crisis.

(92) Dada la necesidad de garantizar la comprobación por expertos independientes, los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño deben rendir cuentas, mediante auditorías independientes, del cumplimiento de las obligaciones establecidas en el presente Reglamento y, cuando sea pertinente, de cualquier compromiso complementario adquirido de conformidad con códigos de conducta y protocolos de crisis. A fin de garantizar que las auditorías se lleven a cabo de manera eficaz, eficiente y en tiempo oportuno, los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño deben facilitar la cooperación y la asistencia necesarias a las organizaciones que llevan a cabo las auditorías, en particular dando acceso al auditor a todos los datos y locales pertinentes necesarios para realizar la auditoría debidamente, incluidos, cuando proceda, los datos relacionados con los sistemas algorítmicos, y respondiendo a preguntas orales o escritas. Los auditores también deben poder recurrir a otras fuentes de información objetiva, como estudios de investigadores autorizados. Los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño no deben dificultar la realización de la auditoría. Las auditorías deben llevarse a cabo con arreglo a las mejores prácticas del sector y a una ética y objetividad profesionales elevadas, teniendo debidamente en cuenta, según proceda, las normas y los códigos de prácticas de auditoría. Los auditores deben garantizar la confidencialidad, seguridad e integridad de la información, como secretos comerciales, que obtengan en el desempeño de sus funciones. Esta garantía no debe servir para eludir la aplicabilidad de las obligaciones de auditoría del presente Reglamento. Los auditores deben tener los conocimientos necesarios en materia de gestión de riesgos y competencia técnica para auditar algoritmos. Deben ser independientes, para poder realizar sus funciones de manera adecuada y fiable. Deben cumplir los requisitos básicos de independencia para la prohibición de los servicios ajenos a la auditoría, la rotación de sociedades y los honorarios no contingentes. Si su independencia y competencia técnica no están fuera de toda duda, deben dimitir o abstenerse de participar en la auditoría.

(93) El informe de auditoría debe estar fundamentado, de modo que ofrezca un relato coherente de las actividades realizadas y las conclusiones alcanzadas. Debe contribuir a informar y, en su caso, inspirar mejoras de las medidas adoptadas por los prestadores de la plataforma en línea de muy gran tamaño y del motor de búsqueda en línea de muy gran tamaño para cumplir con sus obligaciones en virtud del presente Reglamento. Tras la recepción del informe de auditoría, este debe transmitirse al coordinador de servicios digitales de establecimiento, a la Comisión y a la Junta. Los prestadores también deben transmitir cuando se hayan completado sin dilación indebida cada uno de los informes sobre la evaluación de riesgos y las medidas de reducción del riesgo, así como el informe de aplicación de la auditoría del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño que muestre cómo han abordado las recomendaciones de la auditoría. El informe de auditoría debe incluir un dictamen de auditoría basado en las conclusiones extraídas a partir de los datos fehacientes obtenidos en la auditoría. Debe dictarse un «dictamen favorable» cuando todos los datos demuestren que el prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño cumple con las obligaciones establecidas en el presente Reglamento o bien, en su caso, cualquier compromiso que haya adquirido de conformidad con un código de conducta o un protocolo de crisis, en particular mediante la determinación, la evaluación y la reducción de los riesgos sistémicos generados por su sistema y sus servicios. Un «dictamen favorable» debe ir acompañado de observaciones cuando el auditor desee incluir comentarios que no tengan efectos importantes sobre el resultado de la auditoría. Debe dictarse un «dictamen negativo» cuando el auditor considere que el prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño no cumple con el presente Reglamento o con los compromisos adquiridos. Cuando el dictamen de auditoría no haya podido llegar a una conclusión sobre elementos concretos comprendidos dentro del ámbito de la auditoría, debe incluirse en dicho dictamen una explicación de los motivos por los que no se llegó a una conclusión. En su caso, el informe debe incluir una descripción de los elementos concretos que no pudieron auditarse, y una explicación de por qué fue así.

(94) Las obligaciones en materia de evaluación y reducción de riesgos deben desencadenar, en función de cada caso, la necesidad de que los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño evalúen y, en caso necesario, adapten el diseño de sus sistemas de recomendación, por ejemplo adoptando medidas para evitar o minimizar los sesgos que den lugar a la discriminación de personas en situaciones vulnerables, en particular cuando dicha adaptación sea conforme con el Derecho en materia de protección de datos y cuando la información esté personalizada sobre la base de categorías especiales de datos personales a que se refiere el artículo 9 del Reglamento (UE) 2016/679. Además, y como complemento de las obligaciones de transparencia aplicables a las plataformas en línea en lo que respecta a sus sistemas de recomendación, los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño deben garantizar sistemáticamente que los destinatarios de su servicio disfruten de opciones alternativas que no se basen en la elaboración de perfiles, en el sentido del Reglamento (UE) 2016/679, para los parámetros principales de sus sistemas de recomendación. Estas opciones deben ser directamente accesibles desde la interfaz en línea en la que se presentan las recomendaciones.

(95) Los sistemas publicitarios utilizados por las plataformas en línea de muy gran tamaño y los motores de búsqueda en línea de muy gran tamaño entrañan especiales riesgos y requieren supervisión pública y reguladora adicional debido a su escala y capacidad para dirigirse y llegar a los destinatarios del servicio en función de su comportamiento dentro y fuera de la interfaz en línea de dicha plataforma o motor de búsqueda. Las plataformas en línea de muy gran tamaño y los motores de búsqueda en línea de muy gran tamaño deben garantizar el acceso público a los repositorios de anuncios publicitarios presentados en sus interfaces en línea para facilitar la supervisión y la investigación de los riesgos emergentes generados por la distribución de publicidad en línea, por ejemplo en relación con anuncios ilícitos o técnicas manipulativas y desinformación con efectos negativos reales y previsibles para la salud pública, la seguridad pública, el discurso civil, la participación política y la igualdad. Los repositorios deben incluir el contenido de los anuncios publicitarios, incluido el nombre del producto, servicio o marca y el contenido del anuncio, y datos conexos sobre el anunciante y, si fuera diferente, la persona física o jurídica que pagó el anuncio, y sobre la difusión del anuncio, especialmente en lo que respecta a la publicidad personalizada. Esta información debe contener tanto información sobre los criterios de personalización como sobre los criterios de difusión, en particular cuando los anuncios estén dirigidos a personas en situaciones vulnerables, como los menores.

(96) A fin de vigilar y evaluar debidamente el cumplimiento por parte de las plataformas en línea de muy gran tamaño y de los motores de búsqueda en línea de muy gran tamaño de las obligaciones establecidas en el presente Reglamento, el coordinador de servicios digitales de establecimiento o la Comisión pueden requerir acceso o informes relativos a datos específicos, incluidos los datos relacionados con algoritmos. Este requerimiento puede incluir, por ejemplo, los datos necesarios para evaluar los riesgos y posibles perjuicios generados por los sistemas de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño, datos sobre la precisión, el funcionamiento y la realización de pruebas de los sistemas algorítmicos de moderación de contenidos, sistemas de recomendación o sistemas publicitarios, en particular, cuando corresponda, datos de entrenamiento y algoritmos, o datos sobre procesos y resultados de moderación de contenidos o de los sistemas internos de gestión de reclamaciones en el sentido del presente Reglamento. Dichas solicitudes de acceso a los datos no deben incluir las solicitudes que piden información específica sobre los destinatarios individuales del servicio a efectos de determinar si dichos destinatarios cumplen otras normas de Derecho de la Unión o nacional aplicable. Las investigaciones sobre la evolución y la gravedad de los riesgos sistémicos en línea son especialmente importantes para compensar asimetrías de información y establecer un sistema resiliente de reducción de riesgos, con información para los prestadores de plataformas en línea, los prestadores de motores de búsqueda en línea, los coordinadores de servicios digitales, otras autoridades competentes, la Comisión y el público.

(97) Por consiguiente, el presente Reglamento establece un marco para exigir a las plataformas en línea de muy gran tamaño y a los motores de búsqueda en línea de muy gran tamaño que faciliten el acceso a los datos a los investigadores autorizados afiliados a un organismo de investigación tal como se define en el artículo 2 de la Directiva (UE) 2019/790, que puede incluir, a efectos del presente Reglamento, a organizaciones de la sociedad civil que estén llevando a cabo investigaciones científicas con el objetivo principal de apoyar su misión de interés público. Todos los requisitos relativos al acceso a los datos en virtud de dicho marco deben ser proporcionados y proteger debidamente los derechos e intereses legítimos, como la protección de los datos personales, los secretos comerciales y otra información confidencial, de la plataforma en línea de muy gran tamaño o el motor de búsqueda en línea de muy gran tamaño y de cualquier otra parte afectada, incluidos los destinatarios del servicio. No obstante, para garantizar la consecución del objetivo del presente Reglamento, la consideración de los intereses comerciales de los prestadores no debe dar lugar a una denegación de acceso a los datos necesarios para el objetivo específico de investigación con arreglo a una solicitud en virtud del presente Reglamento. A este respecto, sin perjuicio de lo dispuesto en la Directiva (UE) 2016/943 del Parlamento Europeo y del Consejo (32), los prestadores deben garantizar un acceso adecuado a los investigadores, también, cuando sea necesario, adoptando protecciones técnicas, por ejemplo, a través de espacios de datos. Las solicitudes de acceso a los datos podrían comprender, por ejemplo, el número de visualizaciones o, en su caso, otros tipos de acceso a contenidos por parte de los destinatarios del servicio antes de su retirada por el prestador de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño.

(98) Además, cuando los datos sean de acceso público, dichos prestadores no deben impedir que los investigadores que cumplan un subconjunto de criterios apropiado hagan uso de estos datos con fines de investigación que contribuyan a la detección, determinación y comprensión de los riesgos sistémicos. Deben proporcionar acceso a dichos investigadores, incluso, cuando sea técnicamente posible, en tiempo real, a los datos de acceso público, por ejemplo, sobre interacciones agregadas con contenidos procedentes de páginas públicas, grupos públicos o personalidades públicas, incluidos datos sobre impresión e interacción, como el número de reacciones, de veces que se ha compartido y de comentarios de los destinatarios del servicio. Debe alentarse a los prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño a cooperar con los investigadores y a facilitar un acceso más amplio a los datos para hacer un seguimiento de las preocupaciones de la sociedad a través de esfuerzos voluntarios, en particular mediante compromisos y procedimientos acordados en el marco de códigos de conducta o protocolos de crisis. Esos prestadores y los investigadores han de dedicar especial atención a la protección de los datos personales y velar por que todo tratamiento de datos personales cumpla lo dispuesto en el Reglamento (UE) 2016/679. Los prestadores deben anonimizar o seudonimizar los datos personales, excepto en aquellos casos que hagan imposible el objetivo de investigación que se persigue.

(99) Dada la complejidad del funcionamiento de los sistemas desplegados y los riesgos sistémicos que entrañan para la sociedad, los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño deben establecer una función de cumplimiento, que debe ser independiente de las funciones operativas de esos prestadores. El jefe de la función de cumplimiento debe informar directamente a la dirección de esos prestadores, también en lo que respecta a las dudas relativas al incumplimiento del presente Reglamento. Los encargados del cumplimiento que formen parte de la función de cumplimiento deben poseer la cualificación, la experiencia, la capacidad y los conocimientos necesarios para poner en práctica medidas y vigilar el cumplimiento del presente Reglamento en la organización de los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño. Los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño deben asegurarse de que la función de cumplimiento está integrada, de manera apropiada y oportuna, en todas las cuestiones que se refieren al presente Reglamento, en particular en la evaluación de riesgos, en la estrategia de reducción y en las medidas específicas, y en la evaluación del cumplimiento, en su caso, de los compromisos que hayan contraído esos prestadores en virtud de los códigos de conducta y protocolos de crisis a los que se hayan adherido.

(100) En vista de los riesgos adicionales relacionados con sus actividades y sus obligaciones adicionales en virtud del presente Reglamento, deben aplicarse requisitos de transparencia adicionales específicamente a las plataformas en línea de muy gran tamaño y a los motores de búsqueda en línea de muy gran tamaño, en especial para informar de forma exhaustiva sobre las evaluaciones de riesgos realizadas y las medidas consiguientes adoptadas según lo establecido en el presente Reglamento.

(101) La Comisión debe disponer de todos los recursos necesarios en cuanto a personal, competencia y medios financieros para el cumplimiento de sus misiones en virtud del presente Reglamento. A fin de garantizar la disponibilidad de los recursos necesarios para una supervisión adecuada a escala de la Unión en virtud del presente Reglamento, y teniendo en cuenta que los Estados miembros deben estar facultados para cobrar a los prestadores establecidos en su territorio una tasa de supervisión en relación con las funciones de supervisión y ejecución ejercidas por sus autoridades, la Comisión debe cobrar una tasa de supervisión, cuyo nivel debe establecerse anualmente, a las plataformas en línea de muy gran tamaño y los motores de búsqueda en línea de muy gran tamaño. El importe global de la tasa anual de supervisión cobrada debe establecerse sobre la base del importe global de los costes en que incurra la Comisión para ejercer sus funciones de supervisión en virtud del presente Reglamento, según una estimación previa razonable. Dicho importe debe comprender los costes relacionados con el ejercicio de las competencias y tareas específicas de supervisión, investigación, ejecución y seguimiento respecto de los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño, incluidos los costes relacionados con la designación de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño o con la creación, el mantenimiento y el funcionamiento de las bases de datos previstas en el presente Reglamento.

También debe incluir los costes relacionados con la creación, el mantenimiento y el funcionamiento de la infraestructura de información e institucional básica para la cooperación entre los coordinadores de servicios digitales, la Junta y la Comisión, teniendo en cuenta que, dado su tamaño y su alcance, las plataformas en línea de muy gran tamaño y los motores de búsqueda en línea de muy gran tamaño tienen un impacto significativo en los recursos necesarios para apoyar dicha infraestructura. La estimación de los costes globales debe tener en cuenta los costes de supervisión soportados el año anterior, incluidos, en su caso, los costes que superen las tasas anuales de supervisión individuales cobradas en el año anterior. Los ingresos afectados externos resultantes de las tasas anuales de supervisión podrían utilizarse para financiar recursos humanos adicionales, como agentes contractuales y expertos nacionales en comisión de servicios, y otros gastos relacionados con el desempeño de las tareas encomendadas a la Comisión por el presente Reglamento. La tasa anual de supervisión que debe cobrarse a los prestadores de plataformas en línea de muy gran tamaño y motores de búsqueda en línea de muy gran tamaño ha de ser proporcional al tamaño del servicio, reflejado en el número de destinatarios del servicio activos en la Unión. Además, la tasa anual de supervisión individual no debe superar un límite máximo global para cada prestador de plataformas en línea de muy gran tamaño o de motor de búsqueda en línea de muy gran tamaño, teniendo en cuenta la capacidad económica del prestador de los correspondientes servicios.

(102) Para facilitar la aplicación efectiva y coherente de las obligaciones establecidas en el presente Reglamento que pueda precisar su ejecución por medios tecnológicos, es importante promover normas voluntarias que comprendan determinados procedimientos técnicos, de modo que la industria pueda colaborar al desarrollo de medios normalizados para apoyar a los prestadores de servicios intermediarios en el cumplimiento del presente Reglamento, como permitir el envío de notificaciones, por ejemplo a través de interfaces de programación de aplicaciones, normas relacionadas con las condiciones generales o normas relacionadas con las auditorías, o normas relacionadas con la interoperabilidad de los repositorios de anuncios publicitarios. Además, dichas normas podrían incluir normas relativas a la publicidad en línea, los sistemas de recomendación, la accesibilidad y la protección de los menores en línea. Los prestadores de servicios intermediarios tienen libertad para adoptar las normas, pero su adopción no presupone el cumplimiento del presente Reglamento. Al mismo tiempo, al establecer las mejores prácticas, dichas normas podrían ser especialmente útiles para los prestadores de servicios intermediarios relativamente pequeños. Las normas podrían distinguir entre distintos tipos de contenidos ilícitos o distintos tipos de servicios intermediarios, según corresponda.

(103) La Comisión y la Junta deben fomentar la elaboración de códigos de conducta voluntarios, así como la aplicación de las disposiciones de esos códigos, a fin de contribuir a la aplicación del presente Reglamento. La Comisión y la Junta deben procurar que los códigos de conducta definan claramente la naturaleza de los objetivos de interés público que se persiguen, que contengan mecanismos para la evaluación independiente de la consecución de estos objetivos, y que presenten una definición clara de la función de las autoridades competentes. Debe prestarse especial atención a evitar efectos negativos en la seguridad, la protección de la privacidad y los datos personales, así como a la prohibición de imponer obligaciones generales de monitorización. Aunque la aplicación de los códigos de conducta debe ser medible y estar sujeta a supervisión pública, ello no debe afectar al carácter voluntario de dichos códigos y a la libertad de los interesados para decidir si desean participar. En determinadas circunstancias, es importante que las plataformas en línea de muy gran tamaño cooperen en la elaboración de códigos de conducta específicos y se adhieran a ellos. Nada de lo dispuesto en el presente Reglamento impide que otros prestadores de servicios se adhieran a las mismas normas de diligencia debida, adopten buenas prácticas y se beneficien de las directrices proporcionadas por la Comisión y la Junta, mediante su participación en los mismos códigos de conducta.

(104) Es apropiado que el presente Reglamento señale determinados aspectos para que se tomen en consideración en dichos códigos de conducta. En particular, deben explorarse medidas de reducción de riesgos relativas a tipos concretos de contenidos ilícitos a través de acuerdos de autorregulación y corregulación. Otro aspecto que debe tomarse en consideración son las posibles repercusiones negativas de los riesgos sistémicos para la sociedad y la democracia, como la desinformación o las actividades manipulativas y abusivas, o cualquier efecto adverso para los menores. Esto incluye operaciones coordinadas dirigidas a amplificar información, incluida la desinformación, como el uso de bots y cuentas falsas para generar información deliberadamente incorrecta o engañosa, a veces con el fin de obtener un beneficio económico, que son especialmente nocivas para destinatarios del servicio vulnerables, como los menores. En relación con estos aspectos, la adhesión de una plataforma en línea de muy gran tamaño o de un motor de búsqueda en línea de muy gran tamaño a un determinado código de conducta y su cumplimiento puede considerarse una medida apropiada de reducción de riesgos. La negativa de un prestador de una plataforma en línea o de un motor de búsqueda en línea a participar en la aplicación de un código de conducta de esta índole a invitación de la Comisión, sin explicaciones adecuadas, podría tenerse en cuenta, cuando sea pertinente, a la hora de determinar si la plataforma en línea o el motor de búsqueda en línea ha incumplido las obligaciones establecidas en el presente Reglamento. El mero hecho de participar en un código de conducta determinado y aplicarlo no debe presuponer por sí mismo el cumplimiento del presente Reglamento.

(105) Los códigos de conducta deben facilitar la accesibilidad de las plataformas en línea de muy gran tamaño y los motores de búsqueda en línea de muy gran tamaño, de conformidad con el Derecho de la Unión y nacional, a fin de facilitar su uso previsible por las personas con discapacidad. En particular, los códigos de conducta podrían garantizar que la información se presente de forma perceptible, funcional, comprensible y sólida y que los formularios y las medidas facilitados en virtud del presente Reglamento estén disponibles de manera fácil de localizar y accesible para las personas con discapacidad.

(106) Las disposiciones del presente Reglamento relativas a los códigos de conducta podrían servir de base para iniciativas de autorregulación ya establecidas a escala de la Unión, como el compromiso de seguridad con los productos, el memorando de entendimiento sobre la venta de productos falsificados a través de internet, el Código de conducta para la lucha contra la incitación ilegal al odio en internet, y el Código de buenas prácticas en materia de desinformación. En particular en relación con este último, a raíz de las orientaciones de la Comisión, el Código de buenas prácticas en materia de desinformación ha sido reforzado como se anunció en el Plan de Acción para la Democracia Europea.

(107) En la publicidad en línea generalmente intervienen varios actores, incluidos los servicios intermediarios que conectan a los publicistas con los anunciantes. Los códigos de conducta deben apoyar y complementar las obligaciones de transparencia relativas a la publicidad para los prestadores de plataformas en línea, de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño establecidas en el presente Reglamento a fin de establecer unos mecanismos flexibles y eficaces para facilitar y potenciar el cumplimiento de dichas obligaciones, en particular en lo que se refiere a las modalidades de transmisión de la información pertinente. Esto debe incluir facilitar la transmisión de la información sobre el anunciante que paga el anuncio publicitario cuando difiere de la persona física o jurídica en cuyo nombre se presenta el anuncio en la interfaz en línea de una plataforma en línea. Los códigos de conducta también deben incluir medidas para garantizar que la información significativa sobre la monetización de los datos se comparta adecuadamente a lo largo de toda la cadena de valor. La participación de una gran variedad de partes interesadas debe garantizar que dichos códigos de conducta cuenten con un amplio apoyo, sean técnicamente sólidos y eficaces, y ofrezcan niveles máximos de facilidad en el manejo para garantizar que las obligaciones de transparencia cumplan sus objetivos. A fin de garantizar la eficacia de los códigos de conducta, la Comisión debe incluir mecanismos de evaluación en la elaboración de los códigos de conducta. Cuando sea conveniente, la Comisión puede invitar a la Agencia de los Derechos Fundamentales o al Supervisor Europeo de Protección de Datos a expresar sus opiniones sobre el código de conducta correspondiente.

(108) Además del mecanismo de respuesta a las crisis para las plataformas en línea de muy gran tamaño y motores de búsqueda en línea de muy gran tamaño, la Comisión puede iniciar la elaboración de protocolos de crisis voluntarios para coordinar una respuesta rápida, colectiva y transfronteriza en el entorno en línea. Este puede ser el caso, por ejemplo, cuando las plataformas en línea se utilizan de forma indebida para propagar rápidamente contenidos ilícitos o desinformación, o bien cuando surja la necesidad de difundir rápidamente información fiable. En vista del importante papel que desempeñan las plataformas en línea de muy gran tamaño en la difusión de información en nuestras sociedades y a través de las fronteras, debe animarse a los prestadores de dichas plataformas a elaborar y aplicar protocolos de crisis específicos. Dichos protocolos de crisis solo deben activarse durante un período limitado y las medidas adoptadas también deben limitarse a lo estrictamente necesario para hacer frente a la circunstancia extraordinaria. Esas medidas deben ser coherentes con el presente Reglamento, y no deben suponer una obligación general para los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño participantes de monitorizar la información que transmiten o almacenan, ni de buscar activamente hechos o circunstancias que indiquen contenidos ilícitos.

(109) A fin de garantizar una supervisión y ejecución adecuadas de las obligaciones establecidas en el presente Reglamento, los Estados miembros deben designar al menos a una autoridad que se encargue de supervisar su aplicación y ejecutar el presente Reglamento, sin perjuicio de la posibilidad de designar a una autoridad ya existente ni de su forma jurídica de acuerdo con el Derecho nacional. No obstante, los Estados miembros deben poder encomendar a más de una autoridad competente el desempeño de determinadas funciones y competencias de supervisión o ejecución relativas a la aplicación del presente Reglamento, por ejemplo para sectores concretos en los que pueda asimismo facultarse a autoridades ya existentes, como los reguladores de comunicaciones electrónicas, los reguladores de medios de comunicación o las autoridades de protección de los consumidores, que reflejen su estructura constitucional, organizativa y administrativa nacional. En el ejercicio de sus funciones, todas las autoridades competentes deben contribuir a la consecución de los objetivos del presente Reglamento, a saber, el correcto funcionamiento del mercado interior de servicios intermediarios en el que las normas armonizadas para un entorno en línea seguro, predecible y fiable establecidas que facilite la innovación, y en particular, las obligaciones de diligencia debida aplicables a las diferentes categorías de prestadores de servicios intermediarios, se supervisen y apliquen realmente con el fin de garantizar la protección efectiva de los derechos fundamentales amparados por la Carta, incluido el principio de protección de los consumidores. El presente Reglamento no exige a los Estados miembros que confieran a las autoridades competentes la tarea de pronunciarse sobre la legalidad de elementos específicos del contenido.

(110) Dada la naturaleza transfronteriza de los servicios en cuestión y la horizontalidad de las obligaciones que introduce el presente Reglamento, una autoridad encargada de supervisar la aplicación y, en su caso, ejecución del presente Reglamento debe identificarse como coordinador de servicios digitales en cada Estado miembro. Cuando se designe a más de una autoridad competente para supervisar la aplicación y ejecutar el presente Reglamento, solo una autoridad de dicho Estado miembro debe ser designada como coordinador de servicios digitales. El coordinador de servicios digitales debe actuar como punto único de contacto con respecto a todos los asuntos relacionados con la aplicación del presente Reglamento para la Comisión, la Junta, los coordinadores de servicios digitales de otros Estados miembros y otras autoridades competentes del Estado miembro de que se trate. En particular, cuando se encomiende a varias autoridades competentes el desempeño de funciones establecidas en el presente Reglamento en un determinado Estado miembro, el coordinador de servicios digitales debe coordinarse y cooperar con esas autoridades de conformidad con el Derecho nacional que establezca sus funciones respectivas, y sin perjuicio de la evaluación independiente de las otras autoridades competentes. El coordinador de servicios digitales debe garantizar la participación efectiva de todas las autoridades competentes pertinentes e informar a su debido tiempo sobre su evaluación en el contexto de la cooperación en materia de supervisión y garantía del cumplimiento a escala de la Unión, sin que ello implique una superioridad jerárquica sobre otras autoridades competentes en el ejercicio de sus funciones. Asimismo, además de los mecanismos específicos previstos en el presente Reglamento en lo que respecta a la cooperación a escala de la Unión, los Estados miembros también deben garantizar la cooperación entre el coordinador de servicios digitales y otras autoridades competentes designadas a nivel nacional, en su caso, a través de instrumentos adecuados, como la puesta en común de recursos, grupos de trabajo conjuntos, investigaciones conjuntas y mecanismos de asistencia mutua.

(111) El coordinador de servicios digitales, así como otras autoridades competentes designadas en virtud del presente Reglamento, desempeñan un papel crucial para garantizar la efectividad de los derechos y obligaciones establecidos en el presente Reglamento y el cumplimiento de sus objetivos. En consecuencia, es necesario garantizar que dichas autoridades dispongan de los medios necesarios, incluidos los recursos financieros y humanos, para supervisar a todos los prestadores de servicios intermediarios que estén bajo su competencia, en interés de todos los ciudadanos de la Unión. Dada la variedad de prestadores de servicios intermediarios y el uso que hacen de tecnologías avanzadas a la hora de prestar sus servicios, también es esencial que el coordinador de servicios digitales y las autoridades competentes cuenten con el volumen necesario de personal y expertos con competencias especializadas y medios técnicos avanzados y que gestionen de forma autónoma los recursos financieros para desempeñar sus tareas. Además, el nivel de recursos debe tener en cuenta el tamaño, la complejidad y el posible impacto social de los prestadores de servicios intermediarios que estén bajo su competencia, así como el alcance de sus servicios en toda la Unión. El presente Reglamento se entiende sin perjuicio de la posibilidad de que los Estados miembros establezcan mecanismos de financiación basados en una tasa de supervisión cobrada a los prestadores de servicios intermediarios en virtud del Derecho nacional en cumplimiento del Derecho de la Unión, en la medida en que se imponga a los prestadores de servicios intermediarios que tengan su establecimiento principal en el Estado miembro de que se trate, que se limite estrictamente a lo necesario y proporcionado para cubrir los costes del desempeño de las funciones atribuidas a las autoridades competentes en virtud del presente Reglamento, con exclusión de las tareas atribuidas a la Comisión, y que se garantice una transparencia adecuada en lo que respecta a la percepción y el uso de dicha tasa de supervisión.

(112) Dichas autoridades competentes designadas en virtud del presente Reglamento también deben actuar con completa independencia de organismos públicos y privados, sin obligación o posibilidad de solicitar o recibir instrucciones, ni siquiera del Gobierno, y sin perjuicio de los deberes específicos de cooperación con otras autoridades competentes, con los coordinadores de servicios digitales, con la Junta y con la Comisión. Por otra parte, la independencia de estas autoridades no debe suponer que no puedan someterse, de conformidad con las constituciones nacionales y sin poner en peligro el cumplimiento de los objetivos del presente Reglamento, a mecanismos proporcionados de rendición de cuentas en lo que respecta a las actividades generales del coordinador de servicios digitales, como su gasto financiero o la presentación de información a los Parlamentos nacionales. El requisito de independencia tampoco debe impedir el ejercicio del control judicial o la posibilidad de consultar a otras autoridades nacionales o de intercambiar puntos de vista periódicamente con ellas, incluidas las autoridades policiales, de gestión de crisis o de protección de los consumidores, en su caso, al objeto de intercambiar información sobre investigaciones en curso, sin que ello afecte al ejercicio de sus competencias respectivas.

(113) Los Estados miembros pueden designar a una autoridad nacional ya existente que desempeñe la función de coordinador de servicios digitales, o que tenga funciones específicas para supervisar la aplicación y ejecutar el presente Reglamento, siempre que dicha autoridad designada cumpla los requisitos establecidos en el presente Reglamento, por ejemplo, en lo que respecta a su independencia. Además, nada impide a los Estados miembros combinar funciones en una autoridad existente, de conformidad con el Derecho de la Unión. Las medidas que se adopten a tal efecto pueden incluir, entre otras cosas, la imposibilidad de cesar al presidente o a un miembro de la dirección de un órgano colegiado de una autoridad existente antes de que finalice su mandato, por el único motivo de que se haya realizado una reforma institucional que implique la combinación de diferentes funciones en una sola autoridad, a falta de normas que garanticen que esta clase de ceses no pongan en peligro la independencia e imparcialidad de tales miembros.

(114) Los Estados miembros deben proporcionar al coordinador de servicios digitales, y a cualquier otra autoridad competente designada en virtud del presente Reglamento, competencias y medios suficientes para garantizar una investigación y ejecución eficaces, de conformidad con las tareas que se les encomienden. Esto incluye la facultad de las autoridades competentes de adoptar medidas cautelares de conformidad con el Derecho nacional en caso de riesgo de perjuicios graves. Tales medidas cautelares, que pueden incluir órdenes de poner fin a una presunta infracción o de subsanarla, no deben ir más allá de lo necesario para garantizar que se evita el perjuicio grave a la espera de la decisión definitiva. En particular, los coordinadores de servicios digitales deben poder buscar y obtener información localizada en su territorio, también en el contexto de investigaciones conjuntas, con la debida consideración del hecho de que las medidas de supervisión y ejecución relativas a un prestador dentro del ámbito de competencia de otro Estado miembro o de la Comisión deben adoptarse por el coordinador de servicios digitales de ese otro Estado miembro, cuando sea pertinente de conformidad con los procedimientos relativos a la cooperación transfronteriza, o, en su caso, por la Comisión.

(115) Los Estados miembros deben establecer en su Derecho nacional, de conformidad con el Derecho de la Unión y, en particular, con el presente Reglamento y la Carta, condiciones y límites detallados para el ejercicio de las competencias de investigación y ejecución de sus coordinadores de servicios digitales, y otras autoridades competentes cuando sea pertinente, en virtud del presente Reglamento.

(116) En el ejercicio de esas competencias, las autoridades competentes deben cumplir las normas nacionales aplicables en relación con procedimientos y materias tales como la necesidad de una autorización judicial previa para acceder a determinadas instalaciones y la prerrogativa de secreto profesional en la relación cliente-abogado. Esas disposiciones deben garantizar, en particular, el respeto de los derechos fundamentales a la tutela judicial efectiva y a un juez imparcial, incluidos los derechos de la defensa y el derecho al respeto de la vida privada. En este sentido, las garantías establecidas en relación con los procedimientos de la Comisión de conformidad con el presente Reglamento podrían ser un punto de referencia apropiado. Debe garantizarse un procedimiento previo justo e imparcial antes de adoptar una decisión definitiva, que incluya los derechos de las personas afectadas a ser oídas y a acceder al expediente que les concierna, respetando al mismo tiempo la confidencialidad y el secreto profesional y empresarial, así como la obligación de motivar debidamente las decisiones. Sin embargo, esto no debe impedir que se adopten medidas en casos de urgencia debidamente fundamentados y siempre que se cumplan condiciones y trámites procesales adecuados. El ejercicio de las competencias también debe ser proporcionado, entre otras cosas, en relación con la naturaleza y el perjuicio general real o potencial causado por la infracción o la presunta infracción. Las autoridades competentes deben tener en cuenta todos los hechos y circunstancias pertinentes del caso, incluida la información recabada por las autoridades competentes en otros Estados miembros.

(117) Los Estados miembros deben asegurarse de que los incumplimientos de las obligaciones establecidas en el presente Reglamento puedan sancionarse de manera efectiva, proporcionada y disuasoria, teniendo en cuenta la naturaleza, gravedad, recurrencia y duración del incumplimiento, en vista del interés público perseguido, el alcance y la clase de actividades realizadas, así como la capacidad económica del infractor. En particular, las sanciones deben tener en cuenta si el prestador de servicios intermediarios afectado incumple de forma sistemática o recurrente sus obligaciones en virtud del presente Reglamento, así como, cuando sea pertinente, el número de destinatarios del servicio afectados, el carácter intencionado o negligente de la infracción y si el prestador mantiene actividad en varios Estados miembros. Cuando el presente Reglamento establezca un importe máximo de multas sancionadoras o multas coercitivas, este importe máximo debe aplicarse por infracción del presente Reglamento y sin perjuicio de la modulación de las multas sancionadoras o multas coercitivas por infracciones específicas. Los Estados miembros deben garantizar que la imposición de multas sancionadoras o multas coercitivas relacionadas con infracciones sean en cada caso particular efectivas, proporcionadas y disuasorias estableciendo normas y procedimientos nacionales de conformidad con el presente Reglamento, teniendo en cuenta todos los criterios relativos a las condiciones generales para la imposición de multas sancionadoras o multas coercitivas.

(118) A fin de garantizar la ejecución efectiva de las obligaciones establecidas en el presente Reglamento, las personas físicas o las organizaciones representativas deben poder presentar reclamaciones relacionadas con el incumplimiento de dichas obligaciones al coordinador de servicios digitales del territorio donde hayan recibido el servicio, sin perjuicio de lo dispuesto en el presente Reglamento en materia de reparto de competencias y en las normas aplicables relativas a la tramitación de reclamaciones de conformidad con los principios nacionales de buena administración. Las reclamaciones podrían ofrecer una exposición fiel de las inquietudes relacionadas con el cumplimiento de un determinado prestador de servicios intermediarios y también podrían informar al coordinador de servicios digitales de cualquier otra cuestión transversal. El coordinador de servicios digitales debe implicar a otras autoridades competentes nacionales, así como al coordinador de servicios digitales de otro Estado miembro, y en particular al del Estado miembro en el que el prestador de servicios intermediarios afectado esté establecido, si el problema requiere cooperación transfronteriza.

(119) Los Estados miembros deben asegurarse de que los coordinadores de servicios digitales puedan adoptar medidas eficaces y proporcionadas para corregir determinadas infracciones particularmente graves y persistentes del presente Reglamento. Especialmente cuando esas medidas puedan afectar a los derechos e intereses de terceros, como puede ser el caso en particular cuando se limite el acceso a interfaces en línea, es adecuado exigir que las medidas estén sujetas a salvaguardias adicionales. En particular, los terceros potencialmente afectados deben tener la oportunidad de ser oídos y dichas órdenes deben dictarse únicamente cuando no se disponga razonablemente de competencias para adoptar ese tipo de medidas según lo dispuesto en otros actos del Derecho de la Unión o en el Derecho nacional, por ejemplo para proteger los intereses colectivos de los consumidores, para garantizar la retirada inmediata de páginas web que contengan o difundan pornografía infantil, o para bloquear el acceso a servicios que estén siendo utilizados por un tercero para infringir un derecho de propiedad intelectual.

(120) Este tipo de órdenes de limitación del acceso no deben exceder de lo necesario para alcanzar su objetivo. Con ese fin, deben ser temporales y dirigirse en principio a un prestador de servicios intermediarios, como el prestador del servicio de alojamiento de datos pertinente, el prestador del servicio de internet, el registro de nombres de dominio o el registrador, que esté en una posición razonable para alcanzar ese objetivo sin limitar indebidamente el acceso a información lícita.

(121) Sin perjuicio de las disposiciones relativas a la exención de responsabilidad previstas en el presente Reglamento en relación con la información transmitida o almacenada a petición de un destinatario del servicio, un prestador de servicios intermediarios debe ser responsable por los perjuicios sufridos por destinatarios del servicio causados por un incumplimiento de las obligaciones establecidas en el presente Reglamento por dicho prestador. Dicha compensación debe ajustarse a las normas y procedimientos establecidos en el Derecho nacional aplicable y sin perjuicio de otras vías de recurso disponibles en virtud de las normas de protección de los consumidores.

(122) El coordinador de servicios digitales debe publicar periódicamente, por ejemplo, en su sitio web, un informe sobre las actividades realizadas de conformidad con el presente Reglamento. En particular, el informe debe publicarse en un formato legible por máquina e incluir una exposición general de las reclamaciones recibidas y de su seguimiento, como el número total de reclamaciones recibidas y el número de reclamaciones que dieron lugar a la apertura de una investigación formal o que se transmitieron a otros coordinadores de servicios digitales, sin hacer referencia a ningún dato personal. Dado que el coordinador de servicios digitales también tiene conocimiento de las órdenes de actuación contra contenidos ilícitos o de entrega de información reguladas por el presente Reglamento a través del sistema de intercambio de información, el coordinador de servicios digitales debe incluir en su informe anual el número y categoría de dichas órdenes dirigidas a prestadores de servicios intermediarios por las autoridades judiciales y administrativas de su Estado miembro.

(123) En aras de la claridad, simplicidad y efectividad, la competencia para supervisar y hacer cumplir las obligaciones en virtud del presente Reglamento ha de conferirse a las autoridades competentes del Estado miembro en el que se sitúe el establecimiento principal del prestador de servicios intermediarios, es decir, en el que el prestador tenga su sede central o domicilio social en el que ejerza las principales funciones financieras y el control de sus operaciones. Con respecto a los prestadores que no estén establecidos en la Unión pero que ofrezcan sus servicios en ella y, por tanto, se incluyan en el ámbito de aplicación del presente Reglamento, la competencia debe corresponder al Estado miembro en el que dichos prestadores hayan designado a su representante legal, teniendo en cuenta la función que desempeñan los representantes legales en virtud del presente Reglamento. No obstante, en aras de la aplicación efectiva del presente Reglamento, todos los Estados miembros o la Comisión, en su caso, deben tener competencia sobre los prestadores que no hayan designado un representante legal. Esta competencia puede ser ejercida por cualquiera de las autoridades competentes o por la Comisión, siempre que el prestador no esté sujeto a procedimientos de ejecución por los mismos hechos ante otra autoridad competente o la Comisión. A fin de garantizar el respeto del principio non bis in idem y, en particular, de evitar que el mismo incumplimiento de las obligaciones establecidas en el presente Reglamento se sancione más de una vez, cada Estado miembro que tenga la intención de ejercer su competencia con respecto a dichos prestadores debe informar sin dilación indebida a todas las demás autoridades, incluida la Comisión, a través del sistema de intercambio de información establecido a efectos del presente Reglamento.

(124) Habida cuenta de su impacto potencial y de los retos que plantea su supervisión efectiva, se necesitan normas especiales en lo que se refiere a la supervisión y la garantía del cumplimiento en relación con los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño. La Comisión debe ser responsable, con el apoyo de las autoridades nacionales competentes cuando sea pertinente, de la supervisión y la ejecución pública de las cuestiones sistémicas, como las que tienen un gran impacto en los intereses colectivos de los destinatarios del servicio. Por consiguiente, la Comisión debe tener competencias exclusivas de supervisión y garantía del cumplimiento de las obligaciones adicionales de gestión de los riesgos sistémicos impuestas a los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño en el presente Reglamento. Las competencias exclusivas de la Comisión deben entenderse sin perjuicio de determinadas tareas administrativas asignadas en el presente Reglamento a las autoridades competentes del Estado miembro de establecimiento, como la autorización de investigadores.

(125) La Comisión y las autoridades nacionales competentes deben compartir las competencias de supervisión y garantía del cumplimiento de las obligaciones de diligencia debida distintas de las obligaciones adicionales de gestión de los riesgos sistémicos impuestas a los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño en el presente Reglamento. Por una parte, la Comisión podría estar en muchos casos en mejores condiciones para hacer frente a las infracciones sistémicas cometidas por dichos prestadores, como las que afecten a varios Estados miembros o las infracciones reiteradas graves o las relativas a la falta de establecimiento de los mecanismos eficaces exigidos por el presente Reglamento. Por otra, las autoridades competentes del Estado miembro en el que se encuentra el establecimiento principal de un prestador de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño podrían estar en mejor situación para hacer frente a infracciones individuales cometidas por dichos prestadores que no planteen problemas sistémicos o transfronterizos. En aras de la eficiencia, para evitar duplicidades y a fin de garantizar el cumplimiento del principio non bis in idem, debe corresponder a la Comisión evaluar si considera adecuado ejercer esas competencias compartidas en un caso determinado y, una vez que haya iniciado el procedimiento, los Estados miembros no deben tener ya esa capacidad. Los Estados miembros deben cooperar estrechamente entre sí y con la Comisión, y la Comisión debe cooperar estrechamente con los Estados miembros, de modo que se asegure el buen y eficaz funcionamiento del sistema de supervisión y garantía del cumplimiento establecido en virtud del presente Reglamento.

(126) Las normas del presente Reglamento sobre el reparto de competencias deben entenderse sin perjuicio de las disposiciones del Derecho de la Unión y de las normas nacionales de Derecho internacional privado relativas a la competencia judicial y a la ley aplicable en materia civil y mercantil, como las acciones emprendidas por consumidores ante los órganos jurisdiccionales del Estado miembro en el que estén domiciliados de conformidad con las disposiciones pertinentes del Derecho de la Unión. En lo que respecta a las obligaciones impuestas por el presente Reglamento a los prestadores de servicios intermediarios de informar a la autoridad emisora sobre el curso dado a las órdenes de actuación contra contenidos ilícitos y órdenes de suministro de información, las normas sobre el reparto de competencias solo deben aplicarse a la supervisión del cumplimiento de dichas obligaciones, pero no a otras cuestiones relacionadas con la orden, como la competencia para dictar la orden.

(127) Dada la importancia transfronteriza e intersectorial de los servicios intermediarios, es necesario un alto nivel de cooperación para garantizar la aplicación coherente del presente Reglamento y la disponibilidad de información pertinente para el ejercicio de las tareas de ejecución a través del sistema de intercambio de información. La cooperación puede adoptar diversas formas en función de las cuestiones de que se trate, sin perjuicio de ejercicios específicos de investigación conjunta. En cualquier caso, es necesario que el coordinador de servicios digitales de establecimiento de un prestador de servicios intermediarios informe a los otros coordinadores de servicios digitales sobre las cuestiones, investigaciones y acciones que se vayan a emprender con respecto a dicho prestador. Además, cuando una autoridad competente de un Estado miembro posea información pertinente para una investigación llevada a cabo por las autoridades competentes del Estado miembro de establecimiento, o pueda recabar en su territorio información a la que las autoridades competentes del Estado miembro de establecimiento no tengan acceso, el coordinador de servicios digitales de destino debe asistir en tiempo oportuno al coordinador de servicios digitales de establecimiento, en particular ejerciendo sus competencias de investigación de conformidad con los procedimientos nacionales aplicables y la Carta. El destinatario de dichas medidas de investigación debe cumplirlas y hacerse responsable en caso de incumplimiento, y las autoridades competentes del Estado miembro de establecimiento deben poder basarse en la información recogida mediante asistencia mutua, a fin de garantizar el cumplimiento del presente Reglamento.

(128) El coordinador de servicios digitales de destino, en particular a partir de las reclamaciones recibidas o de las aportaciones de otras autoridades nacionales competentes cuando proceda, o la Junta en caso de problemas que afecten a más de tres Estados miembros, debe poder pedir al coordinador de servicios digitales de establecimiento que adopte medidas de investigación o ejecución con respecto a un prestador que esté bajo su competencia. Dichas solicitudes de intervención deben basarse en pruebas bien fundamentadas que demuestren la existencia de una presunta infracción que afecte negativamente a los intereses colectivos de los destinatarios del servicio en su Estado miembro o tenga un impacto social negativo. El coordinador de servicios digitales de establecimiento debe poder recurrir a la asistencia mutua o invitar al coordinador de servicios digitales solicitante a una investigación conjunta en caso de que se necesite más información para tomar una decisión, sin perjuicio de la posibilidad de solicitar a la Comisión que evalúe el asunto si tiene motivos para sospechar que puede estar en juego una infracción sistémica por parte de una plataforma en línea de muy gran tamaño o un motor de búsqueda en línea de muy gran tamaño.

(129) La Junta debe poder remitir el asunto a la Comisión en caso de que existan discrepancias sobre las evaluaciones o las medidas adoptadas o propuestas o de que no se adopten medidas de conformidad con el presente Reglamento a raíz de una solicitud de cooperación transfronteriza o de una investigación conjunta. Cuando la Comisión, sobre la base de la información facilitada por las autoridades afectadas, considere que las medidas propuestas, incluido el nivel propuesto de las multas, no pueden garantizar el cumplimiento efectivo de las obligaciones establecidas en el presente Reglamento, debe poder expresar sus serias dudas y solicitar en consecuencia al coordinador de servicios digitales competente que revalúe el asunto y adopte las medidas necesarias para garantizar el cumplimiento del presente Reglamento en un período determinado. Esta posibilidad ha de entenderse sin perjuicio del deber general de la Comisión de supervisar la aplicación del Derecho de la Unión, y en caso necesario exigir su cumplimiento, bajo el control del Tribunal de Justicia de la Unión Europea de conformidad con los Tratados.

(130) A fin de facilitar la supervisión transfronteriza e investigaciones de las obligaciones establecidas en el presente Reglamento que afecten a varios Estados miembros, los coordinadores de servicios digitales de establecimiento deben poder invitar, a través del sistema de intercambio de información, a otros coordinadores de servicios digitales a realizar una investigación conjunta sobre una presunta infracción del presente Reglamento. Otros coordinadores de servicios digitales y otras autoridades competentes, cuando sea conveniente, deben poder unirse a la investigación propuesta por el coordinador de servicios digitales de establecimiento, a menos que este considere que un número excesivo de autoridades participantes puede afectar a la eficacia de la investigación teniendo en cuenta las características de la presunta infracción y la ausencia de efectos directos en los destinatarios del servicio en esos Estados miembros. Las actividades de una investigación conjunta pueden incluir un conjunto de acciones que debe coordinar el coordinador de servicios digitales de establecimiento de conformidad con la disponibilidad de las autoridades participantes, como ejercicios coordinados para recabar datos, puesta en común de recursos, grupos de trabajo, solicitudes de información coordinadas o inspecciones comunes de instalaciones. Todas las autoridades competentes que participen en una investigación conjunta deben cooperar con el coordinador de servicios digitales de establecimiento, en particular ejerciendo sus facultades de investigación en su territorio, de conformidad con los procedimientos nacionales aplicables. La investigación conjunta debe concluirse en un plazo determinado con un informe final que tenga en cuenta la contribución de todas las autoridades competentes participantes. Asimismo, la Junta, cuando así lo soliciten al menos tres coordinadores de servicios digitales de destino, puede recomendar a un coordinador de servicios digitales de establecimiento que ponga en marcha dicha investigación conjunta y dé indicaciones sobre su organización. A fin de evitar bloqueos, la Junta debe poder remitir el asunto a la Comisión en casos específicos, en particular cuando el coordinador de servicios digitales de establecimiento se niegue a poner en marcha la investigación y la Junta no esté de acuerdo con la justificación aportada.

(131) A fin de velar por que el presente Reglamento se aplique de manera coherente, es necesario crear un grupo consultivo independiente a escala de la Unión, una Junta Europea de Servicios Digitales, que debe prestar apoyo a la Comisión y ayudar a coordinar las acciones de los coordinadores de servicios digitales. Esa Junta debe estar integrada por los coordinadores de servicios digitales, allí donde hayan sido nombrados, sin perjuicio de la posibilidad de que estos inviten a sus reuniones o designen a delegados ad hoc de otras autoridades competentes que tengan funciones específicas encomendadas en virtud del presente Reglamento, cuando eso sea necesario de conformidad con su reparto nacional de funciones y competencias. En el caso de que haya varios participantes de un mismo Estado miembro, el derecho de voto debe permanecer limitado a un representante por Estado miembro.

(132) La Junta debe contribuir a alcanzar una perspectiva común de la Unión sobre la aplicación coherente del presente Reglamento y a la cooperación entre autoridades competentes, por ejemplo, asesorando a la Comisión y a los coordinadores de servicios digitales en relación con medidas apropiadas de investigación y ejecución, en particular con respecto a los prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño, y teniendo en cuenta, en particular, la libertad de los prestadores de servicios intermediarios para proporcionar servicios en toda la Unión. La Junta también debe colaborar en la preparación de unos modelos y códigos de conducta pertinentes y en el análisis de las tendencias generales emergentes en el desarrollo de servicios digitales en la Unión, incluida la emisión de dictámenes o recomendaciones sobre asuntos relacionados con las normas.

(133) Para tal fin, la Junta debe poder emitir dictámenes y formular solicitudes y recomendaciones dirigidos a los coordinadores de servicios digitales u otras autoridades competentes nacionales. Aunque no sean legalmente vinculantes, la decisión de apartarse de ellos debe explicarse debidamente y puede ser tenida en cuenta por la Comisión para evaluar el cumplimiento del presente Reglamento por el Estado miembro de que se trate.

(134) La Junta debe reunir a los representantes de los coordinadores de servicios digitales y otras posibles autoridades competentes bajo la presidencia de la Comisión, con miras a garantizar que los asuntos que se le presenten se evalúen desde un punto de vista plenamente europeo. En vista de posibles elementos transversales que puedan ser pertinentes para otros marcos reguladores a escala de la Unión, la Junta debe estar autorizada a cooperar con otros organismos, oficinas, agencias y grupos consultivos de la Unión con responsabilidades en materias tales como la igualdad, incluida la igualdad de género, y la no discriminación, la protección de datos, las comunicaciones electrónicas, los servicios audiovisuales, la detección e investigación de fraudes contra el presupuesto de la Unión en relación con aranceles de aduanas, la protección de los consumidores, o el Derecho sobre competencia, según sea necesario para el desempeño de sus funciones.

(135) La Comisión, a través del presidente, debe participar en la Junta sin derechos de voto. A través del presidente, la Comisión debe velar por que el orden del día de las reuniones se establezca de conformidad con lo solicitado por los miembros de la Junta según lo dispuesto en su reglamento interno y en cumplimiento de los deberes de la Junta establecidos en el presente Reglamento.

(136) En vista de la necesidad de garantizar el apoyo a las actividades de la Junta, esta debe poder utilizar los conocimientos y recursos humanos de la Comisión y de las autoridades competentes nacionales. Los mecanismos específicos de funcionamiento interno de la Junta deben especificarse con mayor concreción en el reglamento interno de la Junta.

(137) Dada la importancia de las plataformas en línea de muy gran tamaño o los motores de búsqueda de muy gran tamaño, en vista de su alcance y repercusión, el incumplimiento por su parte de las obligaciones específicas que les son aplicables puede afectar a un número importante de destinatarios de los servicios de diferentes Estados miembros y puede causar grandes perjuicios sociales, mientras que dichos incumplimientos pueden ser además especialmente difíciles de detectar y corregir. Por este motivo, la Comisión, en cooperación con los coordinadores de servicios digitales y la Junta, debe desarrollar los conocimientos especializados y las capacidades de la Unión en lo que respecta a la supervisión de las plataformas en línea de muy gran tamaño o los motores de búsqueda de muy gran tamaño. Por consiguiente, la Comisión debe poder coordinar y confiar en los conocimientos especializados y los recursos de dichas autoridades, por ejemplo analizando, de forma permanente o temporal, las tendencias o problemas específicos que surjan en relación con una o más plataformas en línea de muy gran tamaño o con motores de búsqueda de muy gran tamaño. Los Estados miembros deben cooperar con la Comisión en el desarrollo de dichas capacidades, en particular mediante el envío de personal en comisión de servicios, cuando sea adecuado, y en la contribución a la creación de una capacidad común de supervisión de la Unión. A fin de desarrollar los conocimientos especializados y las capacidades de la Unión, la Comisión también puede basarse en los conocimientos especializados y las capacidades del Observatorio de la Economía de las Plataformas en Línea, creado en virtud de la Decisión de la Comisión de 26 de abril de 2018 que establece un grupo de expertos para el Observatorio de la Economía de las Plataformas Electrónicas, los organismos de expertos pertinentes y los centros de excelencia. La Comisión puede invitar a expertos con conocimientos especializados específicos, por ejemplo a investigadores autorizados, representantes de agencias y organismos de la Unión, representantes de la industria, asociaciones que representen a usuarios o a la sociedad civil, organizaciones internacionales, expertos del sector privado y otras partes interesadas.

(138) La Comisión debe poder investigar las infracciones por iniciativa propia, de conformidad con las competencias previstas en el presente Reglamento, en particular solicitando el acceso a los datos y a la información o realizando inspecciones, y debe poder contar con el apoyo de los coordinadores de servicios digitales. Cuando la supervisión por parte de las autoridades nacionales competentes de presuntas infracciones de prestadores de plataformas en línea de muy gran tamaño o motores de búsqueda en línea de muy gran tamaño apunte a problemas sistémicos, como problemas con una amplia repercusión en los intereses colectivos de los destinatarios del servicio, los coordinadores de servicios digitales deben poder, sobre la base de una solicitud debidamente motivada, remitir dichas cuestiones a la Comisión. Dicha solicitud debe contener, como mínimo, todos los hechos y circunstancias necesarios que expliquen la presunta infracción y su carácter sistémico. En función del resultado de su propia evaluación, la Comisión debe poder adoptar las medidas de investigación y ejecución necesarias con arreglo al presente Reglamento, incluida, cuando proceda, la apertura de una investigación o la adopción de medidas cautelares.

(139) A fin de desempeñar eficazmente sus tareas, la Comisión debe mantener un margen de discreción en cuanto a la decisión de iniciar procedimientos contra prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda de muy gran tamaño. Una vez iniciado el procedimiento por la Comisión, debe excluirse la posibilidad de que los coordinadores de servicios digitales de establecimiento afectados ejerzan sus competencias de investigación y ejecución respecto de la conducta en cuestión del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda de muy gran tamaño, a fin de evitar duplicidades, incoherencias y riesgos desde el punto de vista del principio non bis in idem. La Comisión, no obstante, debe poder solicitar la contribución individual o conjunta a la investigación de los coordinadores de servicios digitales. De conformidad con el deber de cooperación leal, el coordinador de servicios digitales debe hacer todo lo posible por atender las solicitudes justificadas y proporcionadas de la Comisión en el contexto de una investigación. Además, el coordinador de servicios digitales de establecimiento, así como la Junta y cualquier otro coordinador de servicios digitales cuando sea pertinente, deben facilitar a la Comisión toda la información y la asistencia necesarias para que esta pueda ejercer sus funciones de manera efectiva, incluida la información recopilada en el contexto de ejercicios de recopilación de datos o de acceso a los datos, en la medida en que el fundamento jurídico en virtud del cual se ha recopilado la información no se oponga a ello. A la inversa, la Comisión debe mantener informados al coordinador de los servicios digitales de establecimiento y a la Junta sobre el ejercicio de sus competencias y, en particular, cuando se proponga iniciar el procedimiento y ejercer sus competencias de investigación. Además, cuando la Comisión comunique sus conclusiones preliminares, incluido cualquier asunto respecto del cual formule objeciones, los prestadores de que se trate de plataformas en línea de muy gran tamaño o de motores de búsqueda de muy gran tamaño, la Comisión también debe comunicarlas a la Junta. La Junta debe aportar su punto de vista sobre las objeciones y la evaluación realizadas por la Comisión, que debe ser tenido en cuenta en el razonamiento en que se base la decisión definitiva de la Comisión.

(140) En vista de los problemas concretos que puedan surgir para asegurar el cumplimiento por parte de los prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda de muy gran tamaño y de la importancia de hacerlo de manera efectiva, tomando en consideración su dimensión e impacto y los perjuicios que pueden causar, la Comisión debe poseer amplios poderes de investigación y ejecución que le permitan investigar, hacer cumplir y vigilar el cumplimiento de las normas establecidas en el presente Reglamento, respetando plenamente el derecho fundamental a ser oído y a tener acceso al expediente en el contexto de los procedimientos de ejecución, el principio de proporcionalidad y los derechos e intereses de los afectados.

(141) La Comisión debe poder solicitar la información necesaria para garantizar la aplicación efectiva y el cumplimiento de las obligaciones establecidas en el presente Reglamento en toda la Unión. En particular, la Comisión debe tener acceso a cualquier documentación, datos e información pertinentes y necesarios para iniciar y llevar a cabo investigaciones, y para vigilar el cumplimiento de las obligaciones pertinentes establecidas en el presente Reglamento, con independencia de quién sea el poseedor de la documentación, datos e información en cuestión, y sea cual sea su forma o formato, su medio de almacenamiento, o el lugar preciso en el que se conserven. La Comisión debe poder exigir directamente, mediante una solicitud de información debidamente justificada, que el prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda de muy gran tamaño de que se trate, así como cualquier otra persona física o jurídica que actúe con fines relacionados con su actividad comercial, negocio, oficio o profesión que pueda tener un conocimiento razonable de la información relativa a la presunta infracción o a la infracción, según corresponda, aporte pruebas, datos o informaciones pertinentes. Asimismo, la Comisión debe poder solicitar cualquier información pertinente a cualquier autoridad, organismo o agencia públicos del Estado miembro para los fines del presente Reglamento. La Comisión debe poder exigir acceso, mediante el ejercicio de sus competencias de investigación, como las solicitudes de información o las entrevistas, a documentos, datos, información, bases de datos y los algoritmos de las personas pertinentes, y explicaciones en relación con los mismos, y para entrevistar, con su consentimiento, a cualquier persona física o jurídica que pueda estar en posesión de información útil y registrar las declaraciones efectuadas por cualquier medio técnico. La Comisión también debe estar facultada para llevar a cabo las inspecciones que sean necesarias para hacer cumplir las disposiciones pertinentes del presente Reglamento. Dichas competencias de investigación tienen por objeto complementar la posibilidad que tiene la Comisión de solicitar asistencia a los coordinadores de servicios digitales y a las autoridades de otros Estados miembros, por ejemplo, facilitando información o en el ejercicio de tales competencias.

(142) Las medidas cautelares pueden ser una herramienta importante para garantizar que, mientras esté en curso una investigación, la infracción investigada no ocasione un riesgo de perjuicios graves para los destinatarios del servicio. Este instrumento es importante para evitar cambios que sería muy difícil deshacer mediante una decisión adoptada por la Comisión al final del procedimiento. Por consiguiente, la Comisión debe tener competencias para imponer medidas cautelares mediante una decisión en el contexto de un procedimiento incoado con vistas a la posible adopción de una decisión de incumplimiento. Esta facultad debe aplicarse en los casos en que la Comisión haya constatado prima facie el incumplimiento de las obligaciones en virtud del presente Reglamento por parte del prestador de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño. Una decisión por la que se impongan medidas cautelares solo debe aplicarse durante un período determinado, bien hasta la conclusión del procedimiento por la Comisión, bien por un plazo determinado que puede renovarse siempre que sea necesario y adecuado.

(143) La Comisión debe poder adoptar las medidas necesarias para hacer el seguimiento de la aplicación efectiva y el cumplimiento de las obligaciones establecidas en el presente Reglamento. Estas medidas deben incluir la capacidad para nombrar a expertos externos independientes, así como a auditores para ayudar a la Comisión en este proceso, incluidas, en su caso, de autoridades competentes de los Estados miembros, como las autoridades de protección de datos o de los consumidores. Por lo que respecta al nombramiento de los auditores, la Comisión debe garantizar una rotación suficiente.

(144) El cumplimiento de las obligaciones pertinentes impuestas en virtud del presente Reglamento debe garantizarse mediante multas sancionadoras y multas coercitivas. A tal fin, también deben establecerse niveles adecuados para las multas sancionadoras y las multas coercitivas por incumplimiento de las obligaciones e infracción de las normas de procedimiento, que queden sujetas a unos plazos de prescripción adecuados de conformidad con los principios de proporcionalidad y non bis in idem. La Comisión y las autoridades nacionales pertinentes deben coordinar sus esfuerzos en materia de ejecución para garantizar el respeto de dichos principios. En particular, la Comisión debe tener en cuenta todas las multas sancionadoras y multas coercitivas impuestas a la misma persona jurídica por los mismos hechos mediante una decisión definitiva en el marco de procedimientos relativos a una infracción de otras normas nacionales o de la Unión, a fin de garantizar que el total de las multas sancionadoras y las multas coercitivas impuestas sea proporcionado y corresponda a la gravedad de las infracciones cometidas. Todas las decisiones adoptadas por la Comisión en virtud del presente Reglamento están sujetas al control del Tribunal de Justicia de la Unión Europea de conformidad con el TFUE. El Tribunal de Justicia de la Unión Europea debe tener competencia jurisdiccional plena en materia de multas sancionadoras y multas coercitivas, de conformidad con el artículo 261 del TFUE.

(145) Dados los posibles efectos sociales significativos de una infracción de las obligaciones adicionales de gestión de los riesgos sistémicos que se aplican únicamente a las plataformas en línea de muy gran tamaño y a los motores de búsqueda de muy gran tamaño, y con el fin de abordar estos objetivos de interés público, es necesario establecer un sistema de supervisión reforzada de cualquier acción emprendida para poner fin de manera efectiva a las infracciones del presente Reglamento y subsanarlas. Por lo tanto, una vez que se haya constatado una infracción de una de las disposiciones del presente Reglamento que se aplican únicamente a las plataformas en línea de muy gran tamaño o a los motores de búsqueda en línea de muy gran tamaño y, cuando sea necesario, se sancione, la Comisión debe pedir al prestador de dicha plataforma o de dicho motor de búsqueda que elabore un plan de acción detallado para subsanar cualquier efecto de la infracción en el futuro y que comunique dicho plan de acción, en un plazo señalado por la Comisión, a los coordinadores de servicios digitales, a la Comisión y a la Junta. La Comisión, teniendo en cuenta el dictamen de la Junta, debe determinar si las medidas incluidas en el plan de acción son suficientes para hacer frente a la infracción, teniendo también en cuenta si la adhesión al código de conducta pertinente está incluida entre las medidas propuestas. La Comisión también debe hacer el seguimiento de cualquier medida posterior adoptada por el prestador de una plataforma en línea de muy gran tamaño o de un motor de búsqueda de muy gran tamaño de que se trate, según lo establecido en su plan de acción, teniendo también en cuenta una auditoría independiente del prestador. Si después de la ejecución del plan de acción, la Comisión sigue considerando que la infracción no ha sido totalmente subsanada, o si el plan de acción no ha sido comunicado o no se considera adecuado, esta debe poder hacer uso de las facultades de investigación o ejecución previstas en el presente Reglamento, incluidas las facultades para imponer multas coercitivas y la incoación del procedimiento para bloquear el acceso al servicio infractor.

(146) El prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda de muy gran tamaño afectado y otras personas sujetas al ejercicio de las competencias de la Comisión cuyos intereses puedan verse afectados por una decisión deben tener la oportunidad de presentar sus observaciones de antemano, y las decisiones adoptadas deben ser objeto de una amplia publicidad. Al tiempo que se garantizan los derechos de defensa de las partes afectadas, y en particular el derecho de acceso al expediente, es esencial que se proteja la información confidencial. Además, siempre respetando la confidencialidad de la información, la Comisión debe asegurarse de que cualquier información en la que se base para adoptar su decisión se revele en la medida suficiente para que el destinatario de la decisión pueda entender los hechos y consideraciones que han llevado a adoptar la decisión.

(147) Con objeto de proteger la aplicación y ejecución armonizadas del presente Reglamento, resulta importante garantizar que las autoridades nacionales, en particular los órganos jurisdiccionales nacionales, dispongan de toda la información necesaria para asegurarse de que sus decisiones no sean contrarias a una decisión adoptada por la Comisión con arreglo al presente Reglamento. Ello se entiende sin perjuicio de lo dispuesto en el artículo 267 del TFUE.

(148) La aplicación y el seguimiento efectivos del presente Reglamento requieren un intercambio ininterrumpido y en tiempo real de información entre los coordinadores de servicios digitales, la Junta y la Comisión, sobre la base de los flujos de información y los procedimientos establecidos en el presente Reglamento. También pueden justificar el acceso a este sistema por parte de otras autoridades competentes, cuando sea conveniente. Al mismo tiempo, dado que la información intercambiada puede ser confidencial o incluir datos personales, debe seguir estando protegida contra el acceso no autorizado, de conformidad con los fines para los que se ha recopilado la información. Por este motivo, todas las comunicaciones entre dichas autoridades deben efectuarse mediante un sistema de intercambio de información fiable y seguro, cuyos detalles deben establecerse en un acto de ejecución. El sistema de intercambio de información puede basarse en herramientas del mercado interior existentes, siempre que puedan cumplir los objetivos del presente Reglamento de manera eficaz en términos de costes.

(149) Sin perjuicio del derecho de los destinatarios de los servicios a dirigirse a un representante de conformidad con la Directiva (UE) 2020/1828 del Parlamento Europeo y del Consejo (33) o a cualquier otro tipo de representación en virtud del Derecho nacional, los destinatarios de los servicios también deben tener derecho a dar mandato a una persona jurídica o a un organismo público para que ejerza los derechos que les confiere el presente Reglamento. Tales derechos pueden incluir los derechos en relación con el envío de notificaciones, la impugnación de las decisiones adoptadas por los prestadores de servicios intermediarios y la presentación de reclamaciones contra los prestadores por infringir el presente Reglamento. Determinados organismos, organizaciones y asociaciones tienen conocimientos y competencias particulares para detectar y señalar decisiones de moderación de contenidos erróneas o injustificadas, y sus reclamaciones en nombre de los destinatarios del servicio pueden tener repercusiones positivas en la libertad de expresión y de información en general, por lo que los prestadores de plataformas en línea deben gestionar estas reclamaciones sin dilación indebida.

(150) Por razones de eficacia y eficiencia, la Comisión debe llevar a cabo una evaluación general del presente Reglamento. En particular, dicha evaluación general debe abordar, entre otros, el alcance de los servicios a los que se aplica el presente Reglamento, la interacción con otros actos jurídicos, el impacto del presente Reglamento en el funcionamiento del mercado interior, en particular en lo que respecta a los servicios digitales, la aplicación de los códigos de conducta, la obligación de designar un representante legal con establecimiento en la Unión, las consecuencias de las obligaciones para las pequeñas empresas y las microempresas, la eficacia del mecanismo de supervisión y garantía del cumplimiento y las repercusiones en el derecho a la libertad de expresión y de información. Además, para evitar cargas desproporcionadas y garantizar la continuidad de la eficacia del presente Reglamento, la Comisión debe llevar a cabo una evaluación del impacto de las obligaciones establecidas en el presente Reglamento para las pequeñas y medianas empresas en un plazo de tres años a partir del comienzo de su aplicación y una evaluación del alcance de los servicios a los que se aplica el presente Reglamento, en particular en el caso de las plataformas en línea de muy gran tamaño y de los motores de búsqueda en línea de muy gran tamaño, y una evaluación de la interacción con otros actos jurídicos en un plazo de tres años a partir de su entrada en vigor.

(151) A fin de garantizar condiciones uniformes de ejecución del presente Reglamento, deben conferirse a la Comisión competencias de ejecución para establecer modelos relativos a la forma, el contenido y otros detalles de los informes sobre moderación de contenidos, para fijar el importe de la tasa de supervisión anual cobrada a prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño, para establecer las modalidades prácticas para los procedimientos, las audiencias y la revelación negociada de información llevados a cabo en el marco de la supervisión, investigación, ejecución y seguimiento respecto de los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño, así como para establecer modalidades prácticas y operativas para el funcionamiento del sistema de intercambio de información y su interoperabilidad con otros sistemas pertinentes. Dichas competencias deben ejercerse de conformidad con el Reglamento (UE) nº182/2011 del Parlamento Europeo y del Consejo (34).

(152) A fin de cumplir los objetivos del presente Reglamento, deben delegarse en la Comisión los poderes para adoptar actos con arreglo al artículo 290 del TFUE para completar el presente Reglamento por lo que respecta a los criterios de identificación de las plataformas en línea de muy gran tamaño y de motores de búsqueda de muy gran tamaño, de las fases del procedimiento, las metodologías y los modelos de presentación de informes para las auditorías, las especificaciones técnicas para las solicitudes de acceso y la metodología y procedimientos detallados para establecer la tasa de supervisión. Reviste especial importancia que la Comisión lleve a cabo las consultas oportunas durante la fase preparatoria, en particular con expertos, y que esas consultas se realicen de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación (35). En particular, a fin de garantizar una participación equitativa en la preparación de los actos delegados, el Parlamento Europeo y el Consejo reciben toda la documentación al mismo tiempo que los expertos de los Estados miembros, y sus expertos tienen acceso sistemáticamente a las reuniones de los grupos de expertos de la Comisión que se ocupen de la preparación de actos delegados.

(153) El presente Reglamento respeta los derechos fundamentales reconocidos en la Carta y los derechos fundamentales que constituyen principios generales del Derecho de la Unión. En consecuencia, el presente Reglamento ha de interpretarse y aplicarse de conformidad con tales derechos fundamentales, incluida la libertad de expresión e información, y la libertad y el pluralismo de los medios de comunicación. En el ejercicio de las competencias establecidas en el presente Reglamento, todas las autoridades públicas implicadas deben alcanzar, en situaciones en las que los derechos fundamentales pertinentes entren en conflicto, un equilibrio justo entre los derechos afectados, de conformidad con el principio de proporcionalidad.

(154) Habida cuenta del ámbito de aplicación y del impacto de los riesgos para la sociedad que pueden entrañar las plataformas en línea de muy gran tamaño y los motores de búsqueda en línea de muy gran tamaño, de la necesidad de abordar dichos riesgos de manera prioritaria y de la capacidad para adoptar las medidas necesarias, está justificado limitar el período a partir del cual el presente Reglamento comienza a aplicarse a los prestadores de dichos servicios.

(155) Dado que los objetivos del presente Reglamento, a saber, contribuir al correcto funcionamiento del mercado interior y garantizar un entorno en línea seguro, predecible y fiable en el que los derechos fundamentales amparados por la Carta estén debidamente protegidos, no pueden ser alcanzados de manera suficiente por los Estados miembros porque no pueden conseguir la armonización y cooperación necesarias actuando por sí solos, sino que, debido a su ámbito de aplicación territorial y personal, pueden lograrse mejor a escala de la Unión, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del Tratado de la Unión Europea. De conformidad con el principio de proporcionalidad establecido en el mismo artículo, el presente Reglamento no excede de lo necesario para alcanzar dichos objetivos.

(156) El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (36), emitió su dictamen el 10 de febrero de 2021 (37).

HAN ADOPTADO EL PRESENTE REGLAMENTO:

CAPÍTULO I. DISPOSICIONES GENERALES

Artículo 1. Objeto

1.   El objetivo del presente Reglamento es contribuir al correcto funcionamiento del mercado interior de servicios intermediarios estableciendo normas armonizadas para crear un entorno en línea seguro, predecible y fiable que facilite la innovación y en el que se protejan efectivamente los derechos fundamentales amparados por la Carta, incluido el principio de protección de los consumidores.

2.   El presente Reglamento establece normas armonizadas sobre la prestación de servicios intermediarios en el mercado interior. En particular, establece:

a) un marco para la exención condicionada de responsabilidad de los prestadores de servicios intermediarios;

b) normas sobre obligaciones específicas de diligencia debida adaptadas a determinadas categorías específicas de prestadores de servicios intermediarios;

c) normas sobre aplicación y ejecución del presente Reglamento, por ejemplo, en relación con la cooperación y coordinación entre autoridades competentes.

Artículo 2. Ámbito de aplicación

1.   El presente Reglamento se aplicará a los servicios intermediarios ofrecidos a destinatarios del servicio que tengan su lugar de establecimiento o estén situados en la Unión, con independencia de donde los prestadores de dichos servicios intermediarios tengan su lugar de establecimiento.

2.   El presente Reglamento no se aplicará a ningún servicio que no sea un servicio intermediario ni a ningún requisito que se imponga respecto de un servicio de esa índole, con independencia de si el servicio se presta mediante el uso de un servicio intermediario.

3.   El presente Reglamento no afectará a la aplicación de la Directiva 2000/31/CE.

4.   El presente Reglamento se entenderá sin perjuicio de las normas establecidas por otros actos jurídicos de la Unión que regulen otros aspectos de la prestación de servicios intermediarios en el mercado interior o que especifiquen y completen el presente Reglamento, en particular los siguientes:

a) la Directiva 2010/13/UE;

b) el Derecho de la Unión en materia de derechos de autor y derechos afines;

c) el Reglamento (UE) 2021/784;

d) el Reglamento (UE) 2019/1148;

e) el Reglamento (UE) 2019/1150;

f) el Derecho de la Unión en materia de protección de los consumidores y seguridad de los productos, incluidos los Reglamentos (UE) 2017/2394 y (UE) 2019/1020 y las Directivas 2001/95/CE y 2013/11/UE;

g) el Derecho de la Unión en materia de protección de datos personales, en particular el Reglamento (UE) 2016/679 y la Directiva 2002/58/CE;

h) el Derecho de la Unión en el ámbito de la cooperación judicial en materia civil, en particular el Reglamento (UE) nº1215/2012, o cualquier acto jurídico de la Unión por el que se establecen las normas sobre la ley aplicable a las obligaciones contractuales y extracontractuales;

i) el Derecho de la Unión en el ámbito de la cooperación judicial en materia penal, en particular un Reglamento sobre las órdenes europeas de entrega y conservación de pruebas electrónicas a efectos de enjuiciamiento penal;

j) una Directiva por la que se establecen normas armonizadas para la designación de representantes legales a efectos de recabar pruebas para procesos penales.

Artículo 3. Definiciones

A efectos del presente Reglamento, se entenderá por:

a) «servicio de la sociedad de la información»: un servicio tal como se define en el artículo 1, apartado 1, letra b), de la Directiva (UE) 2015/1535;

b) «destinatario del servicio»: toda persona física o jurídica que utilice un servicio intermediario, en particular para buscar información o para hacerla accesible;

c) «consumidor»: toda persona física que actúe con fines ajenos a su actividad comercial, negocio, oficio o profesión;

d) «ofrecer servicios en la Unión»: hacer posible que las personas físicas o jurídicas de uno o varios Estados miembros utilicen los servicios de un prestador de servicios intermediarios que tenga una conexión sustancial con la Unión;

e) «conexión sustancial con la Unión»: la conexión de un prestador de servicios intermediarios con la Unión resultante bien de su establecimiento en la Unión, bien de criterios fácticos específicos, tales como:

— un número significativo de destinatarios del servicio en uno o varios Estados miembros en relación con su población, o

— que se dirijan actividades hacia uno o varios Estados miembros;

f) «comerciante»: toda persona física o jurídica, ya sea privada o pública, que actúe, incluso a través de otra persona que actúe en su nombre o en su representación, con fines relacionados con su actividad comercial, negocio, oficio o profesión;

g) «servicio intermediario»: uno de los siguientes servicios de la sociedad de la información:

i) un servicio de «mera transmisión», consistente en transmitir, en una red de comunicaciones, información facilitada por el destinatario del servicio o en facilitar acceso a una red de comunicaciones,

ii) un servicio de «memoria caché», consistente en transmitir por una red de comunicaciones información facilitada por el destinatario del servicio, que conlleve el almacenamiento automático, provisional y temporal de esta información, prestado con la única finalidad de hacer más eficaz la transmisión ulterior de la información a otros destinatarios del servicio, a petición de estos,

iii) un servicio de «alojamiento de datos», consistente en almacenar datos facilitados por el destinatario del servicio y a petición de este;

h) «contenido ilícito»: toda información que, por sí sola o en relación con una actividad, incluida la venta de productos o la prestación de servicios, incumpla el Derecho de la Unión o el Derecho de cualquier Estado miembro que cumpla el Derecho de la Unión, sea cual sea el objeto o carácter concreto de ese Derecho;

i) «plataforma en línea»: un servicio de alojamiento de datos que, a petición de un destinatario del servicio, almacena y difunde información al público, salvo que esa actividad sea una característica menor y puramente auxiliar de otro servicio o una funcionalidad menor del servicio principal y que no pueda utilizarse sin ese otro servicio por razones objetivas y técnicas, y que la integración de la característica o funcionalidad en el otro servicio no sea un medio para eludir la aplicabilidad del presente Reglamento;

j) «motor de búsqueda en línea»: un servicio intermediario que permite a los usuarios introducir consultas para hacer búsquedas de, en principio, todos los sitios web, o de sitios web en un idioma concreto, mediante una consulta sobre un tema cualquiera en forma de palabra clave, consulta de voz, frase u otro tipo de entrada, y que en respuesta muestra resultados en cualquier formato en los que puede encontrarse información relacionada con el contenido que es objeto de la consulta;

k) «difusión al público»: poner información a disposición de un número potencialmente ilimitado de terceros a petición del destinatario del servicio que ha facilitado dicha información;

l) «contrato a distancia»: «contrato a distancia» tal como se define en el artículo 2, punto 7, de la Directiva 2011/83/UE;

m) «interfaz en línea»: todo programa informático, incluidos los sitios web o partes de sitios web, y las aplicaciones, incluidas las aplicaciones móviles;

n) «coordinador de servicios digitales del establecimiento»: el coordinador de servicios digitales del Estado miembro en el que el establecimiento principal del prestador de un servicio intermediario esté ubicado o su representante legal resida o esté establecido;

o) «coordinador de servicios digitales de destino»: el coordinador de servicios digitales de un Estado miembro en el que se preste el servicio intermediario;

p) «destinatario activo de una plataforma en línea»: un destinatario del servicio que haya utilizado una plataforma en línea, bien solicitando a la plataforma que aloje información, bien exponiéndose a la información alojada en la plataforma en línea y difundida a través de su interfaz en línea;

q) «destinatario activo de un motor de búsqueda en línea»: el destinatario del servicio que haya introducido una consulta en un motor de búsqueda en línea y al que se le expone la información indexada y presentada en su interfaz en línea;

r) «publicidad»: la información diseñada para promocionar el mensaje de una persona física o jurídica, con independencia de si trata de alcanzar fines comerciales o no comerciales, y presentada por una plataforma en línea en su interfaz en línea a cambio de una remuneración específica por la promoción de esa información;

s) «sistema de recomendación»: un sistema total o parcialmente automatizado y utilizado por una plataforma en línea para proponer en su interfaz en línea información específica para los destinatarios del servicio o priorizar dicha información, también como consecuencia de una búsqueda iniciada por el destinatario del servicio, o que determine de otro modo el orden relativo o la relevancia de la información presentada;

t) «moderación de contenidos»: las actividades, estén o no automatizadas, realizadas por los prestadores de servicios intermediarios, que estén destinadas, en particular, a detectar, identificar y actuar contra contenidos ilícitos o información incompatible con sus condiciones generales, que los destinatarios del servicio hayan proporcionado, por ejemplo la adopción de medidas que afecten a la disponibilidad, visibilidad, y accesibilidad de dicho contenido ilícito o de dicha información, como la relegación, la desmonetización de la información, el bloqueo de esta o su supresión, o que afecten a la capacidad de los destinatarios del servicio de proporcionar dicha información, como la supresión o suspensión de la cuenta de un destinatario del servicio;

u) «condiciones generales»: todas las cláusulas, sea cual sea su nombre y forma, que rijan la relación contractual entre el prestador de servicios intermediarios y los destinatarios del servicio;

v) «personas con discapacidad»: aquellas personas con discapacidad tal como se definen en el artículo 3, punto 1, de la Directiva (UE) 2019/882 del Parlamento Europeo y del Consejo (38);

w) «comunicación comercial»: una «comunicación comercial» tal como se define en el artículo 2, letra f), de la Directiva 2000/31/CE;

x) «volumen de negocios»: el importe obtenido por una empresa en el sentido del artículo 5, apartado 1, del Reglamento (CE) nº139/2004 del Consejo (39).

CAPÍTULO II. RESPONSABILIDAD DE LOS PRESTADORES DE SERVICIOS INTERMEDIARIOS

Artículo 4. Mera transmisión

1.   Cuando se preste un servicio de la sociedad de la información que consista en transmitir, en una red de comunicaciones, información facilitada por el destinatario del servicio o en conceder acceso a una red de comunicaciones, no se podrá considerar responsable al prestador del servicio de la información que se haya transmitido o a la que se haya accedido, a condición de que el prestador del servicio:

a) no haya originado él mismo la transmisión;

b) no seleccione al receptor de la transmisión, y

c) no seleccione ni modifique la información contenida en la transmisión.

2.   Las actividades de transmisión y de concesión de acceso a que se refiere el apartado 1 incluirán el almacenamiento automático, provisional y transitorio de la información transmitida, en la medida en que dicho almacenamiento se realice con la única finalidad de ejecutar la transmisión en la red de comunicaciones y que su duración no supere el tiempo razonablemente necesario para dicha transmisión.

3.   El presente artículo no afectará a la posibilidad de que una autoridad judicial o administrativa, de conformidad con el ordenamiento jurídico de un Estado miembro, exija al prestador de servicios que ponga fin a una infracción o que la impida.

Artículo 5. Memoria caché

1.   Cuando se preste un servicio de la sociedad de la información consistente en transmitir por una red de comunicaciones información facilitada por un destinatario del servicio, el prestador del servicio no podrá ser considerado responsable del almacenamiento automático, provisional y temporal de esta información, realizado con la única finalidad de hacer más eficaz o más segura la transmisión ulterior de la información a otros destinatarios del servicio, a petición de estos, a condición de que el prestador de servicios:

a) no modifique la información;

b) cumpla las condiciones de acceso a la información;

c) cumpla las normas relativas a la actualización de la información, especificadas de una manera ampliamente reconocida y utilizada por el sector;

d) no interfiera en la utilización lícita de tecnología, ampliamente reconocida y utilizada por el sector, con el fin de obtener datos sobre la utilización de la información, y

e) actúe con prontitud para retirar la información que haya almacenado, o bloquear el acceso a ella, en cuanto tenga conocimiento efectivo del hecho de que la información contenida en la fuente inicial de la transmisión ha sido retirada de la red, de que se ha bloqueado el acceso a dicha información o de que una autoridad judicial o administrativa ha ordenado retirarla o bloquear el acceso a ella.

2.   El presente artículo no afectará a la posibilidad de que una autoridad judicial o administrativa, de conformidad con el ordenamiento jurídico de un Estado miembro, exija al prestador de servicios que ponga fin a una infracción o que la impida.

Artículo 6. Alojamiento de datos

1.   Cuando se preste un servicio de la sociedad de la información consistente en almacenar información facilitada por un destinatario del servicio, el prestador de servicios no podrá ser considerado responsable de la información almacenada a petición del destinatario, a condición de que el prestador de servicios:

a) no tenga conocimiento efectivo de una actividad ilícita o de un contenido ilícito y, en lo que se refiere a solicitudes de indemnización por daños y perjuicios, no sea consciente de hechos o circunstancias que pongan de manifiesto la actividad ilícita o el contenido ilícito, o

b) en cuanto tenga conocimiento o sea consciente de ello, el prestador de servicios actúe con prontitud para retirar el contenido ilícito o bloquear el acceso a este.

2.   El apartado 1 no se aplicará cuando el destinatario del servicio actúe bajo la autoridad o el control del prestador de servicios.

3.   El apartado 1 no se aplicará con respecto a la responsabilidad, en virtud del Derecho en materia de protección de los consumidores, de las plataformas en línea que permitan que los consumidores celebren contratos a distancia con comerciantes, cuando dicha plataforma en línea presente el elemento de información concreto, o haga posible de otro modo la transacción concreta de que se trate, de manera que pueda inducir a un consumidor medio a creer que esa información, o el producto o servicio que sea el objeto de la transacción, se proporcione por la propia plataforma en línea o por un destinatario del servicio que actúe bajo su autoridad o control.

4.   El presente artículo no afectará a la posibilidad de que una autoridad judicial o administrativa, de conformidad con el ordenamiento jurídico de un Estado miembro, exija al prestador de servicios que ponga fin a una infracción o que la impida.

Artículo 7. Investigaciones voluntarias por iniciativa propia y cumplimiento del Derecho

No se considerará que los prestadores de servicios intermediarios no reúnen las condiciones para acogerse a las exenciones de responsabilidad a que se refieren los artículos 4, 5 y 6 por la única razón de que realicen, de buena fe y de modo diligente, investigaciones por iniciativa propia de forma voluntaria, o adopten medidas con el fin de detectar, identificar y retirar contenidos ilícitos, o bloquear el acceso a estos, o adoptar las medidas necesarias para cumplir los requisitos del Derecho de la Unión y del Derecho nacional en cumplimiento del Derecho de la Unión, incluidos los requisitos establecidos en el presente Reglamento.

Artículo 8. Inexistencia de obligación general de monitorización o de búsqueda activa de hechos

No se impondrá a los prestadores de servicios intermediarios ninguna obligación general de monitorizar la información que transmitan o almacenen, ni de buscar activamente hechos o circunstancias que indiquen la existencia de actividades ilícitas.

Artículo 9. Órdenes de actuación contra contenidos ilícitos

1.   Cuando reciban una orden de actuación contra uno o varios elementos concretos de contenido ilícito, dictada por las autoridades judiciales o administrativas nacionales pertinentes, sobre la base del Derecho de la Unión aplicable o del Derecho nacional aplicable en cumplimiento del Derecho de la Unión, los prestadores de servicios intermediarios informarán a la autoridad que haya dictado la orden, o a cualquier otra autoridad especificada en la orden, de cualquier curso dado a la orden sin dilación indebida, especificando si se ha dado curso a la orden y cuándo.

2.   Los Estados miembros velarán por que cuando una orden a que se refiere el apartado 1 se transmita al prestador, esta cumpla al menos las siguientes condiciones:

a) que dicha orden contenga los siguientes elementos:

i) una referencia al fundamento jurídico en Derecho de la Unión o nacional de la orden,

ii) una motivación en la que se explique por qué la información es un contenido ilícito, haciendo referencia a una o varias disposiciones específicas del Derecho de la Unión o nacional en cumplimiento del Derecho de la Unión,

iii) información que identifique a la autoridad emisora,

iv) información clara que permita al prestador de servicios intermediarios identificar y localizar el contenido ilícito de que se trate, como uno o varios URL exactos y, en su caso, información adicional,

v) información acerca de los mecanismos de recurso disponibles para el prestador de servicios intermediarios y para el destinatario del servicio que haya proporcionado el contenido,

vi) en su caso, información sobre qué autoridad debe recibir la información sobre el curso dado las órdenes;

b) que el ámbito de aplicación territorial de dicha orden, en virtud de las disposiciones aplicables del Derecho de la Unión y nacional, incluida la Carta y, en su caso, los principios generales del Derecho internacional, se limite a lo estrictamente necesario para alcanzar su objetivo;

c) que dicha orden se transmita en una de las lenguas declaradas por el prestador de servicios intermediarios con arreglo al artículo 11, apartado 3, o en otra lengua oficial de los Estados miembros, acordada entre la autoridad que dicte la orden y dicho prestador, y se envíe al punto de contacto electrónico designado por dicho prestador, de conformidad con el artículo 11; cuando no esté redactada en la lengua declarada por el prestador de servicios intermediarios o en otra lengua acordada bilateralmente, la orden podrá transmitirse en la lengua de la autoridad emisora, siempre que vaya acompañada de una traducción a dicha lengua declarada o acordada bilateralmente de, al menos, los elementos establecidos en las letras a) y b) del presente apartado.

3.   La autoridad que dicte la orden, o en su caso la autoridad especificada en ella, la transmitirá, junto a cualquier información recibida del prestador de servicios intermediarios sobre el curso dado a dicha orden, al coordinador de servicios digitales del Estado miembro de la autoridad que dicte la orden.

4.   Una vez recibida la orden de la autoridad judicial o administrativa, el coordinador de servicios digitales del Estado miembro de que se trate transmitirá, sin dilación indebida, una copia de la orden a que se refiere el apartado 1 del presente artículo a todos los demás coordinadores de servicios digitales a través del sistema establecido de conformidad con el artículo 85.

5.   A más tardar cuando se dé curso a la orden, o en su caso en el momento que determine la autoridad emisora en su orden, los prestadores de servicios intermediarios informarán al destinatario del servicio afectado de la orden recibida y del curso que se le haya dado. Esta información proporcionada al destinatario del servicio incluirá la motivación, las vías de recurso que existan y una descripción del ámbito territorial de la orden, de conformidad con el apartado 2.

6.   Las condiciones y los requisitos establecidos en el presente artículo se entenderán sin perjuicio del Derecho procesal penal y civil nacional.

Artículo 10. Órdenes de entrega de información

1.   Cuando reciban una orden de proporcionar información específica sobre uno o varios destinatarios individuales del servicio, dictada por las autoridades judiciales o administrativas nacionales pertinentes, sobre la base del Derecho de la Unión aplicable o del Derecho nacional aplicable en cumplimiento del Derecho de la Unión, los prestadores de servicios intermediarios informarán, sin dilación indebida, a la autoridad que haya dictado la orden o a cualquier otra autoridad especificada en la orden, de su recepción, y del curso dado a la orden, especificando si se ha dado curso a la orden y cuándo.

2.   Los Estados miembros velarán por que cuando una orden a que se refiere el apartado 1 se transmita al prestador, esta cumpla al menos las siguientes condiciones:

a) que dicha orden contenga los siguientes elementos:

i) una referencia al fundamento jurídico en Derecho de la Unión o nacional de la orden,

ii) información que identifique a la autoridad emisora,

iii) información clara que permita al prestador de servicios intermediarios identificar al destinatario o destinatarios específicos sobre los que se solicita información, como uno o varios nombres de cuenta o identificadores únicos,

iv) una motivación en la que se explique con qué fin se requiere la información y por qué el requisito de entrega de la información es necesario y proporcionado para determinar el cumplimiento del Derecho de la Unión o del Derecho nacional en cumplimiento del Derecho de la Unión por parte de los destinatarios de los servicios intermediarios, salvo que no se pueda aportar dicha motivación por razones relacionadas con la prevención, investigación, detección y enjuiciamiento de delitos,

v) información acerca de los mecanismos de recurso disponibles para el prestador y para los destinatarios del servicio de que se trate,

vi) en su caso, información sobre qué autoridad debe recibir la información sobre el curso dado a las órdenes;

b) que dicha orden solo requiera que el prestador aporte información ya recabada para los fines de la prestación del servicio y que esté bajo su control;

c) que dicha orden se transmita en una de las lenguas declaradas por el prestador de servicios intermediarios con arreglo al artículo 11, apartado 3, o en otra lengua oficial de los Estados miembros, acordada entre la autoridad que dicte la orden y dicho prestador, y se envíe al punto de contacto electrónico designado por dicho prestador, de conformidad con el artículo 11; cuando no esté redactada en la lengua declarada por el prestador de servicios intermediarios o en otra lengua acordada bilateralmente, la orden podrá transmitirse en la lengua de la autoridad emisora, siempre que vaya acompañada de una traducción a dicha lengua declarada o acordada bilateralmente de, al menos, los elementos establecidos en las letras a) y b) del presente apartado.

3.   La autoridad que dicte la orden o, en su caso, la autoridad especificada en ella, la transmitirán, junto a cualquier información recibida del prestador de servicios intermediarios sobre el curso dado a dicha orden, al coordinador de servicios digitales del Estado miembro de la autoridad que dicte la orden.

4.   Una vez recibida la orden de la autoridad judicial o administrativa, el coordinador de servicios digitales del Estado miembro de que se trate transmitirá, sin dilación indebida, una copia de la orden a que se refiere el apartado 1 del presente artículo a todos los demás coordinadores de servicios digitales a través del sistema establecido de conformidad con el artículo 85.

5.   A más tardar cuando se dé curso a la orden, o en su caso en el momento que la autoridad emisora determine en su orden, los prestadores de servicios intermediarios informarán al destinatario del servicio de que se trate de la orden recibida y del curso que se le haya dado. Esta información proporcionada al destinatario del servicio incluirá la motivación y las vías de recurso que existan, de conformidad con apartado 2.

6.   Las condiciones y los requisitos establecidos en el presente artículo se entenderán sin perjuicio del Derecho procesal penal y civil nacional.

CAPÍTULO III. OBLIGACIONES DE DILIGENCIA DEBIDA PARA CREAR UN ENTORNO EN LÍNEA TRANSPARENTE Y SEGURO

SECCIÓN 1. Disposiciones aplicables a todos los prestadores de servicios intermediarios

Artículo 11. Puntos de contacto con las autoridades de los Estados miembros, con la Comisión y con la Junta

1.   Los prestadores de servicios intermediarios designarán un punto único de contacto que les permita ponerse en comunicación directamente, por vía electrónica, con las autoridades de los Estados miembros, con la Comisión y con la Junta a que se refiere el artículo 61 con respecto a la aplicación del presente Reglamento.

2.   Los prestadores de servicios intermediarios harán pública la información necesaria para identificar fácilmente a sus puntos únicos de contacto y comunicarse con ellos fácilmente. Dicha información será fácilmente accesible y se mantendrá actualizada.

3.   Los prestadores de servicios intermediarios especificarán, en la información a que se refiere el apartado 2, la lengua o lenguas oficiales de los Estados miembros que, además de una lengua ampliamente conocida por el mayor número posible de ciudadanos de la Unión, puedan utilizarse en las comunicaciones con sus puntos de contacto, y que incluirán al menos una de las lenguas oficiales del Estado miembro en que el prestador de servicios intermediarios tenga su establecimiento principal o en el que su representante legal resida o esté establecido.

Artículo 12. Puntos de contacto para los destinatarios de los servicios

1.   Los prestadores de servicios intermediarios designarán un punto único de contacto que permita a los destinatarios del servicio comunicarse directa y rápidamente con ellos, por medios electrónicos y de manera sencilla, también permitiendo a los destinatarios del servicio elegir los medios de comunicación, que no se basarán únicamente en herramientas automatizadas.

2.   Además de las obligaciones establecidas en la Directiva 2000/31/CE, los prestadores de servicios intermediarios harán pública la información necesaria para los destinatarios del servicio para identificar fácilmente a sus puntos únicos de contacto y comunicarse con ellos fácilmente. Dicha información será fácilmente accesible y se mantendrá actualizada.

Artículo 13. Representantes legales

1.   Los prestadores de servicios intermediarios que no tengan un establecimiento en la Unión pero que ofrezcan servicios en la Unión designarán, por escrito, a una persona física o jurídica para actuar como su representante legal en uno de los Estados miembros en los que el prestador ofrezca sus servicios.

2.   Los prestadores de servicios intermediarios mandatarán a sus representantes legales, además o en lugar de dichos prestadores, con el fin de ser los destinatarios de las comunicaciones enviadas por las autoridades competentes de los Estados miembros, la Comisión y la Junta sobre todas las cuestiones necesarias para la recepción, el cumplimiento y la ejecución de las decisiones adoptadas en relación con el presente Reglamento. Los prestadores de servicios intermediarios otorgarán a su representante legal las facultades necesarias y recursos suficientes para garantizar su cooperación eficiente y en tiempo oportuno con las autoridades competentes de los Estados miembros, la Comisión y la Junta, y cumplir dichas decisiones.

3.   El representante legal designado podrá ser considerado responsable por el incumplimiento de las obligaciones en virtud del presente Reglamento, sin perjuicio de la responsabilidad del prestador de servicios intermediarios y de las acciones legales que puedan iniciarse contra este.

4.   Los prestadores de servicios intermediarios notificarán el nombre, el domicilio postal, la dirección de correo electrónico y el número de teléfono de su representante legal al coordinador de servicios digitales del Estado miembro en el que dicho representante legal resida o esté establecido. Velarán por que dicha información esté a disposición del público, sea fácilmente accesible, sea exacta y esté actualizada.

5.   La designación de un representante legal en la Unión en virtud del apartado 1 no constituirá un establecimiento en la Unión.

Artículo 14. Condiciones generales

1.   Los prestadores de servicios intermediarios incluirán en sus condiciones generales información sobre cualquier restricción que impongan en relación con el uso de su servicio respecto de la información proporcionada por los destinatarios del servicio. Esta información deberá incluir datos sobre cualesquiera políticas, procedimientos, medidas y herramientas empleadas para moderar los contenidos, incluidas la toma de decisiones mediante algoritmos y la revisión humana, así como sobre las normas de procedimiento de su sistema interno de gestión de reclamaciones. Se expondrá en lenguaje claro, sencillo, inteligible, accesible al usuario e inequívoco, y se hará pública en un formato fácilmente accesible y legible por máquina.

2.   Los prestadores de servicios intermediarios informarán a los destinatarios del servicio de cualquier cambio significativo en las condiciones generales.

3.   Cuando un servicio intermediario esté dirigido principalmente a menores o sea utilizado predominantemente por ellos, el prestador de dicho servicio intermediario explicará las condiciones y cualesquiera restricciones del uso del servicio de manera que los menores lo puedan comprender.

4.   Los prestadores de servicios intermediarios actuarán de manera diligente, objetiva y proporcionada para aplicar y hacer cumplir las restricciones a que se refiere el apartado 1, con la debida consideración de los derechos e intereses legítimos de todas las partes implicadas, incluidos los derechos fundamentales de los destinatarios del servicio, como la libertad de expresión, la libertad y el pluralismo de los medios de comunicación y otros derechos y libertades fundamentales amparados por la Carta.

5.   Los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño facilitarán a los destinatarios de los servicios un resumen sucinto, fácilmente accesible y legible por máquina de las condiciones generales, incluidas las medidas correctivas y los mecanismos de recurso disponibles, en un lenguaje claro e inequívoco.

6.   Las plataformas en línea de muy gran tamaño y los motores de búsqueda en línea de muy gran tamaño en el sentido del artículo 33 publicarán sus condiciones generales en todas las lenguas oficiales de todos los Estados miembros en los que presten sus servicios.

Artículo 15. Obligaciones de transparencia informativa de los prestadores de servicios intermediarios

1.   Los prestadores de servicios intermediarios publicarán en un formato legible por máquina y de forma fácilmente accesible, al menos una vez al año, informes claros y fácilmente comprensibles sobre cualquier actividad de moderación de contenidos que hayan realizado durante el período pertinente. Esos informes incluirán, en particular, información sobre lo siguiente, según proceda:

a) en el caso de los prestadores de servicios intermediarios, el número de órdenes recibidas de las autoridades de los Estados miembros, incluidas las órdenes dictadas de conformidad con los artículos 9 y 10, categorizadas según el tipo de contenido ilícito de que se trate, el Estado miembro que haya dictado la orden y el tiempo medio necesario para informar a la autoridad que haya dictado la orden, o a cualquier otra autoridad especificada en la orden, de su recepción, y para dar curso a la orden;

b) en el caso de los prestadores de servicios de alojamiento de datos, el número de notificaciones enviadas de conformidad con el artículo 16, clasificadas según el tipo de contenido presuntamente ilícito de que se trate, el número de notificaciones enviadas por alertadores fiables, toda actuación que se haya llevado a cabo en virtud de dichas notificaciones distinguiendo si esta se hizo conforme al Derecho o a las condiciones generales del prestador, el número de notificaciones tratadas únicamente por medios automatizados y el tiempo medio necesario para adoptar medidas;

c) en el caso de los prestadores de servicios intermediarios, información significativa y comprensible sobre la actividad de moderación de contenidos realizada por iniciativa propia del prestador, incluido el uso de herramientas automatizadas, las medidas adoptadas para proporcionar formación y asistencia a las personas encargadas de la moderación de contenidos, el número y el tipo de medidas adoptadas que afecten a la disponibilidad, visibilidad y accesibilidad de la información proporcionada por los destinatarios del servicio y a la capacidad de los destinatarios para proporcionar información a través del servicio, y otras restricciones conexas del servicio; la información proporcionada se clasificará según el tipo de contenido ilícito o infracción de las condiciones generales del prestador del servicio de que se trate, según el método de detección y según el tipo de restricción aplicado;

d) en el caso de los prestadores de servicios intermediarios, el número de reclamaciones recibidas a través de los sistemas internos de gestión de reclamaciones de conformidad con las condiciones generales del prestador y además, para los prestadores de plataformas en línea, de conformidad con el artículo 20, la base de dichas reclamaciones, las decisiones adoptadas en relación con dichas reclamaciones, el tiempo medio necesario para adoptar dichas decisiones y el número de ocasiones en que dichas decisiones fueron revocadas;

e) el uso de medios automatizados con fines de moderación de contenidos, incluyendo una descripción cualitativa, una especificación de los fines precisos, los indicadores de la precisión y la posible tasa de error de los medios automatizados empleados para cumplir dichos fines, y las salvaguardias aplicadas.

2.   El apartado 1 del presente artículo no se aplicará a los prestadores de servicios intermediarios que sean microempresas o pequeñas empresas en el sentido de la Recomendación 2003/361/CE, y que no sean plataformas en línea de muy gran tamaño en el sentido del artículo 33 del presente Reglamento.

3.   La Comisión podrá adoptar actos de ejecución para establecer modelos relativos a la forma, el contenido y otros detalles de los informes elaborados en virtud del apartado 1 del presente artículo, incluidos períodos de presentación de informes armonizados. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento consultivo a que se refiere el artículo 88.

SECCIÓN 2. Disposiciones adicionales aplicables a los prestadores de servicios de alojamiento de datos, incluidas las plataformas en línea

Artículo 16. Mecanismos de notificación y acción

1.   Los prestadores de servicios de alojamiento de datos establecerán mecanismos que permitan que cualquier persona física o entidad les notifique la presencia en su servicio de elementos de información concretos que esa persona física o entidad considere contenidos ilícitos. Dichos mecanismos serán de fácil acceso y manejo, y permitirán el envío de notificaciones exclusivamente por vía electrónica.

2.   Los mecanismos mencionados en el apartado 1 serán de tal naturaleza que faciliten el envío de notificaciones suficientemente precisas y adecuadamente fundamentadas. Con ese fin, los prestadores de servicios de alojamiento de datos adoptarán las medidas necesarias para habilitar y facilitar el envío de notificaciones que contengan todos los elementos siguientes:

a) una explicación suficientemente motivada de los motivos por los que una persona física o entidad considera que la información en cuestión es contenido ilícito;

b) una indicación clara de la localización electrónica exacta de esa información, como por ejemplo el o los URL exactos y, en su caso, información adicional que permita identificar el contenido ilícito adaptado al tipo de contenido y al tipo concreto de servicio de alojamiento de datos;

c) el nombre y una dirección de correo electrónico de la persona física o entidad que envíe la notificación, excepto en el caso de información que se considere que implica uno de los delitos a que se refieren los artículos 3 a 7 de la Directiva 2011/93/UE;

d) una declaración que confirme que la persona física o entidad que envíe la notificación está convencida de buena fe de que la información y las alegaciones que dicha notificación contiene son precisas y completas.

3.   Se considerará que las notificaciones a que se refiere el presente artículo proporcionan un conocimiento efectivo o permiten ser consciente, a los efectos del artículo 6, del elemento de información concreto de que se trate, cuando permitan a un prestador diligente de servicios de alojamiento de datos determinar, sin un examen jurídico detallado, que la información o la actividad pertinentes son ilícitas.

4.   Cuando la notificación contenga información de contacto electrónica de la persona física o entidad que la envíe, el prestador de servicios de alojamiento de datos enviará, sin dilación indebida, un acuse de recibo de la notificación a dicha persona física o entidad.

5.   El prestador también notificará a esa persona física o entidad, sin dilación indebida, su decisión respecto de la información a que se refiera la notificación e incluirá información sobre las vías de recurso respecto de esa decisión.

6.   Los prestadores de servicios de alojamiento de datos tratarán las notificaciones que reciban a través de los mecanismos a que se refiere el apartado 1 y adoptarán sus decisiones respecto de la información a que se refieran tales notificaciones, en tiempo oportuno y de manera diligente, no arbitraria y objetiva. Cuando utilicen medios automatizados para dicho tratamiento o toma de decisión, incluirán información sobre dicho uso en la notificación a que se refiere el apartado 5.

Artículo 17. Declaración de motivos

1.   Los prestadores de servicios de alojamiento de datos deberán proporcionar una declaración de motivos clara y específica a cualquier destinatario del servicio afectado por cualquiera de las siguientes restricciones impuestas por el hecho de que la información proporcionada por el destinatario del servicio sea un contenido ilegal o incompatible con sus condiciones generales:

a) cualquier restricción de la visibilidad de los elementos de información concretos facilitados por el destinatario del servicio, incluida la eliminación de contenidos, el bloqueo del acceso a estos o su relegación;

b) la suspensión, cesación u otra restricción de los pagos monetarios;

c) la suspensión o cesación total o parcial de la prestación del servicio;

d) la suspensión o supresión de la cuenta del destinatario del servicio.

2.   El apartado 1 solo se aplicará cuando el prestador conozca los datos de contacto electrónicos pertinentes. Se aplicará a más tardar a partir de la fecha en que se imponga la restricción, independientemente del motivo o de la forma en que se haya impuesto.

El apartado 1 no se aplicará cuando la información sea un contenido comercial engañoso de gran volumen.

3.   La declaración de motivos a que se refiere el apartado 1 contendrá al menos la siguiente información:

a) información sobre si la decisión conlleva la retirada de la información, el bloqueo del acceso a esta, la relegación o la restricción de su visibilidad o la suspensión o cesación de los pagos monetarios relacionados con esa información, o impone otras medidas a que se refiere el apartado 1 en relación con la información, y, cuando proceda, el ámbito territorial de la decisión y su duración;

b) los hechos y circunstancias en que se ha basado la adopción de la decisión, que incluirán, en su caso, información sobre si la decisión se ha adoptado en respuesta a una notificación enviada de conformidad con el artículo 16 o sobre la base de investigaciones por propia iniciativa de carácter voluntario y, en caso estrictamente necesario, la identidad de quien notifica;

c) en su caso, información sobre el uso de medios automatizados para adoptar la decisión, incluida información sobre si la decisión se ha adoptado respecto de contenidos detectados o identificados utilizando medios automatizados;

d) cuando la decisión se refiera a contenidos presuntamente ilícitos, una referencia al fundamento jurídico utilizado y explicaciones de por qué la información se considera contenido ilícito conforme a tal fundamento;

e) cuando la decisión se base en la presunta incompatibilidad de la información con las condiciones generales del prestador de servicios de alojamiento de datos, una referencia al fundamento contractual utilizado y explicaciones de por qué la información se considera incompatible con tal fundamento;

f) información clara y de fácil utilización sobre las vías de recurso disponibles para el destinatario del servicio respecto de la decisión, en particular, en su caso, a través de mecanismos internos de gestión de reclamaciones, resolución extrajudicial de litigios y recurso judicial.

4.   La información facilitada por los prestadores de los servicios de alojamiento de datos de conformidad con el presente artículo será clara y fácil de comprender, y tan precisa y específica como sea razonablemente posible en las circunstancias concretas. En particular, la información será de tal naturaleza que permita razonablemente al destinatario del servicio afectado ejercer de manera efectiva las posibilidades de recurso a que se refiere el apartado 3, letra f).

5.   El presente artículo no se aplicará a las órdenes a que se refiere el artículo 9.

Artículo 18. Notificación de sospechas de delitos

1.   Cuando un prestador de servicios de alojamiento de datos tenga conocimiento de cualquier información que le haga sospechar que se ha cometido, se está cometiendo o es probable que se cometa un delito que implique una amenaza para la vida o la seguridad de una o más personas, comunicará su sospecha de inmediato a las autoridades policiales o judiciales del Estado miembro o Estados miembros afectados y aportará toda la información pertinente de que disponga.

2.   Cuando el prestador de servicios de alojamiento de datos no pueda determinar con una seguridad razonable cuál es el Estado miembro afectado, informará a las autoridades policiales del Estado miembro en que esté establecido o en el que su representante legal resida o esté establecido o informará a Europol, o a ambas.

Para los fines del presente artículo, el Estado miembro afectado será el Estado miembro en el que se sospeche que se ha cometido, se está cometiendo o es probable que se cometa el delito, o el Estado miembro en el que resida o se encuentre el presunto delincuente, o el Estado miembro en el que resida o se encuentre la víctima del presunto delito.

SECCIÓN 3. Disposiciones adicionales aplicables a los prestadores de plataformas en línea

Artículo 19. Exclusión de microempresas y pequeñas empresas

1.   La presente sección, con excepción de su artículo 24, apartado 3, no se aplicará a los prestadores de plataformas en línea que sean microempresas o pequeñas empresas tal como se define en la Recomendación 2003/361/CE.

La presente sección, con excepción de su artículo 24, apartado 3, no se aplicará a los prestadores de plataformas en línea que previamente fueran microempresas o pequeñas empresas tal como se definen en la Recomendación 2003/361/CE durante los doce meses siguientes a la pérdida esa condición con arreglo a su artículo 4, apartado 2, excepto si son plataformas en línea de muy gran tamaño en el sentido del artículo 33.

2.   No obstante lo dispuesto en el apartado 1 del presente artículo, la presente sección se aplicará a los prestadores de plataformas en línea que hayan sido designados como plataformas en línea de muy gran tamaño en el sentido del artículo 33, con independencia de que sean microempresas o pequeñas empresas.

Artículo 20. Sistema interno de gestión de reclamaciones

1.   Los prestadores de plataformas en línea facilitarán a los destinatarios del servicio, en particular a las personas físicas o entidades que hayan presentado una notificación, durante un período mínimo de seis meses a partir de la decisión a que se refiere el presente apartado, acceso a un sistema interno eficaz de gestión de reclamaciones, que les permita presentar las reclamaciones por vía electrónica y de forma gratuita, contra la decisión tomada por el prestador de la plataforma en línea cuando reciban una notificación o contra las siguientes decisiones adoptadas por el prestador de la plataforma en línea sobre la base de que la información proporcionada por los destinatarios del servicio constituye un contenido ilícito o incompatible con sus condiciones generales:

a) las decisiones de si retirar la información o bloquear el acceso a esta o restringir su visibilidad, o de no hacerlo;

b) las decisiones de si suspender o cesar la prestación del servicio, en todo o en parte, a los destinatarios, o de no hacerlo;

c) las decisiones de si suspender o suprimir la cuenta de los destinatarios, o de no hacerlo;

d) las decisiones de si suspender, cesar o restringir de algún otro modo la capacidad de monetizar la información proporcionada por los destinatarios, o de no hacerlo.

2.   El plazo mínimo de seis meses a que se refiere el apartado 1 del presente artículo comenzará el día en que el destinatario del servicio sea informado de la decisión de conformidad con el artículo 16, apartado 5, o con el artículo 17.

3.   Los prestadores de plataformas en línea velarán por que sus sistemas internos de gestión de reclamaciones sean de fácil acceso y manejo y habiliten y faciliten la presentación de reclamaciones suficientemente precisas y adecuadamente fundamentadas.

4.   Los prestadores de plataformas en línea tratarán las reclamaciones presentadas a través de su sistema interno de gestión de reclamaciones en tiempo oportuno y de manera no discriminatoria, diligente y no arbitraria. Cuando una reclamación contenga motivos suficientes para que el prestador de la plataforma en línea considere que su decisión de no atender a la notificación sea infundada o que la información a que se refiere la reclamación no es ilícita ni incompatible con sus condiciones generales, o contenga información que indique que la conducta del reclamante no justifica la medida adoptada, revertirá la decisión a que se refiere el apartado 1 sin dilación indebida.

5.   Los prestadores de plataformas en línea comunicarán a los reclamantes, sin dilación indebida, la decisión motivada respecto de la información a que se refiera la reclamación y de la posibilidad de resolución extrajudicial de litigios recogida en el artículo 21 y otras vías de recurso de que dispongan.

6.   Los prestadores de plataformas en línea velarán por que las decisiones a que se refiere el apartado 5 se adopten bajo la supervisión de personal adecuadamente cualificado y no exclusivamente por medios automatizados.

Artículo 21. Resolución extrajudicial de litigios

1.   Los destinatarios del servicio, incluidas las personas físicas o entidades que hayan enviado notificaciones, a quienes vayan destinadas las decisiones a que se refiere el artículo 20, apartado 1, tendrán derecho a elegir cualquier órgano de resolución extrajudicial de litigios que haya sido certificado de conformidad con el apartado 3 del presente artículo para resolver litigios relativos a esas decisiones, incluidas las reclamaciones que no se hayan resuelto a través del sistema interno de tramitación de reclamaciones mencionado en dicho artículo.

Los prestadores de plataformas en línea velarán por que la información sobre la posibilidad para el destinatario del servicio de acceder a una resolución extrajudicial de litigios a que se refiere el párrafo primero sea fácilmente accesible en su interfaz en línea, clara y sencilla.

El párrafo primero ha de entenderse sin perjuicio del derecho del destinatario del servicio afectado a interponer recurso, en cualquier fase, contra dichas decisiones de los prestadores de plataformas en línea ante un órgano jurisdiccional de conformidad con el Derecho aplicable.

2.   Ambas partes colaborarán, de buena fe, con el órgano de resolución extrajudicial de litigios seleccionado y certificado con el fin de resolver el litigio.

Los prestadores de plataformas en línea podrán negarse a colaborar con el órgano de resolución extrajudicial de litigios si ya se ha resuelto un litigio relativo a la misma información y los mismos motivos de supuesta ilegalidad o incompatibilidad de los contenidos.

El órgano certificado de resolución extrajudicial de litigios no estará facultado para imponer una resolución del litigio vinculante a las partes.

3.   El coordinador de servicios digitales del Estado miembro en el que esté establecido el órgano de resolución extrajudicial de litigios certificará a dicho órgano, a petición de este, por un período máximo de cinco años, renovable, cuando dicho órgano haya demostrado cumplir todas las condiciones siguientes:

a) que es imparcial e independiente, también financieramente, de los prestadores de plataformas en línea y de los destinatarios del servicio prestado por los prestadores de plataformas en línea, en particular de las personas físicas o entidades que hayan enviado notificaciones;

b) que tiene los conocimientos necesarios en relación con las cuestiones planteadas en uno o varios ámbitos específicos de los contenidos ilícitos, o en relación con la aplicación y ejecución de las condiciones generales de uno o varios tipos de plataformas en línea, para poder contribuir de manera eficaz a la resolución de un litigio;

c) que sus miembros son remunerados de una forma que no está vinculada al resultado del procedimiento;

d)que el mecanismo de resolución extrajudicial de litigios que ofrece es fácilmente accesible a través de tecnologías de comunicación electrónicas y ofrece la posibilidad de iniciar la resolución del litigio y de presentar en línea la documentación justificativa necesaria;

e) que es capaz de resolver litigios de manera rápida, eficiente y eficaz en términos de costes y en al menos una lengua oficial de las instituciones de la Unión;

f) que la resolución extrajudicial del litigio que ofrece se lleva a cabo con arreglo a unas normas de procedimiento claras y justas que sean fácilmente accesibles al público y conformes al Derecho aplicable, incluido el presente artículo.

El coordinador de servicios digitales, en su caso, especificará en el certificado:

a) las cuestiones concretas a las que se refieren los conocimientos del órgano, como se indica en el párrafo primero, letra b), y

b) la lengua o lenguas oficiales de las instituciones de la Unión en las que el órgano es capaz de resolver litigios, como se indica en el párrafo primero, letra e).

4.   Los órganos certificados de resolución extrajudicial de litigios informarán anualmente al coordinador de servicios digitales que los haya certificado acerca de su funcionamiento, especificando al menos el número de litigios que les hayan sido sometidos, la información sobre los resultados de dichos litigios, el tiempo medio necesario para resolverlos y las deficiencias o dificultades encontradas. Dichos órganos facilitarán información adicional a petición del citado coordinador de servicios digitales.

Cada dos años, los coordinadores de servicios digitales elaborarán un informe sobre el funcionamiento de los órganos de resolución extrajudicial de litigios que hayan certificado. En concreto, el informe:

a) enumerará el número de litigios que haya sido sometido anualmente a cada órgano certificado de resolución extrajudicial de litigios;

b) indicará los resultados de los procedimientos interpuestos ante dichos órganos y el tiempo medio necesario para resolver los litigios;

c) identificará y explicará cualquier deficiencia o dificultad sistémica o sectorial encontrada en relación con el funcionamiento de dichos órganos;

d) determinará las mejores prácticas relativas a ese funcionamiento;

e) hará recomendaciones sobre cómo mejorar ese funcionamiento, en su caso.

Los órganos certificados de resolución extrajudicial de litigios pondrán sus decisiones a disposición de las partes en un plazo razonable y, a más tardar, 90 días naturales después de la recepción de la reclamación. En caso de litigios de gran complejidad, el órgano certificado de resolución extrajudicial de litigios podrá, a su discreción, ampliar el plazo de 90 días naturales por un plazo adicional que no excederá 90 días, con una duración total máxima de 180 días.

5.   Si el órgano de resolución extrajudicial de litigios resuelve el litigio en favor del destinatario del servicio, incluida la persona física o la entidad que haya enviado una notificación, el prestador de la plataforma en línea sufragará todos los honorarios que cobre el órgano de resolución extrajudicial de litigios, y reembolsará a dicho destinatario, incluida la persona física o la entidad, los demás gastos razonables que haya abonado en relación con la resolución del litigio. Si el órgano de resolución extrajudicial de litigios resuelve el litigio en favor del prestador de la plataforma en línea, el destinatario del servicio, en particular la persona física o la entidad, no estará obligado a reembolsar los honorarios u otros gastos que el prestador de la plataforma en línea haya abonado o deba abonar en relación con la resolución del litigio, a menos que el órgano de resolución extrajudicial de litigios determine que dicho destinatario actuó manifiestamente de mala fe.

Los honorarios que el órgano de resolución extrajudicial de litigios cobre a los prestadores de las plataformas en línea por la resolución del litigio serán razonables y en ningún caso serán superiores a los costes en que haya incurrido el órgano. Para los destinatarios del servicio, la resolución de litigios será gratuita o estará a disposición de estos a un coste mínimo.

Los órganos certificados de resolución extrajudicial de litigios comunicarán sus honorarios, o los mecanismos utilizados para determinar sus honorarios, al destinatario del servicio, en particular a las personas físicas o entidades que hayan enviado una notificación, y al prestador de la plataforma en línea afectada, antes de iniciar la resolución del litigio.

6.   Los Estados miembros podrán establecer órganos de resolución extrajudicial de litigios para los fines del apartado 1 o colaborar en las actividades de todos o algunos de los órganos de resolución extrajudicial de litigios que hayan certificado de conformidad con el apartado 3.

Los Estados miembros velarán por que ninguna de las actividades que lleven a cabo de conformidad con el párrafo primero afecte a la capacidad de sus coordinadores de servicios digitales para certificar a los órganos de que se trate de conformidad con el apartado 3.

7.   Un coordinador de servicios digitales que haya certificado a un órgano de resolución extrajudicial de litigios revocará dicha certificación si determina, a raíz de una investigación realizada por iniciativa propia o basada en información recibida por terceros, que el órgano de resolución extrajudicial de litigios ya no cumple las condiciones establecidas en el apartado 3. Antes de revocar esa certificación, el coordinador de servicios digitales dará a este órgano una oportunidad para responder a las conclusiones de su investigación y a su intención de revocar la certificación de dicho órgano de resolución extrajudicial de litigios.

8.   Los coordinadores de servicios digitales notificarán a la Comisión los órganos de resolución extrajudicial de litigios que hayan certificado de conformidad con el apartado 3, indicando, en su caso, las especificaciones a que se refiere el párrafo segundo de dicho apartado, así como los órganos de resolución extrajudicial de litigios cuya certificación hayan revocado. La Comisión publicará una lista de esos órganos, incluidas dichas especificaciones, en un sitio web destinado a tal fin y de fácil acceso, y la mantendrán actualizada.

9.   El presente artículo ha de entenderse sin perjuicio de la Directiva 2013/11/UE y de los procedimientos y entidades de resolución alternativa de litigios para los consumidores establecidos en virtud de dicha Directiva.

Artículo 22. Alertadores fiables

1.   Los prestadores de plataformas en línea adoptarán las medidas técnicas y organizativas necesarias para asegurarse de que se otorgue prioridad a las notificaciones enviadas por los alertadores fiables, dentro de su ámbito de especialidad señalado, a través de los mecanismos a que se refiere el artículo 16, y de que se tramiten y resuelvan sin dilación indebida.

2.   La condición de «alertador fiable» en virtud del presente Reglamento será otorgada, previa solicitud de cualquier entidad que lo desee, por el coordinador de servicios digitales del Estado miembro donde el solicitante esté establecido, a un solicitante que haya demostrado que cumple todas las condiciones siguientes:

a) poseer conocimientos y competencias específicos para detectar, identificar y notificar contenidos ilícitos;

b) no depender de ningún prestador de plataformas en línea;

c) realizar sus actividades con el fin de enviar notificaciones de manera diligente, precisa y objetiva.

3.   Los alertadores fiables publicarán, al menos una vez al año, informes detallados y fácilmente comprensibles sobre las notificaciones enviadas de conformidad con el artículo 16 durante el período pertinente. El informe enumerará, como mínimo, el número de notificaciones clasificadas en función de:

a) la identidad del prestador de servicios de alojamiento de datos;

b) el tipo de contenido notificado presuntamente ilícito;

c) las acciones adoptadas por el prestador.

Estos informes incluirán una explicación de los procedimientos vigentes para garantizar que el alertador fiable mantiene su independencia.

Los alertadores fiables enviarán dichos informes al coordinador de servicios digitales otorgante, y los pondrán a disposición del público. La información contenida en los informes no incluirá datos personales.

4.   Los coordinadores de servicios digitales comunicarán a la Comisión y a la Junta los nombres, domicilios y direcciones de correo electrónico de las entidades a las que hayan otorgado la condición de alertador fiable de conformidad con el apartado 2 o cuya condición de alertador fiable hayan suspendido de conformidad con el apartado 6 o revocado de conformidad con el apartado 7.

5.   La Comisión publicará la información a que se refiere el apartado 4 en una base de datos pública en un formato fácilmente accesible y legible por máquina, y mantendrá dicha base de datos actualizada.

6.   Cuando un prestador de plataformas en línea posea información que indique que un alertador fiable ha enviado un número significativo de notificaciones insuficientemente precisas, incorrectas o inadecuadamente fundamentadas a través de los mecanismos a que se refiere el artículo 16, incluida información recabada en relación con la tramitación de reclamaciones a través de los sistemas internos de gestión de reclamaciones a que se refiere el artículo 20, apartado 4, comunicará dicha información al coordinador de servicios digitales que haya otorgado la condición de alertador fiable a la entidad de que se trate y aportará las explicaciones y los documentos justificativos que sean necesarios. Una vez recibida la información del prestador de plataformas en línea y si el coordinador de servicios digitales considera que existen razones legítimas para iniciar una investigación, se suspenderá la condición de alertador fiable durante el período de investigación. Dicha investigación se llevará a cabo sin dilación indebida.

7.   El coordinador de servicios digitales que haya otorgado la condición de alertador fiable a una entidad revocará dicha condición si determina, a raíz de una investigación realizada por iniciativa propia o basada en información recibida por parte de terceros, incluida la información proporcionada por un prestador de plataformas en línea en virtud del apartado 6, que esa entidad ya no cumple las condiciones establecidas en el apartado 2. Antes de revocar esa condición, el coordinador de servicios digitales dará a la entidad una oportunidad de reaccionar a las conclusiones de su investigación y a su intención de revocar la condición de alertador fiable de esa entidad.

8.   La Comisión, previa consulta a la Junta, ofrecerá, cuando sea necesario, directrices que guíen a los prestadores de plataformas en línea y a los coordinadores de servicios digitales en la aplicación de los apartados 2, 6 y 7.

Artículo 23. Medidas y protección contra usos indebidos

1.   Los prestadores de plataformas en línea suspenderán, durante un período razonable y después de haber realizado una advertencia previa, la prestación de sus servicios a los destinatarios del servicio que proporcionen con frecuencia contenidos manifiestamente ilícitos.

2.   Los prestadores de plataformas en línea suspenderán, durante un período razonable y después de haber realizado una advertencia previa, el tratamiento de notificaciones y reclamaciones enviados a través de los mecanismos de notificación y acción y los sistemas internos de gestión de reclamaciones a que se refieren los artículos 16 y 20, respectivamente, por personas físicas o entidades o por reclamantes que envíen con frecuencia notificaciones o reclamaciones que sean manifiestamente infundadas.

3.   Al decidir sobre una suspensión, los prestadores de plataformas en línea evaluarán, caso por caso, en tiempo oportuno y de manera diligente y objetiva, si el destinatario del servicio, la persona física, la entidad o el reclamante efectúa los usos indebidos a que se refieren los apartados 1 y 2, teniendo en cuenta todos los hechos y circunstancias pertinentes que se aprecien a partir de la información de que disponga el prestador de plataformas en línea. Tales circunstancias incluirán, como mínimo, lo siguiente:

a) las cifras absolutas de elementos de contenido manifiestamente ilícitos o notificaciones o reclamaciones manifiestamente infundadas, que se hayan enviado en un plazo determinado;

b) su proporción relativa en relación con la cifra total de elementos de información proporcionados o notificaciones enviadas en un plazo determinado;

c) la gravedad de los usos indebidos, en particular la naturaleza del contenido ilícito, y de sus consecuencias;

d) cuando sea posible determinarla, la intención del destinatario del servicio, la persona física, la entidad o el reclamante.

4.   Los prestadores de plataformas en línea expondrán en sus condiciones generales, de manera clara y detallada, su política respecto de los usos indebidos a que se refieren los apartados 1 y 2, y facilitarán ejemplos de los hechos y circunstancias que tengan en cuenta para evaluar si un determinado comportamiento constituye uso indebido y la duración de la suspensión.

Artículo 24. Obligaciones de transparencia informativa de los prestadores de plataformas en línea

1.   Además de la información a que se refiere el artículo 15, los prestadores de plataformas en línea incluirán en los informes a que se refiere dicho artículo información sobre lo siguiente:

a) el número de litigios sometidos a los órganos de resolución extrajudicial de litigios a que se refiere el artículo 21, los resultados de la resolución de los litigios y el tiempo medio necesario para completar los procedimientos de resolución de los litigios, así como el porcentaje de litigios en los que el prestador de la plataforma en línea haya aplicado las decisiones del órgano;

b) el número de suspensiones impuestas en virtud del artículo 23, distinguiendo entre suspensiones aplicadas por proporcionar contenido manifiestamente ilegal, enviar notificaciones manifiestamente infundadas y enviar reclamaciones manifiestamente infundadas.

2.   A más tardar el 17 de febrero de 2023 y al menos una vez cada seis meses a partir de entonces, los prestadores publicarán para cada plataforma en línea o motor de búsqueda en línea, en una sección de su interfaz en línea a disposición del público, información sobre el promedio mensual de destinatarios del servicio activos en la Unión, calculado como promedio de los seis últimos meses y de conformidad con la metodología establecida en los actos delegados a que se refiere el artículo 33, apartado 3, cuando se hayan adoptado dichos actos delegados.

3.   Los prestadores de plataformas en línea o de motores de búsqueda en línea comunicarán al coordinador de servicios digitales de establecimiento y a la Comisión, a petición de estos y sin dilación indebida, la información a que se refiere el apartado 2, actualizada hasta el momento de efectuarse tal petición. Dicho coordinador de servicios digitales o la Comisión podrán exigir al prestador de la plataforma en línea o del motor de búsqueda en línea que proporcione información adicional en relación con el cálculo a que se refiere dicho apartado, con explicaciones y justificaciones de los datos utilizados. Dicha información no incluirá datos personales.

4.   El coordinador de servicios digitales de establecimiento informará a la Comisión cuando tenga razones para considerar, a partir de la información recibida con arreglo a los apartados 2 y 3 del presente artículo, que un prestador de plataformas en línea o de motores de búsqueda en línea alcanza el umbral del promedio mensual de destinatarios del servicio activos en la Unión establecido en el artículo 33, apartado 1.

5.   Los prestadores de plataformas en línea presentarán a la Comisión, sin dilación indebida, las decisiones y las declaraciones de motivos a que se refiere el artículo 17, apartado 1, para incluirlas en una base de datos de acceso público, legible por máquina y gestionada por la Comisión. Los prestadores de plataformas en línea velarán por que la información presentada no contenga datos personales.

6.   La Comisión podrá adoptar actos de ejecución para establecer modelos relativos a la forma, el contenido y otros detalles de los informes elaborados en virtud del apartado 1 del presente artículo. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento consultivo a que se refiere el artículo 88.

Artículo 25. Diseño y organización de interfaces en línea

1.   Los prestadores de plataformas en línea no diseñarán, organizarán ni gestionarán sus interfaces en línea de manera que engañen o manipulen a los destinatarios del servicio o de manera que distorsionen u obstaculicen sustancialmente de otro modo la capacidad de los destinatarios de su servicio de tomar decisiones libres e informadas.

2.   La prohibición del apartado 1 no se aplicará a las prácticas contempladas en la Directiva 2005/29/CE o en el Reglamento (UE) 2016/679.

3.   La Comisión podrá publicar directrices sobre cómo el apartado 1 se aplica a prácticas específicas, en particular:

a) dar más protagonismo a determinadas opciones al pedir al destinatario del servicio que tome una decisión;

b) solicitar reiteradamente que el destinatario del servicio elija una opción cuando ya se haya hecho esa elección, especialmente a través de la presentación de ventanas emergentes que interfieran en la experiencia del usuario;

c) hacer que el procedimiento para poner fin a un servicio sea más difícil que suscribirse a él.

Artículo 26. Publicidad en las plataformas en línea

1.   Los prestadores de plataformas en línea que presenten anuncios publicitarios en sus interfaces en línea se asegurarán de que, por cada anuncio publicitario concreto presentado a cada destinatario específico, los destinatarios del servicio sean capaces de identificar, de manera clara, concisa e inequívoca y en tiempo real, lo siguiente:

a) que la información es un anuncio publicitario, en particular mediante indicaciones destacadas, que podrían seguir determinadas normas en virtud del artículo 44;

b) la persona física o jurídica en cuyo nombre se presenta el anuncio publicitario;

c) la persona física o jurídica que ha pagado por el anuncio publicitario, si es diferente de la persona física o jurídica a que se refiere la letra b);

d) información significativa accesible directa y fácilmente desde el anuncio acerca de los principales parámetros utilizados para determinar el destinatario a quien se presenta el anuncio publicitario y, en su caso, acerca de cómo cambiar esos parámetros.

2.   Los prestadores de plataformas en línea ofrecerán a los destinatarios del servicio una funcionalidad para declarar si el contenido que proporcionan es una comunicación comercial o contiene comunicaciones comerciales.

Cuando el destinatario del servicio presente una declaración en virtud del presente apartado, el prestador de plataformas en línea se asegurará de que los demás destinatarios del servicio puedan identificar de manera clara e inequívoca y en tiempo real, en particular mediante indicaciones destacadas, que podrían seguir normas con arreglo al artículo 44, que el contenido proporcionado por el destinatario del servicio es una comunicación comercial o contiene comunicaciones comerciales, tal como se describe en dicha declaración.

3.   Los prestadores de plataformas en línea no presentarán a los destinatarios del servicio anuncios basados en la elaboración de perfiles, tal como se define en el artículo 4, punto 4, del Reglamento (UE) 2016/679, utilizando las categorías especiales de datos personales a que se refiere el artículo 9, apartado 1, del Reglamento (UE) 2016/679.

Artículo 27. Transparencia del sistema de recomendación

1.   Los prestadores de plataformas en línea que utilicen sistemas de recomendación establecerán en sus condiciones generales, utilizando un lenguaje claro y comprensible, los parámetros principales utilizados en sus sistemas de recomendación, así como cualquier opción a disposición de los destinatarios del servicio para modificar o influir en dichos parámetros principales.

2.   Los parámetros principales a que se refiere el apartado 1 explicarán por qué se sugiere determinada información al destinatario del servicio. Estos parámetros incluirán, como mínimo:

a) los criterios más significativos a la hora de determinar la información sugerida al destinatario del servicio, y

b) las razones de la importancia relativa de dichos parámetros.

3.   Cuando haya varias opciones disponibles de conformidad con el apartado 1 para los sistemas de recomendación que determinen el orden relativo de información que se presente a los destinatarios del servicio, los prestadores de plataformas en línea también pondrán a su disposición una funcionalidad que permita al destinatario del servicio seleccionar y modificar en cualquier momento su opción preferida. Dicha funcionalidad será accesible directa y fácilmente desde la sección específica de la interfaz de la plataforma en línea en la que se priorice la información.

Artículo 28. Protección de los menores en línea

1.   Los prestadores de plataformas en línea accesibles a los menores establecerán medidas adecuadas y proporcionadas para garantizar un elevado nivel de privacidad, seguridad y protección de los menores en su servicio.

2.   Los prestadores de plataformas en línea no presentarán anuncios en su interfaz basados en la elaboración de perfiles, tal como se define en el artículo 4, punto 4, del Reglamento (UE) 2016/679, mediante la utilización de datos personales del destinatario del servicio cuando sean conscientes con una seguridad razonable de que el destinatario del servicio es un menor.

3.   El cumplimiento de las obligaciones establecidas en el presente artículo no obligará a los prestadores de plataformas en línea a tratar datos personales adicionales a fin de evaluar si el destinatario del servicio es un menor.

4.   La Comisión, previa consulta a la Junta, podrá proporcionar directrices para guiar a los prestadores de plataformas en línea en la aplicación del apartado 1.

SECCIÓN 4. Disposiciones adicionales aplicables a los prestadores de plataformas en línea que permitan a los consumidores celebrar contratos a distancia con comerciantes

Artículo 29. Exclusión de microempresas y pequeñas empresas

1.   La presente sección no se aplicará a los prestadores de plataformas en línea que permitan a los consumidores celebrar contratos a distancia con comerciantes que sean microempresas o pequeñas empresas tal como se definen en la Recomendación 2003/361/CE.

La presente sección no se aplicará a los prestadores de plataformas en línea que permitan a los consumidores celebrar contratos a distancia con comerciantes que previamente fueran microempresas o pequeñas empresas tal como se definen en la Recomendación 2003/361/CE durante los doce meses siguientes a la pérdida de esa condición con arreglo a su artículo 4, apartado 2, excepto si son plataformas en línea de muy gran tamaño de conformidad con el artículo 33.

2.   No obstante lo dispuesto en el apartado 1 del presente artículo, la presente sección se aplicará a los prestadores de plataformas en línea que permitan a los consumidores celebrar contratos a distancia con comerciantes que hayan sido designados como plataformas en línea de muy gran tamaño de conformidad con el artículo 33, con independencia de que sean microempresas o pequeñas empresas.

Artículo 30. Trazabilidad de los comerciantes

1.   Los prestadores de plataformas en línea que permitan a los consumidores celebrar contratos a distancia con comerciantes se asegurarán de que los comerciantes solo puedan utilizar dichas plataformas en línea para promocionar mensajes u ofrecer productos o servicios a los consumidores situados en la Unión si, previamente al uso de sus servicios para estos fines, han obtenido la información siguiente, cuando sea de aplicación en relación al comerciante:

a) el nombre, la dirección, el número de teléfono y la dirección de correo electrónico del comerciante;

b) una copia del documento de identificación del comerciante o cualquier otra identificación electrónica tal como se define en el artículo 3 del Reglamento (UE) nº910/2014 del Parlamento Europeo y del Consejo (40);

c) los datos de la cuenta de pago del comerciante;

d) cuando el comerciante esté inscrito en un registro mercantil o registro público análogo, el registro mercantil en el que dicho comerciante esté inscrito y su número de registro o medio equivalente de identificación en ese registro;

e) una certificación del propio comerciante por la que se comprometa a ofrecer exclusivamente productos o servicios que cumplan con las disposiciones aplicables del Derecho de la Unión.

2.   Una vez recibida la información a que se refiere el apartado 1, y antes de autorizar al comerciante de que se trate el uso de sus servicios, el prestador de la plataforma en línea que permita a los consumidores celebrar contratos a distancia con comerciantes hará todo lo posible por evaluar si la información a que se refiere el apartado 1, letras a) a e), es fiable y completa mediante el uso de cualquier base de datos en línea o interfaz en línea oficial de libre acceso puesta a disposición por un Estado miembro o por la Unión o solicitando al comerciante que aporte documentos justificativos de fuentes fiables. A efectos del presente Reglamento, los comerciantes serán responsables de la exactitud de la información facilitada.

En lo que respecta a los comerciantes que ya estén utilizando los servicios de los prestadores de plataformas en línea que permitan a los consumidores celebrar contratos a distancia con comerciantes para los fines a que se refiere el apartado 1 a 17 de febrero de 2024, los prestadores harán todo lo posible por obtener la información enumerada por parte de los comerciantes correspondientes en un plazo de doce meses. En caso de que los comerciantes correspondientes no faciliten la información en ese plazo, los prestadores suspenderán la prestación de sus servicios a dichos comerciantes hasta que hayan facilitado toda la información.

3.   Cuando el prestador de la plataforma en línea que permita a los consumidores celebrar contratos a distancia con comerciantes obtenga indicaciones suficientes o tenga razones para creer que alguno de los elementos de información a que se refiere el apartado 1 obtenido del comerciante de que se trate es inexacto o incompleto o no está actualizado, dicho prestador solicitará a dicho comerciante que subsane la situación sin dilación o en el plazo determinado por el Derecho de la Unión y nacional.

Cuando el comerciante no corrija o complete dicha información, el prestador de la plataforma en línea que permita a los consumidores celebrar contratos a distancia con comerciantes suspenderá inmediatamente la prestación de su servicio a dicho comerciante en relación con la oferta de productos o servicios a los consumidores situados en la Unión hasta que se haya atendido a la solicitud en su totalidad.

4.   Sin perjuicio de lo dispuesto en el artículo 4 del Reglamento (UE) 2019/1150, en caso de que un prestador de una plataforma en línea que permita a los consumidores celebrar contratos a distancia con comerciantes se niegue a permitir a un comerciante utilizar su servicio con arreglo al apartado 1 o suspenda la prestación de dicho servicio con arreglo al apartado 3 del presente artículo, el comerciante afectado tendrá derecho a presentar una reclamación con arreglo a lo dispuesto en los artículos 20 y 21 del presente Reglamento.

5.   Los prestadores de plataformas en línea que permitan a los consumidores celebrar contratos a distancia con comerciantes conservarán la información obtenida con arreglo a los apartados 1 y 2 de manera segura durante un período de seis meses a partir del fin de su relación contractual con el comerciante de que se trate. Posteriormente suprimirán la información.

6.   Sin perjuicio de lo dispuesto en el apartado 2 del presente artículo, el prestador de la plataforma en línea que permita a los consumidores celebrar contratos a distancia con comerciantes solo revelará la información a terceros cuando así lo requiera el Derecho aplicable, incluidas las órdenes a que se refiere el artículo 10 y cualquier orden dictada por las autoridades competentes de los Estados miembros o la Comisión para el desempeño de sus funciones en virtud del presente Reglamento.

7.   El prestador de la plataforma en línea que permita a los consumidores celebrar contratos a distancia con comerciantes pondrá la información a que se refiere el apartado 1, letras a), d) y e), a disposición de los destinatarios del servicio en su plataforma en línea, de manera clara, fácilmente accesible y comprensible. Dicha información estará disponible al menos en la interfaz en línea de la plataforma en línea en la que se presente la información del producto o servicio.

Artículo 31. Cumplimiento desde el diseño

1.   El prestador de plataformas en línea que permitan a los consumidores celebrar contratos a distancia con comerciantes garantizará que su interfaz en línea esté diseñada y organizada de manera que los comerciantes puedan cumplir con sus obligaciones en relación con la información precontractual, la conformidad y la información de seguridad del producto en virtud del Derecho de la Unión aplicable.

En concreto, el prestador de que se trate garantizará que sus interfaces en línea permitan a los comerciantes proporcionar información sobre el nombre, la dirección, el número de teléfono y la dirección de correo electrónico del operador económico, según se establece en el artículo 3, punto 13, del Reglamento (UE) 2019/1020 y otros actos del Derecho de la Unión.

2.   El prestador de plataformas en línea que permitan a los consumidores celebrar contratos a distancia con comerciantes garantizará que su interfaz en línea esté diseñada y organizada de manera que los comerciantes puedan proporcionar al menos lo siguiente:

a) la información necesaria para la identificación clara e inequívoca de los productos o servicios promocionados u ofrecidos a los consumidores situados en la Unión a través de los servicios de los prestadores;

b) cualquier signo que identifique al comerciante, como la marca, el símbolo o el logotipo, y

c) en su caso, la información relativa al etiquetado y marcado de conformidad con las normas aplicables del Derecho de la Unión en materia de seguridad de los productos y conformidad de los productos.

3.   El prestador de plataformas en línea que permitan a los consumidores celebrar contratos a distancia con comerciantes hará todo lo posible por evaluar si dichos comerciantes han facilitado la información a la que se refieren los apartados 1 y 2 antes de permitirles ofrecer sus productos o servicios en esas plataformas. Después de permitir al comerciante ofrecer productos o servicios en su plataforma en línea que permita a los consumidores celebrar contratos a distancia con comerciantes, el prestador hará todos los esfuerzos que resulten razonables para comprobar aleatoriamente en cualquier base de datos en línea o interfaz en línea oficial, de libre acceso y legible por máquina si los productos o servicios ofrecidos han sido identificados como ilícitos.

Artículo 32. Derecho a la información

1.   Cuando un prestador de una plataforma en línea que permita a los consumidores celebrar contratos a distancia con comerciantes tenga conocimiento, independientemente de los medios utilizados, de que un producto o servicio ilícito haya sido ofrecido por un comerciante a los consumidores situados en la Unión a través de sus servicios, dicho prestador informará, en la medida en que tenga sus datos de contacto a los consumidores que hayan adquirido el producto o servicio ilícito a través de sus servicios, de lo siguiente:

a) de que el producto o servicio es ilícito;

b) de la identidad del comerciante, y

c) de cualquier vía de recurso pertinente.

La obligación establecida en el párrafo primero se limitará a la adquisición de productos o servicios ilícitos durante los seis meses anteriores al momento en que el prestador haya tenido consciencia de la ilegalidad.

2.   Cuando, en la situación a la que se refiere el apartado 1, el prestador de la plataforma en línea que permita a los consumidores celebrar contratos a distancia con comerciantes no disponga de los datos de contacto de todos los consumidores afectados, dicho prestador pondrá a disposición pública y hará que sea fácilmente accesible en su interfaz en línea la información sobre el producto o servicio ilícito, la identidad del comerciante y toda vía de recurso.

SECCIÓN 5. Obligaciones adicionales de gestión de riesgos sistémicos para prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño

Artículo 33. Plataformas en línea de muy gran tamaño y motores de búsqueda en línea de muy gran tamaño

1.   Esta sección se aplicará a las plataformas en línea y los motores de búsqueda en línea de muy gran tamaño que tengan un promedio mensual de destinatarios del servicio activos en la Unión igual o superior a cuarenta y cinco millones y a las que se designe como plataformas en línea de muy gran tamaño o motores de búsqueda en línea de muy gran tamaño en virtud del apartado 4.

2.   La Comisión adoptará actos delegados de conformidad con el artículo 87 para ajustar el promedio mensual de destinatarios del servicio activos en la Unión a que se refiere el apartado 1, cuando la población de la Unión aumente o disminuya al menos un 5 % en relación a su población en 2020, o bien a su población tras un ajuste por medio de un acto delegado en el año en que se adoptase el último acto delegado. En tal caso, ajustará el número para que se corresponda con el 10 % de la población de la Unión en el año en que adopte el acto delegado, redondeado al alza o a la baja para poder expresarlo en millones.

3.   La Comisión podrá adoptar actos delegados de conformidad con el artículo 87, previa consulta a la Junta, para completar las disposiciones del presente Reglamento, estableciendo la metodología para calcular el promedio mensual de destinatarios del servicio activos en la Unión, a los efectos del apartado 1 del presente artículo y del apartado 2 del artículo 24, garantizando que la metodología tenga en cuenta la evolución del mercado y de la tecnología.

4.   La Comisión, previa consulta al Estado miembro de establecimiento o tras tener en cuenta la información facilitada por el coordinador de servicios digitales de establecimiento de conformidad con el artículo 24, apartado 4, adoptará una decisión por la que se designe como plataforma en línea de muy gran tamaño o como motor de búsqueda en línea de muy gran tamaño, a efectos del presente Reglamento, a la plataforma en línea o al motor de búsqueda en línea que tenga un promedio mensual de destinatarios del servicio activos igual o superior al número a que se refiere el apartado 1 del presente artículo. La Comisión tomará su decisión sobre la base de los datos comunicados por el prestador de la plataforma en línea o del motor de búsqueda en línea con arreglo al artículo 24, apartado 2, o de la información solicitada con arreglo al artículo 24, apartado 3, o de cualquier otra información de que disponga la Comisión.

El incumplimiento por parte del prestador de la plataforma en línea o del motor de búsqueda en línea de lo dispuesto en el artículo 24, apartado 2, o de la solicitud del coordinador de servicios digitales de establecimiento o de la Comisión con arreglo al artículo 24, apartado 3, no impedirá a la Comisión designar a dicho prestador como prestador de una plataforma en línea de muy gran tamaño o de un motor de búsqueda en línea de muy gran tamaño con arreglo al presente apartado.

Cuando la Comisión base su decisión en otra información de la que disponga de conformidad con el párrafo primero del presente apartado, o sobre la base de la información adicional solicitada con arreglo al artículo 24, apartado 3, la Comisión ofrecerá al prestador de la plataforma en línea o del motor de búsqueda en línea de que se trate diez días hábiles para remitir sus puntos de vista sobre las conclusiones preliminares de la Comisión y sobre su intención de designar a la plataforma en línea o al motor de búsqueda en línea, respectivamente, como plataforma en línea o motor de búsqueda en línea de muy gran tamaño. La Comisión tendrá debidamente en cuenta los puntos de vista remitidos por el prestador de que se trate.

La falta de remisión por parte del prestador de la plataforma en línea o del motor de búsqueda en línea de que se trate de sus puntos de vista con arreglo al párrafo tercero no impedirá a la Comisión designar a dicha plataforma en línea o motor de búsqueda en línea, respectivamente, como plataforma en línea de muy gran tamaño o como motor de búsqueda en línea de muy gran tamaño sobre la base de otra información de la que disponga.

5.   La Comisión revocará la designación si, durante un período ininterrumpido de un año, la plataforma en línea o el motor de búsqueda en línea no tiene un promedio mensual de destinatarios del servicio activos igual o superior al número al que se refiere el apartado 1.

6.   La Comisión notificará sus decisiones con arreglo a los apartados 4 y 5, sin dilación indebida, al prestador de la plataforma en línea o al motor de búsqueda en línea de que se trate, a la Junta y al coordinador de servicios digitales de establecimiento.

La Comisión se asegurará de que la lista de plataformas en línea designadas de muy gran tamaño y de motores de búsqueda en línea designados de muy gran tamaño se publique en el Diario Oficial de la Unión Europea, y mantendrá dicha lista actualizada. Las obligaciones establecidas en esta sección se aplicarán, o dejarán de aplicarse, a las plataformas en línea de muy gran tamaño y a los motores de búsqueda en línea de muy gran tamaño de que se trate a partir de la fecha en que hayan transcurrido cuatro meses desde la notificación al prestador de que se trate al que se refiere el párrafo primero.

Artículo 34. Evaluación de riesgos

1.   Los prestadores de plataformas en línea de muy gran tamaño y los motores de búsqueda en línea de muy gran tamaño detectarán, analizarán y evaluarán con diligencia cualquier riesgo sistémico en la Unión que se derive del diseño o del funcionamiento de su servicio y los sistemas relacionados con este, incluidos los sistemas algorítmicos, o del uso que se haga de sus servicios.

Llevarán a cabo las evaluaciones de riesgos a más tardar en la fecha de aplicación a que se refiere el artículo 33, apartado 6, párrafo segundo, y al menos una vez al año a partir de entonces, y en cualquier caso antes de desplegar funcionalidades que puedan tener un impacto crítico en los riesgos detectados con arreglo al presente artículo. Esta evaluación de riesgos será específica de sus servicios y proporcionada a los riesgos sistémicos, teniendo en cuenta su gravedad y probabilidad, e incluirá los siguientes riesgos sistémicos:

a) la difusión de contenido ilícito a través de sus servicios;

b) cualquier efecto negativo real o previsible para el ejercicio de los derechos fundamentales, en particular los relativos a la dignidad humana amparada por el artículo 1 de la Carta, al respeto de la vida privada y familiar amparada por el artículo 7 de la Carta, a la protección de los datos de carácter personal amparada por el artículo 8 de la Carta, a la libertad de expresión e información, incluida la libertad y el pluralismo de los medios de comunicación, amparada por el artículo 11 de la Carta, a la no discriminación amparada por el artículo 21 de la Carta, a los derechos del niño amparados por el artículo 24 de la Carta y a un nivel elevado de protección de los consumidores, amparado por el artículo 38 de la Carta;

c) cualquier efecto negativo real o previsible sobre el discurso cívico y los procesos electorales, así como sobre la seguridad pública;

d) cualquier efecto negativo real o previsible en relación con la violencia de género, la protección de la salud pública y los menores y las consecuencias negativas graves para el bienestar físico y mental de la persona.

2.   Cuando realicen evaluaciones de riesgos, los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño tendrán en cuenta, en particular, si los siguientes factores influyen, y de qué manera, en cualquiera de los riesgos sistémicos a que se refiere el apartado 1:

a) el diseño de sus sistemas de recomendación y de cualquier otro sistema algorítmico pertinente;

b) sus sistemas de moderación de contenidos;

c) las condiciones generales aplicables y su ejecución;

d) los sistemas de selección y presentación de anuncios;

e) las prácticas del prestador relacionadas con los datos.

Las evaluaciones analizarán asimismo si los riesgos con arreglo al apartado 1 se ven influidos, y de qué manera, por la manipulación intencionada de su servicio, en particular por medio del uso no auténtico o la explotación automatizada del servicio, así como la amplificación y la difusión potencialmente rápida y amplia de contenido ilícito y de información incompatible con sus condiciones generales.

La evaluación tendrá en cuenta los aspectos regionales o lingüísticos específicos, incluso cuando sean específicos de un Estado miembro.

3.   Los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño conservarán los documentos justificativos de las evaluaciones de riesgos durante al menos tres años después de la realización de las evaluaciones de riesgos y se los comunicarán, previa solicitud, a la Comisión y al coordinador de servicios digitales de establecimiento.

Artículo 35. Reducción de riesgos

1.   Los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño aplicarán medidas de reducción de riesgos razonables, proporcionadas y efectivas, adaptadas a los riesgos sistémicos específicos detectados de conformidad con el artículo 34, teniendo especialmente en cuenta las consecuencias de dichas medidas sobre los derechos fundamentales. Dichas medidas podrán incluir, cuando proceda:

a) la adaptación del diseño, las características o el funcionamiento de sus servicios, incluidas sus interfaces en línea;

b) la adaptación de sus condiciones generales y su ejecución;

c) la adaptación de los procesos de moderación de contenidos, incluida la velocidad y la calidad del tratamiento de las notificaciones relacionadas con tipos específicos de contenidos ilícitos y, en su caso, la rápida retirada de los contenidos notificados, o el bloqueo del acceso a ellos, en particular en el caso de la incitación ilegal al odio o la ciberviolencia, así como la adaptación de los procesos de toma de decisiones pertinentes y los recursos específicos para la moderación de contenidos;

d) la realización de pruebas y la adaptación de sus sistemas algorítmicos, incluidos sus sistemas de recomendación;

e) la adaptación de sus sistemas publicitarios y la adopción de medidas específicas dirigidas a limitar o ajustar la presentación de anuncios publicitarios en asociación con el servicio que prestan;

f) el refuerzo de los procesos internos, los recursos, la realización de pruebas, la documentación o la supervisión de cualquiera de sus actividades, en particular en lo que respecta a la detección de riesgos sistémicos;

g) la puesta en marcha o el ajuste de la cooperación con los alertadores fiables de conformidad con el artículo 22 y la ejecución de las decisiones de los órganos de resolución extrajudicial de litigios en virtud del artículo 21;

h) la puesta en marcha o el ajuste de la cooperación con otros prestadores de plataformas en línea o motores de búsqueda en línea mediante los códigos de conducta y los protocolos de crisis a que se refieren, respectivamente, los artículos 45 y 48;

i) la adopción de medidas de concienciación y la adaptación de su interfaz en línea con el fin de proporcionar más información a los destinatarios del servicio;

j) la adopción de medidas específicas para proteger los derechos de los menores, incluidas herramientas de comprobación de la edad y de control parental, herramientas destinadas a ayudar a los menores a señalar abusos u obtener ayuda, según corresponda;

k) garantizar que un elemento de información, ya se trate de imagen, audio o vídeo generado o manipulado que se asemeja notablemente a personas, objetos, lugares u otras entidades o sucesos existentes y que puede inducir erróneamente a una persona a pensar que son auténticos o verídicos, se distinga mediante indicaciones destacadas cuando se presente en sus interfaces en línea y, además, proporcionar una funcionalidad fácil de utilizar que permita a los destinatarios del servicio señalar dicha información.

2.   La Junta, en cooperación con la Comisión, publicará informes exhaustivos una vez al año. Los informes incluirán lo siguiente:

a) detección y evaluación de los riesgos sistémicos más destacados y recurrentes notificados por los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño o detectados a través de otras fuentes de información, en particular las proporcionadas en cumplimiento de los artículos 39, 40 y 42;

b) buenas prácticas para los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño para la reducción de los riesgos sistémicos detectados.

Dichos informes presentarán los riesgos sistémicos desglosados por los Estados miembros en los que se produjeron y para el conjunto de la Unión, según corresponda.

3.   La Comisión, en colaboración con los coordinadores de servicios digitales, podrá publicar directrices sobre la aplicación del apartado 1 en relación con riesgos concretos, en particular para presentar buenas prácticas y recomendar posibles medidas, con la debida consideración de las posibles consecuencias de esas medidas para los derechos fundamentales amparados por la Carta de todas las partes implicadas. Durante la preparación de dichas directrices, la Comisión organizará consultas públicas.

Artículo 36. Mecanismo de respuesta a las crisis

1.   Cuando se produzca una crisis, la Comisión, previa recomendación de la Junta, podrá adoptar una decisión por la que se exija a uno o varios prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño que adopten una o varias de las siguientes medidas:

a) evaluar si el funcionamiento y el uso de sus servicios contribuyen o es probable que contribuyan de forma significativa a una amenaza grave contemplada en el apartado 2 y, en caso afirmativo, en qué medida y de qué manera;

b) determinar y aplicar medidas específicas, eficaces y proporcionadas, como cualquiera de las previstas en el artículo 35, apartado 1, o en el artículo 48, apartado 2, para prevenir, eliminar o limitar cualquier contribución de este tipo a la amenaza grave detectada con arreglo a la letra a) del presente apartado;

c) informar a la Comisión, en una fecha determinada o a intervalos periódicos especificados en la decisión, de las evaluaciones a las que se refiere la letra a), el contenido exacto, la aplicación y el impacto cualitativo y cuantitativo de las medidas específicas adoptadas con arreglo a la letra b), así como de cualquier otra cuestión relacionada con dichas evaluaciones o medidas, tal como se especifique en la decisión.

Al determinar y aplicar medidas en virtud de la letra b) del presente apartado, el prestador o los prestadores de servicios tendrán debidamente en cuenta la gravedad de la amenaza a que se refiere el apartado 2, la urgencia de las medidas y las implicaciones reales o potenciales para los derechos e intereses legítimos de todas las partes afectadas, incluida la posibilidad de que las medidas no respeten los derechos fundamentales amparados por la Carta.

2.   A efectos del presente artículo, se considerará que se ha producido una crisis cuando se produzcan circunstancias extraordinarias que den lugar a una amenaza grave para la seguridad pública o la salud pública en la Unión o en partes significativas de esta.

3.   Al adoptar la decisión a que se refiere el apartado 1, la Comisión velará por que se cumplan todos los requisitos siguientes:

a) que las acciones requeridas por la decisión sean estrictamente necesarias, justificadas y proporcionadas, teniendo en cuenta, en particular, la gravedad de la amenaza a que se refiere el apartado 2, la urgencia de las medidas y las implicaciones reales o potenciales para los derechos e intereses legítimos de todas las partes afectadas, incluida la posibilidad de que las medidas no respeten los derechos fundamentales amparados por la Carta;

b) que la decisión especifique un plazo razonable en el que deban adoptarse las medidas específicas a que se refiere el apartado 1, letra b), teniendo en cuenta, en particular, la urgencia de dichas medidas y el tiempo necesario para prepararlas y aplicarlas;

c) que las acciones requeridas por la decisión se limiten a un período no superior a tres meses.

4.   Una vez adoptada la decisión a que se refiere el apartado 1, la Comisión adoptará, sin dilación indebida, las medidas siguientes:

a) notificar la decisión al prestador o los prestadores a los que se dirija la decisión;

b) hacer pública la decisión, y

c) informar a la Junta de la decisión, invitarla a que presente sus puntos de vista al respecto y mantenerla informada de cualquier novedad posterior relacionada con la decisión.

5.   La elección de las medidas específicas que deban adoptarse con arreglo al apartado 1, letra b), y al apartado 7, párrafo segundo, corresponderá al prestador o los prestadores a los que se dirija la decisión de la Comisión.

6.   La Comisión, por propia iniciativa o a petición del prestador, podrá entablar un diálogo con el prestador para determinar si, en vista de las circunstancias específicas del prestador, las medidas previstas o aplicadas a que se refiere el apartado 1, letra b), son eficaces y proporcionadas para alcanzar los objetivos perseguidos. En particular, la Comisión velará por que las medidas adoptadas por el prestador de servicios con arreglo al apartado 1, letra b), cumplan los requisitos a que se refiere el apartado 3, letras a) y c).

7.   La Comisión hará el seguimiento de la aplicación de las medidas específicas adoptadas en virtud de la decisión a que se refiere el apartado 1 del presente artículo, sobre la base de los informes contemplados en la letra c) de dicho apartado y de cualquier otra información pertinente, incluida la información que pueda solicitar en virtud del artículo 40 o 67, teniendo en cuenta la evolución de la crisis. La Comisión informará periódicamente a la Junta sobre dicho seguimiento, al menos una vez al mes.

Cuando la Comisión considere que las medidas específicas previstas o aplicadas con arreglo al apartado 1, letra b), no son eficaces o proporcionadas, podrá, previa consulta a la Junta, adoptar una decisión que exija al prestador que revise la determinación o la aplicación de dichas medidas específicas.

8.   Cuando sea adecuado habida cuenta de la evolución de la crisis, la Comisión, por recomendación de la Junta, podrá modificar la decisión a que se refiere el apartado 1 o el apartado 7, párrafo segundo:

a) revocando la decisión y, cuando sea conveniente, exigiendo a la plataforma en línea de muy gran tamaño o al motor de búsqueda en línea de muy gran tamaño que dejen de aplicar las medidas determinadas y ejecutadas de conformidad con el apartado 1, letra b), o el apartado 7, párrafo segundo, en particular cuando ya no existan motivos para tales medidas;

b) ampliando el período a que se refiere el apartado 3, letra c), por un período máximo de tres meses;

c) teniendo en cuenta la experiencia adquirida al aplicar las medidas, en particular la posibilidad de que las medidas no respeten los derechos fundamentales amparados por la Carta.

9.   Los requisitos establecidos en los apartados 1 a 6 se aplicarán a la decisión y a la modificación de esta a que se refiere el presente artículo.

10.   La Comisión tendrá en cuenta en la mayor medida posible la recomendación de la Junta formulada en virtud del presente artículo.

11.   La Comisión informará anualmente al Parlamento Europeo y al Consejo tras la adopción de decisiones de conformidad con el presente artículo y, en cualquier caso, tres meses después del final de la crisis, sobre la aplicación de las medidas específicas adoptadas en virtud de dichas decisiones.

Artículo 37. Auditoría independiente

1.   Los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño se someterán, a su propia costa y al menos una vez al año, a auditorías independientes para evaluar el cumplimiento de lo siguiente:

a) las obligaciones establecidas en el capítulo III;

b) cualquier compromiso contraído en virtud de los códigos de conducta a que se refieren los artículos 45 y 46 y los protocolos de crisis a que se refiere el artículo 48.

2.   Los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño proporcionarán a las organizaciones que lleven a cabo las auditorías en virtud del presente artículo la cooperación y la asistencia necesarias para permitirles llevar a cabo dichas auditorías de manera eficaz, eficiente y en tiempo oportuno, en particular dándoles acceso a todos los datos y locales pertinentes y respondiendo a sus preguntas orales o escritas. Se abstendrán de obstaculizar, influir indebidamente o menoscabar la realización de la auditoría.

Dichas auditorías garantizarán un nivel adecuado de confidencialidad y secreto profesional con respecto a la información obtenida de los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño y de terceros en el contexto de las auditorías, también tras la finalización de las auditorías. No obstante, el cumplimiento de este requisito no afectará negativamente a la realización de las auditorías y otras disposiciones del presente Reglamento, en particular las relativas a la transparencia, la supervisión y la garantía del cumplimiento. Cuando sea necesario a efectos de la transparencia informativa con arreglo al artículo 42, apartado 4, el informe de auditoría y el informe de aplicación de la auditoría a que se refieren los apartados 4 y 6 del presente artículo irán acompañados de versiones que no contengan información que razonablemente pudiera considerarse confidencial.

3.   Las auditorías efectuadas en virtud del apartado 1 serán realizadas por organizaciones que:

a) sean independientes del prestador de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño de que se trate y de cualquier persona jurídica vinculada a él, y no tengan ningún conflicto de intereses con él; en particular:

i) no hayan prestado servicios que no sean de auditoría relacionados con las cuestiones auditadas al prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate, ni a ninguna persona jurídica vinculada a dicho prestador, en el período de doce meses anterior al inicio de la auditoría, y se hayan comprometido a no prestar este tipo de servicios en el período de doce meses tras la finalización de la auditoría,

ii) no hayan prestado servicios de auditoría con arreglo al presente artículo al prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate, ni a ninguna persona jurídica vinculada a dicho prestador durante un período superior a diez años consecutivos,

iii) no realicen la auditoría a cambio de honorarios que dependan del resultado de la auditoría;

b) posean conocimientos acreditados en el ámbito de la gestión de riesgos, competencia y capacidades técnicas;

c) tengan objetividad y ética profesional acreditadas, basadas en particular en su adhesión a códigos de conducta o normas apropiadas.

4.   Los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño garantizarán que las organizaciones que lleven a cabo las auditorías elaboren un informe de cada auditoría. Dicho informe se hará por escrito, estará fundamentado e incluirá al menos lo siguiente:

a) el nombre, dirección y punto de contacto del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño sujeto a la auditoría y el período que abarque;

b) el nombre y dirección de la organización u organizaciones que realicen la auditoría;

c) una declaración de intereses;

d) una descripción de los elementos concretos auditados y de la metodología aplicada;

e) una descripción y un resumen de las principales conclusiones extraídas de la auditoría;

f) una lista de los terceros consultados en el marco de la auditoría;

g) un dictamen que determine si el prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño sometido a la auditoría ha cumplido con las obligaciones y los compromisos a que se refiere el apartado 1, es decir, «favorable», «favorable con observaciones» o «negativo»;

h) cuando el dictamen de la auditoría no sea «favorable», recomendaciones operativas sobre medidas concretas para alcanzar el cumplimiento y el plazo recomendado para alcanzarlo.

5.   Cuando la organización que realice la auditoría no haya podido auditar determinados elementos específicos o emitir un dictamen de auditoría basado en sus investigaciones, el informe de auditoría incluirá una explicación de las circunstancias y las razones por las que estos elementos no pudieron auditarse.

6.   Los prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño que reciban un informe de auditoría que no sea «favorable» tendrán debidamente en cuenta las recomendaciones operativas que se les efectúen, con miras a adoptar las medidas necesarias para aplicarlas. En el plazo de un mes desde la recepción de dichas recomendaciones, adoptarán un informe de aplicación de la auditoría que recoja dichas medidas. Cuando no apliquen las recomendaciones operativas, justificarán en el informe de aplicación de la auditoría las razones para no hacerlo y describirán cualquier medida alternativa que hayan adoptado para subsanar cualquier incumplimiento detectado.

7.   La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 87 por los que se complete el presente Reglamento, estableciendo las normas necesarias para la realización de las auditorías con arreglo al presente artículo, en particular en lo que respecta a las normas necesarias sobre las fases del procedimiento, las metodologías de auditoría y los modelos de presentación de informes para las auditorías realizadas en virtud del presente artículo. Dichos actos delegados tendrán en cuenta las normas de auditoría voluntarias a que se refiere el artículo 44, apartado 1, letra e).

Artículo 38. Sistemas de recomendación

Además de los requisitos establecidos en el artículo 27, los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño que utilicen sistemas de recomendación ofrecerán al menos una opción para cada uno de sus sistemas de recomendación que no se base en la elaboración de perfiles tal como se define en el artículo 4, punto 4, del Reglamento (UE) 2016/679.

Artículo 39. Transparencia adicional sobre la publicidad en línea

1.   Los prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño que presenten anuncios publicitarios en sus interfaces en línea recopilarán y harán público, en una sección específica de su interfaz en línea, a través de una herramienta de búsqueda fiable que permita realizar consultas en función de múltiples criterios, y mediante interfaces de programación de aplicaciones, un repositorio que contenga la información a que se refiere el apartado 2, durante todo el tiempo en el que presenten un anuncio y hasta un año después de la última vez que se presente el anuncio en sus interfaces en línea. Se asegurarán de que el repositorio no contenga ningún dato personal de los destinatarios del servicio a quienes se haya o se pueda haber presentado el anuncio y harán todos los esfuerzos que resulten razonables para garantizar que la información sea exacta y completa.

2.   El repositorio incluirá al menos toda la información siguiente:

a) el contenido del anuncio publicitario, incluidos el nombre del producto, servicio o marca y el objeto del anuncio;

b) la persona física o jurídica en cuyo nombre se presenta el anuncio publicitario;

c) la persona física o jurídica que ha pagado por el anuncio publicitario, si es diferente de la persona física o jurídica a que se refiere la letra b);

d) el período durante el que se haya presentado el anuncio;

e) si el anuncio estaba destinado a presentarse en particular a uno o varios grupos concretos de destinatarios del servicio y, en tal caso, los parámetros principales utilizados para tal fin, incluidos, en su caso, los principales parámetros utilizados para excluir a uno o más de esos grupos concretos;

f) las comunicaciones comerciales publicadas en las plataformas en línea de muy gran tamaño e identificadas con arreglo al artículo 26, apartado 2;

g) el número total de destinatarios del servicio alcanzados y, en su caso, el número total desglosado por Estado miembro para el grupo o grupos de destinatarios a quienes el anuncio estuviera específicamente dirigido.

3.   Por lo que respecta al apartado 2, letras a), b) y c), cuando el prestador de una plataforma en línea de muy gran tamaño o de un motor de búsqueda en línea de muy gran tamaño haya retirado o bloqueado el acceso a un anuncio específico sobre la base de una supuesta ilegalidad o incompatibilidad con sus condiciones generales, el repositorio no incluirá la información a que se refieren dichas letras. En tal caso, el repositorio incluirá, para el anuncio específico de que se trate, la información a que se refieren el artículo 17, apartado 3, letras a) a e), o el artículo 9, apartado 2, letra a), inciso i), según corresponda.

La Comisión, previa consulta a la Junta, a los investigadores autorizados pertinentes a que se refiere el artículo 40 y al público, podrá formular directrices sobre la estructura, la organización y las funcionalidades de los repositorios a que se refiere el presente artículo.

Artículo 40. Acceso a datos y escrutinio

1.   Los prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño proporcionarán al coordinador de servicios digitales de establecimiento o a la Comisión, cuando lo soliciten de forma motivada y en un período razonable, especificado en dicha solicitud, acceso a los datos que sean necesarios para hacer el seguimiento del cumplimiento del presente Reglamento y evaluarlo.

2.   Los coordinadores de servicios digitales y la Comisión utilizarán los datos a los que se acceda con arreglo al apartado 1 únicamente con el fin de hacer el seguimiento del cumplimiento del presente Reglamento, y evaluarlo, y tendrán debidamente en cuenta los derechos e intereses de los prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño y de los destinatarios del servicio de que se trate, especialmente la protección de los datos personales, la protección de la información confidencial, en particular los secretos comerciales, y el mantenimiento de la seguridad de su servicio.

3.   A efectos del apartado 1, los prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño explicarán, a petición del coordinador de servicios digitales de establecimiento o de la Comisión, el diseño, la lógica, el funcionamiento y la realización de pruebas de sus sistemas algorítmicos, incluidos sus sistemas de recomendación.

4.   Previa solicitud motivada del coordinador de servicios digitales de establecimiento, los prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño proporcionarán acceso a los datos en un período razonable, especificado en la solicitud, a investigadores autorizados que cumplan los requisitos establecidos en el apartado 8 del presente artículo, con la única finalidad de realizar estudios que contribuyan a la detección, determinación y comprensión de los riesgos sistémicos en la Unión descritos con arreglo al artículo 34, apartado 1, y a la evaluación de la idoneidad, la eficiencia y los efectos de las medidas de reducción de riesgos en virtud del artículo 35.

5.   En un plazo de 15 días desde la recepción de una de las solicitudes a que se refiere el apartado 4, los prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño podrán solicitar al coordinador de servicios digitales de establecimiento, que modifique la solicitud, cuando consideren que no pueden otorgar acceso a los datos solicitados por una de las dos razones siguientes:

a) que no tengan acceso a los datos;

b) que otorgar acceso a los datos implique vulnerabilidades importantes para la seguridad de su servicio o para la protección de información confidencial, en particular secretos comerciales.

6.   Las solicitudes de modificación en virtud del apartado 5 propondrán uno o varios medios alternativos mediante los cuales pueda otorgarse el acceso a los datos solicitados u otros datos que sean adecuados y suficientes para la finalidad de la solicitud.

El coordinador de servicios digitales de establecimiento tomará una decisión sobre la solicitud de modificación en un plazo de 15 días y comunicará al prestador de plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño su decisión y, en su caso, la solicitud modificada y el nuevo plazo para cumplir con la solicitud.

7.   Los prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño facilitarán y proporcionarán acceso a los datos con arreglo a los apartados 1 y 4 a través de las interfaces adecuadas especificadas en la solicitud, incluidas bases de datos en línea o interfaces de programación de aplicaciones.

8.   Previa solicitud debidamente justificada de los investigadores, el coordinador de servicios digitales de establecimiento otorgará a dichos investigadores la condición de «investigadores autorizados» para las investigaciones específicas a las que se refiere la solicitud y expedirá una solicitud motivada de acceso a los datos para un prestador de plataforma en línea de muy gran tamaño o de motor de búsqueda en línea de muy gran tamaño de conformidad con el apartado 4 cuando los investigadores demuestren que cumplen todas las condiciones siguientes:

a) que estén afiliados a un organismo de investigación tal como se define en el artículo 2, punto 1, de la Directiva (UE) 2019/790;

b) que sean independientes desde el punto de vista de los intereses comerciales;

c) que revelen en la solicitud cómo se financia la investigación;

d) que estén en condiciones de satisfacer los requisitos específicos en materia de seguridad y confidencialidad de los datos correspondientes a cada solicitud y de proteger los datos personales, y que describan en su solicitud las medidas técnicas y organizativas apropiadas que hayan adoptado a tal fin;

e) que demuestren en la solicitud que su acceso a los datos y los plazos solicitados son necesarios y proporcionados para los fines de su investigación, y que los resultados esperados de dicha investigación contribuirán a los fines establecidos en el apartado 4;

f) que las actividades de investigación previstas se lleven a cabo para los fines establecidos en el apartado 4;

g) que se hayan comprometido a hacer públicos los resultados de su investigación de forma gratuita, en un plazo razonable tras la finalización de la investigación, teniendo en cuenta los derechos y los intereses de los destinatarios del servicio de que se trate, de conformidad con el Reglamento (UE) 2016/679.

Una vez recibida la solicitud con arreglo al presente apartado, el coordinador de servicios digitales de establecimiento informará a la Comisión y a la Junta.

9.   Los investigadores también podrán presentar su solicitud al coordinador de servicios digitales del Estado miembro del organismo de investigación al que estén afiliados. Una vez recibida la solicitud con arreglo al presente apartado, el coordinador de servicios digitales llevará a cabo una evaluación inicial para determinar si los investigadores correspondientes cumplen todas las condiciones establecidas en el apartado 8. El coordinador de servicios digitales respectivo enviará posteriormente la solicitud, junto con los documentos justificativos presentados por los investigadores y su evaluación inicial, al coordinador de servicios digitales de establecimiento. El coordinador de servicios digitales de establecimiento tomará la decisión de si conceder a un investigador la condición de «investigador autorizado» sin dilación indebida.

Teniendo debidamente en cuenta la evaluación inicial facilitada, la decisión final de conceder a un investigador la condición de investigador autorizado será competencia del coordinador de servicios digitales de establecimiento, con arreglo al apartado 8.

10.   El coordinador de servicios digitales que haya concedido la condición de investigador autorizado y haya expedido la solicitud motivada de acceso a los datos para los prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño en favor de un investigador autorizado adoptará una decisión por la que pondrá fin al acceso si determina, tras una investigación por iniciativa propia o sobre la base de información recibida por parte de terceros, que el investigador autorizado ha dejado de cumplir las condiciones establecidas en el apartado 8, e informará de la decisión al prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate. Antes de poner fin al acceso, el coordinador de servicios digitales dará al investigador autorizado la oportunidad de responder a las conclusiones de su investigación y a su intención de poner fin al acceso.

11.   Los coordinadores de servicios digitales de establecimiento comunicarán a la Junta los nombres y la información de contacto de las personas físicas o entidades a las que hayan otorgado la condición de «investigador autorizado» de conformidad con el apartado 8, así como la finalidad de la investigación en la que se base la solicitud o en el caso de que hayan puesto fin al acceso a los datos de conformidad con el apartado 10, comunicarán dicha información a la Junta.

12.   Los prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño darán acceso sin dilación indebida a los datos, incluidos, cuando sea técnicamente posible, los datos en tiempo real, siempre que los datos sean de acceso público en su interfaz en línea, a los investigadores, incluidos los afiliados a organismos, organizaciones y asociaciones sin ánimo de lucro, que cumplan las condiciones establecidas en el apartado 8, letras b), c), d) y e), y que utilicen los datos únicamente para llevar a cabo investigaciones que contribuyan a la detección, identificación y comprensión de los riesgos sistémicos en la Unión con arreglo al artículo 34, apartado 1.

13.   La Comisión, previa consulta a la Junta, adoptará actos delegados que completen el presente Reglamento mediante el establecimiento de las condiciones técnicas en las que los prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño deban compartir datos en virtud de los apartados 1 y 4 y los fines para los que puedan utilizarse dichos datos. Esos actos delegados establecerán las condiciones específicas en las que puedan compartirse los datos con investigadores en cumplimiento del Reglamento (UE) 2016/679, así como los indicadores objetivos pertinentes, los procedimientos y, cuando sea necesario, los mecanismos consultivos independientes para que puedan compartirse los datos, teniendo en cuenta los derechos e intereses de los prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño y los destinatarios del servicio de que se trate, incluida la protección de información confidencial, en particular secretos comerciales, y manteniendo la seguridad de su servicio.

Artículo 41. Función de comprobación del cumplimiento

1.   Los prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño establecerán una función de comprobación del cumplimiento, que sea independiente de sus funciones operativas y esté compuesta por uno o varios encargados del cumplimiento, incluido el jefe de la función de comprobación del cumplimiento. Dicha función de comprobación del cumplimiento tendrá autoridad, rango y recursos suficientes, así como acceso al órgano de dirección del prestador de plataformas en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño para hacer el seguimiento del cumplimiento del presente Reglamento por parte de dicho prestador.

2.   El órgano de dirección del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño velará por que los encargados del cumplimiento posean las cualificaciones profesionales, los conocimientos, la experiencia y la capacidad necesarias para desempeñar las funciones a que se refiere el apartado 3.

El órgano de dirección del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño velará por que el jefe de la función de comprobación del cumplimiento sea un alto directivo independiente con responsabilidad específica por lo que respecta a la función de comprobación del cumplimiento.

El jefe de la función de comprobación del cumplimiento rendirá cuentas directamente ante el órgano de dirección del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño, y podrá plantear dudas y advertir a dicho órgano cuando los riesgos a que se refiere el artículo 34 o el incumplimiento del presente Reglamento afecten o puedan afectar al prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate, sin perjuicio de las responsabilidades del órgano de dirección en sus funciones de supervisión y gestión.

El jefe de la función de comprobación del cumplimiento no será destituido sin la aprobación previa del órgano de dirección del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño.

3.   Los encargados del cumplimiento desempeñarán las siguientes funciones:

a) colaborar con el coordinador de servicios digitales de establecimiento y la Comisión para los fines del presente Reglamento;

b) velar por que se detecten y notifiquen adecuadamente todos los riesgos a que se refiere el artículo 34 y por que se adopten medidas razonables, proporcionadas y eficaces de reducción de riesgos con arreglo al artículo 35;

c) organizar y supervisar las actividades del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño en relación con la auditoría independiente realizada con arreglo al artículo 37;

d) informar y asesorar a la dirección y a los empleados del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño acerca de las obligaciones pertinentes en virtud del presente Reglamento;

e) hacer el seguimiento del cumplimiento por parte del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de sus obligaciones en virtud del presente Reglamento;

f) en su caso, hacer el seguimiento del cumplimiento por parte del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de los compromisos contraídos en virtud de los códigos de conducta con arreglo a los artículos 45 y 46 o los protocolos de crisis con arreglo al artículo 48.

4.   Los prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño comunicarán el nombre y los datos de contacto del jefe de la función de comprobación del cumplimiento al coordinador de servicios digitales de establecimiento y a la Comisión.

5.   El órgano de dirección del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño determinará, supervisará y será responsable de la aplicación de los mecanismos de gobernanza del prestador que garanticen la independencia de la función de comprobación del cumplimiento, incluida la separación de responsabilidades en la organización del prestador de plataformas en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño, la prevención de conflictos de intereses y la buena gestión de los riesgos sistémicos detectados con arreglo al artículo 34.

6.   El órgano de dirección aprobará y revisará periódicamente, al menos una vez al año, las estrategias y políticas para asumir, gestionar, hacer el seguimiento y reducir los riesgos detectados con arreglo al artículo 34 a los que estén o puedan estar expuestos la plataforma en línea de muy gran tamaño o el motor de búsqueda en línea de muy gran tamaño.

7.   El órgano de dirección dedicará tiempo suficiente al estudio de las medidas relacionadas con la gestión de riesgos. Participará activamente en las decisiones relativas a la gestión de riesgos y velará por que se asignen recursos adecuados a la gestión de los riesgos detectados con arreglo al artículo 34.

Artículo 42. Obligaciones de transparencia informativa

1.   Los prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño publicarán los informes a que se refiere el artículo 15 a más tardar en un plazo de dos meses a partir de la fecha de aplicación a que se refiere el artículo 33, apartado 6, párrafo segundo, y a continuación al menos cada seis meses.

2.   Los informes a que se refiere el apartado 1 del presente artículo publicados por prestadores de plataformas en línea de muy gran tamaño, además de la información a que se refieren el artículo 15 y el artículo 24, apartado 1, especificarán:

a) los recursos humanos que el prestador de plataformas en línea de muy gran tamaño dedica a la moderación de contenidos con respecto al servicio ofrecido en la Unión, desglosados por cada lengua oficial aplicable de los Estados miembros, en particular para el cumplimiento de las obligaciones establecidas en los artículos 16 y 22, así como para el cumplimiento de las obligaciones establecidas en el artículo 20;

b) las cualificaciones y los conocimientos lingüísticos de las personas que llevan a cabo las actividades a las que se refiere la letra a), así como la formación y el apoyo prestado a dicho personal;

c) los indicadores de precisión y la información conexa a que se refiere el artículo 15, apartado 1, letra e), desglosados por cada lengua oficial de los Estados miembros.

Los informes se publicarán, como mínimo, en una de las lenguas oficiales de los Estados miembros.

3.   Además de la información mencionada en el artículo 24, apartado 2, los prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño incluirán en los informes a que se refiere el apartado 1 del presente artículo la información sobre el promedio mensual de destinatarios del servicio para cada Estado miembro.

4.   Los prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño transmitirán al coordinador de servicios digitales de establecimiento y a la Comisión, sin dilación indebida una vez se hayan completado los informes, y harán públicos a más tardar tres meses después de la recepción de cada informe de auditoría de conformidad con el artículo 37, apartado 4:

a) un informe que presente los resultados de la evaluación de riesgos realizada en virtud del artículo 34;

b) las medidas de reducción de riesgos específicas aplicadas en virtud del artículo 35, apartado 1;

c) el informe de auditoría dispuesto en el artículo 37, apartado 4;

d) el informe de aplicación de la auditoría dispuesto en el artículo 37, apartado 6;

e) en su caso, la información sobre las consultas realizadas por el prestador en apoyo de las evaluaciones de riesgos y el diseño de las medidas de reducción de riesgos.

5.   Cuando el prestador de una plataforma en línea de muy gran tamaño o de un motor de búsqueda en línea de muy gran tamaño considere que la publicación de información con arreglo al apartado 4 pueda dar lugar a la revelación de información confidencial de ese prestador o de los destinatarios del servicio, causar vulnerabilidades importantes para la seguridad de su servicio, menoscabar la seguridad pública o perjudicar a los destinatarios, el prestador podrá retirar dicha información de los informes que estén a disposición del público. En ese caso, el prestador transmitirá los informes completos al coordinador de servicios digitales de establecimiento y a la Comisión, acompañados de una declaración de los motivos para retirar la información de los informes que estén a disposición del público.

Artículo 43. Tasa de supervisión

1.   La Comisión cobrará a los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño una tasa de supervisión anual cuando hayan sido designados con arreglo al artículo 33.

2.   El importe total de las tasas de supervisión anuales cubrirá los costes estimados en que incurra la Comisión en relación con sus funciones de supervisión en virtud del presente Reglamento, en particular los costes relacionados con la designación con arreglo al artículo 33, la creación, el mantenimiento y el funcionamiento de la base de datos con arreglo al artículo 24, apartado 5, y el sistema de intercambio de información con arreglo al artículo 85, las remisiones con arreglo al artículo 59, el apoyo a la Junta con arreglo al artículo 62 y las tareas de supervisión con arreglo al artículo 56 y al capítulo IV, sección 4.

3.   A los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño se les cobrará una tasa de supervisión anual por cada servicio para el que hayan sido designados con arreglo al artículo 33.

La Comisión adoptará actos de ejecución por los que se establezca el importe de la tasa de supervisión anual aplicable a cada prestador de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño. Al adoptar dichos actos de ejecución, la Comisión aplicará la metodología establecida en el acto delegado a que se refiere el apartado 4 del presente artículo y respetará los principios establecidos en el apartado 5 del presente artículo. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento consultivo a que se refiere el artículo 88.

4.   La Comisión adoptará actos delegados, de conformidad con el artículo 87, por los que se establezca la metodología y los procedimientos detallados para:

a) la determinación de los costes estimados a que se refiere el apartado 2;

b) la determinación de las tasas de supervisión anuales individuales a que se refiere el apartado 5, letras b) y c);

c) la determinación del límite global máximo definido en el apartado 5, letra c), y

d) las modalidades necesarias para realizar pagos.

Al adoptar dichos actos de ejecución, la Comisión respetará los principios establecidos en el apartado 5 del presente artículo.

5.   El acto de ejecución a que se refiere el apartado 3 y el acto delegado a que se refiere el apartado 4 respetarán los siguientes principios:

a) la estimación del importe global de la tasa de supervisión anual tiene en cuenta los costes en que se haya incurrido el año anterior;

b) la tasa de supervisión anual es proporcionada en relación con el promedio mensual de destinatarios activos en la Unión de cada plataforma en línea de muy gran tamaño o cada motor de búsqueda en línea de muy gran tamaño designado con arreglo al artículo 33;

c) el importe global de la tasa de supervisión anual cobrada a un determinado prestador de plataformas en línea de muy gran tamaño o de motores de búsqueda de muy gran tamaño no supera en ningún caso el 0,05 % de sus ingresos netos anuales mundiales en el ejercicio anterior.

6.   Las tasas de supervisión anuales individuales impuestas con arreglo al apartado 1 del presente artículo constituirán ingresos afectados externos de conformidad con el artículo 21, apartado 5, del Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo (41).

7.   La Comisión informará anualmente al Parlamento Europeo y al Consejo del importe global de los costes en que se haya incurrido para el cumplimiento de las tareas previstas en el presente Reglamento y del importe total de las tasas de supervisión anuales individuales impuestas en el año anterior.

SECCIÓN 6. Otras disposiciones relativas a obligaciones de diligencia debida

Artículo 44. Normas

1.   La Comisión consultará a la Junta y apoyará y promoverá la elaboración y aplicación de normas voluntarias establecidas por los organismos internacionales y europeos de normalización pertinentes al menos en relación con lo siguiente:

a) el envío electrónico de notificaciones con arreglo al artículo 16;

b) los modelos, el diseño y el proceso para comunicar a los destinatarios del servicio de manera sencilla las restricciones derivadas de las condiciones generales y los cambios en ellas;

c) el envío electrónico de notificaciones por los alertadores fiables en virtud del artículo 22, por ejemplo, a través de interfaces de programación de aplicaciones;

d) interfaces específicas, incluidas las interfaces de programación de aplicaciones, para facilitar el cumplimiento de las obligaciones establecidas en los artículos 39 y 40;

e) la auditoría de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño con arreglo al artículo 37;

f) la interoperabilidad de los repositorios de anuncios publicitarios a que se refiere el artículo 39, apartado 2;

g) la transmisión de datos entre intermediarios de publicidad para colaborar al cumplimiento de las obligaciones de transparencia establecidas con arreglo al artículo 26, apartado 1, letras b), c) y d);

h) las medidas técnicas para permitir el cumplimiento de las obligaciones relativas a la publicidad contenidas en el presente Reglamento, incluidas las obligaciones relativas a las indicaciones destacadas para los anuncios y las comunicaciones comerciales a que se refiere el artículo 26;

i) las interfaces de elección y presentación de la información sobre los principales parámetros de los diferentes tipos de sistemas de recomendación, de conformidad con los artículos 27 y 38;

j) las normas sobre medidas específicas para proteger a los menores en línea.

2.   La Comisión apoyará la actualización de las normas en vista de los avances tecnológicos y del comportamiento de los destinatarios de los servicios en cuestión. La información pertinente relativa a la actualización de las normas estará a disposición del público y será fácilmente accesible.

Artículo 45. Códigos de conducta

1.   La Comisión y la Junta fomentarán y facilitarán la elaboración de códigos de conducta voluntarios en el ámbito de la Unión para contribuir a la debida aplicación del presente Reglamento, teniendo en cuenta en particular las dificultades concretas que conlleva actuar contra diferentes tipos de contenidos ilícitos y riesgos sistémicos, de conformidad con el Derecho de la Unión en particular en materia de competencia y de protección de los datos personales.

2.   Cuando se genere un riesgo sistémico significativo en el sentido del artículo 34, apartado 1, y afecte a varias plataformas en línea de muy gran tamaño o motores de búsqueda en línea de muy gran tamaño, la Comisión podrá invitar a los prestadores de plataformas en línea de muy gran tamaño o a los prestadores de motores de búsqueda en línea de muy gran tamaño afectados de que se trate, y a otros prestadores de plataformas en línea de muy gran tamaño, de motores de búsqueda en línea de muy gran tamaño, de plataformas en línea y de otros servicios intermediarios, según sea oportuno, así como a autoridades competentes pertinentes, organizaciones de la sociedad civil y otras partes interesadas pertinentes, a participar en la elaboración de códigos de conducta, en particular estableciendo compromisos de adopción de medidas específicas de reducción de riesgos, así como un marco de información periódica sobre las medidas que se puedan adoptar y sus resultados.

3.   En aplicación de lo dispuesto en los apartados 1 y 2, la Comisión y la Junta y, cuando sea pertinente, otros organismos, tratarán de asegurarse de que los códigos de conducta expongan claramente sus objetivos específicos, contengan indicadores clave de eficacia para valorar el cumplimiento de dichos objetivos y tengan debidamente en cuenta las necesidades e intereses de todos los interesados, y en particular los ciudadanos, en el ámbito de la Unión. La Comisión y la Junta también tratarán de asegurarse de que los participantes informen periódicamente a la Comisión y a sus respectivos coordinadores de servicios digitales de establecimiento acerca de las medidas que puedan adoptarse y sus resultados, valoradas con arreglo a los indicadores clave de eficacia que contengan. Los indicadores clave de eficacia y los compromisos de información tendrán en cuenta las diferencias de tamaño y capacidad de los diferentes participantes.

4.   La Comisión y la Junta evaluarán si los códigos de conducta cumplen los fines especificados en los apartados 1 y 3, y vigilarán y evaluarán periódicamente el cumplimiento de sus objetivos, teniendo en cuenta los indicadores clave de eficacia que puedan contener. Publicarán sus conclusiones.

La Comisión y la Junta también fomentarán y facilitarán la revisión y adaptación periódicas de los códigos de conducta.

En caso de incumplimiento sistemático de los códigos de conducta, la Comisión y la Junta podrán pedir a los signatarios de los códigos de conducta que adopten las medidas necesarias.

Artículo 46. Códigos de conducta relativos a publicidad en línea

1.   La Comisión fomentará y facilitará la elaboración de códigos de conducta voluntarios en el ámbito de la Unión por prestadores de plataformas en línea y otros prestadores de servicios pertinentes, como los prestadores de servicios intermediarios de publicidad en línea, otros agentes que participen en la cadena de valor de la publicidad programática u organizaciones que representen a destinatarios del servicio y organizaciones de la sociedad civil o autoridades pertinentes para contribuir a una mayor transparencia para los actores de la cadena de valor de la publicidad en línea por encima de los requisitos de los artículos 26 y 39.

2.   La Comisión tratará de asegurarse de que los códigos de conducta persigan una transmisión efectiva de información que respete plenamente los derechos e intereses de todas las partes implicadas, así como la existencia de un entorno competitivo, transparente y equitativo en la publicidad en línea, de conformidad con el Derecho de la Unión y nacional, en particular en materia de competencia y protección de la privacidad y de los datos personales. La Comisión tratará de asegurarse de que los códigos de conducta aborden al menos lo siguiente:

a) la transmisión de información que obre en poder de los intermediarios de publicidad en línea a los destinatarios del servicio con respecto a los requisitos establecidos en el artículo 26, apartado 1, letras b), c) y d);

b) la transmisión de información que obre en poder de los prestadores de servicios intermediarios de publicidad en línea a los repositorios creados con arreglo al artículo 39;

c) información significativa sobre la monetización de los datos.

3.   La Comisión fomentará la elaboración de los códigos de conducta a más tardar el 18 de febrero de 2025 y su aplicación a más tardar el 18 de agosto de 2025.

4.   La Comisión alentará a todos los actores de la cadena de valor de la publicidad en línea a que se refiere el apartado 1 a que suscriban y cumplan los compromisos enunciados en los códigos de conducta.

Artículo 47. Códigos de conducta relativos a la accesibilidad

1.   La Comisión fomentará y facilitará la elaboración de códigos de conducta a escala de la Unión con la implicación de los prestadores de plataformas en línea y otros prestadores de servicios pertinentes, las organizaciones que representan a los destinatarios del servicio y las organizaciones de la sociedad civil o las autoridades pertinentes, a fin de promover una participación plena y efectiva en igualdad de condiciones mejorando el acceso a los servicios en línea que, mediante su diseño inicial o su posterior adaptación, aborden las necesidades particulares de las personas con discapacidad.

2.   La Comisión tratará de asegurarse de que los códigos de conducta persigan el objetivo de garantizar que esos servicios sean accesibles, de conformidad con el Derecho de la Unión y nacional, a fin de maximizar su uso previsible por las personas con discapacidad. La Comisión tratará de asegurarse de que los códigos de conducta aborden al menos los objetivos siguientes:

a) diseñar y adaptar los servicios para hacerlos accesibles a las personas con discapacidad haciendo que sean perceptibles, operables, comprensibles y sólidos;

b) explicar cómo cumplen los servicios los requisitos de accesibilidad aplicables y poner esta información a disposición del público de manera accesible para las personas con discapacidad;

c) poner a disposición la información, los formularios y las medidas facilitados de conformidad con el presente Reglamento de tal forma que sean fáciles de encontrar, de entender y que resulten accesibles para las personas con discapacidad.

3.   La Comisión fomentará la elaboración de los códigos de conducta a más tardar el 18 de febrero de 2025 y su aplicación a más tardar el 18 de agosto de 2025.

Artículo 48. Protocolos de crisis

1.   La Junta podrá recomendar que la Comisión inicie la elaboración, de conformidad con los apartados 2, 3 y 4, de protocolos voluntarios destinados a abordar situaciones de crisis. Dichas situaciones se limitarán estrictamente a circunstancias extraordinarias que afecten a la seguridad pública o a la salud pública.

2.   La Comisión fomentará y facilitará que los prestadores de las plataformas en línea de muy gran tamaño, de los motores de búsqueda en línea de muy gran tamaño y, en su caso, de otras plataformas en línea o de otros motores de búsqueda en línea, tomen parte en la elaboración, realización de pruebas y aplicación de dichos protocolos de crisis. La Comisión tratará de asegurarse de que dichos protocolos de crisis incluyan una o varias de las medidas siguientes:

a) presentar de forma destacada información sobre la situación de crisis proporcionada por las autoridades de los Estados miembros o en el ámbito de la Unión, o, en función del contexto de la crisis, por otros organismos fiables pertinentes;

b) garantizar que el prestador de servicios intermediarios designe un punto de contacto específico para la gestión de crisis; cuando sea pertinente, podrá ser el punto de contacto electrónico a que se refiere el artículo 11 o, en el caso de prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño, el encargado del cumplimiento a que se refiere el artículo 41;

c) en su caso, adaptar los recursos dedicados al cumplimiento de las obligaciones establecidas en los artículos 16, 20, 22, 23 y 35 a las necesidades derivadas de la situación de crisis.

3.   La Comisión implicará, cuando proceda, a las autoridades de los Estados miembros y también podrá implicar a los organismos, las oficinas y las agencias de la Unión en la elaboración, realización de pruebas y supervisión de la aplicación de los protocolos de crisis. La Comisión podrá, cuando sea necesario y adecuado, implicar también a organizaciones de la sociedad civil u otras organizaciones pertinentes en la elaboración de los protocolos de crisis.

4.   La Comisión tratará de asegurarse de que los protocolos de crisis expongan claramente todo lo siguiente:

a) los parámetros específicos para determinar qué constituye la circunstancia extraordinaria específica que el protocolo de crisis pretende abordar y los objetivos que persigue;

b) el papel de cada uno de los participantes y las medidas que deban adoptar en la preparación del protocolo de crisis y una vez que se haya activado este;

c) un procedimiento claro para determinar cuándo ha de activarse el protocolo de crisis;

d) un procedimiento claro para determinar el período durante el cual deban aplicarse las medidas que se adopten una vez activado el protocolo de crisis, que se limite a lo estrictamente necesario para abordar las circunstancias extraordinarias concretas de que se trate;

e) salvaguardias para contrarrestar posibles efectos negativos para el ejercicio de los derechos fundamentales amparados por la Carta, en particular la libertad de expresión e información y el derecho a la no discriminación;

f) un proceso para informar públicamente sobre las medidas que se adopten, su duración y sus resultados, una vez finalice la situación de crisis.

5.   Si la Comisión considera que un protocolo de crisis no es eficaz para abordar la situación de crisis, o para salvaguardar el ejercicio de los derechos fundamentales a que se refiere el apartado 4, letra e), solicitará a los participantes que revisen el protocolo de crisis, por ejemplo, adoptando medidas adicionales.

CAPÍTULO IV. APLICACIÓN, COOPERACIÓN, SANCIONES Y EJECUCIÓN

SECCIÓN 1. Autoridades competentes y coordinadores nacionales de servicios digitales

Artículo 49. Autoridades competentes y coordinadores de servicios digitales

1.   Los Estados miembros designarán una o varias autoridades competentes responsables de la supervisión de los prestadores de servicios intermediarios y de la ejecución del presente Reglamento (en lo sucesivo, «autoridades competentes»).

2.   Los Estados miembros designarán a una de las autoridades competentes como su coordinador de servicios digitales. El coordinador de servicios digitales será responsable de todas las materias relacionadas con la supervisión y garantía del cumplimiento del presente Reglamento en ese Estado miembro, a menos que el Estado miembro de que se trate haya asignado determinadas funciones o sectores específicos a otras autoridades competentes. En todo caso, el coordinador de servicios digitales será responsable de garantizar la coordinación en el ámbito nacional respecto de tales materias y de contribuir a la supervisión y garantía del cumplimiento efectivas y coherentes del presente Reglamento en toda la Unión.

Con ese fin, los coordinadores de servicios digitales cooperarán entre sí, con otras autoridades competentes nacionales, con la Junta y con la Comisión, sin perjuicio de la posibilidad de que los Estados miembros organicen mecanismos de cooperación e intercambios periódicos de opiniones entre el coordinador de servicios digitales y otras autoridades nacionales cuando sea pertinente para el desempeño de sus funciones respectivas.

Cuando un Estado miembro designe una o varias autoridades competentes además del coordinador de servicios digitales, se asegurará de que las funciones respectivas de esas autoridades y del coordinador de servicios digitales estén claramente definidas y que mantengan una cooperación estrecha y eficaz en el desempeño de estas.

3.   Los Estados miembros designarán a los coordinadores de servicios digitales a más tardar el 17 de febrero de 2024.

Los Estados miembros harán público, y comunicarán a la Comisión y a la Junta, el nombre de la autoridad competente que hayan designado como coordinador de servicios digitales, así como su información de contacto. El Estado miembro de que se trate comunicará a la Comisión y a la Junta el nombre de las otras autoridades competentes a que se refiere el apartado 2, así como sus funciones respectivas.

4.   Las disposiciones aplicables a los coordinadores de servicios digitales establecidas en los artículos 50, 51 y 56 también se aplicarán a cualquier otra autoridad competente que los Estados miembros designen en virtud del apartado 1 del presente artículo.

Artículo 50. Requisitos aplicables a los coordinadores de servicios digitales

1.   Los Estados miembros velarán por que sus coordinadores de servicios digitales desempeñen sus funciones en virtud del presente Reglamento de manera imparcial, transparente y en tiempo oportuno. Los Estados miembros se asegurarán de que sus coordinadores de servicios digitales posean todos los recursos necesarios para desempeñar sus funciones, entre otros, recursos técnicos, financieros y humanos suficientes para supervisar adecuadamente a todos los prestadores de servicios intermediarios que estén bajo su competencia. Cada Estado miembro velará por que su coordinador de servicios digitales disponga de autonomía suficiente a la hora de gestionar su presupuesto dentro de los límites presupuestarios generales para no afectar negativamente a la independencia del coordinador de servicios digitales.

2.   En el desempeño de sus funciones y en el ejercicio de sus competencias de conformidad con el presente Reglamento, los coordinadores de servicios digitales actuarán con completa independencia. Permanecerán libres de cualquier influencia externa, ya sea directa o indirecta, y no solicitarán ni aceptarán instrucciones de ninguna otra autoridad pública o particular.

3.   El apartado 2 del presente artículo ha de entenderse sin perjuicio de las funciones que corresponden a los coordinadores de servicios digitales en el sistema de supervisión y garantía del cumplimiento contemplado en el presente Reglamento y de la cooperación con otras autoridades competentes de conformidad con el artículo 49, apartado 2. El apartado 2 del presente artículo no impedirá el ejercicio del control jurisdiccional y también ha de entenderse sin perjuicio de requisitos proporcionados de rendición de cuentas en lo que respecta a las actividades generales del coordinador de servicios digitales, como su gasto financiero o la presentación de información a los Parlamentos nacionales, siempre que dichos requisitos no perjudiquen la consecución de los objetivos del presente Reglamento.

Artículo 51. Facultades de los coordinadores de servicios digitales

1.   Cuando sea necesario a fin de desempeñar sus funciones con arreglo al presente Reglamento, los coordinadores de servicios digitales dispondrán de las siguientes facultades de investigación con respecto a la conducta de los prestadores de servicios intermediarios sujetos a la competencia de su Estado miembro:

a) la facultad de exigir que dichos prestadores, así como cualquier otra persona que actúe con fines relacionados con su actividad comercial, negocio, oficio o profesión que pueda tener razonablemente conocimiento de información relativa a una presunta infracción del presente Reglamento, incluidas las organizaciones que realicen las auditorías a que se refieren el artículo 37 y el artículo 75, apartado 2, faciliten dicha información sin dilación indebida;

b) la facultad de inspeccionar, o de solicitar a una autoridad judicial de su Estado miembro que ordene inspeccionar, cualquier instalación que dichos prestadores o dichas personas utilicen con fines relacionados con su actividad comercial, negocio, oficio o profesión, o de solicitar a otras autoridades públicas que lo hagan, a fin de examinar, tomar u obtener o incautarse de información relativa a una presunta infracción en cualquier forma, sea cual sea el medio de almacenamiento;

c) la facultad de solicitar a cualquier miembro del personal o representante de dichos prestadores o dichas personas que ofrezcan explicaciones respecto de cualquier información relativa a una presunta infracción y de registrar las respuestas con su consentimiento por cualquier medio técnico.

2.   Cuando sea necesario para el desempeño de sus funciones en virtud del presente Reglamento, los coordinadores de servicios digitales dispondrán de las siguientes facultades de ejecución con respecto a los prestadores de servicios intermediarios sujetos a la competencia de su Estado miembro:

a) la facultad de aceptar los compromisos ofrecidos por dichos prestadores en relación con su cumplimiento del presente Reglamento y de declarar dichos compromisos vinculantes;

b) la facultad de ordenar que cesen las infracciones y, en su caso, imponer medidas correctoras proporcionadas en relación con la infracción y necesarias para poner fin a la infracción de manera efectiva, o de solicitar a una autoridad judicial de su Estado miembro que lo haga;

c) la facultad de imponer multas, o de solicitar a una autoridad judicial de su Estado miembro que lo haga, de conformidad con el artículo 52 por incumplimientos del presente Reglamento, por ejemplo de cualquiera de las órdenes de investigación dictadas con arreglo al apartado 1 del presente artículo;

d) la facultad de imponer una multa coercitiva, o de solicitar a una autoridad judicial de su Estado miembro que lo haga, de conformidad con el artículo 52 para asegurarse de que se ponga fin a una infracción en cumplimiento de una orden dictada de conformidad con la letra b) del presente párrafo o por el incumplimiento de cualquiera de las órdenes de investigación dictadas con arreglo al apartado 1 del presente artículo;

e) la competencia de adoptar medidas cautelares, o de solicitar a la autoridad judicial nacional competente de su Estado miembro que lo haga, para evitar el riesgo de perjuicios graves.

En lo que respecta al párrafo primero, letras c) y d), los coordinadores de servicios digitales también tendrán las facultades de ejecución establecidas en dichas letras respecto del resto de personas a que se refiere el apartado 1 por el incumplimiento de cualquiera de las órdenes que les sean destinadas y dictadas con arreglo a dicho apartado. Solo ejercerán esas facultades de ejecución después de proporcionar a esas otras personas, con antelación adecuada, toda la información pertinente relativa a dichas órdenes, incluido el plazo aplicable, las multas sancionadoras o multas coercitivas que puedan imponerse por incumplimiento y las vías de recurso.

3.   Cuando sea necesario para el desempeño de sus funciones en virtud de presente Reglamento, los coordinadores de servicios digitales también tendrán, respecto de los prestadores de servicios intermediarios sujetos a la competencia de su Estado miembro, cuando todas las demás facultades previstas en el presente artículo para poner fin a una infracción se hayan agotado y la infracción no se haya subsanado o persista y cause perjuicios graves que no puedan evitarse mediante el ejercicio de otras facultades de que se disponga en virtud del Derecho de la Unión o nacional, la facultad de adoptar las medidas siguientes:

a) exigir al órgano de dirección de dichos prestadores, sin dilación indebida, que examine la situación, adopte y presente un plan de acción en el que exponga las medidas necesarias para poner fin a la infracción, se asegure de que el prestador adopte tales medidas, e informe sobre las medidas adoptadas;

b) cuando el coordinador de servicios digitales considere que un prestador de servicios intermediarios no ha cumplido suficientemente con los requisitos a que se refiere la letra a), que la infracción no se ha subsanado o persiste y causa perjuicios graves, y que dicha infracción constituye un delito que amenaza la vida o la seguridad de las personas, solicitar que la autoridad judicial competente de su Estado miembro ordene que se limite temporalmente el acceso de los destinatarios al servicio afectado por la infracción o bien, únicamente cuando ello no sea técnicamente viable, a la interfaz en línea del prestador de servicios intermediarios en la que tenga lugar la infracción.

El coordinador de servicios digitales, excepto cuando actúe a petición de la Comisión conforme al artículo 82, antes de presentar la petición a que se refiere el párrafo primero, letra b), del presente apartado, invitará a los interesados a presentar observaciones por escrito en un plazo que no será inferior a dos semanas, explicando las medidas que pretenda solicitar e identificando al destinatario o destinatarios previstos de estas. El prestador de servicios intermediarios, el destinatario o destinatarios previstos y cualquier otro tercero que demuestre un interés legítimo tendrán derecho a participar en los procedimientos ante la autoridad judicial competente. Toda medida que se ordene será proporcionada en relación con la naturaleza, gravedad, recurrencia y duración de la infracción, sin limitar indebidamente el acceso de los destinatarios del servicio afectado a información lícita.

La limitación de acceso se mantendrá durante un período de cuatro semanas, supeditada a la posibilidad de que la autoridad judicial competente, en su orden, permita que el coordinador de servicios digitales prorrogue dicho período por períodos de idéntica duración, debiendo respetarse el número máximo de prórrogas establecido por dicha autoridad judicial. El coordinador de servicios digitales solo prorrogará ese período cuando considere, en vista de los derechos e intereses de todas las partes afectadas por dicha limitación y todas las circunstancias pertinentes, incluida cualquier información que el prestador de servicios intermediarios, el destinatario o destinatarios y cualquier otro tercero que haya demostrado un interés legítimo puedan proporcionarle, que se han cumplido las dos condiciones siguientes:

a) que el prestador de servicios intermediarios no haya adoptado las medidas necesarias para poner fin a la infracción;

b) que la limitación temporal no limite indebidamente el acceso de los destinatarios del servicio a información lícita, teniendo en cuenta el número de destinatarios afectados y si existe alguna alternativa adecuada y fácilmente accesible.

Cuando el coordinador de servicios digitales considere que se han cumplido las condiciones previstas en el párrafo tercero, letras a) y b), pero no pueda prorrogar el período de conformidad con el párrafo tercero, presentará una nueva petición a la autoridad judicial competente, según se indica en el párrafo primero, letra b).

4.   Las facultades enumeradas en los apartados 1, 2 y 3 se entenderán sin perjuicio de la sección 3.

5.   Las medidas adoptadas por los coordinadores de servicios digitales en el ejercicio de las facultades enumeradas en los apartados 1, 2 y 3 serán eficaces, disuasorias y proporcionadas, teniendo en cuenta, en particular, la naturaleza, gravedad, recurrencia y duración de la infracción o presunta infracción a la que se refieran dichas medidas, así como la capacidad económica, técnica y operativa del prestador de servicios intermediarios afectado cuando sea pertinente.

6.   Los Estados miembros establecerán normas y procedimientos específicos para el ejercicio de las facultades en virtud de los apartados 1, 2 y 3 y velarán por que todo ejercicio de estas facultades se someta a salvaguardias adecuadas establecidas en el Derecho nacional aplicable de conformidad con la Carta y con los principios generales del Derecho de la Unión. En particular, solo se adoptarán esas medidas de conformidad con el derecho al respeto de la vida privada y los derechos de defensa, incluidos los derechos a ser oído y a tener acceso al expediente, y supeditadas al derecho a la tutela judicial efectiva de todos los afectados.

Artículo 52. Sanciones

1.   Los Estados miembros establecerán el régimen de sanciones aplicables a cualquier infracción del presente Reglamento por los prestadores de servicios intermediarios que estén bajo su competencia y adoptarán todas las medidas necesarias para garantizar su ejecución de conformidad con el artículo 51.

2.   Tales sanciones serán efectivas, proporcionadas y disuasorias. Los Estados miembros comunicarán a la Comisión el régimen establecido y las medidas adoptadas y le notificarán, sin demora, toda modificación posterior.

3.   Los Estados miembros se asegurarán de que el importe máximo de las multas que puedan imponerse por un incumplimiento de una obligación establecida en el presente Reglamento sea del 6 % del volumen de negocios anual en todo el mundo del prestador de servicios intermediarios de que se trate en el ejercicio fiscal anterior. Los Estados miembros se asegurarán de que el importe máximo de las multas que puedan imponerse por proporcionar información incorrecta, incompleta o engañosa, por no responder o por no rectificar información incorrecta, incompleta o engañosa y por no someterse a una inspección sea del 1 % de los ingresos anuales, o del volumen de negocios anual en todo el mundo, del prestador de servicios intermediarios o de la persona de que se trate en el ejercicio fiscal anterior.

4.   Los Estados miembros se asegurarán de que el importe máximo de una multa coercitiva sea del 5 % del promedio diario del volumen de negocios en todo el mundo o de los ingresos del prestador de servicios intermediarios de que se trate en el ejercicio fiscal anterior por día, calculado a partir de la fecha especificada en la decisión de que se trate.

Artículo 53. Derecho a presentar una reclamación

Los destinatarios del servicio y todos los organismos, organizaciones o asociaciones autorizados a ejercer en su nombre los derechos conferidos por el presente Reglamento tendrán derecho a presentar una reclamación contra los prestadores de servicios intermediarios en la que se alegue una infracción del presente Reglamento ante el coordinador de servicios digitales del Estado miembro en el que el destinatario del servicio esté situado o establecido. El coordinador de servicios digitales evaluará la reclamación y, cuando sea oportuno, la transmitirá al coordinador de servicios digitales de establecimiento, acompañada, cuando lo considere apropiado, de un dictamen. Cuando la reclamación sea responsabilidad de otra autoridad competente en su Estado miembro, el coordinador de servicios digitales que reciba la reclamación la transmitirá a dicha autoridad. Durante el procedimiento, ambas partes tendrán derecho a ser oídas y a recibir información adecuada sobre el estado del procedimiento de conformidad con el Derecho nacional.

Artículo 54. Indemnización

Los destinatarios del servicio tendrán derecho a solicitar, de conformidad con el Derecho de la Unión o nacional, una indemnización con cargo a los prestadores de servicios intermediarios por cualquier daño o perjuicio sufrido como consecuencia del incumplimiento por parte de dichos prestadores de sus obligaciones en virtud del presente Reglamento.

Artículo 55. Informes de actividad

1.   Los coordinadores de servicios digitales elaborarán informes anuales de sus actividades reguladas por presente Reglamento, incluidos el número de reclamaciones recibidas con arreglo al artículo 53 y un resumen de su seguimiento. Los coordinadores de servicios digitales harán públicos dichos informes anuales en un formato legible por máquina, a reserva de las normas aplicables en materia de confidencialidad de la información con arreglo al artículo 84, y los comunicarán a la Comisión y a la Junta.

2.   El informe anual también incluirá la siguiente información:

a) el número y objeto de las órdenes de actuación contra contenidos ilícitos y de las órdenes de entrega de información dictadas de conformidad con los artículos 9 y 10 por cualquier autoridad judicial o administrativa nacional del Estado miembro del coordinador de servicios digitales afectado;

b) el curso dado a dichas órdenes, según se comuniquen al coordinador de servicios digitales con arreglo a los artículos 9 y 10.

3.   Cuando un Estado miembro haya designado varias autoridades competentes con arreglo al artículo 49, velará por que el coordinador de servicios digitales elabore un único informe que comprenda las actividades de todas las autoridades competentes y que el coordinador de servicios digitales reciba toda la información pertinente y el apoyo que necesite a tal efecto de parte del resto de autoridades competentes afectadas.

SECCIÓN 2. Competencias, investigación coordinada y mecanismos de coherencia

Artículo 56. Competencias

1.   El Estado miembro en el que se encuentre el establecimiento principal del prestador de servicios intermediarios tendrá la competencia exclusiva para supervisar y hacer cumplir el presente Reglamento, con la excepción de las competencias previstas en los apartados 2, 3 y 4.

2.   La Comisión tendrá competencias exclusivas para supervisar y hacer cumplir el capítulo III, sección 5.

3.   La Comisión tendrá competencias para supervisar y hacer cumplir las obligaciones del presente Reglamento, que no sean las establecidas en su capítulo III, sección 5, respecto a los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño.

4.   Cuando la Comisión no haya incoado un procedimiento por la misma infracción, el Estado miembro en el que se encuentra el establecimiento principal de un prestador de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño tendrá competencias para supervisar y hacer cumplir las obligaciones en virtud del presente Reglamento que no sean las establecidas en el capítulo III, sección 5, respecto a dichos prestadores.

5.   Los Estados miembros y la Comisión colaborarán estrechamente para supervisar y hacer cumplir las disposiciones del presente Reglamento.

6.   Cuando un prestador de servicios intermediarios no tenga un establecimiento en la Unión, el Estado miembro en el que su representante legal resida o esté establecido o la Comisión tendrán competencias, según proceda, de conformidad con los apartados 1 y 4 del presente artículo, para supervisar y hacer cumplir las obligaciones pertinentes en virtud del presente Reglamento.

7.   Si un prestador de servicios intermediarios no designa a un representante legal de conformidad con el artículo 13, todos los Estados miembros y, en el caso de un prestador de una plataforma en línea de muy gran tamaño o de un motor de búsqueda en línea de muy gran tamaño, la Comisión dispondrán de competencias de supervisión y de garantía del cumplimiento de conformidad con el presente artículo.

Cuando un coordinador de servicios digitales tenga previsto ejercer sus competencias en virtud del presente apartado, lo notificará a todos los demás coordinadores de servicios digitales y a la Comisión y se asegurará de que se respeten las salvaguardias aplicables previstas en la Carta, en particular para evitar que una misma conducta sea sancionada más de una vez por constituir un incumplimiento de las obligaciones establecidas en el presente Reglamento. Cuando la Comisión tenga intención de ejercer sus competencias en virtud del presente apartado, notificará a todos los demás coordinadores de servicios digitales de dicha intención. Una vez recibida la notificación con arreglo al presente apartado, los demás Estados miembros no iniciarán un procedimiento por la misma infracción que la mencionada en la notificación.

Artículo 57. Asistencia mutua

1.   Los coordinadores de servicios digitales y la Comisión cooperarán estrechamente y se prestarán asistencia mutua para aplicar el presente Reglamento de manera coherente y eficiente. La asistencia mutua incluirá, en particular, el intercambio de información de conformidad con el presente artículo y el deber del coordinador de servicios digitales de establecimiento de informar a todos los coordinadores de servicios digitales de destino, a la Junta y a la Comisión de la apertura de una investigación y de la intención de tomar una decisión definitiva, incluida su evaluación, con respecto a un determinado prestador de servicios intermediarios.

2.   A efectos de una investigación, el coordinador de servicios digitales de establecimiento podrá solicitar a otros coordinadores de servicios digitales que faciliten información específica que obre en su poder en relación con un determinado prestador de servicios intermediarios o que ejerzan sus competencias de investigación a que se refiere el artículo 51, apartado 1, en relación con información específica localizada en su Estado miembro. Cuando proceda, el coordinador de servicios digitales que reciba la solicitud podrá implicar a otras autoridades competentes u otras autoridades públicas del Estado miembro de que se trate.

3.   El coordinador de servicios digitales que reciba la solicitud con arreglo al apartado 2 cumplirá dicha solicitud e informará al coordinador de servicios digitales de establecimiento acerca de las medidas adoptadas, sin dilación indebida y a más tardar dos meses después de recibirla, a menos que:

a) la especificación, la justificación o la proporcionalidad del alcance o del objeto de la solicitud sea insuficiente teniendo en cuenta los fines de investigación, o

b) ni el coordinador de servicios digitales al que se dirige la solicitud ni ninguna otra autoridad competente u otra autoridad pública de ese Estado miembro estén en posesión de la información solicitada, ni puedan tener acceso a ella, o

c) no pueda cumplirse la solicitud sin infringir el Derecho de la Unión o nacional.

El coordinador de servicios digitales que reciba la solicitud justificará su denegación presentando una respuesta motivada, dentro del plazo previsto en el párrafo primero.

Artículo 58. Cooperación transfronteriza entre coordinadores de servicios digitales

1.   A menos que la Comisión haya abierto una investigación por la misma presunta infracción, cuando un coordinador de servicios digitales de destino tenga razones para sospechar que un prestador de un servicio intermediario ha infringido el presente Reglamento de manera que afecte negativamente a los destinatarios del servicio en el Estado miembro de dicho coordinador de servicios digitales, podrá solicitar al coordinador de servicios digitales de establecimiento que evalúe el asunto y adopte las medidas necesarias de investigación y ejecución para garantizar el cumplimiento del presente Reglamento.

2.   A menos que la Comisión haya abierto una investigación por la misma presunta infracción y a petición de al menos tres coordinadores de servicios digitales de destino que tengan razones para sospechar que un prestador de servicios intermediarios específico ha infringido el presente Reglamento de manera que afecte negativamente a los destinatarios del servicio en sus Estados miembros, la Junta podrá solicitar al coordinador de servicios digitales de establecimiento que evalúe el asunto y adopte las medidas necesarias de investigación y ejecución para garantizar el cumplimiento del presente Reglamento.

3.   Una solicitud con arreglo a los apartados 1 o 2 estará debidamente motivada e indicará, como mínimo, lo siguiente:

a) el punto de contacto del prestador de servicios intermediarios afectado según lo dispuesto en el artículo 11;

b) una descripción de los hechos pertinentes, las disposiciones del presente Reglamento a que se refieren y los motivos por los que el coordinador de servicios digitales que ha enviado la solicitud, o la Junta, sospecha que el prestador ha infringido el presente Reglamento y, en particular, una descripción de los efectos negativos de la presunta infracción;

c) cualquier otra información que el coordinador de servicios digitales que haya enviado la solicitud, o la Junta, considere pertinente, incluida, en su caso, la información que haya recabado por iniciativa propia o las propuestas de adopción de medidas específicas de investigación o ejecución, incluidas las medidas cautelares.

4.   El coordinador de servicios digitales de establecimiento tendrá en cuenta en la mayor medida posible la solicitud conforme a los apartados 1 o 2 del presente artículo. Cuando considere que no posee suficiente información para actuar con arreglo a dicha solicitud y tenga razones para considerar que el coordinador de servicios digitales que haya enviado la solicitud, o la Junta, podría aportar información adicional, el coordinador de servicios digitales de establecimiento podrá solicitar dicha información de conformidad con el artículo 57 o bien poner en marcha una investigación conjunta con arreglo al artículo 60, apartado 1, en la que participe, al menos, el coordinador de servicios digitales solicitante. El plazo establecido en el apartado 5 del presente artículo se suspenderá hasta que se facilite información adicional o se rechace la invitación a participar en la investigación conjunta.

5.   El coordinador de servicios digitales de establecimiento, sin dilación indebida y en todo caso a más tardar dos meses después de que se reciba la solicitud con arreglo al apartado 1 o 2, comunicará al coordinador de servicios digitales que haya enviado la solicitud, y a la Junta, la evaluación de la presunta infracción y una explicación de las medidas de investigación o ejecución que pueda haber adoptado o previsto al respecto para garantizar el cumplimiento del presente Reglamento.

Artículo 59. Remisión a la Comisión

1.   Cuando no se reciba una comunicación en el plazo establecido en el artículo 58, apartado 5, cuando la Junta no esté de acuerdo con la evaluación o con las medidas adoptadas o previstas con arreglo al artículo 58, apartado 5, o en los supuestos contemplados en el artículo 60, apartado 3, la Junta podrá remitir el asunto a la Comisión, aportando toda la información pertinente. Dicha información incluirá, como mínimo, la solicitud o recomendación enviada al coordinador de servicios digitales de establecimiento, la evaluación realizada por dicho coordinador de servicios digitales, los motivos que justifiquen el desacuerdo y cualquier información adicional que justifique la remisión.

2.   La Comisión evaluará el asunto en un plazo de dos meses desde la remisión del asunto de conformidad con el apartado 1, previa consulta al coordinador de servicios digitales de establecimiento.

3.   Cuando, en virtud del apartado 2 del presente artículo, la Comisión considere que la evaluación o las medidas de investigación o ejecución adoptadas o previstas con arreglo al artículo 58, apartado 5, son insuficientes para garantizar el cumplimiento efectivo o bien incompatibles con el presente Reglamento, comunicará sus puntos de vista al coordinador de servicios digitales de establecimiento y a la Junta y solicitará al coordinador de servicios digitales de establecimiento que examine el asunto.

El coordinador de servicios digitales de establecimiento adoptará las medidas de investigación o de ejecución necesarias para garantizar el cumplimiento del presente Reglamento, teniendo en cuenta en la mayor medida posible los puntos de vista y la solicitud de revisión de la Comisión. El coordinador de servicios digitales de establecimiento informará a la Comisión, así como al coordinador de servicios digitales solicitante o a la Junta que hayan tomado medidas en virtud del artículo 58, apartado 1 o 2, acerca de las medidas adoptadas en un plazo de dos meses desde dicha solicitud de revisión.

Artículo 60. Investigaciones conjuntas

1.   El coordinador de servicios digitales de establecimiento podrá iniciar y dirigir investigaciones conjuntas con la participación de uno o más coordinadores de servicios digitales afectados:

a) por iniciativa propia, para investigar una presunta infracción del presente Reglamento por parte de un determinado prestador de servicios intermediarios en varios Estados miembros, o

b) previa recomendación de la Junta, actuando a petición de al menos tres coordinadores de servicios digitales, que aleguen, basándose en una sospecha razonable, una infracción por parte de un determinado prestador de servicios intermediarios que afecte a destinatarios del servicio en sus Estados miembros.

2.   Todo coordinador de servicios digitales que demuestre un interés legítimo en participar en una investigación conjunta de conformidad con el apartado 1 lo podrá solicitar. La investigación conjunta concluirá en un plazo de tres meses desde su inicio, a menos que los participantes acuerden otra cosa.

El coordinador de servicios digitales de establecimiento comunicará su posición preliminar sobre la presunta infracción a más tardar un mes después del fin del plazo a que se refiere el párrafo primero a todos los coordinadores de servicios digitales, a la Comisión y a la Junta. La posición preliminar tendrá en cuenta los puntos de vista de todos los demás coordinadores de servicios digitales que participen en la investigación conjunta. En su caso, esta posición preliminar también establecerá las medidas de ejecución previstas.

3.   La Junta podrá remitir el asunto a la Comisión de conformidad con el artículo 59, cuando:

a) el coordinador de servicios digitales de establecimiento no haya comunicado su posición preliminar en el plazo previsto en el apartado 2;

b) la Junta discrepe sustancialmente de la posición de la posición preliminar comunicada por el coordinador de servicios digitales de establecimiento, o

c) el coordinador de servicios digitales de establecimiento no haya iniciado inmediatamente la investigación conjunta tras la recomendación de la Junta con arreglo al apartado 1, letra b).

4.   Al llevar a cabo la investigación conjunta, los coordinadores de servicios digitales participantes cooperarán de buena fe, teniendo en cuenta, en su caso, las indicaciones del coordinador de servicios digitales de establecimiento y la recomendación de la Junta. Los coordinadores de servicios digitales de destino que participen en la investigación conjunta podrán, a petición del coordinador de servicios digitales de establecimiento o tras haberlo consultado a este, ejercer sus facultades de investigación a que se refiere el artículo 51, apartado 1, en relación con los prestadores de servicios intermediarios afectados por la presunta infracción, en relación con la información y los locales situados en su territorio.

SECCIÓN 3. Junta Europea de Servicios Digitales

Artículo 61. Junta Europea de Servicios Digitales

1.   Se establece un grupo consultivo independiente integrado por coordinadores de servicios digitales para la supervisión de los prestadores de servicios intermediarios, denominado «Junta Europea de Servicios Digitales» (en lo sucesivo, «Junta»).

2.   La Junta asesorará a los coordinadores de servicios digitales y a la Comisión de conformidad con el presente Reglamento para alcanzar los siguientes objetivos:

a) contribuir a la aplicación coherente del presente Reglamento y a la cooperación efectiva de los coordinadores de servicios digitales y la Comisión con respecto a las materias reguladas por el presente Reglamento;

b) coordinar y contribuir a las directrices y los análisis de la Comisión y los coordinadores de servicios digitales y otras autoridades competentes sobre problemas emergentes en el mercado interior con respecto a las materias reguladas por el presente Reglamento;

c) asistir a los coordinadores de servicios digitales y a la Comisión en la supervisión de las plataformas en línea de muy gran tamaño.

Artículo 62. Estructura de la Junta

1.   La Junta estará integrada por los coordinadores de servicios digitales que estarán representados por funcionarios de alto nivel. El hecho de que uno o varios Estados miembros no designen a un coordinador de servicios digitales no impedirá que la Junta ejerza sus funciones en virtud del presente Reglamento. Cuando lo prevea el Derecho nacional, en la Junta podrán participar otras autoridades competentes que tengan encomendadas responsabilidades operativas específicas de aplicación y ejecución del presente Reglamento junto al coordinador de servicios digitales. Se podrá invitar a otras autoridades nacionales a las reuniones, cuando los temas tratados sean de relevancia para ellas.

2.   La Junta estará presidida por la Comisión. La Comisión convocará las reuniones y elaborará el orden del día de conformidad con las funciones de la Junta en virtud del presente Reglamento y en consonancia con su reglamento interno. Cuando se solicite a la Junta que adopte una recomendación con arreglo al presente Reglamento, pondrá inmediatamente la solicitud a disposición de otros coordinadores de servicios digitales a través del sistema de intercambio de información establecido en el artículo 85.

3.   Cada Estado miembro dispondrá de un voto. La Comisión no tendrá derechos de voto.

La Junta adoptará sus actos por mayoría simple. Al adoptar una recomendación a la Comisión a que se refiere el artículo 36, apartado 1, párrafo primero, la Junta votará en un plazo de 48 horas tras la solicitud del presidente de la Junta.

4.   La Comisión prestará apoyo administrativo y analítico a la Junta en sus actividades de conformidad con el presente Reglamento.

5.   La Junta podrá invitar a expertos y observadores a que asistan a sus reuniones, y podrá cooperar con otros órganos, oficinas, agencias y grupos consultivos de la Unión, así como con expertos externos cuando proceda. La Junta hará públicos los resultados de esta cooperación.

6.   La Junta podrá consultar a los interesados y pondrá los resultados de dicha consulta a disposición del público.

7.   La Junta adoptará su reglamento interno con el consentimiento de la Comisión.

Artículo 63. Funciones de la Junta

1.   Cuando sea necesario para cumplir los objetivos expuestos en el artículo 61, apartado 2, la Junta, en particular:

a) prestará apoyo a la coordinación de las investigaciones conjuntas;

b) prestará apoyo a las autoridades competentes en el análisis de los informes y resultados de las auditorías de las plataformas en línea de muy gran tamaño o de los motores de búsqueda en línea de muy gran tamaño que se han de transmitir con arreglo al presente Reglamento;

c) emitirá dictámenes o recomendaciones o prestará asesoramiento a los coordinadores de servicios digitales de conformidad con el presente Reglamento, teniendo en cuenta especialmente la libre prestación de servicios de los prestadores de servicios intermediarios;

d) asesorará a la Comisión en la adopción de las medidas a que se refiere el artículo 66 y adoptará dictámenes en relación con plataformas en línea de muy gran tamaño o motores de búsqueda en línea de muy gran tamaño de conformidad con el presente Reglamento;

e) apoyará y promoverá la elaboración y aplicación de normas europeas, directrices, informes, modelos y códigos de conducta en cooperación con las partes interesadas pertinentes según lo dispuesto en el presente Reglamento, también emitiendo dictámenes o recomendaciones en cuestiones relativas al artículo 44, así como la determinación de problemas emergentes, con respecto a las materias reguladas por el presente Reglamento.

2.   Los coordinadores de servicios digitales y, en su caso, otras autoridades competentes que no actúen conforme a los dictámenes, solicitudes o recomendaciones adoptados por la Junta y a ellos destinados deberán explicar los motivos de su decisión, incluida una explicación de las investigaciones, acciones y medidas que hayan aplicado, cuando aporten información de conformidad con el presente Reglamento o cuando adopten sus decisiones pertinentes, según proceda.

SECCIÓN 4. Supervisión, investigación, ejecución y seguimiento respecto de los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño

Artículo 64. Desarrollo de conocimientos especializados y capacidades

1.   La Comisión, en cooperación con los coordinadores de servicios y la Junta, desarrollará conocimientos especializados y capacidades de la Unión, también, cuando sea conveniente, mediante el envío de personal de los Estados miembros en comisión de servicios.

2.   Además, la Comisión, en cooperación con los coordinadores de servicios y la Junta, coordinará la evaluación de las cuestiones sistémicas y emergentes en toda la Unión en relación con las plataformas en línea de muy gran tamaño o los motores de búsqueda en línea de muy gran tamaño a efectos de las materias reguladas por el presente Reglamento.

3.   La Comisión podrá solicitar a los coordinadores de servicios digitales, a la Junta y a otros órganos y organismos de la Unión con los conocimientos especializados pertinentes que apoyen su evaluación de las cuestiones sistémicas y emergentes en toda la Unión con arreglo al presente Reglamento.

4.   Los Estados miembros cooperarán con la Comisión, en particular a través de sus respectivos coordinadores de servicios digitales y de otras autoridades competentes, en su caso, en particular poniendo a disposición de la Comisión sus conocimientos especializados y capacidades.

Artículo 65. Cumplimiento de las obligaciones de los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño

1.   A efectos de investigar el cumplimiento por parte de los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño de las obligaciones establecidas en el presente Reglamento, la Comisión podrá ejercer las competencias de investigación establecidas en la presente sección incluso antes de iniciar el procedimiento previsto en el artículo 66, apartado 2. Podrá ejercer dichas competencias por iniciativa propia o previa solicitud con arreglo al apartado 2 del presente artículo.

2.   Cuando un coordinador de servicios digitales tenga motivos para sospechar que un prestador de una plataforma en línea de muy gran tamaño o de un motor de búsqueda en línea de muy gran tamaño ha infringido lo dispuesto en el capítulo III, sección 5, o ha infringido de forma sistémica alguna de las disposiciones del presente Reglamento de manera que afecte gravemente a los destinatarios del servicio en su Estado miembro, podrá presentar a la Comisión, a través del sistema de intercambio de información a que se refiere el artículo 85, una solicitud debidamente motivada para que evalúe el asunto.

3.   Las solicitudes con arreglo al apartado 2 estarán debidamente motivadas e indicarán, al menos, lo siguiente:

a) el punto de contacto del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate según lo previsto en el artículo 11;

b) una descripción de los hechos pertinentes, las disposiciones del presente Reglamento a que se refieren y los motivos por los que el coordinador de servicios digitales que ha enviado la solicitud sospecha que el prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño ha infringido el presente Reglamento, incluida una descripción de los hechos que demuestren el carácter sistémico de la infracción;

c) cualquier otra información que el coordinador de servicios digitales que ha enviado la solicitud considere pertinente, como, por ejemplo, en su caso, información que haya recopilado por iniciativa propia.

Artículo 66. Incoación de procedimientos por parte de la Comisión y cooperación en la investigación

1.   La Comisión podrá incoar procedimientos en vista de la posible adopción de decisiones con arreglo a los artículos 73 y 74 respecto de la conducta en cuestión por parte del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño del que la Comisión sospeche que ha infringido alguna de las disposiciones del presente Reglamento.

2.   Cuando la Comisión decida incoar un procedimiento con arreglo al apartado 1 del presente artículo, lo notificará a todos los coordinadores de servicios digitales y a la Junta a través del sistema de intercambio de información a que se refiere el artículo 85, así como al prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate.

Los coordinadores de servicios digitales, sin dilación indebida tras ser informados de la incoación de los procedimientos, transmitirán a la Comisión toda la información de la que dispongan sobre la infracción de la que se trate.

La incoación de procedimientos con arreglo al apartado 1 del presente artículo por parte de la Comisión eximirá al coordinador de servicios digitales, o a cualquier autoridad competente en su caso, de sus competencias para supervisar y hacer cumplir las obligaciones en virtud del presente Reglamento de conformidad con el artículo 56, apartado 4.

3.   En el ejercicio de sus competencias de investigación en virtud del presente Reglamento, la Comisión podrá solicitar el apoyo individual o conjunto de cualquier coordinador de servicios digitales afectado por la presunta infracción, incluido el coordinador de servicios digitales de establecimiento. Los coordinadores de servicios digitales que reciban dicha solicitud y cualquier otra autoridad competente, cuando la haya implicado el coordinador de servicios digitales, cooperarán de forma leal y en tiempo oportuno con la Comisión y estarán facultados para ejercer sus facultades de investigación a que se refiere el artículo 51, apartado 1, respecto al prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate, en relación con la información, las personas y los locales situados en el territorio del Estado miembro y de conformidad con la solicitud.

4.   La Comisión facilitará al coordinador de servicios digitales de establecimiento y a la Junta toda la información pertinente sobre el ejercicio de las competencias a que se refieren los artículos 67 a 72 y comunicará sus conclusiones preliminares a que se refiere el artículo 79, apartado 1. La Junta presentará sus puntos de vista sobre las conclusiones preliminares a la Comisión en el plazo determinado con arreglo al artículo 79, apartado 2. En su decisión, la Comisión tendrá en cuenta en la mayor medida posible los puntos de vista de la Junta.

Artículo 67. Solicitudes de información

1.   A fin de ejercer las funciones que le corresponden según lo dispuesto en la presente sección, la Comisión podrá, mediante una simple solicitud o mediante una decisión, requerir al prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate, así como a cualquier otra persona física o jurídica que actúe con fines relacionados con su actividad comercial, negocio, oficio o profesión que pueda razonablemente tener conocimiento de información relativa a la presunta infracción, incluidas las organizaciones que realicen las auditorías a que se refieren el artículo 37 y el artículo 75, apartado 2, que proporcionen dicha información en un plazo razonable.

2.   Cuando envíe una simple solicitud de información al prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate o a cualquier otra de las personas a que se refiere el apartado 1 del presente artículo, la Comisión expondrá el fundamento jurídico y la finalidad de la solicitud, especificará qué información requiere y establecerá el plazo en el que deba entregarse la información, así como las multas previstas en el artículo 74 por proporcionar información incorrecta, incompleta o engañosa.

3.   Cuando la Comisión requiera mediante una decisión la entrega de información al prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate o a cualquier otra de las personas a que se refiere el apartado 1 del presente artículo, expondrá el fundamento jurídico y la finalidad de la decisión, especificará qué información requiere y establecerá el plazo en el que deba entregarse. Asimismo, indicará las multas previstas en el artículo 74 e indicará o impondrá las multas coercitivas previstas en el artículo 76. Asimismo, indicará el derecho a someter la decisión al control del Tribunal de Justicia de la Unión Europea.

4.   Los prestadores de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate o cualquier otra de las personas a que se refiere el apartado 1, o sus representantes y, en el caso de personas jurídicas, sociedades o empresas, o cuando no tengan personalidad jurídica, las personas autorizadas a representarlas por ley o por sus estatutos proporcionarán la información solicitada en nombre del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate o de cualquier otra de las personas a que se refiere el apartado 1. Los abogados debidamente autorizados para actuar podrán proporcionar la información en nombre de sus clientes. Estos últimos seguirán siendo plenamente responsables si la información proporcionada es incompleta, incorrecta o engañosa.

5.   A petición de la Comisión, los coordinadores de servicios digitales y otras autoridades competentes entregarán a la Comisión toda la información necesaria para ejercer las funciones que le corresponden según lo dispuesto en la presente sección.

6.   La Comisión, sin dilación indebida tras enviar la simple solicitud o la decisión a que se refiere el apartado 1 del presente artículo, enviará una copia de la misma a los coordinadores de servicios digitales a través del sistema de intercambio de información a que se refiere el artículo 85.

Artículo 68. Competencia para realizar entrevistas y tomar declaraciones

1.   A fin de ejercer las funciones que le corresponden según lo dispuesto en la presente sección, la Comisión podrá entrevistar a cualquier persona física o jurídica que consienta en ser entrevistada con el fin de recabar información, relativa al objeto de una investigación, en relación con la presunta infracción. La Comisión estará facultada para grabar dicha entrevista por los medios técnicos adecuados.

2.   Si la entrevista a que se refiere el apartado 1 se lleva a cabo en locales que no sean de la Comisión, esta informará de ello al coordinador de servicios digitales del Estado miembro en cuyo territorio tenga lugar la entrevista. Si así lo solicita el coordinador de servicios digitales, sus agentes podrán ayudar a los agentes y demás personas autorizadas por la Comisión para llevar a cabo la entrevista.

Artículo 69. Competencias para realizar inspecciones

1.   A fin de ejercer las funciones que le corresponden según lo dispuesto en la presente sección, la Comisión podrá realizar todas las inspecciones necesarias en las instalaciones del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate o de cualquier otra de las personas a que se refiere el artículo 67, apartado 1.

2.   Los agentes y otros acompañantes autorizados por la Comisión para llevar a cabo una inspección estarán facultados para:

a) entrar en los locales, terrenos y medios de transporte del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate o de cualquier otra persona de que se trate;

b) examinar los libros y otros documentos relacionados con la prestación del servicio de que se trate, independientemente del medio utilizado para almacenarlos;

c) hacer u obtener copias o extractos, en cualquier formato, de dichos libros u otros documentos;

d) exigir al prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño o a cualquier otra persona afectada que facilite acceso a su organización, funcionamiento, sistema informático, algoritmos, gestión de datos y conducta empresarial, y proporcione explicaciones al respecto, y que registre o documente las explicaciones proporcionadas;

e) precintar todos los locales utilizados con fines relacionados con la actividad comercial, negocio, oficio o profesión del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño o cualquier otra persona de que se trate, además de los libros y otros documentos, durante el período y en la medida en que sea necesario para la inspección;

f) pedir a todo representante o miembro del personal del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño o de cualquier otra persona de que se trate explicaciones sobre hechos o documentos que guarden relación con el objeto y la finalidad de la inspección y registrar las respuestas;

g) dirigir preguntas a cualquier representante o miembro del personal de que se trate en relación con el objeto y la finalidad de la inspección y registrar las respuestas.

3.   Las inspecciones también podrán llevarse a cabo con la ayuda de auditores o expertos designados por la Comisión de conformidad con el artículo 72, apartado 2, así como del coordinador de servicios digitales u otras autoridades nacionales competentes del Estado miembro en cuyo territorio se lleve a cabo la inspección.

4.   En el supuesto en que los libros u otros documentos relativos a la prestación del servicio de que se trate se presenten de manera incompleta o en que las respuestas a las preguntas formuladas en aplicación del apartado 2 del presente artículo sean inexactas, incompletas o engañosas, los agentes y demás personas autorizadas por la Comisión para llevar a cabo una inspección ejercerán sus facultades previa presentación de una autorización escrita que indique el objeto y la finalidad de la inspección, así como las sanciones previstas en los artículos 74 y 76. Con suficiente antelación a la inspección, la Comisión informará al coordinador de servicios digitales del Estado miembro en cuyo territorio se vaya a llevar a cabo la inspección.

5.   Durante las inspecciones, los agentes y demás personas autorizadas por la Comisión, los auditores y expertos designados por ella, el coordinador de servicios digitales u otras autoridades competentes del Estado miembro en cuyo territorio se vaya a llevar a cabo la inspección podrán exigir al prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño o a otra persona afectada, que facilite explicaciones acerca de su organización, funcionamiento, sistema informático, algoritmos, gestión de datos y conducta empresarial, y podrán formular preguntas a su personal clave.

6.   El prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño, o cualquier otra de las personas físicas o jurídicas de que se trate estarán obligados a someterse a una inspección cuando la Comisión lo ordene por medio de una decisión. Dicha decisión especificará el objeto y la finalidad de la inspección, fijará la fecha en la que deba comenzar e indicará las sanciones previstas en los artículos 74 y 76 y el derecho a someter la decisión al control del Tribunal de Justicia de la Unión Europea. Antes de adoptar dicha decisión, la Comisión consultará al coordinador de servicios digitales del Estado miembro en cuyo territorio se vaya a llevar a cabo la inspección.

7.   Los agentes y otras personas autorizadas o designadas por el coordinador de servicios digitales en cuyo territorio se deba llevar a cabo la inspección ayudarán activamente, a petición de dicho coordinador de servicios digitales o de la Comisión, a los agentes y demás personas que los acompañen con autorización de la Comisión en relación con la inspección. A tal fin, dispondrán de las facultades que figuran en el apartado 2.

8.   Cuando los agentes y demás acompañantes autorizados por la Comisión constaten que el prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño u otra persona afectada se oponen a una inspección ordenada en virtud del presente artículo, el Estado miembro en cuyo territorio se vaya a llevar a cabo la inspección, a petición de dichos agentes y demás acompañantes autorizados y de conformidad con el Derecho nacional del Estado miembro, les prestará la asistencia necesaria, también, cuando proceda en virtud de dicho Derecho nacional, en forma de medidas coercitivas adoptadas por una autoridad policial competente, a fin de permitirles llevar a cabo la inspección.

9.   Si la asistencia prevista en el apartado 8 exige una autorización de una autoridad judicial nacional de conformidad con el Derecho nacional del Estado miembro de que se trate, el coordinador de servicios digitales de dicho Estado miembro solicitará dicha autorización a petición de los agentes y demás acompañantes autorizados por la Comisión. También podrá solicitarse dicha autorización como medida cautelar.

10.   Cuando se solicite la autorización prevista en el apartado 9, la autoridad judicial nacional ante la que se ha sometido el asunto comprobará la autenticidad de la decisión de la Comisión por la que se ordena la inspección y comprobará que las medidas coercitivas contempladas no son arbitrarias ni desproporcionadas en relación con el objeto de la inspección. Al efectuar dicha comprobación, la autoridad judicial nacional podrá solicitar a la Comisión, directamente o a través de los coordinadores de servicios digitales del Estado miembro de que se trate, explicaciones detalladas, en particular aquellas relativas a los motivos en los que la Comisión se basa para sospechar una infracción del presente Reglamento, a la gravedad de la presunta infracción y a la naturaleza de la participación del prestador de la plataforma en línea de muy gran tamaño, del motor de búsqueda en línea de muy gran tamaño o de cualquier otra persona afectada. Sin embargo, la autoridad judicial nacional no podrá cuestionar la necesidad de la inspección ni pedir información sobre el expediente de la Comisión. La legalidad de la decisión de la Comisión solo estará sujeta al control del Tribunal de Justicia de la Unión Europea.

Artículo 70. Medidas cautelares

1.   En el contexto de un procedimiento que pueda dar lugar a que se adopte una decisión de incumplimiento con arreglo al artículo 73, apartado 1, cuando exista una urgencia debido al riesgo de perjuicios graves para los destinatarios del servicio, la Comisión podrá, mediante una decisión, ordenar medidas cautelares contra el prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate basadas en la constatación prima facie de una infracción.

2.   Una decisión adoptada en virtud del apartado 1 será de aplicación durante un plazo determinado y podrá prorrogarse en la medida en que sea necesario y apropiado.

Artículo 71. Compromisos

1.   Si, durante uno de los procedimientos previstos en esta sección, el prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate asume compromisos que garanticen el cumplimiento de las disposiciones pertinentes del presente Reglamento, la Comisión podrá, mediante una decisión, declarar dichos compromisos vinculantes para el prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate y declarar que no existen motivos adicionales para actuar.

2.   La Comisión podrá, previa solicitud o por iniciativa propia, reabrir el procedimiento:

a) cuando se haya producido un cambio sustancial en alguno de los hechos sobre los que se haya basado la decisión;

b) cuando el prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate actúe contrariamente a sus compromisos, o

c) cuando la decisión se haya basado en información incompleta, incorrecta o engañosa proporcionada por el prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate o por cualquier otra de las personas a que se refiere el artículo 67, apartado 1.

3.   Cuando la Comisión considere que los compromisos asumidos por el prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate no pueden garantizar el cumplimiento efectivo de las disposiciones pertinentes del presente Reglamento, rechazará dichos compromisos en una decisión motivada al finalizar el procedimiento.

Artículo 72. Acciones de seguimiento

1.   Al fin de ejercer las funciones que le corresponden según lo dispuesto en la presente sección, la Comisión podrá emprender las acciones necesarias para vigilar la aplicación y el cumplimiento efectivos del presente Reglamento por el prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate. La Comisión podrá ordenarles que proporcionen acceso a sus bases de datos y algoritmos, y explicaciones al respecto. Tales acciones podrán incluir la imposición de la obligación al prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de conservar todos los documentos que se consideren necesarios para evaluar la aplicación y el cumplimiento de las obligaciones en virtud del presente Reglamento.

2.   Las acciones previstas en el apartado 1 podrán incluir la designación de expertos y auditores externos independientes, además de expertos y auditores de las autoridades nacionales competentes con la autorización de la autoridad de que se trate, para que ayuden a la Comisión a hacer el seguimiento de la aplicación efectiva y el cumplimiento de las disposiciones pertinentes del presente Reglamento y aporten conocimientos o experiencia específicos a la Comisión.

Artículo 73. Incumplimiento

1.   La Comisión adoptará una decisión de incumplimiento cuando constate que el prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño incumple una o varias de las siguientes cosas:

a) las disposiciones pertinentes del presente Reglamento;

b) medidas cautelares ordenadas con arreglo al artículo 70;

c) compromisos que se hayan declarado vinculantes con arreglo al artículo 71.

2.   Antes de adoptar la decisión prevista en el apartado 1, la Comisión comunicará sus conclusiones preliminares al prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate. En las conclusiones preliminares, la Comisión explicará las medidas que considere adoptar, o que considere que el prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate debe adoptar, a fin de dar respuesta de manera efectiva a las conclusiones preliminares.

3.   En la decisión adoptada en virtud del apartado 1, la Comisión ordenará al prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate que adopte las medidas necesarias para garantizar el cumplimiento de la decisión adoptada con arreglo al apartado 1 en un plazo razonable señalado en ella y que proporcione información sobre las medidas que dicho prestador pretenda adoptar para cumplir con la decisión.

4.   El prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate proporcionará a la Comisión una descripción de las medidas que haya adoptado para garantizar el cumplimiento de la decisión conforme al apartado 1 en cuanto se apliquen.

5.   Cuando la Comisión constate que no se cumplen las condiciones del apartado 1, cerrará la investigación mediante una decisión. La decisión se aplicará con efectos inmediatos.

Artículo 74. Multas

1.   En la decisión a que se refiere el artículo 73, la Comisión podrá imponer al prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño multas que no excedan del 6 % del total de su volumen de negocios anual en todo el mundo en el ejercicio fiscal anterior cuando constate que dicho prestador, de forma intencionada o por negligencia:

a) infringe las disposiciones pertinentes del presente Reglamento;

b) incumple una decisión por la que se ordenen medidas cautelares en virtud del artículo 70, o

c) incumple un compromiso que se haya declarado vinculante por medio de una decisión adoptada con arreglo al artículo 71.

2.   La Comisión podrá adoptar una decisión que imponga al prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate o a cualquier otra de las personas físicas o jurídicas a que se refiere el artículo 67, apartado 1, multas que no excedan del 1 % del total de sus ingresos o volumen de negocios anuales en todo el mundo del ejercicio fiscal anterior cuando, de forma intencionada o por negligencia:

a) proporcione información incorrecta, incompleta o engañosa en respuesta a una simple solicitud o a una solicitud de conformidad con lo dispuesto en el artículo 67;

b) no responda a la solicitud de información mediante decisión en el plazo establecido;

c) no rectifique, en el plazo determinado por la Comisión, la información incorrecta, incompleta o engañosa proporcionada por un miembro del personal, o no proporcione o se niegue a proporcionar información completa;

d) se niegue a someterse a una inspección con arreglo al artículo 69;

e) no cumpla las medidas adoptadas por la Comisión con arreglo al artículo 72, o

f) no cumpla las condiciones de acceso al expediente de la Comisión con arreglo al artículo 79, apartado 4.

3.   Antes de adoptar la decisión prevista en el apartado 2 del presente artículo, la Comisión comunicará sus conclusiones preliminares al prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate o a cualquier otra de las personas a que se refiere el artículo 67, apartado 1.

4.   Para fijar el importe de la multa, la Comisión tendrá en cuenta la naturaleza, gravedad, duración y recurrencia de la infracción y, en el caso de las multas impuestas de conformidad con el apartado 2, la demora causada al procedimiento.

Artículo 75. Supervisión reforzada de las medidas por las que se subsanen las infracciones de las obligaciones establecidas en el capítulo III, sección 5

1.   Cuando adopte una decisión con arreglo al artículo 73 en relación con una infracción por parte de un prestador de una plataforma en línea de muy gran tamaño o de un motor de búsqueda en línea de muy gran tamaño de cualquiera de las disposiciones del capítulo III, sección 5, la Comisión hará uso del sistema de supervisión reforzada establecido en el presente artículo. Al hacerlo, tendrá en cuenta en la mayor medida posible cualquier dictamen de la Junta con arreglo al presente artículo.

2.   En la decisión a que se refiere el artículo 73, la Comisión exigirá al prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate que elabore y, en un plazo razonable determinado en la decisión, comunique al coordinador de servicios digitales, a la Comisión y a la Junta un plan de acción en el que se establezcan las medidas necesarias que sean suficientes para poner fin a la infracción o subsanarla. Dichas medidas incluirán el compromiso de llevar a cabo una auditoría independiente de conformidad con el artículo 37, apartados 3 y 4, sobre la aplicación de las demás medidas, y especificarán la identidad de los auditores, así como la metodología, el calendario y el seguimiento de la auditoría. Las medidas podrán incluir también, cuando sea adecuado, el compromiso de adherirse a un código de conducta pertinente conforme a lo dispuesto en el artículo 45.

3.   En el plazo de un mes desde la recepción del plan de acción, la Junta comunicará su dictamen sobre el plan de acción a la Comisión. En el plazo de un mes a partir de la recepción del dictamen, la Comisión decidirá si las medidas descritas en el plan de acción son suficientes para poner fin a la infracción o subsanarla y fijará un plazo razonable para su aplicación. En dicha decisión se tendrá en cuenta el posible compromiso de adherirse a códigos de conducta pertinentes. La Comisión hará posteriormente el seguimiento de la ejecución del plan de acción. A tal fin, el prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate remitirá el informe de auditoría a la Comisión sin dilación indebida una vez esté disponible y mantendrá informada a la Comisión sobre las medidas adoptadas para ejecutar el plan de acción. La Comisión podrá, cuando sea necesario para dicho seguimiento, exigir al prestador de una plataforma en línea de muy gran tamaño o de un motor de búsqueda en línea de muy gran tamaño de que se trate que facilite información adicional en un plazo razonable determinado por la Comisión.

La Comisión mantendrá informados a la Junta y a los coordinadores de servicios digitales sobre la aplicación del plan de acción y su seguimiento.

4.   La Comisión podrá adoptar las medidas necesarias de conformidad con el presente Reglamento, en particular con el artículo 76, apartado 1, letra e), y el artículo 82, apartado 1, cuando:

a) el prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate no facilite ningún plan de acción, el informe de auditoría, las actualizaciones necesarias o cualquier información adicional requerida en el plazo aplicable;

b) la Comisión rechace el plan de acción propuesto porque considera que las medidas que se establecen en él son insuficientes para poner fin a la infracción o subsanarla, o

c) la Comisión considere, sobre la base del informe de auditoría, las actualizaciones o información adicional facilitadas o de cualquier otra información pertinente de que disponga, que el plan de acción es insuficiente para poner fin a la infracción o subsanarla.

Artículo 76. Multas coercitivas

1.   La Comisión podrá adoptar una decisión por la que se imponga al prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate o a cualquier otra de las personas a que se refiere el artículo 67, apartado 1, según corresponda, multas coercitivas que no excedan del 5 % del promedio diario de los ingresos o del volumen de negocios anuales en todo el mundo del ejercicio fiscal anterior por día, calculados a partir de la fecha fijada por esa decisión, para obligarlos a:

a) proporcionar información correcta y completa en respuesta a una decisión que requiera información con arreglo al artículo 67;

b) someterse a una inspección que haya ordenado, mediante decisión, con arreglo al artículo 69;

c) cumplir con una decisión por la que ordene medidas cautelares con arreglo al artículo 70, apartado 1;

d) cumplir compromisos declarados legalmente vinculantes por una decisión con arreglo al artículo 71, apartado 1;

e) cumplir con una decisión adoptada con arreglo al artículo 73, apartado 1, incluidos, en su caso, los requisitos que contiene en relación con el plan de acción a que se refiere el artículo 75.

2.   Cuando el prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate o cualquier otra de las personas a que se refiere el artículo 67, apartado 1, haya satisfecho la obligación que la multa coercitiva tuviera por objeto hacer cumplir, la Comisión podrá fijar el importe definitivo de la multa coercitiva en una cifra inferior a la de la decisión original.

Artículo 77. Plazo de prescripción para la imposición de sanciones

1.   Las competencias atribuidas a la Comisión por los artículos 74 y 76 estarán sujetas a un plazo de prescripción de cinco años.

2.   El plazo comenzará a contar a partir del día en que se cometa la infracción. No obstante, en el caso de infracciones continuadas o reiteradas, el plazo comenzará a contar el día en que cese la infracción.

3.   Cualquier acción emprendida por la Comisión o por el coordinador de servicios digitales para los fines de la investigación o del procedimiento respecto de una infracción interrumpirá el plazo de prescripción para la imposición de multas sancionadoras o multas coercitivas. Las acciones que interrumpen el plazo de prescripción incluyen, en particular, las siguientes:

a) las solicitudes de información de parte de la Comisión o de un coordinador de servicios digitales;

b) una inspección;

c) la incoación de un procedimiento por la Comisión con arreglo al artículo 66, apartado 1.

4.   Tras cada interrupción, el plazo comenzará a contarse desde el principio. Sin embargo, el plazo de prescripción para la imposición de multas sancionadoras o multas coercitivas expirará, a más tardar, el día en el que haya transcurrido un período equivalente al doble del plazo de prescripción sin que la Comisión haya impuesto una multa sancionadora o una multa coercitiva. Dicho período se prorrogará por el tiempo durante el cual se haya suspendido el plazo de prescripción con arreglo al apartado 5.

5.   El plazo de prescripción para la imposición de multas sancionadoras o multas coercitivas se suspenderá mientras la decisión de la Comisión sea objeto de un procedimiento pendiente ante el Tribunal de Justicia de la Unión Europea.

Artículo 78. Plazo de prescripción para la ejecución de sanciones

1.   La competencia de la Comisión para ejecutar las decisiones adoptadas con arreglo a los artículos 74 y 76 estará sujeta a un plazo de prescripción de cinco años.

2.   El tiempo comenzará a contar el día en que la decisión sea firme.

3.   El plazo de prescripción para la ejecución de las sanciones se interrumpirá:

a) por la notificación de una decisión que modifique el importe inicial de la multa sancionadora o de la multa coercitiva o que rechace una solicitud tendente a obtener tal modificación;

b) por cualquier acción de la Comisión, o de un Estado miembro que actúe a petición de la Comisión, que esté destinada a la recaudación por vía ejecutiva de la multa sancionadora o de la multa coercitiva.

4.   Tras cada interrupción, el plazo comenzará a contarse desde el principio.

5.   Quedará suspendido el plazo de prescripción en materia de ejecución de sanciones mientras:

a) dure el plazo concedido para efectuar el pago;

b) dure la suspensión del cobro por vía ejecutiva en virtud de una resolución del Tribunal de Justicia de la Unión Europea o de una resolución de un órgano jurisdiccional nacional.

Artículo 79. Derecho a ser oído y de acceso al expediente

1.   Antes de adoptar una decisión en virtud del artículo 73, apartado 1, del artículo 74 o del artículo 76, la Comisión dará al prestador de la plataforma en línea de muy gran tamaño o de un motor de búsqueda en línea de muy gran tamaño de que se trate o a cualquier otra de las personas a que se refiere el artículo 67, apartado 1, la oportunidad de ser oído en relación con:

a) las conclusiones preliminares de la Comisión, incluido cualquier asunto respecto del cual la Comisión haya formulado objeciones, y

b) las medidas que la Comisión pueda proponerse adoptar en vista de las conclusiones preliminares a que se refiere la letra a).

2.   El prestador de la plataforma en línea de muy gran tamaño o el motor de búsqueda en línea de muy gran tamaño de que se trate o cualquier otra de las personas a que se refiere el artículo 67, apartado 1, podrá enviar sus observaciones sobre las conclusiones preliminares de la Comisión en un plazo razonable que la Comisión haya determinado en dichas conclusiones preliminares, que no podrá ser inferior a 14 días.

3.   La Comisión basará sus decisiones únicamente en las objeciones sobre las que las partes afectadas hayan podido manifestarse.

4.   Los derechos de defensa de los afectados estarán garantizados plenamente en el curso del procedimiento. Tendrán derecho de acceso al expediente de la Comisión en virtud de una divulgación negociada, sujeta al interés legítimo del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño o de cualquier otra de las personas afectadas, en la protección de sus secretos comerciales. La Comisión estará facultada para adoptar decisiones en las que se establezcan dichas condiciones de divulgación en caso de desacuerdo entre las partes. El derecho de acceso al expediente de la Comisión no se extenderá a la información confidencial y a los documentos internos de la Comisión, la Junta, los coordinadores de servicios digitales, otras autoridades competentes o de otras autoridades públicas de los Estados miembros. En particular, el derecho de acceso no se extenderá a la correspondencia entre la Comisión y dichas autoridades. Nada de lo dispuesto en este apartado impedirá que la Comisión revele o utilice la información necesaria para demostrar una infracción.

5.   La información recabada de conformidad con los artículos 67, 68 y 69 se utilizará únicamente para los fines del presente Reglamento.

Artículo 80. Publicación de las decisiones

1.   La Comisión publicará las decisiones que adopte de conformidad con el artículo 70, apartado 1, el artículo 71, apartado 1, y los artículos 73 a 76. Dicha publicación mencionará los nombres de las partes y el contenido principal de la decisión, incluidas las sanciones impuestas.

2.   La publicación tendrá en cuenta los derechos e intereses legítimos del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate, de cualquier otra de las personas a que se refiere el artículo 67, apartado 1, y de cualquier tercero en la protección de su información confidencial.

Artículo 81. Control por el Tribunal de Justicia de la Unión Europea

De conformidad con el artículo 261 del TFUE, el Tribunal de Justicia de la Unión Europea tiene competencia jurisdiccional plena para someter a control las decisiones por las que la Comisión haya impuesto multas sancionadoras o multas coercitivas. Puede anular, reducir o aumentar la multa sancionadora o la multa coercitiva impuesta.

Artículo 82. Solicitudes de restricción de acceso y de cooperación con los órganos jurisdiccionales nacionales

1.   Cuando se hayan agotado todas las competencias con arreglo a la presente sección para poner fin a una infracción del presente Reglamento, la infracción persista y cause perjuicios graves que no puedan evitarse mediante el ejercicio de otras competencias de las que se disponga en virtud del Derecho de la Unión o nacional, la Comisión podrá solicitar al coordinador de servicios digitales de establecimiento del prestador de la plataforma en línea de muy gran tamaño o del motor de búsqueda en línea de muy gran tamaño de que se trate que actúe con arreglo al artículo 51, apartado 3.

Antes de efectuar dicha solicitud al coordinador de servicios digitales, la Comisión invitará a los interesados a presentar observaciones por escrito en un plazo que no será inferior a 14 días hábiles, describiendo las medidas que tenga intención de solicitar e identificando al destinatario o destinatarios de estas.

2.   Cuando sea necesario para la aplicación coherente del presente Reglamento, la Comisión, por iniciativa propia, podrá presentar observaciones por escrito a la autoridad judicial competente a que se refiere el artículo 51, apartado 3. Con permiso de la autoridad judicial competente, también podrá formular observaciones verbales.

Con el único fin de preparar sus observaciones, la Comisión podrá solicitar a dicha autoridad judicial que le transmita o se asegure de que se le transmita cualquier documentación necesaria para valorar el asunto.

3.   Cuando un órgano jurisdiccional nacional se pronuncie sobre un asunto que ya sea objeto de una decisión adoptada por la Comisión en virtud del presente Reglamento, dicho órgano jurisdiccional nacional no adoptará ninguna decisión contraria a dicha decisión de la Comisión. Los órganos jurisdiccionales nacionales evitarán asimismo adoptar resoluciones que puedan entrar en conflicto con una decisión prevista por la Comisión en un procedimiento que ya haya incoado en virtud del presente Reglamento. A tal fin, corresponde a los órganos jurisdiccionales nacionales apreciar si procede suspender su procedimiento. Ello se entiende sin perjuicio de lo dispuesto en el artículo 267 del TFUE.

Artículo 83. Actos de ejecución relativos a la intervención de la Comisión

En relación con la intervención de la Comisión prevista en la presente sección, la Comisión podrá adoptar actos de ejecución relativos a las modalidades prácticas para:

a) los procedimientos previstos en los artículos 69 y 72;

b) las audiencias previstas en el artículo 79;

c) la divulgación negociada de información prevista en el artículo 79.

Antes de adoptar medida alguna con arreglo al párrafo primero del presente artículo, la Comisión publicará un proyecto de la medida e invitará a todos los interesados a formular sus observaciones en el plazo determinado en ella, que no será inferior a un mes. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento consultivo a que se refiere el artículo 88.

SECCIÓN 5. Disposiciones comunes de ejecución

Artículo 84. Secreto profesional

Sin perjuicio del intercambio y del uso de información a que se refiere el presente capítulo, la Comisión, la Junta, las autoridades competentes de los Estados miembros y sus respectivos agentes, funcionarios y otras personas que trabajen bajo su supervisión, y cualquier otra persona física o jurídica implicada, incluidos los auditores y expertos designados de conformidad con el artículo 72, apartado 2, no revelarán información adquirida o intercambiada por ellos conforme a lo dispuesto en el presente Reglamento ni información protegida por la obligación de secreto profesional.

Artículo 85. Sistema de intercambio de información

1.   La Comisión establecerá y mantendrá un sistema de intercambio de información seguro y fiable que facilite las comunicaciones entre los coordinadores de servicios digitales, la Comisión y la Junta. Podrá concederse acceso a este sistema a otras autoridades competentes, cuando les sea necesario para desempeñar las tareas que les hayan sido atribuidas de conformidad con el presente Reglamento.

2.   Los coordinadores de servicios digitales, la Comisión y la Junta utilizarán el sistema de intercambio de información para todas las comunicaciones efectuadas en virtud del presente Reglamento.

3.   La Comisión adoptará actos de ejecución por los que se establezcan las modalidades prácticas y operativas para el funcionamiento del sistema de intercambio de información y su interoperabilidad con otros sistemas pertinentes. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento consultivo a que se refiere el artículo 88.

Artículo 86. Representación

1.   Sin perjuicio de la Directiva (UE) 2020/1828 o de cualquier otro tipo de representación en virtud del Derecho nacional, los destinatarios de servicios intermediarios tendrán derecho al menos a mandatar a un organismo, organización o asociación para que ejerza los derechos atribuidos por el presente Reglamento en su nombre, siempre que dicho organismo, organización o asociación cumpla todas las condiciones siguientes:

a) que opere sin ánimo de lucro;

b) que se haya constituido correctamente de conformidad con el Derecho de un Estado miembro;

c) que sus objetivos estatutarios incluyan un interés legítimo en velar por que se cumpla el presente Reglamento.

2.   Los prestadores de plataformas en línea adoptarán las medidas técnicas y organizativas necesarias para asegurarse de que las reclamaciones presentadas por los organismos, organizaciones o asociaciones a que se refiere el apartado 1 del presente artículo en nombre de los destinatarios del servicio a través de los mecanismos a que se refiere el artículo 20, apartado 1, se traten y resuelvan de forma prioritaria y sin dilación indebida.

SECCIÓN 6. Actos delegados y de ejecución

Artículo 87. Ejercicio de la delegación

1.   Se otorgan a la Comisión los poderes para adoptar actos delegados en las condiciones establecidas en el presente artículo.

2.   Los poderes para adoptar actos delegados mencionados en los artículos 24, 33, 37, 40 y 43 se otorgan a la Comisión por un período de cinco años a partir del 16 de noviembre de 2022. La Comisión elaborará un informe sobre la delegación de poderes a más tardar nueve meses antes de que finalice el período de cinco años. La delegación de poderes se prorrogará tácitamente por períodos de idéntica duración, excepto si el Parlamento Europeo o el Consejo se oponen a dicha prórroga a más tardar tres meses antes del final de cada período.

3.   La delegación de poderes mencionada en los artículos 24, 33, 37, 40 y 43 podrá ser revocada en cualquier momento por el Parlamento Europeo o por el Consejo. La decisión de revocación pondrá término a la delegación de los poderes que en ella se especifiquen. La decisión surtirá efecto el día siguiente al de su publicación en el Diario Oficial de la Unión Europea o en una fecha posterior indicada en ella. No afectará a la validez de los actos delegados que ya estén en vigor.

4.   Antes de la adopción de un acto delegado, la Comisión consultará a los expertos designados por cada Estado miembro de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación.

5.   Tan pronto como la Comisión adopte un acto delegado lo notificará simultáneamente al Parlamento Europeo y al Consejo.

6.   Los actos delegados adoptados en virtud de los artículos 24, 33, 37, 40 y 43 entrarán en vigor únicamente si, en un plazo de tres meses a partir de su notificación al Parlamento Europeo y al Consejo, ninguna de esas instituciones formula objeciones o si, antes del vencimiento de dicho plazo, ambas informan a la Comisión de que no las formularán. El plazo se prorrogará tres meses a iniciativa del Parlamento Europeo o del Consejo.

Artículo 88. Procedimiento de comité

1.   La Comisión estará asistida por un comité («Comité de Servicios Digitales»). Dicho Comité será un comité en el sentido del Reglamento (UE) nº182/2011.

2.   En los casos en que se haga referencia al presente apartado, se aplicará el artículo 4 del Reglamento (UE) nº182/2011.

CAPÍTULO V. DISPOSICIONES FINALES

Artículo 89. Modificaciones de la Directiva 2000/31/CE

1.   Se suprimen los artículos 12 a 15 de la Directiva 2000/31/CE.

2.   Las referencias a los artículos 12 a 15 de la Directiva 2000/31/CE se entenderán hechas a los artículos 4, 5, 6 y 8 del presente Reglamento, respectivamente.

Artículo 90. Modificación de la Directiva (UE) 2020/1828

En el anexo I de la Directiva (UE) 2020/1828 se añade el punto siguiente:

«68) Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo, de 19 de octubre de 2022, relativo a un mercado único de servicios digitales y por el que se modifica la Directiva 2000/31/CE (Reglamento de Servicios Digitales) (DO L 277 de 27.10.2022, p. 1).».

Artículo 91. Revisión

1.   A más tardar el 18 de febrero de 2027, la Comisión evaluará y presentará un informe al Parlamento Europeo, al Consejo y al Comité Económico y Social Europeo acerca de los posibles efectos del presente Reglamento en el desarrollo y el crecimiento económico de las pequeñas y medianas empresas.

A más tardar el 17 de noviembre de 2025, la Comisión evaluará y presentará un informe al Parlamento Europeo, al Consejo y al Comité Económico y Social Europeo relativo a:

a) la aplicación del artículo 33, incluido el alcance de los prestadores de servicios intermediarios cubiertos a los que se apliquen las obligaciones establecidas en el capítulo III, sección 5, del presente Reglamento;

b) la interacción del presente Reglamento con otros actos jurídicos, en particular los actos a que se hace referencia en el artículo 2, apartados 3 y 4.

2.   A más tardar el 17 de noviembre de 2027, y cada cinco años a partir de entonces, la Comisión evaluará el presente Reglamento y presentará un informe al Parlamento Europeo, al Consejo y al Comité Económico y Social Europeo.

Dicho informe tratará, en particular:

a) la aplicación del apartado 1, párrafo segundo, letras a) y b);

b) la contribución del presente Reglamento a la profundización y al funcionamiento eficiente del mercado interior de servicios intermediarios, en particular en lo que se refiere a la prestación transfronteriza de servicios digitales;

c) la aplicación de los artículos 13, 16, 20, 21, 45 y 46;

d) el alcance de las obligaciones para las pequeñas empresas y las microempresas;

e) la eficacia de los mecanismos de supervisión y garantía del cumplimiento;

f) las repercusiones en el derecho a la libertad de expresión y de información.

3.   En su caso, el informe a que se refieren los apartados 1 y 2 irá acompañado de una propuesta de modificación del presente Reglamento.

4.   La Comisión, en el informe a que se refiere el apartado 2 del presente artículo, también evaluará e informará sobre los informes anuales de actividades presentados por los coordinadores de servicios digitales a la Comisión y a la Junta de conformidad con el artículo 55, apartado 1.

5.   Para los fines del apartado 2, los Estados miembros y la Junta enviarán información a petición de la Comisión.

6.   Para realizar las evaluaciones a que se refiere el apartado 2, la Comisión tendrá en cuenta las posiciones y conclusiones del Parlamento Europeo, del Consejo y de otros órganos o fuentes pertinentes, y prestará atención específica a las pequeñas y medianas empresas y a la posición de los nuevos competidores.

7.   A más tardar el 18 de febrero de 2027, la Comisión, previa consulta a la Junta, evaluará el funcionamiento de la Junta y la aplicación del artículo 43 y presentará un informe al Parlamento Europeo, al Consejo y al Comité Económico y Social Europeo, teniendo en cuenta los primeros años de aplicación del Reglamento. Sobre la base de las conclusiones y teniendo en cuenta en la mayor medida posible la opinión de la Junta, dicho informe irá acompañado, en su caso, de una propuesta de modificación del presente Reglamento con respecto a la estructura de la Junta.

Artículo 92. Aplicación anticipada a prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño

El presente Reglamento se aplicará a los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño designados con arreglo al artículo 33, apartado 4, a partir de los cuatro meses siguientes a la notificación al prestador de que se trate a que se refiere el artículo 33, apartado 6, en caso de que dicha fecha sea anterior al 17 de febrero de 2024.

Artículo 93. Entrada en vigor y aplicación

1.   El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

2.   El presente Reglamento será de aplicación a partir del 17 de febrero de 2024.

No obstante, el artículo 24, apartados 2, 3 y 6, el artículo 33, apartados 3 a 6, el artículo 37, apartado 7, el artículo 40, apartado 13, el artículo 43 y las secciones 4, 5 y 6 del capítulo IV, serán de aplicación a partir del 16 de noviembre de 2022.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.

Hecho en Estrasburgo, el 19 de octubre de 2022.

Por el Parlamento Europeo, La Presidenta, R. METSOLA

Por el Consejo, El Presidente, M. BEK

—————————————————-

(1)  DO C 286 de 16.7.2021, p. 70.

(2)  DO C 440 de 29.10.2021, p. 67.

(3)  Posición del Parlamento Europeo de 5 de julio de 2022 (pendiente de publicación en el Diario Oficial) y Decisión del Consejo de 4 de octubre de 2022.

(4)  Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico en el mercado interior (Directiva sobre el comercio electrónico) (DO L 178 de 17.7.2000, p. 1).

(5)  Directiva (UE) 2015/1535 del Parlamento Europeo y del Consejo, de 9 de septiembre de 2015, por la que se establece un procedimiento de información en materia de reglamentaciones técnicas y de reglas relativas a los servicios de la sociedad de la información (DO L 241 de 17.9.2015, p. 1).

(6)  Reglamento (UE) nº1215/2012 del Parlamento Europeo y del Consejo, de 12 de diciembre de 2012, relativo a la competencia judicial, el reconocimiento y la ejecución de resoluciones judiciales en materia civil y mercantil (DO L 351 de 20.12.2012, p. 1).

(7)  Directiva 2010/13/UE del Parlamento Europeo y del Consejo, de 10 de marzo de 2010, sobre la coordinación de determinadas disposiciones legales, reglamentarias y administrativas de los Estados miembros relativas a la prestación de servicios de comunicación audiovisual (Directiva de servicios de comunicación audiovisual) (DO L 95 de 15.4.2010, p. 1).

(8)  Reglamento (UE) 2019/1148 del Parlamento Europeo y del Consejo, de 20 de junio de 2019, sobre la comercialización y la utilización de percursores de explosivos, por el que se modifica el Reglamento (CE) nº1907/2006 y se deroga el Reglamento (UE) nº98/2013 (DO L 186 de 11.7.2019, p. 1).

(9)  Reglamento (UE) 2019/1150 del Parlamento Europeo y del Consejo, de 20 de junio de 2019, sobre el fomento de la equidad y la transparencia para los usuarios profesionales de servicios de intermediación en línea (DO L 186 de 11.7.2019, p. 57).

(10)  Reglamento (UE) 2021/784 del Parlamento Europeo y del Consejo, de 29 de abril de 2021, sobre la lucha contra la difusión de contenidos terroristas en línea (DO L 172 de 17.5.2021, p. 79).

(11)  Reglamento (UE) 2021/1232 del Parlamento Europeo y del Consejo, de 14 de julio de 2021, por el que se establece una excepción temporal a determinadas disposiciones de la Directiva 2002/58/CE en lo que respecta al uso de tecnologías por proveedores de servicios de comunicaciones interpersonales independientes de la numeración para el tratamiento de datos personales y de otro tipo con fines de lucha contra los abusos sexuales de menores en línea (DO L 274 de 30.7.2021, p. 41).

(12)  Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (DO L 201 de 31.7.2002, p. 37).

(13)  Reglamento (UE) 2017/2394 del Parlamento Europeo y del Consejo, de 12 de diciembre de 2017, sobre la cooperación entre las autoridades nacionales responsables de la aplicación de la legislación en materia de protección de los consumidores y por el que se deroga el Reglamento (CE) nº2006/2004 (DO L 345 de 27.12.2017, p. 1).

(14)  Reglamento (UE) 2019/1020 del Parlamento Europeo y del Consejo, de 20 de junio de 2019, relativo a la vigilancia del mercado y la conformidad de los productos y por el que se modifican la Directiva 2004/42/CE y los Reglamentos (CE) nº765/2008 y (UE) nº305/2011 (DO L 169 de 25.6.2019, p. 1).

(15)  Directiva 2001/95/CE del Parlamento Europeo y del Consejo, de 3 de diciembre de 2001, relativa a la seguridad general de los productos (DO L 11 de 15.1.2002, p. 4).

(16)  Directiva 2005/29/CE del Parlamento Europeo y del Consejo, de 11 de mayo de 2005, relativa a las prácticas comerciales desleales de las empresas en sus relaciones con los consumidores en el mercado interior, que modifica la Directiva 84/450/CEE del Consejo, las Directivas 97/7/CE, 98/27/CE y 2002/65/CE del Parlamento Europeo y del Consejo y el Reglamento (CE) nº2006/2004 del Parlamento Europeo y del Consejo («Directiva sobre las prácticas comerciales desleales») (DO L 149 de 11.6.2005, p. 22).

(17)  Directiva 2011/83/UE del Parlamento Europeo y del Consejo, de 25 de octubre de 2011, sobre los derechos de los consumidores, por la que se modifican la Directiva 93/13/CEE del Consejo y la Directiva 1999/44/CE del Parlamento Europeo y del Consejo y se derogan la Directiva 85/577/CEE del Consejo y la Directiva 97/7/CE del Parlamento Europeo y del Consejo (DO L 304 de 22.11.2011, p. 64).

(18)  Directiva 2013/11/UE del Parlamento Europeo y del Consejo, de 21 de mayo de 2013, relativa a la resolución alternativa de litigios en materia de consumo y por la que se modifica el Reglamento (CE) nº2006/2004 y la Directiva 2009/22/CE (DO L 165 de 18.6.2013, p. 63).

(19)  Directiva 93/13/CEE del Consejo, de 5 de abril de 1993, sobre las cláusulas abusivas en los contratos celebrados con consumidores (DO L 95 de 21.4.1993, p. 29).

(20)  Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).

(21)  Directiva 2001/29/CE del Parlamento Europeo y del Consejo, de 22 de mayo de 2001, relativa a la armonización de determinados aspectos de los derechos de autor y derechos afines a los derechos de autor en la sociedad de la información (DO L 167 de 22.6.2001, p. 10).

(22)  Directiva 2004/48/CE del Parlamento Europeo y del Consejo, de 29 de abril de 2004, relativa al respeto de los derechos de propiedad intelectual (DO L 157 de 30.4.2004, p. 45).

(23)  Directiva (UE) 2019/790 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, sobre los derechos de autor y derechos afines en el mercado único digital y por la que se modifican las Directivas 96/9/CE y 2001/29/CE (DO L 130 de 17.5.2019, p. 92).

(24)  Directiva (UE) 2018/1972 del Parlamento Europeo y del Consejo, de 11 de diciembre de 2018, por la que se establece el Código Europeo de las Comunicaciones Electrónicas (DO L 321 de 17.12.2018, p. 36).

(25)  Recomendación 2003/361/CE de la Comisión, de 6 de mayo de 2003, sobre la definición de microempresas, pequeñas y medianas empresas (DO L 124 de 20.5.2003, p. 36).

(26)  Directiva 2011/93/UE del Parlamento Europeo y del Consejo, de 13 de diciembre de 2011, relativa a la lucha contra los abusos sexuales y la explotación sexual de los menores y la pornografía infantil y por la que se sustituye la Decisión marco 2004/68/JAI del Consejo (DO L 335 de 17.12.2011, p. 1).

(27)  Directiva 2011/36/UE del Parlamento Europeo y del Consejo, de 5 de abril de 2011, relativa a la prevención y lucha contra la trata de seres humanos y a la protección de las víctimas y por la que se sustituye la Decisión marco 2002/629/JAI del Consejo (DO L 101 de 15.4.2011, p. 1).

(28)  Directiva (UE) 2017/541 del Parlamento Europeo y del Consejo, de 15 de marzo de 2017, relativa a la lucha contra el terrorismo y por la que se sustituye la Decisión marco 2002/475/JAI del Consejo y se modifica la Decisión 2005/671/JAI del Consejo (DO L 88 de 31.3.2017, p. 6).

(29)  Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo, de 11 de mayo de 2016, relativo a la Agencia de la Unión Europea para la Cooperación Policial (Europol) y por el que se sustituyen y derogan las Decisiones 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI y 2009/968/JAI del Consejo (DO L 135 de 24.5.2016, p. 53).

(30)  Directiva (UE) 2021/514 del Consejo, de 22 de marzo de 2021, por la que se modifica la Directiva 2011/16/UE relativa a la cooperación administrativa en el ámbito de la fiscalidad (DO L 104 de 25.3.2021, p. 1).

(31)  Directiva 98/6/CE del Parlamento Europeo y del Consejo, de 16 de febrero de 1998, relativa a la protección de los consumidores en materia de indicación de los precios de los productos ofrecidos a los consumidores (DO L 80 de 18.3.1998, p. 27).

(32)  Directiva (UE) 2016/943 del Parlamento Europeo y del Consejo, de 8 de junio de 2016, relativa a la protección de los conocimientos técnicos y la información empresarial no divulgados (secretos comerciales) contra su obtención, utilización y revelación ilícitas (DO L 157 de 15.6.2016, p. 1).

(33)  Directiva (UE) 2020/1828 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2020, relativa a las acciones de representación para la protección de los intereses colectivos de los consumidores, y por la que se deroga la Directiva 2009/22/CE (DO L 409 de 4.12.2020, p. 1).

(34)  Reglamento (UE) nº182/2011 del Parlamento Europeo y del Consejo, de 16 de febrero de 2011, por el que se establecen las normas y los principios generales relativos a las modalidades de control por parte de los Estados miembros del ejercicio de las competencias de ejecución por la Comisión (DO L 55 de 28.2.2011, p. 13).

(35)  DO L 123 de 12.5.2016, p. 1.

(36)  Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) nº45/2001 y la Decisión nº1247/2002/CE (DO L 295 de 21.11.2018, p. 39).

(37)  DO C 149 de 27.4.2021, p. 3.

(38)  Directiva (UE) 2019/882 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, sobre los requisitos de accesibilidad de los productos y servicios (DO L 151 de 7.6.2019, p. 70).

(39)  Reglamento (CE) nº139/2004 del Consejo, de 20 de enero de 2004, sobre el control de las concentraciones entre empresas (DO L 24 de 29.1.2004, p. 1).

(40)  Reglamento (UE) nº910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE (DO L 257 de 28.8.2014, p. 73).

(41)  Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo, de 18 de julio de 2018, sobre las normas financieras aplicables al presupuesto general de la Unión, por el que se modifican los Reglamentos (UE) nº1296/2013, (UE) nº1301/2013, (UE) nº1303/2013, (UE) nº1304/2013, (UE) nº1309/2013, (UE) nº1316/2013, (UE) nº223/2014 y (UE) nº283/2014 y la Decisión nº541/2014/UE y por el que se deroga el Reglamento (UE, Euratom) nº966/2012 (DO L 193 de 30.7.2018, p. 1).

25Ene/24

Reglamento (UE) 2023/2854 del Parlamento Europeo y del Consejo, de 13 de diciembre de 2023

Reglamento (UE) 2023/2854 del Parlamento Europeo y del Consejo, de 13 de diciembre de 2023, sobre normas armonizadas para un acceso justo a los datos y su utilización, y por el que se modifica el Reglamento (UE) 2017/1294 y la Directiva (UE) 2020/1828 (Reglamento de Datos) (Diario Oficial de la Unión Europea nº 2854, de 22 de diciembre de 2023)

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 114,

Vista la propuesta de la Comisión Europea,

Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales,

Visto el dictamen del Banco Central Europeo (1),

Visto el dictamen del Comité Económico y Social Europeo (2),

Visto el dictamen del Comité de las Regiones (3),

De conformidad con el procedimiento legislativo ordinario (4),

Considerando lo siguiente:

(1) En los últimos años, las tecnologías basadas en los datos han tenido efectos transformadores en todos los sectores de la economía. En particular, la proliferación de productos conectados a internet ha aumentado el volumen y el valor potencial de los datos para los consumidores, las empresas y la sociedad. Los datos interoperables y de alta calidad de diferentes ámbitos incrementan la competitividad y la innovación y garantizan un crecimiento económico sostenible. Los mismos datos pueden utilizarse y reutilizarse para diversos fines y de modo ilimitado, sin pérdida de calidad o cantidad.

(2) Los obstáculos al intercambio de datos impiden una asignación óptima de los datos en beneficio de la sociedad. Esos obstáculos incluyen la falta de incentivos para que los titulares de datos suscriban voluntariamente acuerdos sobre el intercambio de datos, la incertidumbre sobre los derechos y las obligaciones en relación con los datos, los costes de contratación y aplicación de interfaces técnicas, el elevado nivel de fragmentación de la información en los silos de datos, la mala gestión de metadatos, la ausencia de normas para la interoperabilidad semántica y técnica, los cuellos de botella que impiden el acceso a los datos, la falta de prácticas comunes para el intercambio de datos y el abuso de los desequilibrios contractuales en relación con el acceso a los datos y su utilización.

(3) En sectores caracterizados por la presencia de microempresas, pequeñas empresas y medianas empresas tal como se definen en el artículo 2 del anexo de la Recomendación 2003/361/CE de la Comisión (5) (pymes), a menudo escasean las capacidades y competencias digitales necesarias para recopilar, analizar y utilizar datos, y el acceso a estos queda limitado con frecuencia cuando un único agente los conserva en el sistema o debido a la falta de interoperabilidad entre datos, entre servicios de datos o a través de las fronteras.

(4) Con el fin de responder a las necesidades de la economía digital y eliminar los obstáculos al buen funcionamiento del mercado interior de datos, es necesario establecer un marco armonizado que especifique quién tiene derecho a utilizar los datos del producto o los datos del servicio relacionado, en qué condiciones y sobre qué base. Por consiguiente, los Estados miembros no deben adoptar ni mantener requisitos nacionales adicionales relativos a las cuestiones que entran en el ámbito de aplicación del presente Reglamento, salvo que así se disponga expresamente en él, ya que ello afectaría a la aplicación directa y uniforme de este. Además, toda medida a nivel de la Unión debe entenderse sin perjuicio de las obligaciones y los compromisos establecidos en los acuerdos comerciales internacionales celebrados por la Unión.

(5) El presente Reglamento garantiza que los usuarios de un producto conectado o servicio relacionado en la Unión puedan acceder oportunamente a los datos generados por el uso de dicho producto conectado o servicio relacionado y que puedan utilizarlos, entre otros, compartiéndolos con terceros de su elección. El presente Reglamento impone a los titulares de datos la obligación de poner los datos a disposición de los usuarios y de terceros elegidos por el usuario en determinadas circunstancias. También garantiza que los titulares de datos pongan los datos a disposición de los destinatarios de datos en la Unión en condiciones justas, razonables y no discriminatorias y de manera transparente. Las normas de Derecho privado son fundamentales en el marco general del intercambio de datos. Por lo tanto, el presente Reglamento adapta las normas de Derecho contractual e impide la explotación de los desequilibrios contractuales que dificultan un acceso a los datos y una utilización de estos que sean equitativos. El presente Reglamento también garantiza que, cuando exista una necesidad excepcional, los titulares de datos pongan a disposición de los organismos del sector público, la Comisión, el Banco Central Europeo o los organismos de la Unión los datos necesarios para el desempeño de alguna tarea específica realizada en interés público. Además, el presente Reglamento pretende facilitar el cambio entre servicios de tratamiento de datos y mejorar la interoperabilidad de los datos y de los mecanismos y servicios de intercambio de datos en la Unión. El presente Reglamento no debe interpretarse como el reconocimiento o la concesión de un nuevo derecho a los titulares de datos a utilizar los datos generados por el uso de un producto conectado o servicio relacionado.

(6) La generación de datos es el resultado de las acciones de al menos dos agentes, en particular, el diseñador o fabricante de un producto conectado —que en muchos casos podría ser también proveedor de servicios relacionados— y el usuario del producto conectado o servicio relacionado. La generación de datos plantea cuestiones de equidad en la economía digital, ya que los datos registrados por el producto conectado o servicio relacionado constituyen una información importante para los servicios de posventa, los servicios auxiliares y otros servicios. Con el fin de aprovechar los importantes beneficios económicos de los datos, también mediante el intercambio de datos sobre la base de acuerdos voluntarios y el desarrollo por las empresas de la Unión de la creación de valor impulsado por los datos, es preferible adoptar un enfoque general para asignar derechos en materia de acceso y utilización de datos frente a la concesión de derechos exclusivos de acceso y utilización. El presente Reglamento establece normas horizontales que podrían ir seguidas de disposiciones de Derecho de la Unión o nacional que regulen la situación específica de los sectores correspondientes.

(7) El derecho fundamental a la protección de los datos personales está salvaguardado, en particular, por los Reglamentos (UE) 2016/679 (6) y (UE) 2018/1725 (7) del Parlamento Europeo y del Consejo. Además, la Directiva 2002/58/CE del Parlamento Europeo y del Consejo (8) protege la vida privada y la confidencialidad de las comunicaciones, incluso mediante condiciones para el almacenamiento de datos personales y no personales en los equipos terminales, y el acceso desde estos. Dichos actos legislativos de la Unión constituyen la base para un tratamiento de datos sostenible y responsable, incluso cuando los conjuntos de datos contengan una combinación de datos personales y no personales. El presente Reglamento complementa el Derecho de la Unión y se entiende sin perjuicio del Derecho de la Unión en materia de protección de datos personales y de la intimidad (o privacidad), en particular, en lo que se refiere a los Reglamentos (UE) 2016/679 y (UE) 2018/1725 y la Directiva 2002/58/CE. Ninguna disposición del presente Reglamento debe aplicarse o interpretarse de manera que se reduzca o limite el derecho a la protección de los datos personales o el derecho a la privacidad y la confidencialidad de las comunicaciones. Todo tratamiento de datos personales en virtud del presente Reglamento debe cumplir el Derecho de la Unión en materia de protección de datos, incluido el requisito de una base jurídica válida para el tratamiento con arreglo al artículo 6 del Reglamento (UE) 2016/679 y, cuando proceda, las condiciones del artículo 9 de dicho Reglamento y del artículo 5, apartado 3, de la Directiva 2002/58/CE. El presente Reglamento no constituye una base jurídica para la recogida o generación de datos personales por parte del titular de datos. El presente Reglamento impone a los titulares de datos la obligación de poner los datos personales a disposición de los usuarios o de los terceros elegidos por el usuario, previa petición de dicho usuario. Debe proporcionarse dicho acceso a los datos personales que el titular de datos trate basándose en cualquiera de las bases jurídicas mencionadas en el artículo 6 del Reglamento (UE) 2016/679. Cuando el usuario no sea el interesado, el presente Reglamento no contiene ninguna base jurídica para que se proporcione acceso a los datos personales o estos se pongan a disposición de un tercero, y no debe entenderse que concede ningún nuevo derecho al titular de datos a utilizar los datos personales generados por el uso de un producto conectado o de un servicio relacionado. En esos casos, podría redundar en interés del usuario facilitar el cumplimiento de los requisitos establecidos en el artículo 6 del Reglamento (UE) 2016/679. Dado que el presente Reglamento no debe afectar negativamente a los derechos de protección de datos de los interesados, el titular de datos puede atender las solicitudes en esos casos, entre otros modos, anonimizando los datos personales o, en el caso de que los datos fácilmente disponibles contengan datos personales de varios interesados, transmitiendo únicamente datos personales relativos al usuario.

(8) Los principios de minimización y protección de datos desde el diseño y por defecto son esenciales cuando el tratamiento implica riesgos significativos para los derechos fundamentales de las personas. Teniendo en cuenta los últimos avances técnicos, todas las partes en el intercambio de datos, incluso el intercambio de datos comprendido dentro del ámbito de aplicación del presente Reglamento, deben aplicar medidas técnicas y organizativas para proteger esos derechos. Dichas medidas incluyen no solo la seudonimización y el cifrado, sino también el uso de una tecnología cada vez más disponible que permita llevar los algoritmos a los datos y obtener información valiosa sin que sea necesaria la transmisión entre las partes ni la copia superflua de los datos brutos o estructurados.

(9) Salvo que se disponga otra cosa en el presente Reglamento, este no afecta a las normas nacionales de Derecho contractual, incluidas las relativas a la celebración, la validez o los efectos de los contratos, ni a las consecuencias de la resolución unilateral de los contratos. El presente Reglamento complementa el Derecho de la Unión —y se entiende sin perjuicio del Derecho de la Unión cuyo objetivo sea promover los intereses de los consumidores y garantizar un elevado nivel de protección de los consumidores, así como proteger su salud, su seguridad y sus intereses económicos, en particular, la Directiva 93/13/CEE del Consejo (9) y las Directivas 2005/29/CE (10) y 2011/83/UE (11) del Parlamento Europeo y del Consejo.

(10) El presente Reglamento se entiende sin perjuicio de los actos jurídicos de la Unión y nacionales que dispongan el intercambio de datos, el acceso a los datos y su utilización con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, o a efectos aduaneros y fiscales, con independencia de la base jurídica del Tratado de Funcionamiento de la Unión Europea (TFUE) en virtud de la cual se hayan adoptado tales actos jurídicos de la Unión, y sin perjuicio de la cooperación internacional en el ámbito mencionado, en particular, sobre la base del Convenio del Consejo de Europa sobre la Ciberdelincuencia (STE nº185), hecho en Budapest el 23 de noviembre de 2001. Dichos actos incluyen los Reglamentos (UE) 2021/784 (12) (UE) 2022/2065 (13) y (UE) 2023/1543 (14) del Parlamento Europeo y del Consejo, y la Directiva (UE) 2023/1544 del Parlamento Europeo y del Consejo (15). El presente Reglamento no se aplica a la recopilación, intercambio, acceso o utilización de datos en virtud del Reglamento (UE) 2015/847 del Parlamento Europeo y del Consejo (16) y la Directiva (UE) 2015/849 del Parlamento Europeo y del Consejo (17). El presente Reglamento no se aplica a las actividades que quedan fuera del ámbito de aplicación del Derecho de la Unión y, en cualquier caso, no afecta a las competencias de los Estados miembros en materia de seguridad pública, defensa o seguridad nacional, aduanas y administración fiscal o salud y seguridad ciudadanas, con independencia del tipo de entidad a la que los Estados miembros hayan confiado el desempeño de tareas en relación con dichas competencias.

(11) El presente Reglamento no debe afectar al Derecho de la Unión que establece requisitos en materia de diseño físico y datos para los productos que se introduzcan en el mercado de la Unión, salvo que así se disponga expresamente en él.

(12) El presente Reglamento complementa y se entiende sin perjuicio del Derecho de la Unión que establece requisitos de accesibilidad para determinados productos y servicios, en particular, la Directiva (UE) 2019/882 del Parlamento Europeo y del Consejo (18).

 (13) El presente Reglamento se entiende sin perjuicio de los actos jurídicos de la Unión y nacionales de protección de los derechos de propiedad intelectual (que incluye, asimismo, la propiedad industrial), incluidas las Directivas 2001/29/CE (19), 2004/48/CE (20) y (UE) 2019/790 (21) del Parlamento Europeo y del Consejo.

(14) Los productos conectados que, a través de sus componentes o sistemas operativos, obtengan, generen o recopilen datos relativos a su rendimiento, uso o entorno y que puedan comunicar dichos datos mediante un servicio de comunicaciones electrónicas, una conexión física o un acceso en el dispositivo, a menudo denominado «internet de las cosas», deben incluirse en el ámbito de aplicación del presente Reglamento, a excepción de los prototipos. Algunos ejemplos de estos servicios de comunicaciones electrónicas son, en particular, las redes telefónicas terrestres, las redes de televisión por cable, las redes basadas en satélites y las redes de comunicación de campo cercano. Los productos conectados se encuentran en todos los aspectos de la economía y la sociedad, también en infraestructuras privadas, civiles o comerciales, vehículos, equipos sanitarios y de estilo de vida, buques, aeronaves, equipos domésticos y bienes de consumo, productos médicos y sanitarios o maquinaria agrícola e industrial. Las opciones de diseño de los fabricantes y, en su caso, el Derecho de la Unión o nacional que regule las necesidades y los objetivos específicos del sector o las decisiones pertinentes de las autoridades competentes, deben determinar qué datos puede poner a disposición un producto conectado.

(15) Los datos representan la digitalización de las acciones del usuario o de eventos y, en consecuencia, deben ser accesibles para el usuario. Las normas que rigen el acceso a los datos de los productos conectados y los servicios relacionados y su utilización en virtud del presente Reglamento abordan los datos tanto de los productos como de los servicios relacionados. El término «datos del producto» se refiere a los datos generados por el uso de un producto conectado que el fabricante ha diseñado para que sean extraíbles del producto conectado por un usuario, titular de datos o tercero, incluido, cuando proceda, el fabricante. El término «datos del servicio relacionado» se refiere a los datos que representan también la digitalización de las acciones del usuario o de eventos relativos al producto conectado, generados durante la prestación de un servicio relacionado por parte del proveedor. Debe entenderse que los datos generados por el uso de un producto conectado o servicio relacionado abarcan los datos registrados de manera intencionada o los datos resultantes indirectamente de la intervención del usuario, como los datos relativos al entorno o las interacciones del producto conectado. Ello debe incluir los datos relativos a la utilización de un producto conectado generados por una interfaz de usuario o a través de un servicio relacionado, y no debe limitarse a la información de que dicha utilización se ha producido, sino que debe incluir todos los datos generados por el producto conectado como resultado de dicha utilización, tales como los datos generados automáticamente por sensores y los datos registrados por aplicaciones integradas, incluidas las aplicaciones que indican el estado del hardware y los fallos de funcionamiento. Ello debe incluir también los datos generados por el producto conectado o servicio relacionado durante los períodos en los que el usuario no interviene, como cuando este decide no utilizar un producto conectado durante un período de tiempo determinado y, en su lugar, mantenerlo en modo de espera o, incluso, apagarlo, dado que el estado de un producto conectado o de sus componentes, por ejemplo, sus pilas o baterías, puede variar cuando el producto conectado se encuentra en modo de espera o apagado. El ámbito de aplicación del presente Reglamento incluye los datos que no se modifican sustancialmente, es decir, los datos brutos, también conocidos como datos fuente o datos primarios, que se refieren a puntos de datos que se generan automáticamente sin ninguna forma de tratamiento posterior, así como los datos que, previamente a su tratamiento y análisis, han sido objeto de un tratamiento destinado a hacerlos comprensibles y que puedan ser utilizados. Tales datos incluyen los datos recogidos a partir de un único sensor o de un grupo conectado de sensores con el fin de hacer comprensibles los datos recogidos para casos de uso más amplios, determinando una cantidad o una calidad física o la modificación de una cantidad física, como la temperatura, la presión, el caudal, el audio, el valor del pH, el nivel líquido, la posición, la aceleración o la velocidad. El término «datos pretratados» no debe interpretarse en el sentido de imponer al titular de datos una obligación de realizar inversiones sustanciales en el limpiado y la transformación de los datos. Los datos que se han de poner a disposición deben incluir los metadatos pertinentes, incluido su contexto básico y su sello de tiempo, necesarios para poder utilizar los datos, combinados con otros datos (por ejemplo, ordenados y clasificados con otros puntos de datos relacionados con ellos) o reformateados en un formato de utilización habitual. Estos datos pueden ser valiosos para el usuario y apoyan la innovación y el desarrollo de servicios digitales y de otro tipo para proteger el medio ambiente, la salud y la economía circular, entre otros, porque facilitan el mantenimiento y la reparación de los productos conectados en cuestión. En cambio, la información que se infiere o se deriva de tales datos, que es el resultado de inversiones adicionales en la asignación de valores o conocimientos que aportan los datos, en particular, mediante algoritmos complejos de propiedad exclusiva, incluidos los que forman parte de programas informáticos de propiedad exclusiva, no debe considerarse incluida en el ámbito de aplicación del presente Reglamento y, por consiguiente, no debe estar sujeta a la obligación del titular de datos de ponerla a disposición de un usuario o un destinatario de datos, a menos que se acuerde otra cosa entre el usuario y el titular de datos. Estos datos podrían incluir, en particular, información derivada de la fusión de sensores, la inferencia o la derivación de datos desde múltiples sensores, recogidos en el producto conectado, utilizando algoritmos complejos de propiedad exclusiva y que podrían estar protegidos por derechos de propiedad intelectual.

(16) El presente Reglamento permite a los usuarios de productos conectados beneficiarse de servicios posventa, servicios auxiliares y otros servicios basados en datos recogidos por sensores integrados en dichos productos, ya que la recopilación de esos datos puede tener un valor para mejorar el rendimiento de los productos conectados. Es importante distinguir, por una parte, entre los mercados de suministro de tales productos conectados dotados de sensores y servicios relacionados y, por otra parte, los mercados de programas informáticos y contenidos no relacionados, como los contenidos textuales, audiovisuales o de audio, a menudo protegidos por derechos de propiedad intelectual. En consecuencia, no debe aplicarse el presente Reglamento a los datos generados por dichos productos conectados dotados de sensores cuando el usuario graba, transmite, muestra o reproduce contenidos, así como los propios contenidos, que a menudo están protegidos por derechos de propiedad intelectual (por ejemplo, para su utilización por un servicio en línea). Tampoco debe aplicarse el presente Reglamento a los datos obtenidos, generados o a los que se haya accedido desde el producto conectado, o que hayan sido transmitidos al producto conectado, con fines de almacenamiento o alguna otra operación de tratamiento en nombre de terceros que no sean el usurario, como pueda ser el caso respecto de los servidores o la infraestructura en la nube que gestionen sus titulares íntegramente en nombre de terceros, entre otros fines, por ejemplo, para su utilización por un servicio en línea.

(17) Es necesario establecer normas relativas a los productos que estén conectados a un servicio relacionado en el momento de la compraventa, alquiler o arrendamiento de tal manera que su ausencia impediría que el producto conectado desempeñe una o varias de sus funciones, o que el fabricante o un tercero conecte posteriormente al producto a fin de aumentar o adaptar la funcionalidad del producto conectado. Dichos servicios relacionados implican la transferencia de datos entre el producto conectado y el proveedor del servicio y debe entenderse que están vinculados expresamente al funcionamiento de las funciones del producto conectado, como servicios que, en su caso, transmiten instrucciones al producto conectado que pueden afectar a su funcionamiento o comportamiento. No deben tener la consideración de servicios relacionados los servicios que no afectan al funcionamiento del producto conectado y no implican la transferencia de datos o instrucciones al producto conectado por parte del proveedor del servicio. Tales servicios podrían incluir, por ejemplo, asesoría auxiliar, servicios de análisis o financieros o reparaciones y mantenimiento periódicos. Los servicios relacionados pueden ofrecerse como parte del contrato de compraventa, alquiler o arrendamiento. Los servicios relacionados podrían también prestarse para productos del mismo tipo y los usuarios podrían esperar, de manera razonable, que se presten dichos servicios habida cuenta del carácter del producto conectado y cualquier declaración pública realizada por el vendedor, arrendador u otras personas, o en nombre de estos, en fases previas de la cadena de transacciones, incluido el fabricante. Dichos servicios relacionados pueden generar, por sí mismos, datos valiosos para el usuario, independientemente de la capacidad de recopilación de datos del producto conectado con el que estén interconectados. El presente Reglamento debe ser aplicable asimismo a los servicios relacionados no prestados por el propio vendedor o arrendador, sino por un tercero. En caso de duda sobre si el servicio se presta como parte del contrato de compraventa, alquiler o arrendamiento, debe aplicarse el presente Reglamento. Ni el suministro de energía ni la prestación de conectividad deben interpretarse como servicios relacionados en virtud del presente Reglamento.

(18) Por usuario de un producto conectado debe entenderse la persona física o jurídica, como una empresa, un consumidor o un organismo del sector público, que es propietario de un producto conectado, ha recibido determinados derechos temporales, por ejemplo, mediante un contrato de alquiler o arrendamiento, para acceder a los datos obtenidos a partir del producto conectado o utilizarlos, o que recibe servicios relacionados respecto del producto conectado. Estos derechos de acceso no deben obstaculizar ni alterar en modo alguno los derechos de los interesados que puedan estar interactuando con un producto conectado o un servicio relacionado con respecto a los datos personales generados por el producto conectado o durante la prestación del servicio relacionado. El usuario asumirá los riesgos y aprovechará las ventajas de utilizar el producto conectado y también deberá poder acceder a los datos que genere. Por lo tanto, el usuario debe tener derecho a aprovechar los datos generados por dicho producto conectado y cualquier servicio relacionado. También debe considerarse usuario a un propietario, alquilador o arrendatario, incluso cuando varias entidades puedan ser consideradas usuarios. En un contexto de múltiples usuarios, cada usuario puede contribuir de manera diferente a la generación de datos y tener interés en varias formas de utilización, como la gestión de la flota para una empresa de arrendamiento o soluciones de movilidad para personas que utilizan un servicio de uso compartido de vehículos.

(19) El término «alfabetización en materia de datos» se refiere a las capacidades, los conocimientos y la comprensión que permiten a usuarios, consumidores y empresas, en particular, las pymes incluidas en el ámbito de aplicación del presente Reglamento, mejorar su concienciación sobre el valor potencial de los datos que generan, producen e intercambian, y les motiva para ofrecer y proporcionar el acceso de conformidad con las normas jurídicas pertinentes. La alfabetización en materia de datos debe ir más allá del aprendizaje sobre herramientas y tecnologías, y debe aspirar a empoderar a los ciudadanos y a las empresas y a dotarlos de la capacidad de beneficiarse de un mercado de datos integrador y justo. La difusión de medidas de alfabetización y la implantación de medidas de seguimiento oportunas podría contribuir a mejorar las condiciones de trabajo y, en última instancia, respaldar la consolidación y la senda de innovación de la economía de los datos en la Unión. Las autoridades competentes deben promover herramientas y adoptar medidas para impulsar las capacidades de alfabetización en materia de datos de los usuarios y entidades incluidos en el ámbito de aplicación del presente Reglamento y su concienciación sobre los derechos y obligaciones que de este se derivan.

(20) En la práctica, no todos los datos generados por productos conectados o servicios relacionados son fácilmente accesibles para sus usuarios y a menudo existen pocas opciones de portabilidad de los datos generados por productos conectados a internet. Los usuarios no pueden obtener los datos necesarios para recurrir a proveedores de servicios de reparación y otros servicios, y las empresas no pueden poner en marcha servicios innovadores, prácticos y más eficientes. En muchos sectores, los fabricantes, aunque no tengan derecho legal a los datos, pueden determinar, a través del control del diseño técnico de los productos conectados o de los servicios relacionados, qué datos se generan y cómo se puede acceder a ellos. Por lo tanto, es necesario garantizar que los productos conectados se diseñen y fabriquen —y que los servicios relacionados se diseñen y presten— de manera que los datos de los productos y los datos de los servicios relacionados, incluidos los metadatos asociados necesarios para interpretar y utilizar dichos datos, también a efectos de extraerlos, utilizarlos o compartirlos, siempre sean accesibles para el usuario fácilmente y de forma segura, gratuitamente, en un formato completo, estructurado, de utilización habitual y de lectura mecánica. Se denomina «datos fácilmente disponibles» a los datos del producto y los datos del servicio relacionado que un titular de datos obtiene o puede obtener del producto conectado o servicio relacionado de forma lícita y sin un esfuerzo desproporcionado, por ejemplo, mediante el diseño del producto conectado, el contrato celebrado entre el titular de datos y el usuario para la prestación de servicios relacionados y sus medios técnicos de acceso a los datos. Los datos fácilmente disponibles no incluyen los datos generados por el uso de un producto conectado cuando el diseño del producto conectado no prevea que dichos datos se almacenen o transmitan fuera del componente en que se generan o del producto conectado en su conjunto. Por consiguiente, no debe entenderse que el presente Reglamento impone la obligación de almacenar datos en la unidad informática central de un producto conectado. La ausencia de tal obligación no debe impedir al fabricante o al titular de datos acordar voluntariamente con el usuario la realización de dichas adaptaciones. Las obligaciones de diseño previstas en el presente Reglamento también se entienden sin perjuicio del principio de minimización de datos establecido en el artículo 5, apartado 1, letra c), del Reglamento (UE) 2016/679 y no deben entenderse en el sentido de que imponen una obligación de diseñar los productos conectados y servicios relacionados de tal manera que almacenen o traten de algún modo datos personales distintos de los necesarios en relación con los fines de su tratamiento. Podrían introducirse disposiciones de Derecho de la Unión o nacional para describir otras especificidades, como los datos del producto que deben ser accesibles desde los productos conectados o los servicios relacionados, dado que dichos datos pueden ser esenciales para el funcionamiento, la reparación o el mantenimiento eficientes de dichos productos conectados o servicios relacionados. Cuando las actualizaciones o modificaciones posteriores de un producto conectado o un servicio relacionado, por parte del fabricante u otra parte, den lugar a datos accesibles adicionales o a una restricción de los datos accesibles inicialmente, esas alteraciones deben comunicarse al usuario en el contexto de la actualización o modificación.

(21) Cuando se considere usuario a varias personas o entidades, por ejemplo en los casos de copropiedad o cuando un propietario, alquilador o arrendatario comparta derechos de acceso a los datos o de utilización de estos, el diseño del producto conectado o servicio relacionado o la interfaz pertinente debe permitir que cada usuario tenga acceso a los datos que genera. Por lo general, el uso de productos conectados que generan datos necesita la creación de una cuenta de usuario. Esta cuenta permite la identificación del usuario por parte del titular de datos, que puede ser el fabricante. También se puede utilizar como medio para comunicarse y para presentar y tramitar las solicitudes de acceso a datos. En caso de que varios fabricantes o proveedores de servicios relacionados hayan vendido, alquilado o arrendado productos conectados o prestado servicios relacionados, integrados entre sí, al mismo usuario, el usuario debe dirigirse a cada una de las partes con las que haya celebrado un contrato. Los fabricantes o diseñadores de un producto conectado que suelen utilizar varias personas deben establecer los mecanismos necesarios para crear cuentas de usuario separadas para personas concretas, cuando proceda, o que varias personas puedan utilizar la misma cuenta de usuario. Las soluciones de cuenta deben permitir al usuario suprimir sus cuentas y los datos relacionados con ellas, y podrían permitirle poner fin al acceso a los datos o a su utilización o intercambio, o presentar solicitudes para ponerle fin, en particular, teniendo en cuenta las situaciones en las que cambia la propiedad o el uso del producto conectado. Debe concederse acceso al usuario mediante un mecanismo de solicitud sencillo, de ejecución automática, que no requiera examen o autorización por parte del fabricante o del titular de datos. Esto significa que los datos deben ponerse a disposición solo cuando el usuario desee el acceso. Cuando no sea posible realizar la solicitud de acceso a los datos de manera automatizada, por ejemplo a través de una cuenta de usuario o de una aplicación móvil que acompañe al producto conectado o servicio relacionado, el fabricante debe informar al usuario de cómo puede acceder a los datos.

(22) Los productos conectados pueden diseñarse para que determinados datos sean directamente accesibles a partir de un almacenamiento de datos en el dispositivo o a partir de un servidor remoto al que se comuniquen los datos. El acceso al almacenamiento de datos en el dispositivo puede habilitarse a través de redes de área local por cable o inalámbricas conectadas a un servicio de comunicaciones electrónicas o red móvil disponibles al público. El servidor puede estar integrado en la capacidad del servidor local del fabricante o en la de un tercero o un proveedor de servicios en la nube. No se considera que los encargados del tratamiento tal como se definen en el artículo 4, punto 8, del Reglamento (UE) 2016/679 actúan como titulares de datos. Ahora bien, el responsable del tratamiento tal como se define en el artículo 4, punto 7, del Reglamento (UE) 2016/679 les puede encomendar específicamente que pongan datos a disposición. Los productos conectados pueden estar diseñados para permitir al usuario o a un tercero tratar los datos en el producto conectado, en una instancia informática del fabricante o en un entorno de tecnología de la información y las comunicaciones (TIC) elegido por el usuario o el tercero.

(23) Los asistentes virtuales desempeñan un papel cada vez más importante en la digitalización de los entornos de consumo y profesionales y son una interfaz fácil de utilizar que sirve para reproducir contenidos, buscar información o activar productos conectados a internet. Los asistentes virtuales pueden funcionar como una pasarela única, por ejemplo en un entorno doméstico inteligente, y registrar cantidades significativas de datos pertinentes sobre cómo interactúan los usuarios con productos conectados a internet, incluso los fabricados por otras partes, y pueden sustituir a las interfaces proporcionadas por el fabricante, como pantallas táctiles o aplicaciones para teléfonos inteligentes. Es posible que el usuario desee poner dichos datos a disposición de fabricantes terceros para permitir el desarrollo de servicios inteligentes innovadores. Los derechos de acceso a los datos que establece el presente Reglamento deben ser aplicables a los asistentes virtuales. También deben ser aplicables los derechos de acceso a los datos que establece el presente Reglamento a los datos generados cuando un usuario interactúa con un producto conectado a través de un asistente virtual proporcionado por una entidad distinta del fabricante del producto conectado. Sin embargo, solo deben entrar en el ámbito del presente Reglamento los datos resultantes de la interacción entre el usuario y un producto conectado o servicio relacionado a través del asistente virtual. Los datos producidos por el asistente virtual que no estén relacionados con el uso de un producto conectado o servicio relacionado no se incluyen en el ámbito del presente Reglamento.

(24) Antes de celebrar un contrato de compraventa, alquiler o arrendamiento de un producto conectado, el vendedor o arrendador —que pueden ser el fabricante— deben proporcionar al usuario información sobre los datos del producto que es capaz de generar el producto conectado, incluido el tipo, el formato y el volumen estimado de dichos datos, de manera clara y comprensible. Esto puede incluir información sobre las estructuras de los datos, los formatos de datos, los vocabularios, los sistemas de clasificación, las taxonomías y las listas de códigos, cuando estén disponibles, así como información clara, suficiente y pertinente para el ejercicio de los derechos del usuario sobre cómo pueden almacenarse o extraerse los datos, o cómo se puede acceder a ellos, junto con las descripciones de las condiciones de utilización y la calidad de servicio de las interfaces de programación de aplicaciones o, en su caso, el suministro de paquetes de desarrollo de software. Esa obligación aporta transparencia sobre los datos del producto generados y mejora la facilidad de acceso para el usuario. La obligación de información podría cumplirse, por ejemplo, manteniendo un localizador uniforme de recursos (URL) estable en la web, que puede distribuirse como un enlace web o un código QR, que apunte a la información relevante, que podría ser proporcionado al usuario por el vendedor o arrendador —que puede ser el fabricante— antes de celebrar el contrato de compraventa, alquiler o arrendamiento de un producto conectado. En cualquier caso, resulta necesario que el usuario pueda almacenar la información de manera que sea accesible para su futura consulta y que permita la reproducción inalterada de la información almacenada. No puede esperarse que el titular de datos almacene los datos por tiempo indefinido en vista de las necesidades del usuario del producto conectado, pero debe aplicar, no obstante, una política razonable de conservación de datos, cuando proceda, de conformidad con el principio de limitación del plazo de conservación de conformidad con el artículo 5, apartado 1, letra e), del Reglamento (UE) 2016/679, que permita el ejercicio efectivo de los derechos de acceso a los datos que confiere el presente Reglamento. La obligación de informar no afecta a la obligación del responsable del tratamiento de proporcionar información al interesado de conformidad con los artículos 12, 13 y 14 del Reglamento (UE) 2016/679. La obligación de proporcionar información antes de la celebración de un contrato de prestación de un servicio relacionado debe corresponder al posible titular de datos, con independencia de si el titular de datos celebra un contrato de compraventa, alquiler o arrendamiento de un producto conectado. También debe proporcionarse al usuario la información cuando esta cambie durante la vida útil del producto conectado o el período de vigencia del contrato del servicio relacionado, también cuando la finalidad para la que se utilizarán los datos cambie con respecto a la finalidad especificada inicialmente.

(25) No debe entenderse que el presente Reglamento concede a los titulares de datos ningún nuevo derecho a utilizar los datos del producto o los datos de un servicio relacionado. Cuando el fabricante de un producto conectado sea un titular de datos, la base para que el fabricante utilice datos no personales debe ser un contrato entre el fabricante y el usuario. Dicho contrato podría formar parte de un pacto para la prestación de un servicio relacionado, que podría celebrarse junto con el contrato de compraventa, alquiler o arrendamiento del producto conectado. Toda cláusula contractual que estipule que el titular de datos puede utilizar los datos de un producto o los datos de un servicio relacionado debe ser transparente para el usuario, incluso en lo que respecta a las finalidades para las que el titular de datos pretenda utilizar los datos. Tales finalidades pueden incluir mejorar el funcionamiento del producto conectado o de los servicios relacionados, desarrollar nuevos productos o servicios o agregar datos con el fin de poner a disposición de terceros los datos derivados resultantes, siempre que dichos datos derivados no permitan la identificación de los datos específicos transmitidos al titular de datos desde el producto conectado, ni permitan a un tercero derivarlos del conjunto de datos. Toda modificación del contrato debe depender del consentimiento informado del usuario. El presente Reglamento no impide a las partes pactar cláusulas contractuales cuyo efecto sea excluir o limitar la utilización de datos no personales, o de determinadas categorías de datos no personales, por parte de un titular de datos. Tampoco impide a las partes pactar la puesta a disposición de terceros de datos del producto o datos del servicio relacionado, de modo directo o indirecto, incluso, en su caso, a través de otro titular de datos. Además, el presente Reglamento no impide requisitos específicos de regulación sectorial en virtud del Derecho de la Unión o del Derecho nacional compatible con el Derecho de la Unión que excluyan o limiten la utilización de determinados datos por parte del titular de datos por razones de políticas públicas bien definidas. El presente Reglamento no impide a los usuarios, en las relaciones entre empresas, poner los datos a disposición de terceros o de titulares de datos con arreglo a cualquier condición contractual lícita, incluso aceptando limitar o restringir el intercambio ulterior de dichos datos, o recibir una compensación proporcional, por ejemplo, a cambio de renunciar a su derecho a utilizar o compartir dichos datos. Aunque el concepto de «titular de datos» generalmente no incluye a los organismos del sector público, puede incluir a empresas públicas.

(26) Para fomentar la aparición de mercados líquidos, equitativos y eficientes de datos no personales, los usuarios de productos conectados deben poder compartir datos con otros, también con fines comerciales, con un mínimo esfuerzo jurídico y técnico. En la actualidad, resulta a menudo difícil para las empresas justificar los costes de personal o informáticos necesarios para preparar conjuntos de datos o productos de datos no personales y ofrecerlos a otras posibles partes a través de servicios de intermediación de datos, incluidos los mercados de datos. Así pues, un obstáculo importante para el intercambio de datos no personales por parte de las empresas dimana de la falta de previsibilidad de los rendimientos económicos derivados de la inversión en la organización y puesta a disposición de conjuntos de datos o productos de datos. A fin de permitir la aparición de mercados líquidos, equitativos y eficientes de datos no personales en la Unión, debe aclararse qué parte tiene derecho a ofrecer dichos datos en un mercado. Por tanto, los usuarios deben tener derecho a compartir datos no personales con destinatarios de datos con fines comerciales y no comerciales. Este intercambio de datos podría ser realizado directamente por el usuario, a través de un titular de datos a petición del usuario, o a través de servicios de intermediación de datos. Los servicios de intermediación de datos, regulados por el Reglamento (UE) 2022/868 del Parlamento Europeo y del Consejo (22), podrían facilitar la economía de los datos mediante el establecimiento de relaciones comerciales entre los usuarios, los destinatarios de los datos y terceros, y pueden ayudar a los usuarios a ejercer su derecho a utilizar los datos, como, por ejemplo, al garantizar la anonimización de los datos personales o la agregación del acceso a los datos de múltiples usuarios individuales. Cuando los datos estén excluidos de la obligación de un titular de datos de ponerlos a disposición de los usuarios o de terceros, el alcance de dichos datos podría especificarse en el contrato entre el usuario y el titular de datos para la prestación de un servicio relacionado, de manera que los usuarios puedan determinar fácilmente qué datos están a disposición para compartirlos con destinatarios de datos o con terceros. Los titulares de datos no deben poner a disposición de terceros datos no personales del producto con fines comerciales o no comerciales distintos del cumplimiento de su contrato con el usuario, sin perjuicio de los requisitos legales en virtud del Derecho de la Unión o nacional para que un titular de datos los ponga a disposición. Cuando proceda, los titulares de datos deben obligar contractualmente a los terceros a no compartir los datos recibidos de ellos.

(27) En los sectores caracterizados por la concentración de un pequeño número de fabricantes que abastecen de productos conectados a los usuarios finales, los usuarios pueden disponer únicamente de opciones limitadas en lo que respecta al acceso a los datos y a la utilización e intercambio de estos. En tales circunstancias, los contratos pueden resultar insuficientes para alcanzar el objetivo de la capacitación de los usuarios, lo que dificulta a los usuarios obtener valor a partir de los datos generados por el producto conectado que compran, alquilan o arriendan. Por consiguiente, existe un potencial limitado para que las pequeñas empresas innovadoras ofrezcan soluciones basadas en datos de manera competitiva y para alcanzar en la Unión una economía diversa de los datos. Por lo tanto, el presente Reglamento debe basarse en los últimos avances en sectores específicos, como el Código de conducta sobre el intercambio de datos agrarios mediante contrato. Pueden adoptarse disposiciones de Derecho de la Unión o nacional para regular las necesidades y objetivos específicos del sector. Además, los titulares de datos no deben utilizar ningún dato fácilmente disponible que constituya un dato no personal, con el fin de obtener información sobre la situación económica del usuario, sus activos o sus métodos de producción o sobre ese uso por el usuario de cualquier otra manera que pueda socavar la posición comercial del usuario en los mercados en los que opera. Esto podría incluir el uso de la información sobre el rendimiento global de una empresa, o de una explotación agraria, en las negociaciones contractuales con el usuario sobre la posible compra de los productos, o de los productos agrícolas, del usuario en su propio detrimento, o para alimentar bases de datos más amplias de determinados mercados —por ejemplo, las bases de datos sobre el rendimiento de los cultivos para la próxima temporada de cosecha—, ya que tal uso podría afectar negativamente al usuario de manera indirecta. El usuario debe disponer de la interfaz técnica necesaria para gestionar los permisos, preferiblemente con opciones de permiso detalladas (como «permitir una vez» o «permitir cuando se utilice esta aplicación o servicio»), incluida la opción de retirar tal permiso.

(28) En los contratos entre un titular de datos y un consumidor como usuario de un producto conectado o servicio relacionado que genera datos, se aplica el Derecho de la Unión en materia de protección de los consumidores, en particular las Directivas 93/13/CEE y 2005/29/CE, para garantizar que el consumidor no esté sujeto a cláusulas contractuales abusivas. A efectos del presente Reglamento, las cláusulas contractuales abusivas impuestas unilateralmente a una empresa no deben ser vinculantes para ella.

(29) Los titulares de datos pueden exigir una identificación adecuada del usuario para verificar el derecho de acceso a los datos por parte del usuario. En el caso de los datos personales tratados por un encargado del tratamiento en nombre del responsable del tratamiento los titulares de datos deben garantizar que el encargado del tratamiento reciba y tramite la solicitud de acceso.

(30) El usuario debe ser libre de utilizar los datos para cualquier fin lícito. Se incluye en ello proporcionar los datos que el usuario haya recibido en el ejercicio de los derechos que le reconoce el presente Reglamento, a un tercero que ofrezca un servicio posventa que pueda estar en competencia con un servicio prestado por un titular de datos, o dar instrucciones al titular de datos para que lo haga. La solicitud debe ser presentada por el usuario o por un tercero autorizado que actúe en nombre del usuario, lo que incluye al proveedor de un servicio de intermediación de datos. Los titulares de datos deben garantizar que los datos puestos a disposición del tercero sean tan exactos, completos, fiables, pertinentes y actualizados como los datos a los que el propio titular de datos pueda acceder, o a los que tenga derecho a acceder resultantes del uso del producto conectado o servicio relacionado. En el tratamiento de los datos deben respetarse los derechos de propiedad intelectual. Es importante mantener los incentivos a la inversión en productos con funcionalidades basadas en la utilización de datos procedentes de sensores incorporados a dichos productos.

(31) La Directiva (UE) 2016/943 del Parlamento Europeo y del Consejo (23) establece que la obtención, utilización o revelación de un secreto comercial se consideran lícitas, entre otras cosas, cuando el Derecho de la Unión o nacional exijan o permitan dicha obtención, utilización o revelación. Si bien el presente Reglamento exige a los titulares de datos que divulguen determinados datos a los usuarios o a terceros elegidos por el usuario, incluso cuando dichos datos cumplan los requisitos para ser protegidos como secretos comerciales, debe interpretarse de forma que preserve la protección conferida a los secretos comerciales en virtud de la Directiva (UE) 2016/943. En este contexto, los titulares de datos deben poder exigir al usuario, o a terceros elegidos por el usuario, que preserven la confidencialidad de los datos considerados como secretos comerciales. A tal fin, los titulares de datos deben identificar los secretos comerciales antes de la divulgación y tener la posibilidad de convenir con los usuarios, o con terceros elegidos por el usuario, las medidas necesarias para preservar su confidencialidad, también mediante el uso de cláusulas contractuales tipo, acuerdos de confidencialidad, protocolos de acceso estrictos, normas técnicas y la aplicación de códigos de conducta. Además del uso de cláusulas contractuales tipo que ha de elaborar y recomendar la Comisión, el establecimiento de códigos de conducta y de normas técnicas relativos a la protección de los secretos comerciales en el tratamiento de los datos podría contribuir a la consecución del objetivo del presente Reglamento y debe fomentarse. Cuando no exista un acuerdo sobre las medidas necesarias o cuando el usuario o los terceros elegidos por el usuario no apliquen las medidas convenidas o vulneren la confidencialidad de los secretos comerciales, el titular de datos debe poder retener o suspender el intercambio de los datos identificados como secretos comerciales. En tales casos, el titular de datos debe comunicar la decisión por escrito al usuario o al tercero sin demora indebida y debe notificar a la autoridad competente del Estado miembro en el que el titular de datos esté establecido que ha retenido o suspendido el intercambio de datos e indicar qué medidas no se han convenido o aplicado y, en su caso, qué secretos comerciales han visto su confidencialidad comprometida. En principio, los titulares de datos no pueden rechazar una solicitud de acceso a los datos en virtud del presente Reglamento alegando únicamente que determinados datos se consideran secretos comerciales, ya que esto neutralizaría los efectos perseguidos por el presente Reglamento. Sin embargo, en circunstancias excepcionales, un titular de datos que sea un poseedor de un secreto comercial debe poder rechazar, según el caso, una solicitud para los datos específicos en cuestión, si es capaz de demostrar al usuario o al tercero que, a pesar de las medidas técnicas y organizativas tomadas por el usuario o por el tercero, existe una alta probabilidad de que la revelación de dicho secreto comercial ocasione un grave perjuicio económico. Un grave perjuicio económico implica una pérdida económica importante e irreparable. El titular de datos debe, sin demora indebida, motivar debidamente su denegación por escrito al usuario o al tercero y notificarla a la autoridad nacional competente. Dicha motivación debe basarse en elementos objetivos que demuestren el riesgo concreto de grave perjuicio económico que cabe esperar que se derive de una divulgación de datos específica y los motivos por los que las medidas adoptadas para proteger los datos solicitados se consideran insuficientes. En este contexto, puede tenerse en cuenta un posible efecto negativo en la ciberseguridad. Sin perjuicio del derecho a recurrir ante un órgano jurisdiccional de un Estado miembro, cuando el usuario o el tercero deseen impugnar la decisión del titular de datos de denegar, retener o suspender el intercambio de datos, el usuario o el tercero pueden presentar una reclamación ante la autoridad competente, que debe decidir, sin demora indebida, si el intercambio de datos debe iniciarse o reanudarse y en qué condiciones, o pueden convenir con el titular de datos someter la cuestión a un órgano de resolución de litigios. Las excepciones al derecho de acceso a los datos en el presente Reglamento no deben en ningún caso limitar el derecho de acceso y el derecho a la portabilidad de los datos de los interesados en virtud del Reglamento (UE) 2016/679.

(32) El objetivo del presente Reglamento no consiste solo en fomentar el desarrollo de productos conectados o servicios relacionados nuevos e innovadores y estimular la innovación en los mercados de posventa, sino también en estimular el desarrollo de servicios totalmente novedosos que utilicen los datos en cuestión, incluso los basados en datos procedentes de diversos productos conectados o servicios relacionados. Al mismo tiempo, el presente Reglamento pretende evitar la reducción de los incentivos a la inversión para el tipo de producto conectado del que se obtienen datos, por ejemplo, utilizando los datos para desarrollar un producto conectado competidor que los usuarios consideren intercambiable o sustituible atendiendo a sus características, su precio o el uso que se prevea hacer de él. El presente Reglamento no prohíbe el desarrollo de servicios relacionados utilizando datos obtenidos en virtud del presente Reglamento, ya que ello tendría en la innovación un efecto disuasorio no deseable. La prohibición de utilizar los datos a los que se accede en virtud del presente Reglamento para desarrollar un producto conectado competidor protege los esfuerzos de innovación de los titulares de datos. La determinación de si un producto conectado compite con el producto conectado en el que se originan los datos depende de si ambos productos conectados son competidores en el mismo mercado de producto. Esto se debe determinar sobre la base de los principios establecidos en el Derecho de la competencia de la Unión para delimitar el mercado de productos de referencia. No obstante, los fines lícitos para la utilización de los datos podrían incluir la ingeniería inversa, siempre que cumpla los requisitos establecidos en el presente Reglamento y en el Derecho de la Unión o nacional. Este puede ser el caso para la finalidad de reparar o prolongar la vida útil de un producto conectado o de prestar servicios posventa a productos conectados.

(33) Un tercero al que se pongan datos a disposición puede ser una persona física o jurídica, como un consumidor, una empresa, una organización de investigación, una organización sin ánimo de lucro o una entidad que actúe a título profesional. Al poner los datos a disposición del tercero, un titular de datos no debe explotar de manera abusiva su posición para buscar una ventaja competitiva en mercados en los que el titular de datos y el tercero puedan estar en competencia directa. Por consiguiente, el titular de datos no debe utilizar ningún dato fácilmente disponible con el fin de obtener información sobre la situación económica, los activos o los métodos de producción del tercero, ni el uso por este de cualquier otra manera que pueda socavar la posición comercial del tercero en los mercados en los que el tercero opera. El usuario debe poder compartir datos no personales con terceros con fines comerciales. Previo acuerdo con el usuario, y con sujeción a lo dispuesto en el presente Reglamento, los terceros deben poder transferir a otros terceros los derechos de acceso a los datos otorgados por el usuario, también a cambio de una compensación. Los intermediarios de datos entre empresas y los sistemas de gestión de información personal, denominados «servicios de intermediación de datos» en el Reglamento (UE) 2022/868, pueden ayudar a los usuarios o los terceros a establecer relaciones comerciales con un número indeterminado de posibles contrapartes para cualquier fin lícito que entre en el ámbito de aplicación del presente Reglamento. Podrían desempeñar un papel fundamental a la hora de agregar el acceso a los datos, de modo que puedan facilitarse los análisis de macrodatos o el aprendizaje automático, siempre que los usuarios mantengan el pleno control de la decisión de proporcionar sus datos a dicha agregación y de las condiciones comerciales en las que se vayan a utilizar sus datos.

(34) El uso de un producto conectado o servicio relacionado puede generar datos relativos al interesado, en particular, cuando el usuario sea una persona física. El tratamiento de dichos datos está sujeto a las normas establecidas en virtud del Reglamento (UE) 2016/679, incluso cuando los datos personales y no personales de un conjunto de datos estén indisolublemente vinculados. El interesado puede ser el usuario u otra persona física. Los datos personales solo pueden ser solicitados por un responsable del tratamiento o un interesado. Un usuario que sea el interesado tiene derecho, en determinadas circunstancias, en virtud del Reglamento (UE) 2016/679, a acceder a los datos personales que le incumban, derecho que no se ve afectado por el presente Reglamento. En virtud del presente Reglamento, el usuario que sea una persona física tiene también derecho a acceder a todos los datos generados por el uso de un producto conectado, tanto personales como no personales. Cuando el usuario no sea el interesado sino una empresa, incluido un empresario individual, excluidos los casos de uso doméstico compartido del producto conectado, el usuario debe tener la consideración de responsable del tratamiento. Por consiguiente, dicho usuario, que como responsable del tratamiento desea solicitar datos personales generados por el uso de un producto conectado o un servicio relacionado, debe tener una base lícita para el tratamiento de los datos como exige el artículo 6, apartado 1, del Reglamento (UE) 2016/679, como el consentimiento del interesado o la ejecución de un contrato en el que el interesado sea parte. Dicho usuario debe garantizar que el interesado esté debidamente informado de los fines determinados, explícitos y legítimos del tratamiento de dichos datos, y de la manera en que el interesado puede ejercer efectivamente sus derechos. Cuando el titular de datos y el usuario sean corresponsables del tratamiento en el sentido del artículo 26 del Reglamento (UE) 2016/679, están obligados a determinar, de manera transparente y de mutuo acuerdo, sus responsabilidades respectivas en el cumplimiento de dicho Reglamento. Debe entenderse que dicho usuario, una vez que los datos se hayan puesto a disposición, puede a su vez convertirse en titular de datos si cumple los criterios establecidos en el presente Reglamento y, por tanto, está sujeto a la obligación de poner los datos a disposición en virtud del presente Reglamento.

(35) Los datos del producto o los datos del servicio relacionado solo deben ponerse a disposición de un tercero a petición del usuario. El presente Reglamento complementa en consecuencia el derecho de los interesados, establecido en el artículo 20 del Reglamento (UE) 2016/679, a recibir los datos personales que les incumban en un formato estructurado, de uso habitual y de lectura mecánica, así como a transmitirlos a otro responsable del tratamiento, cuando dichos datos se traten por procedimientos automatizados sobre la base del artículo 6, apartado 1, letra a), o del artículo 9, apartado 2, letra a), o sobre la base de un contrato con arreglo al artículo 6, apartado 1, letra b), de dicho Reglamento. Los interesados también tienen derecho a que los datos personales se transmitan directamente de responsable a responsable, pero solo cuando esto sea técnicamente posible. El artículo 20 del Reglamento (UE) 2016/679 especifica que se trata de los datos proporcionados por el interesado, pero no especifica si ello requiere un comportamiento activo por parte del interesado o si también es aplicable cuando un producto conectado o servicio relacionado, por su diseño, observa el comportamiento de un interesado u otra información relacionada con un interesado de manera pasiva. Los derechos que se derivan del presente Reglamento complementan el derecho a la recepción y la portabilidad de los datos personales en virtud del artículo 20 del Reglamento (UE) 2016/679 de varias maneras. El presente Reglamento concede a los usuarios el derecho a acceder a cualquier dato del producto o dato del servicio relacionado y a ponerlo a disposición de terceros, independientemente de que sea de carácter personal, de la distinción entre datos proporcionados activamente u observados pasivamente y de la base jurídica del tratamiento. A diferencia del artículo 20 del Reglamento (UE) 2016/679, el presente Reglamento exige y garantiza la viabilidad técnica del acceso de terceros a todos los tipos de datos incluidos en su ámbito de aplicación, ya sean personales o no personales, asegurando así que los obstáculos técnicos no sigan obstaculizando o impidiendo el acceso a dichos datos. El presente Reglamento también permite a los titulares de datos establecer una compensación razonable a cargo de terceros, pero no del usuario, por los costes en que se incurra al proporcionar acceso directo a los datos generados por el producto conectado del usuario. Si el titular de datos y un tercero no pueden acordar las condiciones de dicho acceso directo, no debe impedirse en modo alguno que el interesado ejerza los derechos establecidos en el Reglamento (UE) 2016/679, incluido el derecho a la portabilidad de los datos, buscando vías de recurso de conformidad con dicho Reglamento. En este contexto, debe entenderse que, de conformidad con el Reglamento (UE) 2016/679, un contrato no permite el tratamiento de categorías especiales de datos personales por parte del titular de datos o del tercero.

(36) El acceso a todos los datos almacenados en equipos terminales, y a los que se acceda desde estos, está sujeto a la Directiva 2002/58/CE y requiere el consentimiento del abonado o usuario en el sentido de dicha Directiva, a menos que sea estrictamente necesario para prestar un servicio de la sociedad de la información expresamente solicitado por el usuario o por el abonado o únicamente para la transmisión de una comunicación. La Directiva 2002/58/CE protege la integridad de los equipos terminales del usuario en lo que respecta al uso de las capacidades de tratamiento y almacenamiento y a la recopilación de información. Los equipos de la internet de las cosas se consideran equipos terminales si están directa o indirectamente conectados a una red pública de comunicaciones.

(37) Con el fin de evitar la explotación de los usuarios, los terceros a los que se hayan puesto datos a disposición a petición del usuario deben tratar estos datos solo para la finalidad acordada con el usuario e intercambiarlos con otro tercero solo con el consentimiento del usuario a dicho intercambio.

(38) En consonancia con el principio de minimización de datos, los terceros deben acceder solo a la información necesaria para prestar el servicio solicitado por el usuario. Tras haber recibido acceso a los datos, el tercero debe tratarlos para la finalidad acordada con el usuario sin injerencia del titular de datos. Para el usuario debe ser tan fácil denegar o interrumpir el acceso del tercero a los datos como autorizarlo. Ni los terceros ni los titulares de datos deben dificultar indebidamente el ejercicio de las opciones o los derechos de los usuarios, tampoco ofreciendo opciones a los usuarios de manera no neutra, o coaccionándolos, engañándolos o manipulándolos de algún modo, o neutralizando o mermando su autonomía, toma de decisiones u opciones, tampoco a través de una interfaz digital de usuario o de una parte de ella. En ese contexto, los terceros o los titulares de datos no deben basarse en los denominados «patrones oscuros» (elementos engañosos) a la hora de diseñar sus interfaces digitales. Los «patrones oscuros» son técnicas de diseño que impulsan o engañan a los consumidores para que tomen decisiones que conllevan consecuencias negativas para sí mismos. Estas técnicas de manipulación pueden utilizarse para persuadir a los usuarios, en particular, a los consumidores vulnerables, de que adopten comportamientos que estos no desean, y para engañarlos induciéndoles a tomar decisiones sobre transacciones de divulgación de datos o para influir injustificadamente en la toma de decisiones de los usuarios del servicio, de tal manera que se neutralice o merme su autonomía, su toma de decisiones y su capacidad de elegir entre distintas opciones. Las prácticas comerciales habituales y legítimas que sean conformes con el Derecho de la Unión no deben considerarse por sí mismas «patrones oscuros». Los terceros y los titulares de datos deben cumplir sus obligaciones en virtud del Derecho de la Unión pertinente, en particular, los requisitos establecidos en las Directivas 98/6/CE (24) y 2000/31/CE (25) del Parlamento Europeo y del Consejo, y de las Directivas 2005/29/CE y 2011/83/UE.

(39) Los terceros también deben abstenerse de utilizar los datos incluidos en el ámbito de aplicación del presente Reglamento para trazar perfiles de personas, a menos que el tratamiento sea estrictamente necesario para prestar el servicio solicitado por el usuario, incluido en el contexto de las decisiones automatizadas. El requisito de suprimir los datos cuando ya no sean necesarios para el fin acordado con el usuario, salvo que se acuerde otra cosa en relación con los datos no personales, complementa el derecho de supresión del interesado con arreglo al artículo 17 del Reglamento (UE) 2016/679. Cuando un tercero sea un proveedor de un servicio de intermediación de datos se aplican las garantías para el interesado que establece el Reglamento (UE) 2022/868. El tercero puede utilizar los datos para desarrollar un producto conectado o servicio relacionado, nuevo e innovador, pero no para desarrollar un producto conectado competidor.

(40) Las empresas emergentes, las pequeñas empresas, las empresas que se consideran medianas empresas con arreglo al artículo 2 del anexo de la Recomendación 2003/361/CE y las empresas de sectores tradicionales con capacidades digitales menos desarrolladas tienen dificultades para acceder a los datos pertinentes. El presente Reglamento tiene por objeto facilitar el acceso de estas entidades a los datos, garantizando al mismo tiempo que las obligaciones correspondientes sean lo más proporcionadas posible para evitar extralimitaciones. Al mismo tiempo, en la economía digital ha surgido un pequeño número de empresas muy grandes con un poder económico considerable gracias a la acumulación y agregación de grandes volúmenes de datos y a la infraestructura tecnológica necesaria para su monetización. Entre esas empresas muy grandes se cuentan algunas que prestan servicios básicos de plataforma que controlan ecosistemas de plataformas enteros en la economía digital, y que los operadores del mercado existentes o nuevos no son capaces de desafiar o disputar. El Reglamento (UE) 2022/1925 del Parlamento Europeo y del Consejo (26) tiene por objeto corregir esas ineficiencias y desequilibrios permitiendo a la Comisión designar a una empresa como «guardián de acceso», e impone una serie de obligaciones a dichos guardianes de acceso designados, como la prohibición de combinar determinados datos sin consentimiento y la obligación de garantizar los derechos efectivos a la portabilidad de los datos en virtud del artículo 20 del Reglamento (UE) 2016/679. De conformidad con el Reglamento (UE) 2022/1925, y habida cuenta de la inigualable capacidad de esas empresas para adquirir datos, la inclusión de las empresas guardianas de acceso como beneficiarias del derecho de acceso a los datos no es necesaria para alcanzar el objetivo del presente Reglamento y, por tanto, sería desproporcionada para los titulares de datos sujetos a dichas obligaciones. Esta inclusión también limitaría probablemente los beneficios del presente Reglamento para las pymes, vinculados a la equidad de la distribución del valor de los datos entre los distintos agentes del mercado. Esto significa que una empresa que presta servicios básicos de plataforma que ha sido designada guardián de acceso no puede solicitar ni obtener acceso a los datos de los usuarios generados por el uso de un producto conectado o servicio relacionado o por un asistente virtual sobre la base del presente Reglamento. Además, los terceros a los que se pongan datos a disposición a petición del usuario no pueden poner los datos a disposición de un guardián de acceso. Por ejemplo, el tercero no puede subcontratar la prestación de servicios a un guardián de acceso. Sin embargo, esto no impide que terceros utilicen servicios de tratamiento de datos ofrecidos por un guardián de acceso. Tampoco impide a esas empresas obtener y utilizar los mismos datos por otros medios lícitos. Los derechos de acceso que confiere el presente Reglamento contribuyen a que los consumidores dispongan de una mayor variedad de servicios. Dado que los acuerdos de carácter voluntario entre guardianes de acceso y titulares de datos no se ven afectados, la limitación de la concesión de acceso a los guardianes de acceso no los excluiría del mercado ni les impediría ofrecer sus servicios.

(41) Habida cuenta del estado actual de la tecnología, resultaría excesivamente gravoso para las microempresas y pequeñas empresas imponer nuevas obligaciones de diseño en relación con los productos conectados fabricados o diseñados que suministran o los servicios relacionados que prestan. Sin embargo, no sucede así cuando, para fabricar o diseñar un producto conectado o para prestar un servicio relacionado, se subcontrata a una microempresa o pequeña empresa que cuenta con una empresa asociada o con una empresa vinculada en el sentido del artículo 3 del anexo de la Recomendación 2003/361/CE que no se considere microempresa o pequeña empresa. En estas situaciones, la empresa que haya subcontratado la fabricación o el diseño a una microempresa o pequeña empresa puede compensar adecuadamente al subcontratista. No obstante, una microempresa o pequeña empresa puede estar sujeta a los requisitos establecidos en el presente Reglamento como titular de datos cuando no sea el fabricante del producto conectado o un proveedor de servicios relacionados. Se debe aplicar un período transitorio para las empresas que hayan adquirido la condición de medianas empresas menos de un año antes y para los productos conectados durante un año después de la fecha en la que hayan sido introducidos en el mercado por una mediana empresa. Ese período de un año permite a dichas medianas empresas adaptarse y prepararse antes de estar expuestas a la competencia en el mercado de servicios para los productos conectados que fabrican, según los derechos de acceso que confiere el presente Reglamento. Ese período transitorio no se aplica cuando dichas medianas empresas cuenten con una empresa asociada o una empresa vinculada que no tenga la consideración de microempresa o pequeña empresa o cuando dichas medianas empresas hayan sido subcontratadas para fabricar o diseñar el producto conectado o para prestar el servicio relacionado.

(42) Habida cuenta de la variedad de productos conectados que producen datos de distinta naturaleza, volumen y frecuencia, con diferentes niveles de datos y riesgos de ciberseguridad, y que ofrecen oportunidades económicas de diferente valor, y con el fin de garantizar la coherencia de las prácticas de intercambio de datos en el mercado interior, también entre sectores, y de fomentar y promover prácticas justas de intercambio de datos incluso en ámbitos en los que no se conceda tal derecho de acceso a los datos, el presente Reglamento establece normas horizontales sobre las modalidades de acceso a los datos en aquellos supuestos en que un titular de datos esté obligado por el Derecho de la Unión o por la normativa nacional adoptada de conformidad con el Derecho de la Unión a poner los datos a disposición de un destinatario de datos. Dicho acceso debe basarse en condiciones justas, razonables, no discriminatorias y transparentes. Esas normas generales de acceso no se aplican a las obligaciones de poner los datos a disposición en virtud del Reglamento (UE) 2016/679. El intercambio voluntario de datos no se ve afectado por esas normas. Las cláusulas contractuales tipo no vinculantes para el intercambio de datos entre empresas que debe desarrollar y recomendar la Comisión pueden ayudar a las partes a celebrar contratos que incluyan condiciones justas, razonables y no discriminatorias y que se deben aplicar de manera transparente. Sin embargo, la celebración de contratos, que puede incluir las cláusulas contractuales tipo no vinculantes, no debe significar que el derecho a compartir datos con terceros esté condicionado en modo alguno a la existencia de tal contrato. En caso de que las partes no puedan alcanzar un acuerdo contractual sobre el intercambio de datos, ni siquiera con el apoyo de órganos de resolución de litigios, el derecho a compartir datos con terceros es exigible ante los órganos jurisdiccionales nacionales.

(43) Sobre la base del principio de libertad contractual, las partes deben seguir siendo libres de negociar las condiciones precisas para la puesta a disposición de los datos en sus contratos, en el marco de las normas generales de acceso para la puesta a disposición de los datos. Las condiciones de dichos contratos podrían incluir medidas técnicas y organizativas, también en relación con la seguridad de los datos.

(44) A fin de garantizar que las condiciones de acceso obligatorio a los datos sean equitativas para ambas partes de un contrato, las normas generales sobre los derechos de acceso a los datos deben hacer referencia a la norma relativa a la necesidad de evitar cláusulas contractuales abusivas.

(45) Ningún acuerdo celebrado en las relaciones entre empresas para poner los datos a disposición debe discriminar entre categorías comparables de destinatarios de datos, independientemente de que las partes sean grandes empresas o pymes. Para compensar la falta de información sobre las condiciones que figuran en los distintos contratos, lo que dificulta que el destinatario de los datos evalúe si las condiciones de puesta a disposición de los datos no son discriminatorias, debe ser responsabilidad de los titulares de datos demostrar que una cláusula contractual no es discriminatoria. No se considera una discriminación ilegal que el titular de datos utilice cláusulas contractuales diferentes para poner los datos a disposición, si dichas diferencias están justificadas por razones objetivas. Esas obligaciones se entienden sin perjuicio de lo dispuesto en el Reglamento (UE) 2016/679.

(46) Con el fin de fomentar la inversión continua en la generación y puesta a disposición de datos valiosos, incluidas las inversiones en herramientas técnicas pertinentes, evitando al mismo tiempo cargas excesivas en el acceso a los datos y a su utilización que hagan que el intercambio de datos ya no sea viable desde el punto de vista comercial, el presente Reglamento contiene el principio según el cual, en las relaciones entre empresas, los titulares de datos pueden solicitar una compensación razonable cuando estén obligados con arreglo al Derecho de la Unión o la normativa nacional adoptada de conformidad con el Derecho de la Unión a poner los datos a disposición de un destinatario de datos. Tal compensación no debe entenderse como un pago por los propios datos. La Comisión debe adoptar orientaciones sobre el cálculo que se considera una compensación razonable en la economía de los datos.

(47) En primer lugar, una compensación razonable por el cumplimiento de la obligación en virtud del Derecho de la Unión o la normativa nacional adoptada de conformidad con el Derecho de la Unión para dar cumplimiento a una solicitud de puesta a disposición de datos puede incluir una compensación por los costes en que se haya incurrido al poner los datos a disposición. Esos costes pueden ser técnicos, como los costes necesarios para la reproducción de los datos, su difusión por medios electrónicos y su almacenamiento, pero no para la recopilación o producción de datos. Esos costes técnicos también pueden incluir los costes de tratamiento necesarios para poner los datos a disposición, incluidos los costes asociados al formateo de los datos. Los costes relacionados con la puesta a disposición de datos también pueden incluir los costes destinados a facilitar solicitudes concretas de intercambio de datos. También pueden variar en función del volumen de los datos, así como de las disposiciones adoptadas para ponerlos a disposición. Los acuerdos a largo plazo entre los titulares de datos y los destinatarios de datos, por ejemplo a través de un modelo de suscripción o la utilización de contratos inteligentes, pueden reducir los costes en transacciones periódicas o repetitivas en una relación de negocios. Los costes relacionados con la puesta a disposición de los datos pueden corresponder a una solicitud concreta o ser compartidos con otras solicitudes. En el último caso, un único destinatario de datos no debe pagar la totalidad de los costes de puesta a disposición de los datos. En segundo lugar, una compensación razonable también puede incluir un margen, salvo cuando se trate de pymes y organizaciones de investigación sin ánimo de lucro. El margen puede variar en función de factores relacionados con los propios datos, como el volumen, el formato o la naturaleza de los datos. Puede tener en cuenta los costes de recopilación de los datos. Por lo tanto, un margen puede disminuir cuando el titular de datos haya recopilado los datos para su propia actividad sin inversiones significativas, o puede aumentar cuando las inversiones en la recopilación de datos a efectos de la actividad del titular de datos sean elevadas. Puede limitarse o incluso excluirse en situaciones en las que la utilización de los datos por parte del destinatario de datos no afecte a las propias actividades del titular de datos. El hecho de que los datos sean cogenerados por un producto conectado que sea propiedad, alquilado o arrendado por el usuario también podría reducir el importe de la compensación en comparación con otras situaciones en las que los datos son generados por el titular de datos, por ejemplo durante la prestación de un servicio relacionado.

(48) La intervención no es necesaria cuando el intercambio de datos se realiza entre grandes empresas, ni cuando el titular de datos es una pyme y el destinatario de datos es una gran empresa. En tales casos, se considera que las empresas son capaces de negociar la compensación dentro de los límites de lo que es razonable y no discriminatorio.

(49) Con el fin de proteger a las pymes de cargas económicas excesivas que les dificultarían comercialmente el desarrollo y la gestión de modelos de negocio innovadores, la compensación razonable que pagarían por la puesta a disposición de los datos no debe superar los costes directamente relacionados con la puesta a disposición de los datos. Los costes directamente relacionados son aquellos que son atribuibles a solicitudes individuales, teniendo en cuenta que el titular de los datos debe establecer de forma permanente las interfaces técnicas necesarias o el software y la conectividad necesarios. El mismo régimen debe aplicarse a las organizaciones de investigación sin ánimo de lucro.

(50) En casos debidamente justificados, como cuando sea necesario proteger la participación de los consumidores y la competencia o promover la innovación en determinados mercados, el Derecho de la Unión o la normativa nacional adoptada de conformidad con el Derecho de la Unión pueden disponer que se conceda una compensación regulada por la puesta a disposición de tipos de datos específicos.

(51) La transparencia es un principio importante para garantizar que la compensación solicitada por un titular de datos sea razonable o, si el destinatario de datos es una pyme o una organización de investigación sin ánimo de lucro, que la compensación no supere los costes directamente relacionados con la puesta a disposición de los datos al destinatario de datos y que sea atribuible a la solicitud individual de que se trate. A fin de que los destinatarios de datos puedan evaluar y verificar que la compensación cumple los requisitos del presente Reglamento, el titular de datos debe proporcionar al destinatario de datos información con suficiente detalle para calcular la compensación.

(52) Garantizar el acceso a formas alternativas de resolución de litigios nacionales y transfronterizos derivados de la puesta a disposición de los datos debe redundar en beneficio de los titulares y destinatarios de datos y, por lo tanto, reforzar la confianza en el intercambio de datos. Cuando las partes no puedan acordar unas condiciones justas, razonables y no discriminatorias para la puesta a disposición de los datos, los órganos de resolución de litigios deben ofrecer a las partes una solución sencilla, rápida y económica. Si bien el presente Reglamento solo establece las condiciones que deben cumplir los órganos de resolución de litigios para ser certificados, los Estados miembros son libres de adoptar cualquier norma específica para el procedimiento de certificación, incluida, la expiración o revocación de la certificación. Las disposiciones del presente Reglamento relativas a la resolución de litigios no deben obligar a los Estados miembros a crear órganos de resolución de litigios.

(53) El procedimiento de resolución de litigios en virtud del presente Reglamento es un procedimiento voluntario que permite a los usuarios, titulares de datos y destinatarios de datos acordar someter sus litigios a los órganos de resolución de litigios. Por lo tanto, las partes deben tener libertad para dirigirse a un órgano de resolución de litigios de su elección, ya sea dentro o fuera de los Estados miembros en los que estén establecidas.

(54) A fin de evitar casos de recurso a dos o más órganos de resolución de litigios para un mismo litigio, en particular en una situación transfronteriza, un órgano de resolución de litigios debe poder rechazar la tramitación de una solicitud de resolución de un litigio que ya se haya presentado ante otro órgano de resolución de litigios o ante un órgano jurisdiccional de un Estado miembro.

(55) A fin de garantizar la aplicación uniforme del presente Reglamento, los órganos de resolución de litigios deben tener en cuenta las cláusulas contractuales tipo no vinculantes que debe elaborar y recomendar la Comisión, así como las disposiciones de Derecho de la Unión o nacional que especifiquen las obligaciones de intercambio de datos o las directrices emitidas por las autoridades sectoriales para la aplicación de dichas disposiciones de Derecho.

(56) No debe impedirse que las partes en los procedimientos de resolución de litigios ejerzan su derecho fundamental a la tutela judicial efectiva y a un juez imparcial. Por consiguiente, la decisión de someter un litigio a un órgano de resolución de litigios no debe privar a dichas partes de su derecho a recurrir ante un órgano jurisdiccional de un Estado miembro. Los órganos de resolución de litigios deben poner a disposición del público informes anuales de actividad.

(57) Los titulares de datos pueden aplicar medidas técnicas de protección adecuadas para evitar la divulgación y el acceso ilícitos a los datos. Sin embargo, estas medidas no deben discriminar entre destinatarios de datos ni obstaculizar el acceso o la utilización de los datos por los usuarios o destinatarios de datos. En caso de prácticas abusivas por parte de un destinatario de datos, como inducir a error al titular de datos proporcionando información falsa con la intención de utilizar los datos con fines ilícitos, incluido el desarrollo de un producto conectado competidor sobre la base de los datos, el titular de datos y, cuando proceda y no sean la misma persona, el poseedor del secreto comercial o el usuario pueden solicitar al tercero o al destinatario de los datos que aplique medidas correctoras o de reparación sin demora indebida. Toda solicitud de este tipo, y en particular las solicitudes de poner fin a la producción, la oferta o la introducción en el mercado de bienes, datos derivados o servicios, así como las destinadas a poner fin a la importación, la exportación o el almacenamiento de mercancías infractoras o a su destrucción, deben evaluarse a la luz de su proporcionalidad en relación con los intereses del titular de datos, del poseedor del secreto comercial o del usuario.

(58) Cuando una de las partes se encuentra en una posición negociadora más fuerte, existe el riesgo de que pueda aprovecharla en detrimento de la otra parte contratante a la hora de negociar el acceso a los datos, con el resultado de que dicho acceso sea menos viable desde el punto de vista comercial y, a veces, económicamente prohibitivo. Estos desequilibrios contractuales perjudican a todas las empresas que no cuentan con una capacidad significativa de negociar las condiciones de acceso a los datos, y que podrían no tener otra opción que aceptar cláusulas contractuales de tipo «lo tomas o lo dejas». Por lo tanto, las cláusulas contractuales abusivas que regulen el acceso a los datos y su utilización, o la responsabilidad y los recursos en caso de incumplimiento o resolución unilateral de obligaciones relacionadas con los datos, no deben ser vinculantes para las empresas cuando dichas condiciones se les hayan impuesto unilateralmente.

(59) Las normas sobre cláusulas contractuales deben tener en cuenta el principio de libertad contractual como concepto esencial en las relaciones entre empresas. Por lo tanto, no todas las cláusulas contractuales deben someterse a un control del carácter abusivo, sino únicamente las impuestas unilateralmente. Se trata de situaciones del tipo «lo tomas o lo dejas» en las que una parte presenta una determinada cláusula contractual y la otra no puede influir en el contenido de dicha cláusula pese a haber intentado negociarla. Una cláusula contractual que sea planteada simplemente por una de las partes y aceptada por la otra empresa, o una cláusula que se negocie y posteriormente se acuerde de forma modificada entre las partes contratantes no debe considerarse que se haya impuesto unilateralmente.

(60) Además, las normas sobre cláusulas contractuales abusivas deben aplicarse solo a aquellos elementos de un contrato que estén relacionados con la puesta a disposición de datos, es decir, las cláusulas contractuales relativas al acceso a los datos y a su utilización, así como a la responsabilidad o los recursos por incumplimiento y resolución unilateral de las obligaciones relacionadas con los datos. Las secciones del mismo contrato que no guarden relación con la puesta a disposición de datos no deben estar sujetas al control del carácter abusivo establecido en el presente Reglamento.

(61) Los criterios para determinar las cláusulas contractuales abusivas solo deben aplicarse a cláusulas contractuales excesivas cuando se abuse de una posición negociadora más fuerte. La gran mayoría de las cláusulas contractuales que son comercialmente más favorables para una parte que para la otra, incluidas las que son habituales en los contratos entre empresas, constituyen una expresión normal del principio de libertad contractual y siguen siendo aplicables. A efectos del presente Reglamento, desviarse manifiestamente de las buenas prácticas comerciales incluiría, entre otras cosas, el menoscabo objetivo de la capacidad de la parte a la que se haya impuesto unilateralmente la cláusula para proteger su interés comercial legítimo en los datos en cuestión.

(62) A fin de garantizar la seguridad jurídica, el presente Reglamento establece una lista de cláusulas que siempre se consideran abusivas y una lista de cláusulas que se presumen abusivas. En este último caso, la empresa que impone la cláusula contractual debe poder refutar la presunción de abuso demostrando que la cláusula contractual enumerada en el presente Reglamento no es abusiva en el caso concreto de que se trate. Si una cláusula contractual no está incluida en la lista de cláusulas que siempre se consideran abusivas o que se presumen abusivas, se aplica la disposición general relativa al carácter abusivo. A este respecto, las cláusulas contractuales enumeradas como abusivas en el presente Reglamento deben servir como referencia para interpretar la disposición general relativa al carácter abusivo. Por último, las cláusulas contractuales tipo no vinculantes para los contratos de intercambio de datos entre empresas, que la Comisión debe desarrollar y recomendar, también pueden ser útiles para las partes comerciales a la hora de negociar contratos. Si una cláusula contractual se declara abusiva, el contrato de que se trate debe seguir aplicándose sin ella, a menos que la cláusula contractual abusiva no sea separable de las demás cláusulas del contrato.

(63) En situaciones de necesidad excepcional, puede ser necesario que los organismos del sector público, la Comisión, el Banco Central Europeo o los organismos de la Unión utilicen en el ejercicio de sus funciones legales de interés público los datos existentes, incluidos, cuando proceda, los metadatos de acompañamiento, para responder a emergencias públicas o en otros casos excepcionales. Las necesidades excepcionales son circunstancias imprevisibles y limitadas en el tiempo, a diferencia de otras circunstancias que podrían planificarse, programarse, ser periódicas o frecuentes. Aunque el concepto de «titular de datos» generalmente no incluye a los organismos del sector público, puede incluir a las empresas públicas. Las organizaciones que realizan actividades de investigación y las organizaciones que financian la investigación también se pueden organizar como organismos del sector público u organismos de Derecho público. A fin de limitar la carga para las empresas, las microempresas y las pequeñas empresas solo deben estar obligadas a proporcionar datos a los organismos del sector público, a la Comisión, al Banco Central Europeo o a los organismos de la Unión en situaciones de necesidad excepcional en las que se necesiten dichos datos para responder a una emergencia pública y los organismos del sector público, la Comisión, el Banco Central Europeo o los organismos de la Unión no puedan obtener tales datos por otros medios en tiempo oportuno y de manera efectiva en condiciones equivalentes.

(64) En caso de emergencia pública, ya sea una emergencia de salud pública, una emergencia derivada de una catástrofe natural (incluidas las agravadas por el cambio climático y la degradación del medio ambiente) o una catástrofe grave provocada por el ser humano, como un incidente grave de ciberseguridad, el interés público resultante de la utilización de los datos prevalecerá sobre el interés de los titulares de datos de disponer libremente de los datos que obran en su poder. En tal caso, los titulares de datos deben estar obligados a poner los datos a disposición de los organismos del sector público, la Comisión, el Banco Central Europeo o los organismos de la Unión que así lo requieran. La existencia de una emergencia pública debe determinarse o declararse con arreglo al Derecho de la Unión o nacional y sobre la base de los procedimientos pertinentes, incluidos los de las organizaciones internacionales pertinentes. En tales casos, el organismo del sector público debe demostrar que los datos incluidos en el ámbito de la solicitud no podrían obtenerse de otro modo de manera oportuna y eficaz y en condiciones equivalentes, por ejemplo, mediante el suministro voluntario de datos por otra empresa o la consulta de una base de datos pública.

(65) También puede surgir una necesidad excepcional en situaciones en las que no existe emergencia alguna. En tales casos, un organismo del sector público, la Comisión, el Banco Central Europeo o un organismo de la Unión solo debe poder solicitar datos no personales. El organismo del sector público debe demostrar que los datos son necesarios para la realización de alguna tarea específica desempeñada en interés público que haya sido expresamente prevista por la ley, como la elaboración de estadísticas oficiales o la mitigación o recuperación de una emergencia pública. Además, dicha solicitud solo puede hacerse cuando el organismo del sector público, la Comisión, el Banco Central Europeo o un organismo de la Unión haya determinado unos datos específicos que de otro modo no podrían obtenerse de manera oportuna y efectiva y en condiciones equivalentes, y solo si ha agotado todos los demás medios a su disposición para obtener dichos datos, como la obtención de datos mediante acuerdos voluntarios, incluida la compraventa de datos no personales en el mercado mediante la oferta de tarifas de mercado, o el apoyo en las obligaciones existentes de poner datos a disposición o la adopción de nuevas medidas legislativas que puedan garantizar la disponibilidad oportuna de los datos. También deben aplicarse las condiciones y principios aplicables a las solicitudes, como las relacionadas con la limitación de la finalidad, la proporcionalidad, la transparencia y la limitación temporal. En los casos de solicitudes de datos necesarios para la elaboración de estadísticas oficiales, el organismo del sector público solicitante también debe demostrar si el Derecho nacional le permite comprar datos no personales en el mercado.

(66) El presente Reglamento no debe aplicarse ni prejuzgar los acuerdos voluntarios para el intercambio de datos entre entidades públicas y privadas, incluido el suministro de datos por parte de las pymes, y se entiende sin perjuicio de los actos jurídicos de la Unión que prevén solicitudes de información obligatorias de entidades públicas a entidades privadas. El presente Reglamento no debe afectar a las obligaciones impuestas a los titulares de datos de proporcionar datos con motivo de necesidades de carácter no excepcional, en particular, cuando se conozca la gama de datos y de titulares de datos o cuando la utilización de los datos pueda tener lugar periódicamente, como en el caso de las obligaciones de información y las obligaciones en el mercado interior. Los requisitos de acceso a los datos para verificar el cumplimiento de las normas aplicables, incluso en los casos en que los organismos del sector público asignen la tarea de verificación del cumplimiento a entidades que no sean organismos del sector público, tampoco deben verse afectados por el presente Reglamento.

(67) El presente Reglamento complementa y se entiende sin perjuicio del Derecho de la Unión y nacional que establezca el acceso a los datos y habilite la utilización de estos con fines estadísticos, en particular, el Reglamento (CE) nº223/2009 del Parlamento Europeo y del Consejo (27), así como los actos jurídicos nacionales relativos a las estadísticas oficiales.

(68) Para el ejercicio de sus funciones en los ámbitos de la prevención, la investigación, la detección o el enjuiciamiento de infracciones penales o administrativas, la ejecución de sanciones penales o administrativas, así como la recopilación de datos con fines fiscales o aduaneros, los organismos del sector público, la Comisión, el Banco Central Europeo o los organismos de la Unión deben basarse en sus competencias en virtud del Derecho de la Unión o nacional. Por consiguiente, el presente Reglamento no afecta a los actos legislativos relativos al intercambio, el acceso y la utilización de datos en dichos ámbitos.

(69) De conformidad con el artículo 6, apartados 1 y 3, del Reglamento (UE) 2016/679, al establecer la base jurídica es necesario un marco proporcionado, limitado y predecible a escala de la Unión para que, en caso de necesidades excepcionales, los titulares de datos pongan los datos a disposición de los organismos del sector público, la Comisión, el Banco Central Europeo o los organismos de la Unión, tanto para garantizar la seguridad jurídica como para minimizar las cargas administrativas que recaen sobre las empresas. A tal fin, las solicitudes de datos procedentes de organismos del sector público, la Comisión, el Banco Central Europeo u organismos de la Unión y destinadas a los titulares de datos deben ser específicas, transparentes y proporcionadas en el alcance de su contenido y su granularidad. La finalidad de la solicitud y la utilización prevista de los datos solicitados deben ser específicas y explicarse claramente, y permitir al mismo tiempo la flexibilidad necesaria para que la entidad solicitante desempeñe sus tareas específicas en aras del interés público. La solicitud también debe respetar los intereses legítimos del titular de datos al que se dirige. La carga para los titulares de datos debe reducirse al mínimo obligando a las entidades solicitantes a respetar el principio de «solo una vez», que impide que los mismos datos sean solicitados más de una vez por más de un organismo del sector público o la Comisión, el Banco Central Europeo o los organismos de la Unión. Para garantizar la transparencia, las solicitudes de datos presentadas por la Comisión, el Banco Central Europeo o los organismos de la Unión deben hacerse públicas sin demora indebida por la entidad que solicita los datos. El Banco Central Europeo y los organismos de la Unión deben informar a la Comisión de sus solicitudes. Si la solicitud de datos la presenta un organismo público, este también debe notificar al coordinador de datos del Estado miembro en el que esté establecido el organismo del sector público. Debe garantizarse la disponibilidad pública en línea de todas las solicitudes. Una vez recibida una notificación de solicitud de datos, la autoridad competente podrá decidir evaluar la legalidad de la solicitud y ejercer sus funciones en relación con el cumplimiento y la aplicación del presente Reglamento. El coordinador de datos debe garantizar la disponibilidad pública en línea de todas las solicitudes presentadas por organismos del sector público.

(70) El objetivo de la obligación de proporcionar los datos es garantizar que los organismos del sector público, la Comisión, el Banco Central Europeo o los organismos de la Unión tengan los conocimientos necesarios para responder a emergencias públicas, prevenirlas o recuperarse de ellas, o para mantener la capacidad de realizar tareas específicas expresamente previstas por la ley. Los datos obtenidos por dichas entidades pueden ser sensibles desde el punto de vista comercial. Por consiguiente, ni el Reglamento (UE) 2022/868 ni la Directiva (UE) 2019/1024 del Parlamento Europeo y del Consejo (28) deben aplicarse a los datos puestos a disposición en virtud del presente Reglamento, y no deben considerarse datos abiertos disponibles para su reutilización por terceros. No obstante, esto no debe afectar a la aplicabilidad de la Directiva (UE) 2019/1024 en lo que se refiere a la reutilización de las estadísticas oficiales para cuya elaboración se hayan utilizado datos obtenidos con arreglo al presente Reglamento, siempre que dicha reutilización no incluya los datos subyacentes. Además, siempre que se cumplan las condiciones establecidas en el presente Reglamento, no debe resultar afectada la posibilidad de compartir los datos para llevar a cabo investigaciones o para el desarrollo, la elaboración y la difusión de estadísticas oficiales. Los organismos del sector público también deben poder intercambiar los datos obtenidos en virtud del presente Reglamento con otros organismos del sector público, la Comisión, el Banco Central Europeo o los organismos de la Unión con el fin de hacer frente a las necesidades excepcionales para las que se han solicitado los datos.

(71) Los titulares de datos deben tener la posibilidad de denegar una solicitud presentada por un organismo del sector público, la Comisión, el Banco Central Europeo o un organismo de la Unión o pedir su modificación sin demora indebida y, en cualquier caso, en un plazo de cinco o treinta días hábiles, dependiendo del carácter de la necesidad excepcional invocada en la solicitud. Cuando proceda, el titular de datos debe tener esa posibilidad cuando no tenga control sobre los datos solicitados, es decir, cuando no tenga acceso inmediato a los datos y no pueda determinar su disponibilidad. Debe existir una razón válida para no poner los datos a disposición si puede demostrarse que la solicitud es similar a una solicitud presentada previamente con el mismo fin por otro organismo del sector público o la Comisión, el Banco Central Europeo o un organismo de la Unión y no se haya notificado al titular de los datos la supresión de estos con arreglo al presente Reglamento. El titular de datos que deniegue la solicitud o que pida su modificación debe comunicar la justificación subyacente al organismo del sector público, la Comisión, el Banco Central Europeo o el organismo de la Unión que solicite los datos. Cuando los derechos sui generis sobre bases de datos en virtud de la Directiva 96/9/CE del Parlamento Europeo y del Consejo (29) se apliquen en relación con los conjuntos de datos solicitados, los titulares de datos deben ejercer sus derechos de manera que no se impida al organismo del sector público, la Comisión, el Banco Central Europeo o un organismo de la Unión obtener los datos o intercambiarlos de conformidad con el presente Reglamento.

(72) Cuando se trate de una necesidad excepcional relacionada con una respuesta a emergencias públicas, los organismos del sector público deben utilizar datos no personales siempre que sea posible. En el caso de solicitudes basadas en una necesidad excepcional no relacionada con una emergencia pública, no pueden solicitarse datos personales. Cuando el alcance de la solicitud incluya datos personales, el titular de los datos debe anonimizarlos. Cuando sea estrictamente necesario incluir datos personales en los datos que deban ponerse a disposición de un organismo del sector público, la Comisión, el Banco Central Europeo o el organismo de la Unión, o cuando la anonimización resulte imposible, la entidad que solicite los datos debe demostrar la necesidad estricta y los fines específicos y limitados del tratamiento. Deben cumplirse las normas aplicables en materia de protección de datos personales. La puesta a disposición de los datos y su utilización posterior deben ir acompañadas de garantías para los derechos e intereses de las personas afectadas por dichos datos.

(73) Los datos puestos a disposición de los organismos del sector público, la Comisión, el Banco Central Europeo o los organismos de la Unión sobre la base de una necesidad excepcional deben utilizarse solo para los fines para los que se solicitaron, a menos que el titular de datos que los haya puesto a disposición haya consentido expresamente que los datos se utilicen para otros fines. Los datos deben suprimirse cuando ya no sean necesarios para los fines indicados en la solicitud, a menos que se acuerde de otro modo, y debe informarse al titular de datos al respecto. El presente Reglamento se basa en los regímenes de acceso existentes en la Unión y en los Estados miembros y no modifica las disposiciones de Derecho nacional en materia de acceso del público a los documentos en el contexto de las obligaciones de transparencia. Los datos deben suprimirse cuando ya no sean necesarios para cumplir dichas obligaciones de transparencia.

(74) Al reutilizar los datos proporcionados por los titulares de datos, los organismos del sector público, la Comisión, el Banco Central Europeo o los organismos de la Unión deben respetar tanto el vigente Derecho de la Unión o nacional aplicable, como las obligaciones contractuales a las que esté sujeto el titular de datos. Deben abstenerse de desarrollar o mejorar un producto conectado o servicio relacionado que compita con el producto conectado o servicio relacionado del titular de datos, así como de compartir los datos con un tercero para esos fines. Asimismo, deben dar reconocimiento público a los titulares de datos a petición de estos y deben ser responsables de mantener la seguridad de los datos recibidos. Cuando la revelación de secretos comerciales del titular de datos a organismos del sector público, la Comisión, el Banco Central Europeo o los organismos de la Unión sea estrictamente necesaria para cumplir el objetivo para el que se han solicitado los datos, debe garantizarse la confidencialidad de dicha revelación antes de la divulgación de datos.

(75) Cuando esté en juego la salvaguardia de un bien público significativo, como en la respuesta a emergencias públicas, no debe esperarse que el organismo del sector público, la Comisión, el Banco Central Europeo o el organismo de la Unión de que se trate compensen a las empresas por los datos obtenidos. Las emergencias públicas son acontecimientos inusuales y no todas requieren la utilización de datos que obran en propiedad de las empresas. Al mismo tiempo, la obligación de proporcionar datos podría suponer una carga considerable para las microempresas y las pequeñas empresas. Por lo tanto, deben poder reclamar una compensación incluso en el contexto de la respuesta a emergencias públicas. Por tanto, no es probable que las actividades empresariales de los titulares de datos se vean afectadas negativamente como consecuencia de que los organismos del sector público, la Comisión, el Banco Central Europeo o los organismos de la Unión puedan acudir al presente Reglamento. No obstante, en casos de necesidad excepcional distintos de los casos de respuesta a emergencias públicas, que pueden ser más frecuentes, los titulares de datos deben tener derecho a una compensación razonable que no debe superar los costes técnicos y de organización en que se incurra para satisfacer la solicitud y el margen razonable necesario para poner los datos a disposición del organismo del sector público, la Comisión, el Banco Central Europeo o el organismo de la Unión. La compensación no debe entenderse como un pago por los propios datos o como obligatoria. Los titulares de datos no deben poder reclamar una compensación cuando el Derecho nacional impida a los institutos nacionales de estadística u otras autoridades nacionales responsables de la elaboración de estadísticas compensar a los titulares de datos por la puesta a disposición de los datos. El organismo del sector público, la Comisión, el Banco Central Europeo o el organismo de la Unión de que se trate debe poder impugnar el nivel de compensación solicitado por el titular de datos sometiendo el asunto a la autoridad competente del Estado miembro en el que esté establecido el titular de datos.

(76) Los organismos del sector público, la Comisión, el Banco Central Europeo o los organismos de la Unión deben tener derecho a intercambiar los datos que hayan obtenido en virtud de la solicitud con otras entidades o personas cuando ello sea necesario para llevar a cabo actividades de investigación científica o actividades analíticas que no pueda realizar por sí mismo, siempre y cuando esas actividades sean compatibles con los fines para los que se solicitaron los datos. Debe informar oportunamente al titular de datos de dicho intercambio. Estos datos también pueden intercambiarse en las mismas circunstancias con los institutos nacionales de estadística y Eurostat para desarrollar, elaborar y difundir estadísticas oficiales. No obstante, estas actividades de investigación deben ser compatibles con la finalidad para la que se solicitaron los datos y el titular de datos debe ser informado del ulterior intercambio de los datos que ha proporcionado. Las personas físicas que lleven a cabo actividades de investigación o las organizaciones de investigación con las que puedan compartirse esos datos deben actuar sin ánimo de lucro o en el contexto de una misión de interés público reconocida por el Estado. Las organizaciones en las que las empresas comerciales tengan una influencia importante, que les permita ejercer un control debido a situaciones estructurales que podría dar lugar a un acceso preferente a los resultados de la investigación, no deben considerarse organizaciones de investigación a efectos del presente Reglamento.

(77) Para hacer frente a una emergencia pública transfronteriza u otra necesidad excepcional, las solicitudes de datos pueden dirigirse a titulares de datos en Estados miembros distintos del organismo del sector público solicitante. En tal caso, el organismo del sector público solicitante debe notificarlo a la autoridad competente del Estado miembro en el que esté establecido el titular de datos para que dicha autoridad pueda examinarla con arreglo a los criterios establecidos en el presente Reglamento. Lo mismo debe aplicarse a las solicitudes presentadas por la Comisión, el Banco Central Europeo o un organismo de la Unión. Cuando se soliciten datos personales, el organismo del sector público debe notificarlo a la autoridad de control responsable de supervisar la aplicación del Reglamento (UE) 2016/679 en el Estado miembro en el que esté establecido el organismo del sector público. La autoridad competente en cuestión debe estar facultada para asesorar al organismo del sector público, a la Comisión, al Banco Central Europeo o al organismo de la Unión para que cooperen con los organismos del sector público del Estado miembro en el que esté establecido el titular de datos en relación con la necesidad de garantizar una carga administrativa mínima para el titular de datos. Cuando la autoridad competente tenga objeciones fundadas respecto de la conformidad de la solicitud con el presente Reglamento, debe rechazar la solicitud del organismo del sector público, la Comisión, el Banco Central Europeo o el organismo de la Unión, que deben tener en cuenta dichas objeciones antes de iniciar cualquier acción adicional, incluido volver a presentar la solicitud.

(78) La capacidad de los clientes de servicios de tratamiento de datos, incluidos los servicios en la nube y en el borde, de cambiar de un servicio de tratamiento de datos a otro, manteniendo al mismo tiempo una funcionalidad mínima del servicio y sin interrupción del servicio, o de utilizar los servicios de varios proveedores simultáneamente sin trabas ni costes indebidos de transferencia de datos, es una condición clave para lograr un mercado más competitivo con menores barreras de entrada para los nuevos proveedores de servicios de tratamiento de datos, y para garantizar una mayor resiliencia para los usuarios de estos servicios. Los clientes que se beneficien de ofertas gratuitas también deben beneficiarse de las disposiciones sobre cambio que se establecen en el presente Reglamento, de modo que esas ofertas no den lugar a una situación de bloqueo para los clientes.

(79) El Reglamento (UE) 2018/1807 del Parlamento Europeo y del Consejo (30) anima a los proveedores de servicios de tratamiento de datos a que desarrollen y apliquen eficazmente códigos de conducta autorreguladores que incluyan las mejores prácticas para, entre otras cosas, facilitar el cambio de proveedor de servicios de tratamiento de datos y la transferencia de datos. Dada la limitada aceptación de los marcos autorreguladores desarrollados como respuesta y la falta general de disponibilidad de normas e interfaces abiertas, es necesario adoptar un conjunto de obligaciones legales mínimas para los proveedores de servicios de tratamiento de datos a fin de eliminar los obstáculos precomerciales, comerciales, técnicos, contractuales y organizativos, que no se limitan a reducir la velocidad de la transferencia de datos en la salida del cliente, lo que dificulta el cambio efectivo de servicios de tratamiento de datos.

(80) Los servicios de tratamiento de datos deben abarcar los servicios que permiten acceso de red ubicuo y bajo demanda a un conjunto compartido, configurable, modulable y elástico de recursos informáticos distribuidos. Esos recursos informáticos incluyen recursos tales como las redes, los servidores u otras infraestructuras virtuales o físicas, software, incluidas herramientas de desarrollo de software, almacenamiento, aplicaciones y servicios. La capacidad del cliente del servicio de tratamiento de datos de autoabastecerse unilateralmente de capacidades de computación, como, por ejemplo, tiempo de servidor o almacenamiento en red, sin ninguna interacción humana por parte del proveedor de servicios de tratamiento de datos podría describirse como que requiere un esfuerzo mínimo de gestión y conlleva una interacción mínima entre el proveedor y el cliente. El término «ubicuo» se utiliza para describir las capacidades de computación desplegadas en el conjunto de la red y a las que se accede a través de mecanismos que promueven el uso de plataformas de cliente ligero o pesado heterogéneas (desde navegadores a dispositivos móviles y estaciones de trabajo). El término «modulable» se refiere a los recursos de computación que el proveedor de servicios de tratamiento de datos puede asignar de manera flexible con independencia de la localización geográfica de los recursos para hacer frente a fluctuaciones de la demanda. El término «elástico» se usa para describir los recursos informáticos que se movilizan y liberan según la demanda, de modo que se puedan aumentar o reducir con rapidez los recursos disponibles en función de la carga de trabajo. La expresión «conjunto compartido» se usa para describir recursos informáticos que se proporcionan a múltiples usuarios que comparten un acceso común al servicio, pero en el que el procesamiento se lleva a cabo por separado para cada usuario, aunque el servicio se preste desde el mismo equipo electrónico. El término «distribuido» se emplea para describir los recursos informáticos que se encuentran ubicados en distintos ordenadores o dispositivos conectados en red y que se comunican y coordinan entre sí intercambiando mensajes. El término «muy distribuido» se emplea para describir servicios de tratamiento de datos que implican tratar los datos más cerca del punto en que los datos se generan o recogen, por ejemplo, en un dispositivo de tratamiento de datos conectado. Está previsto que la computación en el borde, que es un ejemplo de este tipo de tratamiento de datos muy distribuido, genere nuevos modelos de negocio y de prestación de servicios de computación en nube, que deben ser abiertos e interoperables desde el principio.

(81) El concepto genérico de «servicios de tratamiento de datos» abarca un número considerable de servicios con una gama muy amplia de fines, funcionalidades y estructuras técnicas diferentes. Como generalmente entienden los proveedores y usuarios, y en consonancia con unas normas ampliamente utilizadas, los servicios de tratamiento de datos entran en uno o varios de los tres modelos de prestación de servicios de tratamiento de datos siguientes, a saber, infraestructura como servicio (IaaS, por sus siglas en inglés), plataforma como servicio (PaaS, por sus siglas en inglés) y software como servicio (SaaS, por sus siglas en inglés). Estos modelos de prestación de servicios representan una combinación específica y preestablecida de recursos informáticos ofrecidos por un proveedor de servicios de tratamiento de datos. Esos tres modelos fundamentales de prestación de servicios de tratamiento de datos se complementan con variaciones emergentes, cada una de las cuales consta de una combinación distinta de recursos informáticos, como, por ejemplo, almacenamiento como servicio y base de datos como servicio. Los servicios de tratamiento de datos pueden clasificarse de un modo más detallado y dividirse en una lista no exhaustiva de conjuntos de servicios de tratamiento de datos que comparten el mismo objetivo principal y las mismas funcionalidades principales, así como el mismo tipo de modelos de tratamiento de datos, que no están relacionados con las características operativas del servicio (en lo sucesivo, «mismo tipo de servicio»). Los servicios incluidos en el mismo tipo de servicio pueden compartir el mismo modelo de prestación de servicio de tratamiento de datos; sin embargo, puede parecer que dos bases de datos comparten el mismo objetivo principal, pero, tras considerar su modelo de tratamiento de datos, su modelo de distribución y los casos de utilización a los que se dirigen, dichas bases de datos podrían entrar en una subcategoría más detallada de servicios similares. Los servicios del mismo tipo de servicio pueden tener características diferentes y competidoras, como el rendimiento, la seguridad, la resistencia y la calidad del servicio.

(82) Socavar la extracción de los datos exportables que pertenecen al cliente del proveedor de servicios de tratamiento de datos de origen puede impedir el restablecimiento de las funcionalidades del servicio en la infraestructura del proveedor de destino de los servicios de tratamiento de datos. Con el fin de facilitar la estrategia de salida del cliente, evitar tareas innecesarias y gravosas, y garantizar que el cliente no pierda ninguno de sus datos como consecuencia del proceso de cambio, el proveedor de servicios de tratamiento de datos de origen debe informar al cliente previamente del alcance de los datos que puede exportar una vez que el cliente decida cambiar a otro servicio prestado por un proveedor de servicios de tratamiento de datos diferente o a una infraestructura de TIC local. El alcance de los datos exportables debe incluir, como mínimo, los datos de entrada y salida, incluidos los metadatos, generados directa o indirectamente, o cogenerados por el uso del servicio de tratamiento de datos por el cliente, excluidos cualquier activo o dato del proveedor de servicios de tratamiento de datos o de un tercero. Los datos exportables deben excluir cualquier activo o dato del proveedor de servicios de tratamiento de datos o del tercero, que esté protegido por derechos de propiedad intelectual o constituya secreto comercial de dicho proveedor o tercero, o datos relacionados con la integridad y seguridad del servicio, cuya exportación exponga al proveedor de servicios de tratamiento de datos a vulnerabilidades de ciberseguridad. Estas exclusiones no deben impedir ni retrasar el proceso de cambio.

(83) Los activos digitales se refieren a elementos en forma digital para los que el cliente tiene derecho de uso, incluidas las aplicaciones y metadatos relacionados con la configuración de los ajustes, la seguridad y la gestión de los derechos de acceso y control, y otros elementos como las manifestaciones de tecnologías de virtualización, incluidas las máquinas y los contenedores virtuales. Los activos digitales pueden transferirse cuando el cliente tenga derecho de uso independiente de la relación contractual con el servicio de tratamiento de datos del que se propone cambiar. Esos otros elementos son esenciales para la utilización eficaz de los datos y aplicaciones del cliente en el entorno del proveedor de servicios de tratamiento de datos de destino.

(84) El objetivo del presente Reglamento es facilitar el cambio de servicios de tratamiento de datos, que englobe las condiciones y acciones que son necesarias para que un cliente resuelva unilateralmente un contrato de servicio de tratamiento de datos, celebre uno o varios contratos nuevos con diferentes proveedores de servicios de tratamiento de datos y transmita sus datos exportables y activos digitales, y, en su caso, el beneficio de la equivalencia funcional.

(85) El proceso de cambio es una operación impulsada por el cliente que consta de varias fases, incluida la extracción de datos, relativo a la descarga de datos desde el ecosistema del proveedor de servicios de tratamiento de datos de origen; la transformación, cuando los datos se estructuran de modo que no se ajustan al esquema de la ubicación de destino; y la carga de los datos en una nueva ubicación de destino. En una situación específica descrita en el presente Reglamento, la desagregación de un servicio concreto del contrato y su traslado a un proveedor diferente también debe considerarse un cambio. En ocasiones, una entidad tercera gestiona el proceso de cambio en nombre del cliente. En consecuencia, debe entenderse que todos los derechos y obligaciones del cliente establecidos por el presente Reglamento, incluida la obligación de cooperar de buena fe, se aplican a dicha entidad tercera en estas circunstancias. Los proveedores de servicios de tratamiento de datos y los clientes tienen distintos niveles de responsabilidad, en función de las fases del proceso mencionado. Por ejemplo, el proveedor de servicios de tratamiento de datos de origen es responsable de extraer los datos a un formato de lectura mecánica, pero son el cliente y el proveedor de servicios de tratamiento de datos de destino quienes deben cargar los datos en el nuevo entorno, a menos que se haya obtenido un servicio profesional de transición específico. Un cliente que tenga la intención de ejercer los derechos relacionados con el cambio, previstos en el presente Reglamento, debe informar al proveedor de servicios de tratamiento de datos de origen de la decisión de cambiar a un proveedor de servicios de tratamiento de datos diferente, de cambiar a una infraestructura de TIC local o de suprimir los activos y los datos exportables de dicho cliente.

(86) Por equivalencia funcional se entiende restablecer, sobre la base de los datos exportables y los activos digitales del cliente, un nivel mínimo de funcionalidad en el entorno de un nuevo servicio de tratamiento de datos del mismo tipo de servicio después del cambio, cuando el servicio de tratamiento de datos de destino ofrezca un resultado materialmente comparable en respuesta a la misma entrada para características compartidas suministrada al cliente en virtud del contrato. Solo cabe esperar que los proveedores de servicios de tratamiento de datos faciliten la equivalencia funcional de las características que los servicios de tratamiento de datos de origen y de destino ofrecen de forma independiente. El presente Reglamento no constituye una obligación de facilitar la equivalencia funcional para los proveedores de servicios de tratamiento de datos distintos de los que ofrecen servicios del modelo de prestación IaaS.

(87) Los servicios de tratamiento de datos se utilizan en todos los sectores y varían en cuanto a complejidad y tipo de servicio. Esta es una consideración importante con respecto al proceso y a los plazos de transferencia. No obstante, debe poder aplicarse una prórroga del período transitorio por motivos de inviabilidad técnica para permitir la finalización del proceso de cambio en el plazo establecido solo en casos debidamente justificados. La carga de la prueba a este respecto debe recaer plenamente en el proveedor del servicio de tratamiento de datos de que se trate. Esto se entiende sin perjuicio del derecho exclusivo del cliente a prorrogar el período transitorio una vez por un período que el cliente considere más adecuado para sus propios fines. El cliente puede invocar ese derecho a una prórroga antes del período transitorio o durante este, teniendo en cuenta que el contrato sigue siendo aplicable durante el período transitorio.

(88) Los costes por cambio son costes añadidos que exigen los proveedores de tratamiento de datos a sus clientes por el proceso de cambio. Normalmente, estos costes tienen como fin repercutir en el cliente que desee efectuar un cambio los costes en los que pueda incurrir el proveedor de servicios de tratamiento de datos de origen debido al proceso de cambio. Entre los costes por cambio se encuentran los costes relativos al tránsito de los datos de un proveedor de servicios de tratamiento de datos a otro, o hacia un sistema de infraestructura de TIC local (en lo sucesivo, «costes de salida de datos»), o los costes incurridos en acciones de apoyo específicas durante el proceso de cambio. Los costes de salida de datos innecesariamente elevados y otros costes injustificados que no estén relacionados con los costes reales del cambio disuaden a los clientes de cambiar, restringen la libre circulación de datos y pueden limitar la competencia y provocar efectos de bloqueo para los clientes, reduciendo los incentivos para elegir un proveedor de servicios diferente o adicional. Por lo tanto, deben suprimirse los costes por cambio tres años después de la fecha de entrada en vigor del presente Reglamento. Los proveedores de servicios de tratamiento de datos deben poder imponer costes por cambio reducidos hasta esa fecha.

(89) El proveedor de servicios de tratamiento de datos de origen debe poder externalizar determinadas tareas y compensar a entidades terceras con el fin de cumplir las obligaciones establecidas en el presente Reglamento. Un cliente no debe asumir los costes derivados de la externalización de servicios contratada por el proveedor de servicios de tratamiento de datos de origen durante el proceso de cambio, y dichos costes deben considerarse injustificados, a menos que cubran el trabajo realizado por el proveedor de servicios de tratamiento de datos, a petición del cliente, de apoyo adicional en el proceso de cambio que vayan más allá de las obligaciones que el presente Reglamento impone expresamente al proveedor en razón de un cambio. Nada de lo dispuesto en el presente Reglamento impide que un cliente compense a entidades terceras por el apoyo en el proceso de migración, ni que las partes acuerden contratos para servicios de tratamiento de datos de duración determinada, incluidas sanciones proporcionadas por resolución anticipada para cubrir la resolución unilateral anticipada de dichos contratos, de conformidad con el Derecho de la Unión o nacional. Para fomentar la competencia, la supresión gradual de los costes asociados al cambio entre distintos proveedores de servicio de tratamiento de datos debe incluir específicamente los costes de salida de datos impuestos por un proveedor de servicios de tratamiento de datos a un cliente. Los costes estándar del servicio por la prestación de los servicios de tratamiento de datos en sí mismos no constituyen costes por cambio. Esos costes estándar del servicio no pueden ser suprimidos y siguen siendo aplicables hasta que deje de aplicarse el contrato de prestación de los servicios pertinentes. El presente Reglamento permite al cliente solicitar la prestación de servicios adicionales que vayan más allá de las obligaciones que el presente Reglamento impone al proveedor en razón de un cambio. Esos servicios adicionales pueden ser prestados y facturados por el proveedor cuando se presten a petición del cliente y este acepte por adelantado el precio de dichos servicios.

(90) Hace falta un enfoque regulador para la interoperabilidad que sea ambicioso y que inspire la innovación para superar la dependencia de un solo proveedor, que obstaculiza la competencia y el desarrollo de nuevos servicios. La interoperabilidad entre servicios de tratamiento de datos implica múltiples interfaces y niveles de infraestructuras y programas informáticos, y rara vez se limita a una prueba binaria de si se puede lograr o no. Por el contrario, la construcción de dicha interoperabilidad está sujeta a un análisis de costes y beneficios que es necesario para determinar si vale la pena perseguir resultados razonablemente previsibles. La norma ISO/IEC 19941:2017 es una importante norma internacional que constituye una referencia importante para la consecución de los objetivos del presente Reglamento, ya que contiene consideraciones técnicas que aclaran la complejidad de dicho proceso.

(91) Cuando los proveedores de servicios de tratamiento de datos sean a su vez clientes de servicios de tratamiento de datos prestados por un tercer proveedor, ellos mismos se beneficiarán de cambios más efectivos, aunque sigan vinculados por las obligaciones del presente Reglamento en lo relativo a sus propias ofertas de servicios.

(92) Los proveedores de servicios de tratamiento de datos deben estar obligados a ofrecer toda la asistencia y el apoyo, dentro de su capacidad y en proporción a sus respectivas obligaciones, que se requiere para que el proceso de cambio a un servicio de otro proveedor de servicios de tratamiento de datos sea satisfactorio, eficaz y seguro. El presente Reglamento no exige a los proveedores de servicios de tratamiento de datos que desarrollen nuevas categorías de servicios de tratamiento de datos, tampoco en el marco o sobre la base de la infraestructura informática de diferentes proveedores de servicios de tratamiento de datos con objeto de garantizar la equivalencia funcional en un entorno distinto del de sus propios sistemas. Un proveedor de servicios de tratamiento de datos de origen no tiene acceso ni información sobre el entorno del proveedor de servicios de tratamiento de datos de destino. No debe entenderse que la equivalencia funcional obliga al proveedor de servicios de tratamiento de datos de origen a reconstruir el servicio en cuestión dentro de la infraestructura del proveedor de servicios de tratamiento de datos de destino. En cambio, el proveedor de servicios de tratamiento de datos de origen debe adoptar todas las medidas razonables a su alcance para facilitar el proceso de lograr la equivalencia funcional proporcionando capacidades, información adecuada, documentación, apoyo técnico y, en su caso, las herramientas necesarias.

(93) También debe exigirse a los proveedores de servicios de tratamiento de datos que eliminen los obstáculos existentes y no impongan otros nuevos, también para los clientes que deseen cambiar a una infraestructura de TIC local. Los obstáculos pueden ser, entre otros, de carácter precomercial, comercial, técnico, contractual u organizativo. Los proveedores de servicios de tratamiento de datos también deben estar obligados a eliminar los obstáculos a la desagregación de un servicio concreto de otros servicios de tratamiento de datos prestados en virtud de un contrato y a poner el servicio pertinente a disposición para el cambio, cuando no existan obstáculos técnicos importantes y demostrados que impidan dicha separación.

(94) A lo largo de todo el proceso de cambio debe mantenerse un alto nivel de seguridad. Esto significa que el proveedor de servicios de tratamiento de datos de origen debe ampliar el nivel de seguridad al que se comprometió para el servicio a todas las modalidades técnicas de las que dicho proveedor es responsable durante el proceso de cambio, como las conexiones de red o los dispositivos físicos. Los derechos existentes en relación con la resolución unilateral de los contratos, incluidos los introducidos por el Reglamento (UE) 2016/679 y la Directiva (UE) 2019/770 del Parlamento Europeo y del Consejo (31) no deben verse afectados. El presente Reglamento no debe entenderse como que impide a los proveedores de servicios de tratamiento de datos prestar o proporcionar a sus clientes servicios, características y funcionalidades nuevos y mejorados o competir con otros proveedores de servicios de tratamiento de datos sobre esa base.

(95) La información que han de proporcionar los proveedores de servicios de tratamiento de datos a los clientes podría apoyar la estrategia de salida del cliente. Dicha información debe incluir procedimientos para iniciar el cambio del servicio de tratamiento de datos; los formatos de datos de lectura mecánica a los que pueden exportarse los datos del usuario; las herramientas destinadas a exportar datos, incluidas las interfaces abiertas, así como la información sobre compatibilidad con normas armonizadas o especificaciones comunes basadas en especificaciones de interoperabilidad abierta; información sobre las restricciones y limitaciones técnicas conocidas que podrían afectar al proceso de cambio; y el tiempo estimado necesario para completar el proceso de cambio.

(96) Para facilitar la interoperabilidad y el cambio entre servicios de tratamiento de datos, los usuarios y proveedores de servicios de tratamiento de datos deben considerar el uso de herramientas de ejecución y cumplimiento, en particular las publicadas por la Comisión en forma de un código normativo de la UE sobre computación en la nube y unas directrices sobre contratación pública de servicios de tratamiento de datos. En particular, las cláusulas contractuales estándar son beneficiosas porque incrementan la confianza en los servicios de tratamiento de datos, crean una relación más equilibrada entre usuarios y proveedores de servicios de tratamiento de datos y mejoran la seguridad jurídica sobre las condiciones aplicables para el cambio a otros servicios de tratamiento de datos. En ese contexto, los usuarios y proveedores de servicios de tratamiento de datos deben considerar el uso de cláusulas contractuales estándar u otras herramientas autorreguladoras de cumplimiento, siempre que cumplan el presente Reglamento, desarrolladas por los organismos o grupos de expertos pertinentes establecidos en virtud del Derecho de la Unión.

(97) Con el fin de facilitar el cambio entre servicios de tratamiento de datos, todas las partes implicadas, incluidos los proveedores de servicios de tratamiento de datos, tanto de origen como de destino, deben cooperar de buena fe para que el proceso de cambio se haga efectivo, permitir la transferencia segura y oportuna de los datos necesarios en un formato de utilización habitual, de lectura mecánica y mediante interfaces abiertas, al mismo tiempo que se evitan perturbaciones del servicio y se mantiene la continuidad del servicio.

(98) Los servicios de tratamiento de datos que se refieran a servicios la mayor parte de cuyas características principales se hayan desarrollado a medida para responder a las demandas específicas de un cliente concreto o en los que todos los componentes se hayan desarrollado a efectos de un cliente individual deben quedar exentos de algunas de las obligaciones aplicables al cambio de servicio de tratamiento de datos. Esto no debe incluir los servicios que el proveedor de servicios de tratamiento de datos ofrece a gran escala comercial a través de su catálogo de servicios. Una de las obligaciones del proveedor de servicios de tratamiento de datos es informar debidamente a los posibles clientes de tales servicios, antes de la celebración de un contrato, de las obligaciones establecidas en el presente Reglamento que no se aplican a los servicios pertinentes. Nada impide al proveedor de servicios de tratamiento de datos desplegar finalmente dichos servicios a escala, en cuyo caso dicho proveedor tendría que cumplir todas las obligaciones ligadas al cambio establecidas en el presente Reglamento.

(99) En consonancia con el requisito mínimo de permitir el cambio de proveedor de servicios de tratamiento de datos, el presente Reglamento también tiene por objeto mejorar la interoperabilidad para el uso paralelo de múltiples servicios de tratamiento de datos con funcionalidades complementarias. Esto se refiere a situaciones en las que los clientes no ponen fin a un contrato para cambiar a otro proveedor de servicios de tratamiento de datos, sino en las que múltiples servicios de distintos proveedores se utilizan en paralelo, de manera interoperable, para beneficiarse de las funcionalidades complementarias de los diferentes servicios en la configuración del sistema del cliente. Sin embargo, se reconoce que la salida de datos de un proveedor de servicios de tratamiento de datos a otro para facilitar el uso paralelo de los servicios puede ser una actividad continua, a diferencia de la salida puntual requerida como parte del proceso de cambio. Por lo tanto, los proveedores de servicios de tratamiento de datos deben poder seguir cobrando por la salida de datos, sin superar los costes incurridos, para fines de uso paralelo tres años después de la fecha de entrada en vigor del presente Reglamento. Esto es importante, entre otras cosas, para el despliegue eficaz de estrategias multinube, que permiten a los clientes aplicar estrategias informáticas preparadas para el futuro y reducen la dependencia de proveedores concretos de servicios de tratamiento de datos. Facilitar un enfoque multinube para los clientes de servicios de tratamiento de datos también contribuye a aumentar su resiliencia operativa digital, tal como se reconoce para las entidades de servicios financieros en el Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo (32).

(100) Se espera que las especificaciones y normas de interoperabilidad abiertas desarrolladas de conformidad con el anexo II del Reglamento (UE) nº1025/2012 del Parlamento Europeo y del Consejo (33) en el ámbito de la interoperabilidad y la portabilidad permitan un entorno en la nube multiproveedor, que constituye un requisito clave para la innovación abierta en la economía de los datos europea. Dado que la adopción por el mercado de las normas definidas en el marco de la iniciativa de coordinación de la normalización en la nube (CSC), concluida en 2016, ha sido limitada, también es necesario que la Comisión confíe en las partes del mercado para desarrollar las especificaciones de interoperabilidad abiertas pertinentes a fin de seguir el rápido ritmo del desarrollo tecnológico en este sector. La Comisión puede adoptar entonces estas especificaciones de interoperabilidad abiertas en forma de especificaciones comunes. Además, cuando los procesos centrados en el mercado no hayan demostrado una capacidad de establecer especificaciones comunes o normas que faciliten la interoperabilidad efectiva en la nube en los niveles PaaS y SaaS, la Comisión debe poder pedir a los organismos europeos de normalización, sobre la base del presente Reglamento y de conformidad con el Reglamento (UE) nº1025/2012, que elaboren dichas normas para los tipos específicos de servicios para los que aún no existen tales normas. Además de ello, la Comisión va a animar a los actores del mercado a desarrollar las especificaciones de interoperabilidad abiertas pertinentes. Después de consultar a las partes interesadas, la Comisión, mediante actos de ejecución, debe poder hacer obligatorio el uso de normas armonizadas de interoperabilidad o especificaciones comunes para tipos de servicios específicos a través de una referencia en un repositorio central de la Unión de normas para la interoperabilidad de los servicios de tratamiento de datos. Los proveedores de servicios de tratamiento de datos deben garantizar la compatibilidad con dichas normas armonizadas y especificaciones comunes basadas en especificaciones de interoperabilidad abiertas, que no deben afectar negativamente a la seguridad ni a la integridad de los datos. Las normas armonizadas de interoperabilidad de los servicios de tratamiento de datos y las especificaciones comunes basadas en especificaciones de interoperabilidad abiertas tendrán su referencia solo si cumplen los criterios especificados en el presente Reglamento, que tienen el mismo significado que los requisitos del anexo II del Reglamento (UE) nº1025/2012 y las facetas de interoperabilidad definidas en la norma internacional ISO/IEC 19941:2017. Además, la normalización debe tener en cuenta las necesidades de las pymes.

(101) Los terceros países pueden adoptar leyes, reglamentaciones y otros actos jurídicos que tengan por objeto transferir directamente o proporcionar el acceso de las administraciones públicas a datos no personales que se encuentran fuera de sus fronteras, también en la Unión. Las sentencias de órganos jurisdiccionales o las decisiones de autoridades judiciales o administrativas de terceros países, incluidas autoridades policiales de terceros países, que requieran dicha transferencia de datos no personales o el acceso a estos deben tener fuerza legal al amparo de un acuerdo internacional, como un tratado de asistencia judicial mutua, en vigor entre el tercer país solicitante y la Unión o un Estado miembro. En otros casos, pueden darse situaciones en las que una solicitud de transferir o dar acceso a datos no personales derivada del Derecho de un tercer país entre en conflicto con una obligación de proteger dichos datos en virtud del Derecho de la Unión o del Derecho nacional del Estado miembro que corresponda, en particular, en lo que se refiere a la protección de los derechos fundamentales de la persona, como el derecho a la seguridad y el derecho a la tutela judicial efectiva, o los intereses fundamentales de un Estado miembro relacionados con la seguridad o la defensa nacionales, así como la protección de los datos sensibles desde el punto de vista comercial, incluida la protección de los secretos comerciales, y la protección de los derechos de propiedad intelectual e industrial, incluidos sus compromisos contractuales en materia de confidencialidad conforme a dicho Derecho. Cuando no existan acuerdos internacionales que regulen estas cuestiones, la transferencia o el acceso a datos no personales han de permitirse solo si se ha verificado que el ordenamiento jurídico del tercer país exige que se establezcan los motivos y la proporcionalidad de la decisión, que la resolución judicial o la decisión revista un carácter específico y que la oposición motivada del destinatario esté sujeta a examen por un órgano jurisdiccional competente del tercer país, facultado para tomar debidamente en cuenta los intereses jurídicos pertinentes del proveedor de dichos datos. Cuando sea posible con arreglo a las condiciones de la solicitud de acceso a los datos de la autoridad del tercer país, el proveedor de servicios de tratamiento de datos debe poder informar al cliente cuyos datos se solicitan antes de conceder acceso a dichos datos a fin de verificar la existencia de un conflicto potencial de dicho acceso con el Derecho de la Unión o nacional, como el relativo a la protección de datos sensibles desde el punto de vista comercial, incluida la protección de los secretos comerciales, los derechos de propiedad intelectual e industrial y los compromisos contractuales en materia de confidencialidad.

(102) Para impulsar la confianza en los datos es esencial que las salvaguardas para garantizar a los ciudadanos, los organismos del sector público y las empresas de la Unión el control de sus datos se apliquen en la medida de lo posible. Además, deben respetarse el Derecho, los valores y las normas de la Unión en cuanto a la seguridad, la protección de los datos y de la privacidad, y la protección de los consumidores, entre otros aspectos. Con el fin de evitar el acceso ilícito de las administraciones públicas a datos no personales por parte de las autoridades de terceros países, los proveedores de servicios de tratamiento de datos sujetos al presente Reglamento, como los servicios en la nube y en el borde, deben adoptar todas las medidas razonables para impedir el acceso a los sistemas en los que se almacenen datos no personales, incluso, cuando proceda, mediante el cifrado de datos, el sometimiento frecuente a auditorías, el respeto verificado de los pertinentes sistemas de certificación de garantías de seguridad y la modificación de las políticas de empresa.

(103) La normalización y la interoperabilidad semántica deben desempeñar un papel clave para proporcionar soluciones técnicas que garanticen la interoperabilidad dentro de los espacios comunes europeos de datos, y entre ellos, que son marcos interoperables de normas y prácticas comunes, específicos para un fin o un sector o intersectoriales, con el fin de compartir o tratar conjuntamente los datos para, entre otros, el desarrollo de nuevos productos y servicios, la investigación científica o las iniciativas de la sociedad civil. El presente Reglamento establece determinados requisitos esenciales de interoperabilidad. Los participantes en espacios de datos que ofrezcan datos o servicios basados en datos a otros participantes, que son entidades que facilitan o participan en el intercambio de datos dentro de espacios comunes europeos de datos, incluidos los titulares de datos, deben cumplir esos requisitos en lo que respecta a los elementos que estén bajo su control. El cumplimiento de esas normas se puede garantizar mediante el cumplimiento de los requisitos esenciales establecidos en el presente Reglamento o presuponer mediante el cumplimiento de normas armonizadas o especificaciones comunes a través de una presunción de conformidad. A fin de facilitar la conformidad con los requisitos para la interoperabilidad es necesario establecer una presunción de conformidad para soluciones de interoperabilidad que cumplan las normas armonizadas o partes de estas de conformidad con el Reglamento (UE) nº1025/2012, que representa el marco por defecto para elaborar normas que prevean tales presunciones. La Comisión debe evaluar los obstáculos a la interoperabilidad y dar prioridad a las necesidades de normalización, sobre cuya base puede solicitar a una o varias organizaciones europeas de normalización, de conformidad con el Reglamento (UE) nº1025/2012, que elaboren normas armonizadas que satisfagan los requisitos esenciales establecidos en el presente Reglamento. Cuando dichas solicitudes no den lugar a normas armonizadas o dichas normas armonizadas sean insuficientes para garantizar la conformidad con los requisitos esenciales del presente Reglamento, la Comisión debe poder adoptar especificaciones comunes en esos ámbitos, siempre que al hacerlo respete debidamente el papel y las funciones de las organizaciones de normalización. La adopción de especificaciones comunes debe tener lugar únicamente como solución alternativa excepcional para facilitar el cumplimiento de los requisitos esenciales del presente Reglamento o cuando el proceso de normalización esté bloqueado o cuando se produzcan retrasos en el establecimiento de normas armonizadas adecuadas. Cuando dichos retrasos se deban a la complejidad técnica de la norma en cuestión, la Comisión debe tenerlo en cuenta antes de considerar la posibilidad de establecer especificaciones comunes. Las especificaciones comunes se deben elaborar de manera abierta e inclusiva y se debe tener en cuenta, cuando proceda, el asesoramiento del Comité Europeo de Innovación en materia de Datos (CEID) establecido por el Reglamento (UE) 2022/868. Por otra parte, se podrían adoptar especificaciones comunes en distintos sectores, de conformidad con el Derecho de la Unión o nacional, sobre la base de las necesidades específicas de dichos sectores. Además, la Comisión debe estar facultada para hacer obligatorio el desarrollo de normas armonizadas para la interoperabilidad de los servicios de tratamiento de datos.

(104) A fin de promover la interoperabilidad de las herramientas para la ejecución automatizada de los acuerdos de intercambio de datos, es necesario establecer requisitos esenciales para los contratos inteligentes que los profesionales creen para terceros o que se integren en aplicaciones que apoyen la ejecución de acuerdos para el intercambio de datos. A fin de facilitar la conformidad de ese tipo de contratos inteligentes con dichos requisitos esenciales, es necesario establecer una presunción de conformidad de los contratos inteligentes que cumplan las normas armonizadas o partes de estas de conformidad con el Reglamento (UE) nº1025/2012. El concepto de «contrato inteligente» en el presente Reglamento es tecnológicamente neutro. Los contratos inteligentes, por ejemplo, pueden estar conectados a un libro mayor electrónico. Los requisitos esenciales deben aplicarse únicamente a los proveedores de contratos inteligentes, exceptuando cuando desarrollen contratos inteligentes internamente exclusivamente para uso interno. El requisito esencial de garantizar que los contratos inteligentes se puedan interrumpir y resolver unilateralmente implica el consentimiento mutuo de las partes en el acuerdo de intercambio de datos. La aplicabilidad de las normas pertinentes de la normativa civil, contractual y de protección de los consumidores a los acuerdos de intercambio de datos sigue o debe seguir sin verse afectada por el uso de contratos inteligentes para la ejecución automatizada de tales acuerdos.

(105) Para demostrar el cumplimiento de los requisitos esenciales del presente Reglamento, el proveedor de un contrato inteligente o, en su defecto, la persona cuya actividad comercial, empresarial o profesional implique el despliegue de contratos inteligentes para terceros en el contexto de la ejecución total o parcial de un acuerdo de puesta a disposición de datos en el contexto del presente Reglamento, debe realizar una evaluación de conformidad y expedir una declaración UE de conformidad. Dicha evaluación de conformidad debe estar sujeta a los principios generales establecidos en el Reglamento (CE) nº765/2008 del Parlamento Europeo y del Consejo (34) y en la Decisión nº768/2008/CE del Parlamento Europeo y del Consejo (35).

(106) Además de obligar a los desarrolladores profesionales de contratos inteligentes a cumplir los requisitos esenciales, también es importante animar a aquellos participantes dentro de espacios de datos que ofrezcan datos o servicios basados en datos a otros participantes dentro de los espacios comunes europeos de datos, y a través de ellos, a apoyar la interoperabilidad de las herramientas para el intercambio de datos, incluidos los contratos inteligentes.

(107) A fin de garantizar la aplicación e implementación del presente Reglamento, los Estados miembros deben designar una o más autoridades competentes. Si un Estado miembro designa más de una autoridad competente, debe designar también, a un coordinador de datos entre ellas. Es preciso que las autoridades competentes cooperen entre sí. Mediante el ejercicio de sus poderes de investigación de conformidad con los procedimientos nacionales aplicables, las autoridades competentes deben poder buscar y obtener información, en particular, en relación con las actividades de entidades dentro de sus competencias y, también en el contexto de investigaciones conjuntas, teniendo debidamente en cuenta que las medidas de supervisión y ejecución relativas a una entidad bajo la competencia de otro Estado miembro deben ser adoptadas por la autoridad competente de ese otro Estado miembro, cuando proceda, de conformidad con los procedimientos relativos a la cooperación transfronteriza. Las autoridades competentes deben prestarse asistencia mutua y oportuna, en particular cuando una autoridad competente de un Estado miembro posea información pertinente para una investigación llevada a cabo por las autoridades competentes en otros Estados miembros, o pueda recopilar dicha información a la que las autoridades competentes del Estado miembro en el que esté establecida la entidad no tengan acceso. Las autoridades competentes y los coordinadores de datos deben identificarse en el registro público llevado por la Comisión. El coordinador de datos podría ser un medio adicional para facilitar la cooperación en situaciones transfronterizas, como cuando una autoridad competente de un Estado miembro determinado no sepa a qué autoridad debe dirigirse en el Estado miembro del coordinador de datos, por ejemplo, cuando el caso esté relacionado con más de una autoridad competente o sector. El coordinador de datos debe actuar, entre otras cosas, como punto de contacto único para todas las cuestiones relacionadas con la aplicación del presente Reglamento. Cuando no se haya designado un coordinador de datos, la autoridad competente debe asumir las tareas asignadas al coordinador de datos en virtud del presente Reglamento. Las autoridades responsables de la supervisión del cumplimiento de la normativa en materia de protección de datos y las autoridades competentes designadas con arreglo al Derecho de la Unión o nacional deben ser responsables de la aplicación del presente Reglamento en sus ámbitos de competencia. A fin de evitar conflictos de intereses, las autoridades competentes responsables de la aplicación y ejecución del presente Reglamento en el ámbito de la puesta a disposición de datos a raíz de una solicitud sobre la base de una necesidad excepcional no deben beneficiarse del derecho a presentar dicha solicitud.

(108) A fin de hacer valer sus derechos en virtud del presente Reglamento, las personas físicas y jurídicas deben tener derecho a solicitar reparación por la vulneración de sus derechos en virtud del presente Reglamento presentando reclamaciones. El coordinador de datos debe proporcionar, cuando se le solicite, toda la información necesaria a las personas físicas y jurídicas para la presentación de sus denuncias ante la correspondiente autoridad competente. Dichas autoridades deben ser obligadas a cooperar para garantizar que una denuncia se gestione y resuelva adecuadamente, de manera efectiva y en tiempo oportuno. A fin de aprovechar el mecanismo de la red de cooperación en materia de protección de los consumidores y facilitar las acciones de representación, el presente Reglamento modifica los anexos del Reglamento (UE) 2017/2394 del Parlamento Europeo y del Consejo (36) y de la Directiva (UE) 2020/1828 del Parlamento Europeo y del Consejo (37).

(109) Las autoridades competentes deben garantizar que el incumplimiento de las obligaciones establecidas en el presente Reglamento esté sujeto a sanciones. Dichas sanciones podrían consistir en sanciones económicas, advertencias, amonestaciones u órdenes para que las prácticas comerciales se ajusten a las obligaciones impuestas por el presente Reglamento. Las sanciones establecidas por los Estados miembros deben ser efectivas, proporcionadas y disuasorias, y deben tener en cuenta las recomendaciones del CEID, contribuyendo así a lograr el mayor nivel posible de coherencia en el establecimiento y la aplicación de sanciones. Cuando proceda, las autoridades competentes deben recurrir a medidas provisionales para limitar los efectos de una supuesta infracción mientras la investigación de dicha infracción esté en curso. Al hacerlo, deben tener en cuenta, entre otros factores, la naturaleza, gravedad, magnitud y duración de la infracción, atendiendo al interés público en juego, el alcance y el tipo de actividades realizadas, así como la capacidad económica del infractor. También deben tener en cuenta si la parte infractora incumple sistemática o repetidamente las obligaciones que le incumben en virtud del presente Reglamento. A fin de garantizar el respeto del principio non bis in idem y, en particular, evitar que la misma infracción de las obligaciones establecidas en el presente Reglamento se sancione más de una vez, el Estado miembro que tenga la intención de ejercer su competencia en relación con una parte infractora que no esté establecida en la Unión ni tenga en ella un representante legal debe informar, sin demora indebida, a todos los coordinadores de datos, así como a la Comisión.

(110) El CEID debe asesorar y prestar asistencia a la Comisión en la coordinación de las prácticas y políticas nacionales sobre los temas contemplados por el presente Reglamento, así como en la consecución de sus objetivos en relación con la normalización técnica para mejorar la interoperabilidad. También debe desempeñar un papel clave a la hora de facilitar debates exhaustivos entre las autoridades competentes sobre la aplicación y control del cumplimiento del presente Reglamento. Ese intercambio de información tiene por objeto aumentar el acceso efectivo a la justicia, así como la ejecución y cooperación judicial en toda la Unión. Entre otras funciones, las autoridades competentes deben recurrir al CEID como plataforma para evaluar, coordinar y adoptar recomendaciones sobre el establecimiento de sanciones por infracciones del presente Reglamento. Dicho Comité debe permitir a las autoridades competentes, con la ayuda de la Comisión, a coordinar el enfoque óptimo para determinar e imponer dichas sanciones. Ese enfoque evita la fragmentación, dejando al mismo tiempo flexibilidad a los Estados miembros, y debe dar lugar a recomendaciones eficaces que respalden la aplicación coherente del presente Reglamento. El CEID también debe desempeñar un papel consultivo en los procesos de normalización y en la adopción de especificaciones comunes mediante actos de ejecución, en la adopción de actos delegados para establecer un mecanismo de seguimiento de los costes por cambio impuestos por los proveedores de servicios de tratamiento de datos y para especificar en mayor medida los requisitos esenciales para la interoperabilidad de los datos, de los mecanismos y servicios de intercambio de datos, así como de los espacios comunes europeos de datos. También debe asesorar y prestar asistencia a la Comisión en la adopción de las directrices que establecen especificaciones de interoperabilidad para el funcionamiento de los espacios comunes europeos de datos.

(111) Con el fin de ayudar a las empresas a redactar y negociar contratos, la Comisión debe desarrollar y recomendar cláusulas contractuales tipo no vinculantes para los contratos de intercambio de datos entre empresas, teniendo en cuenta, en su caso, las condiciones de sectores específicos y las prácticas existentes con mecanismos voluntarios de intercambio de datos. Esas cláusulas contractuales tipo serán principalmente una herramienta práctica para ayudar en particular a las pymes a celebrar un contrato. Cuando se utilicen de forma generalizada e integral, esas cláusulas contractuales tipo también deben tener el efecto beneficioso de influir en el diseño de los contratos sobre el acceso y la utilización de datos y, por tanto, deben conducir en general a unas relaciones contractuales más justas a la hora de acceder a los datos y compartirlos.

(112) Con el fin de eliminar el riesgo de que titulares de datos que están en bases de datos, obtenidos o generados por medio de componentes físicos, como sensores, de un producto conectado y de un servicio relacionado u otros datos generados por máquinas, reclamen el derecho sui generis en virtud del artículo 7 de la Directiva 96/9/CE obstaculizando de este modo, en particular, el ejercicio efectivo del derecho de los usuarios a acceder y utilizar los datos y el derecho a compartir datos con terceros en virtud del presente Reglamento, el presente Reglamento debe aclarar que el derecho sui generis no es aplicable a dichas bases de datos, ya que no se cumplirían los requisitos de protección. Ello no obsta a la posible aplicación del derecho sui generis en virtud del artículo 7 de la Directiva 96/9/CE a bases de datos que contengan datos que no entren en el ámbito de aplicación del presente Reglamento, siempre que se cumplan los requisitos de protección en virtud del apartado 1 de dicho artículo.

(113) A fin de tener en cuenta los aspectos técnicos de los servicios de tratamiento de datos, deben delegarse en la Comisión los poderes para adoptar actos con arreglo al artículo 290 del TFUE, por lo que respecta a complementar el presente Reglamento a fin de establecer un mecanismo de supervisión de los costes por cambio impuestos por los proveedores de servicios de tratamiento de datos en el mercado y especificar más detalladamente los requisitos esenciales sobre interoperabilidad exigibles a los participantes en espacios de datos que ofrecen datos o servicios de datos a otros participantes. Reviste especial importancia que la Comisión lleve a cabo las consultas oportunas durante la fase preparatoria, en particular con expertos, y que esas consultas se realicen de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación (38). En particular, a fin de garantizar una participación equitativa en la preparación de los actos delegados, el Parlamento Europeo y el Consejo reciben toda la documentación al mismo tiempo que los expertos de los Estados miembros, y sus expertos tienen acceso sistemáticamente a las reuniones de los grupos de expertos de la Comisión que se ocupen de la preparación de actos delegados.

(114) A fin de garantizar condiciones uniformes de ejecución del presente Reglamento, deben conferirse a la Comisión competencias de ejecución en lo relativo a la adopción de especificaciones comunes que garanticen la interoperabilidad de los datos, de los mecanismos y servicios de intercambio de datos, así como de los espacios comunes europeos de datos, de especificaciones comunes para la interoperabilidad de los servicios de tratamiento de datos, y de especificaciones comunes para la interoperabilidad de los contratos inteligentes. También deben conferirse a la Comisión competencias de ejecución con el fin de publicar las referencias de las normas armonizadas y especificaciones comunes para la interoperabilidad de servicios de tratamiento de datos en un repositorio central de la Unión de normas para la interoperabilidad de los servicios de tratamiento de datos. Dichas competencias deben ejercerse de conformidad con el Reglamento (UE) nº182/2011 del Parlamento Europeo y del Consejo (39).

(115) El presente Reglamento debe entenderse sin perjuicio de las normas que aborden necesidades específicas de sectores o ámbitos de interés público concretos. Dichas normas pueden incluir requisitos adicionales sobre los aspectos técnicos del acceso a datos, como las interfaces para el acceso a datos, o sobre la forma de proporcionar el acceso a datos, por ejemplo, directamente desde el producto o a través de servicios de intermediación de datos. Dichas normas también pueden incluir límites a los derechos de los titulares de datos a acceder a los datos de los usuarios o a utilizarlos, u otros aspectos que vayan más allá del acceso y la utilización de datos, como los relacionados con la gobernanza o los requisitos de seguridad, incluidos los requisitos de ciberseguridad. Asimismo, el presente Reglamento debe entenderse sin perjuicio de normas más específicas en el contexto del desarrollo de espacios comunes europeos de datos o, salvo las excepciones previstas en el presente Reglamento, del Derecho de la Unión y nacional que establezcan el acceso a los datos y autoricen su utilización con fines de investigación científica.

(116) El presente Reglamento no debe afectar a la aplicación de la normativa de competencia, en particular a los artículos 101 y 102 del TFUE. Las disposiciones del presente Reglamento no deben utilizarse para restringir la competencia de forma contraria al TFUE.

(117) Con el fin de permitir a los agentes incluidos en el ámbito de aplicación del presente Reglamento adaptarse a las nuevas normas previstas en él y para adoptar las disposiciones técnicas necesarias, dichas normas deben ser aplicables a partir del 12 de septiembre de 2025.

 (118) El Supervisor Europeo de Protección de Datos y el Comité Europeo de Protección de Datos, a los que se consultó de conformidad con el artículo 42, apartados 1 y 2, del Reglamento (UE) 2018/1725, emitieron su dictamen el 4 de mayo de 2022.

(119) Dado que los objetivos del presente Reglamento, a saber, garantizar la equidad en la asignación del valor de los datos entre los agentes de la economía de los datos y fomentar el acceso equitativo a los datos y su utilización para contribuir al establecimiento de un verdadero mercado interior de datos, no pueden ser alcanzados de manera suficiente por los Estados miembros, sino que, debido a las dimensiones o a los efectos de la acción y a la utilización transfronteriza de los datos, pueden lograrse mejor a escala de la Unión, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del Tratado de la Unión Europea. De conformidad con el principio de proporcionalidad establecido en el mismo artículo, el presente Reglamento no excede de lo necesario para alcanzar dichos objetivos.

HAN ADOPTADO EL PRESENTE REGLAMENTO:

CAPÍTULO I. DISPOSICIONES GENERALES

Artículo 1. Objeto y ámbito de aplicación

1.   El presente Reglamento establece normas armonizadas sobre lo siguiente, entre otros:

 a) la puesta a disposición de datos de productos y de datos de servicios relacionados en favor de los usuarios del producto conectado o servicio relacionado;

 b) la puesta a disposición de datos por parte de los titulares de datos en favor de los destinatarios de datos;

 c) la puesta a disposición de datos por parte de los titulares de datos en favor de los organismos del sector público, la Comisión, el Banco Central Europeo y los organismos de la Unión, cuando exista una necesidad excepcional de disponer de dichos datos para el desempeño de alguna tarea específica realizada en interés público;

 d) la facilitación del cambio entre servicios de tratamiento de datos;

 e) la introducción de salvaguardias contra el acceso ilícito de terceros a los datos no personales, y

 f) el desarrollo de normas de interoperabilidad para el acceso, la transferencia y la utilización de datos.

2.   El presente Reglamento es aplicable a los datos personales y no personales, incluidos los siguientes tipos de datos, en los contextos siguientes:

 a) el capítulo II se aplica a los datos, excepto el contenido, relativos al rendimiento, uso y entorno de los productos conectados y los servicios relacionados;

 b) el capítulo III se aplica a cualquier dato del sector privado que sea objeto de obligaciones legales de intercambio de datos;

 c) el capítulo IV se aplica a cualquier dato del sector privado al que se acceda y que se utilice sobre la base de contratos entre empresas;

 d) el capítulo V se aplica a cualquier dato del sector privado, centrándose en los datos no personales;

 e) el capítulo VI se aplica a cualquier dato y servicio tratado por los proveedores de servicios de tratamiento de datos;

 f) el capítulo VII se aplica a cualquier dato no personal que se encuentre en la Unión por los proveedores de servicios de tratamiento de datos.

3.   El presente Reglamento se aplica a:

 a) los fabricantes de productos conectados introducidos en el mercado de la Unión y los proveedores de servicios relacionados, independientemente del lugar de establecimiento de dichos fabricantes y proveedores;

 b) los usuarios de la Unión de los productos conectados o servicios relacionados a que se refiere la letra a);

 c) los titulares de datos, con independencia de su lugar de establecimiento, que pongan datos a disposición de los destinatarios de datos de la Unión;

 d) los destinatarios de datos de la Unión a cuya disposición se ponen datos;

 e) los organismos del sector público, la Comisión, el Banco Central Europeo o los organismos de la Unión que soliciten a los titulares de datos que pongan datos a su disposición cuando exista una necesidad excepcional de dichos datos para el desempeño de alguna tarea específica realizada en interés público, y a los titulares de datos que proporcionen esos datos en respuesta a dicha solicitud;

 f) los proveedores de servicios de tratamiento de datos, con independencia de su lugar de establecimiento, que presten dichos servicios a clientes de la Unión;

 g) los participantes en espacios de datos y proveedores de aplicaciones que utilicen contratos inteligentes y personas cuya actividad comercial, empresarial o profesional implique el despliegue de contratos inteligentes para terceros en el contexto de la ejecución de un acuerdo.

4.   Cuando el presente Reglamento se refiera a productos conectados o servicios relacionados, se entenderá que incluyen también los asistentes virtuales, en la medida en que interactúen con un producto conectado o servicio relacionado.

5.   El presente Reglamento se entenderá sin perjuicio del Derecho de la Unión ni del Derecho nacional en materia de protección de datos personales, de la intimidad y de la confidencialidad de las comunicaciones e integridad de los equipos terminales, que se aplicará a los datos personales tratados en relación con los derechos y obligaciones establecidos en el presente Reglamento, en particular, los Reglamentos (UE) 2016/679 y (UE) 2018/1725 y la Directiva 2002/58/CE, incluidos los poderes y competencias de las autoridades de control y de los derechos de los interesados. En la medida en que los usuarios tengan la condición de interesados, los derechos establecidos en el capítulo II del presente Reglamento complementarán el derecho de acceso de los interesados y los derechos a la portabilidad de los datos con arreglo a los artículos 15 y 20 del Reglamento (UE) 2016/679. En caso de conflicto entre el presente Reglamento y el Derecho de la Unión en materia de protección de datos personales o de la intimidad, o la normativa nacional adoptada de conformidad con el Derecho de la Unión en la materia, prevalecerá el Derecho aplicable de la Unión o nacional en materia de protección de datos personales o de la intimidad.

6.   El presente Reglamento no se aplica a los acuerdos voluntarios celebrados con vistas al intercambio de datos entre entidades privadas y públicas, en particular a los acuerdos voluntarios para el intercambio de datos, ni los condiciona.

El presente Reglamento no afecta a los actos jurídicos de la Unión o nacionales que contemplen el intercambio, el acceso y la utilización de datos con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales, o a efectos aduaneros y fiscales, en particular, los Reglamentos (UE) 2021/784, (UE) 2022/2065 y (UE) 2023/1543, y la Directiva (UE) 2023/1544, ni a la cooperación internacional en dicho ámbito. El presente Reglamento no se aplica a la recogida, intercambio, acceso o utilización de datos en virtud del Reglamento (UE) 2015/847 y de la Directiva (UE) 2015/849. El presente Reglamento no se aplica a los ámbitos que queden fuera del ámbito de aplicación del Derecho de la Unión y, en cualquier caso, no afecta a las competencias de los Estados miembros relativas a la seguridad pública, la defensa o la seguridad nacional, independientemente del tipo de entidad a la que los Estados miembros hayan confiado el desempeño de tareas en relación con dichas competencias, o de su facultad para salvaguardar otras funciones esenciales del Estado, incluida la garantía de la integridad territorial del Estado y el mantenimiento del orden público. El presente Reglamento no afecta a las competencias de los Estados miembros en materia de aduanas y administración fiscal, ni a la salud y seguridad ciudadanas.

7.   El presente Reglamento complementa el enfoque de autorregulación del Reglamento (UE) 2018/1807 mediante la introducción de obligaciones de aplicabilidad general sobre el cambio de nube.

8.   El presente Reglamento se entiende sin perjuicio de los actos jurídicos nacionales y de la Unión por los que se establece la protección de los derechos de propiedad intelectual, en particular, las Directivas 2001/29/CE, 2004/48/CE y (UE) 2019/790.

9.   El presente Reglamento complementa y se entiende sin perjuicio del Derecho de la Unión con objeto de promover los intereses de los consumidores y garantizar un elevado nivel de protección de los consumidores, así como proteger su salud, su seguridad y sus intereses económicos, en particular, las Directivas 93/13/CEE, 2005/29/CE y 2011/83/UE.

10.   El presente Reglamento no impide la celebración de contratos lícitos voluntarios de intercambio de datos, incluidos los contratos celebrados sobre la base de la reciprocidad, que cumplan los requisitos establecidos en el presente Reglamento.

Artículo 2. Definiciones

A los efectos del presente Reglamento, se entenderá por:

1) «datos»: cualquier representación digital de actos, hechos o información y cualquier compilación de tales actos, hechos o información, incluso en forma de grabación sonora, visual o audiovisual;

2) «metadatos»: una descripción estructurada del contenido o de la utilización de los datos que facilita la búsqueda o la utilización de esos datos;

3) «datos personales»: los datos personales tal como se definen en el artículo 4, punto 1, del Reglamento (UE) 2016/679;

4) «datos no personales»: aquellos que no sean datos personales;

5) «producto conectado»: un bien que obtiene, genera, o recoge datos relativos a su uso o entorno y que puede comunicar datos del producto a través de un servicio de comunicaciones electrónicas, una conexión física o un acceso en el dispositivo y cuya función primaria no es el almacenamiento, el tratamiento ni la transmisión de datos en nombre de alguien que no sea el usuario;

6) «servicio relacionado»: un servicio digital, distinto de un servicio de comunicaciones electrónicas, incluido el software, que está conectado con el producto en el momento de la compraventa, el alquiler o el arrendamiento, de tal manera que su ausencia impediría al producto conectado realizar una o varias de sus funciones, o que el fabricante o un tercero conecta posteriormente al producto para añadir, actualizar o adaptar las funciones del producto conectado;

7) «tratamiento»: toda operación o conjunto de operaciones realizadas sobre datos o conjuntos de datos, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, divulgación por transmisión, difusión o cualquier otro medio de puesta a disposición, cotejo o interconexión, limitación, supresión o destrucción;

8) «servicio de tratamiento de datos»: servicio digital que se presta a un cliente y que permite un acceso de red ubicuo y bajo demanda a un conjunto compartido de recursos informáticos configurables, modulables y elásticos de carácter centralizado, distribuido o muy distribuido, que puede movilizarse y liberarse rápidamente con un mínimo esfuerzo de gestión o interacción con el proveedor de servicios;

9) «mismo tipo de servicio»: un conjunto de servicios de tratamiento de datos que comparten el mismo objetivo primario, modelo de servicio de tratamiento de datos y funcionalidades principales;

10) «servicio de intermediación de datos»: un servicio de intermediación de datos tal como se define en el artículo 2, punto 11, del Reglamento (UE) 2022/868;

11) «interesado»: el interesado tal como se indica en el artículo 4, punto 1, del Reglamento (UE) 2016/679;

12) «usuario»: una persona física o jurídica que posee un producto conectado o a la que se le han transferido por contrato derechos temporales de uso de dicho producto conectado, o que recibe servicios relacionados;

13) «titular de datos»: una persona física o jurídica que tiene el derecho o la obligación, con arreglo al presente Reglamento, al Derecho de la Unión aplicable o a la normativa nacional adoptada de conformidad con el Derecho de la Unión, de utilizar y poner a disposición datos, incluidos, cuando se haya pactado contractualmente, los datos del producto o los datos de servicios relacionados que haya extraído o generado durante la prestación de un servicio relacionado;

14) «destinatario de datos»: una persona física o jurídica que actúa con un propósito relacionado con su actividad comercial, empresa, oficio o profesión, distinta del usuario de un producto conectado o servicio relacionado, a disposición de la cual el titular de datos pone los datos, incluso un tercero previa solicitud del usuario al titular de datos o de conformidad con una obligación legal en virtud del Derecho de la Unión o de la normativa nacional adoptada de conformidad con el Derecho de la Unión;

15) «datos del producto»: datos generados por el uso de un producto conectado que el fabricante ha diseñado para que puedan ser extraídos, a través de un servicio de comunicaciones electrónicas, una conexión física o un acceso en el dispositivo, por un usuario, un titular de los datos o un tercero, incluido, cuando proceda, el fabricante;

16) «datos de servicios relacionados»: datos que representan la digitalización de acciones del usuario o de eventos relacionados con el producto conectado, registrados intencionadamente por el usuario o generados como subproducto de la acción del usuario durante la prestación de un servicio relacionado por el proveedor;

17) «datos fácilmente disponibles»: datos del producto y datos del servicio relacionado que un titular de datos obtiene o puede obtener lícitamente del producto conectado o servicio relacionado, sin un esfuerzo desproporcionado que vaya más allá de una operación simple;

18) «secreto comercial»: un secreto comercial tal como se define en el artículo 2, punto 1, de la Directiva (UE) 2016/943;

19) «poseedor de un secreto comercial»: poseedor de un secreto comercial tal como se define en el artículo 2, punto 2, de la Directiva (UE) 2016/943;

20) «elaboración de perfiles»: la elaboración de perfiles tal como se define en el artículo 4, punto 4, del Reglamento (UE) 2016/679;

21) «comercialización»: todo suministro de un producto conectado para su distribución, consumo o utilización en el mercado de la Unión en el transcurso de una actividad comercial, ya sea a cambio de pago o a título gratuito;

22) «introducción en el mercado»: la primera comercialización de un producto conectado en el mercado de la Unión;

23) «consumidor»: toda persona física que actúe con fines ajenos a su propia actividad comercial, negocio, oficio o profesión;

24) «empresa»: una persona física o jurídica que, en relación con los contratos y prácticas contemplados por el presente Reglamento, actúa con fines relacionados con su actividad comercial, empresa, oficio o profesión;

25) «pequeña empresa»: una pequeña empresa tal como se define en el artículo 2, apartado 2, del anexo de la Recomendación 2003/361/CE;

26) «microempresa»: una microempresa tal como se define en el artículo 2, apartado 3, del anexo de la Recomendación 2003/361/CE;

27) «organismos de la Unión»: los órganos y organismos de la Unión establecidos en virtud de actos adoptados sobre la base del Tratado de la Unión Europea, del TFUE o del Tratado constitutivo de la Comunidad Europea de la Energía Atómica;

28) «organismo del sector público»: las autoridades nacionales, regionales o locales de los Estados miembros y las entidades de derecho público de los Estados miembros, o las asociaciones constituidas por una o más de dichas autoridades o por una o más de dichas entidades;

29) «emergencia pública»: una situación excepcional, limitada en el tiempo, como una emergencia de salud pública, una emergencia derivada de catástrofes naturales, una catástrofe grave provocada por el hombre, incluido un incidente grave de ciberseguridad, que afecta negativamente a la población de la Unión, del conjunto o de partes de un Estado miembro, que entraña un riesgo de repercusiones graves y duraderas para las condiciones de vida o la estabilidad económica, la estabilidad financiera o la degradación sustancial e inmediata de los activos económicos de la Unión o del Estado miembro en cuestión, y que se determina o declara oficialmente de conformidad con los procedimientos correspondientes en virtud del Derecho de la Unión o nacional;

30) «cliente»: una persona física o jurídica que ha establecido una relación contractual con un proveedor de servicios de tratamiento de datos con el objetivo de utilizar uno o varios servicios de tratamiento de datos;

31) «asistentes virtuales»: software que puede procesar peticiones, tareas o preguntas, incluidas las basadas en material de audio, material escrito, gestos o movimientos, y que, basándose en dichas peticiones, tareas o preguntas, proporciona acceso a otros servicios o controla las funciones de productos conectados;

32) «activos digitales»: elementos en forma digital, incluidas las aplicaciones, para los que el cliente tiene derecho de uso, independientemente de la relación contractual establecida con el servicio de tratamiento de datos del que el cliente se pretende cambiar;

33) «infraestructura de TIC local»: la infraestructura de TIC y de los recursos informáticos propiedad del cliente, alquilados o arrendados por el cliente, situados en el centro de datos del propio cliente y gestionados por el cliente o por un tercero;

34) «cambio»: el proceso en el que intervienen un proveedor de servicios de tratamiento de datos de origen, un cliente de un servicio de tratamiento de datos y, en su caso, un proveedor de servicios de tratamiento de datos de destino, en el que el cliente de un servicio de tratamiento de datos pasa de utilizar un servicio de tratamiento de datos a otro servicio de tratamiento de datos del mismo tipo de servicio, u otro servicio, ofrecido por un proveedor de servicios de tratamiento de datos diferente, o a una infraestructura de TIC local, incluido mediante la extracción, transformación y carga de datos;

35) «costes de salida de datos»: los costes de transferencia de datos cobrados a los clientes por extraer sus datos a través de la red de la infraestructura de las TIC de un proveedor de servicios de tratamiento de datos a los sistemas de un proveedor diferente o a una infraestructura de TIC local;

36) «costes por cambio»: los costes, excluidos los costes de servicio estándar o la sanciones por resolución anticipada, impuestas por un proveedor de servicios de tratamiento de datos a un cliente por las acciones que le exige el presente Reglamento para cambiar al sistema de un proveedor diferente o a una infraestructura de TIC local, incluidos los costes de salida de datos;

37) «equivalencia funcional»: restablecer, sobre la base de los datos exportables y activos digitales del cliente, un nivel mínimo de funcionalidad en el entorno de un nuevo servicio de tratamiento de datos, del mismo tipo de servicio, después del proceso de cambio, cuando el servicio de tratamiento de datos de destino proporcione un resultado materialmente comparable en respuesta a la misma entrada para características compartidas suministrada al cliente en virtud del contrato;

38) «datos exportables»: a efectos de lo dispuesto en los artículos 23 a 31 y en el artículo 35, los datos de entrada y salida, incluidos los metadatos, directa o indirectamente generados o cogenerados por el uso por parte del cliente del servicio de tratamiento de datos, excluidos cualesquiera activos o datos protegidos por derechos de propiedad intelectual, o que constituyan secretos comerciales, de proveedores de servicios de tratamiento de datos o de terceros;

39) «contrato inteligente»: programa informático utilizado para la ejecución automatizada de un acuerdo o de parte de este, que utiliza una secuencia de registros electrónicos de datos y garantiza su integridad y la exactitud de su orden cronológico;

40) «interoperabilidad»: la capacidad de dos o más espacios de datos o redes de comunicación, sistemas, productos conectados, aplicaciones, servicios de tratamiento de datos o componentes para intercambiar y utilizar datos con el fin de desempeñar sus funciones;

41) «especificación de interoperabilidad abierta»: una especificación técnica en el ámbito de las tecnologías de la información y la comunicación, que está orientada a lograr la interoperabilidad entre servicios de tratamiento de datos;

42) «especificaciones comunes»: un documento, distinto de una norma, con soluciones técnicas que proponen una forma de cumplir determinados requisitos y obligaciones establecidos en el presente Reglamento;

43) «norma armonizada»: una norma armonizada tal como se define en el artículo 2, punto 1, letra c), del Reglamento (UE) nº 1025/2012.

CAPÍTULO II. INTERCAMBIO DE DATOS DE EMPRESA A CONSUMIDOR Y DE EMPRESA A EMPRESA

Artículo 3. Obligación de hacer accesibles para el usuario los datos de los productos y los datos de servicios relacionados

1.   Los productos conectados se diseñarán y fabricarán, y los servicios relacionados se diseñarán y prestarán, de manera tal que los datos de los productos y los datos de servicios relacionados, incluidos los metadatos pertinentes necesarios para interpretar y utilizar dichos datos, sean, por defecto, accesibles con facilidad, con seguridad, gratuitamente, en un formato completo, estructurado, de utilización habitual y de lectura mecánica, y, cuando proceda y sea técnicamente viable, accesibles para el usuario directamente.

2.   Antes de celebrar un contrato de compraventa, alquiler o arrendamiento de un producto conectado, el vendedor o arrendador, que puede ser el fabricante, proporcionarán al usuario, como mínimo, la siguiente información, de manera clara y comprensible:

 a) el tipo, el formato y el volumen estimado de datos del producto que el producto conectado es capaz de generar;

 b) si el producto conectado es capaz de generar datos de forma continua y en tiempo real;

 c) si el producto conectado es capaz de almacenar datos en el propio dispositivo o en un servidor remoto, incluido, cuando proceda, el período de conservación previsto;

 d) el modo en que el usuario puede acceder a los datos, extraerlos o, en su caso, suprimirlos, incluidos los medios técnicos para hacerlo, así como sus condiciones de utilización y calidad del servicio.

3.   Antes de celebrar un contrato de prestación de un servicio relacionado, el proveedor de dicho servicio proporcionará al usuario, como mínimo, la siguiente información, de manera clara y comprensible:

 a) el carácter, el volumen estimado y la frecuencia de recopilación de los datos del producto que se espera obtenga el posible titular de datos y, cuando proceda, las modalidades mediante las que el usuario puede acceder a estos datos o extraerlos, incluidas las medidas del posible titular de datos relativas al almacenamiento de los datos y la duración de conservación de estos;

 b) el carácter y el volumen estimado de los datos del servicio relacionado que vayan a generarse, así como las modalidades mediante las que el usuario puede acceder a estos datos o extraerlos, incluidas las medidas del posible titular de datos relativas al almacenamiento de los datos y la duración de conservación de estos;

 c) si el posible titular de datos prevé utilizar él mismo los datos fácilmente disponibles y los fines para los que se utilizarán dichos datos, y si tiene la intención de permitir que uno o varios terceros utilicen los datos para la finalidad acordada con el usuario;

 d) la identidad del posible titular de los datos, como su nombre comercial y la dirección geográfica en la que está establecido y, cuando proceda, de otras partes que efectúen tratamiento de datos;

 e) los medios de comunicación que permitan al usuario ponerse rápidamente en contacto con el posible titular de datos y comunicarse con él de manera eficiente;

 f) el modo en que el usuario puede solicitar que los datos se compartan con un tercero y, cuando proceda, dejar de compartir los datos;

 g) el derecho del usuario a presentar una reclamación relativa a cualquier infracción de las disposiciones del presente capítulo ante la autoridad competente designada con arreglo al artículo 37;

 h) si un posible titular de datos es el poseedor de secretos comerciales contenidos en los datos a los que se pueda acceder desde el producto conectado o generados durante la prestación de un servicio relacionado y, cuando el posible titular de datos no sea el poseedor del secreto comercial, la identidad del poseedor del secreto comercial;

 i) la duración del contrato entre el usuario y el posible titular de datos, así como las cláusulas de resolución unilateral del contrato.

Artículo 4. Derechos y obligaciones de los usuarios y titulares de datos respecto del acceso, utilización y puesta a disposición de los datos de productos y de los datos de servicios relacionados

1.   Cuando el usuario no pueda acceder directamente a los datos desde el producto conectado, o del servicio relacionado, los titulares de datos facilitarán al usuario el acceso sin demora indebida a los datos fácilmente disponibles, y los correspondientes metadatos necesarios para interpretar y utilizar dichos datos, con la misma calidad disponible para el titular de datos, con facilidad, con seguridad, gratuitamente y en un formato completo, estructurado, de utilización habitual y de lectura mecánica y, cuando proceda y sea técnicamente viable, de forma continua y en tiempo real. Esto se hará sobre la base de una simple solicitud por medios electrónicos cuando sea técnicamente viable.

2.   Los usuarios y los titulares de datos podrán estipular contractualmente limitaciones o prohibiciones del acceso a los datos, de su utilización o su posterior intercambio, si dicho tratamiento puede socavar los requisitos de seguridad del producto conectado, según lo establecido en el Derecho de la Unión o nacional, dando lugar a un efecto adverso grave para la salud, la seguridad o la protección de las personas físicas. Las autoridades sectoriales podrán proporcionar a los usuarios y a los titulares de datos asesoramiento técnico en ese contexto. Cuando el titular de datos se niegue a compartir datos en virtud del presente artículo, lo notificará a la autoridad competente designada en cumplimiento del artículo 37.

3.   Sin perjuicio del derecho del usuario a recurrir, en cualquier fase, ante un órgano jurisdiccional de un Estado miembro, el usuario, en relación con cualquier litigio con el titular de datos relativo a las limitaciones o prohibiciones contractuales a que se refiere el apartado 2, podrá:

 a) presentar, de conformidad con el artículo 37, apartado 5, letra b), una reclamación ante la autoridad competente, o

 b) convenir con el titular de datos en remitir el asunto a un órgano de resolución de litigios de conformidad con el artículo 10, apartado 1.

4.   Los titulares de datos no dificultarán indebidamente el ejercicio de las opciones o los derechos de los usuarios a que se refiere este artículo, también ofreciendo opciones a los usuarios de manera no neutra o neutralizando o mermando la autonomía, la toma de decisiones o las opciones del usuario a través de la estructura, el diseño, la función o el modo de funcionamiento de la interfaz digital de usuario o de una parte de ella.

5.   Para verificar si una persona física o jurídica puede tener la consideración de usuario a efectos del apartado 1, un titular de datos no exigirá a dicha persona que proporcione ninguna información más allá de lo necesario. Los titulares de datos no conservarán ninguna información, en particular datos de registro, sobre el acceso del usuario a los datos solicitados más allá de lo necesario para la correcta ejecución de la solicitud de acceso del usuario y para la seguridad y el mantenimiento de la infraestructura de datos.

6.   Los secretos comerciales se preservarán y se revelarán solo cuando el titular de datos y el usuario adopten antes de la revelación todas las medidas necesarias para preservar su confidencialidad, en particular, con respecto a terceros. El titular de datos o, cuando no sean la misma persona, el poseedor de secretos comerciales, identificará los datos protegidos como secretos comerciales, incluso en los metadatos pertinentes, y acordará con el usuario las medidas técnicas y organizativas proporcionadas necesarias para preservar la confidencialidad de los datos compartidos, en particular en relación con terceros, tales como cláusulas contractuales tipo, acuerdos de confidencialidad, protocolos de acceso estrictos, normas técnicas y la aplicación de códigos de conducta.

7.   En los casos en que no exista un acuerdo sobre las medidas necesarias a que se refiere el apartado 6, o si el usuario no aplica las medidas acordadas en virtud del apartado 6 o vulnera la confidencialidad de los secretos comerciales, el titular de datos podrá retener o, en su caso, suspender el intercambio de datos identificados como secretos comerciales. La decisión del titular de datos se justificará debidamente y se comunicará por escrito al usuario sin demora indebida. En tales casos, el titular de datos notificará a la autoridad competente designada en cumplimiento del artículo 37 que ha retenido o suspendido el intercambio de datos e indicará qué medidas no se han acordado o aplicado y, en su caso, qué secretos comerciales han visto su confidencialidad comprometida.

8.   En circunstancias excepcionales, cuando el titular de datos que sea poseedor de un secreto comercial pueda demostrar que es muy probable que sufra un perjuicio económico grave como consecuencia de la revelación de secretos comerciales, a pesar de las medidas técnicas y organizativas adoptadas por el usuario en cumplimiento del apartado 6 del presente artículo, dicho titular de datos podrá rechazar, según el caso, una solicitud de acceso a los datos específicos en cuestión. Dicha demostración estará debidamente justificada sobre la base de elementos objetivos, en particular la aplicabilidad de la protección de los secretos comerciales en terceros países, la naturaleza y el nivel de confidencialidad de los datos solicitados, así como la singularidad y la novedad del producto conectado, y se presentará por escrito al usuario sin demora indebida. Cuando el titular de datos se niegue a compartir datos con arreglo al presente apartado, lo notificará a la autoridad competente designada en cumplimiento del artículo 37.

9.   Sin perjuicio del derecho del usuario a recurrir, en cualquier fase, ante un órgano jurisdiccional de un Estado miembro, un usuario que desee impugnar la decisión del titular de datos de rechazar o de retener o suspender el intercambio de datos de conformidad con los apartados 7 y 8, podrá:

 a) presentar, de conformidad con el artículo 37, apartado 5, letra b), una reclamación ante la autoridad competente, que decidirá, sin demora indebida, si se iniciará o reanudará el intercambio de datos y en qué condiciones, o

 b) convenir con el titular de datos en remitir el asunto a un órgano de resolución de litigios de conformidad con el artículo 10, apartado 1.

10.   El usuario no utilizará los datos obtenidos con arreglo a una solicitud contemplada en el apartado 1 para desarrollar un producto conectado que compita con el producto conectado del que proceden los datos, ni compartirá los datos con un tercero con esa intención, ni utilizará dichos datos para obtener información sobre la situación económica, los activos y los métodos de producción del fabricante o, en su caso, del titular de datos.

11.   El usuario no usará medios coercitivos ni abusará de las lagunas de la infraestructura técnica de un titular de datos destinada a proteger los datos, con el fin de obtener acceso a estos.

12.   Cuando el usuario no sea el interesado cuyos datos personales se solicitan, el titular de datos pondrá a disposición del usuario los datos personales generados por el uso de un producto conectado o servicio relacionado solo cuando exista una base jurídica válida para el tratamiento con arreglo al artículo 6 del Reglamento (UE) 2016/679 y, en su caso, se cumplan las condiciones del artículo 9 de dicho Reglamento y del artículo 5, apartado 3, de la Directiva 2002/58/CE.

13.   Un titular de datos solo utilizará cualquier dato fácilmente disponible que no sea personal sobre la base de un contrato con el usuario. Un titular de datos no utilizará dichos datos para obtener información sobre la situación económica, los activos y los métodos de producción del usuario, ni sobre el uso por parte de este de cualquier otra manera que pueda socavar la posición comercial de dicho usuario en los mercados en los que este opere.

14.   Los titulares de datos no pondrán a disposición de terceros los datos no personales del producto, con fines comerciales o no comerciales distintos del cumplimiento de su contrato con el usuario. Cuando proceda, los titulares de datos obligarán contractualmente a los terceros a no compartir los datos recibidos de ellos.

Artículo 5. Derecho del usuario a compartir datos con terceros

1.   A petición de un usuario o de una parte que actúe en nombre de un usuario, el titular de datos pondrá a disposición de un tercero los datos fácilmente disponibles, y los metadatos correspondientes necesarios para interpretar y utilizar dichos datos sin demora indebida, con la misma calidad que esté a disposición del titular de datos, con facilidad, con seguridad, gratuitamente para el usuario, en un formato completo, estructurado, de utilización habitual y de lectura mecánica, y, cuando proceda y sea técnicamente viable, de forma continua y en tiempo real. Los datos se pondrán a disposición por parte del titular de datos al tercero de conformidad con los artículos 8 y 9.

2.   El apartado 1 no se aplicará a los datos fácilmente disponibles en el contexto de la experimentación de productos conectados, sustancias o procesos nuevos que aún no se hayan introducido en el mercado, a menos que se permita su uso por un tercero contractualmente.

3.   Ninguna empresa designada como guardián de acceso, de conformidad con el artículo 3 del Reglamento (UE) 2022/1925, podrá ser un tercero admisible en virtud del presente artículo y, por tanto, no podrá:

 a) instar o incentivar comercialmente a un usuario de ninguna manera, incluso ofreciendo una compensación monetaria o de otro tipo, para que ponga a disposición de uno de sus servicios datos que el usuario haya obtenido en virtud de una solicitud con arreglo al artículo 4, apartado 1;

 b) instar o incentivar comercialmente a un usuario para que solicite al titular de datos que ponga a disposición de uno de sus servicios datos en virtud del apartado 1 del presente artículo;

 c) recibir datos de un usuario que este haya obtenido en virtud de una solicitud con arreglo al artículo 4, apartado 1.

4.   Para verificar si una persona física o jurídica puede tener la consideración de usuario o de tercero a efectos del apartado 1, no se le exigirá al usuario ni al tercero que proporcione ninguna información más allá de lo necesario. Los titulares de datos no conservarán ninguna información sobre el acceso del tercero a los datos solicitados más allá de lo necesario para la correcta ejecución de la solicitud de acceso del tercero y para la seguridad y el mantenimiento de la infraestructura de datos.

5.   El tercero no usará medios coercitivos ni abusará de las lagunas de la infraestructura técnica de un titular de datos diseñada para proteger los datos con el fin de obtener acceso a los datos.

6.   El titular de datos no utilizará ningún dato fácilmente disponible con el fin de obtener información sobre la situación económica, los activos o los métodos de producción del tercero, ni sobre el uso por parte de este de cualquier otra manera que pueda socavar la posición comercial del tercero en los mercados en los que opera, a menos que el tercero haya dado permiso para tal uso y tenga la posibilidad técnica de retirar con facilidad dicho permiso en cualquier momento.

7.   Cuando el usuario no sea el interesado cuyos datos personales se soliciten, los datos personales generados por el uso de un producto conectado o servicio relacionado se pondrán a disposición del tercero por parte del titular de datos solo cuando exista una base jurídica válida para el tratamiento con arreglo al artículo 6 del Reglamento (UE) 2016/679 y, en su caso, se cumplan las condiciones del artículo 9 de dicho Reglamento y del artículo 5, apartado 3, de la Directiva 2002/58/CE.

8.   El hecho de que el titular de datos y el tercero no lleguen a un acuerdo sobre las modalidades de transmisión de los datos no obstaculizará, evitará ni interferirá en el ejercicio de los derechos del interesado en virtud del Reglamento (UE) 2016/679 y, en particular, en el derecho a la portabilidad de los datos con arreglo al artículo 20 de dicho Reglamento.

9.   Los secretos comerciales se preservarán y se revelarán a terceros solo en la medida en que dicha revelación sea estrictamente necesaria para cumplir el objetivo convenido entre el usuario y el tercero. El titular de datos o, cuando no sean la misma persona, el poseedor de secretos comerciales, identificará los datos protegidos como secretos comerciales, incluso en los metadatos pertinentes, y acordará con el tercero todas las medidas técnicas y organizativas proporcionadas necesarias para preservar la confidencialidad de los datos compartidos, tales como cláusulas contractuales tipo, acuerdos de confidencialidad, protocolos de acceso estrictos, normas técnicas y la aplicación de códigos de conducta.

10.   En los casos en que no exista un acuerdo sobre las medidas necesarias a que se refiere el apartado 9 del presente artículo o si el tercero no aplica las medidas acordadas en virtud del apartado 9 del presente artículo o vulnera la confidencialidad de los secretos comerciales, el titular de datos podrá retener o, en su caso, suspender el intercambio de datos identificados como secretos comerciales. La decisión del titular de datos se justificará debidamente y se comunicará por escrito al tercero sin demora indebida. En tales casos, el titular de datos notificará a la autoridad competente designada en cumplimiento del artículo 37 que ha retenido o suspendido el intercambio de datos e indicará qué medidas no se han convenido o aplicado y, en su caso, qué secretos comerciales han visto su confidencialidad comprometida.

11.   En circunstancias excepcionales, cuando el titular de datos que sea poseedor de un secreto comercial pueda demostrar que es muy probable que sufra un perjuicio económico grave como consecuencia de la revelación de secretos comerciales, a pesar de las medidas técnicas y organizativas adoptadas por el tercero en cumplimiento del apartado 9 del presente artículo, dicho titular de datos podrá rechazar, según el caso, una solicitud de acceso a los datos específicos en cuestión. Dicha demostración estará debidamente justificada sobre la base de elementos objetivos, en particular la aplicabilidad de la protección de los secretos comerciales en terceros países, la naturaleza y el nivel de confidencialidad de los datos solicitados y la singularidad y la novedad del producto conectado, y se presentará por escrito al tercero sin demora indebida. Cuando el titular de datos se niegue a compartir datos con arreglo al presente apartado, lo notificará a la autoridad competente designada en cumplimiento del artículo 37.

12.   Sin perjuicio del derecho del tercero a recurrir, en cualquier fase, ante un órgano jurisdiccional de un Estado miembro, un tercero que desee impugnar una decisión del titular de datos de rechazar o de retener o suspender el intercambio de datos en virtud de los apartados 10 y 11, podrá:

 a) formular, de conformidad con el artículo 37, apartado 5, letra b), una reclamación ante la autoridad competente, que decidirá, sin demora indebida, si se debe iniciar o reanudar el intercambio de datos y en qué condiciones, o

 b) convenir con el titular de datos en remitir el asunto a un órgano de resolución de litigios de conformidad con el artículo 10, apartado 1.

13.   El derecho a que se refiere el apartado 1 no afectará negativamente a los derechos de los interesados conforme al Derecho aplicable de la Unión y nacional en materia de protección de datos personales.

Artículo 6. Obligaciones de terceros que reciben datos a petición del usuario

1.   Un tercero tratará los datos que se pongan a su disposición con arreglo al artículo 5 únicamente para la finalidad y en las condiciones acordados con el usuario y respetando el Derecho de la Unión y nacional en materia de protección de datos personales, incluidos los derechos del interesado en lo que respecta a los datos personales. El tercero suprimirá los datos cuando ya no sean necesarios para la finalidad acordada, a menos que acuerde otra cosa con el usuario en relación con los datos no personales.

2.   El tercero no podrá:

 a) dificultar indebidamente el ejercicio de las opciones o los derechos de los usuarios con arreglo al artículo 5 y al presente artículo, tampoco ofreciendo opciones a los usuarios de manera no neutra o coaccionándolos, engañándolos o manipulándolos, o neutralizando o mermando la autonomía, la toma de decisiones o las opciones de los usuarios, tampoco a través de una interfaz digital de usuario o de una parte de ella;

 b) no obstante lo dispuesto en el artículo 22, apartado 2, letras a) y c), del Reglamento (UE) 2016/679, utilizar los datos que reciba para la elaboración de perfiles, a menos que sea necesario para prestar el servicio solicitado por el usuario;

 c) poner los datos que reciba a disposición de otro tercero, a menos que los datos se pongan a disposición sobre la base de un contrato con el usuario, y siempre que el otro tercero tome todas las medidas necesarias acordadas entre el titular de datos y el tercero para preservar la confidencialidad de los secretos comerciales;

 d) poner los datos que reciba a disposición de una empresa designada como guardián de acceso de conformidad con el artículo 3 del Reglamento (UE) 2022/1925;

 e) utilizar los datos que reciba para desarrollar un producto que compita con el producto conectado del que proceden los datos a los que ha accedido ni compartir los datos con otro tercero con tal finalidad; los terceros tampoco utilizarán datos no personales de los productos o datos no personales de los servicios relacionados que se pongan a su disposición para obtener información sobre la situación económica, los activos y los métodos de producción del titular de datos, ni sobre el uso por este;

 f) utilizar los datos que reciba de una manera que afecte negativamente a la seguridad del producto conectado o del servicio relacionado;

 g) ignorar las medidas específicas acordadas con un titular de datos o con el poseedor de los secretos comerciales de conformidad con el artículo 5, apartado 9, ni comprometer la confidencialidad de los secretos comerciales;

 h) impedir a aquellos usuarios que sean consumidores, entre otros, sobre la base de un contrato, poner los datos que reciba a disposición de otras partes.

Artículo 7. Ámbito de aplicación de las obligaciones de intercambio de datos de empresa a consumidor y de empresa a empresa

1.   Las obligaciones del presente capítulo no se aplicarán a los datos generados mediante el uso de productos conectados fabricados o diseñados o servicios relacionados prestados por una microempresa o pequeña empresa, siempre que dicha empresa no tenga una empresa asociada o una empresa vinculada en el sentido del artículo 3 del anexo de la Recomendación 2003/361/CE, que no pueda considerarse microempresa o pequeña empresa, y cuando no se haya subcontratado a la microempresa o pequeña empresa para fabricar o diseñar un producto conectado o para prestar un servicio relacionado.

Lo mismo se aplicará a los datos generados mediante el uso de productos conectados fabricados o de servicios relacionados prestados por empresas que hayan adquirido la consideración de medianas empresas con arreglo al artículo 2 del anexo de la Recomendación 2003/361/CE hace menos de un año, y cuando se trate de productos conectados, durante un año después de que una mediana empresa los haya introducido en el mercado.

2.   Ninguna cláusula contractual que, en detrimento del usuario, excluya la aplicación de los derechos del usuario en virtud del presente capítulo, establezca excepciones o modifique los efectos de esos derechos, será vinculante para el usuario.

CAPÍTULO III. OBLIGACIONES DE LOS TITULARES DE DATOS OBLIGADOS A PONER LOS DATOS A DISPOSICIÓN EN VIRTUD DEL DERECHO DE LA UNIÓN

Artículo 8. Condiciones en las que los titulares de datos ponen datos a disposición de los destinatarios de datos

1.   Cuando, en relaciones entre empresas, un titular de datos esté obligado a poner datos a disposición de un destinatario de datos en virtud del artículo 5 o de otras disposiciones aplicables de Derecho de la Unión o de la normativa nacional adoptada de conformidad con el Derecho de la Unión, acordará con el destinatario de datos las modalidades de puesta a disposición de los datos y lo hará en condiciones justas, razonables y no discriminatorias y de manera transparente de conformidad con el presente capítulo y el capítulo IV.

2.   Ninguna cláusula contractual sobre el acceso a los datos y su utilización o sobre la responsabilidad y las vías de recurso por incumplimiento o resolución unilateral de obligaciones relativas a datos será vinculante si constituye una cláusula contractual abusiva en el sentido del artículo 13 o si, en detrimento del usuario, excluye la aplicación, establece excepciones o modifica los derechos del usuario en virtud del capítulo II.

3.   Los titulares de datos no discriminarán en lo que respecta a las modalidades de puesta a disposición de datos, entre categorías comparables de destinatarios de datos, incluidas las empresas asociadas o empresas vinculadas al titular de datos al poner a disposición los datos. Cuando un destinatario de datos considere que las condiciones en las que se han puesto a su disposición los datos son discriminatorias, el titular de los datos proporcionará sin demora indebida al destinatario de datos, previa solicitud motivada, información que demuestre que no ha habido discriminación.

4.   El titular de los datos no pondrá los datos a disposición de un destinatario de datos, incluido con carácter exclusivo, a menos que así lo solicite el usuario con arreglo al capítulo II.

5.   Los titulares de datos y los destinatarios de datos no estarán obligados a proporcionar ninguna información que vaya más allá de lo necesario para verificar el cumplimiento de las condiciones contractuales pactadas para la puesta a disposición de datos o de sus obligaciones en virtud del presente Reglamento o de otras disposiciones aplicables de Derecho de la Unión o de la normativa nacional adoptada de conformidad con el Derecho de la Unión.

6.   Salvo que se disponga otra cosa en el Derecho de la Unión, incluidos el artículo 4, apartado 6, y el artículo 5, apartado 9, del presente Reglamento, o en la normativa nacional adoptada de conformidad con el Derecho de la Unión, la obligación de poner los datos a disposición de un destinatario de datos no obligará a la revelación de secretos comerciales.

Artículo 9. Compensación por la puesta a disposición de datos

1.   Toda compensación acordada entre un titular de datos y un destinatario de datos por la puesta a disposición de datos en relaciones entre empresas deberá ser no discriminatoria y razonable, y podrá incluir un margen.

2.   A la hora de convenir la compensación, el titular de datos y el destinatario de datos tendrán en cuenta, en particular:

 a) los costes en que se haya incurrido para poner los datos a disposición, incluidos, en particular, los costes necesarios para el formateo de los datos, su difusión por medios electrónicos y su almacenamiento;

 b) las inversiones en la recogida y producción de datos, cuando proceda, teniendo en cuenta si otras partes han contribuido a la obtención, generación o recogida de los datos en cuestión.

3.   La compensación a que se refiere el apartado 1 también puede depender del volumen, el formato y la naturaleza de los datos.

4.   Cuando el destinatario de datos sea una pyme o una organización de investigación sin ánimo de lucro, y cuando dicho destinatario de datos no tenga empresas asociadas o empresas vinculadas, que no se consideren pymes, ninguna compensación acordada podrá superar los costes a que se refiere el apartado 2, letra a).

5.   La Comisión adoptará directrices sobre el cálculo de la compensación razonable, teniendo en cuenta el asesoramiento del Comité Europeo de Innovación en materia de Datos (CEID) a que se refiere el artículo 42.

6.   El presente artículo no será óbice para que otras disposiciones de Derecho de la Unión de normativa nacional adoptada con arreglo al Derecho de la Unión excluyan la compensación por la puesta a disposición de datos o prevean una compensación inferior.

7.   El titular de datos proporcionará al destinatario de datos información que contenga la base para el cálculo de la compensación con el suficiente detalle para que el destinatario de datos pueda evaluar si se cumplen los requisitos de los apartados 1 a 4.

Artículo 10. Resolución de litigios

1.   Los usuarios, los titulares de datos y los destinatarios de datos tendrán acceso a algún órgano de resolución de litigios, certificado de conformidad con el apartado 5 del presente artículo, para resolver todo litigio con arreglo al artículo 4, apartados 3 y 9, y al artículo 5, apartado 12, así como los litigios relacionados con las condiciones justas, razonables y no discriminatorias para poner los datos a disposición y la forma transparente de hacerlo, de conformidad con el presente capítulo y el capítulo IV.

2.   Los órganos de resolución de litigios darán a conocer los costes, o los mecanismos utilizados para determinar los costes, a las partes afectadas antes de que estas soliciten una decisión.

3.   En el caso de los litigios remitidos a un órgano de resolución de litigios en virtud del artículo 4, apartados 3 y 9, y del artículo 5, apartado 12, cuando el órgano de resolución de litigios resuelva un litigio en favor del usuario o del destinatario de datos, el titular de datos soportará todas las tasas cobradas por el órgano de resolución de litigios y reembolsará a dicho usuario o dicho destinatario de datos cualquier otro gasto razonable en que haya incurrido en relación con la resolución de litigios. Si el órgano de resolución de litigios resuelve un litigio en favor del titular de datos, el usuario o el destinatario de datos no estará obligado a reembolsar las tasas u otros gastos que el titular de datos haya pagado o deba pagar en relación con la resolución de litigios, a menos que el órgano de resolución de litigios considere que el usuario o el destinatario de los datos actuó manifiestamente de mala fe.

4.   Los clientes y los proveedores de servicios de tratamiento de datos tendrán acceso a algún órgano de resolución de litigios, certificado de conformidad con el apartado 5 del presente artículo, para resolver litigios en relación con vulneraciones de los derechos de los clientes e incumplimientos de las obligaciones del proveedor de un servicio de tratamiento de datos de conformidad con los artículos 23 a 31.

5.   A petición del órgano de resolución de litigios, el Estado miembro en el que esté establecido dicho órgano lo certificará, siempre que este haya demostrado que cumple todas las condiciones siguientes:

 a) es imparcial e independiente, y debe dictar sus resoluciones con arreglo a unas normas de procedimiento claras, no discriminatorias y justas;

 b) dispone de los conocimientos técnicos necesarios, en particular, en relación con las condiciones justas, razonables y no discriminatorias, incluida la compensación, relativos a la puesta a disposición de datos de manera transparente, que permitan que el órgano pueda determinar efectivamente dichas condiciones;

 c) es fácilmente accesible a través de tecnologías de comunicación electrónicas;

 d) es capaz de adoptar sus decisiones de manera rápida, eficiente y rentable al menos en una de las lenguas oficiales de la Unión.

6.   Los Estados miembros notificarán a la Comisión los órganos de resolución de litigios certificados de conformidad con el apartado 5. La Comisión publicará la lista de dichos órganos en un sitio web específico y la mantendrá actualizada.

7.   Los órganos de resolución de litigios rechazarán tratar cualquier solicitud de resolución de un litigio que ya se haya presentado ante otro órgano de resolución de litigios o ante un órgano jurisdiccional de un Estado miembro.

8.   Los órganos de resolución de litigios brindarán a las partes la posibilidad de expresar, en un plazo razonable, sus puntos de vista sobre los asuntos que esas partes hayan sometido a dichos órganos. En ese contexto, se proporcionará a cada una de las partes litigantes las observaciones de la otra parte y cualquier declaración realizada por peritos. Se brindará a las partes la posibilidad de formular comentarios sobre dichas observaciones y declaraciones.

9.   Los órganos de resolución de litigios adoptarán su decisión sobre los asuntos que les sean planteados en un plazo de noventa días a partir de la recepción de la solicitud con arreglo a los apartados 1 y 4. Dicha decisión se formulará por escrito o en un soporte duradero e irá justificada por una exposición de motivos.

10.   Los órganos de resolución de litigios elaborarán y harán públicos los informes anuales de actividad. Dichos informes anuales incluirán, en particular, la siguiente información general:

 a) una agregación de los resultados de los litigios;

 b) la duración media de la resolución de los litigios;

 c) los motivos más comunes de los litigios.

11.   Con el fin de facilitar el intercambio de información y las mejores prácticas, los órganos de resolución de litigios podrán decidir la inclusión de recomendaciones en el informe mencionado en el apartado 10 sobre cómo evitar o resolver problemas.

12.   La decisión de los órganos de resolución de litigios será vinculante para las partes solo si estas han dado su consentimiento expreso a su carácter vinculante antes del inicio del procedimiento de resolución de litigios.

13.   El presente artículo no afectará al derecho de las partes a interponer un recurso efectivo ante los órganos jurisdiccionales de los Estados miembros.

Artículo 11. Medidas técnicas de protección sobre la utilización o divulgación no autorizadas de datos

1.   El titular de datos podrá aplicar medidas técnicas de protección adecuadas, incluidos contratos inteligentes y cifrado, para impedir el acceso no autorizado a los datos, incluidos los metadatos, y garantizar el cumplimiento de los artículos 4, 5, 6, 8 y 9, así como de las condiciones contractuales acordadas para la puesta a disposición de los datos. Dichas medidas técnicas de protección no discriminarán entre destinatarios de datos ni obstaculizarán el derecho de un usuario a obtener una copia, extraer, utilizar o acceder a los datos o a proporcionar datos a terceros de conformidad con el artículo 5 ni ningún derecho de un tercero en virtud del Derecho de la Unión o de normativa nacional adoptada de conformidad con el Derecho de la Unión. Los usuarios, los terceros y los destinatarios de datos no modificarán ni suprimirán dichas medidas técnicas de protección a menos que el titular de datos acepte.

2.   En las circunstancias a que se refiere el apartado 3, el tercero o el destinatario de datos atenderá, sin demora indebida, las solicitudes del titular de datos y, en su caso, del poseedor de un secreto comercial cuando no sea la misma persona, o del usuario para:

 a) suprimir los datos puestos a disposición por el titular de datos y cualquier copia de los datos;

 b) poner fin a la producción, oferta o comercialización o utilización de bienes, datos derivados o servicios producidos sobre la base de conocimientos obtenidos a través de dichos datos, o la importación, exportación o almacenamiento de mercancías infractoras con esos fines, y destruir cualquier mercancía infractora, cuando exista un riesgo grave de que la utilización ilícita de dichos datos cause un perjuicio significativo al titular de datos, al poseedor de un secreto comercial o al usuario, o cuando dicha medida no fuese desproporcionada a la luz de los intereses del titular de datos, del poseedor de un secreto comercial o del usuario;

 c) informar al usuario de la utilización o divulgación no autorizadas de los datos y de las medidas adoptadas para poner fin a la utilización o divulgación no autorizadas de los datos;

 d) compensar a la parte que sufra la utilización indebida o la divulgación de dichos datos a los que se haya accedido o utilizado de forma ilícita.

3.   El apartado 2 se aplicará cuando un tercero o un destinatario de datos:

 a) con el fin de obtener datos haya proporcionado a un titular de datos información falsa, haya utilizado medios engañosos o coercitivos o haya abusado de las lagunas en la infraestructura técnica del titular de datos destinada a proteger los datos;

 b) haya utilizado los datos puestos a disposición con fines no autorizados, incluido el desarrollo de un producto conectado competidor en el sentido del artículo 6, apartado 2, letra e);

 c) haya divulgado ilícitamente datos a otro tercero;

 d) no haya mantenido las medidas técnicas y organizativas acordadas en virtud del artículo 5, apartado 9, o

 e) haya modificado o eliminado medidas técnicas de protección aplicadas por el titular de datos en virtud del apartado 1 del presente artículo sin el consentimiento del titular de datos.

4.   El apartado 2 también será aplicable cuando el usuario altere o elimine las medidas técnicas de protección aplicadas por el titular de datos o no mantenga las medidas técnicas y organizativas adoptadas por el usuario de acuerdo con el titular de datos o, cuando no sean la misma persona, el poseedor de un secreto comercial, con el fin de preservar secretos comerciales, así como respecto de cualquier otra persona que reciba los datos por parte del usuario en infracción del presente Reglamento.

5.   Cuando el destinatario de los datos infrinja el artículo 6, apartado 2, letras a) o b), los usuarios tendrán los mismos derechos que los titulares de datos en virtud del apartado 2 del presente artículo.

Artículo 12. Ámbito de aplicación de las obligaciones de los titulares de datos obligados por el Derecho de la Unión a poner los datos a disposición

1.   El presente capítulo se aplicará cuando, en las relaciones entre empresas, el titular de datos esté obligado, en virtud del artículo 5 o en virtud del Derecho de la Unión aplicable o de normativa nacional adoptada de conformidad con el Derecho de la Unión, a poner los datos a disposición de un destinatario de datos.

2.   Ninguna cláusula contractual de un acuerdo de intercambio de datos que, en detrimento de una de las partes o, en su caso, en detrimento del usuario, excluya la aplicación del presente capítulo, establezca excepciones a este o modifique sus efectos, será vinculante para esa parte.

CAPÍTULO IV. CLÁUSULAS CONTRACTUALES ABUSIVAS ENTRE EMPRESAS EN RELACIÓN CON EL ACCESO A LOS DATOS Y SU UTILIZACIÓN

Artículo 13. Cláusulas contractuales abusivas impuestas unilateralmente a otra empresa

1.   Las cláusulas contractuales sobre el acceso a los datos y su utilización o sobre la responsabilidad y las vías de recurso por incumplimiento o resolución unilateral de obligaciones relativas a datos que hayan sido impuestas unilateralmente por una empresa a otra empresa no serán vinculantes en caso de ser abusivas.

2.   No se considerará abusiva una cláusula contractual que refleje disposiciones imperativas del Derecho de la Unión o disposiciones del Derecho de la Unión que se aplicarían si las cláusulas contractuales no regularan la materia.

3.   Una cláusula contractual será abusiva si, por su naturaleza, su aplicación se aparta manifiestamente de las buenas prácticas comerciales en materia de acceso a los datos y su utilización, contrariamente a la buena fe y a la lealtad de las relaciones comerciales.

4.   En particular, a los efectos del apartado 3, una cláusula contractual tendrá la consideración de abusiva si tiene por objeto o efecto:

 a) excluir o limitar la responsabilidad de la parte que haya impuesto unilateralmente la cláusula en caso de acciones intencionadas o negligencia grave;

 b) excluir las vías de recurso de que dispone la parte a la que se haya impuesto unilateralmente la cláusula en caso de incumplimiento de obligaciones contractuales o la responsabilidad de la parte que haya impuesto unilateralmente la cláusula en caso de infracción de dichas obligaciones;

 c) otorgar a la parte que haya impuesto unilateralmente la cláusula el derecho exclusivo de determinar si los datos proporcionados son acordes con el contrato o de interpretar cualquier cláusula contractual.

5.   A los efectos del apartado 3, se presumirá que una cláusula contractual es abusiva si tiene por objeto o efecto:

 a) limitar de forma inadecuada las vías de recurso en caso de incumplimiento de obligaciones contractuales o responsabilidad en caso de incumplimiento de dichas obligaciones, o ampliar la responsabilidad de la empresa a la que se haya impuesto unilateralmente la cláusula;

 b) permitir a la parte que haya impuesto unilateralmente la cláusula acceder a los datos de la otra parte contratante y utilizarlos de manera que cause un grave perjuicio a los intereses legítimos de dicha otra parte, en particular cuando esos datos contengan datos sensibles desde el punto de vista comercial o estén protegidos por secretos comerciales o derechos de propiedad intelectual;

 c) impedir a la parte a la que se haya impuesto unilateralmente la cláusula utilizar los datos que haya proporcionado o generado durante el período de vigencia del contrato, o limitar la utilización de estos datos en tal medida que esa parte no pueda utilizar, recopilar ni controlar esos datos, ni acceder a ellos, ni explotar su valor de manera adecuada;

 d) impedir que la parte a la que se haya impuesto unilateralmente la cláusula resuelva unilateralmente el contrato en un plazo razonable;

 e) impedir a la parte a la que se haya impuesto unilateralmente la cláusula obtener una copia de los datos que haya proporcionado o generado durante el período de vigencia del contrato o dentro de un plazo razonable tras su resolución unilateral;

 f) permitir a la parte que haya impuesto unilateralmente la cláusula resolver unilateralmente el contrato con un plazo de preaviso excesivamente corto, habida cuenta de cualquier posibilidad razonable de la otra parte contratante de cambiar a un servicio alternativo y comparable y del perjuicio financiero ocasionado por esa resolución, salvo cuando haya razones fundadas para hacerlo;

 g) permitir que la parte que haya impuesto unilateralmente la cláusula modifique sustancialmente el precio especificado en el contrato o cualquier otra condición sustantiva relativa a la naturaleza, el formato, la calidad o la cantidad de los datos que deban compartirse, cuando el contrato no especifique ninguna razón válida ni derecho de la otra parte para resolver unilateralmente el contrato en caso de efectuarse tal modificación.

La letra g) del presente apartado no afectará a las cláusulas en virtud de las cuales la parte que haya impuesto unilateralmente la cláusula se reserva el derecho de modificar unilateralmente las cláusulas de un contrato de duración indeterminada, siempre que el contrato especificase alguna razón válida para efectuar dicha modificación unilateral, que la parte que haya impuesto unilateralmente la cláusula esté obligada a proporcionar a la otra parte contratante un preaviso razonable para efectuar la modificación planeada y que la otra parte contratante tenga libertad para resolver unilateralmente el contrato sin coste alguno en caso de que se produzca tal modificación.

6.   Se considerará que una cláusula contractual se ha impuesto unilateralmente en la acepción del presente artículo si ha sido aportada por una de las partes contratantes sin que la otra parte contratante haya podido influir en su contenido pese a haber intentado negociarlo. Corresponderá a la parte contratante que haya aportado la cláusula contractual demostrar que no ha sido impuesta unilateralmente. La parte contratante que haya aportado la cláusula contractual controvertida no podrá alegar que se trata de una cláusula contractual abusiva.

7.   En caso de que la cláusula contractual abusiva sea disociable de las demás cláusulas del contrato, estas serán vinculantes.

8.   El presente artículo no se aplicará a las cláusulas comerciales del objeto principal del contrato ni a la adecuación del precio, con respecto a los datos suministrados a cambio.

9.   Las partes de un contrato que entre en el ámbito de aplicación del apartado 1 no excluirán la aplicación del presente artículo, ni establecerán excepciones a este ni modificarán sus efectos.

CAPÍTULO V. PONER DATOS A DISPOSICIÓN DE LOS ORGANISMOS DEL SECTOR PÚBLICO, LA COMISIÓN, EL BANCO CENTRAL EUROPEO Y LOS ORGANISMOS DE LA UNIÓN EN RAZÓN DE NECESIDADES EXCEPCIONALES

Artículo 14. Obligación de poner a disposición datos en razón de una necesidad excepcional

Cuando un organismo del sector público, la Comisión, el Banco Central Europeo o un organismo de la Unión demuestre una necesidad excepcional, tal como figura en el artículo 15, de utilizar determinados datos, incluidos los metadatos pertinentes necesarios para interpretar y utilizar dichos datos, para desarrollar sus funciones estatutarias en interés público, los titulares de datos que sean personas jurídicas, distintos de organismos del sector público, que posean dichos datos los pondrán a disposición previa solicitud debidamente motivada.

Artículo 15. Necesidad excepcional de utilizar los datos

1.   Una necesidad excepcional de utilizar determinados datos en el sentido del presente capítulo estará limitada en el tiempo y en su ámbito de aplicación y se considerará que existe únicamente en cualquiera de las circunstancias siguientes:

 a) cuando los datos solicitados sean necesarios para responder a una emergencia pública y el organismo del sector público, la Comisión, el Banco Central Europeo o el organismo de la Unión no pueda obtener dichos datos por medios alternativos de manera oportuna y efectiva en condiciones equivalentes;

 b) en circunstancias no contempladas en la letra a) y únicamente en lo que respecta a los datos no personales, cuando:

  i) un organismo del sector público, la Comisión, el Banco Central Europeo o un organismo de la Unión actúe sobre la base del Derecho de la Unión o nacional y haya identificado datos específicos cuya ausencia le impida desempeñar una tarea específica realizada en interés público, que haya sido expresamente prevista por la ley, como la elaboración de estadísticas oficiales o la mitigación de una emergencia pública o recuperación tras dicha emergencia, y

  ii) el organismo del sector público, la Comisión, el Banco Central Europeo o el organismo de la Unión haya agotado todos los demás medios a su disposición para obtener dichos datos, incluida la compra de datos no personales en el mercado ofreciendo precios de mercado, o basándose en obligaciones existentes de poner datos a disposición o la adopción de nuevas medidas legislativas que puedan garantizar la disponibilidad de los datos en tiempo oportuno.

2.   El apartado 1, letra b), no se aplicará a las microempresas ni a las pequeñas empresas.

3.   La obligación de demostrar que el organismo del sector público no ha podido obtener datos no personales comprándolos en el mercado no se aplicará cuando la tarea específica desempeñada en interés público sea la elaboración de estadísticas oficiales y cuando el Derecho nacional no permita la compra de dichos datos.

Artículo 16. Relación con otras obligaciones de poner datos a disposición de los organismos del sector público, la Comisión, el Banco Central Europeo y los organismos de la Unión

1.   El presente capítulo no afectará a las obligaciones establecidas en el Derecho de la Unión o nacional a efectos de la presentación de informes, de dar cumplimiento a las solicitudes de acceso a información o de la demostración o verificación del cumplimiento de obligaciones legales.

2.   El presente capítulo no se aplicará a los organismos del sector público, a la Comisión, al Banco Central Europeo ni a los organismos de la Unión que efectúen actividades con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o administrativas o de ejecución de sanciones penales, ni a la administración aduanera o tributaria. El presente capítulo no afecta al Derecho aplicable de la Unión y nacional en materia de prevención, investigación, detección o enjuiciamiento de infracciones penales o administrativas o de ejecución de sanciones penales o administrativas, ni de administración aduanera o tributaria.

Artículo 17. Solicitudes de puesta a disposición de datos

1.   Cuando un organismo del sector público, la Comisión, el Banco Central Europeo o un organismo de la Unión solicite datos con arreglo al artículo 14, deberá:

 a) especificar qué datos son necesarios, incluidos los metadatos pertinentes necesarios para interpretarlos y utilizarlos;

 b) demostrar que se cumplen las condiciones necesarias para la existencia de una necesidad excepcional a que se refiere el artículo 15 para la que se solicitan los datos;

 c) explicar la finalidad de la solicitud, la utilización prevista de los datos solicitados, incluso, cuando proceda, por un tercero de conformidad con el apartado 4 del presente artículo, la duración de dicha utilización y, en su caso, la forma en que el tratamiento de los datos personales responde a la necesidad excepcional;

 d) especificar, siempre que sea posible, cuándo se prevé que los datos sean suprimidos por todas las partes que tengan acceso a ellos;

 e) justificar la elección del titular de datos al que se dirige la solicitud;

 f) especificar todos los demás organismos del sector público o la Comisión, el Banco Central Europeo o los organismos de la Unión y los terceros con los que se prevea compartir los datos solicitados;

 g) cuando se soliciten datos personales, especificar cualquier medida técnica y organizativa necesaria y proporcionada para aplicar los principios de protección de datos y las garantías necesarias, como la seudonimización, y si el titular de los datos puede aplicar la anonimización antes de poner los datos a disposición;

 h) indicar la disposición legal por la que se asigna al organismo del sector público solicitante, a la Comisión, al Banco Central Europeo o a los organismos de la Unión la tarea específica desempeñada en interés público pertinente para solicitar los datos;

 i) especificar el plazo en que deben ponerse los datos a disposición y el plazo a que se refiere el artículo 18, apartado 2, en que el titular de datos puede denegar o pedir la modificación de la solicitud;

 j) hacer todo lo posible por evitar que el cumplimiento de la solicitud de datos dé lugar a la responsabilidad de los titulares de datos por infracción del Derecho de la Unión o nacional.

2.   Toda solicitud de datos presentada con arreglo al apartado 1 del presente artículo deberá:

 a) expresarse por escrito y en un lenguaje claro, conciso y sencillo comprensible para el titular de datos;

 b) ser específica por lo que respecta al tipo de datos solicitados y corresponder a datos que el titular de datos controle en el momento de la solicitud;

 c) guardar proporción con la necesidad excepcional y estar debidamente motivada, por lo que respecta a la granularidad y el volumen de los datos solicitados y la frecuencia de acceso a los datos solicitados;

 d) respetar los objetivos legítimos del titular de datos, con el compromiso de garantizar la protección de los secretos comerciales de conformidad con el artículo 19, apartado 3, y habida cuenta del coste y el esfuerzo necesarios para poner los datos a disposición;

 e) referirse a datos no personales y, sólo si se demuestra que ello es insuficiente para responder a la necesidad excepcional de utilizar datos, de conformidad con el artículo 15, apartado 1, letra a), solicitar datos personales en forma seudonimizada y establecer las medidas técnicas y organizativas que se vayan a adoptar para proteger los datos;

 f) informar al titular de datos de las sanciones que impondrá de conformidad con el artículo 40 la autoridad competente designada en cumplimiento del artículo 37 en caso de que no se atienda la solicitud;

 g) cuando la solicitud proceda de un organismo del sector público, transmitirse al coordinador de datos a que se refiere el artículo 37 del Estado miembro en el que esté establecido el organismo del sector público solicitante, que la hará pública en línea sin demora indebida, a menos que el coordinador de datos considere que dicha publicación podría crear un riesgo para la seguridad pública;

 h) cuando la solicitud proceda de la Comisión, el Banco Central Europeo o los organismos de la Unión, ponerse a disposición en línea sin demora indebida;

 i) cuando se soliciten datos personales, notificarse sin demora indebida a la autoridad de control responsable de supervisar la aplicación del Reglamento (UE) 2016/679 en el Estado miembro en el que esté establecido el organismo del sector público.

El Banco Central Europeo y los organismos de la Unión informarán a la Comisión de sus solicitudes.

3.   Un organismo del sector público, la Comisión, el Banco Central Europeo o un organismo de la Unión no pondrá los datos obtenidos de conformidad con el presente capítulo a disposición para su reutilización tal como se define en el artículo 2, punto 2, del Reglamento (UE) 2022/868 o en el artículo 2, punto 11, de la Directiva (UE) 2019/1024. El Reglamento (UE) 2022/868 y la Directiva (UE) 2019/1024 no se aplicarán a aquellos datos en poder de organismos del sector público que se obtengan de conformidad con el presente capítulo.

4.   Lo dispuesto en el apartado 3 del presente artículo no impedirá a un organismo del sector público, la Comisión, el Banco Central Europeo o un organismo de la Unión intercambiar los datos obtenidos con arreglo al presente capítulo con otro organismo del sector público o la Comisión, el Banco Central Europeo o un organismo de la Unión con el fin de completar las tareas a que se refiere el artículo 15, tal como se especifica en la solicitud con arreglo al apartado 1, letra f), del presente artículo, ni poner los datos a disposición de un tercero en los casos en que se haya delegado en ese tercero, mediante un acuerdo disponible al público, la realización de inspecciones técnicas u otras funciones. Las obligaciones de los organismos del sector público con arreglo al artículo 19, en particular, las garantías para preservar la confidencialidad de los secretos comerciales, se aplicarán también a dichos terceros. Cuando un organismo del sector público, la Comisión, el Banco Central Europeo o un organismo de la Unión transmita o ponga a disposición datos en aplicación del presente apartado, lo notificará al titular de datos del que haya recibido los datos sin demora indebida.

5.   Cuando el titular de datos considere que sus derechos en virtud del presente capítulo han sido vulnerados por la transmisión o puesta a disposición de datos, podrá presentar una reclamación ante la autoridad competente designada en cumplimiento del artículo 37 del Estado miembro en el que esté establecido el titular de datos.

6.   La Comisión elaborará un modelo para las solicitudes con arreglo al presente artículo.

Artículo 18. Cumplimiento de las solicitudes de datos

1.   Cuando un titular de datos reciba una solicitud de puesta a disposición de datos con arreglo al presente capítulo, pondrá los datos a disposición del organismo del sector público, la Comisión, el Banco Central Europeo o un organismo de la Unión solicitante sin demora indebida, teniendo en cuenta las medidas técnicas, organizativas y jurídicas necesarias.

2.   Sin perjuicio de las necesidades específicas relativas a la disponibilidad de datos definidas en el Derecho de la Unión o nacional, el titular de datos podrá denegar o solicitar la modificación de una solicitud de poner a disposición los datos con arreglo al presente capítulo sin demora indebida y, en cualquier caso, a más tardar cinco días hábiles después de la recepción de una solicitud de los datos necesarios para responder a una emergencia pública y sin demora indebida y, en cualquier caso, a más tardar treinta días hábiles después de la recepción de dicha solicitud en otros casos de necesidad excepcional, por cualquiera de los motivos siguientes:

 a) que el titular de datos no tenga control sobre los datos solicitados;

 b) que otro organismo del sector público o la Comisión, el Banco Central Europeo o un organismo de la Unión haya presentado previamente una solicitud similar para el mismo fin y no se haya notificado la supresión de los datos al titular de los datos de conformidad con el artículo 19, apartado 1, letra c);

 c) que la solicitud no reúna las condiciones establecidas en el artículo 17, apartados 1 y 2.

3.   En caso de que el titular de datos decida denegar la solicitud o pedir su modificación de conformidad con el apartado 2, letra b), indicará la identidad del organismo del sector público o la Comisión, el Banco Central Europeo o el organismo de la Unión que haya presentado previamente una solicitud con la misma finalidad.

4.   Cuando los datos solicitados incluyan datos personales, el titular de datos anonimizará adecuadamente los datos, a menos que el cumplimiento de la solicitud de poner datos a disposición de un organismo del sector público, la Comisión, el Banco Central Europeo o un organismo de la Unión exija la divulgación de datos personales. En tales casos, el titular de datos seudonimizará los datos.

5.   Cuando el organismo del sector público, la Comisión, el Banco Central Europeo o el organismo de la Unión desee impugnar la negativa de un titular de datos a proporcionar los datos solicitados, o cuando el titular de datos desee impugnar la solicitud y el asunto no pueda resolverse mediante una modificación adecuada de la solicitud, el asunto se someterá a la autoridad competente designada en cumplimiento del artículo 37 del Estado miembro en el que esté establecido el titular de datos.

Artículo 19. Obligaciones de los organismos del sector público, la Comisión, el Banco Central Europeo y los organismos de la Unión

1.   Un organismo del sector público, la Comisión, el Banco Central Europeo o un organismo de la Unión que reciba datos de conformidad con una solicitud presentada con arreglo al artículo 14:

 a) no podrá utilizar los datos de manera incompatible con la finalidad para la que hayan sido solicitados;

 b) habrá aplicado medidas técnicas y organizativas que preserven la confidencialidad y la integridad de los datos solicitados y la seguridad de las transferencias de datos, en particular los datos personales, y garanticen los derechos y libertades de los interesados;

 c) suprimirá los datos en cuanto dejen de ser necesarios para la finalidad declarada e informará sin demora indebida al titular de datos y a las personas u organizaciones que hayan recibido los datos de conformidad con el artículo 21, apartado 1, de que los datos han sido suprimidos, a menos que el archivo de los datos sea necesario de conformidad con el Derecho de la Unión o nacional sobre acceso público a los documentos en el contexto de las obligaciones de transparencia.

2.   El organismo del sector público, la Comisión, el Banco Central Europeo, el organismo de la Unión o el tercero que reciba datos con arreglo al presente capítulo no podrá:

 a) utilizar los datos o las ideas sobre la situación económica, los activos y los métodos de producción o funcionamiento del titular de datos para desarrollar o mejorar un producto conectado o servicio relacionado que compita con el producto conectado o servicio relacionado del titular de datos;

 b) compartir los datos con otro tercero para cualquiera de los fines a que se refiere la letra a).

3.   La revelación de secretos comerciales a un organismo del sector público, a la Comisión, al Banco Central Europeo o a un organismo de la Unión se exigirá solo en la medida en que sea estrictamente necesario para cumplir la finalidad de una solicitud en virtud del artículo 15. En tal caso, el titular de datos o, si no se trata de la misma persona, el poseedor del secreto comercial, identificará los datos protegidos como secretos comerciales, también en los metadatos pertinentes. El organismo del sector público, la Comisión, el Banco Central Europeo o el organismo de la Unión adoptarán, antes de la revelación de los secretos comerciales, todas las medidas técnicas y organizativas necesarias y adecuadas para preservar la confidencialidad de los secretos comerciales, incluido, en su caso, el uso de cláusulas contractuales tipo, normas técnicas y la aplicación de códigos de conducta.

4.   Un organismo del sector público, la Comisión, el Banco Central Europeo o un organismo de la Unión será responsable de la seguridad de los datos que reciba.

Artículo 20. Compensación en caso de necesidad excepcional

1.   Los titulares de datos distintos de las microempresas y pequeñas empresas pondrán a disposición de forma gratuita los datos necesarios para responder a una emergencia pública con arreglo al artículo 15, apartado 1, letra a). El organismo del sector público, la Comisión, el Banco Central Europeo o el organismo de la Unión que haya recibido los datos dará reconocimiento público al titular de datos si este así lo solicita.

2.   El titular de datos tendrá derecho a una compensación justa por poner a disposición datos en cumplimiento de una solicitud presentada con arreglo al artículo 15, apartado 1, letra b). Tal compensación cubrirá los costes técnicos y organizativos soportados para dar cumplimiento a la solicitud, incluidos, en su caso, los costes de anonimización, seudonimización, agregación y de adaptación técnica, más un margen razonable. A petición del organismo del sector público, la Comisión, el Banco Central Europeo o el organismo de la Unión, el titular de datos proporcionará información sobre la base de cálculo de los costes y del margen razonable.

3.   El apartado 2 también será de aplicación cuando una microempresa y pequeña empresa exija una compensación por poner a disposición los datos.

4.   Los titulares de datos no tendrán derecho a una compensación por la puesta de datos a disposición en cumplimiento de una solicitud realizada con arreglo al artículo 15, apartado 1, letra b), cuando la tarea específica desempeñada en interés público sea la elaboración de estadísticas oficiales y el Derecho nacional no permita la compra de datos. Los Estados miembros notificarán a la Comisión los casos en que el Derecho nacional no permita la compra de datos para la elaboración de estadísticas oficiales.

5.   Cuando el organismo del sector público, la Comisión, el Banco Central Europeo o el organismo de la Unión no acepte el nivel de compensación solicitado por el titular de datos, podrá presentar una reclamación ante la autoridad competente designada en cumplimiento del artículo 37 del Estado miembro en el que esté establecido el titular de datos.

Artículo 21. Intercambio de datos con organizaciones de investigación u organismos estadísticos, obtenidos en el contexto de alguna necesidad excepcional

1.   Un organismo del sector público, la Comisión, el Banco Central Europeo o un organismo de la Unión tendrá derecho a compartir datos recibidos en virtud del presente capítulo:

 a) con personas u organizaciones con miras a la realización de investigaciones científicas o análisis compatibles con el fin para el que se solicitaron los datos, o

 b) con los institutos nacionales de estadística y Eurostat para la elaboración de estadísticas oficiales.

2.   Las personas físicas u organizaciones que reciban los datos con arreglo al apartado 1 actuarán sin fines lucrativos o en el contexto de una misión de interés público reconocida en el Derecho de la Unión o nacional. Quedarán excluidas las organizaciones sujetas a una influencia importante de empresas comerciales que es probable que resulte en un acceso preferente a los resultados de la investigación.

3.   Las personas físicas u organizaciones que reciban los datos con arreglo al apartado 1 del presente artículo cumplirán las mismas obligaciones que se aplican a los organismos del sector público, a la Comisión, al Banco Central Europeo o a los organismos de la Unión con arreglo al artículo 17, apartado 3, y al artículo 19.

4.   No obstante lo dispuesto en el artículo 19, apartado 1, letra c), las personas físicas u organizaciones que reciban los datos con arreglo al apartado 1 del presente artículo podrán conservar los datos recibidos para el fin para el que se solicitaron los datos hasta seis meses desde la supresión de los datos por los organismos del sector público, la Comisión, el Banco Central Europeo y los organismos de la Unión.

5.   Cuando un organismo del sector público, la Comisión, el Banco Central Europeo o un organismo de la Unión se proponga transmitir o poner datos a disposición con arreglo al apartado 1 del presente artículo, lo notificará sin demora indebida al titular de datos del que se hayan recibido los datos, indicando la identidad y los datos de contacto de la organización o persona física que reciba los datos, la finalidad de la transmisión o puesta a disposición de los datos, el plazo durante el cual se utilizarán los datos y las medidas técnicas y organizativas de protección adoptadas, también cuando se trate de datos personales o secretos comerciales. Cuando el titular de datos no acepte la transmisión o puesta a disposición de datos, podrá presentar una reclamación ante la autoridad competente designada en cumplimiento del artículo 37 del Estado miembro en el que esté establecido el titular de datos.

Artículo 22. Asistencia mutua y cooperación transfronteriza

1.   Los organismos del sector público, la Comisión, el Banco Central Europeo y los organismos de la Unión cooperarán y se asistirán mutuamente con el fin de aplicar el presente capítulo de manera coherente.

2.   Los datos compartidos en el contexto de la petición y prestación de asistencia con arreglo al apartado 1 no podrán utilizarse de manera incompatible con la finalidad prevista en la petición.

3.   Cuando un organismo del sector público prevea solicitar datos a un titular de datos establecido en otro Estado miembro, notificará previamente su intención a la autoridad competente designada en cumplimiento del artículo 37 en dicho Estado miembro. Este requisito se aplicará también a las solicitudes de la Comisión, el Banco Central Europeo y los organismos de la Unión. La solicitud será examinada por la autoridad competente del Estado miembro en el que esté establecido el titular de los datos.

4.   Tras haber examinado la solicitud a la luz de los requisitos establecidos en el artículo 17, la autoridad competente pertinente adoptará, sin demora indebida, una de las siguientes medidas:

 a) transmitirá la solicitud al titular de datos y, en su caso, asesorará al organismo del sector público solicitante, a la Comisión, al Banco Central Europeo o al organismo de la Unión sobre la necesidad, en su caso, de cooperar con los organismos del sector público del Estado miembro en el que esté establecido el titular de datos con el fin de reducir la carga administrativa que pesa sobre el titular de datos en el cumplimiento de la solicitud;

 b) rechazará la solicitud por razones debidamente motivadas, de conformidad con el presente capítulo.

El organismo del sector público solicitante, la Comisión, el Banco Central Europeo y el organismo de la Unión tendrán en cuenta el asesoramiento y los motivos de la autoridad competente pertinente de conformidad con el párrafo primero antes de iniciar cualquier acción adicional, como volver a enviar la solicitud, en su caso.

CAPÍTULO VI. CAMBIO ENTRE SERVICIOS DE TRATAMIENTO DE DATOS

Artículo 23. Eliminación de los obstáculos a un cambio efectivo

Los proveedores de servicios de tratamiento de datos adoptarán las medidas previstas en los artículos 25, 26, 27, 29 y 30 para permitir a los clientes cambiar a un servicio de tratamiento de datos que cubra el mismo tipo de servicio, que sea prestado por un proveedor diferente de servicios de tratamiento de datos o a una infraestructura de TIC local o, cuando proceda, usar varios proveedores de servicios de tratamiento de datos simultáneamente. En particular, los proveedores de servicios de tratamiento de datos eliminarán y no pondrán obstáculos precomerciales, comerciales, técnicos, contractuales y organizativos que disuada a los clientes:

a) resolver, tras el plazo máximo de preaviso y la tramitación con éxito del proceso de cambio, de conformidad con el artículo 25, el contrato de servicio de tratamiento de datos;

b) celebrar nuevos contratos con otro proveedor de servicios de tratamiento de datos que cubran el mismo tipo de servicio;

c) transferir los datos exportables del cliente y sus activos digitales a un proveedor diferente de servicios de tratamiento de datos o a una infraestructura de TIC local, incluso después de haberse beneficiado de una oferta gratuita;

d) de conformidad con el artículo 24, alcanzar la equivalencia funcional en el uso del nuevo servicio de tratamiento de datos en el entorno de las TIC de un proveedor o proveedores diferentes de servicios de tratamiento de datos que incluyan el mismo tipo de servicio;

e) la desagregación, cuando sea técnicamente viable, de los servicios de tratamiento de datos a que se refiere el artículo 30, apartado 1, de otros servicios de tratamiento de datos prestados por el proveedor de servicios de tratamiento de datos.

Artículo 24. Alcance de las obligaciones técnicas

Las responsabilidades de los proveedores de servicios de tratamiento de datos establecidas en los artículos 23, 25, 29, 30 y 34, se aplicarán solo a los servicios, contratos o prácticas comerciales prestados por el proveedor de servicios de tratamiento de datos de origen.

Artículo 25. Cláusulas contractuales relativas al cambio

1.   Los derechos del cliente y las obligaciones del proveedor de servicios de tratamiento de datos en relación con el cambio de proveedor de esos servicios o, en su caso, el cambio a una infraestructura de TIC local se establecerán con claridad en un contrato escrito. El proveedor de servicios de tratamiento de datos pondrá dicho contrato a disposición del cliente antes de su firma, de un modo que permita al cliente conservar y reproducir el contrato.

2.   Sin perjuicio de lo dispuesto en la Directiva (UE) 2019/770, el contrato a que se refiere el apartado 1 del presente artículo incluirá al menos los siguientes elementos:

 a) cláusulas que permitan al cliente, previa solicitud, cambiar a un servicio de tratamiento de datos ofrecido por un proveedor diferente de servicios de tratamiento de datos o trasladar todos los datos exportables y activos digitales a una infraestructura de TIC local, sin demora indebida y, en cualquier caso, en un plazo no superior al período transitorio obligatorio máximo de treinta días naturales, que comenzará al final del plazo máximo de preaviso a que se refiere la letra d), durante el cual el contrato de servicio se seguirá aplicando y durante el cual el proveedor de servicios de tratamiento de datos:

  i) prestará una asistencia razonable al cliente y a terceros autorizados por el cliente en el proceso de cambio,

  ii) actuará con la diligencia debida para mantener la continuidad de las actividades y continuará la prestación de las funciones o servicios en virtud del contrato,

  iii) proporcionará información clara sobre los riesgos conocidos para la continuidad de la prestación de las funciones o servicios por parte del proveedor de servicios de tratamiento de datos de origen,

  iv) garantizará que se mantenga un alto nivel de seguridad a lo largo de todo el proceso de cambio, en particular, la seguridad de los datos durante su transferencia y la seguridad continua de los datos durante el período de extracción especificado en la letra g), de conformidad con el Derecho aplicable de la Unión o nacional;

 b) la obligación del proveedor de servicios de tratamiento de datos de apoyar la estrategia de salida del cliente pertinente para los servicios contratados, también proporcionando toda la información pertinente;

 c) la cláusula en la que se especifique que el contrato se considerará resuelto y se notificará al cliente la resolución, en uno de los siguientes casos:

  i) cuando proceda, una vez concluido con éxito el proceso de cambio,

  ii) al final del plazo máximo de preaviso a que se refiere la letra d), cuando el cliente no desee cambiar de proveedor, sino suprimir todos sus datos exportables y activos digitales una vez resuelto el servicio;

 d) un plazo máximo de preaviso para el inicio del proceso de cambio, que no excederá de dos meses;

 e) una especificación exhaustiva de todas las categorías de datos y activos digitales que pueden ser exportadas durante el proceso de cambio, que deberá comprender, como mínimo, todos los datos exportables;

 f) una especificación exhaustiva de las categorías de datos específicas del funcionamiento interno del servicio de tratamiento de datos del proveedor que deben quedar excluidas de los datos exportables con arreglo a la letra e) del presente apartado cuando exista un riesgo de violación de secretos comerciales del proveedor, siempre que dichas exenciones no impidan ni retrasen el proceso de cambio previsto en el artículo 23;

 g) un período mínimo para la extracción de datos de al menos treinta días naturales después de la expiración del período transitorio pactado entre el cliente y el proveedor de servicios de tratamiento de datos, de conformidad con la letra a) del presente apartado y el apartado 4;

 h) una cláusula que garantice la supresión total de todos los datos exportables y activos digitales generados directamente por el cliente, o directamente relacionados con el cliente, tras la expiración del período de extracción a que se refiere la letra g) o tras la expiración de un período alternativo pactado fijado en una fecha posterior a la fecha de expiración del período de extracción a que se refiere la letra g), siempre que el proceso de cambio haya finalizado con éxito;

 i) los costes por cambio que puedan imponer los proveedores de servicios de tratamiento de datos de conformidad con el artículo 29.

3.   El contrato al que se refiere el apartado 1, incluirá cláusulas que estipulen que el cliente puede notificar al proveedor de servicios de tratamiento de datos su decisión de realizar una o varias de las siguientes acciones una vez expire el plazo máximo de preaviso a que se refiere el apartado 2, letra d):

 a) cambiar a un proveedor diferente de servicios de tratamiento de datos, en cuyo caso el cliente proporcionará los datos de contacto necesarios de dicho proveedor;

 b) cambiar a una infraestructura de TIC local;

 c) suprimir sus datos exportables y sus activos digitales.

4.   Cuando el período transitorio obligatorio máximo establecido en el apartado 2, letra a), sea técnicamente inviable, el proveedor de servicios de tratamiento de datos notificará la inviabilidad técnica al cliente dentro de un plazo de catorce días hábiles desde que se haya presentado la solicitud de cambio, y justificará debidamente dicha inviabilidad e indicará un período transitorio alternativo, que no excederá de siete meses. De conformidad con el apartado 1, se garantizará la continuidad del servicio durante todo el período transitorio alternativo.

5.   Sin perjuicio de lo dispuesto en el apartado 4, el contrato al que se refiere el apartado 1 incluirá disposiciones que otorguen al cliente el derecho a prorrogar el período transitorio una vez por un período que el cliente considere más adecuado para sus propios fines.

Artículo 26. Obligación de información de los proveedores de servicios de tratamiento de datos

El proveedor de servicios de tratamiento de datos proporcionará al cliente:

a) información sobre los procedimientos disponibles para el cambio y la transferencia al servicio de tratamiento de datos, incluida la información sobre los métodos y formatos de cambio y de transferencia disponibles, así como las restricciones y limitaciones técnicas conocidas por el proveedor de servicios de tratamiento de datos;

b) una referencia a un registro en línea actualizado alojado por el proveedor de servicios de tratamiento de datos, con detalles de todas las estructuras y formatos de datos, así como de las normas pertinentes y las especificaciones de interoperabilidad abiertas, en el que estén disponibles los datos exportables a que se refiere el artículo 25, apartado 2, letra e).

Artículo 27. Obligación de buena fe

Todas las partes implicadas, incluidos los proveedores de servicios de tratamiento de datos de destino, cooperarán de buena fe para que el proceso de cambio sea eficaz, posibilitar la transferencia de los datos en tiempo oportuno y mantener la continuidad del servicio de tratamiento de datos.

Artículo 28. Obligaciones de transparencia contractual en materia de acceso y transferencia internacionales

1.   Los proveedores de servicios de tratamiento de datos pondrán a disposición en sus sitios web la siguiente información y la mantendrán actualizada:

 a) la jurisdicción a la que está sujeta la infraestructura de TIC desplegada para el tratamiento de datos de sus servicios individuales;

 b) una descripción general de las medidas técnicas, organizativas y contractuales adoptadas por el proveedor de servicios de tratamiento de datos para impedir el acceso o transferencia internacionales por parte de las administraciones públicas de datos no personales que se encuentren en la Unión, cuando dicho acceso o transferencia pueda entrar en conflicto con el Derecho de la Unión o con el Derecho nacional del Estado miembro de que se trate.

2.   Los sitios web a que se refiere el apartado 1 se enumerarán en los contratos de todos los servicios de tratamiento de datos ofrecidos por los proveedores de servicios de tratamiento de datos.

Artículo 29. Supresión gradual de los costes por cambio

1.   A partir del 12 de enero de 2027, los proveedores de servicios de tratamiento de datos no impondrán al cliente ningún coste por cambio por el proceso de cambio.

2.   Del 11 de enero de 2024 hasta el 12 de enero de 2027, los proveedores de servicios de tratamiento de datos podrán imponer al cliente costes por cambio reducidos por el proceso de cambio.

3.   Los costes por cambio reducidos contemplados en el apartado 2 no excederán de los costes soportados por el proveedor de servicios de tratamiento de datos que tengan una relación directa con el proceso de cambio de que se trate.

4.   Antes de celebrar un contrato con un cliente, los proveedores de servicios de tratamiento de datos proporcionarán al posible cliente información clara sobre los costes estándar del servicio y las sanciones por resolución anticipada que podrían imponerse, así como sobre la reducción de los costes por cambio que podrían imponerse durante el plazo a que se refiere el apartado 2.

5.   Cuando proceda, los proveedores de servicios de tratamiento de datos proporcionarán información al cliente sobre los servicios de tratamiento de datos que impliquen un cambio muy complejo o costoso o para los que sea imposible cambiar de proveedor sin interferencias significativas en los datos, los activos digitales o la arquitectura del servicio.

6.   Cuando proceda, los proveedores de servicios de tratamiento de datos pondrán la información a que se refieren los apartados 4 y 5 a disposición pública para los clientes a través de una sección específica de su sitio web o de cualquier otra forma fácilmente accesible.

7.   La Comisión estará facultada para adoptar actos delegados, de conformidad con el artículo 45, con el fin de completar el presente Reglamento mediante el establecimiento de un mecanismo de seguimiento que permita a la Comisión supervisar los costes por cambio aplicados por los proveedores de servicios de tratamiento de datos en el mercado para garantizar que la supresión y la reducción de los costes por cambio con arreglo a los apartados 1 y 2 del presente artículo, se alcancen de conformidad con los plazos previstos en dichos apartados.

Artículo 30. Aspectos técnicos del cambio

1.   Los proveedores de servicios de tratamiento de datos que afectan a recursos informáticos modulables y elásticos limitados a elementos de infraestructura, como los servidores, las redes y los recursos virtuales necesarios para explotar la infraestructura, pero que no proporcionan acceso a los servicios operativos, aplicaciones y software almacenados, tratados o implantados en esos elementos de infraestructura, adoptarán, de conformidad con el artículo 27, todas las medidas razonables a su alcance para facilitar que el cliente, tras cambiar a un servicio que cubra el mismo tipo de servicio, logre la equivalencia funcional en el uso del servicio de tratamiento de datos de destino. El proveedor de servicios de tratamiento de datos de origen facilitará el proceso de cambio proporcionando capacidades, información adecuada, documentación, apoyo técnico y, cuando proceda, las herramientas necesarias.

2.   Los proveedores de servicios de tratamiento de datos, distintos de a los que se refiere el apartado 1, pondrán gratuitamente interfaces abiertas a disposición de todos sus clientes y de los proveedores de servicios de tratamiento de datos de destino afectados, de igual manera, para facilitar el proceso de cambio. Estas interfaces incluirán información suficiente sobre el servicio de que se trate para permitir el desarrollo de programas informáticos para comunicarse con los servicios, a efectos de la portabilidad de los datos y la interoperabilidad.

3.   En el caso de servicios de tratamiento de datos distintos de los contemplados en el apartado 1 del presente artículo, los proveedores de servicios de tratamiento de datos garantizarán la compatibilidad con las especificaciones comunes basadas en especificaciones de interoperabilidad abiertas o normas armonizadas de interoperabilidad al menos doce meses después de la publicación de las referencias a dichas especificaciones comunes de interoperabilidad o normas armonizadas de interoperabilidad de los servicios de tratamiento de datos en el repositorio central de la Unión de normas para la interoperabilidad de los servicios de tratamiento de datos tras la publicación de los actos de ejecución correspondientes en el Diario Oficial de la Unión Europea de conformidad con el artículo 35, apartado 7.

4.   Los proveedores de servicios de tratamiento de datos distintos de los contemplados en el apartado 1 del presente artículo actualizarán el registro en línea a que se refiere el artículo 26, letra b), de conformidad con sus obligaciones en virtud del apartado 3 del presente artículo.

5.   En caso de cambio entre servicios del mismo tipo de servicio, para los que no se hayan publicado las especificaciones comunes o las normas armonizadas de interoperabilidad a que se refiere el apartado 3 del presente artículo en el repositorio central de la Unión de normas para la interoperabilidad de los servicios de tratamiento de datos de conformidad con el artículo 35, apartado 8, el proveedor de servicios de tratamiento de datos exportará, a petición del cliente, todos los datos exportables en un formato estructurado, de utilización habitual y de lectura mecánica.

6.   Los proveedores de servicios de tratamiento de datos no estarán obligados a desarrollar nuevas tecnologías o servicios, ni a revelar o transferir activos digitales protegidos por derechos de propiedad intelectual o que constituyan un secreto comercial, a un cliente o a un proveedor diferente de servicios de tratamiento de datos, ni a comprometer la seguridad y la integridad del servicio del cliente o del proveedor.

Artículo 31. Régimen específico para determinados servicios de tratamiento de datos

1.   Las obligaciones establecidas en el artículo 23, letra d), en el artículo 29 y en el artículo 30, apartados 1 y 3, no se aplicarán a los servicios de tratamiento de datos una mayor parte de cuyas características principales se hayan desarrollado a medida para satisfacer las necesidades específicas de un cliente concreto o en los que todos los componentes se hayan desarrollado para los fines de un cliente concreto, y cuando esos servicios de tratamiento de datos no se ofrezcan a gran escala comercial a través del catálogo de servicios del proveedor de servicios de tratamiento de datos.

2.   Las obligaciones establecidas en el presente capítulo no se aplicarán a los servicios de tratamiento de datos prestados como versión no destinada a la producción con fines de ensayo y evaluación y durante un período de tiempo limitado.

3.   Antes de la celebración de un contrato sobre la prestación de los servicios de tratamiento de datos a que se refiere el presente artículo, el proveedor de servicios de tratamiento de datos informará al posible cliente de las obligaciones del presente capítulo que no sean aplicables.

CAPÍTULO VII. ACCESO Y TRANSFERENCIA INTERNACIONALES ILÍCITOS DE DATOS NO PERSONALES POR PARTE DE ADMINISTRACIONES PÚBLICAS

Artículo 32. Acceso y transferencia internacionales por parte de administraciones públicas

1.   Los proveedores de servicios de tratamiento de datos personales adoptarán todas las medidas técnicas, organizativas y jurídicas adecuadas, lo que incluye la celebración de contratos, para impedir el acceso y la transferencia internacionales y por parte de las administraciones públicas de terceros países de datos no personales que se encuentren en la Unión, cuando dicha transferencia o acceso entren en conflicto con el Derecho de la Unión o con el Derecho nacional del Estado miembro de que se trate, sin perjuicio de lo dispuesto en los apartados 2 o 3.

2.   Las resoluciones o sentencias de órganos jurisdiccionales de un tercer país y las decisiones de autoridades administrativas de un tercer país en las que se exija a un proveedor de servicios de tratamiento de datos transferir o dar acceso a datos no personales incluidos en el ámbito de aplicación del presente Reglamento que se encuentren en la Unión solo se reconocerá o ejecutará de cualquier forma si se basan en un acuerdo internacional, como un tratado de asistencia jurídica mutua, vigente entre el tercer país solicitante y la Unión o entre el tercer país solicitante y un Estado miembro.

3.   En ausencia de un acuerdo internacional de los contemplados en el apartado 2, cuando un proveedor de servicios de tratamiento de datos sea el destinatario de una resolución o sentencia de un órgano jurisdiccional de un tercer país o de una decisión de una autoridad administrativa de un tercer país de transferir o dar acceso a datos no personales incluidos en el ámbito de aplicación del presente Reglamento que se encuentren en la Unión y el cumplimiento de dicha decisión entrañe el riesgo de que el destinatario entre en conflicto con el Derecho de la Unión o con el Derecho nacional del Estado miembro de que se trate, la transferencia a dichos datos o el acceso a los mismos por parte de dicha autoridad de un tercer país solo tendrá lugar cuando:

 a) el sistema del tercer país exija que se expongan los motivos y la proporcionalidad de dicha resolución o sentencia y que la resolución o sentencia sea de carácter específico, por ejemplo, estableciendo un vínculo suficiente con determinadas personas sospechosas o infracciones;

 b) la oposición motivada del destinatario se someta a la apreciación de un órgano jurisdiccional competente del tercer país, y

 c) el órgano jurisdiccional competente del tercer país que dicte la resolución o sentencia o revise la resolución de una autoridad administrativa esté facultado, con arreglo al Derecho del tercer país, para tener debidamente en cuenta los intereses jurídicos pertinentes del proveedor de los datos protegidos por el Derecho de la Unión o por el Derecho nacional del Estado miembro pertinente.

El destinatario de la resolución o sentencia podrá solicitar el dictamen del organismo nacional pertinente o de la autoridad competente en materia de cooperación internacional en asuntos jurídicos, con el fin de determinar si se cumplen las condiciones establecidas en el párrafo primero, en particular, cuando considere que la decisión puede referirse a secretos comerciales y otros datos sensibles desde el punto de vista comercial, así como a contenidos protegidos por derechos de propiedad intelectual, o que la transferencia puede dar lugar a una reidentificación. El organismo o autoridad nacional competente podrá consultar a la Comisión. Si el destinatario considera que la decisión o sentencia puede afectar a los intereses de la seguridad nacional o de la defensa de la Unión o de sus Estados miembros, solicitará el dictamen del organismo o autoridad nacional competente, a fin de determinar si los datos solicitados se refieren a intereses de seguridad nacional o de defensa de la Unión o de sus Estados miembros. Si el destinatario no ha recibido una respuesta en el plazo de un mes, o si el dictamen de tal organismo o autoridad llega a la conclusión de que no se cumplen las condiciones establecidas en el párrafo primero, el destinatario podrá denegar por esos motivos la solicitud de transferencia o acceso a datos no personales.

El CEID a que se refiere el artículo 42 asesorará y asistirá a la Comisión en la elaboración de directrices para la evaluación del cumplimiento de las condiciones establecidas en el párrafo primero del presente apartado.

4.   Si se cumplen las condiciones establecidas en los apartados 2 o 3, el proveedor de servicios de tratamiento de datos proporcionará la cantidad mínima de datos permitida en respuesta a una solicitud, sobre la base de la interpretación razonable de dicha solicitud por parte del proveedor o del organismo o autoridad nacional competente a que se refiere el apartado 3, párrafo segundo.

5.   Antes de dar cumplimiento a dicha solicitud, el proveedor de servicios de tratamiento de datos informará al cliente de que una autoridad de un tercer país ha presentado una solicitud de acceso a sus datos, excepto en los casos en que la solicitud sirva a fines de aplicación de la ley y mientras sea necesario para preservar la eficacia de las actividades correspondientes de aplicación de la ley.

CAPÍTULO VIII. INTEROPERABILIDAD

Artículo 33. Requisitos esenciales en materia de interoperabilidad de los datos, de los mecanismos y servicios de intercambio de datos, y de los espacios comunes europeos de datos

1.   Los participantes en espacios de datos que ofrezcan datos o servicios de datos a otros participantes cumplirán los siguientes requisitos esenciales para facilitar la interoperabilidad de los datos, de los mecanismos y servicios de intercambio de datos, y de los espacios comunes europeos de datos que sean marcos interoperables específicos, sectoriales o intersectoriales de normas y prácticas comunes para compartir o tratar conjuntamente datos con el fin, entre otros, de desarrollar nuevos productos y servicios, investigación científica o iniciativas de la sociedad civil:

 a) el contenido del conjunto de datos, las restricciones de utilización, las licencias, la metodología de recopilación de datos y la calidad e incertidumbre de los datos se describirán en una medida suficiente, cuando proceda, en un formato de lectura mecánica para que el destinatario pueda encontrar los datos, acceder a ellos y utilizarlos;

 b) las estructuras de datos, los formatos de datos, los vocabularios, los sistemas de clasificación, las taxonomías y las listas de códigos, cuanto estén disponibles, se describirán de manera que sean de acceso público y coherentes;

 c) los medios técnicos para acceder a los datos, tales como las interfaces de programación de aplicaciones, así como sus condiciones de uso y su calidad de servicio, se describirán en una medida suficiente para permitir el acceso automático a los datos y su transmisión automática entre las partes, incluido de forma continua, en descarga masiva o en tiempo real, en un formato de lectura mecánica cuando sea técnicamente viable y no impida el buen funcionamiento del producto conectado;

 d) cuando proceda, se proporcionarán los medios que posibiliten la interoperabilidad de las herramientas para automatizar la ejecución de los acuerdos de intercambio de datos, como los contratos inteligentes.

Los requisitos pueden ser de carácter genérico o referirse a sectores específicos, si bien han de tomar plenamente en consideración la interrelación con requisitos derivados de otras disposiciones del Derecho de la Unión o nacional.

2.   La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 45 del presente Reglamento por los que se complete el presente Reglamento especificando en mayor medida los requisitos esenciales establecidos en el apartado 1 del presente artículo, en relación con aquellos requisitos que, por su naturaleza, no puedan producir el efecto deseado a menos que se especifiquen con más detalle en actos jurídicos vinculantes de la Unión y con el fin de reflejar adecuadamente la evolución tecnológica y del mercado.

Cuando adopte actos delegados, la Comisión tendrá en cuenta el asesoramiento del CEID de conformidad con el artículo 42, letra c), inciso iii).

3.   Se presumirá que los participantes en espacios de datos que ofrezcan datos o servicios de datos a otros participantes en espacios de datos que cumplan las normas armonizadas o partes de estas normas, cuyas referencias se hayan publicado en el Diario Oficial de la Unión Europea, cumplen los requisitos esenciales establecidos en el apartado 1 en la medida en que dichas normas armonizadas o partes de ellas cubran dichos requisitos.

4.   De conformidad con el artículo 10 del Reglamento (UE) nº1025/2012, la Comisión pedirá a una o varias organizaciones europeas de normalización que elaboren normas armonizadas que cumplan los requisitos esenciales establecidos en el apartado 1 del presente artículo.

5.   La Comisión podrá adoptar, mediante actos de ejecución, especificaciones comunes que cubran alguno o todos los requisitos esenciales establecidos en el apartado 1 cuando se cumplan las siguientes condiciones:

 a) que la Comisión haya solicitado, en virtud del artículo 10, apartado 1, del Reglamento (UE) nº 1025/2012, a una o varias organizaciones europeas de normalización la redacción de una norma armonizada que cumpla los requisitos esenciales establecidos en el apartado 1 del presente artículo y:

  i) la solicitud no haya sido aceptada,

  ii) las normas armonizadas en respuesta a dicha solicitud no se entreguen dentro del plazo establecido de conformidad con el artículo 10, apartado 1, del Reglamento (UE) nº 1025/2012, o

  iii) las normas armonizadas no se ajusten a la solicitud, y

 b) no se haya publicado en el Diario Oficial de la Unión Europea ninguna referencia a normas armonizadas que regulen los requisitos esenciales pertinentes establecidos en el apartado 1 del presente artículo, de conformidad con el Reglamento (UE) nº 1025/2012 y no se prevea la publicación de ningún proyecto de norma en un plazo razonable.

Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 46, apartado 2.

6.   Antes de preparar un proyecto de acto de ejecución a que se refiere el apartado 5 del presente artículo, la Comisión informará al comité a que se refiere el artículo 22 del Reglamento (UE) nº1025/2012 de que considera que se cumplen las condiciones establecidas en el apartado 5 del presente artículo.

7.   Al preparar el proyecto de acto de ejecución a que se refiere el apartado 5, la Comisión tendrá en cuenta el asesoramiento del CEID y las opiniones de otros organismos o grupos de expertos pertinentes y consultará debidamente a todas las partes interesadas pertinentes.

8.   Se presumirá que los participantes en espacios de datos que ofrezcan datos o servicios de datos a otros participantes en espacios de datos que cumplan las especificaciones comunes establecidas por los actos de ejecución a que se refiere el apartado 5, o partes de estos, cumplen los requisitos esenciales establecidos en el apartado 1, en la medida en que dichos requisitos estén contemplados por tales especificaciones comunes o partes de ellas.

9.   Cuando una norma armonizada sea adoptada por una organización europea de normalización y propuesta a la Comisión con el fin de publicar su referencia en el Diario Oficial de la Unión Europea, la Comisión evaluará la norma armonizada de conformidad con el Reglamento (UE) nº1025/2012. Cuando la referencia de una norma armonizada se haya publicado en el Diario Oficial de la Unión Europea, la Comisión derogará los actos de ejecución a que se refiere el apartado 5 del presente artículo, o partes de estos que prevean los mismos requisitos esenciales que los contemplados por las normas armonizadas.

10.   Cuando un Estado miembro considere que una especificación común no cumple plenamente los requisitos esenciales establecidos en el apartado 1, informará de ello a la Comisión presentando una explicación detallada. La Comisión evaluará dicha explicación detallada y podrá modificar, si procede, el acto de ejecución por el que se establezca la especificación común en cuestión.

11.   La Comisión podrá adoptar directrices teniendo en cuenta la propuesta del CEID de conformidad con el artículo 30, letra h), del Reglamento (UE) 2022/868, que establezcan marcos de interoperabilidad de las normas y prácticas comunes para el funcionamiento de los espacios comunes europeos de datos.

Artículo 34. Interoperabilidad a efectos del uso en paralelo de los servicios de tratamiento de datos

1.   Los requisitos establecidos en el artículo 23, el artículo 24, el artículo 25, apartado 2, letra a), incisos ii) y iv), letras e) y f), y el artículo 30, apartados 2 a 5, se aplicarán también mutatis mutandis a los proveedores de servicios de tratamiento de datos para facilitar la interoperabilidad a efectos del uso en paralelo de los servicios de tratamiento de datos.

2.   Cuando un servicio de tratamiento de datos se utilice en paralelo con otro servicio de tratamiento de datos, los proveedores de servicios de tratamiento de datos podrán imponer costes de salida de datos, pero solo con el fin de repercutir los costes de salida soportados, sin superar dichos costes.

Artículo 35. Interoperabilidad de los servicios de tratamiento de datos

1.   Las especificaciones de interoperabilidad abiertas y las normas armonizadas para la interoperabilidad de los servicios de tratamiento de datos deberán:

 a) lograr, cuando sea técnicamente viable, la interoperabilidad entre distintos servicios de tratamiento de datos que cubran el mismo tipo de servicio;

 b) mejorar la portabilidad de los activos digitales entre distintos servicios de tratamiento de datos que cubran el mismo tipo de servicio;

 c) facilitar, cuando sea técnicamente viable, la equivalencia funcional entre los servicios de tratamiento de datos a que se refiere el artículo 30, apartado 1, que cubran el mismo tipo de servicios;

 d) no afectar negativamente a la seguridad e integridad de los servicios de tratamiento de datos y de los datos;

 e) formularse de tal forma que permitan avances técnicos y la incorporación de nuevas funciones e innovaciones en los servicios de tratamiento de datos.

2.   Las especificaciones de interoperabilidad abiertas y las normas armonizadas para la interoperabilidad de los servicios de tratamiento de datos abordarán adecuadamente:

 a) los aspectos de la interoperabilidad de la nube en lo que respecta a la interoperabilidad del transporte, la interoperabilidad sintáctica, la interoperabilidad semántica de los datos, la interoperabilidad conductual y la interoperabilidad de los marcos normativos;

 b) los aspectos de la portabilidad de los datos en la nube en lo que respecta a la portabilidad sintáctica de los datos, la portabilidad semántica de los datos y la portabilidad de los marcos normativos relativos a los datos;

 c) los aspectos de las aplicaciones en la nube en lo que respecta a la portabilidad sintáctica de las aplicaciones, la portabilidad de las instrucciones de las aplicaciones, la portabilidad de los metadatos de las aplicaciones, la portabilidad conductual de las aplicaciones y la portabilidad de los marcos normativos de las aplicaciones.

3.   Las especificaciones de interoperabilidad abiertas cumplirán lo dispuesto en el anexo II del Reglamento (UE) nº1025/2012.

4.   Tras tener en cuenta las normas internacionales y europeas pertinentes y las iniciativas de autorregulación, la Comisión podrá, de conformidad con el artículo 10, apartado 1, del Reglamento (UE) nº1025/2012, pedir a una o varias organizaciones europeas de normalización que elaboren normas armonizadas que satisfagan los requisitos esenciales establecidos en los apartados 1 y 2 del presente artículo.

5.   La Comisión podrá adoptar, mediante actos de ejecución, especificaciones comunes sobre la base de especificaciones de interoperabilidad abiertas que cubran todos los requisitos esenciales establecidos en los apartados 1 y 2.

6.   Cuando prepare el proyecto de acto de ejecución a que se refiere el apartado 5 del presente artículo, la Comisión tendrá en cuenta las opiniones de las autoridades competentes a que se refiere el artículo 37, apartado 5, letra h), y de otros organismos o grupos de expertos pertinentes, y consultará debidamente a todas las partes interesadas pertinentes.

7.   Cuando un Estado miembro considere que una especificación común no cumple plenamente los requisitos establecidos en los apartados 1 y 2, informará de ello a la Comisión presentando una explicación detallada. La Comisión evaluará dicha explicación detallada y podrá modificar, si procede, el acto de ejecución por el que se establezca la especificación común en cuestión.

8.   A efectos del artículo 30, apartado 3, la Comisión publicará, mediante actos de ejecución, las referencias de las normas armonizadas y las especificaciones comunes para la interoperabilidad de los servicios de tratamiento de datos en un repositorio central de la Unión de normas para la interoperabilidad de los servicios de tratamiento de datos.

9.   Los actos de ejecución a que se refiere el presente artículo se adoptarán de conformidad con el procedimiento de examen contemplado en el artículo 46, apartado 2.

Artículo 36. Requisitos esenciales relativos a los contratos inteligentes para la ejecución de acuerdos de intercambio de datos

1.   El proveedor de una aplicación que utilice contratos inteligentes o, en su defecto, la persona cuya actividad comercial, empresarial o profesional implique el despliegue de contratos inteligentes para terceros en el contexto de la ejecución de la totalidad o parte de un acuerdo, para poner datos a disposición garantizará que los contratos inteligentes cumplen los siguientes requisitos esenciales:

 a) solidez y control de acceso, para garantizar que el contrato inteligente se haya diseñado de manera que ofrezca unos mecanismos de control de acceso y un grado de solidez muy elevado con el fin de evitar errores funcionales y contrarrestar los intentos de manipulación por terceros;

 b) resolución unilateral e interrupción seguras, para garantizar que exista un mecanismo que permita poner fin a la ejecución de transacciones y que el contrato inteligente incluye funciones internas que permitan reinicializar el contrato o darle instrucciones para poner fin a la operación o interrumpirla, en particular, para evitar futuras ejecuciones accidentales;

 c) archivo y continuidad de los datos, para garantizar, en circunstancias en las que el contrato inteligente deba finalizar o desactivarse, la posibilidad de archivar los datos de las transacciones, así como la lógica y el código del contrato inteligente, con el fin de llevar un registro de las operaciones con datos efectuadas previamente (auditabilidad);

 d) control de acceso, para garantizar que el contrato inteligente esté protegido con mecanismos rigurosos de control de acceso en el nivel de la gobernanza y en el del contrato inteligente, y

 e) coherencia, para garantizar la coherencia con las condiciones del acuerdo de intercambio de datos que ejecuta el contrato inteligente.

2.   El proveedor del contrato inteligente o, en su defecto, la persona cuya actividad comercial, empresarial o profesional implique el despliegue de contratos inteligentes para terceros en el contexto de la ejecución de la totalidad o de parte de un acuerdo, para poner datos a disposición realizará una evaluación de conformidad a efectos del cumplimiento de los requisitos esenciales establecidos en el apartado 1 y expedirá una declaración UE de conformidad respecto al cumplimiento de dichos requisitos.

3.   Al expedir la declaración UE de conformidad, el proveedor de una aplicación que utilice contratos inteligentes o, en su defecto, la persona cuya actividad comercial, empresarial o profesional implique el despliegue de contratos inteligentes para terceros en el contexto de la ejecución de la totalidad o de parte de un acuerdo de puesta a disposición de datos será responsable del cumplimiento de los requisitos esenciales establecidos en el apartado 1.

4.   Se presumirá que un contrato inteligente que se atenga a las normas armonizadas o las partes pertinentes de estas normas, cuyas referencias se hayan publicado en el Diario Oficial de la Unión Europea, es conforme con los requisitos esenciales establecidos en el apartado 1, en la medida en que dichos requisitos estén contemplados por tales normas armonizadas o partes de ellas.

5.   De conformidad con el artículo 10 del Reglamento (UE) nº1025/2012, la Comisión pedirá a una o varias organizaciones europeas de normalización que elaboren normas armonizadas que cumplan los requisitos esenciales establecidos en el apartado 1 del presente artículo.

6.   La Comisión podrá adoptar, mediante actos de ejecución, especificaciones comunes que cubran alguno o todos los requisitos esenciales establecidos en el apartado 1 cuando se cumplan las siguientes condiciones:

 a) que la Comisión haya solicitado, en virtud del artículo 10, apartado 1, del Reglamento (UE) nº 1025/2012, a una o varias organizaciones europeas de normalización la redacción de una norma armonizada que cumpla los requisitos esenciales establecidos en el apartado 1 del presente artículo y:

  i) la solicitud no haya sido aceptada,

  ii) las normas armonizadas en respuesta a dicha solicitud no se entreguen dentro del plazo establecido de conformidad con el artículo 10, apartado 1, del Reglamento (UE) nº 1025/2012, o

  iii) las normas armonizadas no se ajusten a la solicitud, y

 b) no se haya publicado en el Diario Oficial de la Unión Europea ninguna referencia a normas armonizadas que regulen los requisitos esenciales pertinentes establecidos en el apartado 1 del presente artículo, de conformidad con el Reglamento (UE) nº 1025/2012 y no se prevea la publicación de ningún proyecto de norma en un plazo razonable.

Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 46, apartado 2.

7.   Antes de preparar un proyecto de acto de ejecución a que se refiere el apartado 6 del presente artículo, la Comisión informará al Comité a que se refiere el artículo 22 del Reglamento (UE) nº1025/2012 de que considera que se cumplen las condiciones establecidas en el apartado 6 del presente artículo.

8.   Cuando prepare el proyecto de acto de ejecución a que se refiere el apartado 6, la Comisión tendrá en cuenta el asesoramiento del CEID y las opiniones de otros organismos o grupos de expertos pertinentes y consultará debidamente a todas las partes interesadas pertinentes.

9.   Se presumirá que el proveedor de un contrato inteligente o, en su defecto, la persona cuya actividad comercial, empresarial o profesional implique el despliegue de contratos inteligentes para terceros en el contexto de la ejecución de la totalidad o de parte de un acuerdo de puesta a disposición de datos que cumplan las especificaciones comunes establecidas por los actos de ejecución a que se refiere el apartado 6, o partes de estos, cumple los requisitos esenciales establecidos en el apartado 1 en la medida en que dichos requisitos estén cubiertos por tales especificaciones comunes o partes de ellas.

10.   Cuando una norma armonizada sea adoptada por una organización europea de normalización y propuesta a la Comisión con el fin de publicar su referencia en el Diario Oficial de la Unión Europea, la Comisión evaluará la norma armonizada de conformidad con el Reglamento (UE) nº1025/2012. Cuando la referencia de una norma armonizada se haya publicado en el Diario Oficial de la Unión Europea, la Comisión derogará los actos de ejecución a que se refiere el apartado 6 del presente artículo, o partes de este que prevean los mismos requisitos esenciales que los contemplados por la norma armonizada.

11.   Cuando un Estado miembro considere que una especificación común no cumple plenamente los requisitos establecidos en el apartado 1, informará de ello a la Comisión presentando una explicación detallada. La Comisión evaluará dicha explicación detallada y podrá modificar, si procede, el acto de ejecución por el que se establezca la especificación común en cuestión.

CAPÍTULO IX. APLICACIÓN Y EJECUCIÓN

Artículo 37. Autoridades competentes y coordinadores de datos

1.   Cada Estado miembro designará una o varias autoridades nacionales competentes para garantizar la aplicación y ejecución del presente Reglamento (en lo sucesivo, «autoridades competentes»). Los Estados miembros podrán establecer una o varias autoridades nuevas o recurrir a las autoridades existentes.

2.   Cuando un Estado miembro designe más de una autoridad competente, designará a un coordinador de datos de entre ellas para facilitar la cooperación entre las autoridades competentes y ayudar a las entidades dentro del ámbito de aplicación del presente Reglamento en todas las cuestiones relacionadas con la aplicación y el control del cumplimiento de este. Las autoridades competentes cooperarán mutuamente en el ejercicio de las funciones y competencias que les hayan sido asignadas con arreglo al apartado 5.

3.   Las autoridades de control responsables de supervisar la aplicación del Reglamento (UE) 2016/679 tendrán la responsabilidad de supervisar la aplicación del presente Reglamento en lo que respecta a la protección de los datos personales. Se aplicarán mutatis mutandis los capítulos VI y VII del Reglamento (UE) 2016/679.

El Supervisor Europeo de Protección de Datos tendrá la responsabilidad de supervisar la aplicación del presente Reglamento en lo que respecta a la Comisión, el Banco Central Europeo o los organismos de la Unión. Cuando proceda, se aplicará mutatis mutandis el artículo 62 del Reglamento (UE) 2018/1725.

Las funciones y competencias de las autoridades de control a que se refiere el presente apartado se ejercerán respecto al tratamiento de datos personales.

4.   Sin perjuicio de lo dispuesto en el apartado 1 del presente artículo:

 a) para cuestiones sectoriales específicas de la utilización y acceso de datos relacionados con la aplicación del presente Reglamento, se respetará la competencia de las autoridades sectoriales;

 b) la autoridad competente responsable de la aplicación y ejecución de los artículos 23 a 31 y de los artículos 34 y 35 tendrá experiencia en el ámbito de los datos y los servicios de comunicaciones electrónicas.

5.   Los Estados miembros velarán por que las funciones y competencias de las autoridades competentes estén claramente definidas e incluyan:

 a) fomentar la alfabetización en materia de datos y la sensibilización entre los usuarios y las entidades que entren en el ámbito de aplicación del presente Reglamento acerca de los derechos y obligaciones previstos en el presente Reglamento;

 b) tramitar las denuncias derivadas de supuestas infracciones del presente Reglamento, también en relación con secretos comerciales, investigar el objeto de las denuncias en la medida adecuada e informar periódicamente a los denunciantes, cuando proceda de conformidad con el Derecho nacional, sobre el curso y el resultado de la investigación en un plazo razonable, en particular cuando resulte necesario proseguir la investigación o coordinar actuaciones con otra autoridad competente;

 c) llevar a cabo investigaciones sobre asuntos que afecten a la aplicación del presente Reglamento, también sobre la base de información recibida de otra autoridad competente o autoridad pública;

 d) imponer sanciones económicas efectivas, proporcionadas y disuasorias, que pueden incluir multas coercitivas y multas con efecto retroactivo, o iniciar procedimientos judiciales para la imposición de multas;

 e) hacer un seguimiento de los avances tecnológicos y comerciales pertinentes para la puesta a disposición y utilización de datos;

 f) cooperar con las autoridades competentes de otros Estados miembros y, cuando proceda, con la Comisión o el CEID, para garantizar la aplicación coherente y eficiente del presente Reglamento, lo que incluye el intercambio de toda la información pertinente por medios electrónicos, sin demora indebida, también con respecto al apartado 10 del presente artículo;

 g) cooperar con las autoridades competentes pertinentes responsables de la aplicación de otros actos jurídicos de la Unión o nacionales, también con las autoridades competentes en el ámbito de los datos y los servicios de comunicaciones electrónicas, con la autoridad de control responsable del seguimiento de la aplicación del Reglamento (UE) 2016/679 o con las autoridades sectoriales para garantizar que el presente Reglamento se aplica de manera coherente con otras disposiciones del Derecho de la Unión y nacional;

 h) cooperar con las autoridades competentes pertinentes para garantizar que los artículos 23 a 31 y los artículos 34 y 35 se cumplan de manera coherente con otras disposiciones del Derecho de la Unión y medidas de autorregulación aplicables a los proveedores de servicios de tratamiento de datos;

 i) velar por la supresión de los costes por cambio de conformidad con el artículo 29;

 j) examinar las solicitudes de datos formuladas con arreglo al capítulo V.

Si se ha designado, el coordinador de datos facilitará la cooperación a que se refieren las letras f), g) y h) del párrafo primero y asistirá a las autoridades competentes si estas lo solicitan.

6.   En caso de que dicha autoridad competente haya sido designada, el coordinador de datos deberá:

 a) actuar como punto de contacto único para todas las cuestiones relacionadas con la aplicación del presente Reglamento;

 b) asegurar la disponibilidad pública en línea de las solicitudes de puesta a disposición de datos presentadas por organismos del sector público en los casos de necesidad excepcional con arreglo al capítulo V y promover acuerdos voluntarios de intercambio de datos entre organismos del sector público y titulares de datos;

 c) informar anualmente a la Comisión de las denegaciones notificadas con arreglo al artículo 4, apartados 2 y 8, y al artículo 5, apartado 11.

7.   Los Estados miembros notificarán a la Comisión los nombres de las autoridades competentes y sus funciones y competencias, así como, cuando proceda, el nombre del coordinador de datos. La Comisión mantendrá un registro público de dichas autoridades.

8.   En el ejercicio de sus funciones y competencias de conformidad con el presente Reglamento, las autoridades competentes se mantendrán imparciales y no estarán sometidas a ninguna influencia externa, ya sea directa o indirecta, y no solicitarán ni aceptarán instrucciones para casos concretos de ninguna otra autoridad pública o entidad privada.

9.   Los Estados miembros velarán por dotar a las autoridades competentes de los recursos técnicos y humanos suficientes y de los conocimientos especializados pertinentes para el ejercicio adecuado de sus funciones de conformidad con el presente Reglamento.

10.   Las entidades incluidas en el ámbito de aplicación del presente Reglamento estarán sujetas a la competencia del Estado miembro en el que esté establecida la entidad. Cuando la entidad esté establecida en más de un Estado miembro, se considerará que es competencia del Estado miembro en el que tenga su establecimiento principal, es decir, donde la entidad tenga su domicilio social o administración central, desde el que se ejerza las principales funciones financieras y el control operativo.

11.   Toda entidad incluida en el ámbito de aplicación del presente Reglamento que ponga a disposición productos conectados u ofrezca servicios en la Unión y que no esté establecida en la Unión designará un representante legal en uno de los Estados miembros.

12.   A efectos de garantizar el cumplimiento del presente Reglamento, toda entidad incluida en el ámbito de aplicación del presente Reglamento que ponga a disposición productos conectados u ofrezca servicios en la Unión, otorgará un mandato a un representante legal para que las autoridades competentes se pongan en contacto con dicho representante, además o en lugar de la entidad, en relación con todas las cuestiones relacionadas con esta. Dicho representante legal cooperará y demostrará exhaustivamente a las autoridades competentes, previa solicitud, las medidas y las disposiciones adoptadas por la entidad incluida en el ámbito de aplicación del presente Reglamento que ponga a disposición productos conectados u ofrezca servicios en la Unión, a fin de garantizar el cumplimiento del presente Reglamento.

13.   Se considerará que toda entidad incluida en el ámbito de aplicación del presente Reglamento que ponga a disposición productos conectados u ofrezca servicios en la Unión queda sometida a la competencia del Estado miembro en el que esté ubicado su representante legal. La designación de un representante legal por tal entidad se entenderá sin perjuicio de las responsabilidades que se puedan exigir a dicha entidad y de cualesquiera acciones legales que puedan ejercitarse contra ella. Hasta que designe a un representante legal de conformidad con el presente artículo, la entidad será competencia de todos los Estados miembros, cuando proceda, a efectos de garantizar la aplicación y ejecución del presente Reglamento. Cualquier autoridad competente podrá ejercer su competencia, incluso imponiendo sanciones efectivas, proporcionadas y disuasorias, siempre que la entidad no esté sujeta a procedimientos de ejecución en virtud del presente Reglamento por los mismos hechos por otra autoridad competente.

14.   Las autoridades competentes estarán facultadas para solicitar a los usuarios, titulares de datos o destinatarios de datos, o a sus representantes legales, que sean competencia de su Estado miembro, toda la información necesaria para verificar el cumplimiento del presente Reglamento. Las solicitudes de información serán proporcionadas al cumplimiento de la tarea subyacente y estarán motivadas.

15.   Cuando una autoridad competente de un Estado miembro solicite asistencia o medidas de ejecución a una autoridad competente de otro Estado miembro, presentará una solicitud motivada. Una vez recibida dicha solicitud, la autoridad competente responderá, sin demora indebida, detallando las medidas adoptadas o previstas.

16.   Las autoridades competentes respetarán los principios de confidencialidad y de secreto profesional y comercial, y protegerán los datos de carácter personal con arreglo al Derecho de la Unión o nacional. Toda la información intercambiada en el contexto de una solicitud de asistencia y proporcionada en virtud del presente artículo se utilizará únicamente en relación con el asunto para el que se solicitó.

Artículo 38. Derecho a presentar una reclamación

1.   Sin perjuicio de cualquier otro recurso administrativo o acción judicial, toda persona física y jurídica tendrá derecho a presentar una reclamación individual o, cuando proceda, colectiva ante la autoridad competente pertinente del Estado miembro en el que tenga su residencia habitual, su lugar de trabajo o su lugar de establecimiento cuando considere que los derechos que le confiere el presente Reglamento han sido vulnerados. El coordinador de datos proporcionará, previa solicitud, toda la información necesaria a las personas físicas y jurídicas para la presentación de sus reclamaciones ante la correspondiente autoridad competente.

2.   La autoridad competente ante la que se haya presentado la reclamación informará al reclamante, con arreglo al Derecho nacional, sobre el curso del procedimiento y la decisión tomada.

3.   Las autoridades competentes cooperarán para tramitar y resolver las reclamaciones, de manera efectiva y en tiempo oportuno, lo que incluirá el intercambio de toda información pertinente por medios electrónicos, sin demora indebida. Dicha cooperación no afectará a los mecanismos de cooperación previstos en los capítulos VI y VII del Reglamento (UE) 2016/679 y en el Reglamento (UE) 2017/2394.

Artículo 39. Derecho a una tutela judicial efectiva

1.   No obstante cualquier recurso administrativo o extrajudicial, toda persona física o jurídica afectada tendrá derecho a una tutela judicial efectiva en lo que respecta a las decisiones jurídicamente vinculantes adoptadas por las autoridades competentes.

2.   En caso de que una autoridad competente no dé curso a una reclamación, cualquier persona física o jurídica afectada tendrá derecho, de conformidad con el Derecho nacional, a la tutela judicial efectiva o acceso a revisión por un órgano imparcial que disponga de los conocimientos especializados adecuados.

3.   Los recursos presentados en virtud del presente artículo se dirimirán ante los órganos jurisdiccionales del Estado miembro de la autoridad competente contra la cual se interponga el recurso a título individual o colectivo, según corresponda, por los representantes de una o varias personas físicas o jurídicas.

Artículo 40. Sanciones

1.   Los Estados miembros establecerán el régimen de sanciones aplicables a cualquier infracción del presente Reglamento y adoptarán todas las medidas necesarias para garantizar su ejecución. Tales sanciones serán efectivas, proporcionadas y disuasorias.

2.   A más tardar el 12 de septiembre de 2025, los Estados miembros comunicarán a la Comisión el régimen establecido y las medidas adoptadas, y le notificarán sin demora toda modificación posterior. La Comisión actualizará periódicamente y mantendrá un registro público de fácil acceso de dichas medidas.

3.   Por lo que respecta a la imposición de sanciones por infracciones del presente Reglamento, los Estados miembros tendrán en cuenta las recomendaciones del CEID y los siguientes criterios no exhaustivos:

 a) la naturaleza, gravedad, magnitud y duración de la infracción;

 b) cualquier medida adoptada por la parte infractora para mitigar o reparar el perjuicio causado por la infracción;

 c) las infracciones anteriores cometidas por la parte infractora;

 d) los beneficios financieros obtenidos o las pérdidas evitadas por la parte infractora debido a la infracción, en la medida en que dichos beneficios o pérdidas puedan establecerse de forma fiable;

 e) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso;

 f) el volumen de negocio anual del infractor durante el ejercicio financiero anterior en la Unión.

4.   En caso de infracción de las obligaciones establecidas en los capítulos II, III y V del presente Reglamento, las autoridades de control responsables de supervisar la aplicación del Reglamento (UE) 2016/679 podrán, dentro de su ámbito de competencia, imponer multas administrativas de conformidad con el artículo 83 del Reglamento (UE) 2016/679 y hasta el importe mencionado en el artículo 83, apartado 5, de dicho Reglamento.

5.   En caso de infracción de las obligaciones establecidas en el capítulo V del presente Reglamento, el Supervisor Europeo de Protección de Datos podrá imponer, dentro de su ámbito de competencia, multas administrativas acordes con el artículo 66 del Reglamento (UE) 2018/1725 y hasta el importe mencionado en el artículo 66, apartado 3, de dicho Reglamento.

Artículo 41. Cláusulas contractuales tipo y cláusulas contractuales estándar

La Comisión, antes del 12 de septiembre de 2025, elaborará y recomendará cláusulas contractuales tipo no vinculantes sobre el acceso a los datos y su utilización, incluidas cláusulas relativas a la compensación razonable y la protección de los secretos comerciales, así como cláusulas contractuales estándar no vinculantes para contratos de computación en la nube para ayudar a las partes en la elaboración y negociación de contratos con derechos y obligaciones contractuales justos, razonables y no discriminatorios.

Artículo 42. Función del CEID

El CEID establecido como grupo de expertos de la Comisión en virtud del artículo 29 del Reglamento (UE) 2022/868, en el que estarán representadas las autoridades competentes, apoyará la aplicación coherente del presente Reglamento mediante:

a) el asesoramiento y la asistencia a la Comisión en el desarrollo de una práctica coherente de las autoridades competentes en la aplicación de los capítulos II, III, V y VII;

b) la facilitación de la cooperación entre las autoridades competentes mediante el desarrollo de capacidades y el intercambio de información, en particular con el establecimiento de métodos para el intercambio eficiente de información relativa al cumplimiento de los derechos y obligaciones en virtud de los capítulos II, III y V en los casos transfronterizos, incluida la coordinación con respecto al establecimiento de sanciones;

c) el asesoramiento y la asistencia a la Comisión en relación a lo siguiente:

 i) la posibilidad de solicitar la elaboración de las normas armonizadas a que se refieren el artículo 33, apartado 4, el artículo 35, apartado 4, y el artículo 36, apartado 5,

 ii) la preparación de los actos de ejecución a que se refieren el artículo 33, apartado 5, el artículo 35, apartados 5 y 8, y el artículo 36, apartado 6,

 iii) la preparación de los actos delegados a que se refieren el artículo 29, apartado 7, y el artículo 33, apartado 2, y

 iv) la adopción de las directrices que establezcan los marcos de interoperabilidad de las normas y prácticas comunes para el funcionamiento de los espacios comunes europeos de datos a que se refiere el artículo 33, apartado 11.

CAPÍTULO X. DERECHO SUI GENERIS CON ARREGLO A LA DIRECTIVA 96/9/CE

Artículo 43. Bases de datos que contienen ciertos datos

El derecho sui generis establecido en el artículo 7 de la Directiva 96/9/CE no se aplicará si los datos son obtenidos o generados por un producto conectado o servicio relacionado que entre en el ámbito de aplicación del presente Reglamento, en particular en relación con los artículos 4 y 5.

CAPÍTULO XI. DISPOSICIONES FINALES

Artículo 44. Otros actos jurídicos de la Unión que regulan los derechos y obligaciones en materia de acceso a los datos y su utilización

1.   No se verán afectadas las obligaciones específicas para la puesta a disposición de datos entre empresas, entre empresas y consumidores y, con carácter excepcional, entre empresas y organismos del sector público establecidas en actos jurídicos de la Unión que hayan entrado en vigor el 11 de enero de 2024 o antes de esa fecha, así como en los actos delegados o actos de ejecución basados en dichas normas.

2.   El presente Reglamento se entiende sin perjuicio del Derecho de la Unión que, a la luz de las necesidades de un sector, de un espacio común europeo de datos o de un área de interés público, establezca requisitos adicionales, en particular relativos a:

 a) aspectos técnicos del acceso a los datos;

 b) límites a los derechos de los titulares de datos de acceder a determinados datos proporcionados por usuarios o de utilizarlos;

 c) aspectos que vayan más allá del acceso a los datos y su utilización.

3.   El presente Reglamento, con excepción del capítulo V, se entiende sin perjuicio del Derecho de la Unión y nacional que establece el acceso a los datos y autoriza la utilización de los datos con fines de investigación científica.

Artículo 45. Ejercicio de la delegación

1.   Se otorgan a la Comisión los poderes para adoptar actos delegados en las condiciones establecidas en el presente artículo.

2.   Los poderes para adoptar actos delegados mencionados en el artículo 29, apartado 7, y en el artículo 33, apartado 2, se otorgan a la Comisión por un período de tiempo indefinido a partir del 11 de enero de 2024.

3.   La delegación de poderes mencionada en el artículo 29, apartado 7, y en el artículo 33, apartado 2, podrá ser revocada en cualquier momento por el Parlamento Europeo o por el Consejo. La decisión de revocación pondrá término a la delegación de los poderes que en ella se especifiquen. La decisión surtirá efecto el día siguiente al de su publicación en el Diario Oficial de la Unión Europea o en una fecha posterior indicada en ella. No afectará a la validez de los actos delegados que ya estén en vigor.

4.   Antes de la adopción de un acto delegado, la Comisión consultará a los expertos designados por cada Estado miembro de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación.

5.   Tan pronto como la Comisión adopte un acto delegado lo notificará simultáneamente al Parlamento Europeo y al Consejo.

6.   Los actos delegados adoptados en virtud del artículo 29, apartado 7, o del artículo 33, apartado 2, entrarán en vigor únicamente si, en un plazo de tres meses a partir de su notificación al Parlamento Europeo y al Consejo, ninguna de estas instituciones formula objeciones o si, antes del vencimiento de dicho plazo, ambas informan a la Comisión de que no las formularán. El plazo se prorrogará tres meses a iniciativa del Parlamento Europeo o del Consejo.

Artículo 46. Procedimiento de comité

1.   La Comisión estará asistida por el Comité establecido por el Reglamento (UE) 2022/868. Dicho Comité será un comité en el sentido del Reglamento (UE) nº182/2011.

2.   En los casos en que se haga referencia al presente apartado, se aplicará el artículo 5 del Reglamento (UE) nº182/2011.

Artículo 47. Modificación del Reglamento (UE) 2017/2394

En el anexo del Reglamento (UE) 2017/2394 se añade el punto siguiente:

«29.

Reglamento (UE) 2023/2854 del Parlamento Europeo y del Consejo, de 13 de diciembre de 2023, sobre normas armonizadas para un acceso justo a los datos y su utilización, y por el que se modifican el Reglamento (UE) 2017/2394 y la Directiva (UE) 2020/1828 (Reglamento de Datos) (DO L, 2023/2854, 22.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2854/oj).».

Artículo 48. Modificación de la Directiva (UE) 2020/1828

En el anexo I de la Directiva (UE) 2020/1828 se añade el punto siguiente:

«68.

Reglamento (UE) 2023/2854 del Parlamento Europeo y del Consejo, de 13 de diciembre de 2023, sobre normas armonizadas para un acceso justo a los datos y su utilización, y por el que se modifican el Reglamento (UE) 2017/2394 y la Directiva (UE) 2020/1828 (Reglamento de Datos) (DO L, 2023/2854, 22.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2854/oj).».

Artículo 49. Evaluación y revisión

1.   A más tardar el 12 de septiembre de 2028, la Comisión llevará a cabo una evaluación del presente Reglamento y presentará un informe sobre sus principales conclusiones al Parlamento Europeo y al Consejo, y al Comité Económico y Social Europeo. En la evaluación se analizarán, en particular:

 a) situaciones que hayan de considerarse situaciones de necesidad excepcional a efectos del artículo 15 del presente Reglamento y de la aplicación del capítulo V del presente Reglamento en la práctica, en particular, la experiencia adquirida con la aplicación del capítulo V del presente Reglamento por parte de organismos del sector público, la Comisión, el Banco Central Europeo y los organismos de la Unión; el número y el resultado de los recursos iniciados ante la autoridad competente con arreglo al artículo 18, apartado 5, sobre la aplicación del capítulo V del presente Reglamento, comunicados por las autoridades competentes; el impacto de otras obligaciones establecidas en el Derecho de la Unión o nacional a efectos del cumplimiento de las solicitudes de acceso a información; el impacto de los mecanismos voluntarios de intercambio de datos, como los establecidos por organizaciones de gestión de datos con fines altruistas reconocidas en virtud del Reglamento (UE) 2022/868, en el cumplimiento de los objetivos del capítulo V del presente Reglamento, y la función de los datos personales en el contexto del artículo 15 del presente Reglamento, incluida la evolución de tecnologías que protejan mejor la intimidad;

 b) las repercusiones del presente Reglamento en la utilización de datos en la economía, incluyendo la innovación en materia de datos, las prácticas de monetización de los datos y los servicios de intermediación de datos, así como en el intercambio de datos dentro de los espacios comunes europeos de datos;

 c) la accesibilidad a diferentes categorías y tipos de datos y su utilización;

 d) la exclusión de determinadas categorías de empresas como beneficiarias al amparo del artículo 5;

 e) la ausencia de cualquier impacto en los derechos de propiedad intelectual;

 f) el impacto en los secretos comerciales, incluida la protección contra su obtención, utilización y revelación ilícitas, así como el impacto del mecanismo que permite al titular de datos denegar la solicitud del usuario con arreglo al artículo 4, apartado 8, y al artículo 5, apartado 11, teniendo en cuenta, en la medida de lo posible, cualquier revisión de la Directiva (UE) 2016/943;

 g) si la lista de cláusulas contractuales abusivas a que se refiere el artículo 13 está actualizada a la luz de las nuevas prácticas comerciales y del rápido ritmo de innovación del mercado;

 h) las variaciones en las prácticas contractuales de los proveedores de servicios de tratamiento de datos y si esas variaciones se traducen en un cumplimiento suficiente del artículo 25;

 i) la reducción de los costes añadidos aplicados por los proveedores de servicios de tratamiento de datos por el proceso de cambio, en consonancia con la supresión gradual de esos costes de conformidad con el artículo 29;

 j) la interacción del presente Reglamento con otros actos jurídicos de la Unión pertinentes para la economía de los datos;

 k) la prevención del acceso ilícito a datos no personales por parte de administraciones públicas;

 l) la eficacia del régimen de ejecución exigido en virtud del artículo 37;

 m) las repercusiones del presente Reglamento en las pymes, por lo que respecta a su capacidad para innovar y a la disponibilidad de servicios de tratamiento de datos para los usuarios en la Unión y la carga del cumplimiento de las nuevas obligaciones.

2.   A más tardar el 12 de septiembre de 2028, la Comisión llevará a cabo una evaluación del presente Reglamento y presentará un informe sobre sus principales conclusiones al Parlamento Europeo, al Consejo y al Comité Económico y Social Europeo. Dicha evaluación valorará el impacto de los artículos 23 a 31 y de los artículos 34 y 35, en particular, en lo que respecta a la fijación de precios y la diversidad de los servicios de tratamiento de datos ofrecidos en la Unión, prestando especial atención a las pymes proveedoras.

3.   Los Estados miembros proporcionarán a la Comisión la información necesaria para la preparación de los informes a que se refieren los apartados 1 y 2.

4.   Sobre la base de los informes a que se refieren los apartados 1 y 2, la Comisión podrá presentar, en su caso, una propuesta legislativa al Parlamento Europeo y al Consejo para modificar el presente Reglamento.

Artículo 50. Entrada en vigor y aplicación

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Será aplicable a partir del 12 de septiembre de 2025.

La obligación derivada del artículo 3, apartado 1, será aplicable a los productos conectados y a los servicios relacionados con ellos introducidos en el mercado después del 12 de septiembre de 2026.

El capítulo III será aplicable en relación con las obligaciones de puesta a disposición de los datos en virtud de disposiciones del Derecho de la Unión o de normativa nacional adoptada de conformidad con el Derecho de la Unión que entren en vigor después del 12 de septiembre de 2025.

El capítulo IV será aplicable a los contratos celebrados después del 12 de septiembre de 2025.

El capítulo IV será aplicable a partir del 12 de septiembre de 2027 a los contratos celebrados el 12 de septiembre de 2025 o con anterioridad, siempre que:

a) sean de duración indefinida, o

b) expiren al menos diez años a partir del 11 de enero de 2024.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.

Hecho en Estrasburgo, el 13 de diciembre de 2023.

Por el Parlamento Europeo, La Presidenta, R. METSOLA

Por el Consejo, El Presidente, P. NAVARRO RÍOS

————————————————————

(1)   DO C 402 de 19.10.2022, p. 5.

(2)   DO C 365 de 23.9.2022, p. 18.

(3)   DO C 375 de 30.9.2022, p. 112.

(4)  Posición del Parlamento Europeo de 9 de noviembre de 2023 (pendiente de publicación en el Diario Oficial) y Decisión del Consejo de 27 de noviembre de 2023.

(5)  Recomendación 2003/361/CE de la Comisión, de 6 de mayo de 2003, sobre la definición de microempresas, pequeñas y medianas empresas (DO L 124 de 20.5.2003, p. 36).

(6)  Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).

(7)  Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) nº45/2001 y la Decisión nº1247/2002/CE (DO L 295 de 21.11.2018, p. 39).

(8)  Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (DO L 201 de 31.7.2002, p. 37).

(9)  Directiva 93/13/CEE del Consejo, de 5 de abril de 1993, sobre las cláusulas abusivas en los contratos celebrados con consumidores (DO L 95 de 21.4.1993, p. 29).

(10)  Directiva 2005/29/CE del Parlamento Europeo y del Consejo, de 11 de mayo de 2005, relativa a las prácticas comerciales desleales de las empresas en sus relaciones con los consumidores en el mercado interior, que modifica la Directiva 84/450/CEE del Consejo, las Directivas 97/7/CE, 98/27/CE y 2002/65/CE del Parlamento Europeo y del Consejo y el Reglamento (CE) nº2006/2004 del Parlamento Europeo y del Consejo («Directiva sobre las prácticas comerciales desleales») (DO L 149 de 11.6.2005, p. 22).

(11)  Directiva 2011/83/UE del Parlamento Europeo y del Consejo, de 25 de octubre de 2011, sobre los derechos de los consumidores, por la que se modifican la Directiva 93/13/CEE del Consejo y la Directiva 1999/44/CE del Parlamento Europeo y del Consejo y se derogan la Directiva 85/577/CEE del Consejo y la Directiva 97/7/CE del Parlamento Europeo y del Consejo (DO L 304 de 22.11.2011, p. 64).

(12)  Reglamento (UE) 2021/784 del Parlamento Europeo y del Consejo, de 29 de abril de 2021, sobre la lucha contra la difusión de contenidos terroristas en línea (DO L 172 de 17.5.2021, p. 79).

(13)  Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo, de 19 de octubre de 2022, relativo a un mercado único de servicios digitales y por el que se modifica la Directiva 2000/31/CE (Reglamento de Servicios Digitales) (DO L 277 de 27.10.2022, p. 1).

(14)  Reglamento (UE) 2023/1543 del Parlamento Europeo y del Consejo, de 12 de julio de 2023, sobre las órdenes europeas de producción y las órdenes europeas de conservación a efectos de prueba electrónica en procesos penales y de ejecución de penas privativas de libertad a raíz de procesos penales (DO L 191 de 28.7.2023, p. 118).

(15)  Directiva (UE) 2023/1544 del Parlamento Europeo y del Consejo, de 12 de julio de 2023, por la que se establecen normas armonizadas para la designación de establecimientos designados y de representantes legales a efectos de recabar pruebas electrónicas en procesos penales (DO L 191 de 28.7.2023, p. 181).

(16)  Reglamento (UE) 2015/847 del Parlamento Europeo y del Consejo, de 20 de mayo de 2015, relativo a la información que acompaña a las transferencias de fondos y por el que se deroga el Reglamento (CE) nº1781/2006 (DO L 141 de 5.6.2015, p. 1).

(17)  Directiva (UE) 2015/849 del Parlamento Europeo y del Consejo, de 20 de mayo de 2015, relativa a la prevención de la utilización del sistema financiero para el blanqueo de capitales o la financiación del terrorismo, y por la que se modifica el Reglamento (UE) nº648/2012 del Parlamento Europeo y del Consejo, y se derogan la Directiva 2005/60/CE del Parlamento Europeo y del Consejo y la Directiva 2006/70/CE de la Comisión (DO L 141 de 5.6.2015, p. 73).

(18)  Directiva (UE) 2019/882 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, sobre los requisitos de accesibilidad de los productos y servicios (DO L 151 de 7.6.2019, p. 70).

(19)  Directiva 2001/29/CE del Parlamento Europeo y del Consejo, de 22 de mayo de 2001, relativa a la armonización de determinados aspectos de los derechos de autor y derechos afines a los derechos de autor en la sociedad de la información (DO L 167 de 22.6.2001, p. 10).

(20)  Directiva 2004/48/CE del Parlamento Europeo y del Consejo, de 29 de abril de 2004, relativa al respeto de los derechos de propiedad intelectual (DO L 157 de 30.4.2004, p. 45).

(21)  Directiva (UE) 2019/790 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, sobre los derechos de autor y derechos afines en el mercado único digital y por la que se modifican las Directivas 96/9/CE y 2001/29/CE (DO L 130 de 17.5.2019, p. 92).

(22)  Reglamento (UE) 2022/868 del Parlamento Europeo y del Consejo, de 30 de mayo de 2022, relativo a la gobernanza europea de datos y por el que se modifica el Reglamento (UE) 2018/1724 (Reglamento de Gobernanza de Datos) (DO L 152 de 3.6.2022, p. 1).

(23)  Directiva (UE) 2016/943 del Parlamento Europeo y del Consejo, de 8 de junio de 2016, relativa a la protección de los conocimientos técnicos y la información empresarial no divulgados (secretos comerciales) contra su obtención, utilización y revelación ilícitas (DO L 157 de 15.6.2016, p. 1).

(24)  Directiva 98/6/CE del Parlamento Europeo y del Consejo, de 16 de febrero de 1998, relativa a la protección de los consumidores en materia de indicación de los precios de los productos ofrecidos a los consumidores (DO L 80 de 18.3.1998, p. 27).

(25)  Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico en el mercado interior (Directiva sobre el comercio electrónico) (DO L 178 de 17.7.2000, p. 1).

(26)  Reglamento (UE) 2022/1925 del Parlamento Europeo y del Consejo, de 14 de septiembre de 2022, sobre mercados disputables y equitativos en el sector digital y por el que se modifican las Directivas (UE) 2019/1937 y (UE) 2020/1828 (Reglamento de Mercados Digitales) (DO L 265 de 12.10.2022, p. 1).

(27)  Reglamento (CE) nº223/2009 del Parlamento Europeo y del Consejo, de 11 de marzo de 2009, relativo a la estadística europea y por el que se deroga el Reglamento (CE, Euratom) nº1101/2008 relativo a la transmisión a la Oficina Estadística de las Comunidades Europeas de las informaciones amparadas por el secreto estadístico, el Reglamento (CE) nº322/97 del Consejo sobre la estadística comunitaria y la Decisión 89/382/CEE, Euratom del Consejo por la que se crea un Comité del programa estadístico de las Comunidades Europeas (DO L 87 de 31.3.2009, p. 164).

(28)  Directiva (UE) 2019/1024 del Parlamento Europeo y del Consejo, de 20 de junio de 2019, relativa a los datos abiertos y la reutilización de la información del sector público (DO L 172 de 26.6.2019, p. 56).

(29)  Directiva 96/9/CE del Parlamento Europeo y del Consejo, de 11 de marzo de 1996, sobre la protección jurídica de las bases de datos (DO L 77 de 27.3.1996, p. 20).

(30)  Reglamento (UE) 2018/1807 del Parlamento Europeo y del Consejo, de 14 de noviembre de 2018, relativo a un marco para la libre circulación de datos no personales en la Unión Europea (DO L 303 de 28.11.2018, p. 59).

(31)  Directiva (UE) 2019/770 del Parlamento Europeo y del Consejo, de 20 de mayo de 2019, relativa a determinados aspectos de los contratos de suministro de contenidos y servicios digitales (DO L 136 de 22.5.2019, p. 1).

(32)  Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, sobre la resiliencia operativa digital del sector financiero y por el que se modifican los Reglamentos (CE) nº1060/2009, (UE) nº648/2012, (UE) nº600/2014, (UE) nº909/2014 y (UE) 2016/1011 (DO L 333 de 27.12.2022, p. 1).

(33)  Reglamento (UE) nº1025/2012 del Parlamento Europeo y del Consejo, de 25 de octubre de 2012, sobre la normalización europea, por el que se modifican las Directivas 89/686/CEE y 93/15/CEE del Consejo y las Directivas 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE y 2009/105/CE del Parlamento Europeo y del Consejo y por el que se deroga la Decisión 87/95/CEE del Consejo y la Decisión nº1673/2006/CE del Parlamento Europeo y del Consejo (DO L 316 de 14.11.2012, p. 12).

(34)  Reglamento (CE) nº765/2008 del Parlamento Europeo y del Consejo, de 9 de julio de 2008, por el que se establecen los requisitos de acreditación y por el que se deroga el Reglamento (CEE) nº339/93 (DO L 218 de 13.8.2008, p. 30).

(35)  Decisión nº768/2008/CE del Parlamento Europeo y del Consejo, de 9 de julio de 2008, sobre un marco común para la comercialización de los productos y por la que se deroga la Decisión 93/465/CEE del Consejo (DO L 218 de 13.8.2008, p. 82).

(36)  Reglamento (UE) 2017/2394 del Parlamento Europeo y del Consejo, de 12 de diciembre de 2017, sobre la cooperación entre las autoridades nacionales responsables de la aplicación de la legislación en materia de protección de los consumidores y por el que se deroga el Reglamento (CE) nº2006/2004 (DO L 345 de 27.12.2017, p. 1).

(37)  Directiva (UE) 2020/1828 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2020, relativa a las acciones de representación para la protección de los intereses colectivos de los consumidores, y por la que se deroga la Directiva 2009/22/CE (DO L 409 de 4.12.2020, p. 1).

(38)   DO L 123 de 12.5.2016, p. 1.

(39)  Reglamento (UE) nº182/2011 del Parlamento Europeo y del Consejo, de 16 de febrero de 2011, por el que se establecen las normas y los principios generales relativos a las modalidades de control por parte de los Estados miembros del ejercicio de las competencias de ejecución por la Comisión (DO L 55 de 28.2.2011, p. 13).

16Ene/24

Resolución del Parlamento Europeo, de 20 de octubre de 2020

Resolución del Parlamento Europeo, de 20 de octubre de 2020, con recomendaciones destinadas a la Comisión sobre un régimen de responsabilidad civil en materia de inteligencia artificial (2020/2014(INL))

(2021/C 404/05)

El Parlamento Europeo,

— Visto el artículo 225 del Tratado de Funcionamiento de la Unión Europea,

— Vistos los artículos 114 y 169 del Tratado de Funcionamiento de la Unión Europea,

— Vista la Directiva 85/374/CEE del Consejo, de 25 de julio de 1985, relativa a la aproximación de las disposiciones legales, reglamentarias y administrativas de los Estados miembros en materia de responsabilidad por los daños causados por productos defectuosos (1),

— Vista la Directiva 2005/29/CE del Parlamento Europeo y del Consejo, de 11 de mayo de 2005, relativa a las prácticas comerciales desleales de las empresas en sus relaciones con los consumidores en el mercado interior («Directiva sobre las prácticas comerciales desleales») (2) y la Directiva 2011/83/UE del Parlamento Europeo y del Consejo, de 25 de octubre de 2011, sobre los derechos de los consumidores (3), así como otras normas de protección del consumidor,

— Visto el Reglamento (UE) 2017/745 del Parlamento Europeo y del Consejo, de 5 de abril de 2017, sobre los productos sanitarios (4),

— Visto el Reglamento (UE) 2018/1488 del Consejo, de 28 de septiembre de 2018, por el que se crea la Empresa Común de Informática de Alto Rendimiento Europea (5),

— Vista la Directiva (UE) 2019/770 del Parlamento Europeo y del Consejo, de 20 de mayo de 2019, relativa a determinados aspectos de los contratos de suministro de contenidos y servicios digitales (6),

— Vistos el Acuerdo interinstitucional, de 13 de abril de 2016, sobre la mejora de la legislación y las directrices para la mejora de la legislación (7),

— Vista la propuesta de Reglamento del Parlamento Europeo y del Consejo, de 6 de junio de 2018, por el que se establece el programa Europa Digital para el período 2021-2027 (COM(2018)0434),

— Vista la Comunicación de la Comisión, de 25 de abril de 2018, titulada «Inteligencia artificial para Europa» (COM(2018)0237),

— Vista la Comunicación de la Comisión, de 7 de diciembre de 2018, titulada «Plan coordinado sobre la inteligencia artificial» (COM(2018)0795),

— Vista la Comunicación de la Comisión, de 8 de abril de 2019, titulada «Generar confianza en la inteligencia artificial centrada en el ser humano» (COM(2019)0168),

— Visto el Informe de la Comisión al Parlamento Europeo, al Consejo y al Comité Económico y Social Europeo, de 19 de febrero de 2020, sobre las repercusiones en materia de seguridad y responsabilidad civil de la inteligencia artificial, el internet de las cosas y la robótica (COM(2020)0064),

— Visto el Libro Blanco de la Comisión, de 19 de febrero de 2020, sobre la inteligencia artificial

— un enfoque europeo orientado a la excelencia y la confianza (COM(2020)0065),

— Vista su Resolución, de 16 de febrero de 2017, con recomendaciones destinadas a la Comisión sobre normas de Derecho civil sobre robótica (8),

— Vista su Resolución, de 1 de junio de 2017, sobre la digitalización de la industria europea (9),

— Vista su Resolución, de 12 de septiembre de 2018, sobre los sistemas armamentísticos autónomos (10),

— Vista su Resolución, de 12 de febrero de 2019, sobre una política industrial global europea en materia de inteligencia artificial y robótica (11),

— Vista su Resolución, de 12 de febrero de 2020, sobre los procesos automatizados de toma de decisiones: garantizar la protección de los consumidores y la libre circulación de bienes y servicios (12),

— Visto el informe, de 8 de abril de 2019, del Grupo de expertos de alto nivel sobre inteligencia artificial titulado «Directrices éticas para una IA fiable»,

— Visto el informe, de 8 de abril de 2019, del Grupo de expertos de alto nivel sobre inteligencia artificial titulado «Una definición de la inteligencia artificial: principales capacidades y disciplinas científicas»,

— Visto el informe, de 26 de junio de 2019, del Grupo de expertos de alto nivel sobre inteligencia artificial titulado «Recomendaciones estratégicas y de inversión para una IA fiable»,

— Visto el informe, de 21 de noviembre de 2019, del Grupo de expertos sobre responsabilidad y nuevas tecnologías

 —Formación sobre nuevas tecnologías, titulado «Liability for artificial intelligence and other emerging digital technologies» (Responsabilidad civil sobre inteligencia artificial y otras tecnologías digitales emergentes),

— Visto el estudio de evaluación del valor añadido europeo realizado por el Servicio de Estudios Parlamentarios (EPRS) titulado «Civil liability regime for artificial intelligence: European added value assessment» (Régimen de responsabilidad civil en materia de inteligencia artificial: valor añadido europeo) (13),

— Vista el documento informativo de STOA del Servicio de Estudios del Parlamento Europeo, de junio de 2016, sobre reflexiones éticas y jurídicas en materia de robótica (14),

— Visto el estudio de la Dirección General de Políticas Interiores del Parlamento Europeo, de octubre de 2016, para la Comisión de Asuntos Jurídicos, sobre normas de Derecho civil europeo en materia de robótica (15),

— Vistos los artículos 47 y 54 de su Reglamento interno,

— Vistas las opiniones de la Comisión de Mercado Interior y Protección del Consumidor y de la Comisión de Transportes y Turismo,

— Visto el informe de la Comisión de Asuntos Jurídicos (A9-0178/2020),

A. Considerando que el concepto de «responsabilidad civil» desempeña un importante doble papel en nuestra vida cotidiana: por una parte, garantiza que una persona que haya sufrido un daño o perjuicio tenga derecho a reclamar y recibir una indemnización a quien se haya demostrado que es responsable de dicho daño o perjuicio y, por otra parte, proporciona incentivos económicos para que las personas físicas o jurídicas eviten en primer lugar causar daños o perjuicios o consideren en su comportamiento el riesgo de tener que pagar una indemnización;

B. Considerando que cualquier marco jurídico en materia de responsabilidad civil orientado al futuro debe infundir confianza en la seguridad, fiabilidad y coherencia de los productos y servicios, incluidas las tecnologías digitales, a fin de lograr un equilibrio entre la protección eficaz y equitativa de las potenciales víctimas de daños o perjuicios y, al mismo tiempo, ofrecer un margen de maniobra suficiente para posibilitar a las empresas, y en particular a las pequeñas y medianas empresas, el desarrollo de nuevas tecnologías, productos o servicios; que esto ayudará a generar confianza ya crear estabilidad para la inversión; que, en última instancia, el objetivo de cualquier marco de responsabilidad civil debe ser ofrecer seguridad jurídica a todas las partes, ya sea el productor, el operador, la persona afectada o cualquier otro tercero;

C. Considerando que el ordenamiento jurídico de un Estado miembro puede modular sus normas sobre responsabilidad civil para determinados agentes o hacerlas más estrictas para determinadas actividades; que la responsabilidad objetiva significa que una parte puede ser considerada responsable pese a la ausencia de culpa; que, en muchas legislaciones nacionales en materia de responsabilidad civil, la parte demandada es considerada objetivamente responsable si un riesgo que dicha parte haya creado para el público, por ejemplo, mediante automóviles o actividades peligrosas, o un riesgo que no pueda controlar, como el originado por animales, resulta en un daño o perjuicio;

D. Considerando que cualquier legislación futura de la Unión que tenga por objeto la atribución expresa de responsabilidad en lo que se refiere a sistemas de inteligencia artificial (IA) debe ir precedida de un análisis y una consulta con los Estados miembros sobre el cumplimiento de condiciones económicas, jurídicas y sociales por parte del acto legislativo propuesto;

E. Considerando que la cuestión de un régimen de responsabilidad civil en materia de IA debe someterse a un amplio debate público que tenga en cuenta todos los intereses en juego, en particular los aspectos éticos, jurídicos, económicos y sociales, a fin de evitar las confusiones y los temores injustificados que esa tecnología pueda causar entre los ciudadanos; que el estudio cuidadoso de las consecuencias de cualquier nuevo marco normativo para todos los agentes en una evaluación de impacto debe ser un requisito previo para adoptar nuevas medidas legislativas;

F. Considerando que el concepto de sistemas de IA comprende un amplio grupo de tecnologías distintas, incluidos la simple estadística, el aprendizaje automático y el aprendizaje profundo;

G. Considerando que la utilización del término «toma de decisiones automatizada» podría evitar la posible ambigüedad del término IA; que la «toma de decisiones automatizada» implica que un usuario delegue inicialmente una decisión, en su totalidad o en parte, en una entidad mediante la utilización de un programa informático o de un servicio; que dicha entidad, a su vez, utiliza modelos de toma de decisiones ejecutados automáticamente para llevar a cabo una acción en nombre de un usuario o para informar las decisiones del usuario a la hora de realizar una acción;

H. Considerando que ciertos sistemas de IA presentan importantes retos jurídicos para el actual marco de responsabilidad civil y podrían dar lugar a situaciones en las que su opacidad podría hacer extremadamente costoso, o incluso imposible, determinar quién controlaba el riesgo asociado al sistema de IA o qué código, entrada o datos han provocado en última instancia el funcionamiento lesivo; que este factor podría dificultar la identificación de la relación entre el daño o perjuicio y el comportamiento que lo causa, con el resultado de que las víctimas podrían no recibir una indemnización adecuada;

I. Considerando que los retos jurídicos se derivan también de la conectividad entre un sistema de IA y otros sistemas ya sean o no de IA, su dependencia de los datos externos, su vulnerabilidad frente a las violaciones de la ciberseguridad y el diseño de sistemas de IA cada vez más autónomos que usan, entre otras, técnicas de aprendizaje automático y de aprendizaje profundo;

J. Considerando que unas normas éticas firmes para los sistemas de IA combinadas con procedimientos de indemnización sólidos y justos pueden ayudar a abordar estos retos jurídicos y eliminar el riesgo de que los usuarios se muestren reticentes a aceptar la tecnología emergente; que un procedimiento de indemnización justo supone que cada persona que sufra un daño causado por sistemas de IA o que sufra un menoscabo al patrimonio causado por sistemas de IA debe tener el mismo nivel de protección que en aquellos casos en que no haya implicación de un sistema de IA; que el usuario necesita estar seguro de que el posible perjuicio causado por sistemas que utilicen IA está cubierto por un seguro adecuado y de que existe una vía jurídica definida para el resarcimiento;

K. Considerando que la seguridad jurídica es también una condición esencial para el desarrollo dinámico y la innovación de la tecnología basada en la IA, en particular para las empresas emergentes, las microempresas y las pequeñas y medianas empresas, así como para su aplicación práctica en la vida cotidiana; que el papel fundamental de las empresas emergentes, las microempresas y las pequeñas y medianas empresas, en especial en la economía europea, justifica un enfoque estrictamente proporcionado que les permita desarrollarse e innovar;

L. Considerando que la diversidad de los sistemas de IA y la amplia gama de riesgos que la tecnología plantea dificultan los esfuerzos para hallar una solución única adecuada para todo el espectro de riesgos; que, a este respecto, debe adoptarse un enfoque en el que se utilicen experimentos, proyectos piloto y espacios limitados regulatorios para elaborar soluciones proporcionadas y con base empírica que aborden situaciones y sectores específicos cuando sea necesario;

Introducción

1. Considera que el reto relacionado con la introducción de sistemas de IA en la sociedad, el lugar de trabajo y la economía es una de las cuestiones más importantes de la agenda política actual; que las tecnologías basadas en la IA podrían y deberían procurar mejorar nuestras vidas en casi todos los sectores, desde la esfera personal (por ejemplo, sector de los transportes, educación personalizada, asistencia a personas vulnerables, programas de preparación física y concesión de créditos) al entorno de trabajo (por ejemplo, reducción de tareas tediosas y repetitivas) y a los retos mundiales (por ejemplo, la emergencia climática, la asistencia sanitaria, la nutrición y la logística);

2. Cree firmemente que, para aprovechar eficazmente las ventajas e impedir posibles malos usos de los sistemas de IA, así como para evitar la fragmentación normativa en la Unión, es fundamental una legislación uniforme, basada en principios y preparada para el futuro en toda la Unión para todos los sistemas de IA; opina que, si bien son preferibles reglamentaciones sectoriales específicas para la amplia gama de posibles aplicaciones, parece necesario contar con un marco jurídico horizontal y armonizado basado en principios comunes con el fin de garantizar la seguridad jurídica, establecer una igualdad de normas en toda la Unión y proteger eficazmente nuestros valores europeos y los derechos de los ciudadanos;

3. Afirma que el mercado único digital necesita una armonización plena puesto que el ámbito digital se caracteriza por una rápida dinámica transfronteriza y flujos de datos internacionales; considera que la Unión solo alcanzará los objetivos de mantener su soberanía digital y de impulsar la innovación digital en Europa con normas coherentes y comunes en consonancia con una cultura de innovación;

4. Observa que la carrera mundial de la IA ya está en marcha y que la Unión debe asumir el liderazgo en ella explotando su potencial científico y tecnológico; hace especial hincapié en que el desarrollo de tecnología no debe socavar la protección de los usuarios contra el perjuicio que puedan causar dispositivos y sistemas que utilicen IA; alienta la promoción de las normas de la Unión en materia de responsabilidad civil a escala internacional;

5. Cree firmemente que las nuevas normas comunes para los sistemas de IA solo deben adoptar la forma de un reglamento; considera que la cuestión de la responsabilidad civil en caso de daño o perjuicio causado por un sistema de IA es uno de los aspectos clave que deben abordarse en este contexto;

Responsabilidad civil e inteligencia artificial

6. Cree que no es necesaria una revisión completa de los regímenes de responsabilidad civil que funcionan bien, pero que, no obstante, la complejidad, la conectividad, la opacidad, la vulnerabilidad, la capacidad de ser modificados mediante actualizaciones, la capacidad de autoaprendizaje y la autonomía potencial de los sistemas de IA, así como la multitud de agentes involucrados representan un reto importante para la eficacia de las disposiciones del marco de responsabilidad civil de la Unión y nacional; considera que es necesario realizar adaptaciones específicas y coordinadas de los regímenes de responsabilidad civil para evitar situaciones en las que personas que sufran un daño o un menoscabo a su patrimonio acaben sin indemnización;

7. Observa que todas las actividades, dispositivos o procesos físicos o virtuales gobernados por sistemas de IA pueden ser técnicamente la causa directa o indirecta de un daño o un perjuicio, pero casi siempre son el resultado de que alguien ha construido o desplegado los sistemas o interferido en ellos; observa, a este respecto, que no es necesario atribuir personalidad jurídica a los sistemas de IA; opina que la opacidad, la conectividad y la autonomía de los sistemas de IA podrían dificultar o incluso imposibilitar en la práctica la trazabilidad de acciones perjudiciales específicas de los sistemas de IA hasta una intervención humana específica o decisiones de diseño; recuerda que, de conformidad con conceptos de responsabilidad civil ampliamente aceptados, se puede eludir, no obstante, este obstáculo haciendo responsables a las diferentes personas de toda la cadena de valor que crean, mantienen o controlan el riesgo asociado al sistema de IA;

8. Considera que la Directiva sobre responsabilidad por los daños causados por productos defectuosos ha demostrado ser, durante más de treinta años, un medio eficaz para obtener una indemnización por un daño causado por un producto defectuoso, pero que, no obstante, debe revisarse para adaptarla al mundo digital y abordar los retos que plantean las tecnologías digitales emergentes, para así garantizar un elevado nivel de protección efectiva de los consumidores y de seguridad jurídica para los consumidores y las empresas, a la vez que se evitan elevados costes y riesgos para las pymes y las empresas emergentes; insta a la Comisión a que evalúe si la Directiva sobre responsabilidad por los daños causados por productos defectuosos debe transformarse en un reglamento, a que aclare la definición de «productos», determinando para ello si el contenido digital y los servicios digitales entran dentro de su ámbito de aplicación, y a que considere la posibilidad de adaptar conceptos como «daño», «defecto» y «productor»; opina que, en aras de la seguridad jurídica en toda la Unión, tras la revisión de la Directiva, el concepto de «productor» debe incluir a fabricantes, desarrolladores, programadores, prestadores de servicios y operadores finales; pide a la Comisión que considere la posibilidad de revertir las normas que rigen la carga de la prueba para los daños ocasionados por las tecnologías digitales emergentes en casos claramente definidos y tras una adecuada evaluación; señala la importancia de garantizar que el acto de la Unión actualizado se limite a problemas claramente identificados para los que ya existen soluciones viables y, al mismo tiempo, permita la inclusión de futuros avances tecnológicos, incluidos los avances basados en programas informáticos libres y de código abierto; señala que la Directiva sobre responsabilidad por los daños causados por productos defectuosos debe seguir utilizándose en relación con las reclamaciones por responsabilidad civil contra el productor de un sistema de IA defectuoso, cuando el sistema de IA cumpla los requisitos para ser considerado un producto con arreglo a dicha Directiva; subraya que cualquier actualización del marco de responsabilidad por los productos debe ir de la mano de la actualización de la Directiva 2001/95/CE del Parlamento Europeo y del Consejo, de 3 de diciembre de 2001, relativa a la seguridad general de los productos (16), a fin de garantizar que los sistemas de IA incorporen los principios de seguridad y protección desde el diseño;

9. Considera que la legislación vigente de los Estados miembros en materia de responsabilidad subjetiva ofrece, en la mayoría de los casos, un nivel de protección suficiente a las personas que sufren perjuicios causados por un tercero interferidor como un pirata informático o a las personas que sufren menoscabo al patrimonio por ese tercero, ya que esta interferencia por regla general constituye una acción de responsabilidad civil subjetiva; observa que solo en casos específicos, incluidos aquellos en los que el tercero no sea rastreable o sea insolvente, parece necesario añadir normas en materia de responsabilidad civil para complementar la legislación nacional en materia de responsabilidad civil existente;

10. Considera, por consiguiente, que el presente informe debe centrarse en las reclamaciones por responsabilidad civil contra el operador de un sistema de IA; afirma que la responsabilidad civil del operador se justifica por el hecho de que controla un riesgo asociado al sistema de IA, comparable al del propietario de un automóvil; considera que, debido a la complejidad y conectividad de un sistema de IA, el operador será, en muchos casos, el primer punto de contacto visible para la persona afectada;

Responsabilidad civil del operador

11. Opina que las normas en materia de responsabilidad civil que afecten al operador deben cubrir todas las operaciones de los sistemas de IA, independientemente de dónde se lleve a cabo la operación y de que esta sea física o virtual; observa que las operaciones en espacios públicos que exponen a muchas personas a un riesgo constituyen, sin embargo, casos que requieren una consideración más profunda; considera que a menudo las víctimas potenciales de daños o perjuicios no son conscientes de la operación y no suelen disponer de derechos a reclamar por responsabilidad contractual contra el operador; señala que, si se produce un daño o perjuicio, esas personas solo tendrían una pretensión por responsabilidad subjetiva y podrían tener dificultades para demostrar la culpa del operador del sistema de IA, por lo que podrían fracasar las correspondientes demandas por responsabilidad civil;

12. Considera adecuado que por «operador» se entienda tanto al operador final como al operador inicial, siempre que a este último no se le aplique la Directiva sobre responsabilidad por los daños causados por productos defectuosos; señala que por «operador final» debe entenderse la persona física o jurídica que ejerce un grado de control sobre un riesgo asociado a la operación y el funcionamiento del sistema de IA y se beneficia de su funcionamiento; afirma que por «operador inicial» debe entenderse la persona física o jurídica que define, de forma continuada, las características de la tecnología, proporciona datos y un servicio de apoyo final de base esencial y, por tanto, ejerce también un grado de control sobre un riesgo asociado a la operación y el funcionamiento del sistema de IA; considera que por «ejercicio del control» se entiende cualquier acción del operador que influya en el funcionamiento del sistema de IA y, por consiguiente, en la medida en que expone a terceros a sus potenciales riesgos; considera que esas acciones podrían afectar al funcionamiento de un sistema de IA desde el inicio al fin, al determinar la entrada, la salida o los resultados, o podrían cambiar las funciones o procesos específicos dentro del sistema de IA;

13. Señala que podrían darse situaciones en las que haya más de un operador, por ejemplo, un operador final y un operador inicial; considera que, en ese caso, todos los operadores deben ser responsables civiles solidarios, aunque teniendo al mismo tiempo derecho a reclamar en la vía de regreso unos de otros de forma proporcional; opina que los porcentajes de responsabilidad deben venir determinados por los respectivos niveles de control que tengan los operadores sobre el riesgo relacionado con la operación y el funcionamiento del sistema de IA; considera que debe mejorarse la trazabilidad de los productos con el fin de identificar mejor a los que intervienen en las distintas fases;

Normas en materia de responsabilidad civil diferentes para riesgos diferentes

14. Reconoce que el tipo de sistema de IA sobre el que el operador ejerce control es un factor determinante en lo que respecta a la responsabilidad; observa que un sistema de IA que conlleve un alto riesgo inherente y actúe de manera autónoma potencialmente pone en peligro en mucha mayor medida al público en general; considera que, habida cuenta de los retos jurídicos que plantean los sistemas de IA para los regímenes de responsabilidad civil existentes, parece razonable establecer un régimen común de responsabilidad objetiva para los sistemas de IA autónomos de alto riesgo; subraya que este enfoque basado en el riesgo, que puede incluir varios niveles de riesgo, debe basarse en criterios claros y una definición adecuada de «alto riesgo», así como ofrecer seguridad jurídica;

15. Cree que un sistema de IA presenta un alto riesgo cuando su funcionamiento autónomo conlleva un potencial significativo de causar daño a una o más personas, de forma aleatoria y yendo más allá de lo que cabe esperar razonablemente; considera que, a la hora de determinar si un sistema de IA es de alto riesgo, también debe tenerse en cuenta el sector en el que cabe esperar que surjan riesgos importantes y la naturaleza de las actividades realizadas; considera que la magnitud del potencial depende de la relación entre la gravedad del posible daño, la probabilidad de que el riesgo cause un daño o un perjuicio y el modo en que se utiliza el sistema de IA;

16. Recomienda que todos los sistemas de IA de alto riesgo se enumeren de forma exhaustiva en un anexo del Reglamento propuesto; reconoce que, dado el rápido desarrollo tecnológico y los conocimientos técnicos necesarios, la Comisión debe revisar dicho anexo sin demoras injustificadas y, a más tardar, cada seis meses y, en caso necesario, modificarlo mediante un acto delegado; cree que la Comisión debe cooperar estrechamente con un comité permanente de nueva creación, similar al Comité Permanente sobre Precursores o al Comité Técnico sobre Vehículos de Motor ya existentes, que incluyen a expertos nacionales de los Estados miembros y a las partes interesadas; considera que la composición equilibrada del Grupo de expertos de alto nivel sobre la inteligencia artificial podría servir de ejemplo para la formación del grupo de partes interesadas, con la suma de expertos en ética, antropólogos, sociólogos y especialistas en salud mental; opina también que el Parlamento Europeo debe nombrar expertos consultivos para asesorar al comité permanente de nueva creación;

17. Señala que el desarrollo de tecnologías basadas en la IA es muy dinámico y está en continua aceleración; subraya que, a fin de garantizar una protección adecuada a los usuarios, se necesita un enfoque acelerado para analizar los potenciales riesgos de nuevos dispositivos y sistemas que utilicen los sistemas de IA que surjan en el mercado europeo; recomienda una simplificación en la mayor medida posible de todos los procedimientos en este sentido; propone, además, que la evaluación por parte de la Comisión de si un sistema de IA presenta un alto riesgo debe comenzar al mismo tiempo que la evaluación de la seguridad de los productos a fin de evitar una situación en la que un sistema de IA de alto riesgo ya esté aprobado para su comercialización pero aún no esté clasificado como de alto riesgo y, por tanto, funcione sin cobertura de seguro obligatoria;

18. Señala que la Comisión debe evaluar de qué manera la autoridad investigadora podría acceder a los datos recogidos, registrados o almacenados en sistemas de IA de alto riesgo y hacer uso de ellos a efectos de recabar pruebas en caso de daño o perjuicio causado por dicho sistema, y cómo podría mejorarse la trazabilidad y auditabilidad de dichos datos, teniendo en cuenta al mismo tiempo los derechos fundamentales y el derecho a la intimidad;

19. Afirma que, en consonancia con los sistemas de responsabilidad objetiva de los Estados miembros, la propuesta de Reglamento debe ser de aplicación a las violaciones de derechos importantes, jurídicamente protegidos, a la vida, la salud, la integridad física y la propiedad, y establecer los importes y el alcance de la indemnización, así como el plazo de prescripción; opina que el Reglamento propuesto debe incluir también los daños inmateriales significativos que den lugar a una pérdida económica comprobable por encima de un umbral, armonizado en el Derecho de la Unión en materia de responsabilidad civil, que equilibre el acceso a la justicia de las personas afectadas y los intereses de otras personas interesadas; insta a la Comisión a que revalúe y ajuste en el Derecho de la Unión los umbrales relativos a los daños y perjuicios; considera que la Comisión debe analizar en profundidad las tradiciones jurídicas de todos los Estados miembros y sus legislaciones nacionales vigentes que conceden una indemnización por daños inmateriales, a fin de evaluar si la inclusión de los daños inmateriales en actos legislativos específicos sobre IA es necesaria y si contradice el marco jurídico vigente de la Unión o socava el Derecho nacional de los Estados miembros;

20. Precisa que todas las actividades, dispositivos o procesos gobernados por sistemas de IA que ocasionen un daño o perjuicio pero no estén incluidos en el anexo del Reglamento propuesto deben seguir estando sujetos a la responsabilidad subjetiva; cree, no obstante, que la persona afectada debe poder acogerse a una presunción de culpa del operador, quien debe poder quedar eximido de culpa demostrando que ha observado el deber de diligencia;

21. Considera que un sistema de IA que aún no haya sido evaluado por la Comisión y el comité permanente de nueva creación y que, por lo tanto, todavía no esté clasificado como de alto riesgo ni incluido en la lista que figura en el anexo del Reglamento propuesto, debe, no obstante, quedar sujeto, como excepción al sistema previsto en el apartado 20, a una responsabilidad objetiva si ha causado incidentes reiterados que den lugar a un daño o un perjuicio grave; señala que, de ser ese el caso, la Comisión también debe evaluar, sin demora indebida, la necesidad de revisar dicho anexo para añadir el sistema de IA en cuestión a la lista; opina que, si, a raíz de dicha evaluación, la Comisión decide incluir dicho sistema de IA en la lista, dicha inclusión debe tener efecto retroactivo a partir del momento del primer incidente probado causado por dicho sistema que haya ocasionado un daño o un perjuicio grave;

22. Pide a la Comisión que evalúe la necesidad de disposiciones jurídicas a escala de la Unión en materia de contratos para evitar la inclusión de cláusulas contractuales de exención de la responsabilidad, también en las relaciones entre empresas y entre empresas y la administración;

Seguros y sistemas de IA

23. Considera que la cobertura de la responsabilidad civil es uno de los factores clave que define el éxito de las nuevas tecnologías, productos y servicios; observa que una cobertura de la responsabilidad civil adecuada es también esencial para garantizar que el público pueda confiar en la nueva tecnología, a pesar de las posibilidades de sufrir un daño o de hacer frente a demandas judiciales por parte de las personas afectadas; observa, al mismo tiempo, que este sistema regulador se centra en la necesidad de explotar y potenciar las ventajas de los sistemas de IA, a la vez que se establecen sólidas salvaguardias;

24. Opina que, sobre la base del potencial significativo para causar un daño o un perjuicio y teniendo en cuenta la Directiva 2009/103/CE del Parlamento Europeo y del Consejo, de 16 de septiembre de 2009, relativa al seguro de la responsabilidad civil que resulta de la circulación de vehículos automóviles, así como al control de la obligación de asegurar esta responsabilidad (17), todos los operadores de sistemas de IA de alto riesgo enumerados en el anexo del Reglamento propuesto deben ser titulares de un seguro de responsabilidad civil; considera que ese régimen de seguro obligatorio para los sistemas de IA de alto riesgo debe cubrir los importes y el alcance de la indemnización establecidos por el Reglamento propuesto; es consciente de que actualmente dicha tecnología es todavía muy inusual, ya que presupone un alto grado de toma de decisiones autónoma, y de que, por consiguiente, los debates actuales están orientados sobre todo al futuro; cree, no obstante, que la incertidumbre relacionada con los riesgos no debe hacer que las primas de seguro sean prohibitivamente elevadas y convertirse así en un obstáculo para la investigación y la innovación;

25. Cree que un mecanismo de indemnización a escala de la Unión, financiado con fondos públicos, no es la manera adecuada de colmar posibles lagunas en materia de seguros; considera que la falta de datos sobre los riesgos asociados a los sistemas de IA, unida a la incertidumbre sobre su evolución en el futuro, dificulta al sector de los seguros elaborar productos de seguro nuevos o adaptados; considera que es probable que dejar el desarrollo de un seguro obligatorio plenamente al mercado resulte en un enfoque de «talla única» con primas desproporcionadamente elevadas y los incentivos equivocados, alentando a los operadores a optar por el seguro más barato en lugar de por la mejor cobertura, lo que podría convertirse en un obstáculo para la investigación y la innovación; considera que la Comisión debe colaborar estrechamente con el sector de los seguros para estudiar la forma de poder utilizar datos y modelos innovadores para crear pólizas de seguro que ofrezcan una cobertura adecuada a un precio asequible;

Aspectos finales

26. Pide a la Comisión que le someta, sobre la base del artículo 225 del Tratado de Funcionamiento de la Unión Europea, una propuesta de Reglamento sobre la responsabilidad civil por el funcionamiento de los sistemas de inteligencia artificial, siguiendo las recomendaciones que se recogen en el anexo;

27. Considera que la propuesta solicitada carece de repercusiones financieras;

28. Encarga a su presidente que transmita la presente Resolución y las recomendaciones que se recogen en el anexo a la Comisión y al Consejo.

ANEXO A LA RESOLUCIÓN:

RECOMENDACIONES DETALLADAS PARA LA ELABORACIÓN DE UN REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO RELATIVO A LA RESPONSABILIDAD CIVIL POR EL FUNCIONAMIENTO DE LOS SISTEMAS DE INTELIGENCIA ARTIFICIAL

A. PRINCIPIOS Y OBJETIVOS DE LA PROPUESTA SOLICITADA

El presente informe aborda un aspecto importante de la digitalización que viene configurado por las actividades transfronterizas, la competencia mundial y consideraciones sociales básicas. Los siguientes principios deben servir de orientación:

1. Un mercado único digital genuino requiere una armonización completa mediante un reglamento.

2. Los nuevos retos jurídicos que plantea el desarrollo de sistemas de inteligencia artificial (IA) deben abordarse estableciendo la máxima seguridad jurídica a lo largo de la cadena de responsabilidad, en particular para el productor, el operador, la persona afectada y cualquier otro tercero.

3. No debe haber una sobrerregulación y debe evitarse la carga burocrática, ya que, de lo contrario, se obstaculizaría la innovación europea en materia de IA, especialmente en caso de que la tecnología, los productos o los servicios sean desarrollados por pymes o empresas emergentes.

4. Las normas de responsabilidad civil para la IA deben tratar de lograr un equilibrio entre la protección del público, por una parte, y los incentivos empresariales para invertir en innovación, especialmente en sistemas de IA, por otra.

5. En lugar de sustituir los regímenes de responsabilidad civil existentes, que funcionan correctamente, deben realizar algunos ajustes necesarios mediante la introducción de ideas nuevas y orientadas al futuro.

6. La futura propuesta de Reglamento y la Directiva sobre responsabilidad por los daños causados por productos defectuosos constituyen los dos pilares de un marco común de responsabilidad civil para los sistemas de IA y requieren una estrecha coordinación y concertación entre todos los agentes políticos, a nivel nacional y de la Unión.

7. Los ciudadanos deben tener derecho al mismo nivel de protección y de derechos, independientemente de si el daño es causado por un sistema de IA o no, o de si tiene lugar física o virtualmente, de tal forma que aumente su confianza en la nueva tecnología.

8. En la futura propuesta de Reglamento deben tenerse en cuenta tanto el daño material como el daño inmaterial. Sobre la base, entre otros documentos, de su Informe de 19 de febrero de 2020 sobre las repercusiones en materia de seguridad y responsabilidad civil de la inteligencia artificial, el internet de las cosas y la robótica, se pide a la Comisión Europea que analice en profundidad las tradiciones jurídicas de todos los Estados miembros, así como las disposiciones legislativas vigentes que conceden una indemnización por daños inmateriales, a fin de evaluar si la inclusión de los daños inmateriales en la futura propuesta de Reglamento es jurídicamente sólida y necesaria desde el punto de vista de la persona afectada. De acuerdo con la información actualmente disponible, el Parlamento considera que debe incluirse el daño inmaterial significativo si la persona afectada sufre una pérdida económica apreciable, es decir, una pérdida económica comprobable.

B. TEXTO DE LA PROPUESTA SOLICITADA

Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO relativo a la responsabilidad civil por el funcionamiento de los sistemas de inteligencia artificial

EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, en particular, su artículo 114,

Vista la propuesta de la Comisión Europea,

Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales,

Visto el dictamen del Comité Económico y Social Europeo (1),

De conformidad con el procedimiento legislativo ordinario (2),

Considerando lo siguiente:

(1) El concepto de «responsabilidad civil» desempeña un importante doble papel en nuestra vida cotidiana: por una parte, garantiza que una persona que haya sufrido un daño o perjuicio tenga derecho a reclamar una indemnización a quien se haya considerado responsable de dicho daño o perjuicio y, por otra parte, proporciona incentivos económicos para que las personas eviten en primer lugar causar daños o perjuicios. Cualquier marco en materia de responsabilidad civil debe aspirar a infundir confianza en la seguridad, fiabilidad y coherencia de los productos y servicios, incluidas las tecnologías digitales emergentes, como la inteligencia artificial (IA), el internet de las cosas o la robótica, a fin de lograr un equilibrio entre la protección eficaz de las potenciales víctimas de un daño o un perjuicio y, al mismo tiempo, ofrecer un margen de maniobra suficiente para posibilitar el desarrollo de nuevas tecnologías, productos o servicios.

(2) En particular al principio del ciclo de vida de los nuevos productos y servicios, tras haber sido probados previamente, existe cierto nivel de riesgo para el usuario, así como para terceras personas, de que algo no funcione correctamente. Este proceso de prueba y error también es, al mismo tiempo, un factor clave para el progreso técnico, sin el cual la mayor parte de nuestras tecnologías no existirían. Hasta ahora, los riesgos asociados a nuevos productos y servicios se han visto atenuados adecuadamente por la sólida legislación en materia de seguridad de los productos y las normas sobre responsabilidad civil.

(3) El auge de la IA plantea, sin embargo, un reto importante para los actuales marcos de responsabilidad civil. La utilización de sistemas de IA en nuestra vida cotidiana lleva a situaciones en las que su opacidad (el elemento «caja negra») y el gran número de agentes que intervienen en su ciclo de vida podrían hacer extremadamente costoso, o incluso imposible, determinar quién controlaba el riesgo asociado al uso del sistema de IA en cuestión o qué código o entrada ha provocado en última instancia el funcionamiento lesivo. Esta dificultad se ve agravada por la conectividad entre un sistema de IA y otros sistemas ya sean o no de IA, por su dependencia de los datos externos, por su vulnerabilidad frente a las violaciones de la ciberseguridad y por la creciente autonomía de los sistemas de IA debido a las capacidades de aprendizaje automático y de aprendizaje profundo. Además de estas características complejas y las posibles vulnerabilidades, los sistemas de IA también podrían utilizarse para causar daños graves, por ejemplo, poniendo en peligro la dignidad humana y los valores y libertades europeos mediante el seguimiento de las personas contra su voluntad, la introducción de sistemas de crédito social o la toma de decisiones sesgadas en materia de seguro de enfermedad, concesión de crédito, autos judiciales, contratación o empleo o mediante la construcción de sistemas armamentísticos autónomos letales.

(4) Es importante señalar que las ventajas del despliegue de sistemas de IA compensarán con creces sus desventajas. Ayudarán a combatir el cambio climático de manera más eficaz, a mejorar los exámenes médicos y las condiciones de trabajo, a integrar mejor a las personas con discapacidad y las personas mayores en la sociedad y a ofrecer cursos de educación a medida para todo tipo de estudiantes. Para aprovechar las distintas oportunidades tecnológicas e impulsar la confianza de los ciudadanos en el uso de los sistemas de IA, al mismo tiempo que se evitan situaciones perjudiciales, la mejor manera de avanzar son unas normas éticas firmes combinadas con procedimientos de indemnización justos y sólidos.

(5) También es necesario un régimen de responsabilidad civil adecuado para contrarrestar la infracción de las normas de seguridad. No obstante, el régimen de responsabilidad civil establecido en el presente Reglamento debe tener en cuenta todos los intereses en juego. El estudio cuidadoso de las consecuencias de cualquier nuevo marco normativo  para las pequeñas y medianas empresas (pymes) y las empresas emergentes es un requisito previo a la adopción de cualquier nueva medida legislativa. El papel fundamental que esas empresas desempeñan en la economía europea justifica un enfoque estrictamente proporcionado para permitirles desarrollarse e innovar. Por otra parte, las víctimas de daños o perjuicios causados por sistemas de IA deben tener derecho a resarcimiento y a la plena indemnización de los daños o perjuicios que hayan sufrido.

(6) Cualquier cambio necesario del marco jurídico vigente debe comenzar con la aclaración de que los sistemas de IA no tienen personalidad jurídica ni conciencia humana, y que su única función es servir a la humanidad. Muchos sistemas de IA tampoco son tan diferentes de otras tecnologías basadas, a veces, en programas informáticos aún más complejos. En última instancia, la gran mayoría de los sistemas de IA se utiliza para efectuar tareas triviales, sin riesgo o con riesgos mínimos para la sociedad. La utilización del término «toma de decisiones automatizada» podría evitar la posible ambigüedad del término IA. Ese término describe una situación en la que un usuario delega inicialmente una decisión, en su totalidad o en parte, en una entidad mediante un programa informático o un servicio. Esa entidad, a su vez, utiliza modelos de toma de decisiones ejecutados automáticamente para llevar a cabo una acción en nombre de un usuario o para informar la decisión del usuario a la hora de realizar una acción;

(7) Sin embargo, existen también sistemas de IA que se desarrollan y despliegan de manera crítica y se basan en tecnologías como redes neuronales y procesos de aprendizaje profundo. Su opacidad y autonomía podrían dificultar la trazabilidad de acciones específicas hasta decisiones humanas específicas en su diseño o en su funcionamiento. Un operador de un sistema de IA de este tipo podría, por ejemplo, argumentar que la actividad, el dispositivo o el proceso físico o virtual que causa el daño o perjuicio se encontraba fuera de su control debido a que fue causado por un funcionamiento autónomo de su sistema de IA. Además, el mero funcionamiento de un sistema de IA autónomo no debe constituir un motivo suficiente para admitir una demanda por responsabilidad civil. Por consiguiente, puede haber casos de responsabilidad civil en los que la atribución de la responsabilidad puede ser injusta o ineficiente, o en los que una persona que sufra un daño o perjuicio causado por un sistema de IA no pueda demostrar la culpa del productor, de un tercero interferidor o del operador y acabe sin indemnización alguna.

(8) No obstante, debe quedar siempre claro que la persona que cree el sistema de IA, lo mantenga, lo controle o interfiera en él debe ser responsable del daño o perjuicio que cause la actividad, el dispositivo o el proceso. Esto se desprende de conceptos de justicia en materia de responsabilidad civil ampliamente aceptados y de carácter general en virtud de los cuales la persona que crea o mantiene un riesgo para el público es responsable si dicho riesgo causa un daño o un perjuicio y, por lo tanto, debe minimizar ex ante o indemnizar ex post dicho riesgo. Por consiguiente, el auge de los sistemas de IA no implica la necesidad de revisar completamente las normas en materia de responsabilidad civil en toda la Unión. Unos ajustes concretos de la legislación vigente y la introducción de nuevas disposiciones bien ponderadas y orientadas serían suficientes para hacer frente a los retos que plantea la IA, a fin de evitar la fragmentación normativa y garantizar la armonización de la legislación en materia de responsabilidad civil en toda la Unión en relación con la IA.

(9) La Directiva 85/374/CEE del Consejo sobre responsabilidad por los daños causados por productos defectuosos (3) ha demostrado ser durante más de treinta años un medio eficaz para obtener una indemnización por los perjuicios causados por un producto defectuoso. Por lo tanto, también debe utilizarse en relación con las reclamaciones por responsabilidad civil presentadas contra el productor de un sistema de IA defectuoso por una parte que sufra un daño o perjuicio. En consonancia con los principios de mejora de la legislación de la Unión, todo ajuste legislativo necesario debe debatirse durante la revisión necesaria de dicha Directiva. La legislación vigente de los Estados miembros en materia de responsabilidad subjetiva también ofrece, en la mayoría de los casos, un nivel de protección suficiente a las personas que sufren un daño o un perjuicio causado por un tercero interferidor, ya que esta interferencia por regla general constituye una acción de responsabilidad subjetiva en la que el tercero utiliza el sistema de IA para causar daños. Por consiguiente, el presente Reglamento debe centrarse en las reclamaciones contra el operador de un sistema de IA.

(10) En el marco del presente Reglamento, la responsabilidad civil del operador se basa en el hecho de que ejerce un grado de control sobre un riesgo asociado al funcionamiento y la operación de un sistema de IA, comparable al del propietario de un vehículo. Cuanto mayor sea el grado de sofisticación y de autonomía de un sistema, mayor será el impacto de la definición y la alteración de los algoritmos, por ejemplo a través de actualizaciones constantes. Dado

que a menudo podría considerarse, de manera significativa, que hay más de una persona «operando» el sistema de IA, con arreglo al presente Reglamento el término «operador» debe entenderse que comprende tanto al operador final como al final. Aunque en general el operador final parece ser la persona que decide «principalmente» el uso del sistema de IA, el operador inicial podría, de hecho, tener un grado de control más elevado sobre los riesgos operativos. Si el operador inicial también tiene la condición de «productor» en el sentido del artículo 3 de la Directiva sobre responsabilidad por los daños causados por productos defectuosos, debe aplicársele dicha Directiva. Si solo hay un operador y dicho operador es también el productor del sistema de IA, el presente Reglamento debe prevalecer sobre la Directiva sobre responsabilidad por los daños causados por productos defectuosos.

(11) Si un usuario, es decir, la persona que utiliza el sistema de IA, está involucrado en el incidente que causa el daño, solo debe ser considerado responsable en virtud del presente Reglamento si el usuario también tiene la condición de operador. En caso contrario, el grado de contribución manifiestamente imprudente o dolosa del usuario al riesgo podría conducir a la responsabilidad subjetiva del usuario ante el demandante. Los derechos del consumidor aplicables del usuario no deben verse afectados.

(12) El presente Reglamento debe permitir a la persona afectada presentar demandas por responsabilidad civil a lo largo de la cadena de responsabilidad y de todo el ciclo de vida de un sistema de IA. También debe abarcar todos los sistemas de IA, independientemente del lugar de operación y de si esta es de carácter físico o virtual. Sin embargo, la mayoría de las demandas por responsabilidad civil en virtud del presente Reglamento deben abordar casos de responsabilidad ante terceros en los que un sistema de IA funciona en un espacio público y expone a numerosas personas a un riesgo. En este tipo de situaciones, las personas afectadas a menudo no estarán al tanto del sistema de IA que se utiliza ni tendrán una relación contractual o jurídica con el operador. Por consiguiente, la utilización del sistema de IA los coloca en una situación en la que, en caso de daño o perjuicio, solo pueden pretender reclamar la responsabilidad subjetiva del operador del sistema de IA, al tiempo que se enfrentan a graves dificultades para demostrar la culpa del operador.

(13) El tipo de sistema de IA sobre el que el operador ejerce el control es un factor determinante. Un sistema de IA que implique un alto riesgo puede poner en peligro al usuario o al público en un grado mucho más elevado y de manera aleatoria y yendo más allá de lo que cabe esperar razonablemente. Esto significa que, al inicio del funcionamiento autónomo del sistema de IA, la mayoría de las personas potencialmente afectadas no son ni conocidas ni identificables (por ejemplo, las personas que se encuentren en una plaza pública o en una casa vecina), a diferencia de lo que ocurre en el caso del funcionamiento de un sistema de IA en el que participan personas concretas, que han dado regularmente su consentimiento previo para su despliegue, por ejemplo, una intervención quirúrgica en un hospital o una demostración comercial en una tienda pequeña. La definición de la importancia del potencial de un sistema de IA de alto riesgo de causar daños o perjuicios depende de la interacción entre la finalidad de uso para la que se comercializa el sistema de IA, la forma en que se usa el sistema de IA, la gravedad del daño o perjuicio potencial, el grado de autonomía de la toma de decisiones que puede resultar en daños y de la probabilidad de que el riesgo se materialice. El grado de gravedad debe determinarse sobre la base de factores relevantes como la magnitud del daño potencial resultante del funcionamiento en las personas afectadas, incluido, en particular, el efecto en los derechos fundamentales, el número de personas afectadas, el valor total del posible perjuicio y el daño a la sociedad en su conjunto. La probabilidad del daño o perjuicio debe determinarse sobre la base de factores relevantes como el papel de los cálculos algorítmicos en el proceso de toma de decisiones, la complejidad de la decisión y la reversibilidad de los efectos. En última instancia, la forma de uso debe depender de factores relevantes como el contexto y el sector en el que opera el sistema de IA, si puede tener efectos jurídicos o fácticos sobre derechos importantes de la persona afectada jurídicamente protegidos y de si los efectos pueden evitarse razonablemente.

(14) En un anexo al Reglamento presente deben enumerarse exhaustivamente todos los sistemas de IA de alto riesgo. Habida cuenta de la rápida evolución técnica y del mercado a escala mundial, así como de los conocimientos técnicos que se necesitan para una revisión adecuada de los sistemas de IA, deben delegarse en la Comisión poderes para adoptar actos delegados con arreglo al artículo 290 del Tratado de Funcionamiento de la Unión Europea con el fin de modificar el presente Reglamento en lo que se refiere a los tipos de sistemas de IA que entrañan un alto riesgo y los sectores críticos en los que se usan. Sobre la base de las definiciones y disposiciones recogidas en el presente Reglamento, la Comisión debe revisar el anexo en el plazo más breve posible y, en todo caso cada seis meses y, si procede, modificarlo mediante actos delegados. La evaluación por parte de la Comisión de si un sistema de IA presenta un riesgo elevado debe comenzar al mismo tiempo que la evaluación de la seguridad de los productos a fin de evitar una situación en la que un sistema de IA de alto riesgo ya esté aprobado para su comercialización pero aún no esté clasificado como de alto riesgo y, por tanto, funcione sin cobertura de seguro obligatoria. Para que las empresas y los organismos de investigación dispongan de seguridad suficiente en términos de planificación e inversión, los cambios en los sectores críticos solo deben realizarse cada doce meses. Debe instarse a los operadores a que informen a la Comisión de si están trabajando en una nueva tecnología, productos o servicios que se inscriban en uno de los sectores críticos existentes previstos en el anexo y que posteriormente podrían clasificarse como sistema de IA de alto riesgo.

(15) Reviste especial importancia que la Comisión lleve a cabo consultas periódicas adecuadas con todas las partes interesadas pertinentes durante la fase preparatoria, en particular con expertos, y que esas consultas se realicen de conformidad con los principios establecidos en el Acuerdo interinstitucional, de 13 de abril de 2016, sobre la mejora de la legislación (4). La Comisión debe ser apoyada en su revisión periódica por un comité permanente denominado «Comité técnico — sistemas de IA de alto riesgo» (TCRAI, por sus siglas en inglés), de conformidad con el presente Reglamento. Este comité permanente debe incluir representantes de los Estados miembros, así como una selección equilibrada de las partes interesadas, incluidas asociaciones de consumidores, asociaciones que representan a las personas afectadas, representantes de empresas de distintos sectores y tamaños, así como investigadores y científicos. En particular, a fin de garantizar una participación equitativa en la preparación de los actos delegados, el Parlamento Europeo y el Consejo reciben toda la documentación al mismo tiempo que los expertos de los Estados miembros, y sus expertos tienen acceso sistemáticamente a las reuniones de los grupos de expertos de la Comisión y del Comité mencionado anteriormente que se ocupen de la preparación de actos delegados.

(16) El presente Reglamento debe cubrir los daños o perjuicios a la vida, la salud, la integridad física, la propiedad y los daños morales significativos que den lugar a una pérdida económica comprobable por encima de un umbral, armonizado en el Derecho de la Unión en materia de responsabilidad civil, que equilibre el acceso a la justicia de las personas afectadas con los intereses de otras personas implicadas. La Comisión debe reevaluar y ajustar en el Derecho de la Unión los umbrales relativos a los perjuicios. Por daño moral significativo debe entenderse un daño como consecuencia del cual la persona afectada sufre un perjuicio considerable, un menoscabo objetivo y demostrable de sus intereses personales y una pérdida económica calculada teniendo en cuenta, por ejemplo, las cifras medias anuales de ingresos anteriores y otras circunstancias pertinentes. El presente Reglamento también debe determinar el importe y el alcance de la indemnización, así como el plazo de prescripción para presentar demandas en materia de responsabilidad civil. El presente Reglamento debe establecer un límite máximo de indemnización significativamente inferior que el recogido en la Directiva sobre responsabilidad por los daños causados por productos defectuosos, ya que el Reglamento solo se refiere al daño o perjuicio de una sola persona resultante de una única utilización de un sistema de IA, mientras que dicha Directiva se refiere a una serie de productos o, incluso, a una línea de productos con el mismo defecto.

(17) Todas las actividades, dispositivos o procesos físicos o virtuales gobernados por los sistemas de IA que no se incluyan en la lista del anexo del presente Reglamento como sistemas de IA de alto riesgo deben seguir estando sujetos a la responsabilidad subjetiva, a menos que estén en vigor leyes nacionales o legislación en materia de protección de los consumidores más estrictas. Deben seguir aplicándose las legislaciones nacionales de los Estados miembros, incluida cualquier jurisprudencia pertinente, en relación con el importe y el alcance de la indemnización, así como el plazo de prescripción. No obstante, una persona que sufra un daño o perjuicio causado por un sistema de IA y que no se incluya en la lista como sistema de IA de alto riesgo debe acogerse a la presunción de culpa del operador.

(18) La diligencia debida que cabe esperar de un operador debe ser acorde con i) la naturaleza del sistema de IA; ii) el derecho jurídicamente protegido potencialmente afectado; iii) el daño o perjuicio potencial que podría causar el sistema de IA; y iv) la probabilidad de dicho perjuicio. Por consiguiente, debe tenerse en cuenta que el operador podría tener un conocimiento limitado de los algoritmos y datos utilizados en el sistema de IA. Se debe suponer que el operador ha prestado la debida atención que cabe esperar razonablemente de él al seleccionar un sistema de IA adecuado si ha seleccionado un sistema de IA que ha sido certificado conforme a un sistema similar al sistema de etiquetado voluntario previsto por la Comisión (5). Se debe suponer que el operador ha prestado la debida atención que cabe esperar razonablemente de él durante el funcionamiento del sistema de IA, si el operador puede demostrar que ha supervisado real y periódicamente el sistema de IA durante su funcionamiento y si ha informado al fabricante sobre posibles irregularidades durante el mismo. Se debe suponer que el operador ha prestado la debida atención que cabe esperar razonablemente de él en lo que se refiere al mantenimiento de la fiabilidad operativa si ha instalado todas las actualizaciones disponibles proporcionadas por el productor del sistema de IA. Dado que el grado de sofisticación de los operadores puede variar en función de si son meros consumidores o profesionales, los deberes de diligencia deben adaptarse en consecuencia.

(19) Para que el operador pueda demostrar que no es responsable o para permitir que la persona afectada pueda demostrar la existencia de culpa, los productores han de tener el deber de colaborar con las dos partes interesadas, también mediante la facilitación de información bien documentada. Tanto los productores establecidos en la Unión como fuera de ella deben tener, además, la obligación de designar a un representante en materia de responsabilidad civil de la IA en la Unión como punto de contacto para responder a todas las solicitudes de los operadores, de modo similar a los delegados de protección de datos de conformidad con el artículo 37 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (6), a los representantes del fabricante definidos en el artículo 3, punto 41, del Reglamento (UE) 2018/858 del Parlamento Europeo y del Consejo (7), o al representante autorizado mencionado en el artículo 4, apartado 2, y en el artículo 5 del Reglamento (UE) 2019/1020 del Parlamento Europeo y del Consejo (8).

(20) El legislador debe tener en cuenta los riesgos en materia de responsabilidad civil relacionados con los sistemas de IA durante todo su ciclo de vida, desde el desarrollo, pasando por su uso hasta el fin de su vida útil, incluida la gestión de residuos y del reciclado. La inclusión de sistemas de IA en un producto o servicio representa un riesgo financiero para las empresas y, por consiguiente, va a tener un fuerte impacto en la capacidad y las opciones de las pymes, así como de las empresas emergentes, en materia de seguros y de financiación de sus proyectos de investigación ydesarrollo basados en nuevas tecnologías. El objetivo de la responsabilidad civil, por lo tanto, no es solo salvaguardar importantes derechos de las personas que están jurídicamente protegidos sino también determinar si las empresas, en particular las pymes y las empresas emergentes, son capaces de reunir capital, innovar, investigar y, en última instancia, ofrecer productos y servicios nuevos, así como si los clientes confían en esos productos y servicios y están dispuestos a usarlos a pesar de los riesgos potenciales y de las demandas judiciales que se presenten en relación con dichos productos o servicios.

(21) El seguro puede garantizar que las víctimas perciban una indemnización efectiva y mutualizar los riesgos de todas las personas aseguradas. Uno de los factores en los que las compañías de seguros basan su oferta de productos y servicios de seguros es la evaluación de riesgos basada en el acceso a datos históricos suficientes en relación con las reclamaciones. Un acceso deficiente a datos de calidad elevada o una cantidad insuficiente de este tipo de datos podría ser una de las razones por las que en un principio resulta difícil crear productos de seguro para las tecnologías nuevas y emergentes. Sin embargo, un mayor acceso y la optimización del uso de los datos generados por las nuevas tecnologías, combinados con la obligación de facilitar información bien documentada, aumentaría la capacidad de las aseguradoras para modelar el riesgo emergente y fomentar el desarrollo de una cobertura más innovadora.

(22) Debido a la ausencia de datos históricos sobre las reclamaciones, debe investigarse cómo y en qué condiciones es asegurable la responsabilidad, con vistas a establecer un vínculo entre el seguro y el producto y no con la persona responsable. Ya existen productos de seguro que se desarrollan por ámbito y cobertura a medida que se desarrolla la tecnología. Numerosas compañías de seguros se especializan en determinados segmentos del mercado (por ejemplo, las pymes) o en brindar cobertura a determinados tipos de productos (por ejemplo, los aparatos eléctricos), lo que significa que, por lo general, el asegurado tendrá a su disposición un producto de seguro. Sin embargo, es difícil concebir una solución de «talla única» y el mercado de los seguros necesitará tiempo para adaptarse. La Comisión debe colaborar estrechamente con el mercado de los seguros para desarrollar productos de seguro innovadores que podrían colmar esa laguna en la materia. En casos excepcionales, como en el caso de que se produzcan daños colectivos, en los que la indemnización exceda de modo significativo los importes máximos establecidos en el presente Reglamento, debe alentarse a los Estados miembros a crear un fondo especial de indemnización para un período de tiempo limitado que responda a las necesidades específicas de esos casos. También podrían crearse fondos especiales de indemnización para cubrir aquellos casos excepcionales en los que un sistema de IA, que aún no esté clasificado como sistema de IA de alto riesgo y que, por tanto, todavía no está asegurado, cause daños o perjuicios. A fin de garantizar la seguridad jurídica y cumplir la obligación de informar a todas las personas potencialmente afectadas, la existencia del fondo especial de indemnización, así como las condiciones para acogerse a él, deben hacerse públicas de manera clara y exhaustiva.

(23) Reviste gran importancia que los posibles cambios al presente Reglamento que se introduzcan en el futuro vayan acompañados de la necesaria revisión de la Directiva sobre responsabilidad por los daños causados por productos defectuosos a fin de revisarla de manera integral y coherente y garantizar los derechos y obligaciones de todas las partes interesadas a lo largo de la cadena de responsabilidad civil. La introducción de un nuevo régimen de responsabilidad civil en relación con el operador de sistemas de la IA requiere que las disposiciones del presente Reglamento y la revisión de la Directiva sobre responsabilidad por los daños causados por productos defectuosos se coordinen estrechamente, tanto en términos de fondo como de enfoque, de modo que, juntas, constituyan un marco de responsabilidad civil coherente para los sistemas de IA, que equilibre los intereses del productor, del operador, del consumidor y de la persona afectada en lo que respecta al riesgo de responsabilidad civil y los regímenes de indemnización relevantes. Por lo tanto, adaptar y racionalizar las definiciones de sistemas de IA, operador final e inicial, productor, defecto, producto y servicio en todas las disposiciones legislativas parece necesario y debe contemplarse al mismo tiempo.

(24) Los objetivos que persigue el presente Reglamento, a saber, la adopción de un enfoque orientado hacia el futuro y unificado a escala de la Unión que establezca normas europeas comunes para los ciudadanos y empresas europeos y que garantice la coherencia de los derechos y la seguridad jurídica en el conjunto de la Unión, a fin de evitar la fragmentación del mercado único digital, lo que obstaculizaría el objetivo de mantener la soberanía digital, de fomentar la innovación digital en Europa y de garantizar un nivel elevado de protección de los derechos de los ciudadanos y los consumidores, exigen una armonización plena de los regímenes de responsabilidad civil aplicables a los sistemas de IA. Los Estados miembros no pueden lograr los objetivos perseguidos en la medida adecuada, debido a la velocidad de los cambios de carácter tecnológico, al desarrollo transfronterizo así como al uso de los sistemas de IA y, en última instancia, a los enfoques legislativos contradictorios en el conjunto de la Unión, sino que, debido a la dimensión o a los efectos de la acción, esos objetivos pueden lograrse mejor a escala de la Unión, esta puede adoptar medidas, de conformidad con el principio de subsidiariedad establecido en el artículo 5 del Tratado de la Unión Europea. De conformidad con el principio de proporcionalidad establecido en el mismo artículo, el presente Reglamento no excede de lo necesario para alcanzar dichos objetivos,

HAN ADOPTADO EL PRESENTE REGLAMENTO:

CAPÍTULO I. DISPOSICIONES GENERALES

Artículo 1. Objeto

El presente Reglamento establece normas en relación con las demandas por responsabilidad civil de las personas físicas y jurídicas contra los operadores de sistemas de IA.

Artículo 2. Ámbito de aplicación

1. El presente Reglamento se aplica en el territorio de la Unión a aquellos casos en que una actividad física o virtual, un dispositivo o un proceso gobernado por un sistema de IA haya causado daños o perjuicios a la vida, la salud, la integridad física de una persona física y los bienes de una persona física o jurídica, o bien haya causado daños morales considerables que den lugar a una pérdida económica comprobable.

2. Todo acuerdo celebrado entre un operador de un sistema de IA y una persona física o jurídica que sufra un daño o perjuicio como consecuencia de un sistema de IA, que eluda o limite los derechos y obligaciones establecidos en el presente Reglamento, celebrado bien antes o después de haberse causado el daño o perjuicio, será considerado nulo por lo que respecta a los derechos y obligaciones estipulados en virtud del presente Reglamento.

3. El presente Reglamento se entiende sin perjuicio de cualquier otra demanda en materia de responsabilidad civil derivada de las relaciones contractuales, así como de la normativa sobre responsabilidad por los daños causados por productos defectuosos, la protección de los consumidores, la lucha contra la discriminación y la protección laboral y del medio ambiente, entre el operador y la persona física o jurídica que haya sufrido un daño o perjuicio a causa del sistema de IA y de que se pueda presentar contra el operador de conformidad con el Derecho de la Unión o nacional

Artículo 3. Definiciones

A efectos del presente Reglamento, se entenderá por:

a) «sistema de inteligencia artificial»: todo sistema basado en programas informáticos o incorporado en dispositivos físicos que muestra un comportamiento que simula la inteligencia, entre otras cosas, mediante la recopilación y el tratamiento de datos, el análisis y la interpretación de su entorno y la actuación, con cierto grado de autonomía, para lograr objetivos específicos;

b) «autónomo»: todo sistema de inteligencia artificial que funciona interpretando determinados datos de entrada y utilizando un conjunto de instrucciones predeterminadas, sin limitarse a ellas, a pesar de que el comportamiento del sistema esté limitado y orientado a cumplir el objetivo que se le haya asignado y otras decisiones pertinentes de diseño tomadas por su desarrollador;

c) «alto riesgo»: el potencial significativo en un sistema de IA que funciona de forma autónoma para causar daños o perjuicios a una o más personas de manera aleatoria y que excede lo que cabe esperar razonablemente; la magnitud del potencial depende de la relación entre la gravedad del posible daño o perjuicio, el grado de autonomía de la toma de decisiones, la probabilidad de que el riesgo se materialice y el modo y el contexto en que se utiliza el sistema de IA;

d) «operador»: tanto el operador final como el inicial, siempre que la responsabilidad civil de este último no esté ya cubierta por la Directiva 85/374/CEE;

e) «operador final»: toda persona física o jurídica que ejerce un grado de control sobre un riesgo asociado a la operación y el funcionamiento del sistema de IA y se beneficia de su funcionamiento;

f) «operador inicial»: toda persona física o jurídica que define, de forma continuada, las características de la tecnología y proporciona datos y un servicio de apoyo final de base esencial y, por tanto, ejerce también grado de control sobre un riesgo asociado a la operación y el funcionamiento del sistema de IA;

g) «control»: toda acción de un operador que influya en el funcionamiento de un sistema de IA y, por consiguiente, la medida en que el operador expone a terceros a los potenciales riesgos asociados a la operación y al funcionamiento del sistema de IA; esa acción puede afectar al funcionamiento en cualquier fase al determinar la entrada, la salida o resultados o pueden cambiar funciones o procesos específicos dentro del sistema de IA; el grado en que estos aspectos del funcionamiento del sistema de IA están determinados por la acción depende del nivel de influencia que el operador tenga sobre el riesgo relacionado con la operación y el funcionamiento del sistema de IA;

h) «persona afectada»: toda persona que sufre daños o perjuicios por una actividad física o virtual, un dispositivo o un proceso gobernado por un sistema de IA, y que no sea su operador;

i) «daño o perjuicio»: impacto adverso que afecta a la vida, la salud, la integridad física de una persona física, los bienes de una persona física o jurídica o bien que produce daños morales significativos que resultan en una pérdida económica comprobable;

j) «productor»: el productor tal como se define en el artículo 3 de la Directiva 85/374/CEE.

CAPÍTULO II. SISTEMAS DE IA DE ALTO RIESGO

Artículo 4. Responsabilidad objetiva de los sistemas de IA de alto riesgo

1. El operador de un sistema de IA de alto riesgo será objetivamente responsable de cualquier daño o perjuicio causado por una actividad física o virtual, un dispositivo o un proceso gobernado por dicho sistema de IA.

2. En el anexo al presente Reglamento se enumerarán todos los sistemas de IA de alto riesgo y los sectores críticos en los que se utilizan. La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 13 bis para modificar la lista exhaustiva:

a) mediante la inclusión de nuevos tipos de sistemas de IA de alto riesgo y de los sectores críticos en los que se han desplegado;

b) suprimiendo los tipos de sistemas de IA que ya no se considera que presentan un alto riesgo; o

c) modificando los sectores críticos para los sistemas de IA de alto riesgo existentes. Todo acto delegado por el que se modifique el anexo entrará en vigor seis meses después de su adopción. Al determinar la inclusión en el anexo de nuevos sistemas de IA de alto riesgo o sectores críticos mediante actos delegados, la Comisión tendrá plenamente en cuenta los criterios establecidos en el presente Reglamento, en particular los recogidos en el artículo 3, letra c).

3. Los operadores de un sistema de IA de alto riesgo no podrán eludir su responsabilidad civil alegando que actuaron con la diligencia debida o que el daño o perjuicio fue causado por una actividad, un dispositivo o un proceso autónomos gobernados por su sistema de IA. Los operadores no serán responsables si el daño o perjuicio ha sido provocado por un caso de fuerza mayor.

4. El operador final de un sistema de IA de alto riesgo garantizará que las operaciones de dicho sistema de IA estén cubiertas por un seguro de responsabilidad civil adecuado en relación con los importes y el alcance de la indemnización previstos en los artículos 5 y 6 del presente Reglamento. El operador inicial garantizará que sus servicios estén cubiertos por un seguro de responsabilidad empresarial o de responsabilidad civil de productos adecuado en relación con los importes y el alcance de la indemnización previstos en los artículos 5 y 6 del presente Reglamento. Si se considera que los regímenes de seguro obligatorio del operador final o inicial ya vigentes con arreglo a otra legislación de la Unión o nacional o los fondos voluntarios existentes de seguros de empresas cubren el funcionamiento del sistema de IA o el servicio prestado, la obligación de suscribir un seguro en relación con el sistema de IA o el servicio prestado con arreglo al presente Reglamento se considerará cumplida siempre que el correspondiente seguro obligatorio existente o los fondos voluntarios existentes de seguros de empresas cubran los importes y el alcance de la indemnización previstos en los artículos 5 y 6 del presente Reglamento.

5. El presente Reglamento prevalecerá sobre los regímenes nacionales de responsabilidad civil en caso de clasificación divergente por responsabilidad objetiva de los sistemas de IA.

Artículo 5. Importe de la indemnización

1. Un operador de un sistema de IA de alto riesgo que haya sido considerado responsable de un daño o perjuicio con arreglo al presente Reglamento indemnizará:

a) hasta un importe máximo de dos millones de euros en caso de fallecimiento o de daños causados a la salud o a la integridad física de una persona afectada como resultado del funcionamiento de un sistema de IA de alto riesgo;

b) hasta un importe máximo de un millón de euros en caso de daños morales significativos que resulten en una pérdida económica comprobable o en daños a bienes, también cuando distintos bienes propiedad de una persona afectada resulten dañados como resultado de un único funcionamiento de un único sistema de IA de alto riesgo; cuando la persona afectada también disponga de un derecho a reclamar por responsabilidad contractual contra el operador, no se abonará ninguna indemnización en virtud del presente Reglamento si el importe total de los perjuicios materiales o el daño moral es de un valor inferior a [500 euros] (9).

2. Cuando la indemnización combinada que deba abonarse a varias personas que sufran daños o perjuicios causados por el mismo funcionamiento de un mismo sistema de IA de alto riesgo supere los importes totales máximos previstos en el apartado 1, los importes que deban abonarse a cada persona se reducirán proporcionalmente de forma que la indemnización combinada no supere los importes máximos establecidos en el apartado 1.

Artículo 6. Alcance de la indemnización

1. Dentro de los límites para el importe establecidos en el artículo 5, apartado 1, letra a), la indemnización que abonará el operador considerado responsable en caso de daños físicos seguidos de la muerte de la persona afectada se calculará sobre la base de los costes del tratamiento médico que haya seguido la persona afectada antes de su muerte, así como del perjuicio económico sufrido antes del fallecimiento como consecuencia del cese o la reducción de la capacidad de generar ingresos o el aumento de sus necesidades mientras durase el daño antes del fallecimiento. El operador será además responsable de reembolsar los gastos funerarios de la persona afectada fallecida a la parte responsable de sufragar dichos gastos.

Si en el momento del incidente que causó el daño que condujo a su muerte, la persona afectada mantenía una relación con un tercero y tenía la obligación jurídica de asistir a ese tercero, el operador responsable indemnizará al tercero mediante el pago de una pensión alimenticia proporcional a la que la persona afectada se habría visto obligada a pagar, durante un período equivalente a la esperanza de vida media de una persona de su edad y teniendo en cuenta su estado general. El operador también indemnizará al tercero si, en el momento del incidente que provocó la muerte, el tercero había sido concebido, pero todavía no había nacido.

2. Dentro de los límites para el importe establecidos en el artículo 5, apartado 1, letra b), la indemnización que pagará el operador considerado responsable en caso de daño para la salud o para la integridad física de la persona afectada incluirá el reembolso de los gastos del tratamiento médico correspondiente, así como el pago del perjuicio económico sufrido por la persona afectada como consecuencia de la suspensión temporal, la reducción o el cese definitivo de su capacidad de generar ingresos o del aumento consiguiente de sus necesidades acreditado mediante certificado médico.

Artículo 7. Plazo de prescripción

1. Las demandas por responsabilidad civil presentadas de conformidad con lo dispuesto en el artículo 4, apartado 1, relativas a daños a la vida, la salud o la integridad física estarán sujetas a un plazo de prescripción especial de treinta años a partir de la fecha en que se produjo el daño.

2. Las demandas por responsabilidad civil presentadas de conformidad con lo dispuesto en el artículo 4, apartado 1, relativas a perjuicios materiales o daños morales considerables que resulten en una pérdida económica comprobable estarán sujetas a un plazo de prescripción especial de:

a) diez años a partir de la fecha en que se produjo el menoscabo a los bienes o la pérdida económica comprobable resultante del daño moral significativo, respectivamente, o

b) treinta años a partir de la fecha en que tuvo lugar la operación del sistema de IA de alto riesgo que causó posteriormente el menoscabo a los bienes o el daño moral.

De los plazos contemplados en el párrafo primero, será aplicable aquel que venza antes.

3. El presente artículo se entenderá sin perjuicio de la legislación nacional que regule la suspensión o la interrupción de los plazos de prescripción.

CAPÍTULO III. OTROS SISTEMAS DE IA

Artículo 8. Responsabilidad subjetiva para otros sistemas de IA

1. El operador de un sistema de IA que no constituya un sistema de IA de alto riesgo, tal y como se define en el artículo 3, letra c), y en el artículo 4, apartado 2, y que, en consecuencia, no figure en el anexo del presente Reglamento, estará sujeto a responsabilidad subjetiva respecto de todo daño o perjuicio causado por una actividad física o virtual, un dispositivo o un proceso gobernados por el sistema de IA.

2. El operador no será responsable si puede demostrar que no tuvo culpa en el daño o perjuicio causado, basándose en uno de los siguientes motivos:

a) el sistema de IA se activó sin su conocimiento, al tiempo que se tomaron todas las medidas razonables y necesarias para evitar dicha activación fuera del control del operador, o

b) se observó la diligencia debida a través de la realización de las siguientes acciones: la selección de un sistema de IA adecuado para las tareas y las capacidades pertinentes, la correcta puesta en funcionamiento del sistema de IA, el control de las actividades y el mantenimiento de la fiabilidad operativa mediante la instalación periódica de todas las actualizaciones disponibles.

El operador no podrá eludir su responsabilidad alegando que el daño o perjuicio fue causado por una actividad, un dispositivo o un proceso autónomos gobernados por su sistema de IA. El operador no será responsable si el daño o perjuicio ha sido provocado por un caso de fuerza mayor.

3. Cuando el daño o perjuicio haya sido causado por un tercero que haya interferido en el sistema de IA por medio de una modificación de su funcionamiento o sus efectos, el operador será, no obstante, responsable del pago de una indemnización en caso de que dicho tercero esté ilocalizable o sea insolvente.

4. A petición del operador o de la persona afectada, el productor de un sistema de IA tendrá la obligación de cooperar con ellos y de facilitarles información en la medida que lo justifique la relevancia de la demanda, a fin de permitir que se determinen las responsabilidades.

Artículo 9. Disposiciones nacionales sobre indemnización y plazo de prescripción

Las demandas por responsabilidad civil presentadas de conformidad con el artículo 8, apartado 1, estarán sujetas, en relación con los plazos de prescripción, así como con los importes y el alcance de la indemnización, a la legislación del Estado miembro en el que se haya producido el daño o perjuicio.

CAPÍTULO IV. IMPUTACIÓN DE LA RESPONSABILIDAD CIVIL

Artículo 10. Negligencia concurrente

1. Si el daño o perjuicio es causado por una actividad física o virtual, un dispositivo o un proceso gobernados por un sistema de IA o por la actuación de una persona afectada o de una persona de la que la persona afectada sea responsable, el alcance de la responsabilidad civil del operador con arreglo al presente Reglamento se reducirá en consecuencia. El operador no será responsable si la persona afectada o la persona de la que esta es responsable es la única a la que se le puede achacar el daño o perjuicio causado.

2. Un operador considerado responsable podrá utilizar los datos generados por el sistema de IA para demostrar la negligencia concurrente de la persona afectada, de conformidad con el Reglamento (UE) 2016/679 y otras leyes en materia de protección de datos relevantes. La persona afectada también podrá usar esos datos con fines probatorios o aclaratorios en la demanda por responsabilidad civil.

Artículo 11. Responsabilidad solidaria

En caso de que haya más de un operador de un sistema de IA, estos serán responsables solidarios. Si un operador final es también el productor del sistema de IA, el presente Reglamento prevalecerá sobre la Directiva sobre responsabilidad por los daños causados por productos defectuosos. Si el operador inicial también tiene la condición de productor en el sentido del artículo 3 de la Directiva sobre responsabilidad por los daños causados por productos defectuosos, deberá aplicársele dicha Directiva. Si solo hay un operador y dicho operador es también el productor del sistema de IA, el presente Reglamento prevalecerá sobre la Directiva sobre responsabilidad por los daños causados por productos defectuosos.

Artículo 12. Indemnización por la vía de regreso

1. El operador no estará facultado para ejercitar una acción en la vía de regreso a menos que a la persona afectada se le haya abonado la totalidad de la indemnización a la que esa persona tenga derecho a recibir en virtud del presente Reglamento.

2. El operador que sea considerado responsable solidario con otros operadores en relación con una persona afectada y haya indemnizado íntegramente a esa persona afectada, de conformidad con el artículo 4, apartado 1, o el artículo 8, apartado 1, podrá recuperar parte de la indemnización de otros operadores, en proporción a su responsabilidad.

Los porcentajes de responsabilidad se basarán en los respectivos niveles de control por parte de los operadores sobre el riesgo relacionado con la operación y el funcionamiento del sistema de IA. Si no puede obtenerse de un operador responsable solidariamente la contribución que le sea atribuible, el déficit será asumido por los demás operadores. En la medida en que un operador solidariamente responsable indemnice a la persona afectada y solicite un ajuste de los anticipos a los demás operadores responsables, el operador quedará subrogado en el crédito de la persona afectada frente a los demás operadores. No se invocará la subrogación de créditos en perjuicio de la demanda inicial.

3. En caso de que el operador de un sistema de IA defectuoso indemnice íntegramente a la persona afectada por daños o perjuicios con arreglo a lo dispuesto en el artículo 4, apartado 1, o en el artículo 8, apartado 1, del presente Reglamento, podrá ejercitar una acción de resarcimiento frente al productor del sistema de IA defectuoso de conformidad con la Directiva 85/374/CEE y las disposiciones nacionales en materia de responsabilidad por los daños causados por productos defectuosos.

4. En caso de que el asegurador del operador indemnice a la persona afectada por daños o perjuicios con arreglo a lo dispuesto en el artículo 4, apartado 1, o en el artículo 8, apartado 1, el asegurador del operador se subrogará en el crédito que la persona afectada tenga frente a otra persona por responsabilidad civil por el mismo daño hasta el importe con el que el asegurador del operador haya indemnizado a la persona afectada.

CAPÍTULO V. DISPOSICIONES FINALES

Artículo 13. Ejercicio de la delegación

1. Se otorgan a la Comisión los poderes para adoptar actos delegados en las condiciones establecidas en el presente artículo.

2. Los poderes para adoptar actos delegados mencionados en el artículo 4, apartado 2, se otorgan a la Comisión por un período de cinco años a partir de [fecha de aplicación del presente Reglamento].

3. La delegación de poderes mencionada en el artículo 4, apartado 2, podrá ser revocada en cualquier momento por el Parlamento Europeo o por el Consejo. La decisión de revocación pondrá término a la delegación de los poderes que en ella se especifiquen. La decisión surtirá efecto el día siguiente al de su publicación en el Diario Oficial de la Unión Europea o en una fecha posterior indicada en ella. No afectará a la validez de los actos delegados que ya estén en vigor.

4. Antes de la adopción de un acto delegado, la Comisión consultará al Comité técnico permanente — sistemas de IA de alto riesgo (Comité TCRAI), de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación.

5. Tan pronto como la Comisión adopte un acto delegado lo notificará simultáneamente al Parlamento Europeo y al Consejo.

6. Los actos delegados adoptados en virtud del artículo 4, apartado 2, entrarán en vigor únicamente si, en un plazo de dos meses a partir de su notificación al Parlamento Europeo y al Consejo, ninguna de estas instituciones formula objeciones o si, antes del vencimiento de dicho plazo, ambas informan a la Comisión de que no las formularán. El plazo se prorrogará dos meses a iniciativa del Parlamento Europeo o del Consejo.

Artículo 14. Revisión

A más tardar el 1 de enero de 202X [tres años después de la fecha de aplicación del presente Reglamento], y posteriormente cada tres años, la Comisión presentará al Parlamento Europeo, al Consejo y al Comité Económico y Social Europeo un informe detallado en el que se revise el presente Reglamento a la luz del desarrollo ulterior de la inteligencia artificial.

Al elaborar el informe a que se refiere el párrafo primero, la Comisión solicitará la información pertinente a los Estados miembros sobre la jurisprudencia, los acuerdos judiciales y las estadísticas sobre accidentes, tales como el número de accidentes, los daños sufridos, las aplicaciones de IA involucradas o las indemnizaciones abonadas por las compañías de seguros, así como una evaluación de la cantidad de demandas presentadas por las personas afectadas, ya sea de forma individual o colectiva, y de los plazos dentro de los cuales se tramitaron esas demandas en los tribunales.

El informe de la Comisión irá acompañado, en su caso, de propuestas legislativas destinadas a suplir las lagunas identificadas en el informe.

Artículo 15. Entrada en vigor

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. Será aplicable a partir del 1 de enero de 202X.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.

Hecho en ,

Por el Parlamento Europeo, El Presidente

Por el Consejo, El Presidente

—————————————–

(1) DO L 210 de 7.8.1985, p. 29.

(2) DO L 149 de 11.6.2005, p. 22.

(3) DO L 304 de 22.11.2011, p. 64.

(4) DO L 117 de 5.5.2017, p. 1.

(5) DO L 252 de 8.10.2018, p. 1.

(6) DO L 136 de 22.5.2019, p. 1.

(7) DO L 123 de 12.5.2016, p. 1.

(8) DO C 252 de 18.7.2018, p. 239.

(9) DO C 307 de 30.8.2018, p. 163.

(10) DO C 433 de 23.12.2019, p. 86.

(11) Textos Aprobados, P8_TA(2019)0081.

(12) Textos Aprobados, P9_TA(2020)0032.

(13) https://www.europarl.europa.eu/RegData/etudes/STUD/2020/654178/EPRS_STU(2020)654178_EN.pdf

(14) https://www.europarl.europa.eu/RegData/etudes/STUD/2016/563501/EPRS_STU(2016)563501(ANN)_EN.pdf

(15) https://www.europarl.europa.eu/RegData/etudes/STUD/2016/571379/IPOL_STU(2016)571379_EN.pdf

(16) DO L 11 de 15.1.2002, p. 4.

(17) DO L 263 de 7.10.2009, p. 11.

———————————–

(1) DO…

(2) DO…

(3) Directiva 85/374/CEE del Consejo, de 25 de julio de 1985, relativa a la aproximación de las disposiciones legales, reglamentarias y administrativas de los Estados miembros en materia de responsabilidad por los daños causados por productos defectuosos (DO L 210 de 7.8.1985, p. 29).

(4) DO L 123 de 12.5.2016, p. 1.

(5) Véase la página 24 del Libro Blanco de la Comisión, de 19 de febrero de 2020, titulado «Inteligencia artificial — Un enfoque europeo orientado a la excelencia y la confianza» (COM(2020)0065).

(6) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).

(7) Reglamento (UE) 2018/858 del Parlamento Europeo y del Consejo, de 30 de mayo de 2018, sobre la homologación y la vigilancia del mercado de los vehículos de motor y sus remolques y de los sistemas, los componentes y las unidades técnicas independientes destinados a dichos vehículos, por el que se modifican los Reglamentos (CE) nº 715/2007 y (CE) nº 595/2009 y por el que se deroga la Directiva 2007/46/CE (DO L 151 de 14.6.2018, p. 1).

(8) Reglamento (UE) 2019/1020 del Parlamento Europeo y del Consejo, de 20 de junio de 2019, relativo a la vigilancia del mercado y la conformidad de los productos y por el que se modifican la Directiva 2004/42/CE y los Reglamentos (CE) nº 765/2008 y (UE) nº 305/2011 (DO L 169 de 25.6.2019, p. 1).

(9) Pendiente de revisión por parte de la Comisión Europea tal y como se establece en el apartado 19 de la resolución.