Disposición Final (nueva). Modificación de la Ley 34/2002, de 11 de julio,
de servicios de la sociedad de la información y de comercio electrónico.
Se modifica Ley 34/2002, de 11 de julio, de servicios de la sociedad de la
información y de comercio electrónico en los siguientes términos:
Uno. Se añade un nuevo apartado 3 al artículo 1 con la siguiente
redacción:
'3. Las disposiciones sobre prestadores de servicios intermediarios
contenidas en esta Ley se aplicarán de acuerdo con lo establecido en el
Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo, de 19 de
octubre de 2022, relativo a un mercado único de servicios digitales y por
el que se modifica la Directiva 2000/31/CE.'
Dos. El apartado 1 del artículo 3 queda redactado como sigue:
'1. Sin perjuicio de lo dispuesto en los artículos 7.1, 8 y 11, esta Ley
se aplicará a los prestadores de servicios de la sociedad de la
información establecidos en otro Estado miembro de la Unión Europea o del
Espacio Económico Europeo cuando el destinatario de los servicios radique
en España y los servicios afecten a las materias siguientes:
a) Derechos de propiedad intelectual o industrial.
b) Emisión de publicidad por instituciones de inversión colectiva.
Página
217
c) Actividad de seguro directo realizada en régimen de derecho de
establecimiento o en régimen de libre prestación de servicios.
d) Obligaciones nacidas de los contratos celebrados por personas físicas
que tengan la condición de consumidores.
e) Régimen de elección por las partes contratantes de la legislación
aplicable a su contrato.
f) Licitud de las comunicaciones comerciales por correo electrónico u otro
medio de comunicación electrónica equivalente no solicitadas.'
Tres. El artículo 4 queda redactado como sigue:
'A los prestadores establecidos en países que no sean miembros de la Unión
Europea o del Espacio Económico Europeo, les será de aplicación lo
dispuesto en los artículos 7.2 y 11.1.
Los prestadores que dirijan sus servicios específicamente al territorio
español quedarán sujetos, además, a las obligaciones previstas en esta
Ley, siempre que ello no contravenga lo establecido en tratados o
convenios internacionales que sean aplicables.'
Cuatro. El apartado 1 del artículo 7 queda redactado como sigue:
'1. La prestación de servicios de la sociedad de la información que
procedan de un prestador establecido en algún Estado miembro de la Unión
Europea o del Espacio Económico Europeo se realizará en régimen de libre
prestación de servicios, sin que pueda establecerse ningún tipo de
restricciones a los mismos por razones derivadas del ámbito normativo
coordinado, excepto en los supuestos previstos en los artículos 3 y 8.
Las órdenes de actuación contra contenidos ilícitos y de entrega de
información establecidas en el Reglamento (UE) 2022/2065, cuando se
dirigen a prestadores de servicios intermediarios establecidos en otro
Estado miembro, no limitan, en principio, la libre prestación de
servicios.'
Cinco. El artículo 8 queda redactado como sigue:
'Artículo 8. Restricciones a la prestación de servicios y procedimiento de
cooperación intracomunitario.
1. En caso de que un determinado servicio de la sociedad de la información
atente o pueda atentar contra los principios que se expresan a
continuación, los órganos competentes para su protección, en ejercicio de
las funciones que tengan legalmente atribuidas, podrán adoptar las
medidas necesarias para que se interrumpa su prestación o para retirar
los datos que los vulneran. Los principios a que alude este apartado son
los siguientes:
a) La salvaguarda del orden público, la investigación penal, la seguridad
pública y la defensa nacional.
b) La protección de la salud pública o de las personas físicas o jurídicas
que tengan la condición de consumidores o usuarios, incluso cuando actúen
como inversores.
c) El respeto a la dignidad de la persona y al principio de no
discriminación por motivos de raza, sexo, religión, opinión,
nacionalidad, discapacidad o cualquier otra circunstancia personal o
social.
d) La protección de la juventud y de la infancia.
e) La salvaguarda de los derechos de propiedad intelectual.
En la adopción y cumplimiento de las medidas de restricción a que alude
este apartado se respetarán, en todo caso, las garantías, normas y
procedimientos previstos en el ordenamiento jurídico para proteger los
derechos a la intimidad
Página
218
personal y familiar, a la protección de los datos personales, a la
libertad de expresión o a la libertad de información, cuando éstos
pudieran resultar afectados.
En todos los casos en los que la Constitución y las leyes reguladoras de
los respectivos derechos y libertades así lo prevean de forma excluyente,
sólo la autoridad judicial competente podrá adoptar las medidas previstas
en este artículo, en tanto garante del derecho a la libertad de
expresión, del derecho de producción y creación literaria, artística,
científica y técnica, la libertad de cátedra y el derecho de información.
2. Los órganos competentes para la adopción de las medidas a que se
refiere el apartado anterior, con el objeto de identificar al responsable
del servicio de la sociedad de la información que está realizando la
conducta presuntamente vulneradora, podrán requerir a los prestadores de
servicios de la sociedad de la información la cesión de los datos que
permitan tal identificación a fin de que pueda comparecer en el
procedimiento. Tal requerimiento exigirá la previa autorización judicial
de acuerdo con lo previsto en el apartado primero del artículo 122 bis de
la Ley reguladora de la Jurisdicción contencioso-administrativa. Una vez
obtenida la autorización, los prestadores estarán obligados a facilitar
los datos necesarios para llevar a cabo la identificación. Las órdenes de
entrega de información específica sobre uno o varios destinatarios
individuales de un servicio intermediario se realizarán en los términos
previstos en el artículo 10 del Reglamento (UE) 2022/2065, con
independencia del lugar de establecimiento del servicio.
3. La adopción de restricciones a la prestación de servicios de la
sociedad de la información provenientes de prestadores establecidos en un
Estado de la Unión Europea o del Espacio Económico Europeo distinto a
España deberá seguir el procedimiento de cooperación intracomunitario
descrito en el siguiente apartado de este artículo.
4. Cuando un órgano competente acuerde, en ejercicio de las competencias
que tenga legalmente atribuidas, y de acuerdo con lo dispuesto en el
párrafo a) del apartado 4 del artículo 3 de la Directiva 2000/31/CE,
establecer restricciones que afecten a un servicio de la sociedad de la
información que proceda de alguno de los Estados miembros de la Unión
Europea o del Espacio Económico Europeo distinto de España, dicho órgano
deberá seguir el siguiente procedimiento:
a) El órgano competente requerirá al Estado miembro en que esté
establecido el prestador afectado para que adopte las medidas oportunas.
En el caso de que no las adopte o resulten insuficientes, dicho órgano
notificará, con carácter previo, a la Comisión Europea o, en su caso, al
Comité Mixto del Espacio Económico Europeo y al Estado miembro de que se
trate las medidas que tiene intención de adoptar.
b) En los supuestos de urgencia, el órgano competente podrá adoptar las
medidas oportunas, notificándolas al Estado miembro de procedencia y a la
Comisión Europea o, en su caso, al Comité Mixto del Espacio Económico
Europeo con la mayor brevedad y, en cualquier caso, como máximo, en el
plazo de quince días desde su adopción. Así mismo, deberá indicar la
causa de dicha urgencia.
Los requerimientos y notificaciones a que alude este apartado se
realizarán siempre a través del órgano de la Administración General del
Estado competente para la comunicación y transmisión de información a las
Comunidades Europeas.
5. Las medidas de restricción que se adopten al amparo de este artículo
deberán, en todo caso, cumplir las garantías y los requisitos previstos
en los apartados 2 y 3 del artículo 11 de esta ley.
6. Las medidas previstas en este artículo se entenderán sin perjuicio de
lo dispuesto en la legislación nacional procesal, penal y civil, así como
en materia de cooperación judicial.'
Página
219
Seis. El artículo 11 queda redactado como sigue:
'Artículo 11. Deber de colaboración de los prestadores de servicios
intermediarios.
1. Los órganos competentes, en ejercicio de las competencias que
legalmente tengan atribuidas, podrán dictar órdenes a los prestadores de
servicios intermediarios para que interrumpan la prestación de un
servicio de la sociedad de la información o retiren contenidos ilícitos.
Las órdenes dictadas contra uno o varios elementos concretos de contenido
ilícito, con independencia del lugar de establecimiento del prestador del
servicio intermediario, se ajustarán a lo previsto en el artículo 9 del
Reglamento (UE) 2022/2065.
2. En la adopción y cumplimiento de las medidas a que se refiere el
apartado anterior, se respetarán, en todo caso, las garantías, normas y
procedimientos previstos en el ordenamiento jurídico para proteger los
derechos a la intimidad personal y familiar, a la protección de los datos
personales, a la libertad de expresión o a la libertad de información,
cuando estos pudieran resultar afectados.
En todos los casos en que la Constitución, las normas reguladoras de los
respectivos derechos y libertades o las que resulten aplicables a las
diferentes materias atribuyan competencia a los órganos jurisdiccionales
de forma excluyente para intervenir en el ejercicio de actividades o
derechos, sólo la autoridad judicial competente podrá adoptar las medidas
previstas en este artículo. En particular, la autorización del secuestro
de páginas de Internet o de su restricción cuando ésta afecte a los
derechos y libertades de expresión e información y demás amparados en los
términos establecidos en el artículo 20 de la Constitución solo podrá ser
decidida por los órganos jurisdiccionales competentes.
3. Las medidas a que hace referencia este artículo serán objetivas,
proporcionadas y no discriminatorias, y se adoptarán de forma cautelar o
en ejecución de las resoluciones que se dicten, conforme a los
procedimientos administrativos legalmente establecidos o a los previstos
en la legislación procesal que corresponda.
En particular, cuando resulte necesario para proteger los derechos de la
víctima o grupos o personas discriminadas, los jueces y tribunales podrán
acordar, de conformidad con la legislación procesal, motivadamente, y
siempre de acuerdo con el principio de proporcionalidad, cualquiera de
las medidas de restricción o interrupción de la prestación de servicios o
de retirada de datos de páginas de internet que contempla la presente
ley.
4. Las restricciones a la prestación de servicios contempladas en este
artículo se adoptarán sin perjuicio de lo dispuesto en la legislación
nacional procesal, penal y civil, así como en materia de cooperación
judicial.'
Siete. El apartado 1 del artículo 12 bis queda redactado como sigue:
'1. Los proveedores de servicios intermediarios establecidos en España de
acuerdo con lo dispuesto en el artículo 2 de esta Ley que realicen
actividades consistentes en la prestación de servicios de acceso a
Internet, estarán obligados a informar a sus clientes de forma
permanente, fácil, directa y gratuita, sobre los diferentes medios de
carácter técnico que aumenten los niveles de la seguridad de la
información y permitan, entre otros, la protección frente a virus
informáticos y programas espía, y la restricción de los correos
electrónicos no solicitados.'
Ocho. El artículo 12 ter queda redactado como sigue:
'Los proveedores de servicios intermediarios que alojen o almacenen datos
de usuarios a los que presten servicios de redes sociales o servicios de
la sociedad de la información equivalentes deberán remitir a dichos
usuarios, a su solicitud, los contenidos que les hubieran facilitado, sin
impedir su transmisión posterior a otro
Página
220
proveedor. La remisión deberá efectuarse en un formato estructurado, de
uso común y lectura mecánica.
Asimismo, deberán transmitir dichos contenidos directamente a otro
proveedor designado por el usuario, siempre que sea técnicamente posible,
según prevé el artículo 95 de la Ley Orgánica 3/2018, de 5 de diciembre,
de Protección de Datos Personales y Garantía de los Derechos Digitales.
Para el cumplimiento de estas obligaciones será aplicable lo dispuesto en
el artículo 12.5 del Reglamento (UE) 2016/679 del Parlamento Europeo y
del Consejo, de 27 de abril de 2016, relativo a la protección de las
personas físicas en lo que respecta al tratamiento de sus datos
personales y a la libre circulación de estos datos y por el que se deroga
la Directiva 95/46/CE.'
Nueve. El apartado 2 del artículo 13 queda redactado como sigue:
'2. La responsabilidad de los prestadores de servicios intermediarios se
regirá de acuerdo con lo establecido en el Reglamento (UE) 2022/2065.'
Diez. El artículo 35 queda redactado como sigue:
'1. El Ministerio para la Transformación Digital y de la Función Pública
controlará:
a) el cumplimiento por los prestadores de servicios de la sociedad de la
información de las obligaciones establecidas en esta Ley y en sus
disposiciones de desarrollo, en lo que se refiere a los servicios propios
de la sociedad de la información.
b) el cumplimiento de las obligaciones establecidas en el Reglamento (UE)
2019/1150 del Parlamento Europeo y del Consejo, de 20 de junio de 2019,
sobre el fomento de la equidad y la transparencia para los usuarios
profesionales de servicios de intermediación en línea, por parte de
aquellos proveedores incluidos en su ámbito de aplicación.
c) el cumplimiento de las obligaciones establecidas en el Reglamento (UE)
2022/868 del Parlamento Europeo y del Consejo de 30 de mayo de 2022
relativo a la gobernanza europea de datos y por el que se modifica el
Reglamento (UE) 2018/1724 por parte de proveedores de servicios de
intermediación de datos y organizaciones reconocidas de gestión de datos
con fines altruistas incluidos en su ámbito de aplicación.
No obstante, las referencias a los órganos competentes contenidas en los
artículos 8, 10, 11 y 38 se entenderán hechas a los órganos
jurisdiccionales o administrativos que, en cada caso, lo sean en función
de la materia.
2. La Comisión Nacional de los Mercados y la Competencia, como coordinador
de servicios digitales, controlará el cumplimiento de las obligaciones
establecidas en el Reglamento (UE) 2022/2065 por los prestadores de
servicios intermediarios, sin perjuicio de lo previsto en el apartado
siguiente. Para ello, tendrá todas las facultades de investigación y
ejecución previstas en el artículo 51 del citado Reglamento. Dichas
facultades se ejercitarán, con las especialidades previstas en esta ley,
de acuerdo con las normas procedimentales establecidas en la Ley 39/2015,
garantizando el derecho al respeto de la vida privada y los derechos de
defensa, incluidos en todo caso los derechos a ser oído y a tener acceso
al expediente, y supeditadas al derecho a la tutela judicial efectiva de
todos los afectados.
A fin de ejercer la competencia inspectora que le corresponde según lo
dispuesto en el Reglamento (UE) 2022/2065, la Comisión Nacional de los
Mercados y la Competencia podrá realizar todas las inspecciones
necesarias en las instalaciones del prestador de servicios intermediarios
de que se trate o de cualquier persona física o jurídica que actúe con
fines relacionados con su actividad comercial,
Página
221
negocio, oficio o profesión que pueda razonablemente tener conocimiento de
información relativa a la presunta infracción.
Los funcionarios autorizados para llevar a cabo una inspección podrán:
a) entrar en los locales, terrenos y medios de transporte del prestador de
la plataforma en línea de muy gran tamaño o del motor de búsqueda en
línea de muy gran tamaño de que se trate o de cualquier otra persona de
que se trate;
b) examinar los libros y otros documentos relacionados con la prestación
del servicio de que se trate, independientemente del medio utilizado para
almacenarlos;
c) hacer u obtener copias o extractos, en cualquier formato, de dichos
libros u otros documentos;
d) exigir al prestador de la plataforma en línea de muy gran tamaño o del
motor de búsqueda en línea de muy gran tamaño o a cualquier otra persona
afectada que facilite acceso a su organización, funcionamiento, sistema
informático, algoritmos, gestión de datos y conducta empresarial, y
proporcione explicaciones al respecto, y que registre o documente las
explicaciones proporcionadas;
e) precintar todos los locales utilizados con fines relacionados con la
actividad comercial, negocio, oficio o profesión del prestador de la
plataforma en línea de muy gran tamaño o del motor de búsqueda en línea
de muy gran tamaño o cualquier otra persona de que se trate, además de
los libros y otros documentos, durante el período y en la medida en que
sea necesario para la inspección;
f) pedir a todo representante o miembro del personal del prestador de la
plataforma en línea de muy gran tamaño o del motor de búsqueda en línea
de muy gran tamaño o de cualquier otra persona de que se trate
explicaciones sobre hechos o documentos que guarden relación con el
objeto y la finalidad de la inspección y registrar las respuestas;
g) dirigir preguntas a cualquier representante o miembro del personal de
que se trate en relación con el objeto y la finalidad de la inspección y
registrar las respuestas.
El ejercicio de las facultades de inspección en aplicación del Reglamento
(UE) 2022/2065, cuando el mismo implique restricción del derecho
fundamental a la inviolabilidad del domicilio o el acceso a dependencias,
terrenos o medios de transporte distintos de los propios de las empresas
o asociaciones de empresas investigadas, requerirá de autorización
judicial. En ese caso, la Comisión Nacional de los Mercados y la
Competencia podrá, con carácter previo a la práctica de la inspección,
solicitar la citada autorización al órgano judicial competente que
resolverá en el plazo máximo de 48 horas.
3. La Agencia Española de Protección de Datos controlará el cumplimiento
por los prestadores de servicios intermediarios de las obligaciones
establecidas en los artículos 26.3 y 28.2 del Reglamento (UE) 2022/2065.
4. Los órganos citados en los apartados 1, 2 y 3 de este artículo podrán
realizar las actuaciones inspectoras que sean precisas para el ejercicio
de su función de control.
Los funcionarios adscritos a dichos órganos y que ejerzan la inspección a
que se refiere el párrafo anterior tendrán la consideración de autoridad
pública en el desempeño de sus cometidos.
5. En todo caso, y no obstante lo dispuesto en el apartado anterior,
cuando las conductas realizadas por los prestadores de servicios de la
sociedad de la información estuvieran sujetas, por razón de la materia o
del tipo de entidad de que se trate, a ámbitos competenciales, de tutela
o de supervisión específicos, con independencia de que se lleven a cabo
utilizando técnicas y medios telemáticos o electrónicos, los órganos a
los que la legislación sectorial atribuya competencias de control,
supervisión, inspección o tutela específica ejercerán las funciones que
les correspondan.'
Página
222
Once. El apartado 1 del artículo 35 bis queda redactado como sigue:
'1. El Ministerio para la Transformación Digital y de la Función Pública
establecerá, mantendrá y publicará el registro nacional de organizaciones
reconocidas de gestión de datos con fines altruistas, según lo previsto
en el artículo 17 del Reglamento (UE) 2022/868 del Parlamento Europeo y
del Consejo, de 30 de mayo de 2022, relativo a la gobernanza europea de
datos y por el que se modifica el Reglamento (UE) 2018/1724.'
Doce. El artículo 36 queda redactado como sigue:
'1. Los prestadores de servicios de la sociedad de la información tienen
la obligación de facilitar al Ministerio para la Transformación Digital y
de la Función Pública y a los demás órganos a que se refiere el artículo
35 toda la información y colaboración precisas para el ejercicio de sus
funciones.
Igualmente, deberán permitir a sus agentes o al personal inspector el
acceso a sus instalaciones y la consulta de cualquier documentación
relevante para la actividad de control de que se trate, siendo de
aplicación, en su caso, lo dispuesto en el artículo 8.6 de la Ley
29/1998, de 13 de julio, reguladora de la Jurisdicción
Contencioso-Administrativa.
2. Cuando, como consecuencia de una actuación inspectora, se tuviera
conocimiento de hechos que pudieran ser constitutivos de infracciones
tipificadas en otras leyes, estatales o autonómicas, se dará cuenta de
los mismos a los órganos u organismos competentes para su supervisión y
sanción.
3. Las órdenes de entrega de información específica sobre uno o varios
destinatarios individuales de un servicio intermediario se realizarán en
los términos previstos en el artículo 10 del Reglamento (UE) 2022/2065,
con independencia del lugar de establecimiento del servicio.'
Trece. El artículo 36 bis queda redactado como sigue:
'Las organizaciones y asociaciones que posean un interés legítimo de
representación de usuarios profesionales o de los usuarios de sitios web
corporativos, y que, cumpliendo con los requisitos del artículo 14.3 del
Reglamento (UE) 2019/1150, hubieren solicitado al Ministerio para la
Transformación Digital y de la Función Pública su inclusión en la lista
elaborada al efecto por la Comisión Europea, notificarán inmediatamente
al citado Ministerio cualquier circunstancia que afecte a su entidad que
derive en un incumplimiento sobrevenido de los mencionados requisitos.'
Catorce. El artículo 37 queda redactado como sigue:
'Están sujetos al régimen sancionador establecido en este Título:
a) Los prestadores de servicios de la sociedad de la información a los que
sea de aplicación la presente Ley.
b) Los proveedores incluidos en el ámbito de aplicación del Reglamento
(UE) 2019/1150.
c) Los proveedores de servicios de intermediación de datos y las
organizaciones reconocidas de gestión de datos con fines altruistas
incluidos en el ámbito de aplicación del Reglamento (UE) 2022/868.
d) Los prestadores de servicios intermediarios incluidos en el ámbito de
aplicación del Reglamento (UE) 2022/2065, así como las personas físicas o
jurídicas a las que se refiere el apartado 1 del artículo 51 del citado
Reglamento.
Cuando las infracciones previstas en el artículo 38.3 i) y 38.4 g) se
deban a la instalación de dispositivos de almacenamiento y recuperación
de la información como consecuencia de la cesión por parte del prestador
del servicio de la sociedad
Página
223
de la información de espacios propios para mostrar publicidad, será
responsable de la infracción, además del prestador del servicio de la
sociedad de la información, la red publicitaria o agente que gestione
directamente con aquel la colocación de anuncios en dichos espacios en
caso de no haber adoptado medidas para exigirle el cumplimiento de los
deberes de información y la obtención del consentimiento del usuario.'
Quince. Se modifica el apartado 2 del artículo 38 que queda redactado de
la siguiente manera:
'2. Son infracciones muy graves:
a) (Sin contenido)
b) El incumplimiento del deber de colaboración por parte de los
prestadores de servicios intermediarios, en virtud de lo dispuesto en los
artículos 8.2 y 11.
c) (Derogado)
d) (Derogado)
e) El incumplimiento significativo o reiterado por parte de las
plataformas en línea de la prohibición establecida en el artículo 26.3
del Reglamento (UE) 2022/2065 en relación con la presentación de anuncios
a los destinatarios del servicio basados en la elaboración de perfiles,
tal como se define en el artículo 4, punto 4, del Reglamento (UE)
2016/679, utilizando las categorías especiales de datos personales a que
se refiere el artículo 9, apartado 1, del Reglamento (UE) 2016/679. Se
considerará la existencia de reiteración cuando se produzca la comisión
de una infracción grave en el plazo de un año desde que hubiese recaído
sanción por una infracción grave de la misma naturaleza, así como que el
incumplimiento es significativo cuando afecte a más del 10 % de los
destinatarios del servicio en el año anterior al inicio del procedimiento
sancionador o desde el inicio de la actividad del prestador si este
periodo es menor.
f) El incumplimiento significativo o reiterado por parte de las
plataformas en línea de la prohibición establecida en el artículo 28.2
del Reglamento (UE) 2022/2065 en relación con la presentación de anuncios
en su interfaz basados en la elaboración de perfiles, tal como se define
en el artículo 4, punto 4, del Reglamento (UE) 2016/679, mediante la
utilización de datos personales del destinatario del servicio cuando sean
conscientes con una seguridad razonable de que el destinatario del
servicio es un menor. Se considerará la existencia de reiteración cuando
se produzca la comisión de una infracción grave en el plazo de un año
desde que hubiese recaído sanción por una infracción grave de la misma
naturaleza, así como que el incumplimiento es significativo cuando afecte
a más del 10 % de los destinatarios del servicio en el año anterior al
inicio del procedimiento sancionador o desde el inicio de la actividad
del prestador si este periodo es menor.
g) El incumplimiento de lo establecido en una resolución o acuerdo
relativo al ejercicio de las facultades de adopción de medidas
cautelares, órdenes de cesación o medidas correctoras y de aceptación de
compromisos en aplicación del Reglamento (UE) 2022/2065.'
Dieciséis. Se añaden siete nuevas letras de la s) a la y) al apartado 3
del artículo 38 con la siguiente redacción:
's) El incumplimiento significativo o reiterado por parte de los servicios
intermediarios de las obligaciones de información a las autoridades y al
destinatario del servicio afectado establecidas en virtud de los
artículos 9 y 10 del Reglamento (UE) 2022/2065.
t) El incumplimiento significativo o reiterado por parte de los servicios
intermediarios de cualquiera de las obligaciones de diligencia debida
exigidas en virtud de los artículos 11 a 32 del Reglamento (UE)
2022/2065.
Página
224
u) El incumplimiento por parte de las plataformas en línea de la
prohibición establecida en el artículo 26.3 del Reglamento (UE) 2022/2065
en relación con la presentación de anuncios a los destinatarios del
servicio basados en la elaboración de perfiles, tal como se define en el
artículo 4, punto 4, del Reglamento (UE) 2016/679, utilizando las
categorías especiales de datos personales a que se refiere el artículo 9,
apartado 1, del Reglamento (UE) 2016/679, cuando no constituya infracción
muy grave.
v) El incumplimiento por parte de las plataformas en línea de la
prohibición establecida en el artículo 28.2 del Reglamento (UE) 2022/2065
en relación con la presentación de anuncios en su interfaz basados en la
elaboración de perfiles, tal como se define en el artículo 4, punto 4,
del Reglamento (UE) 2016/679, mediante la utilización de datos personales
del destinatario del servicio cuando sean conscientes con una seguridad
razonable de que el destinatario del servicio es un menor, cuando no
constituya infracción muy grave.
w) No responder, proporcionar información incorrecta, incompleta o
engañosa, no rectificar información incorrecta, incompleta o engañosa o
no someterse a una inspección, por parte de servicios intermediarios u
otras personas a las que se refiere el apartado 1 del artículo 51 del
Reglamento (UE) 2022/2065.
x) El incumplimiento significativo o reiterado por parte de las
plataformas en línea de la obligación establecida en el artículo 86 del
Reglamento (UE) 2022/2065 en relación con el tratamiento de reclamaciones
presentadas por organismos, organizaciones o asociaciones a que se
refiere dicho artículo.
y) El incumplimiento significativo o reiterado por parte de las
plataformas en línea de las resoluciones o acuerdos dictados en
aplicación del Reglamento (UE) 2022/2065 distintos de los previstos en la
letra g) del apartado 2.'
Diecisiete. Se añaden cuatro nuevas letras de la q) a la t) al apartado 4
del artículo 38 con la siguiente redacción:
'q) El incumplimiento por parte de los servicios intermediarios de las
obligaciones de información a las autoridades y al destinatario del
servicio afectado establecidas en virtud de los artículos 9 y 10 del
Reglamento (UE) 2022/2065, cuando no constituya infracción grave.
r) El incumplimiento por parte de los servicios intermediarios de
cualquiera de las obligaciones de diligencia debida exigidas en virtud de
los artículos 11 a 32 del Reglamento (UE) 2022/2065, cuando no constituya
infracción grave.
s) El incumplimiento por parte de las plataformas en línea de la
obligación establecida en el artículo 86 del Reglamento (UE) 2022/2065 en
relación con el tratamiento de reclamaciones presentadas por organismos,
organizaciones o asociaciones a que se refiere dicho artículo, cuando no
constituya infracción grave.
t) El incumplimiento de las resoluciones o acuerdos dictados en aplicación
del Reglamento (UE) 2022/2065 que no tenga la consideración de infracción
grave o muy grave conforme a los apartados anteriores.'
Dieciocho. El artículo 39 queda redactado como sigue:
'Artículo 39. Sanciones.
1. Por la comisión de las infracciones recogidas en el artículo anterior,
y sin perjuicio de lo previsto en el apartado segundo de este artículo,
se impondrán las siguientes sanciones:
a) Por la comisión de infracciones muy graves, multa de 150.001 hasta
600.000 euros. La reiteración en el plazo de tres años de dos o más
infracciones muy graves, sancionadas con carácter firme, podrá dar lugar,
en función de sus circunstancias, a la sanción de prohibición de
actuación en España, durante un plazo máximo de dos años.
Página
225
b) Por la comisión de infracciones graves, multa de 30.001 hasta 150.000
euros.
c) Por la comisión de infracciones leves, multa de hasta 30.000 euros.
2. Por la comisión de las infracciones recogidas en las letras e), f) y g)
del apartado 2, letras s), t), u), v), w), x) e y) del apartado 3 y
letras q), r), s) y t) del apartado 4 del artículo anterior, de
conformidad con el artículo 52.3 del Reglamento (UE) 2022/2065, se
impondrán las siguientes sanciones:
a) Por la comisión de infracciones muy graves, hasta el 6 % del volumen de
negocios anual en todo el mundo del prestador de servicios intermediarios
de que se trate en el ejercicio fiscal anterior.
b) Por la comisión de infracciones graves, hasta el 4 % del citado
volumen, excepto la infracción recogida en la letra w) del apartado 3 del
artículo anterior, que se sancionará con multa administrativa de una
cuantía equivalente al 1 % como máximo del indicado volumen de negocio
anual.
c) Por la comisión de infracciones leves, hasta el 2 % del citado volumen.
3. Cuando las infracciones sancionables con arreglo a lo previsto en esta
Ley hubieran sido cometidas por prestadores de servicios establecidos en
Estados que no sean miembros de la Unión Europea o del Espacio Económico
Europeo, el órgano que hubiera impuesto la correspondiente sanción podrá
ordenar a los prestadores de servicios intermediarios que tomen las
medidas necesarias para impedir el acceso desde España a los servicios
ofrecidos por aquéllos por un período máximo de dos años en el caso de
infracciones muy graves, un año en el de infracciones graves y seis meses
en el de infracciones leves.
4. Sin perjuicio de las sanciones económicas que pudieran imponerse con
arreglo a esta ley, por la comisión de la infracción prevista en la letra
p) del apartado 3 del artículo 38, o la letra o) del apartado 4 del
artículo 38, se cancelará la inscripción en los registros públicos
nacional y de la Unión de organizaciones reconocidas de gestión de datos
con fines altruistas, así como se revocará el derecho a utilizar la
denominación organización de gestión de datos con fines altruistas
reconocida en la Unión.
5. Las infracciones podrán llevar aparejada alguna o algunas de las
siguientes sanciones accesorias, sin perjuicio de las previsiones
establecidas en el Reglamento (UE) 2022/2065:
a) Las infracciones graves y muy graves podrán llevar aparejada la
publicación, a costa del sancionado, de la resolución sancionadora en el
'Boletín Oficial del Estado', o en el diario oficial de la administración
pública que, en su caso, hubiera impuesto la sanción; en dos periódicos
cuyo ámbito de difusión coincida con el de actuación de la citada
administración pública o en la página de inicio del sitio de Internet del
prestador, una vez que aquélla tenga carácter firme.
Para la imposición de esta sanción, se considerará la repercusión social
de la infracción cometida, por el número de usuarios o de contratos
afectados, y la gravedad del ilícito.
b) Sin perjuicio de las sanciones económicas a las que se refiere el
artículo 39.1 b), a los prestadores de servicios de intermediación de
datos que hayan cometido alguna de las infracciones graves previstas en
las letras n), ñ) y o) del artículo 38.3, se les podrá imponer como
sanción accesoria el cese definitivo de la actividad de prestación en los
términos establecidos en el artículo 14.4 del Reglamento (UE) 2022/868.'
Diecinueve. El artículo 39 ter queda redactado como sigue:
'1. Los órganos con competencia sancionadora, atendida la naturaleza de
los hechos y la concurrencia significativa de los criterios establecidos
en los artículos 39
Página
226
bis y 40, podrán acordar no iniciar la apertura del procedimiento
sancionador y, en su lugar, dirigir un apercibimiento al sujeto
responsable, ordenándole en su caso que adopte en el plazo que el órgano
determine las medidas correctoras que resulten pertinentes, siempre que
los hechos fuesen constitutivos de infracción leve o grave conforme a lo
dispuesto en esta Ley.
2. Los órganos con competencia sancionadora, atendida la trascendencia de
la infracción, podrán acordar iniciar la apertura del procedimiento
sancionador al que se refiere el párrafo anterior, si en el plazo
determinado por el órgano el sujeto responsable no acredita el
cumplimiento de las medidas correctoras que, en su caso, aquel hubiera
ordenado.
3. Si, una vez iniciado el procedimiento sancionador, los prestadores de
servicios intermediarios asumen compromisos que garanticen el
cumplimiento de las disposiciones pertinentes del Reglamento (UE)
2022/2065, la Comisión Nacional de los Mercados y de la Competencia
podrá, mediante una resolución, declarar dichos compromisos vinculantes
para el citado prestador y acordar la terminación del procedimiento.
La Comisión Nacional de los Mercados y de la Competencia podrá, previa
solicitud o por iniciativa propia, reabrir el procedimiento:
a) cuando se haya producido un cambio sustancial en alguno de los hechos
sobre los que se haya fundamentado la resolución;
b) cuando el prestador actúe contrariamente a sus compromisos, o
c) cuando la resolución se haya basado en información incompleta,
incorrecta o engañosa proporcionada por el prestador de servicios
intermediarios.
Cuando la Comisión Nacional de los Mercados y de la Competencia considere
que los compromisos asumidos por el prestador de servicios intermediarios
no pueden garantizar el cumplimiento efectivo de las disposiciones
pertinentes del Reglamento (UE) 2022/2065, rechazará dichos compromisos
en una resolución motivada al finalizar el procedimiento.
La presentación de los compromisos suspenderá el plazo máximo para
resolver el procedimiento hasta la adopción de la resolución que acepte o
rechace los compromisos presentados.'
Veinte. El artículo 41 queda redactado como sigue:
'1. En los procedimientos sancionadores por infracciones graves o muy
graves se podrán adoptar, con arreglo a la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas y
sus normas de desarrollo, las medidas de carácter provisional previstas
en dichas normas que se estimen necesarias para asegurar la eficacia de
la resolución que definitivamente se dicte, el buen fin del
procedimiento, evitar el mantenimiento de los efectos de la infracción y
las exigencias de los intereses generales.
En particular, podrán acordarse las siguientes:
a) Suspensión temporal de la actividad del prestador de servicios y, en su
caso, cierre provisional de sus establecimientos.
b) Precinto, depósito o incautación de registros, soportes y archivos
informáticos y de documentos en general, así como de aparatos y equipos
informáticos de todo tipo.
c) Advertir al público de la existencia de posibles conductas infractoras
y de la incoación del expediente sancionador de que se trate, así como de
las medidas adoptadas para el cese de dichas conductas.
d) Retirada provisional de uno o varios elementos concretos de contenidos
ilícitos.
Página
227
2. En la adopción y cumplimiento de las medidas a que se refiere el
apartado anterior, se respetarán, en todo caso, las garantías, normas y
procedimientos previstos en el ordenamiento jurídico para proteger los
derechos a la intimidad personal y familiar, a la protección de los datos
personales, a la libertad de expresión o a la libertad de información,
cuando éstos pudieran resultar afectados.
En todos los casos en que la Constitución, las normas reguladoras de los
respectivos derechos y libertades o las que resulten aplicables a las
diferentes materias atribuyan competencia a los órganos jurisdiccionales
para intervenir en el ejercicio de actividades o derechos, sólo la
autoridad judicial competente podrá adoptar las medidas previstas en este
artículo.
3. En todo caso, se respetará el principio de proporcionalidad de la
medida a adoptar con los objetivos que se pretendan alcanzar en cada
supuesto.
4. En casos de urgencia y para la inmediata protección de los intereses
implicados, las medidas provisionales previstas en el presente artículo
podrán ser acordadas antes de la iniciación del expediente sancionador.
Las medidas deberán ser confirmadas, modificadas o levantadas en el
acuerdo de iniciación del procedimiento, que deberá efectuarse dentro de
los quince días siguientes a su adopción, el cual podrá ser objeto del
recurso que proceda.
En todo caso, dichas medidas quedarán sin efecto si no se inicia el
procedimiento sancionador en dicho plazo o cuando el acuerdo de
iniciación no contenga un pronunciamiento expreso acerca de las mismas.
La medida provisional prevista en la letra d) del apartado 1 de este
artículo podrá requerirse a los prestadores de servicios intermediarios
en virtud del deber de colaboración previsto en el artículo 11 de esta
Ley.'
Veintiuno. El artículo 42 queda redactado como sigue:
'1. El órgano administrativo competente para resolver el procedimiento
sancionador podrá imponer multas coercitivas por importe que no exceda de
6.000 euros por cada día que transcurra sin cumplir las medidas
provisionales o definitivas que hubieran sido acordadas.
2. No obstante lo anterior, en aplicación del Reglamento (UE) 2022/2065
podrán imponerse multas coercitivas de hasta el 5 % del promedio diario
del volumen de negocios en todo el mundo o de los ingresos del prestador
de servicios intermediarios de que se trate en el ejercicio fiscal
anterior por día, calculado a partir de la fecha especificada en la
resolución de que se trate.'
Veintidós. El artículo 43 queda redactado como sigue:
'1. La imposición de sanciones por el incumplimiento de lo previsto en
esta Ley corresponderá, en el caso de infracciones muy graves, a la
persona titular del Ministerio para la Transformación Digital y de la
Función Pública, y en el de infracciones graves y leves, a la persona
titular de la Secretaría de Estado de Digitalización e Inteligencia
Artificial.
No obstante lo anterior, la imposición de sanciones por incumplimiento de
las resoluciones dictadas por los órganos competentes en función de la
materia o entidad de que se trate a que se refiere la letra b) del
artículo 38.2 de esta Ley corresponderá al órgano que dictó la resolución
incumplida. Igualmente, corresponderá a la Agencia Española de Protección
de Datos la imposición de sanciones por la comisión de las infracciones
tipificadas en los artículos 38.2 e) y f), 38.3 c), d), i), u) y v) y
38.4 d), g) y h) de esta Ley, así como la imposición de sanciones por la
comisión de la infracción tipificada en el artículo 38.3 w) cuando la
infracción se cometa durante el ejercicio de la función de control
atribuida a la Agencia Española de Protección de Datos. Por último,
corresponderá al coordinador de servicios digitales la imposición de
sanciones por la comisión de las infracciones tipificadas en los
artículos 38.2 g), 38.3 s), t),
Página
228
x) e y), y 38.4 q), r), s) y t) de esta Ley, así como la imposición de
sanciones por la comisión de la infracción tipificada en el artículo 38.3
w), cuando la infracción se cometa durante el ejercicio de la función de
control atribuida al coordinador de servicios digitales.
2. La potestad sancionadora regulada en esta Ley se ejercerá de
conformidad con lo establecido al respecto en la Ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas, y en sus normas de desarrollo. El procedimiento tendrá una
duración máxima de doce meses a contar desde la fecha del acuerdo de
iniciación. El plazo máximo de duración del procedimiento simplificado
será de tres meses'
Veintitrés. El artículo 45 queda redactado como sigue:
'Artículo 45. Prescripción.
Las infracciones muy graves prescribirán a los tres años, las graves a los
dos años y las leves al año; las sanciones impuestas por faltas muy
graves prescribirán a los tres años, las impuestas por faltas graves a
los dos años y las impuestas por faltas leves al año.'
Veinticuatro. El apartado b) del anexo queda redactado como sigue:
'b) 'Servicio intermediario': un servicio tal como se define en el
artículo 3, letra g), del Reglamento (UE) 2022/2065.'
Veinticinco. Se suprimen los artículos 14, 15, 16 y 17.
