Introducción

En los últimos meses, los medios digitales de comunicación se están haciendo eco de numerosas noticias protagonizadas por la Comisión Europea, en las que investiga o incluso multa a ciertas grandes plataformas en línea por incumplir el Reglamento (UE) 2022/2065 de Servicios Digitales (en adelante, “RSD”), también conocido como “DSA” por sus siglas en inglés (Digital Services Act).

Por poner algunos ejemplos, ha sido muy sonada la noticia relativa al primer procedimiento de la Comisión que desembocó en una sanción definitiva: se trata de aquella que la autoridad europea impuso a X (antes, Twitter) el pasado 5 de diciembre de 2025 por un valor de 120 millones de euros. La razón que motivó la multa fue que la red social incumplió ciertos estándares de transparencia impuestos por el RSD (arts. 25, 39 y 40.12 RSD) (Comisión Europea, 2025a; RTVE Agencias, 2025)¹.

Junto con ella, también existen otras publicaciones periodísticas que han gozado de gran notoriedad, relacionadas con otras sanciones de la Comisión, o con procedimientos de investigación iniciados por ella, pero aún no finalizados, en los que esta trata de dilucidar si ciertas plataformas deben ser sancionadas por incumplir algunas obligaciones del Reglamento. En concreto, como ejemplos del primer supuesto se puede mencionar aquel procedimiento en el que la Comisión sancionó a Temu el 28 de mayo de 2026 por no haber evaluado correctamente los riesgos derivados de los productos ilegales que vende en su plataforma (art. 34 RSD) (Comisión Europea, 2026a).

Como ejemplo del segundo caso, cabe destacar aquel procedimiento por el cual el pasado 26 de marzo de 2026, la Comisión anunció que probablemente se sancione a PornHub, XVideos, XNXX y Stripchat² por permitir que los menores de edad consuman pornografía (arts. 34 y 35 RSD) (Gómez, 2026). Esta investigación se encuentra todavía en fase preliminar, toda vez que las plataformas en liza aún tienen la posibilidad de ejercer su derecho de defensa y de responder por escrito a las conclusiones preliminares de la Comisión. Asimismo, todavía debe consultarse a la Junta Europea de Servicios Digitales, tal y como exige el art. 63.1, letra d), RSD. Solo cuando se cumplan ambos trámites, la Comisión podrá dictar una decisión definitiva, que, en caso de que confirme las conclusiones preliminares, cuantificará la multa que se impondrá a las plataformas infractoras.

A la luz de la amplia cobertura mediática que han tenido los hechos expuestos, así como muchos otros encabezados por la Comisión³, la pretensión de esta contribución consiste en analizar cuál es la función que desempeña la Comisión Europea en el régimen sancionador del Reglamento de Servicios Digitales. Se trata de una cuestión especialmente interesante en la medida en que el hecho de que la institución europea tenga competencias para supervisar y ejecutar las obligaciones previstas en un instrumento de la Unión Europea constituye un fenómeno novedoso y extraordinario. El motivo es que, con carácter general, el régimen sancionador de las normas de la Unión ha contado tradicionalmente con un funcionamiento descentralizado, en el que han sido las autoridades nacionales, pero no la Comisión Europea, las encargadas de ejecutar aquellas normas.

Como se verá, en esta ocasión, el hecho de que la Comisión sea una autoridad con competencias para aplicar y ejecutar el RSD fue fruto de una decisión adoptada durante las complejas negociaciones del instrumento, con la que se pretendió evitar ciertos errores que se cometieron en el pasado con relación al sistema de ejecución del Reglamento General de Protección de Datos (en adelante, “RGPD”). No obstante, y aunque este argumento puede llegar a ser razonable y comprensible, la adopción de esta postura ha sido muy criticada y ha generado un amplio debate, que es el que aquí se pretende traer a colación.

En estas circunstancias, y a fin de comprender el rol de la Comisión Europea en el régimen de aplicación pública del RSD y el carácter controvertido de su nombramiento, la presente contribución seguirá la siguiente estructura.

En primer lugar, se abordará el objeto y el contenido de la norma en torno a la que se articula toda la investigación: el Reglamento de Servicios Digitales. Con ello, el apartado explicará cuáles son los motivos que podrían justificar una sanción por parte de la Comisión Europea. En segundo lugar, se examinará el régimen de aplicación y ejecución del Reglamento en cuestión, con el propósito de analizar en profundidad las situaciones que puede supervisar, investigar y, en su caso, sancionar, la Comisión.

Tras ambos apartados, será momento de evaluar cuál es el debate que despierta el hecho de que la Comisión Europea tenga competencias de ejecución y sanción en el Reglamento examinado, respondiendo así a la pregunta de investigación antes planteada.

Para todo lo anterior, se combinarán los métodos analítico, comparativo, jurídico, exegético y teleológico. En particular, el método analítico permitirá examinar el contenido de los Reglamentos europeos a los que se hará referencia (Reglamento de Servicios Digitales y Reglamento General de Protección de Datos, principalmente), y el método comparativo servirá de base para comparar sus regímenes de aplicación pública y las autoridades de supervisión competentes en cada caso. En relación con ello, los métodos exegético y teleológico devendrán imprescindibles para conocer el sentido y los motivos por los que el legislador europeo cambió su criterio de un Reglamento a otro. Por último, el método jurídico será útil para ir más allá de esta relación teórica y abordar cuestiones más prácticas, como es la polémica derivada del nombramiento de la Comisión como órgano de supervisión en la aplicación del Reglamento de Servicios Digitales.

1. Una breve aproximación al contenido del Reglamento de Servicios Digitales

Según el art. 1.1 RSD, el Reglamento de Servicios Digitales cuenta con un doble objetivo: por un lado, pretende alcanzar el correcto funcionamiento del mercado interior con arreglo al art. 114 TFUE, que sirve de fundamento jurídico al RSD. Y, por otro lado, intenta conseguir un entorno en línea que sea seguro y fiable en el que se protejan los derechos fundamentales, en consonancia con el llamado constitucionalismo digital europeo (De Gregorio, 2022, p. 4)⁴.

Bajo el propósito de alcanzar el doble objetivo mencionado, el Reglamento dirige sus preceptos a disciplinar el comportamiento de todos los prestadores de servicios intermediarios que operan en la Unión (art. 2.1 RSD), incluyendo los de mera transmisión, memoria caché y alojamiento de datos⁵. En particular, y para ello, el RSD ha impuesto a todos aquellos prestadores un conjunto de obligaciones de diligencia debida.

De hecho, la totalidad del Capítulo tercero (arts. 11 a 48 RSD), que representa un 40 % del articulado del Reglamento, se dedica a regular las mencionadas obligaciones. Estas son numerosas y, de modo principal, se relacionan con la moderación de contenidos, la transparencia del entorno digital, los sistemas de recomendación, la publicidad y los riesgos sistémicos que generan las plataformas y los mercados en línea de muy gran tamaño en la sociedad.

No obstante, conviene mencionar que estos imperativos resultan más significativos, tanto en cantidad como en calidad, según el tipo, el tamaño y la naturaleza del prestador de servicios intermediarios (cdo. 41 RSD). De este modo, las grandes plataformas y mercados en línea son los que acaban haciendo frente a obligaciones más exigentes.

Por cuestiones de espacio, resulta imposible ahora detenerse en todos los imperativos del RSD⁶. No obstante, resulta oportuno mencionar algunos de ellos, toda vez que verdaderamente han cambiado la forma de operar de los intermediarios digitales, quienes por primera vez pueden ser responsables como consecuencia de su comportamiento.

En este sentido, y a modo de ejemplo, se expondrán aquellas obligaciones cuyo incumplimiento por parte de las grandes plataformas en línea ha justificado las actuaciones de la Comisión Europea en los tres procedimientos que se mencionaban en el apartado introductorio de esta investigación. En particular, nos estamos refiriendo a cinco obligaciones, que resultan de combinar las obligaciones incumplidas por X (arts. 25, 39 y 40.12 RSD) y por Temu (art. 34 RSD), así como aquellas infringidas preliminarmente por PornHub, XVideos, XNXX y Stripchat (arts. 34 y 35 RSD).

a) En primer lugar, el art. 25 RSD prohíbe que las plataformas en línea empleen patrones oscuros, tal y como reza su tenor literal: «Los prestadores de plataformas en línea no diseñarán, organizarán ni gestionarán sus interfaces en línea de manera que engañen o manipulen a los destinatarios del servicio o de manera que distorsionen u obstaculicen sustancialmente de otro modo la capacidad de los destinatarios de su servicio de tomar decisiones libres e informadas»⁷.

En este sentido, la Comisión Europea ha consideado en su decisión de 5 de diciembre de 2025 que X ha incumplido la obligación del art. 25 RSD debido al «diseño engañoso» que ha generado con su marca de verificación azul. En efecto, y como es sabido, el check o verificado azul con el que X acompaña al nombre de ciertos perfiles de la red social se ha asociado tradicionalmente con la identificación de perfiles de personas públicas, famosas y reconocidas. Pues bien, X cambió dicho sistema convirtiéndolo en un sistema de pago, de modo que ya no tendrían el verificado azul aquellas personas más famosas, sino aquellas que pagaran por el mismo.

Por consiguiente, la Comisión Europea ha estimado que esta actuación constituye un patrón oscuro prohibido por el art. 25 RSD, en la medida en que es capaz de confundir a los usuarios digitales en torno a la identidad de las personas e influir en sus decisiones en el entorno digital. Es decir, aunque el art. 25 RSD no obliga a que exista una verificación de usuario, sí prohíbe que las plataformas presenten como verificados ciertos perfiles, cuando en realidad no lo han hecho. Y esta es la conducta por la que la Comisión Europea ha castigado a X.

b) En segundo lugar, la obligación del art. 39 RSD obliga a que las plataformas en línea de muy gran tamaño creen un repositorio publicitario público en el que depositen todos aquellos anuncios publicitarios que hayan publicado, durante un plazo que comprende el periodo de su presentación y un año después de la última presentación de cada uno de ellos. Asimismo, deben identificar cierta información mínima con respecto a cada uno de los anuncios, incluyendo cuestiones como el contenido del anuncio, quién lo ha presentado, quién ha pagado por el mismo o durante cuánto tiempo ha estado visible en la plataforma.

Sin duda, la pretensión de esta obligación es garantizar el escrutinio público y la transparencia de las plataformas, pues permite combatir la desinformación a través de una detección de estrategias manipulativas más sencilla, así como facilitar la supervisión del cumplimiento regulatorio (p. ej. normas de protección de consumidores).

Pues bien, de nuevo, la Comisión Europea ha considerado que X ha incumplido el mencionado imperativo, habida cuenta de que, aunque X sí ha creado el repositorio en cuestión⁸, no permite un acceso fácil ni rápido al mismo, y no ha incluido en él toda la información mínima correspondiente a cada uno de los anuncios publicitarios, relativa, por ejemplo, a su contenido o a la empresa que ha pagado por ellos. Este comportamiento, que puede obstaculizar el escrutinio de los riesgos de la publicidad en línea, también ha ocasionado que la Comisión sancione a X.

c) En tercer lugar, la tercera de las obligaciones de diligencia debida que nos concierne es la instaurada en el art. 40.12 RSD. De acuerdo con este precepto, las plataformas en línea de muy gran tamaño están obligadas a permitir el acceso a sus datos, incluso en tiempo real, a ciertos investigadores como las asociaciones sin ánimo de lucro⁹, con la finalidad de que estos puedan investigar los riesgos sistémicos que las grandes plataformas generan en la sociedad.

Al respecto, la Comisión Europea también ha sancionado a X por obstaculizar sensiblemente o denegar injustificadamente el acceso a datos a ciertos investigadores con base en dicha disposición. De hecho, el incumplimiento de la red social ha sido tan flagrante que incluso una ONG alemana inició un proceso judicial contra X por haberle denegado sin fundamento el acceso a datos que le otorga el art. 40.12 RSD (LG Berlin II, 13 de mayo de 2025, en el asunto núm. 41 O 140/25 eV¹⁰).

d) En cuarto lugar, otra obligación de diligencia debida creada por el RSD es la del art. 34 RSD. Esta disposición de gestión de riesgos, que es cada vez más frecuente en la legislación digital europea (De Gregorio y Dunn, 2022, p. 477), obliga a que las plataformas en línea de muy gran tamaño detecten y evalúen de forma anual «cualquier riesgo sistémico en la Unión que se derive del diseño o del funcionamiento de su servicio y los sistemas relacionados con este, incluidos los sistemas algorítmicos, o del uso que se haga de sus servicios». De este modo, las grandes plataformas están obligadas a señalar de manera argumentada cuáles son los riesgos sistémicos que generan sus servicios.

En particular, el precepto en liza señala algunos de los riesgos sistémicos que deben evaluarse, como por ejemplo los relacionados con la difusión de contenido ilícito, con los efectos negativos que puedan acarrear sus servicios sobre el discurso cívico, la seguridad pública, la protección de la salud pública, o con el bienestar físico y mental de la persona, entre otros.

En estas circunstancias, la Comisión Europea ha considerado que en al menos dos de los procedimientos de investigación y sanción aquí analizados se ha incumplido esta obligación del art. 34 RSD. Por un lado, ha estimado que la plataforma china Temu no habría valorado debidamente los riesgos que genera la distribución de productos ilegales, como juguetes de bebé o aparatos electrónicos (Comisión Europea, 2026a).

Por otro lado, en un procedimiento paralelo, dirigido contra las plataformas Pornhub, Stripchat, XNXX y XVideos, la Comisión también ha entendido, aún de forma preliminar, que no habrían evaluado correctamente los riesgos derivados de que los menores de edad tengan acceso y estén expuestos a contenido pornográfico.

e) Por último, y en relación con la obligación anterior, el art. 35 RSD obliga a que las plataformas, tras haber detectado y evaluado los riesgos sistémicos en el análisis del art. 34 RSD, adopten medidas para reducir dichos riesgos, que tendrán que ser razonables, proporcionadas y efectivas.

Entre las medidas mencionadas, la disposición lista algunas como la adaptación del diseño de la interfaz en línea, de las condiciones generales contractuales, de los procesos de moderación de contenidos o de los sistemas publicitarios, la difusión de más información a los usuarios digitales, o la adopción de medidas específicas para proteger los derechos de los menores, incluyendo herramientas para la comprobación de la edad¹¹.

Pues bien, bajo esta obligación, la Comisión ha considerado, de forma preliminar y pendiente de decisión final, que las plataformas de pornografía antedichas estarían infringiendo dicha disposición porque no han adoptado medidas adecuadas para disminuir los riesgos derivados de la exposición de los menores de edad a contenido pornográfico, como podrían ser herramientas para verificar su edad (Comisión Europea, 2026f). Y es que, a pesar de que las plataformas mencionadas establecen en sus términos y condiciones que los servicios que ofrecen tan solo pueden ser empleados por adultos, todas ellas permiten que los menores accedan mediante la simple marcación de una casilla en la que confirman ser mayores de 18 años, sin que exista un ulterior control.

En definitiva, las cinco obligaciones de diligencia debida mencionadas ilustran una parte del contenido instaurado por el Reglamento de Servicios Digitales. Y aquellas cobran relevancia en nuestra investigación por cuanto su incumplimiento es el que justifica los procedimientos de investigación y sanción llevados a cabo por la Comisión Europea.

2. El régimen de aplicación y ejecución del Reglamento de Servicios Digitales y su carácter híbrido

Consciente de la relevancia del contenido del Reglamento de Servicios Digitales, que está llamado a modificar de forma destacada el modus operandi del entorno en línea (Cioffi, Kenney y Zysman, 2022, p. 829), el legislador europeo ha estado preocupado por garantizar la efectividad del instrumento. Y por este motivo, ha destinado notorios esfuerzos a diseñar un régimen de implementación, aplicación y ejecución del RSD especialmente robusto (Bartels, 2024, p. 157).

En este sentido, el entonces comisario europeo de Mercado Interior, Thierry Breton, en 2022 ratificó aquella preocupación al afirmar de forma contundente que, en este instrumento, «enforcement is the key» (Comisión Europea, 2022a). Asimismo, las Orientaciones Políticas emitidas por la Comisión para el quinquenio 2024-2029 demuestran que no se trata únicamente de una inquietud esporádica, al catalogar la correcta aplicación y ejecución del RSD como uno de los objetivos principales de la Unión para el próximo lustro (Von der Leyen, 2024, p. 10).

En consonancia con lo indicado, existen como mínimo dos aspectos en el Reglamento que prueban que el legislador europeo ha dedicado un gran esfuerzo a diseñar el sistema de aplicación del RSD.

En primer lugar, prácticamente la mitad del articulado del Reglamento está dirigido a regular su sistema de aplicación y ejecución. Y es que, en efecto, el Capítulo IV, que lleva por rúbrica “Aplicación, cooperación, sanciones y ejecución”, se dedica en exclusiva a regular esta cuestión, para lo cual abarca los arts. 49 a 88 RSD, que representan casi la mitad de los 93 preceptos que componen la totalidad del instrumento en liza.

Y, en segundo lugar, existe otra prueba de la importancia que reviste el régimen de aplicación y ejecución del RSD, que es su carácter híbrido, y que permite que el RSD se ejecute a través de dos vías paralelas: la aplicación pública (public enforcement) y la aplicación privada (private enforcement). A este respecto, la alusión específica a ambas vertientes de aplicación de la norma resulta singularmente relevante, toda vez que la legislación europea ha restringido tradicionalmente su ejecución a los mecanismos de tutela jurídico-pública (Jans, de Lange, Prechal y Widdershoven, 2007, pp. 4, 13 y 202).

a) De una parte, la aplicación pública del RSD permite que las autoridades administrativas impongan sanciones a los intermediarios que incumplan el Reglamento. En línea con el sistema de administración descentralizada de la Unión, la tarea de supervisar y ejecutar la aplicación del instrumento le corresponde principalmente a las autoridades nacionales que deben designar todos los Estados miembros, y que reciben el nombre de “Coordinadores de servicios digitales” (art. 49.1 RSD). Estos se encargarán de velar por el correcto cumplimiento del instrumento por parte de los prestadores de servicios intermediarios que tengan su establecimiento principal o representante en el territorio de su Estado miembro (arts. 56.1 y 6 RSD), y tendrán competencias para sancionarlos en caso de incumplimiento (art. 52 RSD).

No obstante, la supervisión de carácter nacional encuentra una notoria excepción, y es que la Comisión Europea tiene competencias para supervisar la observancia del RSD con respecto a las plataformas y los motores de búsqueda en línea de muy gran tamaño, que son aquellos que han sido designados como tales por la Comisión Europea por tener un promedio mensual de usuarios digitales activos superior al 10% de la población de la Unión, cifra que actualmente equivale a 45 millones de usuarios (art. 33 RSD). En particular, las competencias de la Comisión pueden ser de dos tipos: exclusivas o preferentes, según el caso.

i) Por un lado, la Comisión es la única que puede supervisar el cumplimiento de las obligaciones dirigidas específicamente a las plataformas y motores de búsqueda en línea de muy gran tamaño, contenidas en la sección 5.ª del Capítulo III RSD y que abarcan los arts. 33 a 43 RSD (art. 56.2 RSD). Los coordinadores de servicios digitales, por consiguiente, aquí no cuentan con ninguna competencia.

ii) Por otro lado, la Comisión también posee competencias para controlar el cumplimiento del resto de las obligaciones impuestas a las plataformas y motores de búsqueda en línea de muy gran tamaño, distribuidas entre los arts. 11 a 32 RSD (art. 56.3 RSD). Pero en este caso no son competencias exclusivas, sino «preferentes», porque si la Comisión no inicia un procedimiento de investigación para supervisar su cumplimiento, el Coordinador de servicios digitales del Estado miembro de establecimiento o del representante —normalmente, Irlanda—, tiene competencias para hacerlo en su lugar (art. 56.4 RSD)¹².

En cualquiera de los dos casos, las competencias específicas de supervisión y sanción de la Comisión vienen reguladas en la sección 4.ª del Capítulo IV (arts. 64 a 83). Estas, además de otorgarle poder investigador, le permiten sancionar en caso de incumplimiento por una cuantía que no exceda del 6 % del volumen de negocios anual mundial del ejercicio fiscal anterior del prestador infractor (art. 74.1 RSD)¹³. Además, si la Comisión acaba reconociendo el incumplimiento de una obligación de la sección 5.ª Capítulo III RSD, exigirá al prestador de la plataforma o motor de búsqueda de muy gran tamaño que establezca un plan de acción en el que trace las medidas a adoptar para poner fin a la infracción, incluyendo la necesidad de someterse a una auditoría independiente o incluso la posibilidad de adherirse a un código de conducta (art. 75 RSD).

b) De otra parte, y de forma paralela al sistema de aplicación pública, el RSD también se refiere de modo expreso a su posible aplicación privada en los arts. 54, 86 y 90 RSD. Dado el carácter escueto de dichos preceptos, para conocer el funcionamiento de los mecanismos de tutela jurídico-privada del RSD, será necesario recurrir al modelo europeo de aplicación privada. Según este, este tipo de mecanismos permiten que los usuarios digitales se dirijan a los tribunales para solicitar la indemnización por los daños y perjuicios que les hubiera causado un intermediario al incumplir las obligaciones impuestas por el RSD que cuenten con efecto directo (Gallo, 2025, p. 37)¹⁴, que son la mayoría.

Dicho de otro modo, la aplicación privada del RSD implica que el instrumento otorga derechos a los usuarios digitales, que más tarde estos podrán hacer valer contra los prestadores de servicios intermediarios ante los tribunales nacionales. Y dichos derechos serán en exclusiva los que se deriven del efecto directo que poseen las obligaciones de diligencia debida impuestas a los prestadores de servicios intermediarios en los arts. 11 a 48 RSD.

3. La controversia que suscita el nombramiento de la Comisión

El apartado anterior ha clarificado que, como parte del sistema de public enforcement del RSD, la Comisión Europea tiene ciertas competencias para investigar, supervisar y, en su caso, sancionar el incumplimiento de las obligaciones de diligencia debida impuestas a las plataformas y mercados en línea de muy gran tamaño. Precisamente por este motivo, la Comisión ha incoado los procedimientos de investigación que antes se mencionaban por incumplimiento del RSD por parte de las plataformas en línea de muy gran tamaño, entre las que se encuentran X, Temu o Pornhub.

Sentado lo anterior, debemos preguntarnos por qué la Comisión ha sido investida de competencias de supervisión y sanción en el seno de este instrumento europeo, si la aplicación pública de las normas europeas por parte de la institución de la Unión ha sido tradicionalmente excepcional. En efecto, los mecanismos de tutela jurídico-pública han contado generalmente con un funcionamiento descentralizado, de modo que siempre han sido las autoridades nacionales las encargadas de desarrollar este cometido (Jans, de Lange, Prechal y Widdershoven, 2007, pp. 6 y 7, y Scholten, 2017, p. 1349). Por el contrario, la Comisión rara vez ha contado con esta misión, más allá de la excepción que constituye el sector del Derecho de la Competencia, reflejada en la Directiva 2014/104/UE. Esta descentralización se explica porque, tradicionalmente, la Unión ha estado focalizada en armonizar su Derecho sustantivo, con el que pretendía consolidar el mercado común interior, y ha dejado al margen la regulación de su aplicación (Franck, 2019, p. 110)¹⁵.

Como se verá a continuación, en el RSD, el motivo que justifica la atribución de poderes de aplicación y ejecución a la Comisión radica en la experiencia previa del sistema de aplicación pública del Reglamento General de Protección de Datos (Buri y Van Hoboken, 2022, p. 3). Y es que, el legislador europeo aprendió del sistema de aplicación y ejecución del RGPD que, aunque sí debe replicarse en parte, aquel no siempre funciona y debe corregirse de cara a otras leyes digitales europeas¹⁶ como el RSD. No obstante, veremos que la adhesión a este criterio no está exenta de críticas.

3.1. El principio de control en origen en la aplicación pública del RGPD y su repercusión en el RSD

Si la Comisión no hubiera tenido competencias para investigar y sancionar en el marco del RSD, la totalidad del régimen de aplicación pública del Reglamento habría recaído en las autoridades nacionales, que deberían supervisar el cumplimiento de la norma por parte de los prestadores de servicios intermediarios que estuvieran establecidos en su territorio.

Como consecuencia, en el caso de las plataformas en línea de muy gran tamaño, el Coordinador de servicios digitales competente para investigar y sancionar sería en la mayoría de los casos el de Irlanda (llamado Coimisiún na Meán)¹⁷, por ser el país donde están establecidos una gran parte de estos gigantes tecnológicos debido a razones principalmente fiscales (p. ej., X, Temu, Facebook).

Este criterio, conocido comúnmente como principio de control en origen o de ventanilla única (one-stop-shop principle) (Buri y Van Hoboken, 2022, p. 11), es precisamente el que sigue el Reglamento General de Protección de Datos, pues su régimen de aplicación pública está confiado, en exclusiva, a las autoridades nacionales (llamadas Autoridades de protección de datos), pero no a la Comisión ni a ninguna otra institución o agencia supraestatal. En particular, la Autoridad de protección de datos de cada Estado miembro debe supervisar el cumplimiento del RGPD por parte de los procesadores o controladores de datos que se encuentren establecidos o actúen en el territorio de su Estado miembro (art. 55 RGPD).

Esta asignación de competencias a las autoridades nacionales en el RGPD fue muy celebrada, pues con ella se evitaba que aquellos procesadores o controladores de datos que actuaran transfronterizamente tuvieran que relacionarse con 27 autoridades nacionales distintas. No obstante, y sin perjuicio de lo expuesto, este criterio también fue notoriamente criticado con respecto a las grandes plataformas en línea (Vergnolle, 2025, p. 103), incluso por parte de la Comisión Europea (Comisión Europea, 2020, p. 7).

El principal problema con respecto a estas grandes tecnológicas, que sigue materializándose en la actualidad, era que el cumplimiento del RGPD por parte de aquellas debe ser supervisado por la autoridad nacional del Estado miembro donde estuvieran establecidas, que, tal y como se ha razonado, suele coincidir con Irlanda. Y el caso es que la Autoridad irlandesa de protección de datos (Data Protection Commission) ha sido tradicionalmente muy laxa en su supervisión del RGPD para evitar una eventual fuga de empresas (Genç-Gelgeç, 2022, p. 56)¹⁸, lo cual ha acarreado el enfado de las autoridades nacionales de otros Estados miembros como Francia, Alemania o Dinamarca, que incluso han solicitado competencias para actuar (Vergnolle, 2025, p. 104, y Husovec, 2024, p. 421).

Pese a las quejas, la asignación de competencias de supervisión y sanción con respecto al RGPD no se ha modificado y sigue intacta. Aun así, aquellas protestas sí han repercutido en las negociaciones y en el resultado de la distribución de competencias del sistema de aplicación y ejecución de otros instrumentos como el RSD, tal y como se analiza inmediatamente a continuación.

3.2. Una reinterpretación del principio de control en origen en la aplicación pública del RSD

A fin de evitar que la problemática en torno a la laxa supervisión del cumplimiento del RGPD por parte de las grandes plataformas en línea se reprodujera en el Reglamento de Servicios Digitales, en las negociaciones de esta norma europea, un amplio sector enfatizó la necesidad de evitar copiar el principio de control en origen característico del régimen de aplicación pública del RGPD. En su lugar, se barajaba la posibilidad de que la totalidad del régimen de aplicación y ejecución se centralizara en la Comisión. Sin embargo, y aunque esta institución pudiera garantizar una implementación del RSD menos laxa y más eficaz, esta decisión se revelaba legítimamente controvertida por dos motivos.

i) De un lado, la Comisión es el órgano de la Unión que propone las leyes europeas, de modo que al otorgársele las competencias propias del régimen de supervisión, aplicación y ejecución del RSD, podría poner en jaque la división de poderes en la Unión Europea, toda vez que pasaría a ejecutar las leyes que ella misma propone (Vergnolle, 2025, p. 107, y Genç-Gelgeç, 2022, p. 57).

ii) De otro lado, se dudaba de que la Comisión, que es una institución de legitimación democrática indirecta y de naturaleza político-administrativa, pudiera supervisar de manera independiente —y no influenciada por la política— el cumplimiento del RSD (Bartels, 2024, pp. 152 y 153).

Estos dos motivos explicaron que algunos países rechazaran la idea de que la Comisión pudiera formar parte de los órganos supervisores del RSD.

Al final, durante el proceso de negociación del RSD, se llegó a un compromiso intermedio por el que la Comisión no supervisaría el cumplimiento de la norma con respecto a todos los prestadores de servicios intermediarios, sino tan solo en relación con aquellos más grandes: las plataformas y los motores de búsqueda en línea de muy gran tamaño, dependiendo los restantes —que son la mayoría (Centre for Future Generations, 2025)— de las autoridades nacionales. Y para justificar esta decisión conciliadora, se recurrió precisamente a una suerte de principio de control en origen reinterpretado, pues se argumentó que las grandes tecnológicas gozan de un tamaño tan grande que, a efectos prácticos, su país de origen abarca toda la Unión y no solo un Estado miembro, tal y como confirma Irene Roche Laguna, directora de la unidad de la Comisión que se encarga de la aplicación y ejecución del RSD (DG Connect), en una entrevista que concedió en abril de 2023 (Interface, 2023).

Por consiguiente, esta motivación permite confirmar que, en realidad, es el mismo principio de control en origen que empleaba el RGPD el que ahora, reinterpretado, se emplea como fundamento para motivar la decisión de que sea la Comisión la que cuente con ciertas funciones de supervisión y sanción en el sistema de aplicación pública del RSD. En particular, este resultado se plasmó en el Reglamento europeo de la forma que se ha indicado más arriba, donde los arts. 56.2 y 3 RSD asignan competencias de aplicación y ejecución a la Comisión para supervisar, en exclusiva, el cumplimiento del RSD por parte de las plataformas en línea y motores de búsqueda en línea de muy gran tamaño.

3.3. El posible simbolismo detrás de la actuación de la Comisión

En el plano teórico, a la luz de los subapartados anteriores, a priori podría afirmarse que, a pesar de que la designación de la Comisión Europea como órgano supervisor del Reglamento de Servicios Digitales pudiera entrañar cierta controversia, esta decisión se revela como la más acertada dada la evolución del sistema de aplicación pública del RGPD. Ahora bien, en la dimensión práctica, la forma de comprobar si realmente esta ha sido la elección más correcta requiere de un análisis de la experiencia práctica; es decir, debe conocerse cuál ha sido la actuación de la Comisión hasta el momento actual bajo el propósito de evaluar si realmente está desplegando las acciones necesarias y oportunas para garantizar la adecuada ejecución de la norma.

A tal efecto, desde el 25 de agosto de 2023¹⁹ hasta el día de hoy, la Comisión Europea ha iniciado 16 procedimientos de investigación contra las plataformas o motores de búsqueda en línea designados como de muy gran tamaño con base en el art. 33 RSD. En el mismo sentido, les ha enviado un total de 75 solicitudes de información con arreglo al art. 67 RSD, por las cuales solicita a dichas plataformas o motores de búsqueda que proporcionen cierta información relativa a una presunta infracción del RSD²⁰. Teniendo en cuenta que, en los escasos años de funcionamiento del Reglamento, se han designado 23 plataformas en línea y 2 motores de búsqueda en línea como de muy gran tamaño (Comisión Europea, 2026b), se trata de cifras considerables, pues se traducen en que la Comisión ha iniciado una media de 0,64 procedimientos de investigación por cada plataforma o motor de búsqueda en línea de muy gran tamaño²¹, y les ha dirigido una media de 3 solicitudes de información a cada uno de ellos.

En vista de los datos expuestos, debería confirmarse que la autoridad de la Unión ha destinado un gran esfuerzo a poner en marcha el régimen sancionatorio del RSD. De hecho, ella misma confesó que la correcta ejecución del Reglamento constituye una de sus máximas prioridades para el quinquenio 2024-2029 (Von der Leyen, 2024, p. 10). En línea con ello, también conviene destacar que la institución europea ha incrementado notoriamente el capital humano de su departamento encargado de aplicar el RSD, DG Connect, donde ha contratado a más de 50 especialistas por un máximo de seis años (Comisión Europea, 2025d)²².

Sin embargo, esta conclusión preliminar podría no ser acertada si aquellas evidencias dejan de interpretarse en sentido absoluto y aislado para ponerse en contexto. Y es que, de los 16 procedimientos de investigación que ha iniciado la Comisión, tan solo tres de ellos han concluido en sanción²³. Además de ello, es cierto que otros dos han finalizado provisionalmente con compromisos vinculantes que han adoptado las plataformas investigadas para garantizar el cumplimiento del RSD²⁴. No obstante, si aquellas incumplen los compromisos asumidos, la Comisión tiene la potestad de reabrir los respectivos procedimientos de investigación y sancionarlas (art. 71 RSD). Con respecto a los restantes procedimientos de investigación, siguen abiertos.

En estas circunstancias, a raíz del escaso número de investigaciones concluidas, voces doctrinales han sugerido que la Comisión estaría dilatando los procesos de investigación a propósito para no culminarlos, al menos por ahora (Centre for Future Generations, 2025²⁵). Y junto con ello, se ha llegado a afirmar que la autoridad de Bruselas estaría investigando en exclusiva las infracciones del RSD más banales, superfluas e inofensivas, dejando de lado —a conciencia— las cuestiones más complejas o dañinas y que podrían implicar cambios más costosos para las plataformas (Keller, 2025)²⁶.

Por lo expuesto, la actuación de la autoridad europea podría no ser tan eficaz ni intensa como parece ser, pues posiblemente esté cargada de un notorio «simbolismo». Al respecto, los especialistas coinciden en que ello se explica, probablemente, por el hecho de que la Comisión, en su condición de órgano político, no opera sin límites, sino que actúa atendiendo a las peculiaridades y exigencias del contexto geopolítico actual, dentro del cual se incardinan las amenazas del presidente de Estados Unidos, Donald Trump, cuyo impacto en la regulación digital es innegable (Centre for Future Generations, 2025).

En efecto, el presidente norteamericano no solo se ha dirigido a los comisionados europeos para comunicarles sus preocupaciones sobre el RSD (Centre for Future Generations, 2025) y el «ataque» que representa para Estados Unidos (Jagtap, 2025), sino que, además, ha ordenado a los diplomáticos estadounidenses de Europa que inicien una campaña en contra del RSD a fin de que se reforme o se derogue, e incluso ha amenazado con imponer sanciones sobre la Unión Europea o sus representantes por las decisiones que adopten con base al instrumento digital europeo (Pamuk, 2025).

De este modo, y como se decía, las presiones del país norteamericano han resultado eficaces y han condicionado la actuación de la Comisión, que ha tomado una mayor cautela y de momento ha preferido no ejecutar como debería el RSD para no enfrentarse a las posibles represalias estadounidenses, de cuyas plataformas depende el desarrollo tecnológico de la región europea.

De hecho, otro signo que refleja que la actuación europea podría ser simbólica y estar influenciada políticamente se concreta en que ha habido miembros de la Comisión que, aun siendo conscientes de que una actuación al margen de los mecanismos de supervisión previstos en el RSD carecería de eficacia jurídica, han optado por actuar de esta manera con el único propósito de transmitir a los operadores jurídicos la impresión de que la aplicación del instrumento va a ser efectiva, pese a que, en la práctica, pueda no existir una verdadera intención de hacerlo.

En particular, nos referimos al hecho de que, en 2023 y 2024, Thierry Breton, por entonces comisario europeo de Mercado Interior, envió cartas a distintas grandes plataformas para recordarles que debían cumplir con todas las obligaciones del RSD²⁷, destacando aquella que dirigió en agosto de 2024 a Elon Musk, propietario de X, apenas unas horas antes de que este entrevistara en directo al entonces candidato presidencial estadounidense Donald Trump.

Cabe sostener, a partir de la crítica citada, que, en este caso, el Sr. Breton actuó de forma política, sencillamente para mostrar a las plataformas y a la ciudadanía en general el fuerte compromiso que existía en torno a la aplicación y la ejecución del RSD. No obstante, el entonces comisario se extralimitó en el sistema de aplicación del instrumento, que no le otorga ninguna competencia para ejecutar la norma, y también en el alcance material de las cartas, que a veces señalaban la necesidad de cumplir con obligaciones que el RSD no establece²⁸. De hecho, tanta fue esta extralimitación de Breton que le ha valido numerosas críticas por parte de expertos y de ONGs (Access Now, ARTICLE 19 y EFF, 2024), además de que ha provocado que se ponga en duda la credibilidad de un instrumento de reciente aplicación (Jackson y Malaret, 2023).

En definitiva, a la vista de estas circunstancias, el sistema de aplicación pública del RSD —al menos en lo concerniente a la parte liderada por la Comisión Europea— podría contar con una dimensión más simbólica que real, pues su funcionamiento estaría reducido a una mera apariencia formal y no podría llegar a ser efectivo debido a las presiones diplomáticas del contexto geopolítico actual. Al final, todo ello podría conllevar la imposibilidad de que el instrumento alcance su objetivo final: la disuasión del incumplimiento del RSD por parte de los operadores económicos cuando desarrollan sus actividades en el mercado interior, lo cual pondría en duda la efectividad real del Reglamento.

Conclusiones

La investigación que ahora concluye ha permitido conocer, profundizar y reflexionar en torno a las razones que justifican que la Comisión Europea tenga competencias para investigar y sancionar el cumplimiento de las obligaciones del RSD por parte de las plataformas y mercados en línea de muy gran tamaño como X, Temu, PornHub, Facebook, Wikipedia o LinkedIn. De hecho, conviene resaltar que este razonamiento es igualmente extensible al resto de las leyes digitales europeas en las que la Comisión Europea también tenga competencias de supervisión. Un ejemplo paradigmático es el Reglamento de Mercados Digitales, en el que la totalidad del régimen de aplicación y ejecución compete a la Comisión Europea, toda vez que las obligaciones de aquel instrumento se imponen en exclusiva a las plataformas y motores de búsqueda en línea más grandes, que en dicha norma se bautizan como gatekeepers.

Volviendo al RSD y según lo expuesto, la necesidad de evitar, tal y como ocurrió con el RGPD, que toda la supervisión de la mayoría de las grandes plataformas recaiga en una sola autoridad nacional de supervisión laxa —el Coordinador de servicios digitales irlandés— es la que ha motivado que la competencia para ejecutar el RSD en caso de incumplimiento de las grandes plataformas recaiga en la Comisión Europea, ya sea de forma exclusiva o compartida con las autoridades nacionales.

Sin duda, esta decisión resulta razonable si se tiene en cuenta que el principal objetivo del legislador europeo era instaurar un régimen de supervisión robusto, en el que no hubiera espacio para autoridades con déficits de capacidad o de intensidad supervisora. Sin embargo, y al mismo tiempo, la designación de la institución europea como autoridad encargada de paliar la problemática del RGPD genera, a su vez, nuevos problemas. Y es que, por el momento, se ha dejado entrever que la actuación de la Comisión no estaría tan dirigida a garantizar el cumplimiento del RSD como a limitar su actuación al marco de lo jurídica y políticamente permitido en la situación geopolítica actual, que, ante la adopción de una postura amenazadora por parte de Estados Unidos, resulta extremadamente reducido.

Al final, si Bruselas mantiene esta actitud, la adecuación, eficiencia y eficacia de su actuación durante los próximos años puede disminuir hasta el punto de que se plantee una hipotética futura necesidad de sustituir a este órgano europeo por una agencia supraestatal e independiente que supervise el cumplimiento de la norma, que es lo que ocurre con respecto a normas pertenecientes a otros sectores, como por ejemplo la Autoridad europea de Mercados y de Valores. Es cierto que, por el momento, en el ámbito digital europeo no existen agencias administrativas europeas que tengan esta función, que precisamente se han otorgado a la Comisión Europea, si bien este debate podría ser indispensable si se quiere garantizar que las nuevas leyes digitales europeas como el RSD, a cuya aprobación la Comisión ha dedicado significativos esfuerzos legislativos, no pierdan eficacia práctica.

Referencias

Access Now, ARTICLE 19 y EFF (2024). Joint statement, https://www.eff.org/document/joint-statement-access-now-article-19-and-eff-regarding-breton-letter.

Bartels, M. (2024). Enforcement. En T. Kraul (Ed.), New Digital Services Act. A practitioner’s guide (pp. 132-158). Nomos.

Bertrand, B. (Ed.) (2024). Règlement DSA 2022/2065 relatif à un marché unique des services numériques: commentaire article par article. Bruylant.

Buri, I. y Van Hoboken, J. (Junio de 2022). The DSA supervision and enforcement architecture. DSA Observatory, 1-15, https://dare.uva.nl/search?identifier=78d7315a-7bb2-4f79-86d1-8d85f381bca0.

Castelló Pastor, J. J. (Dir.) (2025a). Análisis del Reglamento (UE) de servicios digitales y su interrelación con otras normas de la Unión Europea. Aranzadi.

Castelló Pastor, J. J. (2025b). Inteligencia artificial aplicada por las plataformas en línea y motores de búsqueda de muy gran tamaño para mitigar los riesgos sistémicos en línea. Cuadernos de Derecho Transnacional, 17(1), 308-328. https://doi.org/10.20318/cdt.2025.9331.

Centre for Future Generations (2025). Enforcement spotlight – Spring 2025: tracking the EU’s digital rulebook in practice, https://cfg.eu/enforcement-spotlight-spring-2025/.

Cioffi, J., Kenney, M. F., y Zysman, J. (2022). Platform power and regulatory politics: Polanyi for the twenty-first century. New Political Economy, 27(5), 820-836. https://doi.org/10.1080/13563467.2022.2027355.

Comisión Europea (2020). La protección de datos como pilar del empoderamiento de los ciudadanos y del enfoque de la UE para la transición digital: dos años de aplicación del Reglamento General de Protección de Datos, COM (2020) 264 final.

Comisión Europea (2022a, 5 de julio). Sneak peek: how the Commission will enforce the DSA & DMA - Blog of Commissioner Thierry Breton. Press Corner European Commission, https://ec.europa.eu/commission/presscorner/detail/en/statement_22_4327.

Comisión Europea (2022b). Annex to the communication to the Commission a New Human Resources Strategy for the Commission, C(2022) 2229 final.

Comisión Europea (2024a, 17 de diciembre). Commission opens formal proceedings against TikTok on election risks under the Digital Services Act. Press Corner European Commission, https://digital-strategy.ec.europa.eu/en/news/commission-opens-formal-proceedings-against-tiktok-election-risks-under-digital-services-act.

Comisión Europea (2024b, 16 de mayo). Commission opens formal proceedings against Meta under the Digital Services Act related to the protection of minors on Facebook and Instagram. Press Corner European Commission, https://ec.europa.eu/commission/presscorner/detail/en/ip_24_2664.

Comisión Europea (2024c, 5 de agosto). TikTok commits to permanently withdraw TikTok Lite Rewards programme from the EU to comply with the Digital Services Act. Press Corner European Commission, https://ec.europa.eu/commission/presscorner/detail/en/ip_24_4161.

Comisión Europea (2025a, 5 de diciembre). La Comisión multa X 120 millones de euros en virtud de la Ley de Servicios Digitales. Press Corner European Commission, https://digital-strategy.ec.europa.eu/es/news/commission-fines-x-eu120-million-under-digital-services-act.

Comisión Europea (2025b, 18 de junio). Commission accepts commitments offered by AliExpress under the Digital Services Act and takes further action on illegal products. Press Corner European Commission, https://ec.europa.eu/commission/presscorner/detail/en/ip_25_1551.

Comisión Europea (2025c, 5 de diciembre). Commission accepts TikTok’s commitments on advertising transparency under the Digital Services Act. Press Corner European Commission, https://ec.europa.eu/commission/presscorner/detail/en/ip_25_2940.

Comisión Europea (2025d, 11 de abril). Únase al equipo de aplicación de la Ley de Servicios Digitales. Web oficial de la UE, https://digital-strategy.ec.europa.eu/es/news/join-digital-services-act-enforcement-team.

Comisión Europea (2026a, 28 de mayo). Commission fines Temu €200 million for breaching the Digital Services Act. Press Corner European Commission, https://digital-strategy.ec.europa.eu/en/news/commission-fines-temu-eu200-million-breaching-digital-services-act.

Comisión Europea (2026b, 20 de julio). Supervision of the designated very large online platforms and search engines under DSA. European Commission, https://digital-strategy.ec.europa.eu/en/policies/list-designated-vlops-and-vloses.

Comisión Europea (2026c, 26 de marzo). Commission investigates Snapchat’s compliance with child protection rules under the Digital Services Act. Press Corner European Commission, https://ec.europa.eu/commission/presscorner/detail/en/ip_26_723.

Comisión Europea (2026d, 26 de enero). Commission investigates Grok and X’s recommender systems under the Digital Services Act. Press Corner European Commission, https://digital-strategy.ec.europa.eu/en/news/commission-investigates-grok-and-xs-recommender-systems-under-digital-services-act.

Comisión Europea (2026e, 20 de julio). Commission fines AliExpress €550 million for breaching the Digital Services Act. Press Corner European Commission, https://ec.europa.eu/commission/presscorner/detail/en/ip_26_1654.

Comisión Europea (2026f, 26 de marzo). Commission preliminarily finds PornHub, Stripchat, XNXX and XVideos in breach of the Digital Services Act for allowing minors to access their services. Press corner European Commission, https://ec.europa.eu/commission/presscorner/detail/en/ip_26_722.

Comisión Europea (2026g, s.f.). Working at the Commission – conditions and environment. Web oficial de la UE, https://commission.europa.eu/about/service-standards-and-principles/modernising-european-commission/working-european-commission/working-commission-conditions-and-environment_en. Fecha de recuperación: 21 de julio de 2026.

Corberá Martínez, J. (2025). Diseño y organización de interfaces en línea en el Reglamento (UE) de servicios digitales. En J.J. Castelló Pastor (Dir.), Análisis del Reglamento (UE) de servicios digitales y su interrelación con otras normas de la Unión Europea (pp. 193-196), Aranzadi.

De Gregorio, G. (2022). Digital constitutionalism in Europe. Reframing rights and powers in the algorithmic society. Cambridge University Press.

De Gregorio, G. y Dunn, P. (2022). The European risk-based approaches: connecting constitutional dots in the digital age. Common Market Law Review, 59(2), 473-500. http://dx.doi.org/10.2139/ssrn.4071437.

Franck, J. (2019). Private enforcement versus public enforcement. En F. Hofmann y F. Kurz (Eds.), Law of remedies. A European perspective (pp. 108-131). Intersentia.

Gallo, D. (2025). Direct effect in EU law. Oxford University Press.

Gascón Marcén, A. (2021). El Reglamento general de protección de datos como modelo de las recientes propuestas de legislación digital europea. Cuadernos de Derecho Transnacional, 13(2), 209-232. https://doi.org/10.20318/cdt.2021.6256.

Genç-Gelgeç, B. (2022). Regulating digital Platforms: will the DSA correct its predecessor’s deficiencies? CYELP, 18, 25-60. https://doi.org/10.3935/cyelp.18.2022.485.

Gómez, M. V. (2026, 26 de marzo). Bruselas acusa a Pornhub y otras tres plataformas de incumplir la ley “al permitir que los menores” consuman contenido pornográfico, El País, https://elpais.com/tecnologia/2026-03-26/bruselas-acusa-a-pornhub-y-otras-tres-plataformas-de-incumplir-la-ley-al-permitir-que-los-menores-consuman-contenido-pornografico.html.

Hendrix, J. (2025, 7 de diciembre). Unpacking the politics of the EU’s €120M fine of Musk’s X. Tech policy press, https://www.techpolicy.press/unpacking-the-politics-of-the-eus-120m-fine-of-musks-x/.

Husovec, M. (2024). Principles of the Digital Services Act. Oxford University Press.

Interface (2023, 1 de abril). Background briefing: enforcing the DSA – Online talk with Irene Roche Laguna, Interface, https://www.interface-eu.org/events/background-briefing-enforcing-the-dsa-online-talk-with-irene-roche-laguna.

Irish Data Protection Commission. (2021). Annual Report 2020. https://www.dataprotection.ie/sites/default/files/uploads/2021-02/DPC%202020%20Annual%20Report%20%28English%29.pdf

Jackson, R. y Malaret, J. (2023, 26 de octubre). As Israel and Hamas go to war, the Digital Services Act faces its major test, DFRLab, https://dfrlab.org/2023/10/26/as-israel-and-hamas-go-to-war-the-digital-services-act-faces-its-first-major-test/.

Jagtap, V. (2025, 5 de diciembre). Marco Rubio calificó la multa de la Unión Europea a la red social X como un “ataque” a Estados Unidos. Infobae, https://www.infobae.com/estados-unidos/2025/12/05/marco-rubio-califico-la-multa-de-la-union-europa-a-la-red-social-x-como-un-ataque-a-estados-unidos/.

Jans, J. H., de Lange, R., Prechal, A., y Widdershoven, R.J.G.M. (2007). Europeanisation of public law. Europa Law Publishing.

Keller, D. (2025, 5 de diciembre). The EU’s fine against X is not about speech or “censorship”. Tech policy press, https://www.techpolicy.press/the-eus-fine-against-x-is-not-about-speech-or-censorship/.

López-Tarruella Martínez, A. (2023). El futuro Reglamento de inteligencia artificial y las relaciones con terceros Estados. Revista Electrónica de Estudios Internacionales, 45, 1-29. https://doi.org/10.17103/reei.45.04.

Mast, T., Kettemann, M.C., Dreyer, S. y Schulz, W. (eds.) (2024). DSA / DMA. Kommentar. C.H. Beck.

Palao Moreno, G. (2024). Las órdenes de actuación contra contenidos ilícitos en el nuevo reglamento europeo de servicios digitales. En J. J. Castelló Pastor (Dir.), Análisis del Reglamento (UE) de servicios digitales y su interrelación con otras normas de la Unión Europea (pp. 109-134). Aranzadi.

Pamuk, H. (2025, 26 de agosto). Trump administration weighs sanctions on officials implementing EU tech law, sources say. Reuters, https://www.reuters.com/world/us/trump-administration-weighs-sanctions-officials-implementing-eu-tech-law-sources-2025-08-26/.

Raue, B. (2025). Dark Patterns on online platforms and the interplay between the Digital Services Act and the Unfair Commercial Practices Directive. Journal of European Consumer and Market Law, 14(3), 109-111.

RTVE Agencias (2025, 5 de diciembre). La Comisión Europea multa a X con 120 millones de euros por su falta de transparencia. RTVE noticias, https://www.rtve.es/noticias/20251205/comision-europea-multa-x-con-120-millones-euros-por-falta-transparencia/16846621.shtml.

Scholten, M. (2017). Mind the trend! Enforcement of EU law has been moving to “Brussels”. Journal of European Public Policy, 24(9), 1348-1366. https://doi.org/10.1080/13501763.2017.1314538.

Vergnolle, S. (2025). To break up or regulate big tech? Avenues to constrain private power in the DSA/DMA package. En H. Richter, M. Straub, y E. Tuchfeldt (Eds.), Enforcement of the DSA and the DMA – What did we learn from the GDPR? (pp. 103-110). Max Planck Institute for Innovation and Competition Research Paper.

Von der Leyen, U. (2024). La decisión de Europa. Orientaciones políticas para la próxima Comisión Europea 2024-2029, European Commission, 1-39, https://commission.europa.eu/priorities-2024-2029_es.

Wilman, F., Kaläda, S. L., y Loewenthal, P. (2024). The EU Digital Services Act. Oxford University Press.

Normas, jurisprudencia e instrumentos citados

Directiva 2014/104/UE del Parlamento Europeo y del Consejo, de 26 de noviembre de 2014, relativa a determinadas normas por las que se rigen las acciones por daños en virtud del Derecho nacional, por infracciones del Derecho de la competencia de los Estados miembros y de la Unión Europea. DO núm. L 349 de 5 de diciembre de 2014.

LG Berlin II, 13 de mayo de 2025, en el asunto núm. 41 O 140/25 eV, ap. 28, versión en línea accesible en https://openjur.de/u/2526186.html.

Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos). DO núm. L 119 de 4 de mayo de 2016.

Reglamento (UE) 2022/1925 del Parlamento Europeo y del Consejo de 14 de septiembre de 2022 sobre mercados disputables y equitativos en el sector digital y por el que se modifican las Directivas (UE) 2019/1937 y (UE) 2020/1828 (Reglamento de Mercados Digitales). DO núm. L 265 de 12 de octubre de 2022.

Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo de 19 de octubre de 2022 relativo a un mercado único de servicios digitales y por el que se modifica la Directiva 2000/31/CE (Reglamento de Servicios Digitales). DO núm. L 277 de 27 de octubre de 2022.

Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial y por el que se modifican los Reglamentos (CE) n.° 300/2008, (UE) n.° 167/2013, (UE) n.° 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial). DO núm. L 2024/1689 de 12 de julio de 2024.

STJUE de 5 de febrero de 1963, en el asunto 26/62, Van Gend en Loos (ECLI:EU:C:1963:1).

Financiación: La investigación no recibió financiación pública, comercial ni procedente de entidades con ánimo de lucro.

Conflicto de intereses: La autora declara no tener conflicto de interés en la elaboración de este artículo.

Declaración de contribuciones con base en la taxonomía CrediT: La autora declara sus contribuciones al presente artículo de investigación, utilizando la taxonomía CRediT: Conceptualización: (100%); Análisis formal: (100%); Investigación: (100%); Redacción - borrador original: (100%); Redacción - revisión y edición: (100%).

Uso de IA: La autora declara que no se utilizaron herramientas de inteligencia artificial en ninguna fase de la elaboración del manuscrito.

Notas

¹El último acceso al enlace de esta noticia, así como al resto de enlaces que se presentan a lo largo de la contribución, ha tenido lugar por última vez el 21 de julio de 2026.

²Debe tenerse en cuenta que, desde el 27 de mayo de 2025, Stripchat ha dejado de ser considerada por la Comisión como una plataforma en línea de muy gran tamaño en el sentido del Reglamento de Servicios Digitales. La razón es que su promedio mensual de destinatarios del servicio activos en la Unión descendió de los 45 millones, lo cual constituye un requisito para ser designada como plataforma en línea de muy gran tamaño según el art. 33.1 RSD. Por consiguiente, las obligaciones que el RSD prevé para las plataformas en línea de muy gran tamaño dejaron de aplicarse a Stripchat cuatro meses después de aquella fecha, es decir, el 27 de septiembre de 2025. Aun así, la plataforma deberá responder por las obligaciones del RSD por el periodo de tiempo durante el que sí fue considerada una plataforma de aquellas dimensiones, lo cual abarca desde su designación (20 de diciembre de 2023) hasta la terminación de la designación (27 de septiembre de 2025). Y por este motivo, la investigación mencionada, cuyas conclusiones preliminares datan de 26 de marzo de 2026, continúa abierta (Comisión Europea, 2026b).

³La Comisión también ha protagonizado una cantidad significativa de titulares periodísticos por haber iniciado muchos otros procedimientos de investigación, que todavía no han finalizado, contra otras grandes tecnológicas porque probablemente hayan infringido algunas disposiciones del RSD. Es el caso de los procedimientos contra plataformas como Snapchat, iniciado el 26 de marzo de 2026 (Comisión Europea, 2026c), Grok y X, iniciado el pasado 26 de enero de 2026 (Comisión Europea, 2026d), TikTok, iniciado el pasado 17 de diciembre de 2024 (Comisión Europea, 2024a), o Meta, iniciado el pasado 16 de mayo de 2024 (Comisión Europea, 2024b). Junto con ello, debe mencionarse que, en el momento en que se escriben estas líneas, la Comisión acaba de sancionar a AliExpress el 20 de julio de 2026 porque no ha evaluado con precisión el grado en el que sus sistemas de recomendación y de publicidad pueden exacerbar la promoción de productos ilegales, así como por no detectar los productos ilegales que vende ni sancionar adecuadamente a los vendedores de los mismos, entre otras cuestiones (Comisión Europea, 2026e).

⁴El constitucionalismo digital europeo consiste en introducir como uno de los principales objetivos de la normativa europea la defensa de la democracia, los valores y los derechos fundamentales de los usuarios digitales. Este concepto, que ilustra la forma en que la Unión defiende su sistema constitucional y democrático frente al poder alcanzado por las grandes plataformas, no solo se refleja en los objetivos del RSD, sino también de otras leyes digitales europeas, como el Reglamento (UE) 2022/1925 de Mercados Digitales o el Reglamento (UE) 2024/1689 de Inteligencia Artificial.

⁵Tal y como reza el art. 3.i) RSD, las plataformas en línea son un subtipo de servicios de alojamiento de datos que no solo almacenan información a petición de un destinatario —como cualquier otro servicio de alojamiento de datos—, sino que, además, se caracterizan por difundir dicha información al público.

⁶Para más información sobre el Reglamento y su contenido, nos remitimos a Bertrand (2024), Castelló Pastor (2025a), Husovec (2024), Mast, Kettemann, Dreyer, y Schulz (2024), y Wilman, Kaläda y Loewenthal (2024).

⁷Es cierto que el empleo de patrones oscuros (dark patterns) también constituye una práctica prohibida por otras normas europeas distintas al RSD, como por ejemplo la Directiva 2005/29/CE de prácticas comerciales desleales, entre muchas otras. Para saber más sobre la difícil coordinación entre la prohibición del art. 25 RSD y otras normas europeas que, igual que la Directiva, prohíben este tipo de prácticas, véase Raue (2025), así como Corberá Martínez (2025).

⁸Este puede consultarse directamente a través del siguiente enlace: https://business.x.com/en/help/ads-policies/product-policies/ads-transparency.

⁹En concreto, los investigadores a los que se debe conceder el acceso a datos del art. 40.12 RSD son aquellos que cumplan las condiciones del art. 40.8, apartados b a e) RSD. Ello implica que deben ser independientes y no contar con intereses comerciales, deben revelar cómo se financia su investigación, deben cumplir con los requisitos de seguridad y confidencialidad de datos personales y explicitar las medidas adoptadas a tal fin, y deben demostrar que el acceso a los datos y los plazos de acceso solicitados son necesarios y proporcionados para los fines de su investigación.

¹⁰Debe admitirse que, en dicha ocasión, la sentencia mencionada se limitó a revocar las medidas cautelares y no se pronunció sobre la cuestión de fondo, de modo que no llegó a dictaminar si, realmente, la denegación del acceso a los datos había sido ilegítima. Aun así, el hecho de que esta demanda exista ilustra perfectamente que X no está facilitando el acceso a sus datos.

¹¹Para más detalle sobre la mitigación de los riesgos sistémicos, véase Castelló Pastor (2025b).

¹²La distinción entre los dos tipos de competencias que el RSD atribuye a la Comisión puede verse claramente reflejada en el procedimiento antes mencionado por el que la Comisión sancionó a X el pasado diciembre de 2025. En particular, y como ha habido ocasión de comprobar en la contribución, el motivo de la sanción ha sido el incumplimiento de las obligaciones de los arts. 25, 39 y 40.12 RSD por parte de X. Pues bien, mientras que la supervisión del cumplimiento de las obligaciones de los arts. 39 y 40.12 RSD tan solo podía ser llevada a cabo por la Comisión Europea (son obligaciones que se incardinan en la sección 5.ª del Capítulo III RSD), la investigación con respecto a la obligación del art. 25 RSD podría haber sido desarrollada por el Coordinador de servicios digitales competente (el irlandés), en caso de que la Comisión no hubiera iniciado un procedimiento investigador al respecto.

¹³En realidad, la Comisión solo puede imponer una multa en el sentido del art. 74 RSD si identifica un incumplimiento real por parte del prestador. Por el contrario, si el procedimiento incoado por la Comisión identifica un incumplimiento potencial, pero no real, este acabará con un compromiso por el que la Comisión pactaría con el prestador de la plataforma o motor de búsqueda en línea de muy gran tamaño de que se trate la asunción de compromisos que aseguren el cumplimiento de las obligaciones del RSD (art. 71 RSD). De hecho, esta posibilidad ya se ha materializado en decisiones por las que la Comisión ha detectado incumplimientos potenciales y ha pactado compromisos vinculantes con plataformas como AliExpress (Comisión Europea, 2025b) o TikTok (Comisión Europea, 2025c).

¹⁴A fin de tener “efecto directo” y poderse invocar directamente ante los tribunales nacionales, es necesario que las obligaciones en cuestión cumplan con los requisitos de claridad, precisión e incondicionalidad, instaurados por la STJUE de 5 de febrero de 1963, en el asunto 26/62, Van Gend en Loos (ECLI:EU:C:1963:1), ap. II.B), pp. 340-341.

¹⁵El nombramiento de la Comisión como institución de supervisión en el RSD y en otras leyes digitales europeas como el Reglamento de Mercados Digitales constituye una vía centralizadora del sistema de aplicación y ejecución de las normas de la Unión, que depende cada vez más del aparato institucional europeo en detrimento de las autoridades nacionales de supervisión. En este sentido, conviene advertir que, junto con esta vía, recientemente la Unión Europea también ha reforzado la ejecución de sus normas empleando otros cauces centralizadores, como la creación de ciertas agencias independientes y supraestatales de supervisión normativa (Scholten, 2017, pp. 1348-1366). Ambas situaciones resultan novedosas y extraordinarias en comparación con la estela tradicional del régimen de aplicación y ejecución de las normas de la Unión, que se confiaba en exclusiva a las autoridades nacionales. No obstante, la presente contribución se centra, en exclusiva, en el primero de los supuestos, toda vez que, por el momento, en el ámbito digital europeo no existen agencias administrativas europeas que tengan esta función, pues precisamente se han otorgado a la Comisión Europea.

¹⁶La expresión leyes digitales europeas se emplea mayoritariamente para hacer referencia a aquellos Reglamentos dictados por la Unión que forman parte de la regulación digital y que comparten ciertos rasgos comunes entre sí. Según la doctrina que acuñó este término, este comprendería el RGPD, el RSD, el Reglamento de Mercados Digitales, el Reglamento de Datos, el Reglamento de Gobernanza de Datos y el Reglamento de Inteligencia Artificial. Esta denominación, inicialmente empleada por Gascón Marcén (2021) y por López-Tarruella Martínez (2023), ha tenido una amplia acogida en la doctrina, destacando figuras como Palao Moreno (2024).

¹⁷Coimisiún na Meán, página web oficial: https://www.cnam.ie/general-public/online-safety/.

¹⁸A mayor abundamiento, el informe anual de 2020 emitido por la Autoridad irlandesa de protección de datos anuncia que, desde la entrada en funcionamiento del RGPD en 2018, este órgano tan solo había impuesto hasta dicha fecha diez sanciones (Irish Data Protection Commission, 2021).

¹⁹Esta fecha marcó el inicio de la aplicación del RSD a las plataformas y motores de búsqueda en línea designados como de muy gran tamaño según el art. 33 RSD. La razón es que la primera tanda de plataformas y motores de búsqueda en línea que fueron designados como de muy gran tamaño tuvo lugar el 25 de abril de 2023, y siguiendo la base del art. 92 RSD, el Reglamento empezó a aplicarse a dichas plataformas cuatro meses después, es decir, el 25 de agosto de 2023, a pesar de que la fecha de entrada en funcionamiento del RSD para el resto del Reglamento fuera, con carácter general, el 17 de febrero de 2024 (art. 93.2 RSD).

²⁰Las cifras contabilizadas, que se concretan en 16 procedimientos y 75 solicitudes de información, se refieren a los procedimientos de investigación que la Comisión Europea ha iniciado y a las solicitudes de información que esta ha emitido —antes o una vez iniciado un procedimiento de investigación— contra todas las plataformas en línea y los motores de búsqueda de muy gran tamaño que han sido designadas como tal hasta el momento actual, 21 de julio de 2026. La información a todos los procedimientos de investigación, así como a las solicitudes de información, ordenadas por plataforma o motor de búsqueda de muy gran tamaño, puede encontrarse en: https://digital-strategy.ec.europa.eu/en/policies/list-designated-vlops-and-vloses.

²¹Téngase en cuenta que se trata únicamente de un promedio aritmético y que la distribución real no es uniforme.

²²En contra de este argumento, podría argüirse que, más allá de estos 50 trabajadores, que son agentes contractuales, los miembros de la Comisión Europea suelen ser funcionarios que han superado una oposición de competencias generales y que rotan entre los distintos Departamentos de la Comisión (Comisión Europea, 2026g, y Comisión Europea, 2022b), de modo que no estarían tan especializados como los trabajadores de otros organismos de supervisión nacionales, como por ejemplo en materia de protección de datos sería la Autoridad Española de Protección de Datos. Sin embargo, lo cierto es que esta crítica no sería tan real como parece. Y es que, aunque la Comisión fomente la movilidad interna, sus funcionarios pueden elegir trabajar en un único equipo, o aunque cambien de equipo, es frecuente que se especialicen y lo hagan dentro de un sector específico, como puede ser el relativo a las normas del Derecho Digital europeo. Junto con ello, los puestos de responsabilidad de las distintas unidades en las que se divide la Comisión suelen requerir un conocimiento altamente específico en la materia pertinente. A mayor abundamiento, los requisitos de contratación de aquellos 50 trabajadores (que pasan a convertirse en agentes contractuales de la Unión) también exigen un conocimiento especializado y/o relacionado con los servicios digitales, de modo que no tendrían un tinte tan político como pudiera pensarse.

²³Es el caso de los procedimientos ya mencionados instados contra Temu (Comisión Europea, 2026a), contra X (Comisión Europea, 2025a) y contra AliExpress (Comisión Europea, 2026e)

²⁴En concreto, TikTok eliminó su aplicación TikTok Lite Rewards, por ir en contra de los imperativos del RSD (Comisión Europea, 2024c) y AliExpress se comprometió a mejorar sus sistemas para detectar y eliminar los productos ilícitos (Comisión Europea, 2025b).

²⁵En particular, este estudio pone como ejemplo el procedimiento de investigación y sanción dirigido por la Comisión Europea contra X, que, aunque inició en diciembre de 2023, no acabó hasta dos años más tarde, en diciembre de 2025. Si a este dato se le añade la opinión vertida por algunos expertos (véase la nota a pie siguiente), según la cual tan solo se inician investigaciones sobre las infracciones del RSD más “flagrantes”, parece evidente que el plazo de dos años resulta desmesurado.

²⁶La autora de esta afirmación, Daphne Keller —una de las mayores expertas en el RSD—, afirma que “It [the EU] went after X for violating much more basic, straightforward provisions of the DSA. Those violations were flagrant enough that it would be weird if the EU hadn’t issued a fine” (2º párrafo). En el mismo sentido, otros autores han argumentado que existen obligaciones como las de los arts. 34 y 35, que no se están investigando tan exhaustivamente como se podría. Es el caso de Joris van Hoboken, director del DSA Observatory de la Universidad de Ámsterdam, quien vertió estas declaraciones en una entrevista que concedió en diciembre de 2025 (Hendrix, 2025).

²⁷P. ej. Carta a TikTok, enviada a su CEO, Shou Zi Chew, el día 12 de octubre de 2023 (twitteado por Breton en su perfil de X, accesible en: https://x.com/ThierryBreton/status/1712472108222329056), o a Mark Zuckerberg, fundador y CEO de Meta, el día 11 de octubre de 2023 (de nuevo, twitteado por Breton: https://x.com/ThierryBreton/status/1712126600873931150), o a Youtube, el 13 de octubre de 2023 (https://x.com/ThierryBreton/status/1712866215591379259).

²⁸Por ejemplo, en las mencionadas cartas que Breton envió a Tiktok y a Meta, el excomisario señaló la necesidad de que las plataformas en línea respondan a las notificaciones de contenido ilícito en menos de 24 horas, plazo que el RSD no establece (de hecho, no establece ninguno). En el mismo sentido, en la última carta que envió a Musk en agosto de 2024, sugirió que una conversación entre él y Trump iba necesariamente a ocasionar riesgos sistémicos, poniendo así en riesgo la protección a la libertad de expresión (que, paradójicamente, constituye un objetivo del RSD) al sugerir que una conversación, por sí misma, genera riesgos sistémicos. De esta forma, está transformando el enfoque de riesgos sistémicos en una herramienta generalizada en contra de la libertad de expresión.