Ley de Servicios Digitales
La Ley de Servicios Digitales, también conocida como Digital Services Act o DSA, está empezando a aparecer en muchas conversaciones sobre empresas, ecommerce, publicidad online, redes sociales, protección de datos y cumplimiento digital. Y es normal que muchos gerentes, autónomos y responsables de empresa se hagan esta pregunta:
¿La Ley de Servicios Digitales afecta a mi pyme o solo a grandes plataformas como Google, Amazon, Instagram, TikTok, Booking o Facebook?
La respuesta es: depende del tipo de actividad digital que tenga tu empresa. No es lo mismo tener una web corporativa sencilla que un comercio electrónico que gestionar una plataforma donde terceros publican contenido, venden productos, dejan reseñas, crean perfiles o interactúan entre sí. Pero aunque la Ley de Servicios Digitales no afecte de la misma forma a todas las pymes, sí pone sobre la mesa una realidad importante: las empresas ya no pueden gestionar su entorno digital de manera informal.
Hoy tu empresa puede tener web, tienda online, formularios, newsletter, CRM, ERP, campañas en Google Ads, Instagram Ads o TikTok Ads, herramientas en la nube, proveedores tecnológicos, accesos compartidos, bases de datos de clientes y documentos en Drive o SharePoint. Y la pregunta relevante ya no es solo:
¿Tengo los textos legales en la web?(que en demasiadas revisiones, la respuesta es: no) La pregunta relevante empieza a ser: ¿Sé qué datos recoge mi empresa, dónde están, quién accede a ellos, qué proveedores intervienen y qué ocurre si hay una reclamación, una brecha de seguridad o un requerimiento?
Qué es la Ley de Servicios Digitales
La Ley de Servicios Digitales es el Reglamento europeo de Servicios Digitales, conocido como Digital Services Act o DSA. Su objetivo es crear un entorno digital más seguro, transparente y responsable dentro de la Unión Europea. La Comisión Europea explica que la DSA introduce normas para servicios online utilizados por ciudadanos europeos, como marketplaces, redes sociales, tiendas de aplicaciones y plataformas de viajes o alojamiento.
En España, la CNMC actúa como Coordinador de Servicios Digitales y supervisa que los prestadores de servicios digitales cumplan sus obligaciones y protejan los derechos de los usuarios, especialmente de los menores. Dicho de forma sencilla: la DSA está pensada principalmente para regular servicios digitales que actúan como intermediarios entre usuarios, contenidos, productos o servicios.
Entonces, ¿afecta a cualquier pyme con web?
No necesariamente. Una empresa que tiene una web corporativa con información sobre sus servicios no está en la misma situación que una empresa que vende online terceros publican contenido, dejan reseñas, crean perfiles o interactúan entre sí. La Comisión Europea señala como ejemplos de servicios afectados por la DSA los marketplaces, redes sociales, plataformas de intercambio de contenidos, app stores y plataformas online de viaje y alojamiento.
Por tanto, para una pyme o autónomo la pregunta correcta sería: ¿Mi web, ecommerce o plataforma permite que terceros publiquen, vendan, comenten, valoren, suban contenido o interactúen dentro de mi entorno digital?
Si la respuesta es no, probablemente la Ley de Servicios Digitales no sea la obligación principal de tu empresa. Si la respuesta es sí, conviene revisar con más detalle qué obligaciones pueden aplicar. Echa un vistazo a la siguiente tabla:
| Situación de la empresa | ¿La DSA suele aplicar directamente? | Qué debería revisar |
|---|---|---|
| Web corporativa informativa | Normalmente no de forma directa | Aviso legal, privacidad, cookies, formularios, seguridad y accesos |
| Ecommerce propio que vende productos o servicios propios | Normalmente no como plataforma intermediaria | LSSI, RGPD, cookies, condiciones de compra, proveedores, pagos y CRM |
| Ecommerce con reseñas, valoraciones o comentarios de usuarios | Puede tener mayor exposición | Gestión de reseñas, moderación, reclamaciones, trazabilidad y términos de uso |
| Marketplace donde terceros venden productos | Sí, con más probabilidad | Identificación de vendedores, productos ilícitos, reclamaciones, trazabilidad y procesos |
| Comunidad online, foro o plataforma con perfiles de usuario | Sí, con más probabilidad | Contenidos de usuarios, normas internas, notificaciones, moderación y reclamaciones |
| Empresa que hace publicidad en Google, Instagram, Facebook o TikTok | La obligación principal recae en la plataforma, pero la empresa debe revisar su operativa publicitaria | Cookies, consentimiento, segmentación, públicos personalizados, menores, datos sensibles y accesos |
Ley de Servicios Digitales y publicidad en Google, Instagram o TikTok
Aquí conviene distinguir. La DSA impone obligaciones importantes a las plataformas online, especialmente en materia de transparencia publicitaria, protección de menores y limitaciones a determinados tipos de segmentación.Por ejemplo, la Comisión Europea indica que en plataformas online se prohíbe la publicidad dirigida a menores y también la publicidad basada en perfiles cuando se utilizan categorías especiales de datos personales, como origen étnico, opiniones políticas u orientación sexual.
Para una pyme anunciante, esto no significa que tenga que cumplir las mismas obligaciones que Meta, Google o TikTok. Pero sí significa que debe revisar cómo está trabajando su publicidad digital. Algunas preguntas prácticas:
| Pregunta | Por qué importa |
|---|---|
| ¿La web tiene bien configurado el consentimiento de cookies? | Porque las campañas de analítica, remarketing y publicidad suelen depender de tecnologías de seguimiento |
| ¿Se informa correctamente antes de instalar cookies de analítica o publicidad? | Porque la AEPD exige transparencia y consentimiento en el uso de determinadas cookies |
| ¿Se usan públicos personalizados o bases de datos de clientes para campañas? | Porque hay que conocer el origen de esos datos y la base que permite utilizarlos |
| ¿Se suben listas de clientes a plataformas publicitarias? | Porque implica tratamiento de datos personales y cesión o comunicación a terceros tecnológicos |
| ¿Hay campañas dirigidas a menores? | Porque las plataformas tienen restricciones específicas en este ámbito |
| ¿Se segmenta utilizando datos sensibles? | Porque es una zona de especial riesgo normativo |
| ¿Está documentado quién gestiona las campañas y con qué permisos? | Porque una cuenta publicitaria también es un activo digital de la empresa |
| ¿La agencia o proveedor externo tiene acceso controlado a las cuentas publicitarias? | Porque el proveedor puede tener permisos sobre datos, audiencias, creatividades, facturación y configuración |
La DSA no sustituye al RGPD ni a la normativa de cookies. Más bien se suma a un entorno donde la publicidad digital exige cada vez más control, transparencia y responsabilidad.
La Ley de Servicios Digitales no es la única norma que debe preocupar a una pyme
Para la mayoría de pymes y autónomos con web, ecommerce, CRM, campañas digitales y herramientas cloud, el problema no suele estar solo en la Ley de Servicios Digitales. El problema real es que muchas empresas tienen obligaciones repartidas entre varias normas y no siempre las tienen aterrizadas en su operativa diaria.Estas son algunas de las principales.
| Norma o ámbito | Qué regula | Qué debería revisar una pyme |
|---|---|---|
| RGPD / LOPDGDD | Datos personales de clientes, empleados, proveedores o contactos | Qué datos recoge, dónde están, quién accede, cuánto tiempo se conservan y qué proveedores intervienen |
| LSSI-CE | Web, ecommerce y comunicaciones comerciales | Aviso legal, condiciones de compra, emails comerciales, newsletters y baja de comunicaciones |
| Cookies | Analítica, publicidad, remarketing y tecnologías de seguimiento | Banner, consentimiento, política de cookies, píxeles activos y herramientas instaladas |
| eIDAS | Firma electrónica, certificados e identidad digital | Certificados, firmas, accesos digitales y evidencias electrónicas |
| NIS2 / seguridad digital | Seguridad, incidentes, accesos y proveedores | Contraseñas, autenticación multifactor, copias de seguridad, bajas de usuarios, phishing e incidentes |
La Agencia Española de Protección de Datos ofrece recursos específicos para pymes y herramientas como FACILITA_RGPD, orientadas a ayudar a empresas con tratamientos de bajo riesgo a generar documentación básica de cumplimiento. También mantiene una guía oficial sobre el uso de cookies, relacionada con las obligaciones previstas en la LSSI, el RGPD y la LOPDGDD
La La LSSI-CE, por su parte, regula aspectos esenciales para empresas que tienen web, tienda online o envían comunicaciones comerciales por medios electrónicos La LSSI se aplica a servicios prestados por vía electrónica, incluyendo actividades económicas online y comercio electrónico. También regula obligaciones de información y comunicaciones comerciales. Por eso, una pyme no debería mirar cada norma por separado, sino revisar cómo afectan en conjunto a su actividad digital diaria.
Cookies, analítica y publicidad digital
Las cookies no son solo un banner que se instala una vez y se olvida. La AEPD recuerda que el uso de cookies debe respetar criterios de transparencia, información y consentimiento, especialmente cuando se utilizan para analítica, publicidad o elaboración de perfiles. Para una empresa que invierte en Google Ads, Meta Ads, TikTok Ads, campañas de remarketing o medición avanzada, esta parte es especialmente importante.
Una web puede tener un banner aparentemente correcto y, aun así, tener mal configuradas las cookies, la analítica o los píxeles publicitarios.
eIDAS: firma electrónica, identidad digital y servicios de confianza
El Reglamento eIDAS establece un marco europeo para la identificación electrónica y los servicios de confianza, con el objetivo de facilitar interacciones electrónicas seguras dentro de la Unión Europea. No todas las empresas tienen la misma exposición, pero cada vez más procesos empresariales dependen de certificados, firmas, accesos digitales, autorizaciones y validación de identidad.
NIS2 y seguridad digital: no todas las pymes están obligadas, pero todas deberían prestar atención
La Directiva NIS2 busca reforzar el nivel común de ciberseguridad en la Unión Europea, especialmente en sectores esenciales e importantes. No todas las pymes están obligadas directamente por NIS2. Pero sus principios sirven como referencia para mejorar la gestión de riesgos, incidentes, proveedores, accesos y continuidad del negocio.
En seguridad digital, muchas veces el problema no es la falta de herramientas avanzadas, sino la falta de hábitos, responsables y procedimientos básicos.
Checklist para gerentes: cómo saber si tu empresa tiene controlado su entorno digital
Este checklist no sustituye a una auditoría legal ni técnica, pero te ayudará a detectar si tu empresa tiene un entorno digital poco controlado.
| Pregunta | Sí | No | No lo sé |
|---|---|---|---|
| ¿Sabemos exactamente qué herramientas digitales usa la empresa? | ☐ | ☐ | ☐ |
| ¿Tenemos inventario de usuarios y accesos a email, CRM, ERP, web, hosting, dominios y carpetas compartidas? | ☐ | ☐ | ☐ |
| ¿Existe un protocolo para dar de alta y de baja a empleados, colaboradores o proveedores externos? | ☐ | ☐ | ☐ |
| ¿Sabemos qué proveedores tecnológicos tratan datos de clientes, empleados o contactos? | ☐ | ☐ | ☐ |
| ¿Tenemos identificados todos los formularios web y dónde llegan esos datos? | ☐ | ☐ | ☐ |
| ¿La web tiene aviso legal, política de privacidad, política de cookies y condiciones de contratación actualizadas? | ☐ | ☐ | ☐ |
| ¿El banner de cookies permite aceptar, rechazar y configurar de forma clara? | ☐ | ☐ | ☐ |
| ¿Sabemos qué cookies de analítica, publicidad o remarketing están activas? | ☐ | ☐ | ☐ |
| ¿Tenemos documentadas las bases de datos comerciales y su origen? | ☐ | ☐ | ☐ |
| ¿Se usan campañas en Google, Instagram, Facebook o TikTok con públicos personalizados? | ☐ | ☐ | ☐ |
| ¿Sabemos quién tiene acceso a las cuentas publicitarias y con qué permisos? | ☐ | ☐ | ☐ |
| ¿El ecommerce tiene condiciones de compra, devoluciones, pagos y comunicaciones claras? | ☐ | ☐ | ☐ |
| ¿La web o ecommerce permite reseñas, comentarios o contenido de usuarios? | ☐ | ☐ | ☐ |
| ¿Existe un procedimiento para gestionar reclamaciones, reseñas falsas, contenidos inapropiados o incidencias digitales? | ☐ | ☐ | ☐ |
| ¿Tenemos copias de seguridad definidas y alguien revisa que funcionan? | ☐ | ☐ | ☐ |
| ¿Hay normas internas sobre contraseñas, autenticación, dispositivos, phishing y uso de herramientas? | ☐ | ☐ | ☐ |
| ¿Sabemos qué hacer si un cliente solicita acceso, rectificación o supresión de sus datos? | ☐ | ☐ | ☐ |
| ¿La empresa puede demostrar qué medidas aplica y quién es responsable de cada área digital? | ☐ | ☐ | ☐ |
Si muchas respuestas son “no” o “no lo sé”, el problema no es solo legal sino en la forma en la que la empresa está gestionando su entorno digital.
Qué riesgos reales tiene una pyme si no controla su entorno digital
Cuando se habla de cumplimiento digital, muchas empresas piensan directamente en sanciones. Y es lógico: una multa de la AEPD, un requerimiento relacionado con cookies, una reclamación de un cliente o una revisión sobre comunicaciones comerciales puede tener un impacto importante. Pero el riesgo no empieza el día que llega una notificación. Normalmente empieza mucho antes, cuando la empresa trabaja con datos, accesos, herramientas y proveedores sin suficiente control.
Documentación legal y control operativo: dos capas distintas
Seguramente tengas contratada a una empresa para «que te lleva el tema de la protección de datos» y eso es positivo. Pero una cosa es tener documentación legal y otra es tener control operativo sobre el entorno digital de la empresa. Tu empresa puede tener textos legales preparados y, aun así, funcionar con antiguos empleados con acceso al CRM, contraseñas compartidas por WhatsApp, proveedores externos con permisos sin revisar, formularios que envían datos a correos personales o campañas publicitarias configuradas sin control de cookies.
La documentación legal es necesaria, pero no siempre baja al día a día de la empresa. Un servicio jurídico indica qué debes cumplir. El control operativo digital ayuda a que la empresa pueda cumplirlo en la práctica. La diferencia es importante.
