Claves sobre la DMA

La DMA tiene como objetivo mejorar el ecosistema digital de la Unión Europea propiciando un entorno competitivo, justo y seguro para los consumidores a la vez que para las empresas (especialmente las de menor tamaño). Uno de los aspectos clave de esta norma es la designación de grandes plataformas en línea como “guardianes de acceso” o gatekeepers.

Los guardianes de acceso son entidades que:

• Pueden tener un impacto significativo en el mercado interno;
• Prestan un servicio básico de plataforma (por sus siglas en inglés, “CPSs”) que es una puerta de acceso importante para que los usuarios profesionales lleguen a los usuarios finales;
• Tienen una posición afianzada y duradera o es previsible que alcancen dicha posición en un futuro próximo.

Informes de cumplimiento

Las reacciones por parte de estos gatekeepers no se han hecho esperar, ya que han tenido que adaptar sus prácticas en los últimos meses para cumplir con los nuevos requisitos establecidos por la DMA – lo que incluye la comunicación de informes de cumplimiento a la Comisión Europea.

Podemos encontrar sus respectivos informes de cumplimiento (versiones públicas) en los siguientes enlaces: Alphabet, Amazon, Apple, ByteDance, Meta y Microsoft.

Analizamos a continuación aspectos clave sobre los informes publicados por Alphabet y Apple:

Claves sobre el informe de cumplimiento de Alphabet:

Servicios afectados: Google Android, Google Chrome, Google Play, Google Search, Google Shopping, Google Maps, YouTube y Google Ads.

Alphabet, a través del blog de Google, destaca que han estado trabajando durante meses en realizar los cambios necesarios y que algunos de ellos suponen un compromiso que tendrá un impacto directo en sus usuarios, tanto consumidores finales como profesionales.

Destacan cambios en Search, donde desaparece Google Flights y el vínculo directo entre Search y Maps. Según Alphabet, las recomendaciones a través de sus múltiples productos “no funcionarán de la misma forma”. A los usuarios de Android se les mostrarán pantallas adicionales para elegir navegadores y motores de búsqueda.

Además, según el informe, Google ha implementado un nuevo marco para la gestión del consentimiento de los usuarios, conforme al artículo 5.2 DMA, lo que deriva en nuevas opciones en relación con la combinación e intercambio de sus datos personales entre diferentes servicios de Google – esto incluye datos de productos y servicios que no son CPSs. Aquellos usuarios que no presten su consentimiento podrán utilizar una versión equivalente pero no personalizada del servicio y cada servicio actuará como una “entidad independiente” de cara al usuario.

Estos cambios también afectarán a los anunciantes que utilicen servicios de Google que continuarán sometidos a la “Política de consentimiento de usuarios de la Unión Europea de Google”.

También se han introducido nuevas formas de hacer efectivo el derecho de portabilidad. Hasta ahora esto era posible a través de “Takeout”, a esta herramienta se suma una API llamada “Data Portability” que permite transferir datos directamente a terceros autorizados, cumpliendo así con las obligaciones complementarias al RGPD que introduce el artículo 6 DMA.

Por otro lado, se han introducido cambios que afectan a desarrolladores, empresas y usuarios profesionales en lo que respecta a: (i) datos y estadísticas sobre el uso de servicios de Alphabet; (ii) el soporte para tiendas de aplicaciones (App Stores) de terceros; y (iii) el uso de sistemas de pago y facturación independientes al de Google Play.

Resulta especialmente destacable la introducción de nuevos sistemas de transparencia para anunciantes y editores. Ahora Google permite a los anunciantes o editores conocer el precio y las tasas abonadas por el anunciante o editor (transparencia unilateral), y, si el anunciante o editor lo permite, la remuneración percibida por el anunciante o editor (transparencia bilateral), incluidas las posibles deducciones y recargos.

Claves sobre el informe de cumplimiento de Apple  

Servicios afectados: iOS, App Store y Safari. iMessage e iPadOS están bajo investigación por la Comisión Europea para determinar si son CPSs.

El informe publicado por Apple incluye múltiples referencias a que los cambios que exige la DMA suponen un riesgo añadido para la privacidad y seguridad de usuarios y desarrolladores.

No obstante, en iOS 17.4. y bajo términos y condiciones alternativos, ahora es posible el uso de tiendas de aplicaciones de terceros y también la distribución e instalación de aplicaciones desde orígenes distintos a la App Store de Apple, por ejemplo, la instalación a través de sideloading.

También se han introducido nuevas formas de elegir un navegador y motor de búsqueda por defecto.

La estrategia de Apple está siendo particularmente controvertida con respecto a sus términos y condiciones para desarrolladores. Si bien es cierto que han implementado cambios a raíz de los requisitos establecidos por la DMA, ahora el uso de tiendas de aplicaciones alternativas y/o el uso de métodos de pago alternativos requiere el pago de una tasa denominada Core Technology Fee (a partir del primer millón de usuarios, €0.50 por usuario al año).

Esto quiere decir que los desarrolladores que actualmente distribuyen sus aplicaciones a través del Apple App Store continuarán pagando las mismas tasas (en la mayoría de los casos no pagan nada) salvo que quieran distribuir sus aplicaciones a través de tiendas de aplicaciones alternativas o quieran introducir métodos de pago alternativos, en cuyo caso estarán sometidos a los términos y condiciones alternativos y, por tanto, al Core Technology Fee.

Además, la gestión centralizada de transacciones y las protecciones que ofrece Apple sobre las compras en aplicación no serán aplicables al uso de medios alternativos, por lo que la experiencia del usuario final no será la misma.

Estas condiciones desincentivan la distribución de las aplicaciones con mayor número de usuarios a través de tiendas de aplicaciones alternativas, lo que a su vez supondrá una limitación para el crecimiento de estas.

Un grupo de empresas y asociaciones que incluye a Spotify y Epic Games – que tienen un largo historial con Apple – han escrito una carta a la Comisión Europea para expresar su preocupación sobre el plan de cumplimiento sobre la DMA de Apple.

Conclusiones

La DMA representa un paso significativo para regular y promover la competencia justa en el mercado digital de la Unión Europea, aunque su implementación está acompañada de desafíos y controversias.

Una de las primeras controversias ya ha sido resuelta por intermediación de la Comisión Europea. Tras la suspensión de la cuenta de desarrollador de Epic Games por parte de Apple y una rápida investigación por parte de la Comisión (basada tanto en la DMA como en el Reglamento relativo a un Mercado Único de Servicios Digitales o Digital Services Act), Apple ha restaurado el acceso.

En el corto plazo continuaremos viendo cómo los gatekeepers modifican sus términos y condiciones y políticas de privacidad, tanto para usuarios finales como para desarrolladores, lo que mejorará la transparencia, la rendición de cuentas y la gestión de los datos personales de los usuarios.

La forma en que la Comisión Europea haga cumplir la DMA en los próximos meses establecerá el rumbo de su aplicación en el largo plazo y determinará la estrategia regulatoria de los futuros gatekeepers.

Esto es solo el principio.

Rahul Uttamchandani

Abogado y Delegado de Protección de Datos

La entrada Nuevas reglas: Efectos iniciales de la Digital Markets Act (DMA) se publicó primero en Citizen8.

Para ayudarte en la vuelta a la rutina, en Citizen8 hemos preparado esta recopilación de noticias interesantes.

¿Están todas o se nos ha escapado alguna? No dudes en comentárnoslo por LinkedIn.

• Aprobación del Data Privacy Framework y publicación de entidades adheridas: https://www.dataprivacyframework.gov/s/
• Aprobación de la nueva ley de protección de datos en India: https://prsindia.org/billtrack/digital-personal-data-protection-bill-2023
• Cambios en los T&C de Zoom en el marco del entrenamiento de modelos de IA: https://blog.zoom.us/zooms-term-service-ai/
• Restricción temporal en Noruega a la publicidad comportamental en Facebook e Instagram: https://www.datatilsynet.no/en/news/aktuelle-nyheter-2023/temporary-ban-of-behavioural-advertising-on-facebook-and-instagram/
• Restricción temporal de transferencias de datos personales de Finlandia a Rusia en el marco de los servicios de transporte de Yango: https://tietosuoja.fi/en/-/finnish-dpa-bans-yango-taxi-service-transfers-of-personal-data-from-finland-to-russia-temporarily
• China se prepara para adoptar una Ley de Inteligencia Artificial. Durante la preparación de la norma, la Administración de Ciberseguridad (CAC) y otros reguladores han adoptado normas temporales para la regulación los servicios de inteligencia artificial generativa: http://www.cac.gov.cn/2023-07/13/c_1690898327029107.htm
• CapCut (propiedad de ByteDance) ha sido demandada por sus practicas en materia de privacidad. Entre otras, la demanda alega que CapCut vulnera la Illionis Biometric Information Privacy Act además de acceder y compartir cantidades masivas de datos sobre los dispositivos de los usuarios: https://www.documentcloud.org/documents/23893313-https-ecf-ilnd-uscourts-gov-doc1-067128956016
• Amazon lanza “AWS HealthScribe” una herramienta de IA que puede tratar datos protegidos por HIPAA sin vulnerar la norma: https://aws.amazon.com/es/healthscribe/ https://www.hipaajournal.com/aws-healthscribe-hipaa-eligible-ai-transcription-tool/
• Congressional Research Service publica una nota sobre IA: https://crsreports.congress.gov/product/pdf/R/R47644
• Tesla sufre una brecha de seguridad ocasionada por fuentes internas: https://www.theverge.com/2023/8/21/23839940/tesla-data-leak-inside-job-handelsblatt
• Aprobado y publicado el estatuto de la Agencia Española de Supervisión de la Inteligencia Artificial: https://www.boe.es/diario_boe/txt.php?id=BOE-A-2023-18911
• La Information Commissioner’s Office está trabajando en una guía sobre tecnologías biométricas: https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2023/08/ico-consultation-on-the-draft-biometric-data-guidance/
• La autoridad de protección de datos de Países Bajos publica un informe sobre riesgos algorítmicos: https://www.autoriteitpersoonsgegevens.nl/en/current/first-algorithmic-risks-report-netherlands-calls-for-additional-action-to-control-algorithmic-and-ai-risks
• La Agencia de Protección de Datos de California introduce borradores sobre auditorías de ciberseguridad y evaluación de riesgos: https://cppa.ca.gov/meetings/materials/20230908.html
• Circular de la Agencia Española de Protección de Datos (AEPD) sobre llamadas comerciales no deseadas: https://www.boe.es/boe/dias/2023/06/28/pdfs/BOE-A-2023-15071.pdf
• Declaración conjunta sobre técnicas de extracción de datos o “data scraping” de las autoridades de protección de datos del Reino Unido, Canadá, de Hong Kong, Suiza, Noruega, Nuevas Zelanda, Colombia, Jersey, Marruecos, Argentina y México: https://ico.org.uk/media/about-the-ico/documents/4026232/joint-statement-data-scraping-202308.pdf
• Declaración sobre la primera revisión del funcionamiento de la decisión de adecuación de Japón: https://edpb.europa.eu/system/files/2023-07/edpb_statement_202301_statement_on_japan_adequacy_review_en.pdf
• Actualización de la guía de cookies de la Agencia Española de Protección de Datos siguiendo lo dispuesto en el grupo de trabajo y en las directrices sobre patrones engañosos o “dark patterns” a nivel del Comité Europeo de Protección de Datos (EDPB): https://www.aepd.es/es/prensa-y-comunicacion/notas-de-prensa/aepd-actualiza-guia-cookies-para-adaptarla-a-nuevas-directrices-cepd
• La autoridad francesa de protección de datos emite dictamen sobre decretos de aplicación de la ley francesa que regula la existencia de controles parentales en dispositivos conectados: https://www.cnil.fr/fr/la-cnil-rend-son-avis-sur-les-decrets-relatifs-au-controle-parental#:~:text=La%20CNIL%20a%20rendu%20un,mani%C3%A8re%20%C3%A0%20prot%C3%A9ger%20leurs%20donn%C3%A9es
• Requerimiento de aclaraciones de la Comisión Federal de Comercio Estadounidense (FTC) a Entertainment Software Rating Board, SuperAwesome Ltd. y Yoti Ltd sobre su sistema de “estimación de edad facial” del que solicita que pueda ser un medio más de cumplimiento de Ley de Protección de la Privacidad en Línea de los Menores estadounidense (COPPA): https://www.ftc.gov/news-events/news/press-releases/2023/07/ftc-seeks-comment-new-parental-consent-mechanism-under-coppa
• Desestimación del Gobierno australiano de establecer normativa que obligue a implantar sistemas de control de edad en páginas de contenido pornográfico, en atención a sus posibles riesgos para la privacidad y la seguridad, disparidad de sistemas comerciales y falta de madurez: https://www.esafety.gov.au/sites/default/files/2023-08/Age-verification-background-report.pdf

Septiembre 2023

La entrada Novedades de verano (2023) se publicó primero en Citizen8.