¿Cómo afecta la Ley de Servicios Digitales (DSA) a autónomos y pymes?

La Ley de Servicios Digitales o DSA (Digital Services Act), formalmente el Reglamento (UE) 2022/2065, es la norma europea que regula desde el 17 de febrero de 2024 todos los servicios digitales que operan en la Unión Europea: redes sociales, marketplaces, motores de búsqueda, plataformas de alojamiento y cualquier negocio que use publicidad online.

La DSA no depende del gobierno español, sino que es un reglamento de la UE de aplicación directa. España solo se ocupa de la supervisión, a través de la Comisión Nacional de los Mercados y la Competencia, y de un régimen sancionador propio que aún está en tramitación.

Para autónomos y pymes hay tres consecuencias concretas: obligaciones de transparencia en publicidad y términos de servicio, un canal claro para retirar contenidos ilegales si hay comentarios o reseñas en tu web y un régimen de multas que va de los 30.000 € a un porcentaje sobre la facturación global.

¿Qué supone la Ley de Servicios Digitales (DSA)?

El objetivo de la DSA es construir un mercado único de servicios digitales más seguro y predecible en toda la Unión Europea. La norma trabaja sobre tres ejes:

• Transparencia en la publicidad y en los sistemas de recomendación.
• Responsabilidad frente a los contenidos ilegales y la desinformación.
• Protección reforzada de los usuarios, con foco especial en menores.

La DSA sustituye y moderniza una buena parte de la Directiva 2000/31/CE de comercio electrónico, que se quedó vieja antes de que existieran TikTok, Amazon Marketplace o Booking. No es una norma sobre datos personales (eso sigue siendo competencia del RGPD), sino sobre lo que circula en las plataformas y cómo se modera.

¿A quién aplica la DSA en España?

La DSA no trata igual al servidor que aloja tu web que a la red social en la que anuncias tus productos. La norma distingue cuatro tipos de prestadores, con obligaciones crecientes según el tamaño y el riesgo:

• Servicios de mera transmisión. Operadores de banda ancha, proveedores de DNS y redes troncales deben cumplir unas obligaciones mínimas: transparencia básica y cooperación con autoridades.
• Servicios de hosting. Alojamiento web, cloud, almacenamiento y email transaccional, entre otros, tienen que ofrecer un mecanismo claro de notificación de contenido ilegal y motivar las retiradas.
• Plataformas en línea. Marketplaces, redes sociales, tiendas de aplicaciones y plataformas de reseñas están obligadas a disponer de la trazabilidad de vendedores, un sistema interno de reclamaciones y un informe anual de transparencia.
• Plataformas y buscadores muy grandes (VLOPs/VLOSEs). Son aquellas que tienen más de 45 millones de usuarios mensuales en la UE: Amazon, Booking, Google Search, TikTok, X, Meta, AliExpress, Temu... La Comisión Europea las supervisa directamente y les exige auditoría anual y evaluación de riesgos sistémicos.

La mayoría de pymes y autónomos quedan en la categoría 2 o, si gestionan reseñas, foros o un marketplace propio, en la 3.

¿Qué obligaciones tienes si eres autónomo o microempresa?

Si eres autónomo o tu empresa tiene menos de 50 empleados y factura menos de 10 millones de euros al año, la DSA te exime de muchas obligaciones, pero no de las generales. Si tu actividad encaja en alguna de las categorías anteriores, debes hacer cinco cosas:

1. Designar un punto de contacto único para autoridades y usuarios. Puede ser un email o un formulario, pero tiene que estar visible en tu web.
2. Incluir en tus términos y condiciones, en lenguaje claro, las restricciones que aplicas: qué contenido prohíbes, cómo moderas y qué decisiones puede revisar el usuario.
3. Cumplir las normas de transparencia publicitaria cuando hagas anuncios digitales: identificar el anuncio como tal, indicar el anunciante y explicar los criterios de segmentación.
4. Habilitar un canal de notificación de contenido ilegal si permites contenido generado por usuarios (reseñas, comentarios, foro o valoraciones).
5. Conservar pruebas de las moderaciones que hagas durante al menos seis meses, para poder justificarlas si alguien las recurre.

Si vendes en un marketplace de terceros, como Amazon, eBay o Etsy, entre otros, la obligación de verificación cae sobre el marketplace, que te va a pedir que completes el proceso KYBC (know your business customer, conoce a tu cliente empresarial): nombre, dirección, teléfono, email, cuenta de pago e identificación fiscal. Si no se lo das, te suspende la cuenta de vendedor.

¿Cómo influye la DSA en la publicidad online y la moderación de contenidos?

De todas las obligaciones de la DSA, dos son las que afectan al día a día de la mayoría de pymes: cómo se anuncia y cómo se modera. Las dos requieren ajustes concretos en herramientas que probablemente ya usas.

¿Cómo es el régimen sancionador de la DSA?

En España, el Coordinador de Servicios Digitales es la CNMC, el órgano encargado de supervisar, investigar y sancionar el incumplimiento por parte de prestadores establecidos en territorio nacional. Las VLOPs y VLOSEs siguen siendo competencia directa de la Comisión Europea.

El régimen sancionador previsto en el Anteproyecto de Ley español de adaptación de la DSA contempla cuatro niveles:

• Infracciones leves: hasta 30.000 €.
• Infracciones graves: hasta el 1 % de la facturación anual mundial.
• Infracciones muy graves: hasta el 6 % de la facturación anual mundial.
• Multas coercitivas: hasta el 5 % de la facturación media diaria mundial por cada día de incumplimiento.

Una pyme española de 1 millón de euros de facturación anual se enfrenta, en el peor escenario, a una multa de hasta 60.000 € por infracción muy grave, aunque lo normal es una sanción leve, por falta de punto de contacto, ausencia de mecanismo de notificación o anuncios poco transparentes. Las multas más altas están pensadas para grandes operadores, no para autónomos.

¿Cuánto cuesta adaptar tu negocio a la DSA?

Para una pyme tipo, la adaptación inicial puede oscilar entre 1.000 € y 4.000 € de inversión puntual. Lo más caro es la revisión legal de términos, la redacción de la política de privacidad y el banner de cookies, que una asesoría hace por 500 € a 2.500 €.

El canal de notificación de contenidos se monta con un formulario web sencillo (gratis si lo haces internamente o unos cientos de euros si lo integras con un CRM). Súmale horas internas de formación al equipo de marketing y atención al cliente.

¿Estás cumpliendo la DSA? Checklist rápido

Diez puntos para autoauditar tu negocio. Si puedes marcar siete o más, vas bien. Si marcas menos de cinco, tienes deberes para este trimestre.

• He designado un punto de contacto único (email o formulario) visible en mi web.
• Mis términos y condiciones describen las restricciones y políticas de moderación en lenguaje claro.
• Mi política de cookies y el banner cumplen con el consentimiento granular del RGPD y la DSA.
• No segmento mis anuncios por edad menor de 18, religión, salud, orientación sexual u opiniones políticas.
• Cada anuncio que publico identifica claramente al anunciante y el motivo de la segmentación.
• Si permito comentarios, reseñas o contenido de usuarios, tengo un mecanismo de notificación visible.
• Si vendo en un marketplace, he completado el proceso KYBC.
• Conservo durante al menos seis meses las decisiones de moderación que tome.
• He revisado el contrato con mi gestor de cookies y mi proveedor de email marketing.
• Tengo identificado a mi Coordinador de Servicios Digitales (la CNMC en España) y sé cómo presentar reclamaciones.

Preguntas frecuentes

¿Cuándo se aplicará el régimen sancionador español de la DSA?

A fecha de mayo de 2026, el Anteproyecto de Ley español de adaptación de la DSA está en tramitación parlamentaria. La CNMC ya puede ejercer funciones de supervisión y cooperación con la Comisión Europea, pero las sanciones con la horquilla completa (30.000 € a 6 %) no entrarán en vigor hasta que se publique la ley en el BOE.

¿La DSA afecta a mi web corporativa si no tiene comentarios ni reseñas?

Si tu web solo presenta tu empresa, sin contenidos generados por usuarios, no eres prestador de servicios de hosting ni plataforma a efectos de la DSA. Te afectan sobre todo las normas de transparencia publicitaria si haces ads digitales. Si añades en el futuro reseñas, comentarios o cualquier funcionalidad que permita publicar a terceros, ya pasas al ámbito de aplicación más exigente.

¿La DSA sustituye al RGPD?

No, ambas normas conviven. El RGPD regula cómo recoges, tratas y conservas datos personales. La DSA regula cómo prestas servicios digitales, qué contenidos circulan y cómo se hace publicidad. Hay solapes: el consentimiento de cookies sigue siendo RGPD pero condiciona qué publicidad puedes mostrar bajo la DSA. Hay que cumplir las dos a la vez.

¿Tengo que registrarme en algún sitio para cumplir la DSA?

No hay un registro general obligatorio para autónomos y pymes. Las VLOPs y VLOSEs sí están designadas formalmente por la Comisión Europea, y los marketplaces deben publicar información sobre sus medidas de transparencia. Para el resto, la obligación es de hacer y documentar (punto de contacto, mecanismos, conservación de pruebas), no de inscribirse en un registro.

¿Qué pasa si mi proveedor de cloud o de hosting incumple la DSA?

La responsabilidad de cumplir la DSA recae sobre cada prestador en su capa. Si tu proveedor de hosting no atiende notificaciones de contenido ilegal, la sanción será para la empresa de hosting, no para ti como cliente. Distinto es si el incumplimiento provoca que tu propio sitio quede inutilizable o que tus datos se vean expuestos: ahí hablamos de responsabilidad contractual frente a tu proveedor, no de DSA.

¿Cómo afecta la DSA a tu publicidad online?

La DSA exige que cualquier negocio que use publicidad online (como Meta Ads, Google Ads, TikTok Ads, anuncios en Instagram…) cumpla tres condiciones:

• Identificar de forma visible que un contenido es publicidad y no contenido orgánico.
• Indicar quién lo paga y por qué se muestra a ese usuario concreto, con los criterios de segmentación a la vista (edad, ubicación, intereses).
• No dirigir publicidad personalizada ni a menores ni en función de categorías especiales de datos: creencias religiosas, orientación sexual, opiniones políticas y datos de salud.

Si gestionas tú las campañas, revisa la configuración de público objetivo en Meta Business Manager y Google Ads antes de cada lanzamiento. Si lo lleva una agencia, incluye una cláusula de cumplimiento DSA en el contrato.

¿Tienes que moderar comentarios y reseñas en tu web?

Si gestionas una tienda online con reseñas, un foro, un blog con comentarios o un marketplace propio, eres prestador de servicios de alojamiento a efectos de la DSA. En ese caso tus obligaciones son otras:

• Habilitar un mecanismo claro para que cualquier usuario notifique contenido ilegal.
• Retirar ese contenido en cuanto recibas la notificación
• Explicar de forma motivada al usuario afectado por qué retiras un contenido o suspendes una cuenta
• Cooperar con las autoridades cuando lo soliciten.

No es tan complicado como parece: para una pyme basta con un formulario web sencillo y un proceso interno por escrito. Lo importante es que exista y funcione.