REGLAMENTO (UE) 2021/784 DEL PARLAMENTO EUROPEO Y DEL CONSEJO, de 29 de abril de 2021 sobre la lucha contra la difusión de contenidos terroristas en línea (Texto pertinente a efectos del EEE)

(1)

El presente Reglamento tiene por objetivo garantizar el correcto funcionamiento del mercado único digital en una sociedad abierta y democrática, mediante la lucha contra el uso indebido de los servicios de alojamiento de datos con fines terroristas y contribuyendo a la seguridad pública en toda la Unión. El funcionamiento del mercado único digital debe mejorarse mediante el refuerzo de la seguridad jurídica para los prestadores de servicios de alojamiento de datos y la confianza de los usuarios en el entorno en línea así como el fortalecimiento de las garantías de la libertad de expresión, incluidas la libertad de recibir y comunicar información e ideas en una sociedad abierta y democrática y la libertad y el pluralismo de los medios de comunicación.

(2)

Las medidas reguladoras para luchar contra la difusión de contenidos terroristas en línea deben complementarse con las estrategias de lucha contra el terrorismo de los Estados miembros, entre las que se incluyen el refuerzo de la alfabetización mediática y el pensamiento crítico, la elaboración de discursos alternativos contrarios y otras iniciativas para reducir la incidencia de los contenidos terroristas en línea y la vulnerabilidad ante dichos contenidos, así como la inversión en trabajo social, las iniciativas de desradicalización y la colaboración con las comunidades afectadas para prevenir de forma sostenible la radicalización en la sociedad.

(3)

Hacer frente a los contenidos terroristas en línea, que forma parte de un problema más amplio de difusión de contenidos ilícitos en línea, requiere una combinación de medidas legislativas, no legislativas y voluntarias basadas en la colaboración entre autoridades y prestadores de servicios de alojamiento de datos, con pleno respeto de los derechos fundamentales.

(4)

Los prestadores de servicios de alojamiento de datos activos en línea desempeñan un papel esencial en la economía digital, consistente en conectar a las empresas y los ciudadanos y en facilitar el debate público y la distribución y recepción de la información, las opiniones y las ideas, lo que contribuye de forma importante a la innovación, el crecimiento económico y la creación de empleo en la Unión. No obstante, en ocasiones algunos terceros hacen un uso abusivo de los servicios de los prestadores de servicios de alojamiento de datos para llevar a cabo actividades ilícitas en línea. Es particularmente preocupante el uso indebido de dichos servicios por parte de grupos terroristas y sus seguidores para difundir contenidos terroristas en línea, con el fin de propagar su mensaje, de radicalizar y reclutar seguidores y de facilitar y dirigir actividades terroristas.

(5)

Aunque no se trate del único factor, la presencia de contenidos terroristas en línea ha demostrado ser un catalizador para la radicalización de individuos que puede conducir a la comisión de actos terroristas y, por tanto, tiene graves consecuencias negativas para los usuarios, los ciudadanos y la sociedad en general, así como para los prestadores de servicios en línea que alojan esos contenidos, dado que menoscaba la confianza de sus usuarios y daña sus modelos de negocio. En vista de su papel esencial y de los medios y capacidades tecnológicos asociados a los servicios que prestan, los prestadores de servicios de alojamiento de datos tienen la responsabilidad social particular de proteger sus servicios del uso indebido por parte de los terroristas y a ayudar a luchar contra la difusión de contenidos terroristas a través de sus servicios en línea, teniendo en cuenta la importancia fundamental de la libertad de expresión, incluida la libertad de recibir y comunicar información e ideas en una sociedad abierta y democrática.

(6)

La labor a escala de la Unión destinada a combatir los contenidos terroristas en línea comenzó en 2015, con un marco de cooperación voluntaria entre Estados miembros y prestadores de servicios de alojamiento de datos. Es necesario complementar dicha labor con un marco legislativo claro para seguir reduciendo la accesibilidad de los contenidos terroristas en línea y luchar adecuadamente contra un problema que evoluciona con rapidez. El marco legislativo pretende basarse en esfuerzos voluntarios, reforzados por la Recomendación (UE) 2018/334 de la Comisión (3), y responde a los llamamientos del Parlamento Europeo para reforzar las medidas de lucha contra los contenidos ilícitos y nocivos en línea conforme al marco horizontal establecido por la Directiva 2000/31/CE del Parlamento Europeo y del Consejo (4), y del Consejo Europeo para mejorar la detección y la retirada de los contenidos en línea que incitan a actos terroristas.

(7)

El presente Reglamento no debe afectar a la aplicación de la Directiva 2000/31/CE. En particular, las medidas tomadas por un prestador de servicios de alojamiento de datos en cumplimiento del presente Reglamento, incluidas cualesquiera medidas específicas, no deben suponer, por sí mismas, que ese prestador de servicios de alojamiento de datos deje de beneficiarse de la exención de responsabilidad que le concede esa Directiva. Además, el presente Reglamento no afecta a los poderes de las autoridades y los órganos jurisdiccionales nacionales de establecer la responsabilidad de los prestadores de servicios de alojamiento de datos si no se cumplen las condiciones establecidas en dicha Directiva para la exención de responsabilidad.

(8)

En caso de conflicto entre el presente Reglamento y la Directiva 2010/13/UE del Parlamento Europeo y del Consejo (5) en relación con las disposiciones que regulan los servicios de comunicación audiovisual tal como se definen en el artículo 1, apartado 1, letra a), de dicha Directiva, debe prevalecer la Directiva 2010/13/UE. Esto debe dejar invariables las obligaciones derivadas del presente Reglamento, en particular respecto a los prestadores de servicios de plataformas de distribución de vídeos.

(9)

El presente Reglamento debe establecer las normas para luchar contra el uso indebido de los servicios de alojamiento de datos para la difusión de contenidos terroristas en línea, con el fin de garantizar el correcto funcionamiento del mercado interior. Dichas normas deben respetar plenamente los derechos fundamentales protegidos en la Unión, en particular los garantizados por la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»).

(10)

El presente Reglamento tiene el propósito de contribuir a la protección de la seguridad pública estableciendo al mismo tiempo garantías adecuadas y sólidas para velar por la protección de los derechos fundamentales, incluido el derecho al respeto de la vida privada, a la protección de los datos de carácter personal; a la libertad de expresión, incluido el derecho a recibir y transmitir información; el derecho a la libertad de empresa y a la tutela judicial. Además, se prohíbe toda discriminación. Las autoridades competentes y los prestadores de servicios de alojamiento de datos deben adoptar solamente las medidas que sean necesarias, adecuadas y proporcionadas en una sociedad democrática, teniendo en cuenta la importancia particular concedida a la libertad de expresión y de información, y a la libertad y el pluralismo de los medios de comunicación, que constituyen los pilares esenciales de una sociedad democrática y pluralista y que son valores en los que se fundamenta la Unión. Las medidas que afecten a la libertad de expresión y de información deben ser muy específicas, para luchar contra la difusión de contenidos terroristas en línea respetando, al mismo tiempo, el derecho a recibir y transmitir información lícitamente, teniendo en cuenta el papel esencial de los prestadores de servicios de alojamiento de datos en el fomento del debate público y en la distribución y recepción de hechos, opiniones e ideas, de conformidad con la ley. Las medidas efectivas en línea de lucha contra los contenidos terroristas en línea y la protección de la libertad de expresión y de información no son objetivos incompatibles, sino que son objetivos complementarios que se refuerzan mutuamente.

(11)

Con el fin de aportar claridad sobre las acciones que tanto los prestadores de servicios en línea como las autoridades competentes deben emprender para luchar contra la difusión de contenidos terroristas en línea, el presente Reglamento debe establecer una definición de «contenidos terroristas» a efectos preventivos que esté en consonancia con las definiciones de delitos pertinentes de la Directiva (UE) 2017/541 del Parlamento Europeo y del Consejo (6). Dada la necesidad de luchar contra la propaganda terrorista en línea más nociva, dicha definición debe incluir el material que incite o induzca a otro a cometer delitos de terrorismo o a contribuir a su comisión, que induzca a otro a participar en las actividades de un grupo terrorista, o que haga apología de actividades terroristas, también mediante la difusión de material que describa un ataque terrorista. La definición debe incluir material que proporcione instrucciones sobre la fabricación o el uso de explosivos, armas de fuego u otras armas o sustancias nocivas o peligrosas, así como de sustancias químicas, biológicas, radiológicas y nucleares (QBRN), o sobre otros métodos específicos o técnicas, entre ellas la selección de objetivos, con el objeto de cometer o contribuir a cometer delitos de terrorismo. Dicho material incluye texto, imágenes, grabaciones de sonido y vídeos, así como transmisiones en directo de delitos de terrorismo que conllevan el riesgo de que se puedan cometer otros delitos similares. Al evaluar si el material constituye contenido terrorista en el sentido del presente Reglamento, las autoridades competentes y los prestadores de servicios de alojamiento de datos deben tener en cuenta factores como la naturaleza y la literalidad de las declaraciones, el contexto en el que se realizaron y su potencial de conllevar consecuencias nocivas con respecto a la seguridad y la integridad de las personas. El hecho de que el material haya sido producido por una persona, grupo o entidad incluidos en la lista de la Unión de personas, grupos o entidades implicados en actos terroristas y sujetos a medidas restrictivas, le sea atribuible o se haya difundido en su nombre, debe constituir un factor importante en esa evaluación.

(12)

El material difundido con fines educativos, periodísticos, artísticos o de investigación, o con fines de sensibilización contra actividades terroristas no debe considerarse contenido terrorista. Al determinar si el material proporcionado por un proveedor de contenidos constituye «contenidos terroristas» con arreglo al presente Reglamento, se debe tener en cuenta, concretamente, el derecho a la libertad de expresión y de información, incluida la libertad y el pluralismo de los medios de comunicación, y la libertad de las artes y las ciencias. Especialmente en los casos en que el proveedor de contenidos asuma una responsabilidad editorial, cualquier decisión relativa a la retirada de material difundido debe tener en cuenta las normas periodísticas, establecidas por la reglamentación de prensa o de los medios de comunicación, de conformidad con el Derecho de la Unión, incluida la Carta. Además, la expresión de puntos de vista radicales, polémicos o controvertidos en el debate público sobre cuestiones políticas sensibles no debe considerarse contenido terrorista.

(13)

Con objeto de luchar de manera eficaz contra la difusión de contenidos terroristas en línea y de asegurar al mismo tiempo el respeto de la vida privada de las personas, el presente Reglamento debe ser aplicable a los prestadores de servicios de la sociedad de la información que almacenen y difundan entre el público información y material proporcionados por un usuario del servicio a petición de este, independientemente de que el almacenamiento y la difusión al público de tal información y material sea de naturaleza meramente técnica, automática y pasiva. El concepto de «almacenamiento» se debe entender como la conservación de datos en la memoria de un servidor físico o virtual. Por lo tanto, deben quedar fuera del ámbito de aplicación del presente Reglamento los prestadores de servicios de «mera transmisión» o «almacenamiento temporal», así como de otros servicios proporcionados en otros niveles de la infraestructura de internet, que no conllevan almacenamiento, como los registros y los registradores, los proveedores de sistemas de nombres de dominio (DNS, por sus siglas en inglés «domain name systems»), los servicios de pago o los servicios de protección contra ataques de denegación de servicio distribuido (DDoS, por sus siglas en inglés «distributed denial of service»).

(14)

El concepto de «difusión entre el público» debe suponer poner la información a disposición de un número potencialmente ilimitado de personas, a saber, facilitar el acceso a la información a los usuarios en general sin exigir intervención ulterior del proveedor de contenidos, independientemente de que dichas personas accedan realmente a dicha información. En consecuencia, cuando el acceso a la información exija un registro o una admisión a un grupo de usuarios, debe considerarse que existe difusión entre el público solo cuando el registro o la admisión de los usuarios que intenten acceder a la información se produzca de modo automático sin que un ser humano decida o seleccione a quién otorgar acceso. Los servicios de comunicaciones interpersonales, tal como se definen en el artículo 2, punto 5, de la Directiva (UE) 2018/1972 del Parlamento Europeo y del Consejo (7), como el correo electrónico o los servicios de mensajería privada, deben quedar fuera del ámbito de aplicación del presente Reglamento. Se considerará que la información se almacena y difunde entre el público a los efectos del presente Reglamento tan solo cuando dichas actividades se lleven a cabo previa solicitud directa del proveedor de contenidos. Por consiguiente, los prestadores de servicios tales como de infraestructura en la nube, que se proporcionan previa solicitud de partes distintas de los proveedores de contenidos y solo benefician en modo indirecto a estos últimos, no deben entrar en el ámbito de aplicación del presente Reglamento. El presente Reglamento debe abarcar, por ejemplo, los proveedores de medios sociales, los servicios de distribución de vídeo, imágenes y audio, los servicios de intercambio de archivos y otros servicios en la nube, en la medida en que dichos servicios se emplean para poner la información almacenada a disposición del público previa solicitud directa del proveedor de contenidos. Cuando un prestador de servicios de alojamiento de datos preste varios servicios, el presente Reglamento se debe aplicar solamente a aquellos servicios que entren dentro de su ámbito de aplicación.

(15)

A menudo los contenidos terroristas se difunden entre el público a través de servicios suministrados por prestadores de servicios de alojamiento de datos establecidos en terceros países. Con objeto de proteger a los usuarios en la Unión y asegurar que se aplican los mismos requisitos a todos los prestadores de servicios de alojamiento de datos con actividad en el mercado único digital, el presente Reglamento debe aplicarse a todos los proveedores de los servicios pertinentes prestados en la Unión, independientemente de su país de establecimiento. Debe considerarse que un prestador de servicios de alojamiento de datos ofrece dichos servicios en la Unión si dicho prestador permite a las personas físicas o jurídicas que se encuentren en uno o más Estados miembros utilizar sus servicios y si tiene una conexión sustancial con dichos Estados miembros.

(16)

Debe considerarse que existe una conexión sustancial con la Unión cuando el prestador de servicios de alojamiento de datos tiene un establecimiento en la Unión, cuando existe un número significativo de usuarios de sus servicios en uno o más Estados miembros, o cuando sus actividades se orientan hacia uno o más Estados miembros. La orientación de las actividades hacia uno o más Estados miembros debe determinarse en función de todas las circunstancias pertinentes, incluidos factores como el uso de una lengua o una moneda utilizada generalmente en el Estado miembro de que se trate, o la posibilidad de encargar bienes o servicios de ese Estado miembro. Dicha orientación también puede derivarse de la disponibilidad de una aplicación para móvil en la tienda de aplicaciones nacional correspondiente, de la existencia de publicidad local o publicidad en una lengua comúnmente utilizada en el Estado miembro de que se trate, o de una gestión de las relaciones con los clientes que incluya por ejemplo la prestación de servicios a los clientes en una lengua comúnmente utilizada en tal Estado miembro. También se presumirá que existe una conexión sustancial cuando el prestador de servicios dirija sus actividades hacia uno o más Estados miembros, como establece el artículo 17, apartado 1, letra c), del Reglamento (UE) n.o 1215/2012 del Parlamento Europeo y del Consejo (8). La mera accesibilidad del sitio web de un prestador de servicios de alojamiento de datos, de una dirección de correo electrónico u otros datos de contacto en uno o más Estados miembros no debe ser, por sí sola, una condición suficiente para constituir una conexión sustancial. Además, la prestación del servicio con el mero objeto de cumplir la prohibición de discriminación establecida en el Reglamento (UE) 2018/302 del Parlamento Europeo y del Consejo (9) no debe, por esa única razón, constituir una conexión sustancial con la Unión.

(17)

Deben armonizarse el procedimiento y las obligaciones resultantes de las órdenes de retirada que exijan a los prestadores de servicios de alojamiento de datos retirar o bloquear el acceso a los contenidos terroristas, previa evaluación por las autoridades competentes. Dada la velocidad con la que se difunden los contenidos terroristas por los servicios en línea, se debe imponer a los prestadores de servicios en línea la obligación de garantizar que se retiren los contenidos terroristas a que se refiere la orden de retirada, o que se bloquee el acceso a ellos en todos los Estados miembros, en el plazo de una hora desde la recepción de la orden de retirada. Excepto en situaciones de emergencia debidamente justificadas, la autoridad competente debe proporcionar al prestador de servicios de alojamiento información sobre los procedimientos y los plazos aplicables con al menos doce horas de antelación a la emisión de la primera orden de retirada a ese prestador. Los casos de emergencia debidamente justificados se producen cuando la retirada de los contenidos o el bloqueo del acceso a los contenidos terroristas transcurrida más de una hora desde la recepción de la orden de retirada produciría un daño grave, como por ejemplo situaciones de amenaza inminente para la vida o para la integridad física de una persona o cuando dichos contenidos muestren acontecimientos en curso que produzcan daños continuados para la vida o para la integridad física de una persona. La autoridad competente debe determinar si constituyen casos de emergencia y justificar debidamente su decisión en la orden de retirada. El prestador de servicios de alojamiento de datos debe informar lo antes posible a la autoridad competente que dictó la orden en caso de que no pueda acatar la orden de retirada en el plazo de una hora desde su recepción por motivos de fuerza mayor o imposibilidad de hecho, incluidos los motivos técnicos u operativos justificados, y cumplirá la orden de retirada tan pronto como se haya resuelto la situación.

(18)

La orden de retirada debe incluir una motivación calificando el material que tiene que ser retirado o el acceso que debe ser bloqueado en tanto que contenido terrorista y proporcionar información suficiente para localizar dicho contenido, facilitando una dirección exacta URL y, cuando proceda, cualquier otra información adicional, por ejemplo una captura de pantalla del contenido en cuestión. No obstante, la motivación debe permitir al prestador de servicios de alojamiento de datos y, en última instancia, al proveedor de contenidos, ejercer de forma efectiva su derecho a la tutela judicial. Los motivos aducidos no deben implicar la divulgación de información sensible que pudiera poner en riesgo las investigaciones en curso.

(19)

Las autoridades competentes deben presentar la orden de retirada directamente al punto de contacto designado o establecido por el prestador de servicios de alojamiento de datos a los efectos del presente Reglamento por cualquier medio electrónico capaz de producir un registro escrito en unas condiciones que permitan al prestador de servicios de alojamiento de datos determinar la autenticidad de la orden, incluida la exactitud de su fecha y hora de envío y recepción, como correos electrónicos o plataformas seguros u otros canales seguros, incluidos aquellos dispuestos por el prestador de servicios de alojamiento de datos, de conformidad con el Derecho de la Unión sobre la protección de los datos de carácter personal. Tal requisito debe poder cumplirse, en particular, mediante el uso de servicios cualificados de entrega electrónica certificada, tal y como establece el Reglamento (UE) n.o 910/2014 del Parlamento Europeo y del Consejo (10). Cuando el prestador de servicios de alojamiento de datos tenga su establecimiento principal en un Estado miembro distinto de la autoridad competente que dictó la orden, o su representante legal resida o está establecido en él, se debe presentar simultáneamente a la autoridad competente de dicho Estado miembro una copia de la orden de retirada.

(20)

Debe ser posible para la autoridad competente del Estado miembro en el que el prestador de servicios de alojamiento de datos tenga su establecimiento principal o en el que su representante legal resida o esté establecido, examinar la orden de retirada dictada por las autoridades competentes de otro Estado miembro para determinar si infringe grave o manifiestamente el presente Reglamento o los derechos fundamentales garantizados en la Carta. Tanto el proveedor de contenidos como el prestador de servicios de alojamiento de datos deben tener derecho a solicitar dicho examen por parte de la autoridad competente del Estado miembro en el que el prestador de servicios de alojamiento de datos tenga su establecimiento principal o en el que resida o esté establecido su representante legal. Cuando se presente dicha solicitud, la autoridad competente debe adoptar una decisión sobre si la orden de retirada contiene o no tal infracción. Si la decisión constata tal infracción, la orden de retirada debe dejar de tener efectos jurídicos. El examen debe llevarse a cabo rápidamente para garantizar que los contenidos retirados o cuyo acceso ha sido bloqueado por error se restablezcan lo antes posible.

(21)

Los prestadores de servicios de alojamiento de datos expuestos a contenidos terroristas deben incluir en sus términos y condiciones, en caso de que las tengan, disposiciones destinadas a luchar contra el uso indebido de sus servicios para la difusión entre el público de contenidos terroristas en línea. Deben aplicarlas de manera resuelta, transparente, proporcionada y no discriminatoria.

(22)

Dadas la magnitud del problema y la rapidez necesaria para detectar y retirar eficazmente los contenidos terroristas, la adopción de medidas específicas eficaces y proporcionadas constituye un elemento esencial para luchar contra los contenidos terroristas en línea. Con el fin de reducir la accesibilidad de los contenidos terroristas en sus servicios, los prestadores de servicios de alojamiento de datos expuestos a contenidos terroristas deben tomar medidas específicas, teniendo en cuenta los riesgos y el nivel de exposición a los contenidos terroristas, así como los efectos sobre los derechos de terceros, y el interés público a la información. Los prestadores de servicios de alojamiento de datos deben determinar qué medida específica adecuada, eficaz y proporcionada debe emplearse para identificar y retirar los contenidos terroristas. Las medidas específicas pueden incluir medidas o capacidades técnicas u operativas adecuadas, como personal o medios técnicos para identificar y retirar o desactivar con prontitud el acceso a los contenidos terroristas, mecanismos para que los usuarios denuncien o señalen los supuestos contenidos terroristas, u otras medidas que el prestador de servicios de alojamiento de datos considere adecuadas y eficaces para hacer frente a la disponibilidad de contenidos terroristas en sus servicios.

(23)

Al tomar medidas específicas, los prestadores de servicios de alojamiento de datos deben garantizar que se respeta el derecho de los usuarios a la libertad de expresión y de información, así como la libertad y el pluralismo de los medios de comunicación protegidos por la Carta. Además de cumplir las exigencias que establece la ley, en particular la legislación sobre protección de los datos de carácter personal, los prestadores de servicios de alojamiento de datos deben actuar con la diligencia debida e implementar garantías, cuando proceda, incluidas la supervisión y las verificaciones por personas para evitar que cualquier decisión no intencionada o errónea dé lugar a la retirada o el bloqueo de acceso de contenidos que no sean terroristas.

(24)

El prestador de servicios de alojamiento de datos debe presentar a la autoridad competente informes sobre las medidas específicas tomadas, con el fin de permitirle establecer si las medidas son eficaces y proporcionadas y si, en caso de que se usen medios automatizados, el prestador de servicios de alojamiento de datos posee la capacidad necesaria para la supervisión y verificación por personas. En su examen de la eficacia y la proporcionalidad de las medidas, las autoridades competentes deben tener en cuenta parámetros adecuados, entre ellos el número de órdenes de retirada dirigidas al prestador de servicios de alojamiento de datos, el tamaño y capacidad económica del servicio de alojamiento de datos y los efectos de sus servicios en la difusión de contenidos terroristas, por ejemplo sobre la base del número de usuarios en la Unión, así como las garantías establecidas para hacer frente al uso indebido de sus servicios para la difusión de contenidos terroristas en línea.

(25)

En el caso de que la autoridad competente considere que las medidas específicas tomadas son insuficientes para hacer frente a los riesgos, dicha autoridad debe poder exigir la adopción de medidas específicas adicionales adecuadas, eficaces y proporcionadas. La exigencia de aplicar dichas medidas específicas adicionales no debe conllevar una exigencia general de supervisión o de iniciar búsquedas activas de hechos en el sentido del artículo 15, apartado 1, de la Directiva 2000/31/CE ni una exigencia de utilizar instrumentos automatizados. No obstante, debe ser posible para los prestadores de servicios de alojamiento de datos utilizar instrumentos automatizados si lo consideran adecuado y necesario para hacer frente con eficacia al uso indebido de sus servicios para la difusión de contenidos terroristas.

(26)

La obligación de los prestadores de servicios de alojamiento de datos de conservar los contenidos retirados y los datos conexos debe fijarse con fines específicos y limitarse al plazo necesario. Es preciso ampliar la exigencia de conservación a los datos conexos en la medida en que, de no hacerse así, cualquiera de esos datos pudiera perderse como consecuencia de la retirada de los contenidos terroristas correspondiente. Los datos conexos pueden consistir en datos tales como datos de los abonados, en particular datos correspondientes a la identidad del proveedor de contenidos, o en datos de acceso, incluidos datos sobre la fecha y hora de uso por parte del proveedor de contenidos y la conexión y desconexión del servicio, junto con la dirección IP asignada por el prestador de servicios de acceso a internet al proveedor de contenidos.

(27)

La obligación de conservar los contenidos para procedimientos de control administrativos o judiciales es necesaria y se justifica por la necesidad de garantizar la existencia de recursos eficaces para el proveedor de contenidos cuyo contenido en línea haya sido retirado o cuyo acceso haya sido bloqueado, así como para garantizar el restablecimiento de dichos contenidos, en función del resultado de dichos procedimientos. La obligación de conservar el material a efectos de investigación o enjuiciamiento es necesaria y se justifica por el valor que este material podría tener a efectos de interrumpir o evitar las actividades terroristas. Por tanto, la conservación de los contenidos terroristas retirados con fines de prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo debe ser también considerada como justificada. Los contenidos terroristas y los datos conexos deben almacenarse únicamente durante el plazo necesario que permita a las autoridades policiales comprobar su contenido y decidir si sería necesario para esos fines. Con fines de prevención, detección, investigación y enjuiciamiento de delitos terroristas, la conservación de datos exigida se debe limitar a los datos que puedan tener un vínculo con los delitos de terrorismo y que, por lo tanto, puedan ser de utilidad para el enjuiciamiento de los delitos de terrorismo o para evitar graves riesgos para la seguridad pública. Si los prestadores de servicios de alojamiento de datos retiran el material o bloquean el acceso a él, en particular a través de sus propias medidas específicas, deben informar sin demora a las autoridades competentes sobre los contenidos cuya información conlleve una amenaza inminente para la vida o a una sospecha de delito de terrorismo.

(28)

Para garantizar la proporcionalidad, el plazo de conservación debe limitarse a seis meses, con objeto de dejar a los proveedores de contenidos el tiempo suficiente para iniciar el procedimiento de control administrativo o judicial y permitir el acceso de las autoridades policiales a los datos necesarios para la investigación y el enjuiciamiento de los delitos de terrorismo. Sin embargo, a petición de la autoridad o del órgano jurisdiccional competente, se debe poder prorrogar este plazo por el tiempo que sea necesario en caso de que se inicien dichos procedimientos y no se completen en el plazo de seis meses. La duración del plazo de conservación debe ser suficiente para permitir a las autoridades policiales conservar el material necesario en relación con las investigaciones y el enjuiciamiento, garantizando el equilibrio con los derechos fundamentales.

(29)

El presente Reglamento no debe afectar a las garantías procedimentales ni a las medidas de investigación procedimentales relacionadas con el acceso a los contenidos y los datos conexos conservados a efectos de investigación y enjuiciamiento de delitos de terrorismo, tal y como se regulan en el Derecho de la Unión o en el Derecho nacional.

(30)

La transparencia de las políticas de los prestadores de servicios de alojamiento de datos en relación con los contenidos terroristas es esencial para reforzar la rendición de cuentas con respecto a sus usuarios y reforzar la confianza de los ciudadanos en el mercado único digital. Los prestadores de servicios de alojamiento de datos que hayan adoptado medidas o a los que se les haya exigido la adopción de medidas con arreglo al presente Reglamento en un año natural determinado deben publicar informes anuales de transparencia que contengan información sobre la actuación relacionada con la identificación y retirada de contenidos terroristas.

(31)

Las autoridades competentes deben publicar informes anuales de transparencia que incluyan información sobre el número de órdenes de retirada, el número de casos en que una orden no fue ejecutada y el número de decisiones relativas a medidas específicas, el número de asuntos sometidos a procedimientos de control administrativos o judiciales y el número de decisiones que impongan sanciones.

(32)

El derecho a una tutela judicial efectiva está garantizado en el artículo 19 del Tratado de la Unión Europea (TUE) y en el artículo 47 de la Carta. Toda persona física o jurídica tiene derecho a una tutela judicial efectiva por parte del órgano jurisdiccional nacional competente contra cualquier medida tomada con arreglo al presente Reglamento que pueda afectar negativamente a sus derechos. Este derecho debe incluir, en particular, la posibilidad de que los prestadores de servicios de alojamiento de datos y los proveedores de contenidos impugnen de manera efectiva las órdenes de retirada o cualquier decisión que resulte del examen de las órdenes de retirada con arreglo al presente Reglamento ante un órgano jurisdiccional del Estado miembro cuya autoridad competente haya dictado la orden de retirada o haya tomado respectivamente la decisión así como la posibilidad de que los prestadores de servicios de alojamiento de datos impugnen una decisión relativa a sanciones o medidas específicas ante un órgano jurisdiccional del Estado miembro cuya autoridad competente tomó dicha decisión.

(33)

Los procedimientos de reclamación constituyen una garantía necesaria contra la retirada o bloqueo de acceso erróneos de contenidos en línea cuando dichos contenidos están protegidos en virtud de la libertad de expresión y de información. Los prestadores de servicios de alojamiento de datos deben, en consecuencia, diseñar mecanismos de reclamación fáciles de usar y garantizar que las reclamaciones se tratan con celeridad y plena transparencia para con el proveedor de contenidos. La exigencia de que el prestador de servicios de alojamiento de datos restablezca un contenido cuando se haya retirado o cuyo acceso se haya bloqueado por error no debe afectar a la posibilidad que tiene el prestador de servicios de alojamiento de hacer cumplir sus términos y condiciones.

(34)

La tutela judicial efectiva en virtud del artículo 19 del TUE y del artículo 47 de la Carta exige que los proveedores de contenidos puedan cerciorarse de los motivos por los que los contenidos que suministran han sido retirados o tienen su acceso bloqueado. A esos efectos, el prestador de servicios de alojamiento de datos debe facilitar al proveedor de contenidos información para impugnar la retirada o bloqueo. Dependiendo de las circunstancias, los prestadores de servicios de alojamiento de datos deben poder sustituir contenidos que han sido retirados o cuyo acceso ha sido bloqueado por un mensaje que indique que los contenidos han sido retirados o cuyo acceso ha sido bloqueado de conformidad con el presente Reglamento. Si así se solicita por los proveedores de contenidos, debe facilitarse información adicional sobre los motivos de la retirada o del bloqueo así como los recursos para la retirada o bloqueo. Si las autoridades competentes deciden que, por razones de seguridad pública y en particular en el contexto de una investigación, es inadecuado o contraproducente notificar directamente al proveedor de contenidos la retirada o bloqueo, deben informar en consecuencia al prestador de servicios de alojamiento de datos.

(35)

A efectos del presente Reglamento, los Estados miembros deben designar a las autoridades competentes. Ello no debe necesariamente implicar la creación de una nueva autoridad, y deben poder encomendarse las funciones establecidas en el presente Reglamento a un organismo ya existente. El presente Reglamento debe requerir la designación de autoridades competentes para dictar órdenes de retirada, examinar órdenes de retirada, supervisar medidas específicas e imponer sanciones, mientras que debe ser posible para todo Estado miembro decidir el número de autoridad competente que debe designarse y si son administrativa, policial o judicial. Los Estados miembros deben garantizar que las autoridades competentes desempeñen sus funciones de forma objetiva y no discriminatoria y no soliciten ni acepten instrucciones de ningún otro organismo en relación con el ejercicio de las funciones con arreglo al presente Reglamento. Esto no debe impedir su supervisión de conformidad con el Derecho constitucional nacional. Los Estados miembros deben comunicar las autoridades competentes designadas con arreglo al presente Reglamento a la Comisión, que debe publicar en línea un registro en el que figuren las autoridades competentes. Dicho registro en línea debe ser fácilmente accesible, a fin de facilitar la rápida verificación de la autenticidad de las órdenes de retirada por parte de los prestadores de servicios de alojamiento de datos.

(36)

Con objeto de evitar la duplicación del trabajo y posibles interferencias con las investigaciones, y para minimizar la carga de los prestadores de servicios afectados, las autoridades competentes deben intercambiar información, coordinarse y cooperar entre sí y, cuando proceda, con Europol, antes de dictar órdenes de retirada. A la hora de decidir la emisión de una orden de retirada, la autoridad competente debe tener debidamente en cuenta toda notificación de injerencia en una investigación (prevención de conflictos). Cuando una autoridad competente sea informada por la autoridad competente de otro Estado miembro de una orden de retirada existente, no debe dictar una orden relativa al mismo asunto. Al aplicar las disposiciones del presente Reglamento, Europol puede proporcionar apoyo conforme a su mandato actual y al marco jurídico vigente.

(37)

Con objeto de garantizar una aplicación eficaz y suficientemente coherente de las medidas específicas adoptadas por los prestadores de servicios de alojamiento de datos, las autoridades competentes deben coordinarse y cooperar entre sí en relación con las conversaciones que mantengan con los prestadores de servicios de alojamiento de datos en lo que se refiere a las órdenes de retirada y la determinación, la aplicación y el examen de las medidas específicas. Dicha coordinación y cooperación también son necesarias en relación con las demás medidas de aplicación del presente Reglamento, incluidas las relativas a la adopción de normas relativas a sanciones y a su imposición. La Comisión debe facilitar esta coordinación y cooperación.

(38)

Es crucial que la autoridad competente del Estado miembro responsable de la imposición de sanciones esté plenamente informada de la emisión de órdenes de retirada y de las conversaciones posteriores entre el prestador de servicios de alojamiento de datos y las autoridades competentes de otros Estados miembros. A esos efectos, los Estados miembros deben garantizar unos canales y mecanismos de comunicación adecuados y seguros que permitan compartir la información pertinente a su debido tiempo.

(39)

Con el fin de facilitar los intercambios rápidos entre las autoridades competentes y entre estas y los prestadores de servicios de alojamiento de datos, y de impedir la duplicación del trabajo, se debe animar a los Estados miembros a utilizar los instrumentos específicos desarrollados por Europol, como la actual Aplicación de Gestión de los Requerimientos de Internet, o los que la han sucedido.

(40)

Los requerimientos por parte de los Estados miembros y de Europol han demostrado ser un medio eficaz y rápido de aumentar la concienciación de los prestadores de servicios de alojamiento de datos respecto de contenidos específicos accesibles a través de sus servicios y de capacitarlos para actuar con rapidez. Estos requerimientos, que constituyen un mecanismo para alertar a los prestadores de servicios de alojamiento de datos acerca de información que puede considerarse contenido terrorista, para que el prestador tome voluntariamente en consideración la compatibilidad de ese contenido con sus términos y condiciones, debe seguir estando disponible junto a las órdenes de retirada. La decisión final sobre la retirada o no de los contenidos por su incompatibilidad con sus términos y condiciones sigue correspondiendo al prestador de servicios de alojamiento de datos. El presente Reglamento no debe afectar al mandato de Europol establecido en el Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo (11). Por consiguiente, ninguna disposición del presente Reglamento debe interpretarse como impedimento para que los Estados miembros y Europol utilicen requerimientos como instrumento para hacer frente a los contenidos terroristas en línea.

(41)

Dadas las consecuencias particularmente graves de determinados contenidos terroristas en línea, los prestadores de servicios de alojamiento de datos deben informar con celeridad a las autoridades oportunas del Estado miembro pertinente, o a las autoridades competentes del Estado miembro en que estén establecidos o tengan un representante legal, de los contenidos terroristas que impliquen una amenaza inminente para la vida o a una sospecha de delito de terrorismo. Para garantizar la proporcionalidad, esta obligación se debe limitar a los delitos de terrorismo definidos en el artículo 3, apartado 1 de la Directiva (UE) 2017/541. Dicha obligación de informar no debe implicar para los prestadores de servicios de alojamiento de datos una obligación de búsqueda activa de indicios de tal amenaza inminente para la vida o sospecha de delito de terrorismo. Se debe entender que el Estado miembro pertinente es el Estado miembro que tenga jurisdicción para investigar y enjuiciar los delitos de terrorismo, en función de la nacionalidad del infractor o de la posible víctima del delito o de la ubicación del objetivo del acto terrorista. En caso de duda, los prestadores de servicios de alojamiento de datos deben remitir la información a Europol, que puede dar el oportuno curso al asunto con arreglo a su mandato, incluido el remitir dicha información a las autoridades nacionales correspondientes. Las autoridades competentes de los Estados miembros deben poder usar esa información para adoptar medidas de investigación disponibles con arreglo al Derecho de la Unión o del Estado miembro.

(42)

Los prestadores de servicios de alojamiento de datos deben designar o establecer puntos de contacto para facilitar el tratamiento rápido de las órdenes de retirada. El punto de contacto solo debe servir para funciones operativas. El punto de contacto debe consistir en cualquier medio específico, interno o externalizado, que permita la presentación electrónica de órdenes de retirada, así como en los medios técnicos o personales que permitan el tratamiento rápido de estas. No es necesario que el punto de contacto esté situado en la Unión. El prestador de servicios de alojamiento de datos debe ser libre de utilizar un punto de contacto ya existente a efectos del presente Reglamento, siempre que el punto de contacto pueda desempeñar las funciones establecidas en el presente Reglamento. Con vistas a garantizar que los contenidos terroristas se retiren o que el acceso a ellos se bloquee en el plazo de una hora desde la recepción de una orden de retirada, los puntos de contacto de los prestadores de servicios de alojamiento de datos expuestos a contenidos terroristas deben ser accesibles en cualquier momento. La información sobre el punto de contacto debe incluir información sobre la lengua en que se puede dirigir a él. Para facilitar la comunicación entre los prestadores de servicios de alojamiento de datos y las autoridades competentes, se anima a los prestadores de servicios de alojamiento de datos a habilitar la comunicación en una de las lenguas oficiales de las instituciones de la Unión en la que se puedan consultar sus términos y condiciones.

(43)

A falta de la exigencia general de que los prestadores de servicios de alojamiento de datos garanticen una presencia física en el territorio de la Unión, es necesario velar por la claridad en lo que respecta al Estado miembro a cuya jurisdicción pertenece el prestador de servicios de alojamiento de datos que ofrece servicios dentro de la Unión. Como norma general, el prestador de servicios de alojamiento de datos pertenece a la jurisdicción del Estado miembro en el que tenga su establecimiento principal o en el que su representante legal resida o esté establecido. Esto debe entenderse sin perjuicio de las normas de competencia establecidas a los efectos de las órdenes de retirada y las decisiones que resulten del examen de las órdenes de retirada con arreglo al presente Reglamento. En lo que respecta a los prestadores de servicios de alojamiento de datos que no tengan establecimientos en la Unión y no hayan designado un representante legal, cualquier Estado miembro debe, no obstante, tener jurisdicción sobre ellos y en consecuencia, poder imponer sanciones, siempre que se respete el principio de ne bis in idem.

(44)

Los prestadores de servicios de alojamiento de datos que no estén establecidos en la Unión deben designar un representante legal por escrito para garantizar la aplicación y el cumplimiento de las obligaciones establecidas en el presente Reglamento. Debe ser posible para ellos recurrir a un representante legal ya designado a otros efectos, siempre que este pueda desempeñar las funciones previstas en el presente Reglamento. El representante legal debe tener la capacidad de actuar en representación del prestador de servicios de alojamiento de datos.

(45)

Las sanciones son necesarias para garantizar el cumplimiento efectivo del presente Reglamento por los prestadores de servicios de alojamiento de datos. Los Estados miembros deben adoptar normas sobre sanciones, que pueden ser de carácter administrativo o penal, así como, cuando proceda, directrices para la imposición de multas. El incumplimiento en casos concretos puede ser sancionado, con respeto de los principios de ne bis in idem y de proporcionalidad, y con la garantía de que esas sanciones tienen en cuenta la inobservancia sistemática. Las sanciones pueden adoptar diferentes formas, entre ellas la de advertencia formal en caso de infracciones leves o la de sanción pecuniaria en relación con infracciones más graves o sistemáticas. Deben imponerse sanciones particularmente rigurosas en los casos en que el prestador de servicios de alojamiento de datos incumpla de forma sistemática o reiterada la obligación de retirada de los contenidos terroristas, o de bloqueo del acceso a ellos, en el plazo de una hora desde la recepción de una orden de retirada. Para garantizar la seguridad jurídica, el presente Reglamento debe establecer qué infracciones son sancionables y las circunstancias que son pertinentes para determinar el tipo y nivel de tales sanciones. Al determinar si se deben imponer o no sanciones económicas, deben tenerse debidamente en cuenta los recursos económicos del prestador de servicios de alojamiento de datos. Asimismo, la autoridad competente debe tener en cuenta si el prestador de servicios de alojamiento de datos es una empresa emergente o una micro empresa, pequeña o mediana empresa tal que definidas en la Recomendación 2003/361/CE de la Comisión (12). También se deben tener en cuenta otras circunstancias adicionales, por ejemplo, si la conducta del prestador de servicios de alojamiento de datos ha sido objetivamente imprudente o reprobable o si la infracción se ha cometido por negligencia o intencionadamente. Los Estados miembros deben garantizar que las sanciones impuestas por infracción del presente Reglamento no incentiven la retirada de material que no sea terrorista.

(46)

El uso de plantillas normalizadas facilita la cooperación y el intercambio de información entre las autoridades competentes y los prestadores de servicios de alojamiento de datos, y les permite comunicarse con mayor rapidez y eficacia. Es de particular importancia garantizar una actuación rápida tras la recepción de una orden de retirada. Las plantillas reducen los costes de traducción y contribuyen a un mayor nivel de calidad del proceso. Del mismo modo, las plantillas de información deben permitir un intercambio de información normalizado, lo cual reviste especial importancia cuando los prestadores de servicios de alojamiento de datos no pueden cumplir las exigencias que les imponen una orden de retirada. Los canales de envío autenticado pueden garantizar la autenticidad de la orden de retirada, incluida la precisión de la fecha y la hora de envío y de recepción de la orden.

(47)

A fin de permitir una modificación rápida, cuando sea necesario, del contenido de las plantillas que deben utilizarse a efectos del presente Reglamento, debe delegarse en la Comisión los poderes para adoptar actos con arreglo al artículo 290 del Tratado de Funcionamiento de la Unión Europea, por lo que respecta a la modificación de los anexos del presente Reglamento. Con objeto de poder tener en cuenta el desarrollo tecnológico y el del marco jurídico conexo, la Comisión debe también estar facultada para adoptar actos delegados que completen el presente Reglamento con requisitos técnicos para los medios electrónicos que deben usar las autoridades competentes a efectos de la transmisión de las órdenes de retirada. Reviste especial importancia que la Comisión lleve a cabo las consultas oportunas durante la fase preparatoria, en particular con expertos, y que esas consultas se realicen de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación (13). En particular, a fin de garantizar una participación equitativa en la preparación de los actos delegados, el Parlamento Europeo y el Consejo reciben toda la documentación al mismo tiempo que los expertos de los Estados miembros, y sus expertos tienen acceso sistemáticamente a las reuniones de los grupos de expertos de la Comisión que se ocupen de la preparación de actos delegados.

(48)

Los Estados miembros deben recabar información relativa a la aplicación del presente Reglamento. Los Estados miembros deben poder utilizar los informes de transparencia de los prestadores de servicios de alojamiento de datos y complementarlos, cuando sea necesario, con información más pormenorizada, como sus informes de transparencia propios en virtud del presente Reglamento. Debe elaborarse un programa detallado para el seguimiento de las realizaciones, los resultados y las repercusiones del presente Reglamento, con objeto de servir de base a una evaluación de la aplicación del presente Reglamento.

(49)

Fundamentándose en los hallazgos y conclusiones del informe de aplicación y en el resultado de la actividad de seguimiento, la Comisión debe llevar a cabo una evaluación del presente Reglamento en el plazo de tres años a partir de la fecha de su entrada en vigor. La evaluación debe basarse en los criterios de eficiencia, necesidad, eficacia, proporcionalidad, pertinencia, coherencia y valor añadido de la Unión. Debe evaluar el funcionamiento de las diferentes medidas operativas y técnicas previstas en el presente Reglamento, incluidas la eficacia de las medidas de refuerzo de la detección, la identificación y la retirada de contenidos terroristas en línea, la eficacia de los mecanismos de salvaguardia y las repercusiones sobre los derechos fundamentales que puedan resultar afectados, como la libertad de expresión y de información, incluida la libertad y el pluralismo de los medios de comunicación, la libertad de empresa, el derecho a la vida privada y la protección de los datos de carácter personal. La Comisión debe también evaluar la repercusión sobre los intereses de terceros que puedan resultar afectados.

(50)

Dado que el objetivo del presente Reglamento, a saber, garantizar el correcto funcionamiento del mercado único digital luchando contra la difusión de contenidos terroristas en línea, no puede ser alcanzado de manera suficiente por los Estados miembros, sino que, debido a las dimensiones y efectos de la acción, puede lograrse mejor a escala de la Unión, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad establecido en el artículo 5 del TUE. De conformidad con el principio de proporcionalidad establecido en el mismo artículo, el presente Reglamento no excede de lo necesario para alcanzar dicho objetivo.