Lei de Serviços Digitais em Espanha: da entrada em vigor aos marcos regulatórios de 2026

A Lei de Serviços Digitais (DSA) não é uma norma isolada, mas o resultado de longas negociações na União Europeia para criar um espaço digital único e seguro. O seu objetivo principal é estabelecer um conjunto claro de normas aplicáveis em toda a UE, protegendo os direitos fundamentais dos cidadãos e facilitando a expansão das PME e das startups no mercado digital.

Antes da DSA, a regulação das plataformas era fragmentada e dependia das legislações nacionais. A nova lei introduz uma abordagem baseada no risco e no tamanho: quanto maior for a plataforma e mais próxima dos utilizadores finais, mais estritas serão as suas obrigações. Esta abordagem procura equilibrar a inovação com a proteção do consumidor e a segurança online.

A DSA entrou oficialmente em vigor a 1 de janeiro de 2024, após ter sido aprovada pelo Parlamento Europeu e pelos Estados-Membros. No entanto, a sua aplicação foi faseada. As obrigações básicas para os intermediários online começaram a aplicar-se a partir de 17 de fevereiro de 2024, afetando todas as plataformas com utilizadores na UE, exceto as micro e pequenas empresas com menos de 50 funcionários e um volume de negócios inferior a 10 milhões de euros.

Esta data de fevereiro de 2024 marcou o início da obrigação de fornecer meios para sinalizar conteúdos ilícitos, cooperar com sinalizadores fiáveis e proteger os menores. A proibição de direcionar anúncios baseados em perfis para menores e a restrição de anúncios baseados em dados sensíveis (como crenças políticas ou religiosas) tornaram-se requisitos imediatos para as plataformas.

Em 2025, a Agência Espanhola de Proteção de Dados (AEPD) publicou o seu relatório anual, que refletiu um aumento significativo na atividade regulatória. A AEPD recebeu 30.931 reclamações, um aumento de 64% em relação a 2024, e as multas atingiram os 48,1 milhões de euros. Este aumento deveu-se em grande parte à consolidação da inteligência artificial como eixo central da supervisão e ao aumento dos procedimentos por falhas de segurança, que dispararam 157%.

A AEPD publicou a primeira política de IA do setor público espanhol e preparou um guia conjunto RGPD-RIA com a Comissão Europeia. Isto indica que a supervisão da DSA não se limita à moderação de conteúdos, mas estende-se à proteção de dados pessoais e à ética no uso de algoritmos, criando uma camada adicional de conformidade para as plataformas digitais.

Em 2026, a Comissão Nacional do Mercado de Valores (CNMV) apresentou o seu Plano de Atividades, que inclui a introdução de novas ferramentas de Inteligência Artificial em tarefas de supervisão e prevenção de fraude. O plano identifica 60 iniciativas concretas em três áreas: proteção do investidor, fortalecimento dos mercados e melhoria da CNMV. Os conteúdos sobre criptomoedas e produtos sustentáveis serão revistos, e será promovida a monitorização da atividade de investimento em redes sociais.

Este marco é crucial porque liga a regulação de serviços digitais à supervisão financeira. As plataformas que oferecem serviços de investimento ou que atuam como intermediários no mercado de valores devem agora cumprir requisitos de transparência algorítmica mais estritos, especialmente no que diz respeito à comercialização de produtos complexos e à proteção do investidor retalhista.

Outro desenvolvimento chave em 2026 é a aplicação plena do Regulamento DORA (Digital Operational Resilience Act), que entrou em vigor a 17 de janeiro de 2025, mas cuja implementação completa está a consolidar-se em 2026. O DORA estabelece um enquadramento normativo uniforme para reforçar a ciberresiliência no setor financeiro, impondo obrigações claras às entidades financeiras e aos seus fornecedores terceiros de serviços de TIC.

Para os fornecedores de serviços essenciais, isto significa que devem cumprir requisitos de mitigação de riscos mais estritos. A falta de uniformidade nas regulações nacionais tem sido um problema histórico, e o DORA procura garantir que todas as entidades financeiras da UE, independentemente do seu tamanho, tenham a capacidade de prevenir, resistir e recuperar-se de incidentes cibernéticos.

O impacto da DSA e dos marcos de 2026 é tangível para as empresas. As sanções podem atingir até 6% do volume de negócios anual das plataformas que não cumpram as normas. Isto obriga as empresas a investir em sistemas de conformidade, auditorias internas e mecanismos de transparência algorítmica. Para os utilizadores, traduz-se em maior controlo sobre os seus dados, mais opções ao navegar e uma melhor proteção contra conteúdos ilícitos.

As empresas devem adaptar os seus serviços para cumprir as obrigações de transparência, especialmente no que diz respeito à moderação de conteúdos e à publicidade. A colaboração com sinalizadores fiáveis e a implementação de sistemas de IA para a deteção de fraude e conteúdos ilícitos são agora requisitos-chave. A decisão prática para as empresas é clara: o investimento em conformidade não é opcional, mas uma necessidade estratégica para operar no mercado digital europeu.