Reglamento Delegado (UE) 2025/2050 de la Comisión, de 1 de julio de 2025, por el que se completa el Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo mediante el establecimiento de las condiciones y los procedimientos técnicos con arreglo a los cuales los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño deben compartir datos con investigadores autorizados

El presente Reglamento establece procedimientos y condiciones técnicas para facilitar a los investigadores autorizados el acceso a los datos que obren en poder de los prestadores de plataformas en línea de muy gran tamaño y de motores de búsqueda en línea de muy gran tamaño, de conformidad con el artículo 40, apartado 4, del Reglamento (UE) 2022/2065, en particular: a) las condiciones técnicas para el desarrollo y el funcionamiento de un portal de acceso a los datos; b) los procedimientos y las condiciones técnicas para la gestión del proceso de acceso a los datos por parte de los coordinadores de servicios digitales y los proveedores de datos; c) los requisitos para la formulación de solicitudes motivadas y la evaluación de las solicitudes de modificación; d) las condiciones técnicas para el suministro de acceso a los datos por parte de los proveedores de datos.

A los efectos del presente Reglamento, serán de aplicación las definiciones que figuran en el artículo 4 del Reglamento (UE) 2016/679 y en el artículo 3 del Reglamento (UE) 2018/1725. Serán asimismo de aplicación las definiciones siguientes: 1) «solicitud de acceso a los datos»: la información y la documentación pertinente presentadas por los investigadores solicitantes al coordinador de servicios digitales de establecimiento o al coordinador de servicios digitales del Estado miembro del organismo de investigación al que esté afiliado el investigador principal para obtener la condición de «investigador autorizado» a que se refiere el artículo 40, apartado 8, párrafo primero, del Reglamento (UE) 2022/2065, para un proyecto de investigación específico que implique el acceso a los datos de un proveedor de datos; 2) «proceso de acceso a los datos»: las etapas y procedimientos que pueden dar lugar al suministro de acceso a los datos a que se refiere el artículo 40, apartado 4, del Reglamento (UE) 2022/2065; 3) «investigador solicitante»: toda persona física que solicite acceso a los datos a que se refiere el artículo 40, apartado 4, del Reglamento (UE) 2022/2065, ya sea individualmente, en grupo o como parte de una entidad; 4) «investigador principal»: el investigador solicitante que presenta la solicitud de acceso a los datos a título individual o en nombre de una entidad o un grupo de investigadores solicitantes; 5) «proveedor de datos»: un prestador de una plataforma en línea de muy gran tamaño o de un motor de búsqueda en línea de muy gran tamaño designado como tal de conformidad con el artículo 33, apartado 4, del Reglamento (UE) 2022/2065, al que podría dirigirse una solicitud motivada; 6) «solicitud motivada»: una solicitud motivada de acceso a los datos con arreglo al artículo 40, apartado 4, del Reglamento (UE) 2022/2065; 7) «solicitud de modificación»: una solicitud de modificación con arreglo al artículo 40, apartado 5, del Reglamento (UE) 2022/2065 presentada por el proveedor de datos al coordinador de servicios digitales de establecimiento tras la recepción de una solicitud motivada; 8) «entorno de tratamiento seguro»: entorno de tratamiento seguro según la definición del artículo 2, punto 20, del Reglamento (UE) 2022/868 del Parlamento Europeo y del Consejo .

1 La Comisión creará y albergará un portal de acceso a los datos del Reglamento de Servicios Digitales.

2 El portal de acceso a los datos del Reglamento de Servicios Digitales tendrá las siguientes funciones: a) apoyar y racionalizar la gestión del proceso de acceso a los datos para investigadores, proveedores de datos y coordinadores de servicios digitales; b) servir de punto digital central para la información sobre el proceso de acceso a los datos y facilitar los intercambios de información con arreglo al presente Reglamento entre los investigadores solicitantes, los investigadores autorizados, los proveedores de datos y los coordinadores de servicios digitales.

3 El portal de acceso a los datos del Reglamento de Servicios Digitales será interoperable con el sistema de intercambio de información AGORA establecido por el Reglamento de Ejecución (UE) 2024/607. Los coordinadores de servicios digitales tendrán acceso en AGORA a la información presentada a través del portal de acceso a los datos del Reglamento de Servicios Digitales.

4 Los proveedores de datos tendrán una cuenta en el portal de acceso a los datos del Reglamento de Servicios Digitales.

5 Para participar en el proceso de acceso a los datos, los investigadores solicitantes deberán tener una cuenta en el portal de acceso a los datos del Reglamento de Servicios Digitales.

1 Los coordinadores de servicios digitales serán responsables independientes del tratamiento de los datos personales que lleven a cabo para gestionar el proceso de acceso a los datos y para la publicación de la información pertinente.

2 La Comisión será la encargada del tratamiento de los datos personales tratados dentro del portal de acceso a los datos del Reglamento de Servicios Digitales.

3 Las responsabilidades de la Comisión como encargada del tratamiento de datos en el portal de acceso a los datos del Reglamento de Servicios Digitales serán las establecidas en el anexo.

1 Cuando los datos personales se registren e intercambien a través del portal de acceso a los datos del Reglamento de Servicios Digitales, el tratamiento solo tendrá lugar en la medida en que sea proporcionado y necesario a efectos de la finalidad del proceso de acceso a los datos y de la publicación de la información pertinente.

2 El tratamiento de datos personales en el portal de acceso a los datos del Reglamento de Servicios Digitales solo podrá efectuarse respecto de las siguientes categorías de interesados: a) las personas físicas que tengan una cuenta en el portal de acceso a los datos del Reglamento de Servicios Digitales; b) las personas físicas cuyos datos personales figuren en el portal de acceso a los datos del Reglamento de Servicios Digitales o en cualquier otro intercambio en virtud del presente Reglamento relativo al proceso de acceso a los datos.

3 El tratamiento de datos personales en el portal de acceso a los datos del Reglamento de Servicios Digitales solo podrá efectuarse respecto de las siguientes categorías de datos personales: a) datos de identidad, como el nombre y el identificador de usuario; b) información de contacto, como la dirección, la dirección de correo electrónico y los datos de contacto; c) los datos personales contenidos en la documentación que demuestren la afiliación a un organismo de investigación, así como cualquier otra información personal que se considere necesaria para participar en el proceso de acceso a los datos.

4 El almacenamiento de los datos a que se refiere el apartado 1 se llevará a cabo utilizando una infraestructura informática situada en el Espacio Económico Europeo.

1 Cada coordinador de servicios digitales y cada proveedor de datos establecerán un punto de contacto específico, cuya tarea consistirá en proporcionar información y apoyo sobre el proceso de acceso a los datos.

2 Los coordinadores de servicios digitales y los proveedores de datos comunicarán sus puntos de contacto a la Comisión lo antes posible. La Comisión publicará los datos de los puntos de contacto a que se refiere el apartado 1 en la interfaz pública del portal de acceso a los datos del Reglamento de Servicios Digitales.

3 Cada coordinador de servicios digitales publicará en un lugar fácilmente visible de su interfaz en línea los datos del punto de contacto establecido de conformidad con el apartado 1, junto con un enlace al portal de acceso a los datos del Reglamento de Servicios Digitales.

4 Los proveedores de datos publicarán en un lugar fácilmente visible de sus interfaces en línea la siguiente información: a) los datos del punto de contacto que hayan establecido de conformidad con el apartado 1; b) un enlace al portal de acceso a los datos del Reglamento de Servicios Digitales; c) un catálogo de datos del Reglamento de Servicios Digitales, que describa los activos de datos, al que se pueda acceder para los fines establecidos en el artículo 40, apartado 4, del Reglamento (UE) 2022/2065, así como su estructura de datos y metadatos; d) modalidades de acceso sugeridas para los datos del catálogo con arreglo a la letra c), adecuadas al nivel de sensibilidad de los diferentes activos de datos.

5 La información a que se refiere el apartado 4, letras c) y d), se actualizará periódicamente, en particular para reflejar los datos relacionados con las evaluaciones de riesgos realizadas con arreglo al artículo 34 del Reglamento (UE) 2022/2065 y las auditorías realizadas con arreglo al artículo 37 de dicho Reglamento.

1 En el plazo de 80 días hábiles a partir de la presentación de una solicitud de acceso a los datos, el coordinador de servicios digitales de establecimiento, teniendo debidamente en cuenta los requisitos previos establecidos en el artículo 8 y, en su caso, cualquier otra evaluación pertinente a estos efectos, decidirá si puede formularse una solicitud motivada y emprenderá una de las siguientes acciones: a) formulará una solicitud motivada, la presentará al proveedor de datos y notificará al investigador principal la presentación de la solicitud motivada; b) informará al investigador principal de las razones por las que no se ha podido formular la solicitud motivada.

2 Cuando, en casos debidamente justificados, el coordinador de servicios digitales de establecimiento necesite más tiempo para formular una solicitud motivada, lo notificará al investigador principal lo antes posible e indicará los motivos del retraso, así como una nueva fecha para emprender las acciones a que se refiere el apartado 1.

El coordinador de servicios digitales de establecimiento decidirá si puede formularse una solicitud motivada teniendo en cuenta los siguientes elementos: a) por cada investigador solicitante: i) una confirmación de afiliación a un organismo de investigación tal y como se define en el artículo 2, punto 1, de la Directiva (UE) 2019/790 del Parlamento Europeo y del Consejo , ii) una declaración de independencia con respecto a intereses comerciales pertinente para el proyecto específico para el que se solicitan los datos, iii) el compromiso de hacer públicos los resultados de sus investigaciones de forma gratuita; b) información sobre la financiación de apoyo al proyecto de investigación para el que se solicitan los datos; c) una descripción de los datos solicitados, incluidos el formato, el alcance y, cuando sea posible, los atributos específicos, los metadatos pertinentes y la documentación de datos, teniendo también en cuenta la información facilitada con arreglo al artículo 6, apartado 4, del presente Reglamento; d) información sobre la necesidad y proporcionalidad del acceso a los datos y la información en los plazos de la investigación para los que se solicitan los datos; e) información sobre los riesgos detectados en términos de confidencialidad, seguridad de los datos y protección de los datos personales en relación con los datos a los que se accedería, una descripción de las medidas técnicas, jurídicas y organizativas que se pondrán en marcha, incluidas, cuando sea posible, las modalidades de acceso sugeridas, para mitigar dichos riesgos al tratar los datos solicitados; f) una descripción de las actividades de investigación que se llevarán a cabo con los datos solicitados; g) un resumen de la solicitud de acceso a los datos que contenga los siguientes elementos: i) el tema de la investigación, ii) el proveedor de datos al que se solicitan los datos, iii) una descripción de los datos solicitados a que se refiere la letra c).

1 El coordinador de servicios digitales de establecimiento determinará las modalidades, incluidas las medidas técnicas, jurídicas y organizativas, que el proveedor de datos utilizará para facilitar el acceso de los investigadores autorizados a los datos.

2 Los coordinadores de servicios digitales deben poder consultar a las autoridades de control pertinentes establecidas de conformidad con el artículo 51 del Reglamento (UE) 2016/679.

3 Al determinar las modalidades de acceso, el coordinador de servicios digitales de establecimiento tendrá en cuenta la información facilitada en la solicitud de acceso a los datos, en particular la información a que se refiere el artículo 8, letra e), teniendo también en cuenta los derechos e intereses de los proveedores de datos y los destinatarios del servicio de que se trate, incluida la protección de la información confidencial, los secretos comerciales y el mantenimiento de la seguridad de su servicio y la información facilitada por los proveedores de datos de conformidad con el artículo 6, apartado 4, letra d).

4 Además de los elementos a que se refiere el apartado 3, el coordinador de servicios digitales de establecimiento tendrá en cuenta, al determinar las modalidades de acceso, los siguientes elementos: a) cuando el acceso implique el tratamiento de datos personales: i) la evaluación de los riesgos relacionados con el tratamiento de datos personales, tal como se describe en el artículo 8, letra e), incluidas, cuando proceda, las evaluaciones de impacto relativas a la protección de datos en el sentido del artículo 35 del Reglamento (UE) 2016/679, ii) las medidas técnicas y organizativas previstas presentadas de conformidad con el artículo 8, letra e); b) las medidas de seguridad de la red pertinentes, el cifrado, los mecanismos de control de acceso, las políticas de copia de seguridad, los mecanismos de integridad de los datos y los planes de respuesta a incidentes; c) cuando proceda, información sobre el período de almacenamiento previsto y los planes de destrucción de datos pertinentes; d) cualquier medida organizativa, como los procesos de revisión interna, las restricciones de los derechos de acceso y el intercambio de información; e) las cláusulas contractuales propuestas, como los acuerdos de confidencialidad, los acuerdos de datos y cualquier otro tipo de declaración escrita, que establezcan posibles condiciones de acceso y tratamiento entre el investigador principal y el proveedor de datos; f) la existencia de formación sobre seguridad de los datos y protección de datos personales recibida por los investigadores solicitantes; g) si son necesarios entornos de tratamiento seguros para tratar los datos.

5 Cuando el coordinador de servicios digitales de establecimiento considere que debe utilizarse un entorno de tratamiento seguro para facilitar el acceso a los datos solicitados, el coordinador de servicios digitales de establecimiento exigirá documentación que acredite que el operador de dicho entorno: a) especifica las condiciones de acceso al entorno de tratamiento seguro con el fin de minimizar el riesgo de lectura, copia, modificación o retirada no autorizadas de los datos alojados en el entorno de tratamiento seguro; b) garantiza que los investigadores autorizados solo tienen acceso a los datos cubiertos por la solicitud motivada, mediante identidades de usuario individuales y únicas y modos de acceso confidenciales; c) conserva registros identificables de acceso al entorno de tratamiento seguro durante el período de tiempo necesario para verificar y auditar todas las operaciones de tratamiento en dicho entorno; d) garantiza que la capacidad informática a disposición de los investigadores autorizados sea adecuada y suficiente para los fines del proyecto de investigación; e) controla la eficacia de las medidas enumeradas en las letras a) a d).

1 Una solicitud motivada deberá incluir como mínimo los elementos siguientes: a) la fecha en la que el proveedor de datos dará acceso a los datos solicitados y la fecha en que se pondrá fin a dicho acceso; b) las modalidades de acceso determinadas con arreglo al artículo 9; c) el resumen de la solicitud de acceso a los datos a que se refiere el artículo 8, letra g).

2 El coordinador de servicios digitales de establecimiento podrá incluir en la solicitud motivada los nombres y datos de contacto de todos los investigadores autorizados mencionados en la solicitud de acceso a los datos cuando sea necesario para permitir el acceso a los datos solicitados, de conformidad con las modalidades de acceso especificadas en la solicitud motivada.

3 En los casos en que el acceso implique una transferencia de datos personales a un tercer país u organización internacional en el sentido del capítulo V del Reglamento (UE) 2016/679, la solicitud motivada deberá incluir información sobre la necesidad de establecer o referir a un mecanismo de transferencia adecuado para garantizar el cumplimiento de lo dispuesto en dicho Reglamento.

1 Al formular una solicitud motivada, el coordinador de servicios digitales de establecimiento publicará un resumen de la solicitud motivada en la interfaz pública del portal de acceso a los datos del Reglamento de Servicios Digitales. El resumen contendrá todos los elementos siguientes: a) el resumen de la solicitud de acceso a los datos a que se refiere el artículo 8, letra g); b) las modalidades de acceso determinadas con arreglo al artículo 9.

2 El resumen a que se refiere el apartado 1 se actualizará para reflejar cualquier cambio derivado de una modificación de uno o varios elementos tras la evaluación de una solicitud de modificación o del resultado de una mediación de conformidad con el artículo 13.

1 Tras la recepción de una solicitud de modificación con arreglo al artículo 40, apartado 5, del Reglamento (UE) 2022/2065, el coordinador de servicios digitales de establecimiento informará al investigador principal de que se trate.

2 Al decidir sobre una solicitud de modificación presentada de conformidad con el artículo 40, apartado 5, letra a), del Reglamento (UE) 2022/2065, el coordinador de servicios digitales de establecimiento tendrá en cuenta lo siguiente: a) si los motivos de la supuesta falta de acceso a los datos están debidamente justificados; b) si esta falta de acceso a los datos es permanente o temporal.

3 Al decidir sobre una solicitud de modificación presentada de conformidad con el artículo 40, apartado 5, letra b), del Reglamento (UE) 2022/2065, el coordinador de servicios digitales de establecimiento tendrá en cuenta todo lo siguiente: a) si las supuestas vulnerabilidades y su importancia están debidamente justificadas; b) la probabilidad y gravedad de los daños derivados de estas supuestas vulnerabilidades significativas; c) la medida en que las modalidades de acceso establecidas en la solicitud motivada mitigan efectivamente el riesgo de que se produzca dicho perjuicio.

4 En cualquier momento de la evaluación de una solicitud de modificación, el coordinador de servicios digitales de establecimiento podrá solicitar al proveedor de datos o al investigador principal cualquier información adicional que considere necesaria para completar su evaluación.

5 Dicha solicitud de información adicional se presentará lo antes posible para que el proveedor de datos o el investigador principal disponga de tiempo suficiente para responder y, en cualquier caso, no afectará al plazo establecido en el artículo 40, apartado 6, párrafo segundo, del Reglamento (UE) 2022/2065. Cuando el proveedor de datos o el investigador principal no facilite la información solicitada, o no lo haga en el plazo especificado por el coordinador de servicios digitales de establecimiento o facilite información parcial, el coordinador de servicios digitales de establecimiento adoptará su decisión en el plazo establecido en el artículo 40, apartado 6, del Reglamento (UE) 2022/2065, sobre la base de la información puesta a su disposición en un plazo razonable.

1 Si el proveedor de datos no está de acuerdo con la decisión del coordinador de servicios digitales de establecimiento sobre la solicitud de modificación, el proveedor de datos podrá, en un plazo de cinco días hábiles a partir de la comunicación por parte del coordinador de servicios digitales de establecimiento de conformidad con el artículo 40, apartado 6, párrafo segundo, del Reglamento (UE) 2022/2065, solicitar por escrito al coordinador de servicios digitales de establecimiento que participe en una mediación.

2 El coordinador de servicios digitales de establecimiento no estará obligado a participar en el proceso de mediación.

3 La solicitud escrita a que se refiere el apartado 1 incluirá una descripción concisa de los elementos específicos de la decisión, comunicados por el coordinador de servicios digitales de establecimiento de conformidad con el artículo 40, apartado 6, párrafo segundo, del Reglamento (UE) 2022/2065, a los que se opone el proveedor de datos.

4 El coordinador de servicios digitales de establecimiento y el proveedor de datos acordarán la designación de un mediador e iniciarán la mediación en un plazo de 20 días hábiles a partir de la presentación de la solicitud de mediación con arreglo al apartado 3.

5 Antes de aceptar la designación de un mediador, el coordinador de servicios digitales de establecimiento verificará que es imparcial e independiente y posee los conocimientos especializados pertinentes en relación con el asunto descrito en la solicitud escrita a que se refiere el apartado 1.

6 El proveedor de datos correrá con todos los costes de la mediación.

7 El coordinador de servicios digitales de establecimiento informará al investigador principal de la solicitud de mediación a que se refiere el apartado 1 sin demora indebida y podrá decidir invitar al investigador principal a participar en la mediación como parte. Cuando la solicitud de acceso a los datos se haya presentado al coordinador de servicios digitales del organismo de investigación, el coordinador de servicios digitales de establecimiento podrá invitar al coordinador de servicios digitales del organismo de investigación a participar en el proceso de mediación. Las partes a quienes haya invitado el coordinador de servicios digitales a participar en el proceso de mediación no estarán obligadas a hacerlo.

8 La participación en la mediación no afectará al derecho de las partes a iniciar procedimientos judiciales en cualquier momento antes, durante o después de la mediación.

9 El coordinador de servicios digitales de establecimiento fijará un plazo para la mediación, que no excederá de 40 días hábiles a partir del día de inicio de la mediación con arreglo al apartado 4.

10 El mediador podrá poner fin a la mediación antes de tiempo en uno de los casos siguientes: a) una de las partes solicita explícitamente que se ponga fin a la mediación; b) resulta evidente por la conducta de las partes durante la mediación, que incluye la falta de buena fe, que es improbable que se alcance un acuerdo.

11 Cuando la mediación dé lugar a un acuerdo entre las partes, el coordinador de servicios digitales de establecimiento tendrá en cuenta dicho acuerdo y, en su caso, modificará la solicitud motivada e informará de la modificación al investigador principal.

12 En caso de que las partes no logren alcanzar un acuerdo, el coordinador de servicios digitales de establecimiento notificará al proveedor de datos que la decisión del coordinador de servicios digitales de establecimiento sobre la solicitud de modificación, en su última versión comunicada con arreglo al artículo 40, apartado 6, párrafo segundo, del Reglamento (UE) 2022/2065, se considerará válida y servirá de base pertinente para nuevas etapas del proceso e informará al investigador principal.

13 El coordinador de servicios digitales de establecimiento registrará en AGORA un resumen de la mediación, preparado por el mediador y firmado por todas las partes. En este resumen constará la información siguiente: a) la fecha de la solicitud escrita de mediación por parte del proveedor de datos; b) la identidad y los datos de contacto de las partes; c) las fechas de inicio y finalización de la mediación; d) el resultado de la mediación, incluido cualquier acuerdo alcanzado o el motivo de la finalización de la mediación.

1 Antes de formular una solicitud motivada o de adoptar una decisión sobre una solicitud de modificación, el coordinador de servicios digitales podrá decidir consultar a expertos.

2 Los expertos serán independientes e imparciales y poseerán conocimientos especializados pertinentes y competencias demostradas, así como la capacidad y los recursos necesarios para llevar a cabo la tarea determinada, sin incurrir en demoras indebidas.

3 Para acreditar su imparcialidad, los expertos firmarán una declaración en la que confirmen que: a) no tienen vínculos financieros o personales con el proveedor de datos o los investigadores solicitantes; b) no tienen interés en el resultado del proceso de acceso a los datos; c) no tienen conflictos de intereses.

4 El coordinador de servicios digitales codificará en AGORA cualquier consulta realizada de conformidad con el apartado 1, junto con el dictamen pericial recibido en respuesta a la consulta, sin demora indebida.

1 Los proveedores de datos notificarán al coordinador de servicios digitales de establecimiento, en un plazo de tres días hábiles: a) que se ha facilitado el acceso a los datos solicitados a los investigadores autorizados, de conformidad con la solicitud motivada; b) que se ha puesto fin al acceso de los investigadores autorizados.

2 Los proveedores de datos facilitarán a los investigadores autorizados toda la información adicional necesaria para acceder a los datos solicitados y comprenderlos, como los libros de códigos, los registros de cambios y la documentación sobre la arquitectura. En los casos en que dicha información pueda dar lugar a una vulnerabilidad significativa de los servicios del proveedor de datos, el proveedor de datos notificará dicho riesgo al coordinador de servicios digitales de establecimiento y, cuando sea posible, propondrá información alternativa.

3 Al facilitar el acceso a los datos, los proveedores de datos no impondrán a los investigadores autorizados requisitos de gestión de datos, como requisitos de archivo, almacenamiento, actualización y eliminación, o limitaciones al uso de herramientas analíticas estándar, que puedan obstaculizar la realización de la investigación pertinente, a menos que dichos requisitos o limitaciones se mencionen explícitamente en la solicitud motivada.

4 Cuando se traten datos personales, los proveedores de datos no impondrán a los investigadores autorizados ninguna condición en relación con el tratamiento de los datos personales compartidos que no se haya especificado en la solicitud motivada.

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.