Booking.com y la responsabilidad de diseñar un mercado digital
El fraude lo comete un tercero; la arquitectura en la que ocurre pertenece a la plataforma
¿Cuándo deja una plataforma de ser un simple escenario y empieza a ser responsable del modo en que está construido ese escenario? Buena parte de la regulación de Internet durante sus primeras décadas giró alrededor de una imagen sencilla: una empresa proporcionaba el espacio y terceras personas introducían en él contenidos, productos o comportamientos de cuya licitud eran, en principio, responsables. La expansión de las grandes plataformas ha complicado esa separación. Los intermediarios ya no se limitan necesariamente a alojar información: ordenan resultados, diseñan interfaces, venden posiciones promocionadas, administran reputaciones, conservan datos, recomiendan ofertas y establecen las reglas mediante las cuales millones de usuarios deciden en quién confiar.
La Comisión Europea abrió el 21 de octubre un procedimiento formal para investigar si Booking.com cumplió determinadas obligaciones establecidas por el Reglamento de Servicios Digitales, el DSA. El procedimiento se refiere a tres ámbitos: la presencia de anuncios falsos o alojamientos no conformes, campañas de phishing vinculadas al ecosistema de reservas y la identificación de determinados resultados cuya posición habría sido mejorada mediante pago. Nada de ello permite escribir que «la Unión Europea investiga a Booking por fraude», una formulación que borraría precisamente la distinción que hace interesante el asunto. La investigación no parte de que Booking sea necesariamente el autor de una estafa, sino de una pregunta diferente: qué obligaciones tiene una gran plataforma frente a riesgos producidos por terceros dentro de un sistema que ella diseña y administra.
Del intermediario pasivo al gestor de riesgos
El DSA representa un cambio importante de perspectiva. No establece que las plataformas sean culpables de cuanto hagan sus usuarios, pero sí impone obligaciones propias que no pueden reducirse a perseguir al autor material de una conducta ilícita. En las plataformas de muy gran tamaño, el legislador europeo exige identificar riesgos sistémicos y adoptar medidas razonables, proporcionadas y efectivas para mitigarlos.
Los artículos 34 y 35 resultan centrales para comprender este modelo. Su lógica obliga a mirar más allá del contenido individual: importa si el funcionamiento general de la plataforma crea, amplifica o facilita determinados riesgos previsibles y qué medidas se han aplicado para reducirlos. El artículo 26 añade obligaciones de transparencia publicitaria, de manera que el usuario pueda reconocer clara e inequívocamente cuándo se encuentra ante publicidad y quién la financia. El artículo 27, por su parte, regula la transparencia de los principales parámetros de los sistemas de recomendación.
La consecuencia institucional es profunda. El regulador ya no pregunta únicamente quién introdujo un anuncio falso o quién envió un mensaje fraudulento. También puede preguntarse cómo estaba diseñado el sistema, qué señales conocía el operador, qué medidas de prevención había establecido, cómo reaccionaba ante las denuncias, qué mecanismos de reclamación ofrecía y hasta qué punto la presentación comercial permitía al usuario distinguir entre un resultado ordinario y uno promocionado.
Cuatro responsabilidades que no deben confundirse
El estafador continúa siendo responsable de la estafa. Un establecimiento que falsea su identidad o compromete negligentemente sus sistemas puede asumir sus propias responsabilidades. Un anunciante responde por las comunicaciones comerciales que realiza. Y la plataforma, al mismo tiempo, puede estar sometida a deberes diferentes relacionados con la organización del entorno donde todos esos actores se encuentran.
Esta distribución resulta esencial para evitar dos simplificaciones opuestas. La primera consistiría en hacer a Booking responsable automáticamente de cualquier fraude cometido por cualquier tercero. El DSA no establece semejante principio. La segunda sería considerar a la plataforma completamente ajena a todo lo que sucede dentro de su infraestructura mientras pueda señalarse a un autor material externo. Precisamente esa visión es la que la nueva regulación europea matiza.
Booking declara disponer de controles para detectar y bloquear propiedades falsas, ofrece autenticación de dos factores y reconoce en su documentación de seguridad que el compromiso mediante phishing de cuentas de establecimientos puede servir como vía de acceso a datos de huéspedes. También mantiene un centro específico dedicado al DSA con repositorios publicitarios, informes de transparencia, evaluaciones de riesgos, medidas de mitigación y auditorías independientes.
Estos elementos acreditan la existencia declarada de una arquitectura de control; no acreditan por sí solos su suficiencia. Una empresa es una fuente competente para explicar qué mecanismos afirma haber implantado, pero no puede considerarse árbitro definitivo de la eficacia de sus propias medidas. Ese es, precisamente, uno de los extremos que ahora deberá esclarecer la investigación.
La confianza también es una infraestructura
Una plataforma de reservas no vende únicamente tecnología. Administra confianza. El usuario que introduce sus datos, entrega una tarjeta de crédito o envía dinero a un establecimiento no está valorando desde cero la solvencia de cada actor con el que entra en contacto. Se apoya, en alguna medida, en la estructura que organiza la plataforma, en sus mecanismos de reputación, en la presentación de sus ofertas y en la expectativa de que determinados controles existen.
Esa confianza posee valor económico y, precisamente por ello, puede ser explotada por terceros. Un mensaje fraudulento resulta más convincente si parece proceder de una relación de reserva auténtica; una propiedad inexistente resulta más peligrosa cuando se presenta dentro de un entorno reconocido; un resultado promocionado puede influir más sobre el consumidor si no comprende adecuadamente por qué ocupa una posición preferente.
El desafío regulatorio consiste en reconocer esta realidad sin caer en una responsabilidad ilimitada. Ningún sistema puede impedir todo fraude. Exigirlo equivaldría a imponer una obligación imposible. La cuestión jurídicamente relevante será si los riesgos fueron evaluados como exige el DSA y si las medidas adoptadas fueron razonables, proporcionadas y efectivas.
La plataforma ya no puede explicarse como un tablón de anuncios
Durante mucho tiempo resultó tentador imaginar Internet como una colección de espacios neutrales sobre los que actuaban terceros. Esa descripción se vuelve insuficiente cuando la arquitectura de una plataforma decide qué se ve primero, cómo se presenta una oferta, qué señales de confianza aparecen, qué datos circulan y mediante qué procedimientos puede reaccionar una víctima.
El DSA no elimina la responsabilidad del estafador ni transforma a Booking en garante absoluto del comportamiento ajeno. Hace algo más preciso: atribuye a las grandes plataformas obligaciones institucionales derivadas de su capacidad para diseñar, observar y gestionar los sistemas de los que se benefician.
La investigación abierta por la Comisión determinará si Booking.com cumplió esas obligaciones en los ámbitos examinados. Anticipar el resultado sería convertir un procedimiento en una condena. Pero su mera existencia revela el desplazamiento conceptual que está produciéndose en la regulación digital europea: el DSA no convierte a una plataforma en culpable de todo lo que hacen sus usuarios, pero sí cuestiona la idea de que pueda considerarse completamente ajena a riesgos previsibles producidos dentro de un sistema que ella misma diseña y administra.
Bibliografía
Comisión Europea, apertura formal del procedimiento de 21 de octubre; Reglamento de Servicios Digitales, particularmente artículos 26, 27, 34 y 35; Booking.com, Centro DSA; Booking.com, documentación de Trust & Safety e información corporativa sobre controles de seguridad.
Comentarios