La sentencia del Tribunal de Justicia de la Unión Europea (en adelante, “TJUE”) de 16 de junio de 2026, dictada por la Gran Sala en los asuntos acumulados C-188/24 y C-190/24, resuelve las dos cuestiones prejudiciales planteadas por el Conseil d’État, el Consejo de Estado de Francia, que conocían de los dos procedimientos acumulados.

Aunque los litigios de origen abordan dos cuestiones diferentes -el acceso de menores a pornografía y la comunicación de controles policiales mediante aplicaciones de navegación- el TJUE decidió acumular ambos por plantear, en el fondo, una misma cuestión jurídica: en qué medida un Estado miembro puede imponer obligaciones específicas a prestadores de servicios de la sociedad de información establecidos en otro Estado miembro, sin infringir el artículo 3 de la Directiva 200/31 relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico, en el mercado interior (en adelante, “Directiva sobre el comercio electrónico”).

El Conseil d’État preguntaba, en esencia, si las normativas nacionales que estaban aplicando y que se pretendían anular entraban dentro del “ámbito coordinado” del artículo 2, letra h) de la Directiva sobre comercio electrónico y si constituían “requisitos” relativos al ejercicio del acceso a la actividad de un servicio de la sociedad de información en el sentido de la Directiva. Asimismo, únicamente en el asunto C-190/24, solicita la interpretación del régimen de responsabilidad de los prestadores intermediarios (artículo 15 de la Directiva) y se pregunta, en esencia, si el artículo 14 y 15 de la Directiva sobre comercio electrónico deben interpretarse en el sentido de que el operador de un servicio electrónico de asistencia a la conducción o de navegación por geolocalización entra en el ámbito de aplicación de dichas disposiciones y si el artículo 15, se opone a una normativa nacional que permita prohibir a dicho operador la retransmisión de información relativa a determinados controles en carretera.

En primer lugar, el TJUE agrupa las tres primeras cuestiones del asunto C-188/24 y las dos primeras del asunto C-190/24 en una sola cuestión sobre si la Directiva sobre comercio electrónico se opone a que un Estado miembro imponga a los prestadores de servicios de la sociedad de la información establecidos en otros Estados miembros una obligación general y abstracta de carácter penal, destinada a impedir el acceso de menores a contenidos pornográficos (asunto C-188/24), y a que prohíba a dichos prestadores la retransmisión de información relativa a determinados controles en carretera (asunto C-190/24).

El artículo 3 de la Directiva establece que cada Estado miembro debe velar por que los servicios de la sociedad de la información prestados por un prestador de servicios establecido en su territorio cumplan las disposiciones nacionales aplicables en el Estado miembro de que se trate que entren dentro del “ámbito coordinado”. Este ámbito está definido en el artículo 2, letra h) de la Directiva, que establece que se limita a “los requisitos exigibles a los prestadores de servicios en los regímenes jurídicos de los Estados miembros aplicables a los prestadores de servicios de la sociedad de la información a los servicios de la sociedad de la información, independientemente de si son de tipo general o destinados específicamente a los mismos”.

El TJUE establece que se debe determinar si, a la luz del artículo 2, letra h) de la Directiva, el ámbito coordinado está limitado en dos aspectos: (i) a los requisitos y cuestiones regulados por las disposiciones de armonización contenidas de los capítulos II y III de la Directiva; y (ii) de forma que excluya las disposiciones generales y abstractas de derecho penal o que persigan objetivos de orden público, seguridad y protección. Esto confirmaría que la normativa objeto de los litigios en los procedimientos principales no entra dentro del mecanismo establecido en el artículo 3 de dicha Directiva.

El TJUE concluye que el ámbito coordinado no está limitado en ninguno de los dos aspectos planteados. Por un lado, señala que no se restringe a las materias armonizadas por los capítulos II y III de la Directiva, pues ni el texto del artículo 2, letra h) lo exige, ni tendría sentido que el anexo de la Directiva excluyera expresamente ciertas materias no armonizadas del mecanismo del artículo 3 si ese ámbito ya estuviera delimitado, de entrada, a lo armonizado. Por otro lado, determina que el carácter penal, general y abstracto de una norma, o su finalidad de orden público y seguridad, tampoco la excluyen automáticamente, sino que sólo quedan fuera las materias tasadas del artículo 1.5 (fiscalidad, protección de datos, cárteles, etc.), ninguna de las cuales resulta aplicable en estos casos. De hecho, el propio artículo 3.4 prevé excepciones al principio de origen precisamente por razones de orden público y seguridad, lo que confirma que estas materias sí forman parte del ámbito coordinado. Con base en ello, el TJUE concluye que las normativas francesas controvertidas entran dentro del ámbito coordinado en la medida en que impongan requisitos relativos al acceso o al ejercicio de la actividad de un servicio de la sociedad de la información.

Por otra parte, el TJUE examina si las obligaciones controvertidas constituyen un requisito en el sentido del artículo 2, letra h), inciso i) de la Directiva. Respecto de la verificación de edad concluye que este mecanismo establece las condiciones de acceso al servicio por parte de los usuarios, por lo que sí constituye tal requisito. Respecto de la prohibición de retransmisión impuesta a Coyote System, la califica de requisito relativo al contenido del servicio, ya que limita una funcionalidad existente de este. En consecuencia, el TJUE concluye que ambas normativas imponen requisitos relativos al ejercicio de la actividad que entran dentro del “ámbito coordinado” y quedan sujetas al mecanismo del artículo 3, apartados 1 y 2 de la Directiva.

A continuación, el TJUE confirma que ambas normativas restringen la libre prestación de servicios, al aplicarse también a prestadores establecidos en otros Estados miembros, lo que exige comprobar si concurren las tres condiciones acumulativas del artículo 3.4 de la Directiva para excepcionar dicho principio. Las condiciones son que la medida sea necesaria por razones de orden público, seguridad, protección de consumidores y salud pública, que se dirija contra un servicio concreto que presente un riesgo y que sea proporcionada. Sobre el segundo requisito, el TJUE considera que una norma general y abstracta, como lo es el artículo aplicado del Código Penal francés, no cumple con este requisito. Sin embargo, los actos de aplicación individualizados dirigidos contra un prestador de servicios concreto, como ocurre en el caso de Coyote System, sí lo cumplen. Sobre la proporcionalidad, el TJUE la vincula con la protección de derechos fundamentales reconocidos en la Carta Europea de Derechos Humanos y con las medidas ya previstas en la legislación sectorial aplicable, considerando que una exigencia adicional resulta proporcionada cuando el prestador no haya adoptado ya dichas medidas. Aplicando este criterio, considera proporcionada la exigencia de verificación de edad y, sin perjuicio de la comprobación del juez nacional, también la prohibición impuesta a Coyote System.

Con base en todo ello, concluye que la Directiva impide aplicar una obligación penal general y abstracta a prestadores de otros Estados miembros, pero no se opone a que, cumpliendo dichas condiciones, un Estado miembro exija a un prestador concreto implantar un sistema de verificación de edad ni a que le prohíba retransmitir información sobre controles en carretera por razones de orden público, seguridad o protección.

Por último, el TJUE aborda la tercera cuestión prejudicial, planteada únicamente en el asunto C-190/24, relativa al régimen de responsabilidad de los prestadores intermediarios. El Consejo de Estado francés había partido de la premisa de que Coyote System encajaba en la figura del prestador de alojamiento del artículo 14.1 de la Directiva y preguntaba únicamente si el artículo 15 se oponía a la prohibición de retransmisión. Sin embargo, el TJUE analiza si esa premisa es correcta y, en consecuencia, reformula la cuestión en dos fases. La primera fase trata de determinar si el operador entra realmente dentro del concepto del artículo 14.1 y después examina si el artículo 15.1 se opone a la prohibición controvertida.

En primer lugar, el TJUE recuerda que la exención del artículo 14 solo protege al prestador que actúa de forma neutral, es decir, si su conducta es meramente técnica, automática y pasiva, lo que significa que no tiene conocimiento ni control sobre los contenidos que almacena. En este sentido, precisa qué conocimiento y control son condiciones alternativas e independientes entre sí, por lo que basta con que exista control sobre la información almacenada, aunque no haya conocimiento efectivo debido a la automatización del tratamiento, para excluir al operador de dicha exención. Por tanto, el TJUE fija un criterio relevante para los servicios que funcionan a través de algoritmos: “si, más allá de la mera clasificación e indexación de la información con el fin de mejorar su accesibilidad, el algoritmo utilizado determina, en interés del operador o de su servicio, en qué condiciones, cómo y con qué orden de prioridad dicha información debe o no debe difundirse, dicho operador ejerce un control sobre dicha información” (apartado 112) y pierde la calificación de prestador de alojamiento. La consecuencia es que, en tal caso, tampoco le resulta aplicable la protección del artículo 15.1 de la Directiva ya que esta disposición solo opera respecto de los prestadores que sí entran dentro del artículo 14. No obstante, el TJUE considera que corresponde al Consejo de Estado francés, el órgano remitente, comprobar si el algoritmo de Coyote System ejerce dicho control.

En segundo lugar, si el órgano remitente llegara a la conclusión de que la función de Coyote System es neutral y está amparada por el artículo 14.1, el TJUE examina si la prohibición de retransmisión puede ampararse en el artículo 14.3 -que permite a las autoridades exigir el cese o la prevención de una infracción, incluso sin que el prestador sea responsable- y si resulta contrario al artículo 15.1. Sobre este último punto, recuerda que la prohibición de imponer una obligación general de vigilancia no afecta a las obligaciones referidas a un caso concreto y que una orden que pueda cumplirse mediante herramientas automatizadas, sin exigir al prestador una evaluación independiente de todo el contenido que gestiona, no equivale a una vigilancia general. Aplicando este criterio, el TJUE subraya que el operador puede cumplir la prohibición sin necesidad de conocer el contenido de los mensajes de sus usuarios, por lo que la información afectada está suficientemente delimitada como para ser bloqueada de forma automática.

En definitiva, el TJUE concluye que un operador que controla algorítmicamente, en su propio interés, las condiciones de difusión de la información no puede calificarse de prestador de alojamiento y, por tanto, el artículo 15 no le resulta aplicable. Asimismo, considera que, en cualquier caso, la Directiva no se oponen a que un Estado miembro prohíba, por razones de orden público, seguridad o protección, a los operadores de este tipo de servicios de la sociedad de la información, en el sentido del artículo 14.1, que retransmitan información relativa a determinados controles en carretera.