Durante la mayor parte de su vida, el RGPD se ha tratado como un objetivo fijo: un conjunto de normas publicadas en 2016, aplicadas desde 2018, y modificadas solo en los márgenes desde entonces. Eso está cambiando ahora — aunque no de forma tan limpia como esperaba originalmente la Comisión Europea. En noviembre de 2025, la Comisión publicó su paquete Digital Omnibus, que propone el conjunto de modificaciones más sustancial al RGPD desde que el reglamento entró en vigor. Tres cambios son los que más importan: una exención mucho más amplia del registro formal de actividades, un banner de cookies rediseñado con una opción de rechazo en un solo clic, y un nuevo texto que confirma que el interés legítimo puede sustentar el procesamiento con IA.
Nada de esto es ley todavía, y a fecha de agosto de 2026, las tres propuestas ya no avanzan al mismo ritmo. La exención de registro cuenta con respaldo institucional y es la parte con más probabilidades de sobrevivir intacta. El rediseño del banner de cookies y la aclaración sobre el interés legítimo para IA chocaron con un muro en el Consejo en junio de 2026 y fueron retirados del texto de trabajo que negociaban los Estados miembros — no eliminados, pero sí estancados, con su destino ahora en manos de un Parlamento que no se espera que finalice su propia posición hasta que llegue un estudio de impacto en octubre de 2026. Esto es lo que realmente está sobre la mesa, lo que está atascado, y qué hacer al respecto mientras tanto.
Por qué la Comisión actúa ahora
El Digital Omnibus no surgió en el vacío. Desde 2018, una queja persistente de las empresas — en particular de las medianas y en crecimiento — ha sido que la carga de cumplimiento del RGPD escala de forma desigual. Una empresa con 240 empleados disfruta de exenciones significativas respecto a los requisitos formales de registro de actividades; esa misma empresa con 260 empleados no las tiene, pese a ser solo marginalmente mayor. La Comisión ha descrito esto como un problema de "borde de precipicio": las empresas chocan con un muro de nuevas obligaciones justo en el momento en que intentan escalar.
Al mismo tiempo, la Comisión ha enfrentado presión desde otro frente: quejas de que los banners de consentimiento de cookies se han vuelto tan manipuladores — diseñados para que "aceptar todo" sea el camino de menor resistencia — que han dejado de funcionar como auténticos mecanismos de consentimiento. Y sobre ambas preocupaciones se superpone el auge de la IA, que ha obligado a los reguladores a aclarar cómo se aplica el interés legítimo, una de las seis bases jurídicas del RGPD para el tratamiento de datos, a una categoría de procesamiento que apenas existía cuando se redactó el reglamento.
El Digital Omnibus intenta abordar los tres frentes a la vez. En realidad son dos propuestas de reglamento: un "Digital Omnibus" general que modifica el RGPD, la Directiva ePrivacy, NIS2 y la Ley de Datos (a veces llamado "Data Omnibus" en los comentarios jurídicos), y un "Digital Omnibus sobre IA" separado, centrado en la Ley de IA de la UE. Esa distinción importa para el calendario — la mitad correspondiente a la Ley de IA ya ha superado el Consejo y el Parlamento y entrará en vigor con su publicación en el Diario Oficial, prevista para mediados de 2026. La mitad correspondiente al RGPD no lo ha hecho, y es el objeto de este artículo.
Ampliación de la exención del registro de actividades
Según las normas actuales del RGPD, el art. 30 exige a la mayoría de las organizaciones mantener registros detallados de sus actividades de tratamiento — qué datos personales recogen, por qué, cuánto tiempo los conservan, y qué medidas de seguridad tienen implementadas. El art. 30(5) prevé una exención limitada para organizaciones con menos de 250 empleados, siempre que su tratamiento no cumpla determinadas condiciones de riesgo, incluido cualquier tratamiento de categorías especiales de datos.
El Digital Omnibus ampliaría esto de forma considerable, de dos maneras. Primero, el umbral de empleados subiría de menos de 250 a menos de 750 — siempre que la organización también se mantenga por debajo de los techos financieros de 150 millones de euros de facturación anual o 129 millones de euros de balance. Un gran número de empresas medianas que hoy deben mantener la documentación completa del art. 30 pasarían, bajo el nuevo umbral, a calificar para el régimen más ligero.
Segundo, la propuesta cambia qué es lo que descalifica a una organización de la exención en primer lugar. Hoy, cualquier tratamiento de categorías especiales de datos — información de salud, datos biométricos, datos que revelen opiniones políticas o creencias religiosas — excluye automáticamente a una organización, con independencia del riesgo real. El Digital Omnibus sustituiría esa exclusión general por un estándar basado en el riesgo: la exención solo dejaría de estar disponible cuando el tratamiento "pueda entrañar un alto riesgo" para las personas — el mismo umbral que ya activa una Evaluación de Impacto relativa a la Protección de Datos (EIPD) conforme al art. 35.
Vale la pena precisar qué cambia esto y qué no. Reduce la carga documental; no reduce las obligaciones subyacentes en materia de licitud del tratamiento, derechos de los interesados o seguridad. Las organizaciones que queden dentro de la exención ampliada seguirán necesitando realizar una EIPD cuando corresponda — la evaluación de riesgo utilizada para determinar la elegibilidad de la exención es, en sí misma, un ejercicio próximo a la EIPD. Esta es la única parte del Digital Omnibus que cuenta con un respaldo institucional claro: el Comité Europeo de Protección de Datos y el EDPS acogieron con satisfacción la simplificación del registro de actividades en un dictamen conjunto ya en julio de 2025, y reafirmaron su amplio apoyo — al tiempo que planteaban otras preocupaciones, incluida la propuesta de restringir la definición de datos personales — en un dictamen conjunto más completo sobre todo el paquete, publicado en febrero de 2026.
Calcule en minutos si su empresa entraría en el nuevo umbral de 750 empleados y los techos financieros propuestos, y qué significaría eso para su carga de documentación bajo el RGPD.
El rediseño del banner de cookies — y por qué se ha estancado
La segunda vertiente del Digital Omnibus aborda una de las características más criticadas del panorama actual del RGPD. Tal como se propuso originalmente, habría obligado a los sitios web a permitir que los usuarios rechacen todas las cookies no esenciales en un solo clic, directamente en la primera capa del banner, con esa opción de rechazo dotada del mismo protagonismo visual que la de aceptar — cerrando así el resquicio de siempre por el que "aceptar todo" es un solo botón y "rechazar" implica entrar en un panel de configuración y desmarcar casillas una a una.
La propuesta original iba todavía más lejos: eximía de la necesidad de mostrar un banner de consentimiento a categorías de cookies de bajo riesgo — medición interna de audiencia, cookies necesarias para prestar un servicio que el usuario había solicitado expresamente, cookies de seguridad y prevención del fraude — e introducía señales "automatizadas y legibles por máquina" a nivel de navegador, de modo que un usuario pudiera configurar sus preferencias de seguimiento una sola vez y que los sitios respetaran automáticamente esa señal. Cuando el consentimiento se seguía pidiendo y se otorgaba, los sitios habrían tenido que respetar esa elección durante al menos seis meses antes de volver a preguntar.
En el texto de compromiso del Consejo del 10 de junio de 2026, los artículos que contenían el botón de rechazo en un clic y el mecanismo de señales del navegador se eliminaron por completo, después de que los embajadores de los Estados miembros no lograran ponerse de acuerdo sobre ellos dos días antes. Ni siquiera ese compromiso ya recortado obtuvo la mayoría cualificada que necesitaba, y fue retirado de la aprobación formal a finales de junio.
Eso no significa que el diseño de los banners de cookies sea ahora terreno libre. Con independencia del Digital Omnibus, las guías de aplicación del RGPD ya vigentes tratan un botón de "aceptar todo" que resulte más fácil de encontrar o pulsar que "rechazar" como un patrón oscuro — un defecto de diseño que los reguladores persiguen con las normas tal como están hoy, con o sin el Omnibus. Lo que realmente está atascado en Bruselas es el mecanismo concreto (el clic único, las señales a nivel de navegador, las exenciones de bajo riesgo) — no la expectativa subyacente de que rechazar tiene que ser genuinamente tan fácil como aceptar.
Interés legítimo y procesamiento con IA — también estancado
El tercer elemento aborda una de las cuestiones más disputadas en la práctica actual de protección de datos: ¿puede el interés legítimo, como base jurídica conforme al art. 6, sustentar el tratamiento de datos personales para entrenar u operar sistemas de IA? Hoy, las organizaciones que se apoyan en el interés legítimo para el procesamiento con IA operan con cierto grado de ambigüedad — realizando sus propias pruebas de ponderación sin un texto explícito del RGPD que confirme que el enfoque es sólido.
El Digital Omnibus, tal como se redactó originalmente, habría añadido un texto que reconocía explícitamente que el interés legítimo puede sustentar el procesamiento con IA — de forma condicionada, no incondicional. Las salvaguardas existentes que hacen válido el interés legítimo en cualquier contexto — necesidad, proporcionalidad, una auténtica prueba de ponderación frente a los derechos de las personas, transparencia, y un derecho de oposición incondicional — habrían tenido que seguir estando genuinamente presentes. Se planteó como una aclaración del alcance, no como una relajación del estándar.
Ese texto aclaratorio fue una de las disposiciones eliminadas junto con los artículos de cookies en el texto de compromiso del Consejo de junio de 2026. El efecto práctico por ahora: las organizaciones todavía no cuentan con una disposición explícita del RGPD que confirme que el interés legítimo cubre el procesamiento con IA. La posición jurídica de fondo no ha cambiado — el art. 6(1)(f) ya se aplica si la prueba de ponderación se realiza y documenta de manera genuina — pero la confirmación regulatoria que se esperaba no está más cerca de lo que estaba en noviembre de 2025.
En qué punto estamos realmente, en orden
- Noviembre de 2025 — La Comisión Europea publica la propuesta del Digital Omnibus, que abarca el RGPD, ePrivacy, NIS2 y la Ley de Datos.
- Febrero de 2026 — El CEPD y el EDPS emiten su dictamen conjunto sobre el paquete completo: en general favorable a la simplificación del registro de actividades, aunque planteando preocupaciones en otros puntos, incluida la propuesta de definición más estrecha de datos personales.
- 8–10 de junio de 2026 — Los embajadores del Consejo no logran acordar las disposiciones sobre consentimiento de cookies e interés legítimo para IA; el texto de compromiso de la presidencia elimina esos artículos por completo.
- Finales de junio de 2026 — Incluso el texto de compromiso ya recortado se retira de la aprobación formal del Consejo, al no alcanzar la mayoría cualificada.
- Ahora (agosto de 2026) — El Parlamento Europeo todavía está finalizando su propia posición, con un estudio de impacto previsto para octubre de 2026. No se espera la adopción final de la mitad del paquete relativa al RGPD antes de finales de 2026 como muy pronto — lo que significa que la implementación real es más probablemente una historia de 2027, y podría alargarse aún más dependiendo de lo que el Parlamento y el Consejo todavía tengan que conciliar.
Mientras tanto, la mitad del paquete Digital Omnibus correspondiente a la Ley de IA — una propuesta separada, sin relación con la cuestión del interés legítimo mencionada arriba — ya ha superado tanto el Consejo como el Parlamento y entrará en vigor con su publicación en el Diario Oficial. Es fácil confundir las dos mitades del Digital Omnibus; solo una de ellas ha llegado realmente a buen puerto.
Prepararse ahora para normas que aún no son definitivas
Esa incertidumbre no es motivo para esperar, pero sí es motivo para ser selectivo sobre dónde invertir esfuerzo.
- Siga de cerca el umbral del RoPA, pero no actúe todavía sobre él. Si su organización se sitúa entre 250 y 750 empleados, la exención ampliada podría cambiar de forma sustancial su carga de cumplimiento — pero el umbral, y los techos financieros vinculados a él, todavía están sujetos a negociación. Sepa dónde se ubicaría, y mantenga sus registros actuales del art. 30 en buen orden hasta que el texto final quede fijado.
- No rediseñe su banner de cookies en torno a un mecanismo que actualmente está eliminado del texto en negociación. Construir un flujo de rechazo en un clic alrededor de un artículo concreto sobre el que los miembros del Consejo no lograron ponerse de acuerdo en junio es prematuro. Lo que no es prematuro: asegurarse de que su opción de "rechazar" actual sea genuinamente tan fácil de encontrar y pulsar como la de "aceptar" — eso es una expectativa de aplicación bajo el RGPD hoy mismo, con independencia del Omnibus.
- Siga documentando sus pruebas de ponderación de interés legítimo para el procesamiento con IA como si la aclaración no fuera a llegar pronto — porque actualmente no va a llegar. Las salvaguardas (necesidad, proporcionalidad, una evaluación de ponderación real, transparencia, el derecho de oposición) son lo que hace defendible el interés legítimo ahora, con o sin una disposición explícita sobre IA en el texto.
- Vuelva a revisar esto en octubre de 2026, cuando venza el estudio de impacto del Parlamento y su propia posición negociadora debería empezar a consolidarse. Ese es el siguiente momento en el que la forma del texto final — y no la propuesta de noviembre de 2025 — se volverá más clara.
La conclusión
El Digital Omnibus sigue siendo un intento genuino de solucionar tres problemas reales del RGPD tal como funciona actualmente — pero, a fecha de agosto de 2026, avanza a tres velocidades distintas. La simplificación del registro de actividades cuenta con el respaldo del CEPD y del EDPS y es la pieza con más probabilidades de convertirse en ley cerca de su forma actual. El rediseño del banner de cookies y la aclaración sobre el interés legítimo para IA están ambos atascados, retirados del texto de trabajo del Consejo después de que los Estados miembros no lograran ponerse de acuerdo, sin que se espere la posición propia del Parlamento hasta octubre. Trate la exención del RoPA como algo que merece vigilarse de cerca, y trate las otras dos como ruido de fondo hasta que haya un texto sobre el que realmente reaccionar.
Reserve una consulta gratuita con GDPRGard →
Fuentes
- EDPB — Digital Omnibus: EDPB and EDPS support simplification and competitiveness while raising key concerns (Feb 2026)
- EDPB — Targeted modifications of the GDPR: record-keeping simplification (July 2025)
- Noerr — Proposal for simplification of GDPR record-keeping for organisations under 750 employees
- Secure Privacy — What Article 88a Changes for Cookie Consent (2026)
- Addleshaw Goddard — EU Digital Omnibus on AI: Council and Parliament agreed positions
También te puede interesar:
- RGPD en 2026: multas récord, una reforma en marcha, y qué hacer ahora
- Los 5 errores más comunes en banners de cookies — y cómo corregirlos
- Se acabó la excusa de «era público»: el RGPD ya cubre formalmente los datos de entrenamiento de IA