El Comité de Representantes Permanentes de los Estados miembros de la UE fijó el 21 de octubre de 2026 la posición negociadora del Consejo sobre el Digital Omnibus. El paquete pretende simplificar el RGPD, las normas sobre cookies de la Directiva ePrivacy y los canales de notificación de incidentes de seguridad. Nada de ello es todavía derecho vigente: primero el Parlamento Europeo debe definir su posición y después vienen las negociaciones entre Consejo, Parlamento y Comisión. Aun así, a las empresas les conviene seguirlo, porque ya se perfila hacia dónde evolucionan las obligaciones de notificación y la documentación.
De qué trata el Digital Omnibus
La Comisión Europea presentó el Digital Omnibus en noviembre de 2025. Forma parte de su programa de simplificación de la normativa de la UE y agrupa modificaciones de varias leyes. La parte relativa a la inteligencia artificial ya está aprobada y ha aplazado los plazos del EU AI Act. La parte sobre datos y protección de datos es políticamente más controvertida y, por eso, llega más tarde.
El Consejo no sigue a la Comisión en todos los puntos. En algunas propuestas frena y en otras añade salvaguardias.
El concepto de datos personales se mantiene
La Comisión quería modificar la definición del artículo 4, apartado 1, del RGPD para que los datos no fueran personales para un destinatario que no pueda identificar a la persona. El Consejo lo rechaza y mantiene la definición actual. En su lugar, una disposición propia sobre seudonimización regularía cuándo los terceros sin acceso a la clave pueden tratar de otro modo los datos seudonimizados. Según la posición del Consejo, los encargados del tratamiento tratan en todo caso datos personales. En la práctica, esto significa que los contratos conforme al artículo 28 del RGPD y las obligaciones correspondientes quedan como están.
Violaciones de datos: umbral más alto, plazo más largo
El cambio probablemente más notable afecta al artículo 33 del RGPD. Según la posición del Consejo, los responsables solo tendrán que notificar una violación de datos a la autoridad de control si es probable que suponga un alto riesgo para los interesados. Es el mismo umbral que ya rige hoy para comunicarla a los interesados. El plazo de notificación pasaría de 72 a 96 horas.
Se mantiene la obligación de documentar internamente toda violación de datos, aunque no se notifique. Quien hoy no lleva un registro riguroso de incidentes de protección de datos gana, por tanto, poco con la reforma.
Canales de notificación de incidentes de seguridad
La Comisión había propuesto un único punto de contacto a escala de la UE a través del cual las empresas notificaran incidentes conforme a varias leyes, por ejemplo el RGPD y NIS2. El Consejo prefiere un punto de contacto nacional en cada Estado miembro, complementado con un punto de información a nivel de la UE y reglas uniformes para las notificaciones transfronterizas. Para las entidades sujetas a NIS2, esto podría suponer a largo plazo un canal de notificación común. Hasta entonces siguen vigentes las obligaciones separadas ante la autoridad de ciberseguridad (en Alemania, el BSI) y la autoridad de protección de datos.
Otros puntos de la posición del Consejo
- Evaluación de impacto relativa a la protección de datos: el Comité Europeo de Protección de Datos publicaría listas uniformes para toda la UE sobre qué tratamientos requieren una evaluación de impacto y cuáles no. Hasta entonces siguen vigentes las listas nacionales.
- Solicitudes de acceso: los responsables podrían rechazar solicitudes abusivas o cobrar una tasa si pueden acreditar la intención abusiva. La carga de la prueba recae en ellos.
- Obligaciones de información: se aplicaría una nueva excepción cuando los interesados ya conozcan al responsable y la finalidad y el tratamiento no conlleve un alto riesgo. No se aplica a datos sensibles.
- Inteligencia artificial: el desarrollo y el funcionamiento de sistemas de IA podrían basarse en el interés legítimo, aunque solo tras un análisis caso por caso. Los datos sensibles que lleguen involuntariamente a los datos de entrenamiento deberían eliminarse o aislarse.
- Cookies: las normas permanecen en la Directiva ePrivacy. Para determinadas finalidades, como la prestación de un servicio, la medición de audiencia o la seguridad del dispositivo, ya no haría falta consentimiento.
Próximos pasos
El Parlamento aún no ha aprobado su posición. Según los observadores, no cabe esperar una votación en la comisión competente antes de principios de 2027. Solo después comenzarán las negociaciones tripartitas, en las que todos los puntos aún pueden cambiar. Hasta que haya un acuerdo y se publique en el Diario Oficial, el RGPD y la Directiva ePrivacy se aplican sin cambios. Por tanto, el plazo de 72 horas para notificar sigue siendo el determinante hasta nuevo aviso.
Qué significa para usted
Hoy no tiene que cambiar nada. Sin embargo, la posición del Consejo muestra hacia dónde podría desplazarse el esfuerzo, y algunos preparativos merecen la pena sea cual sea el resultado:
- Lleve un registro completo de todos los incidentes de protección de datos con su evaluación de riesgos. Esta obligación se mantiene en todo caso, y un umbral de notificación más alto exige una evaluación trazable.
- Siga planificando con 72 horas. Adapte su proceso de notificación solo cuando un nuevo plazo esté realmente en vigor.
- Revise dónde se solapan las notificaciones conforme al RGPD y a NIS2, y defina quién informa a qué autoridad en caso de emergencia.
- En los proyectos de IA, documente ya ahora la ponderación en la que basa el tratamiento. El análisis caso por caso se seguirá exigiendo tras la reforma.
- Siga de cerca la consulta sobre las directrices de multas del EDPB, de la que informamos en el artículo sobre multa o apercibimiento según el RGPD.
Sightadel le ayuda a documentar incidentes, evaluaciones y medidas en un solo lugar y con fecha, y a gestionar conjuntamente las obligaciones del RGPD y NIS2. Más información en la página sobre el RGPD y la página sobre NIS2. Puede probar la plataforma gratis durante 14 días.
Revisado a: 5 de noviembre de 2026 · No constituye asesoramiento jurídico. Prevalece la norma o la ley en su versión vigente.
