Digital Ómnibus: el Consejo de la UE fija su posición

Los Estados miembros de la UE ya han decidido qué cambios quieren introducir en la propuesta de Reglamento Digital Ómnibus. El pasado 21 de octubre de 2026, sus embajadores, reunidos en el Comité de Representantes Permanentes (Coreper), aprobaron la posición común del Consejo, el llamado «mandato negociador». El texto se difundió el 22 de octubre como documento 14756/26 (PDF).

El mandato recoge la postura que el Consejo defenderá en las negociaciones con el Parlamento Europeo, en las que también participa la Comisión: los llamados «trílogos». El objetivo de estas negociaciones es acordar un texto final, que después deberán aprobar formalmente el Parlamento y el Consejo. El Parlamento aún no ha fijado su posición; cuando lo haga, podrán comenzar los trílogos.

El Digital Ómnibus es una propuesta de Reglamento que fue presentada por la Comisión el 19 de noviembre de 2025 (COM(2025) 837) como un «primer paso» para simplificar la normativa digital europea. No debe confundirse con el Reglamento Ómnibus digital sobre IA, que ya se aprobó en julio de 2026 y que tiene por objeto modificar algunos aspectos del Reglamento de IA.

La propuesta original de la Comisión planteaba introducir ajustes en un buen número de normas: el RGPD, el Reglamento (UE) 2018/1725, la Directiva ePrivacy, la Ley de Datos (Data Act), NIS2, DORA, eIDAS y la Directiva CER. También proponía integrar en la Data Act la Data Governance Act, la Directiva de Datos Abiertos y el Reglamento de libre circulación de datos no personales, así como derogar el Reglamento P2B (Reglamento (UE) 2019/1150), al considerar que su contenido está ya cubierto en gran medida por la DSA y la DMA.

El Consejo rechaza modificar la definición de dato personal

La enmienda más controvertida de la propuesta de la Comisión consistía en modificar la definición de dato personal (4.1 del RGPD) para indicar que «[l]a información no será personal para una entidad determinada cuando dicha entidad no pueda identificar a la persona física a la que se refiere la información teniendo en cuenta los medios que razonablemente puedan ser utilizados por dicha entidad. Dicha información no se convierte en personal para dicha entidad por el mero hecho de que un posible destinatario ulterior disponga de medios que razonablemente puedan ser utilizados para identificar a la persona física a la que se refiere la información». Esta noción relativa o subjetiva del dato personal iba acompañada de la facultad de la Comisión para fijar, mediante actos de ejecución, cuándo los datos seudonimizados dejan de ser personales.

El Consejo rechaza la modificación de la definición de dato personal. Eso no significa que ignore la jurisprudencia del TJUE en la que la Comisión basaba su propuesta. Lo que hace es trasladar la cuestión a una regla específica sobre seudonimización, el nuevo artículo 25a que la versión del Consejo propone introducir en el RGPD y que establece lo siguiente:

•           los datos seudonimizados no se considerarán personales para un tercero que no pueda identificar al interesado;

•           si ese tercero los cede a otro que dispone o puede obtener medios razonablemente probables de identificación, tanto la cesión como el tratamiento posterior son tratamiento de datos personales (es un cambio muy relevante respecto de lo propuesto por la Comisión, que, como hemos visto, consideraba que los datos no pasan a ser personales para el cedente);

•           para el encargado del tratamiento que trata datos personales por cuenta del responsable, tales datos son siempre datos personales;

•           para determinar la identificabilidad de una persona física, también a partir de datos personales que hayan sido seudonimizados, se deberán tener en cuenta todos los medios que sea razonablemente probable que se usen para identificar a esa persona, directa o indirectamente.

El considerando 27b de la versión del Consejo precisa que, para el responsable del tratamiento que seudonimiza los datos, el interesado sigue siendo identificable. Por otra parte, en lugar de actos de ejecución de la Comisión, el Consejo propone que sea el Comité Europeo de Protección de Datos (CEPD) quien emita un dictamen sobre seudonimización y anonimización, previa consulta pública (considerando 27c).

Otros puntos clave de la posición del Consejo

Además de rechazar el cambio de definición del dato personal, el Consejo introduce otras enmiendas, de las que cabe destacar las siguientes:

-            Cookies y terminales: La Comisión proponía trasladar al RGPD la regulación de las cookies y del acceso a la información almacenada en los dispositivos de los usuarios. El Consejo rechaza ese traslado y mantiene esta materia en el artículo 5.3 de la Directiva 2002/58/CE (Directiva ePrivacy), aunque modifica su contenido. Así, amplía la lista de supuestos en los que no se necesita consentimiento: incluye la medición de audiencias de medios conforme al artículo 24 del Reglamento (UE) 2024/1083 y la medición de la publicidad contextual, ambas con seudonimización de los datos. Si el usuario rechaza las cookies, no se le podrá volver a pedir el consentimiento durante cuatro meses (la Comisión proponía seis).

-            Señales automatizadas del navegador: La Comisión proponía obligar a los responsables a respetar las preferencias de privacidad expresadas por medios automatizados y legibles por máquina, por ejemplo a través de la configuración del navegador. Además, quería exigir a los proveedores de navegadores que ofrecieran esa posibilidad. El Consejo suprime ambas obligaciones.

-            Interés legítimo para usar datos personales en la IA: La Comisión proponía incluir en el RGPD una regla que permitiera expresamente basar en el interés legítimo el tratamiento de datos para desarrollar y hacer funcionar sistemas y modelos de IA. A cambio, exigía garantías como la minimización de datos, una mayor transparencia y, sobre todo, un derecho de oposición incondicional: bastaba con que el interesado se opusiera para que el tratamiento tuviera que cesar. El Consejo mantiene la mención expresa de que este tratamiento puede basarse en el interés legítimo del responsable o de un tercero, conforme al artículo 6.1.f) del RGPD, pero cambia un punto esencial. En lugar de un derecho de oposición específico e incondicional, remite al derecho de oposición general del artículo 21 del RGPD. Ese derecho no es absoluto: el responsable puede seguir tratando los datos si acredita motivos legítimos imperiosos que prevalezcan sobre los intereses, derechos y libertades del interesado. El Consejo recuerda además que el responsable sigue obligado a elegir en cada caso la base jurídica adecuada y que, sea cual sea esa base, se aplican las garantías técnicas y organizativas del RGPD. El considerando 33a de la versión del Consejo aclara que desarrollar IA no constituye, por sí solo, un interés legítimo y que habrá que valorarlo caso por caso. Por último, la excepción que permite tratar datos sensibles en este contexto queda limitada a los datos residuales que aparecen de forma incidental y que el responsable no pretendía tratar.

-            Derechos de los interesados: Para considerar abusiva una solicitud de acceso, el responsable deberá demostrar una «intención abusiva» y comunicar al interesado los motivos de la denegación. La exención del deber de información del artículo 13 no se aplicará a tratamientos complejos, a grandes volúmenes de datos ni a los datos de los artículos 9 y 10. El artículo 22 vuelve a formularse como un derecho a no ser objeto de decisiones automatizadas.

-            Brechas y EIPD: Se mantienen el plazo de 96 horas y el umbral de «alto riesgo» para notificar a la autoridad de control previstos en la propuesta de la Comisión. Pero el Consejo da más peso al CEPD: será este quien apruebe directamente las listas de brechas de alto riesgo (y de las que no lo son) y las listas de tratamientos que requieren o no una Evaluación de Impacto de Protección de Datos (EIPD), en lugar de la Comisión mediante actos de ejecución.

-            Notificación de incidentes: Se sustituye el punto único europeo gestionado por ENISA por puntos de entrada nacionales (nuevo artículo 23b de NIS2). ENISA solo mantendrá un punto informativo que no recibirá notificaciones, y el plazo para que el sistema empiece a aplicarse se alarga a 30 meses.

-            Data Act y secretos comerciales: El Consejo refuerza el llamado «freno de mano», que permite al titular negarse a compartir datos. Ya no exige que se trate de «circunstancias excepcionales» ni una valoración «caso por caso», y basta con un riesgo «significativo», no «alto», de que los secretos comerciales lleguen a terceros países. Además, presta especial atención al know-how industrial en los sectores críticos del anexo I de NIS2 y en algunos del anexo II. Los titulares ya debían notificar sus negativas a la autoridad competente; ahora tendrán que hacerlo cada tres meses. La Comisión publicará directrices sobre cómo aplicar esta excepción. 

-            Plataformas (Reglamento P2B): A diferencia de lo que proponía la Comisión, en la posición del Consejo no se deroga el Reglamento (UE) 2019/1150 sobre el fomento de la equidad y la transparencia para los usuarios profesionales de servicios de intermediación en línea, conocido como Reglamento Platform to Business o P2B. En la versión del Consejo solo se suprimen algunas de sus disposiciones y se mantienen, entre otras, las relativas a condiciones generales, clasificación, trato diferenciado y tramitación de reclamaciones.

Próximos pasos

El siguiente paso es que el Parlamento fije su posición. A partir de entonces, se iniciarán los trílogos, donde el Consejo y el Parlamento Europeo negociarán a partir de sus respectivas posiciones, con la Comisión como mediadora, hasta llegar a un acuerdo. Previsiblemente, los puntos de mayor tensión serán la definición de dato personal y la seudonimización, el interés legítimo para la IA, el régimen de cookies y el modelo de notificación de incidentes.