Digital Omnibus: el Consejo sobre el RGPD y las cookies
El 21 de octubre de 2026 los embajadores de la UE acordaron el mandato del Consejo sobre el Digital Omnibus: brechas, datos, cookies e incidentes.
El 21 de octubre de 2026 el Comité de Representantes Permanentes (Coreper) acordó el mandato del Consejo para negociar con el Parlamento Europeo el Digital Omnibus, la propuesta de la Comisión de noviembre de 2025 para simplificar las normas digitales de la UE (procedimiento 2025/0360(COD)). El texto se publicó el 22 de octubre de 2026 como documento del Consejo 14756/26, con cada cambio respecto a la propuesta de la Comisión señalado.
Es la posición de partida del Consejo para las negociaciones, no una norma en vigor. Hasta que se adopte y publique un reglamento definitivo, el RGPD, la Directiva ePrivacy y las leyes nacionales de transposición de NIS2 se aplican tal como están.
Brechas de datos personales
El Consejo mantiene los dos cambios principales de la Comisión al artículo 33 del RGPD:
- Solo las brechas de alto riesgo tendrían que notificarse a la autoridad de control: las que "probablemente entrañen un alto riesgo para los derechos y libertades de las personas físicas".
- 96 horas en lugar de 72: notificación sin dilación indebida y, cuando sea posible, en las 96 horas siguientes a tener conocimiento de la brecha, con los motivos de cualquier retraso.
La notificación pasaría por un punto de entrada nacional creado por cada Estado miembro, en lugar del punto de entrada único europeo que proponía la Comisión. Mientras no exista, los responsables siguen notificando directamente a su autoridad de control. El CEPD publicaría listas de situaciones que probablemente entrañan, o no, un alto riesgo.
Datos personales y seudonimización
La Comisión proponía añadir a la definición de datos personales que una información no es dato personal para una entidad que no puede identificar a la persona. El Consejo suprime esa frase y propone en su lugar un nuevo artículo 25 bis sobre seudonimización:
- los datos seudonimizados no son datos personales para un tercero que no puede identificar a la persona;
- si se transmiten a alguien que sí puede identificarla, vuelven a ser datos personales;
- para un encargado del tratamiento, los datos que trata por cuenta del responsable siguen siendo siempre datos personales;
- el CEPD emitiría un dictamen sobre seudonimización y anonimización.
Las cookies se quedan en la Directiva ePrivacy
La Comisión proponía trasladar las normas sobre cookies al RGPD. El Consejo las mantiene en el artículo 5, apartado 3, de la Directiva ePrivacy y lo reescribe. El consentimiento sigue siendo la regla, con excepciones cuando almacenar o leer información sea estrictamente necesario, por ejemplo para transmitir una comunicación, prestar un servicio solicitado por el usuario, por seguridad o para medir la audiencia de forma anónima y agregada por el prestador del servicio o en su nombre.
Cuando se pida el consentimiento, el usuario debe poder rechazarlo con un solo clic o un medio equivalente. Tras un rechazo, la misma solicitud no podría repetirse durante al menos cuatro meses; la Comisión había propuesto seis. Los Estados miembros tendrían 24 meses desde la adopción para transponer estos cambios.
Otros puntos del RGPD
- Decisiones automatizadas (artículo 22): el Consejo lo mantiene como derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado, con las excepciones y garantías actuales, incluida la intervención humana.
- Solicitudes de acceso (artículo 12, apartado 5): el responsable podría cobrar un canon o denegar una solicitud cuando pueda demostrarse una intención abusiva; la carga de la prueba recae en el responsable.
- Evaluaciones de impacto (artículo 35): el CEPD publicaría listas europeas de tratamientos que requieren, o no, una EIPD.
- IA: el tratamiento para desarrollar y operar sistemas y modelos de IA puede basarse en el interés legítimo del artículo 6, apartado 1, letra f), y las categorías especiales de datos presentes por accidente en los datos de entrenamiento deben suprimirse sin dilación indebida, o protegerse si la supresión es técnicamente imposible.
Notificación de incidentes en NIS2
En lugar de una plataforma europea única, ENISA crearía un punto de información sobre la notificación de incidentes que indica qué obligaciones se aplican y remite al punto de entrada nacional adecuado; no recibe notificaciones. En los seis meses siguientes a la entrada en vigor, la Comisión informaría sobre las diferencias de definiciones, umbrales y plazos entre NIS2, eIDAS, el RGPD, DORA y la Directiva CER.
Qué hacer ahora
Por ahora no cambia nada. Siga notificando las brechas en 72 horas, mantenga su gestión del consentimiento de cookies como está y siga las negociaciones: el texto final todavía puede cambiar en cada uno de estos puntos.
Fuentes
- Consejo de la UE: documento 14756/26, Digital Omnibus, mandato de negociación (22 de octubre de 2026)
- Reglamento (UE) 2016/679 (RGPD)
- Directiva 2002/58/CE (Directiva sobre la privacidad y las comunicaciones electrónicas)
- Directiva (UE) 2022/2555 (NIS2)
Solo a título informativo, no es asesoramiento jurídico. Última actualización: 29 de octubre de 2026.
También disponible en: English, Nederlands, Italiano, Deutsch, Français, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål