El Consejo Europeo acordó su posición sobre la propuesta de simplificar la normativa de protección de datos, privacidad y ciberseguridad, manteniendo al mismo tiempo altos niveles de seguridad de los datos personales. Los cambios tienen como objetivo hacer que el marco normativo digital de la UE sea más claro y fácil de aplicar para las empresas, las administraciones públicas y los ciudadanos, a fin de apoyar la competitividad de la UE.
La propuesta forma parte del denominado paquete legislativo «Ómnibus VII» de la agenda de simplificación de la UE. Este paquete incluye medidas para racionalizar y agilizar el marco legislativo digital de la UE y la aplicación de normas armonizadas sobre Inteligencia Artificial. En lo que respecta a esta última parte, relativa a la IA, el acto legislativo se aprobó el 29 de junio de 2026.
Elementos principales de la simplificación normativa de la UE
La propuesta introduce modificaciones al Reglamento General de Protección de Datos (RGPD), moderniza las normas sobre cookies establecidas en la Directiva sobre privacidad electrónica, deroga disposiciones del Reglamento sobre la relación entre plataformas y empresas (P2B), consolida las normas del mercado único en materia de datos (el denominado «acervo comunitario») e introduce un mecanismo para un punto único de notificación de incidentes de ciberseguridad y datos.
Reglamento General de Protección de Datos
Partiendo de la propuesta de la Comisión, el mandato incluye una serie de modificaciones al RGPD, para simplificar y racionalizar las disposiciones manteniendo una protección adecuada de los derechos fundamentales.
En primer lugar, el mandato del Consejo conserva la definición actual de datos personales e introduce una nueva disposición sobre la seudonimización y la identificación de personas físicas, con el fin de ayudar a las empresas a cumplir con sus obligaciones del RGPD al clarificar las normas correspondientes. Asimismo, simplifica las normas de cumplimiento para las solicitudes infundadas o excesivas y para las obligaciones de información en determinadas circunstancias de bajo riesgo.
El Consejo apoya una definición de «investigación científica» basada en principios, que facilite la aplicación coherente del tratamiento de datos personales para este fin. Pretende incorporar exenciones de determinadas obligaciones para que las entidades de investigación puedan operar en un marco simplificado en lo que respecta a la protección de datos.
Además, introduce salvaguardas para la reciente propuesta de excepción, que permite el tratamiento de datos sensibles con fines de verificación biométrica y en el contexto del desarrollo y funcionamiento de los sistemas IA. La innovación y el desarrollo de la IA se ven reforzados con aclaraciones sobre la base jurídica para el tratamiento de datos personales y la necesidad de mantener las salvaguardias adecuadas.
El Consejo también respalda la propuesta de la Comisión de ampliar el plazo para la notificación de violaciones de datos personales, así como otras medidas para facilitar el cumplimiento del RGPD y garantizar una mayor coherencia. Dichas medidas incluyen una lista única para la UE de las categorías de tratamiento que puedan suponer un alto riesgo para las personas, y el establecimiento de modelos comunes para que las empresas e instituciones cumplan con sus obligaciones reglamentarias.
Adquisición de datos y secretos comerciales
El mandato consolida y simplifica las normas sobre el altruismo de datos y los servicios de intermediación de datos. Ofrece ventajas tanto para las administraciones que gestionan datos del sector público como para quienes los reutilizan, ya que pueden agilizar los procesos y reducir la carga administrativa asociada a la interpretación y aplicación de diversas leyes nacionales.
El mandato introduce la posibilidad de que los organismos del sector público establezcan condiciones diferentes y cobren tarifas más elevadas por la reutilización por parte de grandes empresas y, en particular, de aquellas designadas como guardianas de acceso. Asimismo, responde a la urgente necesidad de reforzar las salvaguardas contra el riesgo de filtración de secretos comerciales a terceros países. El mandato estipula específicamente que los secretos comerciales solo deberán divulgarse una vez que el titular de los datos y el usuario hayan adoptado todas las medidas necesarias para preservar su confidencialidad.
Directiva de privacidad electrónica y cookies
El mandato del Consejo mantiene las normas sobre cookies y otras tecnologías de seguimiento en línea, conforme a la Directiva sobre privacidad electrónica. Este marco se actualiza con fines más claros y adicionales para los que no se requerirá el consentimiento para la instalación de cookies en el dispositivo del usuario, reduciendo así el número de avisos sobre cookies durante la navegación. Esto se aplicaría, por ejemplo, cuando sea necesario para la prestación de un servicio, para la medición de audiencias o para garantizar la seguridad del dispositivo del usuario.
El mandato también modifica determinadas disposiciones relativas al Reglamento sobre la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, organismos, oficinas y agencias de la UE y a la libre circulación de estos datos (EUDPR), adaptándolas a los cambios propuestos en el RGPD.
Notificación de incidentes de ciberseguridad y datos
El mandato del Consejo sustituye el punto de entrada único para la UE por un punto de entrada nacional en cada país miembro, que apoye y facilite la notificación de incidentes y sucesos conexos con arreglo a las diferentes legislaciones de la UE.
Además, propone el establecimiento de un punto de información para la notificación de incidentes a nivel de la UE, así como disposiciones específicas para un marco armonizado de notificación de incidentes y para las notificaciones de incidentes transfronterizos.
Próximos pasos
Tras la aprobación hoy del mandato del Consejo, la presidencia del Consejo iniciará negociaciones con el Parlamento Europeo una vez que este último adopte su propia posición negociadora, con vistas a alcanzar un acuerdo rápido sobre el tema.
Antecedentes de la iniciativa
En octubre de 2024, el Consejo Europeo hizo un llamamiento a todas las instituciones de la UE, a los países miembros y a las partes interesadas para resolver, con carácter prioritario, los retos incluidos en los informes de Enrico Letta («Mucho más que un mercado») y Mario Draghi («El futuro de la competitividad europea»).
Desde febrero de 2025, la Comisión ha presentado doce paquetes ómnibus destinados a simplificar la legislación vigente, incluido un séptimo paquete ómnibus que consta de dos propuestas: una destinada a simplificar el marco legislativo digital de la UE y otra a simplificar la aplicación de normas armonizadas sobre inteligencia artificial.
La hoja de ruta «Una Europa, un mercado», firmada por los presidentes del Consejo de la UE, el Parlamento Europeo y la Comisión el 24 de abril de 2026 al margen de la reunión informal de líderes celebrada en Nicosia, incluye el objetivo de concluir las tareas pendientes en todos los paquetes de simplificación para finales de 2027.
La entrada La UE simplifica la protección de datos, la privacidad y la ciberseguridad se publicó primero en Red Seguridad.
