El Ómnibus digital es la propuesta de la Comisión Europea, COM(2025) 837 del 19 de noviembre de 2025, que simplifica las reglas de datos, privacidad y ciberseguridad de la Unión, cookies incluidas. El 21 de octubre de 2026 el Consejo de la UE aprobó su mandato de negociación y se separó de la Comisión en un punto que afecta a casi cualquier web. Las cookies seguirán reguladas en la Directiva ePrivacy, no en el RGPD, y se amplían los casos en los que no hará falta pedir consentimiento. Todavía no es derecho vigente. Falta la posición del Parlamento Europeo y la negociación entre las dos instituciones. Mientras tanto, en España manda el artículo 22.2 de la LSSI, interpretado por la Agencia Española de Protección de Datos (AEPD).
Si necesitas abogados de derecho digital para revisar tus cookies y tus textos legales, solicita una valoración inicial gratuita.
El Consejo mantiene las cookies y las demás tecnologías de seguimiento dentro de la Directiva ePrivacy y añade fines por los que no hará falta consentimiento. Así lo recoge la nota del Consejo de la UE del 21 de octubre de 2026, que pone tres ejemplos. Son las cookies necesarias para prestar el servicio, las de medición de audiencia y las que protegen la seguridad del dispositivo del usuario. El objetivo declarado es reducir el número de banners al navegar.
El mandato es la posición con la que el Consejo negociará. La presidencia irlandesa abrirá la negociación con el Parlamento Europeo cuando este apruebe la suya. El texto del Consejo se publicó el 22 de octubre de 2026 como documento 14756/26. Cualquiera de sus puntos puede cambiar antes del acuerdo final.
El mandato toca más cosas. Mantiene la definición actual de dato personal, apoya ampliar el plazo para notificar brechas y sustituye la ventanilla única europea de notificación de incidentes por un punto de entrada nacional en cada Estado. El conjunto del expediente lo explicamos en nuestro análisis del Ómnibus digital y los cambios en el RGPD.
La Comisión proponía sacar las cookies de la Directiva ePrivacy y llevarlas al RGPD, con un artículo 88 bis nuevo cuando la información almacenada sea un dato personal. El Consejo rechaza ese traslado y conserva el régimen actual, el del artículo 5.3 de la Directiva, actualizado con una lista cerrada de fines exentos.
| Aspecto | Propuesta de la Comisión (19/11/2025) | Mandato del Consejo (21/10/2026) |
|---|---|---|
| Dónde se regulan las cookies | En el RGPD, si afectan a datos personales | En la Directiva ePrivacy, como hoy |
| Cookies sin consentimiento | Lista cerrada en el RGPD (transmisión, servicio solicitado, medición de audiencia propia y seguridad) | Lista cerrada en la Directiva, con el servicio solicitado, la medición de audiencia y la seguridad del dispositivo entre sus fines |
| Rechazo y nueva petición | Rechazo con un clic y seis meses sin volver a preguntar | Lo regula también, con cambios, y queda para la negociación |
| Señales automáticas del navegador | Obligación de respetarlas | Las trata con cambios, pendientes de negociar |
| Situación | Propuesta | Posición de negociación, sin la del Parlamento |
La diferencia tiene efecto práctico en España. La Directiva ePrivacy se aplica aquí a través de la Ley 34/2002 de servicios de la sociedad de la información (LSSI). Si las cookies se quedan en la Directiva, lo previsible es que el cambio llegue con una reforma de la LSSI, y no de forma directa como ocurriría con un artículo del RGPD.
El mandato fija una lista limitada de fines que no requieren consentimiento, y sus considerandos explican cada uno. La regla general no cambia. Almacenar información en el dispositivo del usuario, o acceder a la que ya está, sigue exigiendo su consentimiento salvo en esos casos.
No hará falta consentimiento cuando la cookie sea necesaria para prestar un servicio que el usuario ha solicitado de forma expresa. Los considerandos ponen dos ejemplos, recordar el idioma elegido y guardar los productos del carrito. Es la excepción que ya existe hoy, con una redacción más clara.
La medición de audiencia podrá hacerse sin consentimiento siempre que los datos no se usen para otra finalidad. Es la novedad que más webs notarán, porque las herramientas de analítica son la razón más habitual del banner.
España ya admite algo parecido. La AEPD publicó en enero de 2024 su guía sobre uso de cookies para herramientas de medición de audiencia, que exime del consentimiento a las cookies analíticas que cumplan seis condiciones a la vez. Tienen que limitarse a medir la audiencia del propio sitio, producir solo estadísticas anónimas para el editor y no cruzarse con otros tratamientos. Además, los datos no pueden cederse a terceros, no puede haber seguimiento entre sitios ni identificadores compartidos, y el proveedor no puede reutilizar los datos para sus propios fines. La cookie dura como máximo trece meses y los datos se conservan veinticinco meses.
Las cookies y accesos que mantienen o restablecen la seguridad del dispositivo, como las actualizaciones de seguridad, tampoco necesitarán consentimiento. Los considerandos lo limitan a lo estrictamente necesario para esa seguridad y recuerdan que el usuario puede desactivar la instalación automática de las actualizaciones.
Hoy una web solo puede instalar cookies no exentas si el usuario consiente después de recibir información clara y completa sobre su uso y sus fines. Lo dice el artículo 22.2 de la LSSI. Quedan fuera el almacenamiento técnico para transmitir una comunicación y el estrictamente necesario para un servicio que el usuario ha pedido de forma expresa.
La Guía sobre el uso de las cookies de la AEPD, en su versión de mayo de 2024, concreta cómo pedir ese consentimiento. La opción de rechazar tiene que estar en la misma capa, al mismo nivel y con la misma visibilidad que la de aceptar. Como buena práctica, la AEPD recomienda no mantener la validez de un consentimiento más de veinticuatro meses.
Instalar cookies sin informar o sin el consentimiento que exige el artículo 22.2 es una infracción leve del artículo 38.4.g de la LSSI. Su multa llega hasta 30.000 euros, según el artículo 39.1.c de la misma ley.
No hay fecha. El Parlamento Europeo no ha aprobado todavía su posición sobre el Ómnibus digital, y sin ella no empieza la negociación con el Consejo. Después del acuerdo, el texto tiene que adoptarse, publicarse en el Diario Oficial de la UE y, en lo que modifique la Directiva ePrivacy, incorporarse al derecho español.
Los presidentes del Consejo, el Parlamento y la Comisión firmaron el 24 de abril de 2026 la hoja de ruta «One Europe, One Market». Su objetivo es cerrar todos los paquetes de simplificación antes de que acabe 2027. Es un objetivo político, no un plazo legal. Hasta que el cambio se publique, la LSSI y los criterios de la AEPD se aplican sin matices.
Una tienda online ficticia de Bilbao, Lumen Hogar, vende lámparas y usa una herramienta de analítica que también aprovecha los datos para sus propios fines publicitarios. En octubre lee que el Consejo quiere eximir la medición de audiencia del consentimiento y se plantea quitar esas cookies del banner.
No puede hacerlo. Hoy la exención de la AEPD exige que el proveedor no reutilice los datos, y el mandato del Consejo también condiciona la exención a que los datos no se usen para otra finalidad. Lumen Hogar mantiene esas cookies bajo consentimiento. Encarga, eso sí, una comparación con una herramienta de medición que cumpla las seis condiciones de la guía de enero de 2024. Si la cambia, puede eximirla ya, firmar el contrato de encargado del artículo 28 del RGPD y quedar preparada para la regla europea, salga como salga.
Ningún cambio del Ómnibus es exigible todavía, pero hay ajustes que valen con la ley de hoy y con la futura.
En una tienda online las cookies se cruzan con el resto de obligaciones de protección de datos, como explicamos en nuestro artículo sobre el RGPD en la tienda online. La política de cookies forma parte además de los textos legales de la tienda online, junto con el aviso legal y las condiciones de venta.
No del todo. El mandato del Consejo del 21 de octubre de 2026 amplía los casos en los que no hace falta consentimiento, como la medición de audiencia o la seguridad del dispositivo, así que algunas webs podrán simplificar su banner. Las cookies de publicidad y las que se comparten con terceros seguirán necesitando consentimiento, y el cambio todavía no está aprobado.
Hoy, solo si cumplen las condiciones de la guía de la AEPD de enero de 2024. Deben limitarse a medir la audiencia de tu sitio, dar estadísticas anónimas, no cederse ni cruzarse con otros datos y no permitir seguimiento entre webs. El proveedor no puede reutilizar los datos. Si tu herramienta no cumple alguna condición, necesitas consentimiento.
No tienen fecha. El Consejo fijó su posición el 21 de octubre de 2026, pero falta la del Parlamento Europeo y la negociación entre ambos. Después, el texto debe publicarse y, como las cookies se quedarían en la Directiva ePrivacy, España tendría que incorporarlo a la LSSI. Mientras tanto se aplican el artículo 22.2 de la LSSI y la guía de la AEPD.
Hasta 30.000 euros. Instalar cookies sin informar o sin el consentimiento que exige el artículo 22.2 de la LSSI es una infracción leve del artículo 38.4.g de esa ley. El artículo 39.1.c castiga las leves con multa de hasta 30.000 euros. La AEPD es la autoridad que sanciona estas infracciones.
En dónde se regulan. La Comisión proponía llevar las cookies al RGPD cuando afectan a datos personales, con un nuevo artículo 88 bis. El Consejo prefiere dejarlas en la Directiva ePrivacy, como hoy, y ampliar allí la lista de fines exentos de consentimiento. Las dos versiones eximen la medición de audiencia y la seguridad, con condiciones distintas.
Las cookies son la parte del Ómnibus digital que más webs van a notar, y también la que más fácil es adelantar por error. Lo sensato hoy es ordenar las cookies por finalidad, ajustar la analítica a lo que la AEPD ya permite y dejar el banner listo para simplificarse cuando la regla europea se apruebe. En Innovatech revisamos cookies, banners y textos legales dentro de nuestro servicio de abogados de derecho digital. Cuéntanos tu caso y te damos una valoración inicial gratuita.
Marta Suárez-Mansilla, Socia Directora de Innovatech y abogada que ejerce en derecho tecnológico. Formada en Copyright por Harvard Law School y en Blockchain por BerkeleyX, acumula más de 8 años de experiencia asesorando a empresas tecnológicas.