El Ómnibus Digital sobre datos es la propuesta con la que la Comisión Europea quiere simplificar el marco normativo de datos, privacidad y ciberseguridad de la Unión. Se identifica como COM(2025) 837 y se presentó el 19 de noviembre de 2025. Modificaría el RGPD, la Data Act, la Directiva ePrivacy y la Directiva NIS2, y derogaría cuatro normas enteras. A día de hoy no es derecho vigente y no obliga a nada. El expediente está atascado en el Consejo desde que la presidencia chipriota retiró su texto de compromiso el 30 de junio de 2026 por falta de mayoría cualificada. Conviene saber qué contiene, porque marcará la próxima década del derecho digital europeo, y conviene saber que todavía no hay que mover ficha.
Si necesitas abogados de protección de datos para empresas, solicita una valoración inicial gratuita.
Existen dos ómnibus digitales y se confunden constantemente. La Comisión presentó ambos el mismo día, con numeración consecutiva, y solo uno ha llegado a ser norma. Distinguirlos es lo primero, porque el estado jurídico de cada uno es opuesto.
| Aspecto | Ómnibus sobre IA | Ómnibus sobre datos |
|---|---|---|
| Propuesta | COM(2025) 836 | COM(2025) 837 |
| Normas afectadas | Reglamento de IA | RGPD, Data Act, ePrivacy y NIS2 |
| Situación | Aprobado. Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026 | En negociación, sin posición común del Consejo |
| Efecto para tu empresa | Obligatorio ya | Ninguno todavía |
El de inteligencia artificial se tramitó por separado y salió adelante en ocho meses. Reordenó el calendario del Reglamento de IA y mantuvo intactas las obligaciones de transparencia, como explicamos en el análisis de las obligaciones de transparencia en IA para empresas. El de datos ha seguido el camino contrario.
El Ómnibus Digital sobre datos no tiene posición común del Consejo. La presidencia chipriota retiró su texto de compromiso el 30 de junio de 2026 al comprobar que no reunía mayoría cualificada entre los Estados miembros. La presidencia irlandesa reabrió la consulta en julio y aspira a cerrar un acuerdo con el Parlamento antes de que termine el año.
| Fecha | Hito |
|---|---|
| 19 de noviembre de 2025 | La Comisión presenta la propuesta COM(2025) 837 |
| 11 de febrero de 2026 | El Comité Europeo de Protección de Datos y el Supervisor Europeo adoptan el Dictamen Conjunto 2/2026 |
| 20 de febrero de 2026 | Trasciende el texto de compromiso de la presidencia chipriota, que suprime la nueva definición de dato personal |
| 30 de junio de 2026 | Chipre retira su texto por falta de mayoría cualificada |
| 1 de julio de 2026 | Irlanda asume la presidencia del Consejo |
| 16 de julio de 2026 | El subgrupo de Simplificación examina el expediente y se consulta a los Estados sobre datos seudonimizados, tratamiento para IA y exenciones de consentimiento en cookies |
El Dictamen Conjunto 2/2026 apoyó el objetivo de simplificar, pero avisó de que la nueva definición de dato personal debería decir qué es un dato personal y no qué deja de serlo. Ese reparo resultó determinante. El compromiso chipriota acabó eliminando esa definición del texto.
La consecuencia práctica es que ninguno de los cambios que siguen está cerrado. Todos pueden desaparecer o cambiar de forma antes de la votación final.
La propuesta toca el núcleo del reglamento, no sus márgenes. Redefine qué es un dato personal, crea una base jurídica nueva para la inteligencia artificial y traslada al RGPD la regulación de las cookies, que hoy vive en la Directiva ePrivacy. Son las tres modificaciones de mayor calado desde 2016.
El artículo 4.1 dejaría de aplicarse de forma absoluta. Una información no sería dato personal para una entidad concreta si esa entidad no puede identificar al interesado con medios que sea razonablemente probable que emplee. El análisis se desplaza a las capacidades reales de cada responsable, no a las de cualquier tercero imaginable.
Para una empresa que trabaja con datos seudonimizados el efecto sería enorme. El mismo conjunto de datos podría quedar fuera del RGPD en sus manos y dentro en las de su proveedor. Es también el punto que más resistencia ha encontrado y el primero que el Consejo eliminó de su texto.
Un nuevo artículo 88c reconocería el interés legítimo como base jurídica para desarrollar y explotar sistemas de inteligencia artificial. No sería automático. Exigiría un interés real, lícito y concreto, un tratamiento necesario para alcanzarlo y una ponderación en la que los derechos del interesado no prevalezcan.
Vendría acompañado de salvaguardas reforzadas, evaluaciones de impacto específicas y un derecho de oposición incondicionado. La propuesta añade además una excepción para los datos sensibles que aparecen de forma residual en conjuntos de entrenamiento, siempre que el responsable aplique medidas para evitar recopilarlos y suprima los que detecte.
El almacenamiento y el acceso a información en el equipo del usuario pasarían a regularse dentro del RGPD. El rechazo tendría que poder ejercerse con un solo clic o un medio equivalente. Tras una negativa se abriría un periodo de enfriamiento de seis meses durante el cual no se podría volver a preguntar.
El cambio de mayor alcance técnico es otro. Los responsables tendrían que respetar señales automatizadas legibles por máquina, de modo que el usuario pueda expresar su preferencia una vez en el navegador en lugar de banner a banner.
El plazo para notificar una violación de seguridad de los datos personales se ampliaría a 96 horas cuando exista probabilidad de alto riesgo. La notificación se presentaría además a través de una ventanilla única creada al amparo de la Directiva NIS2, con una plantilla común que propondría el Comité Europeo de Protección de Datos.
El objetivo es acabar con la notificación múltiple. Hoy un mismo incidente puede obligar a comunicar por separado a la autoridad de protección de datos, a la autoridad de ciberseguridad y, en el sector financiero, al supervisor bajo DORA. La ventanilla única unificaría esas tres entradas. Si operas bajo el régimen de la Directiva NIS2, este es el cambio que más te afectaría.
La propuesta concentra la regulación de datos en un solo texto. Integra en la Data Act el contenido útil de cuatro normas y las deroga, por considerar que solapan obligaciones o han quedado obsoletas.
| Norma que se deroga | Motivo |
|---|---|
| Reglamento (UE) 2022/868, de gobernanza de datos | Su contenido se integra en la Data Act |
| Directiva (UE) 2019/1024, de datos abiertos | Su contenido se integra en la Data Act |
| Reglamento (UE) 2019/1150, sobre plataformas y empresas | Se considera absorbido por el Reglamento de Servicios Digitales |
| Reglamento (UE) 2018/1807, de libre circulación de datos no personales | Se considera obsoleto |
Para una empresa que reutiliza datos del sector público o que intermedia con datos de terceros, esto significa que sus obligaciones cambiarían de norma de referencia sin desaparecer. El panorama completo de qué normativa digital te afecta hoy está en nuestra guía del marco regulatorio digital en España y la Unión Europea.
Nada que suponga rehacer procesos. El RGPD vigente se aplica íntegro y sin matices hasta que el Ómnibus se apruebe y publique, algo que no ocurrirá antes de 2027 en el mejor de los escenarios. Adelantarse a un texto que el Consejo ya ha modificado dos veces es tirar el presupuesto.
Sí tiene sentido preparar el terreno con decisiones que son útiles con la norma actual y lo seguirán siendo con la futura.
Una plataforma de comercio electrónico con sede en Valencia, que llamaremos Vertia, presupuestó en primavera una reforma completa de su sistema de consentimiento. La idea era anticiparse al periodo de enfriamiento de seis meses y a las señales automatizadas del navegador que anunciaba la propuesta.
Habría gastado el presupuesto en un régimen que hoy sigue sin existir y que el Consejo está consultando de nuevo desde julio. La decisión razonable es la contraria. Ajustar el banner a lo que ya exige la normativa vigente y la Agencia Española de Protección de Datos, y dejar la arquitectura preparada para admitir señales automatizadas el día que se aprueben.
En nuestra práctica de protección de datos vemos este error con frecuencia cuando una propuesta europea recibe mucha cobertura. Una propuesta de la Comisión no es una norma, y entre la presentación y la publicación en el Diario Oficial se cae por el camino más de lo que la gente cree. Lo prudente es distinguir siempre entre lo que ya obliga y lo que solo está escrito en un documento de trabajo.
El de inteligencia artificial sí, es el Reglamento (UE) 2026/1744 y está en vigor desde el 27 de julio de 2026. El de datos, que es el que modifica el RGPD, no. Sigue en negociación y el Consejo no ha alcanzado una posición común.
No por el Ómnibus. Ninguno de sus cambios es exigible todavía. Sí conviene revisar que cumples la normativa vigente, sobre todo que rechazar las cookies sea tan sencillo como aceptarlas, porque eso ya se exige y es motivo habitual de reclamación.
Con la propuesta actual sí, mediante el nuevo artículo 88c, pero ese artículo no existe aún. Hoy necesitas una base jurídica del artículo 6 del RGPD y una ponderación documentada. Construir un proyecto contando con una norma no aprobada es asumir un riesgo innecesario.
No hay fecha. La presidencia irlandesa aspira a cerrar un acuerdo con el Parlamento Europeo antes de que acabe 2026, pero el expediente ya ha descarrilado una vez. Aunque hubiera acuerdo este año, la publicación y la entrada en aplicación llevarían meses más.
Si tu empresa trata datos personales a escala, desarrolla sistemas de inteligencia artificial o está diseñando ahora su arquitectura de consentimiento, merece la pena decidir con criterio qué se hace hoy y qué conviene esperar. En Innovatech seguimos el expediente de cerca y ayudamos a separar la obligación real de la que todavía es solo una propuesta. Cuéntanos tu caso y lo revisamos.
Marta Suárez-Mansilla, Socia Directora de Innovatech y abogada especializada en derecho tecnológico. Formada en Copyright por Harvard Law School y en Blockchain por BerkeleyX, acumula más de 8 años de experiencia asesorando a empresas tecnológicas.