Ómnibus digital y RGPD: qué cambiaría en tu empresa y por qué no conviene esperar

Qué ha pasado

El 21 de octubre de 2026, los embajadores de los Estados miembros reunidos en el Coreper aprobaron la posición del Consejo de la UE sobre el Ómnibus digital, el paquete con el que la Comisión propuso en noviembre de 2025 simplificar varias normas digitales, entre ellas el RGPD. El texto se difundió al día siguiente como documento 14756/26, según Cuatrecasas.

Tres cosas para situarse:

• Es un mandato de negociación, no una norma. Es lo que defenderán los gobiernos frente al Parlamento Europeo.
• El Parlamento todavía no tiene posición. Hasta que la fije no empiezan los trílogos. NicFab sitúa la votación en comisión a principios de 2027.
• El RGPD sigue igual mientras tanto, con sus plazos y sus obligaciones.

Este paquete es distinto del Ómnibus que ya cambió el calendario de la Ley de IA, que es ley desde julio (lo contamos en AI Act tras el Ómnibus). Este toca la protección de datos, y ahí está lo que más afecta al día a día de una empresa con clientes.

Qué cambiaría, en una tabla

La definición de dato personal no cambia: el Consejo rechazó la redacción de la Comisión que la hacía relativa.

Brechas de seguridad: más plazo, pero el registro sigue

Es el cambio más práctico. Con la posición del Consejo, solo se notificarían a la autoridad las brechas que probablemente supongan un alto riesgo para las personas, y el plazo pasaría de 72 a 96 horas. El Comité Europeo de Protección de Datos publicaría listas comunes de qué brechas son de alto riesgo y cuáles no.

Lo que no desaparece es la obligación de documentar todas las brechas, también las que no se notifican. Y hoy, el plazo es el que marca el RGPD: 72 horas desde que se tiene constancia.

Para una pyme, la diferencia real no la marcan 24 horas más o menos, sino saber a tiempo que ha habido una brecha y tener anotado qué pasó. Si un correo con datos de un cliente sale a quien no debe o un portátil se pierde, ¿quién se entera, quién decide si hay riesgo y dónde queda escrito?

IA y datos personales: el interés legítimo no es un cheque en blanco

El mandato mantiene la mención al interés legítimo como base para desarrollar y usar sistemas de IA con datos personales, pero con condiciones que conviene leer despacio, según el análisis de Cuatrecasas:

• Caso a caso. Hay que hacer la ponderación de siempre entre tu interés y los derechos de las personas.
• Desarrollar IA no es, por sí solo, un interés legítimo. Lo dice expresamente un considerando.
• Derecho de oposición. Se aplica el general del artículo 21.
• Datos sensibles, solo cuando aparecen de forma residual e incidental, sin buscarlos.

La mayoría de las pymes no entrenan modelos: usan IA para trabajar con datos que ya tienen, como el correo de un cliente, una factura o un pedido. Para eso siguen valiendo las reglas que explicamos en agentes de IA en la empresa: riesgos, RGPD y AI Act: base jurídica, contrato de encargo con cada proveedor, minimización y control de lo que sale de la UE. El Ómnibus no cambia nada de eso.

Datos seudonimizados: para tu proveedor siguen siendo personales

La Comisión quería que los datos seudonimizados dejaran de ser personales para quien no pudiera identificar a la persona. El Consejo lo deja en un artículo nuevo y más acotado: no son personales para un tercero sin medios para reidentificar, pero lo vuelven a ser si se ceden a alguien que sí puede, y para el encargado del tratamiento son siempre datos personales.

Traducido: seudonimizar antes de enviar datos a un proveedor de IA sigue siendo buena práctica, porque reduce lo que se expone. Pero no te libra del contrato de encargo ni de las demás obligaciones con ese proveedor.

Cookies y solicitudes de acceso

Cookies. Las reglas no pasan al RGPD y siguen en la Directiva de privacidad electrónica. El Consejo amplía los usos que no necesitan consentimiento, como un servicio que el usuario ha pedido, la medición de audiencia y la seguridad del dispositivo, lo que debería reducir los avisos. Si el usuario dice que no, no se le podría volver a preguntar durante cuatro meses. Al ser una directiva, haría falta además cambiar la ley española. El aviso de tu web se queda como está.

Solicitudes de acceso. Podrías rechazar una solicitud si demuestras que hay intención abusiva, pero la prueba es tuya y tienes que explicar el motivo. En la práctica, lo que más ayuda es poder responder rápido: saber dónde están los datos de cada cliente.

Qué hacer ahora en una pyme

Nada de lo que propone el Consejo obliga a cambiar hoy, pero todo apunta en la misma dirección. Esta es la lista que no depende de cómo acabe la negociación:

1. Un procedimiento de brechas de una página: quién avisa, quién decide si hay riesgo, quién notifica a la AEPD en 72 horas y dónde se anota.
2. Un registro de brechas, también de las pequeñas. Lo exige el RGPD hoy y lo seguirá exigiendo.
3. Inventario de proveedores que tocan datos, incluidos los de IA, con su contrato de encargo y dónde guardan la información.
4. Saber dónde están los datos de cada cliente, para atender una solicitud de acceso o de supresión sin buscar a ciegas.
5. No quitar el aviso de cookies ni cambiar bases jurídicas por lo que diga un borrador.
6. Volver a mirar cuando el Parlamento fije su posición y, sobre todo, cuando haya texto final.

Cómo lo hacemos en Amud

En los agentes de IA para empresas que construimos, los datos se quedan en las cuentas del cliente, usamos proveedores de IA de la UE con su contrato de encargo y seudonimizamos cuando hace falta. Cada acción del agente queda registrada con su autor y lo que sale hacia fuera espera la aprobación de una persona. Ese registro es el que permite saber qué pasó, a qué datos afectó y responder en plazo, sea el plazo de 72 horas o el de 96.