¿Han cambiado ya el RGPD y las cookies? Dónde está de verdad el Ómnibus digital

Basta con buscar «cambios en el RGPD» para encontrar guías que explican con todo detalle cómo aplicar los nuevos artículos 88 bis y 88 ter, los de las cookies, como si ya estuvieran en el Boletín. Hay un problema pequeño: esos artículos no existen. Son una propuesta de la Comisión Europea dentro del Ómnibus digital, y el tramo que toca el RGPD y las cookies sigue en negociación a mediados de octubre de 2026. Ni el Parlamento ni el Consejo han fijado todavía su posición.

La confusión tiene explicación. El paquete tenía otra mitad dedicada a la inteligencia artificial, y esa sí es ya derecho vigente. Quien leyó en julio que «el Ómnibus se ha publicado» y dio por hecho que venía entero se ha quedado con media noticia. Esta es la otra media, contada con los documentos oficiales delante.

Dos autobuses salieron de la misma parada

«Ómnibus» significa autobús: un vehículo al que se suben muchos pasajeros a la vez. El 19 de noviembre de 2025 la Comisión hizo salir dos de la misma parada. El primero, la propuesta COM(2025) 836, llevaba las reformas del Reglamento de IA. El segundo, la COM(2025) 837, cargaba con el RGPD, la Directiva ePrivacy (la de las cookies), la notificación de incidentes de NIS2 y DORA y la reordenación de toda la normativa europea de datos.

El autobús de la IA ya ha llegado a destino. Es el Reglamento (UE) 2026/1744, publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio; sus efectos los explicamos en nuestro análisis del Ómnibus sobre IA. El de los datos sigue en ruta, y por el camino se le han bajado algunos de los pasajeros más famosos.

¿En qué punto está el Ómnibus digital de datos?

Un reglamento europeo se parece a una receta que tres cocineros tienen que firmar a la vez: la Comisión la propone, y el Parlamento y el Consejo deben acordar el mismo texto. Mientras falte una firma, el plato no sale de la cocina. Así están las firmas hoy:

• Parlamento Europeo. El expediente 2025/0360(COD) figura en el Observatorio Legislativo como pendiente de decisión en comisión. Lo llevan conjuntamente las comisiones ITRE y LIBE, con Aura Salla y Marina Kaljurand como ponentes. El proyecto de informe es del 22 de junio de 2026 y las enmiendas se presentaron el 27 de julio. No hay votación en comisión ni mandato del pleno.
• Consejo. Los Estados trabajan en el Grupo Antici (Simplificación) sobre textos de compromiso de la Presidencia. El de abril (doc. 8261/26) dio paso al de mayo sobre RGPD, cookies y ciberseguridad (doc. 9547/26, de 21 de mayo, debatido el 27 de mayo), y este al compromiso revisado que el grupo debatió el 11 de septiembre (ST 12535/26, con la nota explicativa WK 13065/26) y a un segundo compromiso revisado de 21 de septiembre (ST 13112/26), que el grupo debatió el 25 de septiembre. El 2 de octubre de 2026 la Presidencia presentó un mandato para negociar con el Parlamento Europeo (ST 13886/26, revisado el 5 de octubre) y lo llevó al Comité de Representantes Permanentes del 7 de octubre. Ese día la votación se aplazó, y el 11 de octubre el texto ni se debatió ni se votó, con reservas de Alemania sobre los secretos comerciales del Data Act. No hay nueva fecha. Todos esos documentos llevan la marca LIMITE y no son públicos, así que no les atribuiremos contenido.
• Acuerdo. No consta orientación general del Consejo, y los trílogos no pueden empezar mientras el Parlamento no tenga mandato. No hay texto pactado.

Qué proponía la Comisión para el RGPD

La propuesta COM(2025) 837 cambiaba piezas concretas del RGPD. Estas son las que más titulares han generado, descritas con la memoria explicativa de la propia Comisión en la mano.

La noción de dato personal pasaría a ser relativa. Una información dejaría de ser dato personal para una entidad concreta cuando esta carezca de medios razonablemente utilizables para identificar a la persona. Pensemos en una consultora que recibe comentarios de clientes con los nombres sustituidos por códigos y que no tiene la tabla que los descifra: para ella, esos datos no serían personales; para quien guarda la tabla, sí. La Comisión presenta el cambio como la codificación de la jurisprudencia del Tribunal de Justicia sobre seudonimización, cuya última entrega es la sentencia de 4 de septiembre de 2025 en el asunto C-413/23 P (SEPD contra JUR). La propuesta añadía un acto de ejecución, preparado con el Comité Europeo de Protección de Datos, para fijar criterios técnicos.

Las cookies se mudarían al RGPD. Un nuevo artículo 88 bis llevaría al Reglamento la exigencia de consentimiento para guardar o leer datos personales en el ordenador o el móvil del usuario, con excepciones para finalidades de bajo riesgo o necesarias para el servicio que el usuario pide. Un artículo 88 ter obligaría a las webs y aplicaciones a respetar las preferencias que el usuario configure una sola vez en su navegador, en formato legible por máquina, cuando existan normas técnicas y tras un periodo de gracia de seis meses. Los prestadores de servicios de medios quedarían fuera de esa obligación.

El desarrollo de IA tendría base propia en el texto. Un considerando reconoce que entrenar, probar y validar sistemas de IA con datos personales puede ampararse en el interés legítimo del artículo 6, y el artículo 88 quater lo llevaba al articulado. Para los datos sensibles que aparecen de forma residual en los conjuntos de entrenamiento, la propuesta añadía una excepción a la prohibición del artículo 9, condicionada a medidas para evitarlos y eliminarlos. La base específica para tratar categorías especiales con el fin de detectar y corregir sesgos está en otro sitio: el nuevo artículo 4 bis del Reglamento de IA, ya vigente. Qué supone hoy para quien publica fotos en redes lo contamos en nuestra guía sobre si pueden usar tus fotos de Instagram para entrenar una IA.

Las brechas de seguridad se notificarían a la autoridad solo cuando supongan un riesgo alto, con un plazo de 96 horas y a través de un punto único de entrada gestionado por ENISA. Ese mismo punto serviría para las notificaciones de NIS2, DORA, eIDAS y la Directiva de entidades críticas, de modo que un incidente se contaría una sola vez.

Qué ha hecho el Consejo con esas piezas

La nota explicativa de la Presidencia para la reunión del 27 de mayo (WK 7178/26), publicada en el registro del Consejo aunque marcada LIMITE, describe el tercer texto de compromiso. Lo que cuenta es notable:

• La definición de dato personal del artículo 4.1 queda intacta. La mayoría de los Estados rechazó tocarla por la vía de un ómnibus, y la seudonimización pasa a un nuevo artículo 29 bis y a varios considerandos.
• El artículo 88 quater desaparece. El interés legítimo para el desarrollo y el despliegue de IA baja a un considerando, el 33 bis, que recuerda al responsable su obligación de elegir la base jurídica más adecuada.
• Las cookies se quedan en la Directiva ePrivacy. El artículo 5.3 recibe un número limitado de excepciones nuevas al consentimiento, y la de la publicidad contextual se ha caído. Como la Directiva hay que trasponerla, el plazo de trasposición pasa de 18 a 24 meses.
• Las señales automatizadas del navegador sobreviven en un nuevo artículo 8 bis del RGPD, con un considerando que remite a la normalización.
• La excepción para datos sensibles residuales en IA se mantiene.
• El punto único se rebautiza como punto de información para la notificación de incidentes, cada Estado conserva libertad para organizar su punto nacional de entrada, y la obligación de notificar a través de él se aplicaría a los 30 meses.

Qué dice el compromiso revisado de septiembre no se sabe con fuente pública. El dictamen conjunto del Comité Europeo de Protección de Datos y del Supervisor Europeo, adoptado el 11 de febrero de 2026, ya había expresado preocupaciones importantes sobre varias de estas piezas.

¿Rigen ya los artículos 88 bis y 88 ter sobre cookies?

No. Una propuesta no obliga a nadie fuera de la mesa de negociación. Para que un artículo del RGPD rija tiene que publicarse en el DOUE un reglamento que lo introduzca, y eso no ha ocurrido. Además, la versión del Consejo que conocemos ni siquiera contiene el artículo 88 bis.

Tampoco cambió nada la retirada de la propuesta de Reglamento ePrivacy de 2017, que la Comisión aprobó el 16 de julio de 2025 y publicó en el DOUE el 6 de octubre de 2025. Quitar un plano del tablón de la obra afecta tanto a la casa ya construida como esa retirada al derecho vigente: la Directiva 2002/58/CE sigue donde estaba. Es la misma norma de la que cuelga la excepción temporal conocida como Chat Control 1.0.

En España, las cookies se rigen por el artículo 22.2 de la Ley 34/2002 (LSSI), que traspone esa Directiva, y la AEPD aplica los criterios de su Guía sobre el uso de las cookies, actualizada en mayo de 2024. Desde el 11 de enero de 2024 esa guía exige que el botón de rechazar tenga el mismo nivel y protagonismo que el de aceptar. Una parte de lo que los artículos propuestos prometen como novedad ya es exigible aquí. El RGPD y la Ley Orgánica 3/2018 siguen íntegros, y las brechas se notifican hoy a la AEPD en 72 horas salvo que sea improbable que supongan un riesgo, aunque se descubran un viernes a las seis de la tarde.

Cambios en el RGPD: qué conviene hacer mientras tanto

Cumplir el marco vigente y preparar la adaptación con calma. Rehacer hoy el banner de cookies para ajustarlo a un artículo que el Consejo eliminó en su último texto conocido es gastar dos veces.

Hay piezas que merece la pena revisar porque sirven con cualquier desenlace:

• El banner, contra la guía de la AEPD: rechazo al mismo nivel que la aceptación y ninguna cookie no exenta antes del consentimiento.
• El inventario de cookies y de terceros, porque cualquier régimen futuro de excepciones exigirá saber qué hace cada una.
• La capacidad técnica de leer señales del navegador, la pieza que seguía viva en el texto del Consejo de mayo.
• Los análisis de interés legítimo de los proyectos de IA, que hoy deben superar la ponderación del artículo 6.1.f del RGPD tal como está redactado.
• El procedimiento de brechas, escrito para las 72 horas actuales.

Una startup que entrena un modelo con datos de sus clientes puede hacerlo hoy si cuenta con una base jurídica sólida y documentada. Si el texto final acaba reconociendo el interés legítimo de forma expresa, ese análisis seguirá valiendo; si no, también. Si además el modelo acaba en producción, el AI Act suma sus propias obligaciones, que ordenamos en nuestro checklist del AI Act.

Para practicar el ojo con las reglas que de verdad rigen publicamos este mes El Inspector, un juego de objetos ocultos con estética de 16 bits en la oficina de una startup: dieciséis objetos, ocho infracciones y cinco minutos para distinguirlas. Y si la AEPD ya ha llamado a la puerta, conviene saber qué se puede discutir de una multa ante la Audiencia Nacional.

Qué más lleva el mismo expediente

La propuesta COM(2025) 837 también integra la Ley de Gobernanza de Datos, la Directiva de datos abiertos y el Reglamento de libre circulación de datos no personales en el Data Act, que quedaría como texto único de la economía europea del dato junto al RGPD. Mientras eso llega, el Data Act ya obliga, y en los contratos de software como servicio tiene fecha próxima.

En nuestra área de Datos reunimos lo que hacemos en protección de datos y derecho de los datos, y para empresas de fuera de la Unión que tratan datos de usuarios europeos el trabajo tiene alcance y precio publicados en RGPD para empresas de fuera de la UE. Cuando el texto definitivo salga de la cocina, lo contaremos también.

Preguntas frecuentes

¿Tengo que cambiar ya mi banner de cookies?

Solo si no cumple hoy la guía de la AEPD. Si ofrece rechazar con la misma facilidad que aceptar y no carga cookies no exentas antes del consentimiento, puede esperar al texto definitivo.

¿Cuándo se aprobará el Ómnibus digital de datos?

No hay fecha. Faltan la votación en las comisiones ITRE y LIBE, el mandato del pleno, la posición del Consejo, los trílogos, la aprobación formal por ambas instituciones y la publicación en el DOUE. Y después cada disposición tendría su propio plazo de aplicación.

¿Puedo entrenar un modelo de IA con datos de clientes por interés legítimo?

Puede ser posible hoy, con el artículo 6.1.f del RGPD vigente: interés real, tratamiento necesario y una ponderación documentada frente a los derechos de los clientes. La reforma solo lo diría de forma expresa.

¿Los datos seudonimizados han dejado de ser datos personales?

Para quien conserva la clave, siguen siéndolo. La sentencia C-413/23 P admite que, para un destinatario que no puede reidentificar a nadie con medios razonables, puedan no serlo, y esa valoración se hace caso por caso.

¿Quién sanciona hoy las cookies en España?

La AEPD. La LSSI le atribuye la potestad sancionadora por incumplimientos de su artículo 22, y la guía de cookies es el criterio con el que la ejerce.

¿La retirada del Reglamento ePrivacy dejó las cookies en un vacío legal?

No. Se retiró una propuesta. La Directiva 2002/58/CE y su trasposición española siguen en vigor.

Si tu situación encaja, puedes reservar una videoconsulta aquí (90 €, descontables de la primera factura si finalmente aceptamos tu encargo).