El Consejo de la Unión Europea ha acordado su posición negociadora sobre la simplificación de determinadas normas de protección de datos, privacidad y ciberseguridad. La iniciativa pretende reducir cargas administrativas y costes de cumplimiento, facilitar la aplicación del marco digital europeo y mantener una protección elevada de los datos personales y los derechos fundamentales.

Antecedentes

La propuesta forma parte del paquete legislativo «Ómnibus VII», integrado en el programa europeo de simplificación. El paquete comprende dos iniciativas: una destinada a simplificar el marco legislativo digital y otra relativa a la aplicación de las normas armonizadas sobre inteligencia artificial. El acto legislativo correspondiente a esta segunda vertiente fue adoptado el 29 de junio de 2026.

El programa responde al llamamiento del Consejo Europeo de octubre de 2024 para impulsar las actuaciones dirigidas a reforzar el mercado único y la competitividad europea. Desde febrero de 2025, la Comisión ha presentado doce paquetes ómnibus destinados a simplificar la legislación vigente. Su finalidad es reducir las cargas desproporcionadas y facilitar la actividad económica, preservando los objetivos de protección establecidos por las normas europeas.

La hoja de ruta «Una Europa, un mercado», suscrita por las presidencias del Consejo, el Parlamento Europeo y la Comisión el 24 de abril de 2026, con ocasión de la reunión informal de dirigentes celebrada en Nicosia, establece el objetivo de concluir los trabajos sobre todos los paquetes de simplificación antes de finales de 2027.

Contenido del mandato negociador

La posición del Consejo comprende modificaciones del Reglamento General de Protección de Datos —RGPD—, la actualización de las normas sobre cookies de la Directiva sobre la Privacidad y las Comunicaciones Electrónicas, la derogación de disposiciones del Reglamento sobre las relaciones entre plataformas y empresas —P2B— y la consolidación de las normas del mercado único en materia de datos. También aborda la coordinación de las obligaciones de notificación de incidentes de ciberseguridad y de datos.

El mandato pretende facilitar la aplicación conjunta de esos instrumentos y reducir las dificultades que afrontan las empresas y las administraciones cuando deben cumplir obligaciones previstas en distintos actos legislativos. Su contenido constituye la posición del Consejo para las negociaciones con el Parlamento Europeo y deberá concretarse en el texto que finalmente acuerden ambas instituciones.

Protección de datos personales e investigación científica

El Consejo mantiene la definición vigente de datos personales e introduce una disposición específica sobre la seudonimización y la identificación de las personas físicas. La finalidad es aclarar las reglas aplicables y ayudar a las organizaciones a determinar y cumplir sus obligaciones conforme al RGPD. El mandato también contempla simplificaciones relativas a las solicitudes infundadas o excesivas y a determinadas obligaciones de información en circunstancias de bajo riesgo.

En materia de investigación científica, la posición negociadora respalda una definición basada en principios que permita aplicar de manera coherente las disposiciones sobre tratamiento de datos con esa finalidad. La medida se acompaña de exenciones específicas de determinadas obligaciones, destinadas a facilitar la actividad de las organizaciones de investigación dentro de un marco de protección adecuado.

El mandato incorpora asimismo salvaguardias para la excepción propuesta que permitiría tratar datos sensibles con fines de verificación biométrica y en el desarrollo y funcionamiento de sistemas de inteligencia artificial. Las modificaciones incluyen aclaraciones sobre la base jurídica del tratamiento de datos personales y sobre las garantías que deben acompañarlo.

El Consejo también respalda la ampliación del plazo para notificar violaciones de la seguridad de los datos personales. Otras medidas buscan mejorar la coherencia del cumplimiento mediante una lista única europea de categorías de tratamiento que puedan entrañar un alto riesgo para las personas y modelos comunes que faciliten a las organizaciones atender sus obligaciones reglamentarias.

Reutilización de datos y secretos comerciales

La consolidación de las normas sobre gestión de datos con fines altruistas y servicios de intermediación pretende simplificar los procedimientos y reducir las cargas asociadas a la interpretación y aplicación de diferentes legislaciones nacionales. La medida afecta tanto a las administraciones que disponen de datos del sector público como a quienes solicitan su reutilización.

El mandato contempla que los organismos del sector público puedan establecer condiciones diferenciadas y cobrar tarifas más elevadas por la reutilización de datos a empresas de gran tamaño, en particular a las designadas como guardianas de acceso.

La protección de los secretos comerciales constituye otra de las prioridades. El Consejo propone reforzar las salvaguardias frente al riesgo de filtraciones a terceros países y dispone que su divulgación únicamente debería producirse cuando el titular de los datos y el usuario hayan adoptado todas las medidas necesarias para preservar su confidencialidad.

Privacidad electrónica y cookies

La posición del Consejo mantiene las normas sobre cookies y otras tecnologías de seguimiento en línea dentro de la Directiva sobre la Privacidad y las Comunicaciones Electrónicas. La actualización pretende precisar y ampliar las finalidades para las que no sería necesario obtener el consentimiento del usuario antes de instalar cookies en su dispositivo.

Los supuestos mencionados comprenden los necesarios para prestar un servicio, medir audiencias o garantizar la seguridad del dispositivo. La delimitación de esas finalidades busca reducir el número de avisos durante la navegación y facilitar la aplicación de las reglas sobre consentimiento.

El mandato también contempla modificaciones del reglamento relativo al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, con objeto de ajustarlo a los cambios propuestos para el RGPD y mantener la coherencia entre ambos regímenes.

Notificación de incidentes de ciberseguridad y de datos

El Consejo propone sustituir el punto de entrada único a escala europea previsto por la Comisión por un punto de entrada nacional en cada Estado miembro. Los puntos nacionales facilitarían la notificación de incidentes y acontecimientos relacionados conforme a las obligaciones establecidas en diferentes actos legislativos de la Unión.

La posición negociadora prevé, además, un punto de información europeo sobre notificación de incidentes y disposiciones específicas para avanzar hacia un marco armonizado. También atiende a las particularidades de los incidentes transfronterizos, cuya gestión puede requerir la intervención de autoridades de varios Estados miembros.

La reforma pretende facilitar la presentación de las comunicaciones exigidas, reducir las cargas administrativas y mejorar la coordinación cuando un mismo incidente resulte relevante para distintas obligaciones legales.

Actuaciones futuras

La Presidencia del Consejo iniciará las negociaciones con el Parlamento Europeo una vez que este adopte su propia posición negociadora, con el propósito de alcanzar un acuerdo rápido. Las conversaciones deberán determinar el alcance definitivo de las simplificaciones, las salvaguardias aplicables y las condiciones de funcionamiento de los mecanismos de notificación.

La tramitación se integra en el calendario de la hoja de ruta «Una Europa, un mercado», que fija como objetivo concluir los trabajos sobre los paquetes de simplificación antes de finales de 2027.