Miguel Recio, presidente de APEP·IA.
La Comisión Europea ha puesto sobre la mesa una de las reformas normativas más ambiciosas desde la entrada en vigor del RGPD en 2016 y su aplicación efectiva desde 2018. El denominado Reglamento Ómnibus Digital aspira a consolidar en un único instrumento buena parte del acervo regulatorio europeo sobre datos: desde el Reglamento de Datos (Data Act) hasta la Directiva de datos abiertos, pasando por el Reglamento de Gobernanza de Datos (Data Governance Act).
El objetivo declarado es reducir cargas administrativas, eliminar duplicidades y reforzar la competitividad del mercado único digital. Nadie puede oponerse a esos fines. La pregunta es si los medios elegidos son los adecuados.
Desde APEP·IA hemos seguido de cerca este proceso y hemos tenido la oportunidad de debatirlo con autoridades de control, operadores y expertos jurídicos. La conclusión es clara: estamos ante una propuesta asimétrica, en la que algunos avances relevantes conviven con cambios que merecen una reflexión más pausada antes de ser adoptados.
Desde la perspectiva de protección de datos, hay garantías que son innegociables y no deben diluirse en aras de la eficiencia.
Primero, la finalidad y la minimización no pueden convertirse en cláusulas de estilo. Cualquier racionalización normativa debe preservar la limitación de la finalidad, evitar títulos habilitantes “comodín” y prohibir la “reutilización” por defecto, especialmente en contextos de interoperabilidad y reutilización de datos públicos y privados. Segundo, la simplificación no puede erosionar los derechos de las personas. La portabilidad, el acceso y la oposición deben ser usables en entornos de tiempo real y tratamiento masivo; esto exige formatos interoperables, APIs seguras y plazos uniformes.
Y tercero, es esencial la gobernanza coherente: coordinación reforzada entre autoridades de protección de datos y reguladores sectoriales para evitar foros paralelos y forum shopping. Un mecanismo de coherencia “inter-regulatorio”, con criterios de competencia claros y resultados vinculantes, reducirá fricciones sin rebajar el listón.
Dicho esto, sería injusto ignorar los elementos positivos de la propuesta. Un Ómnibus Digital europeo puede ser la palanca adecuada para depurar duplicidades normativas y armonizar procedimientos en el mercado único. La simplificación es necesaria: hoy los operadores encajan obligaciones dispersas -plataformas, datos, identidad digital, ciberseguridad- que se solapan y generan costes de cumplimiento desproporcionados sin beneficio claro para las personas.
Unificar definiciones, ventanillas únicas y calendarios de aplicación aportaría certeza jurídica y aliviaría a PYMES. Y la integración del régimen de datos abiertos y gobernanza de datos en una versión actualizada de la Data Act tiene una lógica racionalizadora que facilita el cumplimiento.
Para conceptos “difíciles” (por ejemplo, corresponsabilidad o delimitación responsable/encargado), la convergencia no debe inventar nuevas etiquetas, sino positivizar en textos de ejecución y guías interregulatorias los criterios ya consolidados por el CEPD (por ejemplo, control conjunto por determinación convergente de fines/medios; funciones del encargado). Incorporar por remisión estas pautas a actos delegados o guías comunes evita divergencias sin tocar el núcleo del RGPD.
El calendario legislativo prevé dictámenes del Parlamento y el Consejo a lo largo de 2026, con una aprobación final que podría producirse entre finales de 2027 y principios de 2028. Queda tiempo, por tanto, para afinar. Pero ese tiempo no debe interpretarse como una invitación a la demora. Las organizaciones harán bien en anticiparse: identificar los impactos operativos, revisar sus modelos de gobernanza del dato y preparar sus estructuras de cumplimiento para un entorno que va a cambiar de forma profunda y sostenida.
La simplificación es necesaria. La competitividad es importante. Pero ninguno de esos objetivos puede conllevar una merma del derecho fundamental a la protección de datos. Europa tiene la oportunidad de demostrar que innovación y garantías no son términos incompatibles, sino que lo que buscamos y deseamos es una innovación responsable. Logrémosla.
***Miguel Recio Gayo es presidente de la Asociación Profesional Española de Privacidad (APEP·IA)
