Los representantes permanentes de los Estados miembros aprobaron el 21 de octubre el mandato de negociación del Consejo sobre el llamado Ómnibus Digital, el paquete de simplificación que modifica el Reglamento General de Protección de Datos, las reglas de cookies y las obligaciones de notificación de incidentes. Es una posición de partida para negociar, no legislación aprobada: el Parlamento Europeo todavía tiene que adoptar la suya antes de que arranquen los trílogos.
En materia de protección de datos, el Consejo mantuvo la definición actual de dato personal en lugar de adoptar el enfoque que proponía la Comisión. La consecuencia práctica es que los datos seudonimizados no quedan automáticamente fuera del ámbito del RGPD, que era el punto que más inquietaba a quienes temían un vaciado del reglamento por la vía de la definición. Las simplificaciones que sí salen adelante son de otro orden: el plazo de notificación de brechas pasa de 72 a 96 horas, sube el umbral a partir del cual hay que notificar, se facilita el tratamiento de solicitudes manifiestamente infundadas o excesivas, se definen exenciones acotadas a las obligaciones de información en situaciones de bajo riesgo y se introduce una lista única a escala europea de categorías de tratamiento de alto riesgo.
El punto que más debate ha generado es el que afecta a la inteligencia artificial. El texto reconoce el interés legítimo como base jurídica válida para el desarrollo y la operación de sistemas y modelos de IA. El Consejo no elimina el consentimiento —sigue siendo una de las bases posibles—, sino que afirma que, para la IA, el interés legítimo puede bastar. Sobre la excepción que la Comisión planteaba para datos de categorías especiales en verificación biométrica y desarrollo de IA, el Consejo añadió salvaguardas en lugar de rechazarla del todo. Organizaciones de defensa de la privacidad han sido críticas con el planteamiento.
En cookies el cambio es estructural: las reglas vuelven al artículo 5(3) de la Directiva de privacidad electrónica en lugar de incorporarse al RGPD, con una lista cerrada de seis finalidades exentas de consentimiento —transmisión en red, servicios solicitados explícitamente, medición de audiencia propia, medición de medios, seguridad técnica y presentación de publicidad contextual— y un intervalo mínimo de cuatro meses, en lugar de seis, antes de volver a preguntar al usuario. Decae la obligación de atender señales automatizadas de consentimiento del navegador. En notificación de incidentes, el Consejo abandona el punto de entrada único europeo en favor de puntos de entrada nacionales en cada Estado miembro.
Para un responsable de datos en España, nada de esto cambia todavía una sola obligación: hasta que no concluyan los trílogos no hay texto aplicable, y el calendario que se maneja apunta a 2027. Lo que sí conviene es leer el mandato como señal de dirección. Si la base de interés legítimo para IA sobrevive a la negociación, el trabajo de cumplimiento se desplaza del consentimiento previo hacia la evaluación de ponderación de intereses y su documentación, que es un ejercicio distinto y que exige tener el linaje del dato razonablemente resuelto. Y la vuelta de las cookies a la directiva de privacidad electrónica implica revisar quién es la autoridad competente y bajo qué norma se analiza cada tratamiento.
Más en Dataprix: sección de gobierno del dato de Dataprix
Fuente: PPC Land
Contenido elaborado con asistencia de inteligencia artificial — Equipo Editorial Dataprix. Verifica la información antes de tomar decisiones.