El Digital Omnibus y la transformación del RGPD: simplificación, armonización y riesgos regulatorios

Uno de los elementos más significativos es la revisión del artículo 9 del RGPD. La propuesta plantea sustituir la referencia actual a datos “que revelen” información sensible por una prohibición circunscrita únicamente a los datos que “revelen directamente” esas características en relación con un individuo concreto. La diferencia entre ambas formulaciones puede parecer sutil, pero supone un desplazamiento relevante en el alcance de la protección reforzada. En la práctica, tratamientos que permitan inferir atributos sensibles sin una revelación directa podrían quedar fuera del perímetro actual, especialmente en contextos de análisis automatizado o inferencia algorítmica.

Además, el borrador añade nuevas circunstancias en las que el tratamiento de estas categorías de datos estaría permitido. Entre ellas se incluye el uso de datos en el desarrollo y la operación de sistemas de inteligencia artificial, siempre bajo condiciones específicas destinadas a minimizar riesgos residuales, y la utilización de datos biométricos para verificar la identidad cuando dichos datos permanezcan bajo el control exclusivo de la persona.

En coherencia con esta apuesta por reforzar las salvaguardas ex ante en materia de IA, la posible incorporación de un nuevo artículo 88c confirma la voluntad de reconocer explícitamente el interés legítimo como base jurídica para el tratamiento de datos personales en el contexto del desarrollo y funcionamiento de sistemas de IA. Esta previsión pretende ofrecer un marco jurídico más claro para actividades que, por su propia naturaleza, dependen del acceso a grandes volúmenes de datos. Aun así, la propuesta se acompaña de obligaciones preventivas reforzadas, entre ellas la minimización desde la fase de selección de fuentes, la adopción de medidas para evitar revelaciones residuales y un derecho de oposición fortalecido para las personas afectadas.

Este enfoque pone de relieve una tensión estructural entre la protección tradicional basada en el consentimiento o la necesidad contractual y las exigencias de escalabilidad y eficiencia propias de los modelos algorítmicos. El reconocimiento explícito del interés legítimo como base jurídica para actividades de IA podría, en efecto, aliviar cargas operativas y aportar mayor claridad a los desarrolladores. Sin embargo, también plantea interrogantes sobre cómo preservar un equilibrio adecuado entre innovación y la protección de los derechos y libertades fundamentales de los interesados. En este contexto, la propuesta puede entenderse asimismo como una reacción a la percepción creciente de que el RGPD limita la capacidad de la Unión Europea para competir en el ámbito de la inteligencia artificial, especialmente frente a jurisdicciones como Estados Unidos, donde la innovación avanza con menos restricciones regulatorias. Así, al introducir un marco algo más permisivo y orientado a facilitar el acceso a datos, el Omnibus parece buscar impulsar la inversión en IA y reducir barreras operativas, intentando al mismo tiempo preservar las garantías esenciales del modelo europeo de protección de datos.

Asimismo, el texto introduce una reformulación de la excepción al deber de información del artículo 13 del RGPD. Conforme a la nueva redacción, el responsable podría no proporcionar la información cuando los datos se recojan en el marco de una relación clara y delimitada con el interesado, siempre que el tratamiento no sea intensivo y que existan motivos razonables para presumir que la persona conoce la identidad del responsable y las finalidades del tratamiento. Este cambio pretende reducir redundancias en situaciones donde la carga informativa puede considerarse excesiva, aunque la aplicación práctica dependerá de cómo se interprete la existencia de una relación “clara y delimitada” y de los parámetros que definan un uso no intensivo.

El borrador propone igualmente ajustar el régimen relativo al ejercicio de los derechos reconocidos en los artículos 13 y 14, así como las comunicaciones y actuaciones derivadas de los artículos 15 a 22 y 34. Si bien estas deberán seguir proporcionándose de forma gratuita, el texto introduce una precisión relevante: cuando las solicitudes de un interesado sean manifiestamente infundadas o excesivas, en particular, por su carácter repetitivo o porque se utilicen los derechos conferidos por el Reglamento para fines distintos a la protección de sus datos, el responsable podrá cobrar una tarifa razonable que tenga en cuenta los costes administrativos de atender la solicitud, o incluso rechazar su tramitación. En cualquier caso, corresponderá siempre al responsable demostrar que la solicitud es manifiestamente infundada o que existen motivos razonables para considerarla excesiva.

En materia de seguridad, el borrador amplía a 96 horas el plazo de notificación de brechas de datos personales y prevé la creación de un punto único de comunicación. Este sistema actuaría como un vínculo desde el que se distribuirían las notificaciones a las distintas autoridades competentes, siguiendo el principio de “report once, share many”. La convergencia de obligaciones derivadas del RGPD, NIS 2, DORA, eIDAS y otras normas persigue racionalizar la carga administrativa y eliminar duplicidades, aunque también redefine el papel de los responsables en la gestión de incidentes.

Paralelamente, se propone encomendar al EDPB la elaboración de listas europeas sobre los supuestos que requieren evaluaciones de impacto en protección de datos, junto con una metodología y una plantilla comunes para su ejecución. Este cambio sustituiría las listas nacionales por un mecanismo uniforme, potenciando la coherencia regulatoria.