Descubre las principales modificaciones que introduce el Ómnibus Digital para actualizar y armonizar el RGPD: datos personales, IA, cookies y más.
La Comisión Europea ha impulsado una nueva fase de ajuste del marco normativo digital mediante la propuesta del conocido Ómnibus Digital, una iniciativa que no cuestiona el nivel de protección del RGPD, sino que busca hacerlo más operativo y coherente en la práctica, reduciendo cargas administrativas innecesarias y reforzando la seguridad jurídica de las organizaciones en un entorno digital cada vez más complejo y tecnológicamente avanzado.
A continuación, se recogen los cambios más significativos:
- Concepto de dato personal
- Se aclara cuándo una información debe tratarse como “dato personal”. Solo lo será si realmente puede utilizarse para identificar a alguien. Si no permite saber quién es la persona, no hará falta aplicar todas las normas del RGPD.
- Principio de limitación de la finalidad
- Los datos que se recogieron para un fin concreto podrán reutilizarse para investigación científica, fines estadísticos o archivo, siempre bajo medidas que protejan a las personas, como ocultar identidades o usar solo los datos estrictamente necesarios.
- Excepciones para el tratamiento de categorías especiales de datos
- Los datos sensibles tienen protecciones estrictas, pero habrá dos excepciones muy concretas:
- Se podrán usar para entrenar sistemas de inteligencia artificial, pero solo de forma limitada y con medidas muy estrictas.
- Se podrán utilizar para verificar la identidad mediante biometría, siempre que el control del proceso lo mantenga la persona.
- Los datos sensibles tienen protecciones estrictas, pero habrá dos excepciones muy concretas:
- Deber de información
- Las empresas deben informar siempre de cómo usan los datos, pero el Ómnibus Digital permite flexibilizar esta obligación cuando el riesgo es bajo y la información ya es conocida por la persona. Eso sí, esta flexibilidad no se aplica cuando hay transferencias internacionales, decisiones automatizadas o tratamientos que puedan generar un riesgo elevado. En investigación, también podrá flexibilizarse cuando informar uno a uno sea imposible o desproporcionado.
- Decisiones automatizadas
- No se amplían los supuestos permitidos, pero se aclara que una decisión puede ser “necesaria para un contrato” aunque exista alternativa manual, aportando mayor seguridad jurídica.
- Brechas de seguridad
- Sólo será obligatoria la notificación cuando exista probabilidad de alto riesgo, con un plazo ampliado a 96 horas y una futura ventanilla única integrada con ciberseguridad.
- Evaluaciones de impacto
- Avance hacia una armonización europea de criterios. Habrá listas únicas de tratamientos, metodología y plantilla común, reduciendo la fragmentación actual.
- Cookies y Tecnologías similares
- El régimen se integra en el RGPD: consentimiento más claro, rechazo en un solo clic y respeto a señales técnicas de preferencia de privacidad.
- Inteligencia artificial
- Se reconoce el interés legítimo como base jurídica para entrenar sistemas de inteligencia artificial, con medidas que garanticen la minimización de datos, transparencia y derecho de oposición.
