El Consejo de la UE rechaza cambios en la definición de 'datos personales' del RGPD en un borrador filtrado del Ómnibus Digital

En un giro significativo para la política digital europea, un texto de compromiso filtrado del Consejo de la Unión Europea sugiere que los estados miembros se están moviendo para bloquear los cambios propuestos a la definición de "datos personales" bajo el Reglamento General de Protección de Datos (RGPD). El documento, con fecha del 20 de febrero de 2026 y circulado por la presidencia chipriota, indica una firme preferencia por mantener el statu quo frente a las revisiones más amplias —y controvertidas— de la Comisión Europea.

El borrador, que salió a la luz justo antes de las reuniones diplomáticas de alto nivel en Bruselas, marca una coyuntura crítica para el llamado "Ómnibus Digital". Este paquete legislativo tenía como objetivo simplificar el conjunto de normas digitales de la UE y adaptarlo a la era de la inteligencia artificial avanzada y la computación de borde ubicua. Sin embargo, la decisión de eliminar la definición revisada de datos personales sugiere que los estados miembros desconfían de reabrir la "Caja de Pandora" de las definiciones fundamentales de privacidad.

La estabilidad del statu quo

Durante casi una década, la definición de datos personales ha servido como piedra angular de la legislación europea sobre privacidad. Bajo el RGPD actual, los datos personales se definen como cualquier información relativa a una persona física identificada o identificable. La propuesta original de la Comisión Europea para el Ómnibus Digital buscaba refinar esto, ampliando potencialmente el alcance para incluir categorías más matizadas de metadatos e identificadores de comportamiento que son generados cada vez más por sistemas de IA.

La decisión del Consejo de eliminar estas revisiones refleja un enfoque de "la seguridad es lo primero". Al ceñirse al texto existente, los estados miembros evitan la enorme incertidumbre jurídica que desencadenaría una nueva definición. Para las empresas, un cambio en la definición habría significado reevaluar cada base de datos, cada formulario de consentimiento y cada acuerdo de procesamiento de datos actualmente en vigor. El Consejo parece haber priorizado la estabilidad regulatoria sobre el deseo de precisión técnica de la Comisión.

Por qué es importante la definición

Para entender por qué este movimiento es tan significativo, se puede pensar en la definición de datos personales como el "gancho jurisdiccional" del RGPD. Si una pieza de información entra dentro de esa definición, se aplica todo el peso de la ley de privacidad de la UE. Si queda fuera, los datos pueden ser movidos, vendidos o analizados con muchas menos restricciones.

Los críticos de la expansión propuesta argumentaron que una definición más amplia habría capturado inadvertidamente datos "anonimizados" que se utilizan actualmente para la investigación médica y la planificación de infraestructuras. Por otro lado, los defensores de la privacidad temen que, al mantener la antigua definición, la UE no esté abordando los riesgos de "reidentificación" que plantea el aprendizaje automático moderno, donde puntos de datos aparentemente anónimos pueden entrelazarse para desenmascarar a un individuo.

El acto de equilibrio de la presidencia chipriota

Chipre, que actualmente ostenta la presidencia rotatoria del Consejo, tiene la envidiable tarea de encontrar un punto medio entre veintisiete estados miembros con prioridades digitales divergentes. El texto de compromiso filtrado sugiere que el equipo chipriota se está centrando en la "armonía procedimental" en lugar de una "revisión de las definiciones".

Al eliminar las polémicas revisiones de los datos personales, es probable que la presidencia esté intentando despejar el camino para el resto del Ómnibus Digital. Este paquete incluye actualizaciones vitales sobre la aplicación transfronteriza y la cooperación entre las Autoridades Nacionales de Protección de Datos (APD). Si la definición de datos personales permaneciera sobre la mesa, podría haber estancado todo el proceso legislativo durante años.

Implicaciones para la industria tecnológica

Para el sector tecnológico, esta filtración se ve en gran medida como un respiro. La industria ha argumentado durante mucho tiempo que el RGPD ya es lo suficientemente complejo de navegar. Una definición cambiante de su término más fundamental habría creado un "objetivo de cumplimiento móvil".

¿Qué sucede después?

Según se informa, el borrador fue discutido por diplomáticos de los estados miembros el 27 de febrero. Si el Consejo mantiene esta posición, la siguiente etapa serán las negociaciones del "trílogo" entre el Consejo, el Parlamento Europeo y la Comisión Europea. El Parlamento ha sido históricamente más protector de los derechos de los interesados y puede luchar para reintroducir algunas de las protecciones más amplias que la Comisión imaginó originalmente.

Sin embargo, el frente unido del Consejo en este tema envía una señal fuerte: los gobiernos nacionales de Europa no están actualmente de humor para un rediseño radical de los fundamentos de la privacidad. Quieren que las reglas funcionen mejor, no necesariamente que sean más amplias.

Conclusiones prácticas para las organizaciones

Aunque la definición de datos personales puede permanecer igual, el panorama de la aplicación de la ley sigue cambiando. He aquí en qué deberían centrarse las organizaciones a medida que avanza el Ómnibus Digital:

• Audite su mapeo de datos: Incluso si la definición no cambia, la interpretación de los tribunales (como el TJUE) continúa evolucionando. Asegúrese de que su inventario de datos esté actualizado.
• Céntrese en el cumplimiento procedimental: Es probable que el Ómnibus Digital introduzca plazos más estrictos para responder a las consultas de las APD. Revise sus flujos de trabajo de informes internos.
• Supervise el trílogo: El texto final no está escrito en piedra. Siga de cerca la respuesta del Parlamento Europeo a este borrador del Consejo durante los próximos meses.
• Invierta en anonimización: Independientemente de la definición legal, la mejor manera de reducir el riesgo es garantizar que los datos estén verdaderamente anonimizados utilizando técnicas de vanguardia que resistan la reidentificación.

Fuentes

• European Council: Council of the European Union Overview
• Euractiv: Digital & Media Policy Reports
• Politico Europe: Tech and Data Protection Coverage
• European Commission: GDPR Procedural Rules and Digital Omnibus Documentation
• Official Journal of the European Union: GDPR Text and Definitions