El RGPD ha pasado casi ocho años como la ley de privacidad más citada del mundo, pero una negociación acelerada dentro del Consejo de la UE podría reescribir silenciosamente lo que realmente protege. Según informes sobre las conversaciones en curso, los diplomáticos del Consejo de la UE están cerca de cerrar un acuerdo de Ómnibus Digital que permitiría a los identificadores de seguimiento publicitario escapar de la ley de protección de datos para ciertos responsables del tratamiento, otorgaría a los desarrolladores de IA un atajo sin consentimiento para datos de entrenamiento y eliminaría una señal automatizada del navegador diseñada para facilitar a los usuarios comunes la exclusión del seguimiento. Para los 450 millones de residentes de la UE que dependen del RGPD como su respaldo legal contra la recopilación de datos, las negociaciones de esta semana importan más de lo que la mayoría de la gente cree.

Qué cambia el acuerdo del Ómnibus Digital en el RGPD

El Ómnibus Digital se presentó como un paquete de simplificación, una forma de recortar la fricción regulatoria para las empresas que navegan por normas digitales superpuestas de la UE. Pero la versión que ahora avanza por el Consejo va más allá de la limpieza administrativa. Según los informes actuales, el acuerdo establecería excepciones que permitirían a ciertos responsables del tratamiento considerar los identificadores de seguimiento publicitario fuera del ámbito del RGPD por completo. Eso es un cambio significativo: los identificadores de seguimiento son la columna vertebral de la publicidad conductual, y tratarlos como exentos de la ley de protección de datos elimina una capa de supervisión que se ha aplicado desde que el RGPD entró en vigor. Las mismas negociaciones también darían presuntamente a la actividad de entrenamiento de IA un atajo legal que no requiere el consentimiento del usuario, otro principio central del RGPD que se estrecha en lugar de reforzarse.

Las cifras de aplicación muestran por qué esta distinción importa. Las multas acumuladas del RGPD ya han superado los 4.000 millones de euros mientras los reguladores de todo el mundo adoptaban marcos de privacidad similares. Ese historial de aplicación existe porque las reglas de consentimiento y tratamiento del RGPD dieron a los reguladores violaciones claras sobre las que actuar. Flexibilizar esas definiciones no solo afecta a casos futuros, cambia lo que cuenta como violación en primer lugar.

Quién se beneficia: exenciones para la tecnología publicitaria y el entrenamiento de IA

Las dos mayores excepciones del acuerdo reportado apuntan en la misma dirección: reducir la fricción para las empresas que monetizan datos personales a escala. Las empresas de tecnología publicitaria han pasado años oponiéndose a los requisitos de consentimiento que ralentizan la subasta en tiempo real y el seguimiento entre sitios. Si los identificadores de seguimiento se reclasifican como exentos para algunos responsables del tratamiento, las empresas de tecnología publicitaria obtienen una vía legal más limpia para recopilar y compartir identificadores sin las mismas obligaciones de consentimiento que se aplican actualmente.

Los desarrolladores de IA se beneficiarían de manera similar. Un atajo sin consentimiento para datos de entrenamiento aborda una de las cuestiones sin resolver más controvertidas en la regulación de la IA: si los datos personales extraídos o licenciados para el entrenamiento de modelos requieren el mismo estándar de consentimiento que otros tratamientos. Eliminar ese requisito permitiría a las empresas de IA entrenar con datos de residentes de la UE con menos exposición legal, incluso mientras los debates sobre la transparencia de la IA y la procedencia de los datos continúan en otros foros de Bruselas.

Ninguna de estas exenciones elimina el RGPD por completo. Pero estrechan su alcance precisamente en las dos áreas donde la recopilación de datos personales se ha expandido más rápido en los últimos años.

La señal del navegador descartada y lo que significaba para las exclusiones

Quizás el detalle más trascendental del acuerdo reportado es el más pequeño: la eliminación de una señal automatizada del navegador destinada a permitir a los usuarios registrar exclusiones de seguimiento sin tener que hacer clic en los banners de consentimiento en cada sitio que visitan. Señales como esta están pensadas para trasladar la carga de la gestión de la privacidad de los usuarios individuales hacia la configuración predeterminada a nivel del navegador, de modo que un solo ajuste pueda comunicar la preferencia de una persona en toda la web. Eliminar ese mecanismo del paquete del Ómnibus Digital significa que los usuarios pierden una forma estandarizada y de baja fricción de decir no al seguimiento, y son empujados de vuelta a gestionar manualmente las ventanas emergentes de consentimiento sitio por sitio, un proceso que la mayoría de la gente omite sin leer.

Qué significa esto para ti

Si este acuerdo avanza según lo informado, los residentes de la UE no perderán el RGPD de la noche a la mañana, pero sí perderán parte de su mordiente práctica precisamente en las áreas donde el seguimiento es más generalizado: la publicidad y la IA. Sin una señal de exclusión a nivel del navegador, la responsabilidad de limitar el seguimiento recae aún más en los individuos en lugar de en herramientas automatizadas. Eso hace que los hábitos de privacidad personal sean más importantes, no menos. Ajustar la configuración de privacidad del navegador, limitar las cookies de terceros y usar una VPN para ocultar tu dirección IP y ubicación de las redes publicitarias no reemplazará lo que proporciona un marco regulatorio sólido, pero añaden una capa de control que no depende de cómo termine una negociación en Bruselas esta semana.

Puntos clave

Observa cómo se resuelve esta negociación del Consejo, ya que el texto final sobre las exenciones de identificadores de seguimiento y los atajos de consentimiento para la IA aún podría cambiar antes de su adopción. Mientras tanto, no esperes a que la regulación se ponga al día: revisa la configuración de protección contra el seguimiento de tu navegador, limita qué sitios pueden establecer identificadores publicitarios y considera una VPN como una forma práctica de reducir la exposición al seguimiento entre sitios independientemente de cómo evolucione el alcance del RGPD. Dado que la aplicación del RGPD ya ha producido miles de millones en multas, el valor central de la ley ha quedado demostrado, que es exactamente por lo que las decisiones del Consejo de esta semana sobre el Ómnibus Digital merecen atención pública.