Introducción
El 19 de noviembre de 2025, la Comisión Europea publicó el llamado Digital Omnibus Package, un conjunto de dos propuestas de Reglamento que busca simplificar y alinear buena parte del “rulebook digital” de la Unión Europea: RGPD, ePrivacy, NIS2, Data Act, DGA, DORA, parte del AI Act, entre otros. Estrategia Digital Europea+1
En lugar de crear una ley completamente nueva, el paquete propone enmiendas técnicas y sustantivas a normas ya existentes, con la promesa de reducir cargas administrativas, ganar coherencia y hacer el sistema más predecible para empresas y administraciones públicas. European Commission+1
Para la abogacía en España, esto anticipa cambios importantes en cómo los proveedores de servicios digitales —vuestros clientes— tendrán que estructurar su cumplimiento, gestionar datos, desplegar sistemas de IA y notificar incidentes de seguridad.
1. ¿Qué es exactamente el Digital Omnibus?
El paquete se compone de dos textos principales:
- Digital Omnibus (general): reforma transversal del marco digital de la UE (RGPD, ePrivacy, NIS2, Data Act, DGA, DORA, CER, etc.). Estrategia Digital Europea+1
- Digital Omnibus on AI: ajustes específicos del AI Act, centrados en plazos, uso de datos y carga de cumplimiento para sistemas de IA de alto riesgo. Estrategia Digital Europea+1
Objetivos clave:
- Eliminar contradicciones entre RGPD, normativa de datos y ciberseguridad.
- Crear mecanismos unificados de notificación de incidentes.
- Aclarar definiciones críticas (dato personal, seudonimización, categorías especiales, etc.).
- Ajustar la interacción entre el AI Act y el resto de capas regulatorias. www.hoganlovells.com+1
Aunque se presenta como una operación de “simplificación”, en la práctica:
- ** endurece o detalla** algunos controles (ej. definición de dato personal, tratamiento de datos sensibles para IA),
- modifica plazos y umbrales,
- y reestructura procesos (especialmente en incident response y reporting).
Todo ello sigue siendo, hoy por hoy, propuesta legislativa, pendiente de negociación en el Parlamento Europeo y el Consejo; el texto es muy probable que cambie antes de su adopción final. www.hoganlovells.com+1
2. Por qué importa para tu práctica en España
Si trabajas en mercantil/tecnología, litigación, protección de datos o ciberseguridad, tu asesoría se verá impactada por:
- Una relectura del RGPD, en particular:
- qué se considera dato personal para cada actor concreto,
- y en qué condiciones ciertos sets seudonimizados pueden salir (parcialmente) del ámbito RGPD. www.hoganlovells.com+1
- Nuevas reglas para servicios habilitados por IA, incluyendo:
- bases de licitud para entrenamiento y funcionamiento de modelos,
- uso restringido de datos especialmente protegidos para detectar sesgos en sistemas de alto riesgo. cms-lawnow.com+1
- Unificación de flujos de notificación de incidentes a través de un punto único europeo, que afectará a RGPD, NIS2, DORA y CER. hunton.com+1
- Reglas más armonizadas para clientes que operan en varios Estados miembros, con menos divergencias nacionales pero también menos margen para “ajustar” el foro regulatorio.
España ya había transpuesto en 2021 la Directiva “Omnibus” de consumo (2019/2161) mediante el Real Decreto-ley 24/2021, centrado en transparencia y sanciones en materia de consumo. El Digital Omnibus actual trabaja en otra capa: el núcleo de regulación de servicios y productos digitales, no el derecho de consumo.
Clientes particularmente afectados:
- Plataformas SaaS,
- herramientas de pericia y análisis forense digital,
- soluciones de IA (incluida IA generativa y sistemas de alto riesgo),
- servicios de e-commerce,
- infraestructuras cloud y servicios gestionados.
3. Reformas clave que los abogados deberían vigilar
3.1. Redefinición de “dato personal” y tratamiento de datos seudonimizados
Uno de los cambios más delicados es la revisión del concepto de “dato personal” en el RGPD, alineado con la jurisprudencia reciente del TJUE (caso SRB).
Los elementos esenciales del borrador: www.hoganlovells.com+1
- Información que podría identificar a una persona, pero respecto de la cual el responsable no dispone de medios razonablemente probables para identificarla, no se considerará dato personal para ese responsable concreto.
- Se introduce un nuevo artículo específico sobre seudonimización, que abre la puerta a que, bajo condiciones estrictas, determinados conjuntos seudonimizados dejen de considerarse datos personales para ciertos actores, con criterios que la Comisión detallará mediante actos de ejecución.
Implicaciones prácticas:
- En litigios y auditorías de cumplimiento, habrá que analizar para quién, en qué contexto y con qué medios disponibles una base de datos entra o no bajo el RGPD.
- En pericia digital/forense y analítica, donde se usan datos seudonimizados, será clave documentar las medidas técnicas y organizativas que impiden la reidentificación razonable.
- Parte de la doctrina y de organizaciones de defensa de derechos digitales ha advertido del riesgo de una “rebaja fáctica” de la protección si la definición se flexibiliza en exceso. Cinco Días+1
3.2. Datos personales y categorías especiales para IA
El Digital Omnibus propone también ajustes relevantes sobre cómo tratar datos con fines de IA:
- Confirma que el interés legítimo puede ser base de licitud para el tratamiento de datos personales en el desarrollo y funcionamiento de sistemas y modelos de IA, siempre que se respeten salvaguardas robustas (minimización, transparencia, derecho de oposición eficaz, etc.). www.hoganlovells.com+1
- En relación con las categorías especiales de datos (art. 9 RGPD), se abriría una excepción muy acotada que permitiría tratarlos cuando sea estrictamente necesario para detectar y corregir sesgos en sistemas de IA de alto riesgo, bajo requisitos de seguridad técnica, limitación de acceso y eliminación rápida. cms-lawnow.com+1
Para tu práctica:
- Si asesoras en proyectos de IA, deberás integrar estas bases legales en políticas de privacidad, DPIA y cláusulas contractuales, explicitando:
- qué datos se usan para entrenamiento,
- con qué base jurídica,
- y qué salvaguardas técnicas se han desplegado (seudonimización, controles de acceso, logs, etc.).
3.3. Sistema unificado de notificación de incidentes
Una de las medidas más visibles es la creación de un “single entry point” europeo para notificar incidentes. hunton.com+1
Elementos principales:
- Una plataforma común de notificación que cubriría:
- brechas de datos personales (RGPD),
- incidentes de ciberseguridad (NIS2),
- incidentes bajo DORA (servicios financieros),
- y la Directiva CER (entidades críticas).
- Ajustes en el RGPD para:
- elevar el umbral de notificación a autoridades a incidentes con “alto riesgo” para los derechos de las personas,
- extender el plazo de notificación de 72 a 96 horas,
- y encargar al EDPB la elaboración de plantillas y listas orientativas comunes.
Qué implica para tus clientes:
- Los manuales de respuesta a incidentes deberán reescribirse:
- nuevos flujos internos,
- nuevas checklists de valoración de riesgo,
- y una coordinación más estrecha entre CISO, DPO y asesoría jurídica.
- Para sectores regulados (financiero, infraestructuras críticas, cloud), se refuerza la idea de “un incidente, un informe, un mecanismo”, reduciendo notificaciones duplicadas.
3.4. Ajustes operativos en el RGPD: derechos, cookies, DPIA y registros
El Digital Omnibus incorpora también ajustes “operativos” al RGPD que, sumados, tienen impacto real en el día a día del compliance: www.hoganlovells.com+1
- Derechos de acceso (DSAR): se permite rechazar o cobrar una tasa razonable cuando se detecte abuso del derecho (por ejemplo, solicitudes masivas con fines puramente litigiosos).
- Deber de información: en supuestos muy limitados donde sea razonable asumir que el interesado ya conoce al responsable y la finalidad, se podría prescindir de un aviso de privacidad completo.
- Cookies y consentimiento:
- se amplía la lista de cookies que pueden usarse sin consentimiento (medición de audiencia agregada, determinadas finalidades de seguridad);
- se refuerza la gestión de consentimiento a través de preferencias de largo plazo (hasta 6 meses) y configuraciones de navegador;
- se prohíbe reiterar la misma petición de consentimiento a quien ya la haya rechazado durante un periodo mínimo de seis meses. Reuters+1
- DPIA: se otorga un papel reforzado al EDPB para:
- publicar listas de tratamientos que exigen DPIA,
- y listas de tratamientos que no la requieren,
- además de plantillas y metodologías comunes.
- Registros de actividades: se flexibilizan las obligaciones para ciertas empresas más pequeñas, elevando umbrales, aunque los detalles están aún en negociación.
3.5. Data Act, datos no personales y servicios cloud
En el ámbito de datos no personales y servicios en la nube, el Digital Omnibus: cms-lawnow.com+1
- matiza las obligaciones de data sharing cuando entren en juego secretos empresariales, permitiendo negar acceso si hay alto riesgo de divulgación indebida o transferencia a terceros países con menor protección;
- introduce exenciones o regímenes más ligeros a ciertas obligaciones de cloud switching para:
- servicios a medida,
- y proveedores pymes/small mid caps con contratos previos a septiembre de 2025.
Consecuencias contractuales:
- Revisión de cláusulas sobre acceso a datos, confidencialidad y secretos empresariales.
- Rediseño de estrategias de portabilidad y salida de proveedor (exit clauses) a la luz de las nuevas flexibilidades.
3.6. AI Act: plazos, “breathing room” y coordinación sectorial
El Digital Omnibus on AI introduce un mecanismo de “aire” temporal para sistemas de IA de alto riesgo: Estrategia Digital Europea+1
- Los plazos de aplicación de las obligaciones de alto riesgo se vinculan a decisiones de la Comisión sobre normas armonizadas y guías técnicas, con:
- entrada en vigor 6 meses después de ciertas decisiones para usos en educación y fuerzas de seguridad,
- y 12 meses para otros casos, con fechas tope en torno a 2027–2028. Reuters+1
- Se refuerza la posición de la AI Office como regulador paneuropeo para:
- modelos de IA de propósito general,
- sistemas basados en esos modelos,
- y sistemas integrados en VLOPs/VLOSEs (DSA).
Para proyectos en sectores como sanitario (MDR/IVDR), transporte, finanzas o administración pública, habrá que recalibrar hojas de ruta de cumplimiento y contratos de desarrollo y suministro de IA.
4. Cómo deberían prepararse los abogados en España
4.1. Revisar la gobernanza de datos de los clientes
- Mapear cómo afectan las nuevas definiciones de dato personal y seudonimización a sus flujos de tratamiento.
- Revisar políticas de retención, minimización y anonimización.
- Ajustar anexos de encargo de tratamiento (DPA) y esquemas de corresponsabilidad.
- Replantear el diseño y documentación de DPIA y evaluaciones de riesgo.
4.2. Actualizar protocolos de ciberseguridad e incident response
- Rediseñar manuales de respuesta a incidentes incorporando:
- el nuevo punto único de notificación,
- los umbrales de “alto riesgo”,
- y los nuevos plazos.
- Unificar plantillas de notificación para RGPD, NIS2, DORA y CER, en línea con las futuras guías del EDPB y autoridades sectoriales.
4.3. Revisar la cartera de servicios basados en IA
- Identificar qué productos/servicios están dentro del ámbito del AI Act y cuáles califican como alto riesgo.
- Revisar:
- bases de licitud para entrenamiento y operación,
- uso de categorías especiales,
- documentación técnica (TDD, logs, datasets, evaluaciones de impacto) exigida por el AI Act.
4.4. Revisión de marcos contractuales
- Contratos SaaS y cloud: portabilidad, lock-in, exit plans.
- Data Processing Agreements (DPAs) y cadenas de subencargados.
- Esquemas de corresponsabilidad entre plataformas, proveedores de IA y clientes empresariales.
- Contratos de aprovisionamiento de soluciones de IA, tanto desde la óptica de quien las compra como de quien las suministra.
4.5. Monitorizar la negociación y la adaptación española
Nada de esto es aún derecho vigente. Resulta esencial: European Commission+1
- Seguir la tramitación en Consejo y Parlamento (enmiendas, posiciones nacionales, informes de comisiones).
- Vigilar la futura adaptación en España (LOPDGDD, LSSI, normativa sectorial).
- Estar atento a las guías que puedan emitir:
- la AEPD,
- ENISA,
- el EDPB,
- y la futura AI Office.
5. ¿Qué implica para el sector jurídico?
El Digital Omnibus apunta a varios vectores claros:
- Mayor demanda de especialización en:
- protección de datos,
- ciberseguridad,
- gobierno y ética de IA. onetrust.com+1
- Un periodo transitorio de complejidad incrementada, donde conviven:
- reglas antiguas,
- textos modificados,
- y fechas de aplicación escalonadas.
- Nuevas líneas de trabajo en:
- clasificación de riesgos,
- reporting unificado,
- despliegue responsable de IA.
Conclusión: una re-arquitectura, no una rebaja de cumplimiento
El Digital Omnibus no es una simple “rebaja” del compliance digital, sino una re-arquitectura del marco regulatorio europeo, con la que la Comisión intenta combinar competitividad y protección de derechos fundamentales.
Para los despachos y asesorías internas en España, la ventaja competitiva estará en:
- Comprender a fondo las propuestas (y sus límites).
- Anticipar las preguntas de los clientes y sus puntos de fricción.
- Adaptar plantillas, guías internas y cláusulas contractuales.
- Construir equipos híbridos capaces de leer conjuntamente datos, ciber, IA y operaciones.
Quienes empiecen a incorporar desde ahora estos cambios en su práctica se posicionarán como socios estratégicos de referencia en un entorno regulatorio cada vez más complejo y dinámico.
Fuentes y lecturas recomendadas
- Comisión Europea – Digital Omnibus Regulation Proposal (Shaping Europe’s Digital Future). Estrategia Digital Europea+1
- Comisión Europea – Digital Omnibus on AI Regulation Proposal (Shaping Europe’s Digital Future). Estrategia Digital Europea
- Comisión Europea – Nota de prensa “Simpler EU digital rules and new digital wallets to save time and money for businesses” (IP/25/2718). European Commission
- Hogan Lovells – “Top 10 proposed changes in the EU’s Digital Omnibus” (24 noviembre 2025). www.hoganlovells.com
- CMS Law-Now – “The EU’s digital omnibus: simplification, consolidation, and a sharper edge on compliance” y “Digital omnibus on AI: The European Commission unveils a streamlined and more coherent approach to AI regulation”. cms-lawnow.com+2cms-lawnow.com+2
- Hunton Andrews Kurth – “EU Digital Omnibus Introduces a Single Reporting Point for Cybersecurity Incidents” (Privacy & Information Security Law Blog). hunton.com+1
- Cinco Días / El País – “El dilema del ‘digital omnibus’: agilidad frente a seguridad jurídica”. Cinco Días
- Reuters – Cobertura sobre retraso de las obligaciones de IA de alto riesgo y el paquete Digital Omnibus. Reuters+1
- The Guardian – “European Commission accused of ‘massive rollback’ of digital protections” (19 noviembre 2025). The Guardian
