RGPD: Una década desde su aprobación y retos para el futuro
El Reglamento General de Protección de Datos (RGPD) está de aniversario. La norma europea de referencia en materia de privacidad cumple su primera década.
Aunque se aprobó en 2016, el RGPD es obligatorio en toda la Unión Europea desde el 25 de mayo de 2018.
¿Qué es el RGPD?
El RGPD es la norma comunitaria que regula cómo las personas, empresas, organizaciones y organismos públicos deben tratar los datos personales de los ciudadanos residentes en la UE.
El RGPD se aplica a todo tratamiento (ya sea automatizado o manual) de datos personales de personas que residan en la Unión Europea realizado por personas, Administraciones públicas, organizaciones o empresas con sede en la UE o fuera (si ofrecen servicios a europeos).
Por lo tanto, el RGPD protege a las personas físicas (no a las personas jurídicas) en actividades de tratamiento de sus datos personales.
Balance de una década del RGPD
En estos 10 años, el RGPD ha logrado grandes hitos:
- Referente global (“el Efecto Bruselas”):
Más de 120 países (desde California hasta Brasil o Japón) han aprobado leyes de privacidad inspiradas en el RGPD, creando un lenguaje común global para la economía del dato.
Esta convergencia normativa facilita el comercio internacional; ya que, al armonizar los estándares, se reducen las barreras técnicas para las transferencias internacionales.
- Concienciación:
La protección de datos ha dejado de ser un tema de nicho; las empresas han integrado la privacidad desde el diseño (Privacy by Design) como un estándar operativo.
Más allá del cumplimiento legal, la privacidad se ha transformado en un activo estratégico y un factor de diferenciación competitiva. Las organizaciones que demuestran una ética sólida en el tratamiento de la información no solo evitan sanciones, sino que fortalecen su reputación de marca y fidelizan a unos usuarios cada vez más exigentes con su soberanía digital.
- Potestad sancionadora:
El incumplimiento tiene un coste real; las multas administrativas pueden llegar hasta los 20 millones de euros o el 4% de la facturación anual global del ejercicio anterior (se aplica la cuantía que resulte más elevada).
Se ha pasado de avisos simbólicos a multas multimillonarias a las grandes empresas. Por ejemplo: Meta y Amazon han recibido sanciones históricas por falta de transparencia y bases legales inválidas.
RGDP versus Ómnibus Digital
El Ómnibus Digital es un paquete legislativo presentado por la Comisión Europea, en noviembre de 2025, y que durante este año se encuentra en plena fase de debate y adopción.
El Ómnibus Digital tiene por objetivo simplificar las normas digitales que han surgido en estos últimos 10 años: el RGPD, la Ley de la Inteligencia Artificial, la Directiva NIS2 y el Data Act.
Mientras que el RGPD sigue siendo el guardián de nuestros derechos, el Ómnibus Digital es la herramienta que intenta modernizar esos derechos para que no queden obsoletos frente a la Inteligencia Artificial y que las empresas no se ahoguen en burocracia.
Sin embargo, organismos como el Comité Europeo de Protección de Datos (CEPD) han advertido de que esta simplificación no debe servir de excusa para bajar la guardia en la protección de la privacidad; el afán de simplificar para ser competitivos no debe debilitar los derechos fundamentales.
El debate está servido: ¿Ómnibus Digital está haciendo el RGPD “más fácil” de cumplir? u ¿Ómnibus Digital está haciendo “más débil” al RGPD? La respuesta la tendremos en un futuro próximo.
Desafíos que deberá afrontar el RGPD
- La Inteligencia Artificial, con los retos éticos y morales que comporta (y que ya analizamos en un post anterior):
El mayor desafío del RGPD es la convivencia con el Reglamento de IA (AI Act).
La dificultad radica en aplicar principios como la minimización de datos o el derecho al olvido en modelos de lenguaje masivos que ya han aprendido de la información.
La interacción con el nuevo Reglamento de IA está obligando a las empresas a realizar evaluaciones de riesgo conjuntas.
- Fatiga del consentimiento y Patrones oscuros (Dark Patterns):
Tras años de «fatiga de consentimiento» de cookies, las autoridades europeas están persiguiendo con dureza los Dark Patterns (diseños engañosos que fuerzan al usuario a aceptar el rastreo).
Se espera que, para finales de 2026, se consoliden sistemas de gestión de privacidad automatizados en los navegadores.
- Geopolítica y Transferencias internacionales:
La estabilidad del flujo de datos a terceros países (especialmente a EEUU y China) sigue siendo frágil.
A pesar de los sucesivos marcos de privacidad, la vigilancia estatal en terceros países sigue sin estar en harmonía con los estándares europeos.
El reto es crear un estándar de flujo de datos seguro, que no dependa de vaivenes políticos.
Autora: Sandra Santiago, Abogada.
Si necesitas ayuda o asesoramiento ¡contáctanos!
Denominación social:
LEGAL IT GLOBAL 2017, SLP
Finalidad:
Prestar el servicio.
Envío del Boletín informativo.
Legitimización:
Cumplimiento de la prestación del servicio.
Consentimiento.
Destinatarios: Tus datos no serán compartidos con ningún tercero, salvo a aquellos proveedores de servicios con los que disponemos de un contrato de servicios vigente.
Consulta la Política de Protección de datos completa aquí.
