La propuesta de la Comisión Europea para la simplificación de la normativa digital: un primer ajuste correctivo, pero no un punto de llegada

JUDITH ARNAL

Apuntes 2026/02

Enero de 2026

Judith Arnal

Enero de 2026

1- Introducción

La Unión Europea se enfrenta a una paradoja regulatoria de proporciones inéditas. En menos de una década, ha construido el marco normativo digital más ambicioso y complejo del mundo: desde el Reglamento General de Protección de Datos hasta el Reglamento de Inteligencia Artificial, pasando por las leyes de Servicios Digitales, Mercados Digitales, Datos, Ciberseguridad y Resiliencia Operativa. Este acervo, que aspira a proteger derechos fundamentales, corregir fallos de mercado y garantizar la seguridad de infraestructuras críticas, se ha convertido también en una fuente creciente de inseguridad jurídica, costes de cumplimiento y fragmentación supervisora. La acumulación normativa, lejos de culminar el mercado interior digital, ha generado un entramado de obligaciones superpuestas que 27 Estados miembros interpretan y aplican de forma divergente, poniendo en riesgo la competitividad europea en un momento crítico de transformación tecnológica.

El paquete Ómnibus Digital, presentado por la Comisión Europea en noviembre de 2025, constituye el intento más visible hasta la fecha de revertir esta tendencia, tratando de abordar algunos de los nudos gordianos del acervo digital europeo. Sus propuestas más relevantes incluyen: (1) clarificar cuándo y cómo las empresas pueden entrenar sistemas de inteligencia artificial con datos personales, poniendo fin a años de inseguridad jurídica que han dejado a las empresas europeas en desventaja competitiva; (2) reformar radicalmente la política de cookies, donde usuarios hartos hacen clic en decenas de ventanas emergentes al día sin obtener control real sobre su privacidad; (3) consolidar en un único reglamento las normas dispersas sobre el uso y compartición de datos, eliminando instrumentos superpuestos que generaban confusión; (4) crear un punto de entrada único para notificar incidentes de ciberseguridad, acabando con la obligación absurda de comunicar el mismo incidente a múltiples autoridades con formatos distintos; y (5) ajustar el recién aprobado Reglamento de Inteligencia Artificial para evitar que entre en vigor antes de que existan los estándares técnicos necesarios para cumplirlo. En conjunto, estas medidas intentan desbloquear la innovación europea sin renunciar, al menos en teoría, a la protección de derechos fundamentales que caracteriza el modelo regulatorio de la Unión.

Sin embargo, el Ómnibus ha desatado un debate político y académico de gran intensidad. Para algunos observadores, especialmente constitucionalistas europeos y organizaciones de derechos digitales y protección de datos, estas reformas van mucho más allá de una simplificación técnica: constituirían, bajo la etiqueta de reducción de cargas administrativas, un desmantelamiento encubierto de salvaguardias fundamentales del modelo europeo de protección de datos. Según esta lectura crítica, clarificar que el entrenamiento de sistemas de IA puede basarse en el interés legítimo equivaldría a abrir una vía libre para el procesamiento masivo de datos personales sin consentimiento; redefinir cuándo un dato es personal permitiría a las empresas eludir las obligaciones del GDPR; y suavizar las reglas sobre cookies erosionaría la capacidad de los usuarios para controlar su privacidad online. Desde esta perspectiva, el Ómnibus representaría un punto de inflexión en el que Europa sacrifica la protección de derechos fundamentales en el altar de la competitividad económica.

Frente a esta posición, otros analistas sostienen una interpretación radicalmente distinta: lejos de desmantelar protecciones, el Ómnibus se limitaría a codificar criterios que el Tribunal de Justicia de la Unión Europea y el Comité Europeo de Protección de Datos ya han establecido en su jurisprudencia y orientaciones recientes. Según este enfoque, las modificaciones propuestas no crean nuevas excepciones ni rebajan el nivel de protección, sino que aportan la claridad que faltaba en el texto original del Reglamento General de Protección de Datos, facilitando su aplicación sin alterar su espíritu. El debate, por tanto, no es meramente técnico: refleja concepciones distintas sobre qué significa proteger derechos en un contexto de rápida transformación tecnológica y creciente competencia global.

Este trabajo sostiene que el paquete Ómnibus Digital es, simultáneamente, necesario e insuficiente. Necesario, porque introduce avances concretos y bien orientados que responden a disfunciones reales del acervo europeo. Las clarificaciones sobre el uso de datos para inteligencia artificial, si se implementan correctamente, podrían desbloquear la innovación europea sin comprometer la protección de los usuarios. La racionalización de las notificaciones de incidentes mediante un punto de entrada único eliminaría duplicaciones absurdas que no aportan valor a nadie. Y la consolidación del disperso marco regulatorio sobre datos en un único reglamento reduciría la complejidad para empresas y administraciones. Insuficiente, sin embargo, porque su enfoque selectivo no altera las causas estructurales de la complejidad regulatoria europea. El Ómnibus no incorpora mecanismos que garanticen la eliminación efectiva de las disposiciones derogadas de directivas en los ordenamientos nacionales, con el riesgo de que la simplificación formal a nivel de la UE no se traduzca en una reducción real de obligaciones para los operadores, como ya ha ocurrido con la Directiva NIS2. Mantiene vigente la Directiva ePrivacy pese a reconocer implícitamente sus disfunciones, perpetuando un marco sectorial obsoleto que genera asimetrías competitivas y contradicciones con los objetivos que el propio paquete persigue. Consolida el acervo de datos en torno a un Reglamento de Datos cuyas deficiencias estructurales no corrige, manteniendo categorías conceptuales difusas y un sesgo que frena el desarrollo de mercados de datos competitivos. Crea un punto de entrada único para notificaciones de incidentes sin garantizar que sustituya efectivamente a los canales nacionales existentes, con una asignación presupuestaria claramente insuficiente para ENISA. Introduce ajustes al Reglamento de IA que desplazan la inseguridad jurídica desde el texto legislativo hacia un ecosistema posterior de normas técnicas y directrices de contenido y calendario inciertos. No publica textos consolidados de las normas modificadas, obligando a empresas y autoridades a reconstruir el Derecho aplicable a partir de sucesivas propuestas Ómnibus. Y, sobre todo, mantiene intacta una gobernanza profundamente fragmentada que obliga al recurso sistemático a instrumentos de nivel 2 —actos delegados, actos de ejecución y directrices— como mecanismo compensatorio de la falta de coordinación entre 27 sistemas nacionales de supervisión.

El análisis que sigue se estructura en cuatro partes. La primera examina los motores de la expansión del acervo digital europeo y disecciona su arquitectura estratificada, mostrando cómo distintos instrumentos se superponen progresivamente en capas funcionales diferenciadas, desde la protección de derechos fundamentales hasta la seguridad operativa de infraestructuras críticas. La segunda parte sitúa el Ómnibus Digital en el contexto más amplio de la agenda de simplificación de la Comisión, identificando sus debilidades conceptuales y procedimentales: la ambigüedad del propio término "simplificación", la ausencia de evaluaciones de impacto exhaustivas, las reformas en pleno proceso de implementación y la paradoja de un ejercicio de simplificación que genera, en sí mismo, una nueva capa de complejidad. La tercera sección analiza en detalle las propuestas del Ómnibus, desde las modificaciones al Reglamento General de Protección de Datos para la economía del dato y la inteligencia artificial hasta la consolidación del acervo en materia de datos y los ajustes al Reglamento de IA. Por último, la cuarta parte ofrece una valoración equilibrada del paquete, reconociendo sus avances concretos, pero señalando sus carencias estratégicas: el Ómnibus acierta al identificar problemas reales y proponer soluciones específicas, pero falla al no abordar el origen profundo de la complejidad europea, que no reside tanto en tener demasiadas normas como en tener demasiadas autoridades aplicándolas de forma incoherente.

La conclusión es clara: el Ómnibus Digital identifica correctamente muchas de las disfunciones del acervo digital europeo y propone correcciones concretas y bien orientadas, pero su capacidad para producir una simplificación duradera está condicionada por los límites inherentes al instrumento elegido. Al optar por modificaciones legislativas puntuales sin alterar la arquitectura institucional subyacente, el paquete corre el riesgo de convertirse en un ejercicio de simplificación aparente que alivia ciertos síntomas sin atacar las causas estructurales de la complejidad regulatoria europea: una gobernanza profundamente fragmentada, la persistencia de marcos obsoletos, la falta de mecanismos que aseguren la depuración coherente del Derecho nacional y la dependencia estructural de instrumentos de nivel 2 que desplazan la inseguridad jurídica en lugar de eliminarla.

2- La proliferación de la regulación digital en la UE: causas y lógica del nuevo acervo

El paquete Ómnibus Digital no surge en el vacío, sino en un contexto de rápida expansión del acervo regulatorio del sector digital europeo. Para comprender su alcance, esta sección analiza primero los factores que han impulsado la proliferación normativa en el ámbito digital y, a continuación, examina cómo estos impulsos se han plasmado en un marco regulatorio estratificado, marcado por la superposición de instrumentos y por crecientes retos de aplicación.

2.1- Los motores de la expansión del acervo digital europeo

En el transcurso de menos de una década, la UE ha aprobado un volumen sin precedentes de normativa digital. Desde la entrada en vigor del Reglamento General de Protección de Datos en 2018 (GDPR, por sus siglas en inglés) hasta la adopción del Reglamento de Inteligencia Artificial, el Reglamento de Servicio Digitales (DSA, por sus siglas en inglés), el Reglamento de Mercados Digitales (DMA, por sus siglas en inglés), el Reglamento de Datos, el Reglamento de Gobernanza de Datos, la Directiva de Ciberseguridad (NIS2, por sus siglas en inglés) o el Reglamento de Resiliencia Operativa Digital (DORA, por sus siglas en inglés), el acervo digital europeo se ha transformado de manera acelerada y profunda. Esta proliferación normativa no responde a un único impulso regulatorio, sino a la convergencia de varios factores estructurales que han redefinido las prioridades económicas, políticas y estratégicas de la Unión.

En primer lugar, una motivación central ha sido la culminación del mercado interior digital. Durante años, la fragmentación normativa y de supervisión entre Estados miembros ha limitado la provisión transfronteriza de servicios digitales y ha generado costes significativos de cumplimiento para las empresas que operan a escala europea. Buena parte de la agenda regulatoria reciente puede interpretarse como un intento de sustituir marcos nacionales heterogéneos por reglas comunes, directamente aplicables, que faciliten la integración del mercado interior digital (de Streel et al., 2023; European Parliament, 2020). Sin embargo, esta normativa común no ha permitido contar con un verdadero mercado interior digital, en la medida en que la gobernanza sigue dependiendo de una multiplicidad de autoridades nacionales que en muchos casos interpretan la normativa única de manera divergente (Arnal, 2025b).

En segundo lugar, la UE ha impulsado un cambio de paradigma regulatorio, pasando de un enfoque predominantemente ex post, basado en la aplicación del derecho de la competencia o de la responsabilidad civil, hacia un enfoque crecientemente ex ante. La experiencia con grandes plataformas digitales, caracterizadas por fuertes efectos de red y poder de mercado estructural, ha llevado al legislador europeo a introducir obligaciones preventivas y asimétricas, especialmente a través del DMA y, en menor medida, del DSA (Crémer, de Montjoye & Schweitzer, 2019; de Streel et al., 2023).

Un tercer motor clave ha sido la emergencia de la economía del dato y de la inteligencia artificial como factores productivos centrales. La UE ha tratado de crear un marco que permita el acceso, la reutilización y la compartición de datos sin erosionar la protección de datos personales ni la confianza de los usuarios. De esta tensión nacen el denominado data stack europeo —Reglamento de Gobernanza de Datos, Reglamento de Datos y su interacción con el GDPR— y el Reglamento de Inteligencia Artificial, que introduce una lógica de gestión de riesgos transversales para sistemas algorítmicos (Martens, 2024; European Commission, 2020). Este nuevo acervo convive, además, con instrumentos previos como la Directiva ePrivacy, cuya vigencia prolongada y aplicación desigual ilustran las dificultades de actualización y coherencia del marco digital europeo.

En cuarto lugar, la creciente exposición a riesgos cibernéticos y operacionales ha impulsado una expansión de la regulación en materia de resiliencia digital. El aumento de incidentes de ciberseguridad con efectos sistémicos, especialmente en sectores críticos como las finanzas, la energía o las telecomunicaciones, ha justificado la adopción de normas más estrictas y coordinadas, como la Directiva NIS2 o el Reglamento DORA, que imponen obligaciones detalladas de gestión de riesgos, notificación de incidentes y supervisión (European Commission, 2020; ENISA, 2023).

Por último, esta ola regulatoria no puede separarse de un contexto de creciente importancia geopolítica del entorno digital. La regulación se ha convertido también en un instrumento para proyectar el modelo europeo de economía social de mercado, reforzar la autonomía estratégica y reducir dependencias tecnológicas percibidas como críticas. Las sucesivas estrategias digitales de la UE —desde la Estrategia Europea de Datos hasta el programa de la Década Digital— han servido de marco político para una agenda legislativa particularmente intensa (European Commission, 2020; European Commission, 2021).

El resultado de estos procesos es un acervo digital ambicioso, pero también denso y complejo, caracterizado por la superposición de instrumentos, capas normativas y autoridades competentes.

2.2- Un acervo por capas: instrumentos heterogéneos, solapamientos y costes de cumplimiento

El acervo digital europeo se ha desarrollado siguiendo una lógica estratificada, en la que distintos instrumentos regulatorios se superponen progresivamente a lo largo de capas funcionales diferenciadas. Cada una de estas capas responde a un tipo específico de riesgo o fallo económico asociado al entorno digital y cumple una función distinta dentro del conjunto, desde la protección de derechos fundamentales hasta la garantía de la seguridad y resiliencia operativa de servicios e infraestructuras.

La primera capa constituye la base normativa común del sistema y está orientada a la protección de derechos fundamentales con carácter horizontal. El Reglamento General de Protección de Datos y la Directiva ePrivacy establecen principios transversales de privacidad y confidencialidad de las comunicaciones que se aplican, con independencia del sector o del tamaño del operador, a prácticamente toda actividad digital. Esta capa fija límites estructurales al uso de datos y a determinadas prácticas digitales, condicionando el diseño y la aplicación del resto del acervo. Esta normativa busca garantizar un nivel elevado y uniforme de protección de la privacidad y de los datos personales, estableciendo límites estructurales al tratamiento y a la circulación de información que permita identificar directa o indirectamente a las personas. Su objetivo no es impedir el uso de los datos, sino someterlo a principios de licitud, finalidad, proporcionalidad y control por parte del titular.

La segunda capa se centra en la estructura y el funcionamiento de los mercados digitales y tiene como objetivo corregir fallos de mercado específicos asociados a economías de red, asimetrías de información y poder de mercado estructural. El Reglamento de Mercados Digitales (DMA, por sus siglas en inglés) y el Reglamento de Servicios Digitales (DSA, por sus siglas en inglés) introducen obligaciones ex ante que inciden directamente sobre los modelos de negocio de determinados operadores, con el fin de prevenir conductas anticompetitivas, mitigar riesgos sistémicos y reforzar la transparencia y la responsabilidad en los ecosistemas digitales. Así, el DMA limita prácticas como la auto-preferencia o el cierre de ecosistemas por parte de plataformas dominantes, mientras que el DSA introduce obligaciones reforzadas de diligencia y transparencia para gestionar riesgos sistémicos en los mercados digitales.

La tercera capa aborda la economía del dato como infraestructura productiva, regulando los flujos, el acceso y la reutilización de datos entre agentes económicos. El Reglamento de Gobernanza de Datos y el Reglamento de Datos buscan facilitar la compartición y el uso de datos, tanto personales como no personales, equilibrando incentivos económicos, protección de derechos y eficiencia en los mercados. A diferencia de la capa anterior, estas normas no regulan conductas de mercado en sentido estricto, sino que configuran las relaciones contractuales y técnicas que permiten el funcionamiento de la economía del dato y la interoperabilidad entre sistemas. Por ejemplo, el Reglamento de Datos establece el derecho de los usuarios a acceder a los datos generados por dispositivos conectados y a compartirlos con terceros, obligando a los fabricantes a habilitar interfaces técnicas e imponer condiciones contractuales equitativas para su reutilización.

La cuarta capa introduce una lógica transversal de gestión de riesgos tecnológicos sistémicos. El Reglamento de Inteligencia Artificial responde a la creciente utilización de sistemas algorítmicos con potencial impacto sobre derechos fundamentales, seguridad y bienestar económico, y articula un enfoque horizontal basado en el nivel de riesgo. Esta capa no se superpone a sectores concretos, sino que opera como un marco de evaluación y mitigación de riesgos aplicable a múltiples usos y contextos tecnológicos.

La quinta capa, situada en el nivel más operativo del acervo, se orienta a garantizar la seguridad y resiliencia técnica y operacional del ecosistema digital. Instrumentos como la Directiva NIS2, el Reglamento DORA y el Reglamento de Ciberresiliencia imponen obligaciones detalladas en materia de gestión de riesgos, notificación de incidentes, continuidad operativa y seguridad de productos y software. A esta capa se añaden otros instrumentos con una lógica funcional similar, como el Reglamento eIDAS en materia de identidades y servicios de confianza digitales, o la Directiva CER sobre la resiliencia de entidades críticas, que interactúan de forma directa con las obligaciones de ciberseguridad y notificación de incidentes. Se trata de una capa marcadamente preventiva y técnica, centrada en la estabilidad y la continuidad de servicios e infraestructuras críticas, tanto a nivel transversal como sectorial.

Esta estratificación funcional permite dotar de coherencia interna al acervo digital europeo, pero también implica que una misma actividad, empresa o servicio quede simultáneamente sujeto a obligaciones procedentes de varias capas regulatorias, aplicadas bajo instrumentos jurídicos y estructuras de gobernanza distintas. Como resultado, la acumulación normativa se traduce en mayores costes de cumplimiento, solapamientos regulatorios y retos de coordinación supervisora, que condicionan de manera significativa cualquier intento de simplificación del marco digital europeo.

Conviene subrayar, no obstante, que el análisis precedente se centra en un conjunto seleccionado de doce instrumentos que, por su alcance transversal, su impacto económico y su relevancia institucional, pueden considerarse el núcleo del acervo digital europeo. Esta selección no pretende ser exhaustiva. Por ejemplo, no se han incluido normativas como el Reglamento sobre el Libre Flujo de Datos no Personales, la Directiva de Datos Abiertos o el Reglamento Plataforma-Empresa, que de hecho la Comisión Europea propone derogar como parte del paquete Ómnibus digital. Tal como pone de manifiesto la literatura reciente, el marco regulatorio digital de la UE incluye un número significativamente mayor de iniciativas legislativas y cuasi-legislativas, desde normas sectoriales hasta actos delegados, directrices y estrategias, que interactúan con las capas aquí descritas y contribuyen a densificar el entorno regulatorio (Zenner & Marcus, 2025).

Esta acumulación explica por qué la simplificación regulatoria se ha convertido en una prioridad política, no solo en el ámbito digital, como se explicará en la siguiente sección, sino en una multiplicidad de ámbitos de actuación de la Unión, donde la densidad normativa, la superposición de instrumentos y la fragmentación en la aplicación plantean retos similares en términos de eficiencia, coherencia y costes de cumplimiento.

Tabla 1. El acervo digital europeo por capas regulatorias y arquitectura de gobernanza

Fuente: elaboración propia

3- Instrumentos clave: propuestas Ómnibus

Como se ha puesto de manifiesto en la sección anterior, la rápida expansión y estratificación del acervo digital europeo ha dado lugar a un marco normativo denso, complejo y caracterizado por una aplicación fragmentada. En este contexto más amplio de acumulación regulatoria, la simplificación se ha convertido en una prioridad política transversal para la Unión Europea, no solo en el ámbito digital, sino en múltiples áreas de actuación con implicaciones directas para la competitividad.

La Comisión Europea ha articulado esta agenda de simplificación con el objetivo declarado de fortalecer la competitividad de la Unión, reduciendo las cargas regulatorias para las empresas sin menoscabar los objetivos económicos, sociales y medioambientales del marco normativo europeo. La acumulación de normativas ha sido identificada como un factor que puede afectar negativamente a la competitividad, como subrayan los informes Draghi y Letta. En respuesta, la Comisión se comprometió, en su comunicación Una Europa más sencilla y rápida, a desplegar un programa ambicioso de revisión y racionalización del acervo regulatorio.

En concreto, la Comisión se ha fijado una meta cuantitativa ambiciosa: reducir la carga administrativa recurrente en al menos un 25 % para todas las empresas y un 35 % para las pymes, lo que equivaldría a un ahorro estimado de 37.500 millones de euros para el final de su mandato. Este objetivo supone un aumento significativo del nivel de ambición respecto al enfoque anterior de “uno dentro, uno fuera” (one in, one out).

El Consejo Europeo ha respaldado firmemente esta agenda, instando a la Comisión en sus conclusiones de marzo, junio y octubre de 2025 a presentar paquetes de simplificación ambiciosos, específicamente en el ámbito digital. De manera similar, el Parlamento Europeo, en su resolución del 11 de septiembre de 2025, enfatizó la necesidad de una simplificación que facilite el cumplimiento empresarial sin comprometer los objetivos políticos fundamentales de la UE.

Las propuestas Ómnibus constituyen el principal mecanismo operativo de la Comisión para materializar su agenda de simplificación. Su lógica es eminentemente pragmática: agrupar en un único acto legislativo modificaciones a múltiples normas sectoriales con el objetivo de abordar problemas comunes, como duplicaciones, cargas administrativas excesivas o incoherencias, de forma coordinada, maximizando así las sinergias y el impacto agregado. La tabla 2 resume las principales propuestas Ómnibus presentadas hasta la fecha, que abarcan ámbitos tan diversos como la sostenibilidad, la inversión, la agricultura o el acervo digital, a los que previsiblemente se añadirán nuevos paquetes en los próximos meses.

Si bien el ejercicio de simplificación normativa responde a un diagnóstico ampliamente compartido, a saber, la percepción de que el marco regulatorio europeo se ha vuelto excesivamente complejo y oneroso para las empresas, la pregunta central sigue siendo si esta estrategia logrará realmente los objetivos que se propone. En otras palabras, más allá de la ambición política declarada, resulta legítimo preguntarse si la simplificación tal y como está siendo diseñada y ejecutada puede traducirse en una mejora efectiva de la competitividad europea (Arnal, 2025a).

Una primera dificultad es de carácter conceptual. El propio término “simplificación” adolece de una notable ambigüedad. No está claro si se refiere primordialmente a la reducción de cargas administrativas, a una desregulación sustantiva de determinadas obligaciones materiales, o a la corrección ex post de errores de diseño en políticas recientemente adoptadas. Esta falta de precisión conceptual se refleja en las interpretaciones divergentes de los distintos actores: mientras la Comisión insiste en que se trata de eliminar burocracia sin menoscabar los objetivos políticos fundamentales, algunos observadores advierten del riesgo de una desregulación encubierta, y las organizaciones empresariales reclaman reformas más profundas y ambiciosas. Esta vaguedad no es meramente semántica. Sin una definición clara de qué se entiende por simplificación, resulta prácticamente imposible evaluar el éxito o el fracaso del ejercicio, ya que los criterios de éxito permanecen indefinidos. Como se explicará más adelante en este análisis, la indefinición de qué se pretende con la simplificación está alimentando un fuerte debate doctrinal en torno a la propuesta de Ómnibus digital, entre aquellos que sostienen que va demasiado lejos y reformula derechos y los que consideran que es un buen primer paso que se queda corto.

La segunda preocupación se refiere al proceso. Si el objetivo último es mejorar la calidad regulatoria, resulta problemático que revisiones de tan amplio alcance se estén llevando a cabo sin evaluaciones de impacto completas en el sentido clásico del término. Una de las críticas recurrentes al proceso legislativo de la UE ha sido precisamente que los colegisladores, es decir, el Consejo y el Parlamento, introducen en ocasiones modificaciones sustanciales sin un análisis sistemático de sus efectos. La Comisión, tradicionalmente, ha reivindicado su papel como garante de la elaboración normativa basada en la evidencia. Sin embargo, ninguno de los grandes paquetes Ómnibus presentados en 2025, desde sostenibilidad e inversión hasta agricultura o el acervo digital, ha venido acompañado de una evaluación de impacto integral, apoyándose en su lugar en estimaciones agregadas de reducción de cargas y en procedimientos acelerados.

Una tercera cuestión crítica es el momento elegido y sus implicaciones para la seguridad jurídica. La Comisión está revisando legislación que se encuentra aún en fase incipiente de aplicación o incluso parcialmente en vigor, en un contexto en el que muchas empresas ya han realizado inversiones significativas para adaptarse a las nuevas exigencias. En ámbitos como la información sobre sostenibilidad o la diligencia debida, las empresas se ven obligadas a cumplir un marco normativo que se modifica al mismo tiempo que se implementa, lo que dificulta la planificación a medio y largo plazo y erosiona la previsibilidad regulatoria. En el caso del Ómnibus Digital, se propone la derogación del Reglamento de Gobernanza de Datos, que lleva plenamente aplicable menos de dos años.

Este punto se conecta con una cuarta preocupación: la diferencia entre reducir cargas administrativas y generar ahorros económicos reales. Los objetivos cuantificados de la Comisión —una reducción del 25 % de las cargas para las empresas y del 35 % para las pymes— se refieren fundamentalmente al tiempo dedicado a obligaciones de información y reporte. Sin embargo, una disminución del esfuerzo administrativo no se traduce automáticamente en ahorros financieros netos, pese a que la Comisión haya fijado como meta unos ahorros recurrentes de aproximadamente 37.500 millones de euros al final del mandato. Muchas empresas ya han invertido en sistemas de reporte, recursos humanos especializados y asesoramiento externo. Modificar las reglas en pleno proceso puede aliviar ciertas obligaciones, pero también genera costes de transición asociados a la adaptación de sistemas, la formación del personal y la gestión de expectativas de inversores y otras partes interesadas. Sin una evaluación de impacto rigurosa, el efecto económico neto de estas reformas sigue siendo altamente incierto.

Una quinta debilidad, de carácter más estructural, es que el ejercicio de simplificación parece haber comenzado por el extremo equivocado. Buena parte de la complejidad regulatoria que afrontan las empresas no deriva tanto del Derecho de la UE en sí mismo como de su aplicación fragmentada en 27 Estados miembros.

Por último, emerge una paradoja difícil de ignorar: el propio ejercicio de simplificación se ha vuelto extraordinariamente complejo. El paquete Ómnibus digital, objeto del presente análisis, es una buena demostración. En apenas una semana, la Comisión publicó propuestas relativas a ciberseguridad, gobernanza de datos, inteligencia artificial, identidades digitales y estrategias para la unión de datos, acompañadas de una consulta específica sobre el chequeo de adecuación digital, un informe sobre solapamientos entre la Ley de Servicios Digitales y otras normas, y la Agenda del Consumidor 2030. En conjunto, más de veinte documentos que superan ampliamente el millar de páginas (Talayero, 2025), con periodos de consulta que se extienden hasta 2026 y nuevas iniciativas anunciadas para 2027.

Para las empresas, el efecto es paradójico: comprender qué se está simplificando, cómo y con qué implicaciones prácticas requiere recursos considerables, generando una nueva capa de complejidad regulatoria.

En suma, la agenda de simplificación responde a preocupaciones reales y legítimas sobre la acumulación normativa en la UE, y en muchos ámbitos la racionalización es necesaria. Sin embargo, las buenas intenciones no garantizan buenos resultados. La ambigüedad de los objetivos, la ausencia de evaluaciones de impacto exhaustivas, las reformas antes de la plena aplicación, la incertidumbre sobre los beneficios económicos netos, la fragmentación de la gobernanza y la complejidad del propio ejercicio constituyen señales de alerta claras. Una simplificación efectiva exige rigor procedimental, claridad conceptual y un reconocimiento realista de las limitaciones institucionales de la Unión, elementos que, por ahora, parecen insuficientemente presentes.

Tabla 2. Resumen de las propuestas de simplificación normativa Ómnibus presentadas por la Comisión Europea en 2025.

Fuente: elaboración propia

4- El Ómnibus Digital: simplificación material y reordenación del acervo

Como se ha argumentado anteriormente, la acumulación estratificada del acervo digital europeo ha generado un marco normativo denso, complejo y caracterizado por solapamientos conceptuales, institucionales y operativos. En este contexto, el Ómnibus Digital constituye el principal instrumento a través del cual la Comisión Europea trata de traducir la agenda política de simplificación en reformas normativas concretas. A diferencia de iniciativas previas centradas en la reducción incremental de cargas administrativas, el Ómnibus Digital combina ajustes técnicos con modificaciones de mayor calado conceptual, que afectan a piezas centrales del marco digital de la Unión.

Desde una perspectiva sustantiva, las medidas de simplificación más relevantes pueden agruparse en cuatro grandes bloques, ordenados aquí en función de su impacto jurídico y económico: (1) la racionalización de la aplicación del GDPR en la economía del dato y la IA; (2) la consolidación del acervo en materia de datos en torno a un único Reglamento de Datos; (3) los ajustes al Reglamento de Inteligencia Artificial orientados a mejorar su aplicabilidad y gobernanza; y (4) la racionalización de las obligaciones de notificación de incidentes. La Tabla 3 sintetiza estos cuatro bloques, los instrumentos afectados y la lógica de simplificación subyacente, sirviendo como marco de referencia para el análisis detallado que sigue.

Tabla 3. Principales bloques del Ómnibus Digital y su lógica de simplificación

Fuente: elaboración propia

4.1- El GDPR como marco horizontal: seguridad jurídica para la IA y la economía del dato

El bloque de mayor alcance del Ómnibus Digital es el relativo al GDPR. Lejos de suponer una revisión general del nivel de protección, las modificaciones propuestas persiguen corregir disfunciones detectadas en la aplicación práctica del GDPR que han generado inseguridad jurídica, costes de cumplimiento elevados y un efecto disuasorio sobre determinadas actividades intensivas en datos, en particular el desarrollo y despliegue de sistemas de inteligencia artificial.

Un primer elemento clave es la clarificación de las bases jurídicas disponibles para el entrenamiento y la operación de modelos de inteligencia artificial. En el marco actual, el tratamiento de datos personales con fines de desarrollo de modelos de IA puede, en teoría, apoyarse en distintas bases jurídicas previstas en el artículo 6 del RGPD, incluidas el consentimiento, la ejecución de un contrato, el cumplimiento de una obligación legal o el interés legítimo. Sin embargo, en la práctica, la ausencia de una orientación clara ha llevado a interpretaciones restrictivas que han privilegiado el consentimiento expreso como base segura, incluso en contextos en los que este resulta impracticable. En el caso del entrenamiento de modelos de IA, recabar un consentimiento específico, informado y granular de todos los interesados cuyos datos puedan formar parte de grandes conjuntos de entrenamiento es, en muchos casos, materialmente inviable. Además, esta aproximación se aparta de la práctica regulatoria internacional, donde el entrenamiento de modelos suele apoyarse en bases jurídicas más flexibles, combinadas con salvaguardias ex post y mecanismos de rendición de cuentas.

Esta situación ha generado un entorno de elevada incertidumbre jurídica, con enfoques divergentes entre autoridades nacionales de protección de datos y un claro efecto inhibidor sobre la innovación, especialmente en fases tempranas de desarrollo y experimentación. El Ómnibus Digital aborda este problema reconociendo explícitamente que el desarrollo y la operación de sistemas o modelos de IA pueden constituir un interés legítimo del responsable del tratamiento- típicamente el desarrollador o proveedor del modelo, en la medida en que determine los fines y medios del tratamiento-, de conformidad con el artículo 6(1)(f) del RGPD. Esta clarificación no crea una excepción general ni elimina el control regulatorio: el tratamiento sigue estando sujeto al test de ponderación, a la adopción de salvaguardias adecuadas y al respeto de aquellas normas de la UE o nacionales que exijan consentimiento expreso para determinados tratamientos, en particular en relación con categorías especiales de datos o sectores regulados. La ganancia principal de este ajuste es una mayor seguridad jurídica y alineación con las prácticas internacionales, reduciendo el riesgo de fragmentación y el uso defensivo del consentimiento como mecanismo formalista.

Un segundo ajuste de calado se refiere a la clarificación del concepto de datos personales y, en particular, al tratamiento de datos seudonimizados y conjuntos de datos mixtos. La seudonimización consiste en sustituir los identificadores directos por un código, conservándose la información adicional necesaria para la reidentificación de forma separada y bajo el control de un tercero o del responsable originario, de modo que para quienes acceden al conjunto seudonimizado —por ejemplo, para análisis o entrenamiento de modelos— los datos no son identificables en la práctica. El RGPD define los datos personales en función de la identificabilidad de la persona física, teniendo en cuenta los medios razonablemente susceptibles de ser utilizados para dicha identificación. No obstante, en la práctica, este criterio se ha aplicado de forma abstracta y expansiva, presumiendo la identificabilidad incluso cuando el responsable del tratamiento no dispone de medios reales para reidentificar a los interesados o no tiene interés posible en hacerlo. Esta interpretación ha generado inseguridad jurídica en contextos como el intercambio de datos entre entidades, el uso de datos seudonimizados para análisis y entrenamiento de modelos, o el tratamiento de conjuntos de datos complejos en los que la capacidad de identificación varía entre actores.

La consecuencia ha sido una extensión del ámbito de aplicación del GDPR a situaciones de bajo riesgo, con elevados costes de cumplimiento y beneficios limitados en términos de protección efectiva. El Ómnibus Digital aclara que la información no se considerará dato personal para una entidad cuando esta no disponga de medios razonablemente susceptibles de ser utilizados para identificar a la persona. Esta precisión refuerza un enfoque contextual y basado en el riesgo, evitando la aplicación innecesariamente extensiva del RGPD y facilitando el uso responsable de datos seudonimizados. La ganancia regulatoria es doble: se reduce la incertidumbre jurídica para los operadores y se favorece una utilización más eficiente de los datos, sin menoscabar los derechos de los interesados cuando existe un riesgo real de identificación.

El tercer elemento central se refiere a la política de cookies y a la denominada “fatiga del consentimiento”. El marco actual, basado en la interacción entre el GDPR y la Directiva ePrivacy, ha dado lugar a una proliferación de banners de consentimiento que imponen costes significativos a empresas y usuarios, sin traducirse en una mejora efectiva de la protección de la privacidad. La saturación de solicitudes de consentimiento ha fomentado comportamientos rutinarios y poco informados por parte de los usuarios, erosionando el propio sentido del consentimiento como instrumento de control. El Ómnibus Digital propone integrar las normas relativas al acceso a datos personales en los equipos terminales de los usuarios en el marco del RGPD, manteniendo el consentimiento como regla general, pero introduciendo excepciones limitadas para finalidades de bajo riesgo y reforzando mecanismos que garanticen un control efectivo y significativo por parte del usuario. En este ámbito, la simplificación no solo reduce cargas administrativas, sino que mejora la calidad regulatoria al alinear mejor los instrumentos jurídicos con los objetivos de protección perseguidos.

4.2- De la fragmentación a un único Reglamento de Datos

El segundo gran bloque del Ómnibus Digital aborda la fragmentación del acervo europeo en materia de datos, uno de los ámbitos donde la proliferación normativa ha sido más intensa y, al mismo tiempo, menos coherente. En los últimos años, la UE ha construido un entramado regulatorio compuesto por el Reglamento de Gobernanza de Datos, el Reglamento sobre el Libre Flujo de Datos no Personales, la Directiva de Datos Abiertos y, más recientemente, el Reglamento de Datos. Cada una de estas piezas respondía a objetivos legítimos y específicos, pero su coexistencia ha generado solapamientos conceptuales, incertidumbre jurídica y dificultades prácticas de aplicación.

Desde el punto de vista económico, esta fragmentación ha afectado negativamente al funcionamiento del mercado interior del dato. Operadores públicos y privados se enfrentan a un marco en el que conceptos similares, como acceso, reutilización, intermediación o compartición de datos, se regulan de forma distinta según el origen de los datos, el tipo de actor o la finalidad del tratamiento. En la práctica, ello ha incrementado los costes de cumplimiento y ha desincentivado tanto el intercambio voluntario de datos como el desarrollo de modelos de negocio basados en su reutilización.

El Ómnibus Digital propone una reordenación estructural de este acervo mediante la consolidación de las normas existentes en un Reglamento de Datos ampliado, que pasa a convertirse en el eje central del marco regulatorio del mercado único del dato. Para ello, se plantea la derogación de tres instrumentos clave. En primer lugar, se deroga el Reglamento sobre el Libre Flujo de Datos no Personales, integrando su principio fundamental de libre circulación en el nuevo Reglamento de Datos. En segundo lugar, se deroga el Reglamento de Gobernanza de Datos, incorporando y racionalizando figuras como los servicios de intermediación de datos o el altruismo de datos, que habían generado dudas sobre su encaje práctico y su valor añadido. En tercer lugar, se deroga la Directiva de Datos Abiertos, cuyas disposiciones se integran en un nuevo capítulo del Reglamento de Datos, transformándola además en un reglamento para garantizar una aplicación uniforme y reducir la fragmentación derivada de la transposición nacional.

Junto a esta consolidación, el Ómnibus introduce ajustes específicos destinados a corregir problemas detectados en la aplicación del propio Reglamento de Datos. Entre ellos destacan el refuerzo de la protección de los secretos comerciales frente a riesgos de divulgación a terceros países, la delimitación más estricta de las obligaciones de intercambio de datos empresa-gobierno a situaciones de emergencia pública claramente definidas, la flexibilización de las obligaciones de cloud switching en determinados supuestos para evitar costes de transición desproporcionados y la supresión de requisitos poco claros sobre contratos inteligentes que podían limitar la innovación. En conjunto, estas medidas buscan simplificar sin desregular, reforzando la coherencia del marco y mejorando su operatividad económica.

4.3- Ajustes al Reglamento de Inteligencia Artificial: previsibilidad, proporcionalidad y gobernanza

El tercer bloque del Ómnibus Digital se refiere al Reglamento de Inteligencia Artificial, una norma de adopción reciente cuya ambición y complejidad han planteado desafíos significativos de implementación. Dado el escaso margen temporal desde su aprobación, las modificaciones propuestas no persiguen una revisión sustantiva del enfoque basado en el riesgo, sino mejorar la previsibilidad regulatoria y reducir cargas innecesarias que podrían obstaculizar su aplicación efectiva.

Uno de los principales problemas identificados en la fase inicial de implementación ha sido la falta de alineación entre las obligaciones jurídicas y la disponibilidad de normas técnicas armonizadas y directrices interpretativas. En particular, la entrada en aplicación de los requisitos para los sistemas de IA de alto riesgo en ausencia de estándares claros ha generado incertidumbre para las empresas, dificultando la planificación de inversiones y el diseño de sistemas conformes. El Ómnibus Digital introduce un mecanismo que vincula la aplicación efectiva de estas obligaciones a la disponibilidad de normas armonizadas y orientaciones de la Comisión, estableciendo al mismo tiempo una fecha límite definitiva. Este enfoque busca equilibrar flexibilidad y seguridad jurídica, evitando retrasos indefinidos sin forzar un cumplimiento prematuro en un entorno técnicamente inmaduro.

Asimismo, se proponen ajustes dirigidos a reducir cargas administrativas de carácter horizontal. Entre ellos, destaca la sustitución de la obligación general de garantizar un “nivel suficiente de alfabetización en por un deber de fomento a cargo de la Comisión y los Estados miembros, así como la extensión a las empresas de mediana capitalización de determinadas flexibilidades inicialmente reservadas a las pymes. También se elimina la obligación de registrar en la base de datos de la UE aquellos sistemas de IA que, por su naturaleza, están exentos de la clasificación como de alto riesgo, evitando trámites con escaso valor añadido.

Finalmente, el Ómnibus refuerza la gobernanza del Reglamento de IA mediante la ampliación de las competencias de la Oficina de IA de la Comisión, en particular en relación con los modelos de IA de propósito general. Esta centralización parcial responde a uno de los problemas estructurales identificados en la sección anterior: el riesgo de fragmentación en la aplicación de normas altamente técnicas por múltiples autoridades nacionales. El refuerzo de la Oficina de IA busca mejorar la coherencia supervisora y reducir divergencias interpretativas, sin eliminar el papel de las autoridades nacionales en ámbitos sectoriales o de uso concreto.

4.4- Racionalización de las notificaciones de incidentes: simplificación operativa sin merma de protección

El cuarto bloque del Ómnibus Digital aborda una fuente recurrente de carga administrativa: la multiplicación de obligaciones de notificación de incidentes derivadas de la superposición de marcos regulatorios en materia de ciberseguridad, resiliencia operativa y protección de datos. En el estado actual del acervo, una misma incidencia puede desencadenar obligaciones de notificación paralelas en virtud de la Directiva NIS2, el Reglamento DORA, el Reglamento CER, el GDPR, eIDAS u otras normas sectoriales, cada una con formatos, plazos y canales distintos.

Esta duplicación no solo genera costes significativos para las empresas, sino que también puede dificultar una gestión eficaz de los incidentes, desviando recursos hacia el cumplimiento formal en detrimento de la respuesta operativa. Desde el punto de vista regulatorio, el valor añadido de recibir múltiples notificaciones fragmentadas es limitado, especialmente cuando la información transmitida es sustancialmente la misma.

El Ómnibus Digital introduce el principio de “notificar una vez, compartir múltiples veces” mediante la creación de un punto de entrada único a nivel de la UE, que será desarrollado y gestionado por ENISA. Este mecanismo no altera las obligaciones sustantivas ni los destinatarios finales de la información, sino que racionaliza el proceso de notificación, permitiendo que una única comunicación se distribuya automáticamente a las autoridades competentes correspondientes en función del marco jurídico aplicable. La armonización de formatos y procedimientos, inspirada en la experiencia del sector financiero bajo DORA, constituye una forma de simplificación operativa con efectos inmediatos, que reduce cargas administrativas sin comprometer los objetivos de seguridad y resiliencia.

5- Valoración del paquete Ómnibus Digital

5.1- El núcleo controvertido del paquete Ómnibus:¿simplificación técnica o reajuste del equilibrio de derechos?

Aunque el paquete Ómnibus Digital se presenta formalmente como un ejercicio de racionalización del acervo digital y de reducción de cargas administrativas, una parte del debate académico y de política pública sostiene que su alcance va más allá de una simplificación técnica, en particular, en lo que respecta al GDPR.

Diversos análisis advierten de que presentar estas reformas bajo la etiqueta de “simplificación” puede subestimar su impacto sistémico. En particular, se ha señalado que la combinación de ajustes conceptuales, nuevas bases jurídicas y excepciones ampliadas podría alterar los perímetros de aplicación del GDPR y debilitar algunas de sus salvaguardias estructurales, desplazando el énfasis desde límites claros hacia una mayor flexibilidad interpretativa (Domínguez de Olazábal, 2025; Magierska, 2025).

Desde esta perspectiva crítica, el carácter potencialmente disruptivo del Ómnibus Digital se concentraría fundamentalmente en tres ámbitos, todos ellos vinculados al GDPR:

1. • Clarificación del concepto de dato personal, en particular respecto a los datos seudonimizados y a la disponibilidad de “medios razonables” de identificación. Se ha advertido que esta aproximación podría generar zonas grises en la delimitación de responsabilidades entre responsables y encargados del tratamiento de datos, especialmente en cadenas complejas de procesamiento y reutilización de datos.
2. Reconocimiento explícito del interés legítimo como base jurídica para e desarrollo y la operación de sistemas de inteligencia artificial. Desde una lectura crítica, esta clarificación podría beneficiar de forma desproporcionada a actores con grandes capacidades de procesamiento de datos, sin reducir necesariamente la incertidumbre jurídica para operadores más pequeños.
3. Integración parcial de las normas sobre acceso al equipo terminal y cookies en el GDPR, con el consiguiente desplazamiento desde un enfoque centrado en la confidencialidad de las comunicaciones hacia uno centrado en la noción de dato personal. Las críticas apuntan a que este cambio puede estrechar el alcance de la protección en determinados supuestos y generar asimetrías sectoriales, además de un periodo prolongado de incertidumbre hasta el desarrollo de estándares técnicos.

Ahora bien, esta interpretación no es la única posible, ni necesariamente la más convincente desde un punto de vista jurídico. Una lectura alternativa, con la que se alinea el presente análisis, sostiene que muchas de las modificaciones más controvertidas del Ómnibus Digital no introducen un cambio sustantivo en el nivel de protección, sino que codifican o clarifican criterios ya asentados en la jurisprudencia del Tribunal de Justicia de la Unión Europea y en la práctica interpretativa del Comité Europeo de Protección de Datos (Wendehorst, 2025).

En particular:

1. La clarificación del concepto de dato personal refleja el enfoque centrado en el actor adoptado por el Tribunal de Justicia en su sentencia Single Resolution Board de septiembre de 2025, según el cual la calificación de una información como dato personal depende de si el sujeto que la trata dispone efectivamente de medios razonables de identificación.
2. El uso del interés legítimo como base jurídica para el desarrollo de sistemas de IA no crea una nueva excepción general, sino que explicita una posibilidad ya reconocida por el Comité Europeo de Protección de Datos en su opinión de diciembre de 2024, siempre sujeta al test de ponderación, que exige evaluar si el interés del responsable prevalece sobre los derechos y libertades de los interesados atendiendo a la naturaleza de los datos, las expectativas razonables de los afectados y la existencia de salvaguardias efectivas, así como al respeto del resto de exigencias del GDPR.
3. Las clarificaciones relativas al uso secundario de datos con fines de investigación y a la noción de investigación científica se sitúan en línea con interpretaciones ya presentes en los considerandos 50 y 159 del GDPR.

Desde esta óptica, el Ómnibus Digital no puede caracterizarse adecuadamente como un “punto de no retorno” en materia de derechos fundamentales. Ello no implica que las reformas estén exentas de riesgos ni que la técnica legislativa empleada sea irreprochable, pero sí cuestiona las lecturas que interpretan el paquete como un retroceso sistémico del modelo europeo de protección de datos.

5.2- Avances reales, pero de alcance limitado

Más allá del debate interpretativo sobre el alcance del paquete, el Ómnibus Digital incorpora avances concretos y bien orientados que responden a disfunciones reales del acervo regulatorio digital europeo. Reconocer estos elementos resulta necesario para ofrecer una valoración equilibrada y para distinguir entre correcciones efectivas y carencias estructurales.

En primer lugar, destaca la racionalización del acervo en materia de datos, al consolidar normas previamente dispersas en torno a dos pilares centrales: el GDPR y el Reglamento de Datos. La derogación de instrumentos superpuestos, como el Reglamento sobre el Libre Flujo de Datos no Personales, el Reglamento de Gobernanza de Datos, la Directiva de Datos Abiertos y el Reglamento Plataforma Empresa, corrige una fuente evidente de complejidad normativa y mejora la previsibilidad jurídica, especialmente para operadores transfronterizos.

En segundo lugar, la creación de un punto de entrada único para la notificación de incidentes constituye una de las propuestas más sólidas del paquete desde el punto de vista operativo. Al introducir el principio de “notificar una vez, compartir múltiples veces”, el Ómnibus reconoce explícitamente la carga desproporcionada derivada de obligaciones de notificación paralelas bajo marcos como NIS2, DORA, la Directiva CER, eIDAS o el GDPR, y ofrece una solución con potencial inmediato de reducción de costes administrativos.

Por último, el enfoque adoptado respecto a la implementación del Reglamento de Inteligencia Artificial refleja un grado apreciable de pragmatismo regulatorio. La vinculación de determinadas obligaciones relativas a sistemas de alto riesgo a la disponibilidad de normas armonizadas y directrices reduce el riesgo de una aplicación formalmente exigible pero materialmente inviable, contribuyendo a una mayor previsibilidad en un entorno tecnológico en rápida evolución.

Estos avances muestran que el Ómnibus Digital no es un ejercicio meramente cosmético. Sin embargo, su alcance sigue siendo selectivo y parcial, y no altera de forma sustantiva la arquitectura institucional que subyace a muchas de las disfunciones del marco digital europeo.

5.3- Carencias estratégicas: una ambición limitada por el diseño

Precisamente porque el Ómnibus Digital identifica correctamente muchas de las disfunciones del acervo digital europeo, resulta necesario evaluar no solo su contenido, sino también los límites inherentes al instrumento elegido para abordarlas. El paquete apuesta por una simplificación selectiva y transversal mediante modificaciones puntuales, pero no altera algunos de los factores estructurales que generan fragmentación, complejidad y costes de cumplimiento. Estas limitaciones no constituyen fallos accidentales, sino debilidades del enfoque Ómnibus como mecanismo de reforma, y condicionan su capacidad para producir una simplificación duradera.

La tabla 4 sintetiza las principales carencias estratégicas identificadas en esta sección, poniendo de relieve cómo derivan de los límites estructurales del enfoque Ómnibus más que de fallos puntuales de diseño.

Tabla 4. Carencias estratégicas del Ómnibus Digital y su origen estructural

5.3.1- La persistencia de las directivas y la fragmentación en la derogación efectiva

Una primera debilidad del Ómnibus Digital deriva de su incapacidad para resolver plenamente los problemas asociados al uso de directivas en el acervo digital europeo. Si bien el paquete propone modificaciones y, en algunos casos, la sustitución o absorción de determinadas directivas por reglamentos, no incorpora mecanismos que garanticen la eliminación efectiva de las disposiciones derogadas en los ordenamientos nacionales. En la práctica, ello implica que la simplificación formal a nivel de la UE no siempre se traduce en una reducción real de obligaciones para los operadores.

Este problema va más allá de las dificultades generales de transposición. Incluso cuando una directiva europea establece expresamente la derogación de disposiciones previas, no existe un control sistemático de que dichas normas desaparezcan del Derecho nacional, lo que puede dar lugar a duplicidades persistentes. La experiencia reciente con la Directiva NIS2 es ilustrativa: pese a su objetivo de racionalizar las obligaciones de notificación de incidentes, en algunos Estados miembros se perfila la coexistencia de regímenes paralelos heredados del Código Europeo de las Comunicaciones Electrónicas. De manera similar, cualquier eventual derogación o integración de la Directiva ePrivacy exigiría una vigilancia estrecha para evitar que subsistan obligaciones nacionales superpuestas.

Desde esta perspectiva, la debilidad no reside tanto en el contenido del Ómnibus como en los límites del instrumento elegido: una simplificación que actúa sobre el Derecho de la Unión, pero no asegura la depuración coherente del Derecho nacional, corre el riesgo de quedar incompleta y de reproducir la fragmentación que pretende corregir.

5.3.2- Una oportunidad perdida: la persistencia de la Directiva ePrivacy

La carencia más evidente del paquete es la decisión de no derogar plenamente la Directiva ePrivacy, pese a que el propio Ómnibus reconoce implícitamente sus disfunciones al trasladar parte de sus contenidos al GDPR. Esta omisión constituye una oportunidad perdida para avanzar hacia una verdadera armonización del marco digital europeo y mantiene un foco persistente de inseguridad jurídica y distorsión competitiva.

En particular, la pervivencia de ePrivacy genera tres problemas estructurales. En primer lugar, duplica y solapa disposiciones ya cubiertas por el GDPR, especialmente en materia de confidencialidad de las comunicaciones y acceso a datos, fragmentando innecesariamente el marco jurídico aplicable. En segundo lugar, perpetúa un trato asimétrico entre actores del ecosistema digital, al imponer obligaciones sectoriales específicas a los proveedores de telecomunicaciones mientras otros operadores quedan sujetos únicamente al GDPR, sin una justificación económica o tecnológica clara. En tercer lugar, mantiene rigideces regulatorias que dificultan objetivos que el propio Ómnibus persigue, como la lucha contra el fraude, la mejora de la ciberseguridad o la corrección de sesgos algorítmicos, generando contradicciones internas dentro del acervo digital.

Desde una perspectiva de coherencia normativa, la solución más consistente habría sido derogar ePrivacy e integrar sus elementos aún necesarios, como la protección de la confidencialidad de las comunicaciones, en marcos horizontales más modernos y funcionales, como el GDPR, el Código Europeo de las Comunicaciones Electrónicas o la futura Ley de Redes Digitales (DNA, por sus siglas en inglés). La decisión de no hacerlo refleja los límites políticos del ejercicio, pero también ilustra la falta de una visión integrada del acervo digital.

5.3.3- Consolidación incompleta del marco de datos: los límites del enfoque centrado en el Reglamento de Datos

El Ómnibus Digital apuesta por consolidar buena parte del acervo de datos en torno al Reglamento de Datos, derogando instrumentos con impacto relativamente limitado como el Reglamento Plataforma-Empresa, el Reglamento sobre el Libre Flujo de Datos no Personales, la Directiva de Datos Abiertos o el Reglamento de Gobernanza de Datos. Aunque esta racionalización es conceptualmente acertada y responde a la necesidad de reducir incoherencias, el ejercicio se queda corto al no abordar las deficiencias estructurales del propio Reglamento de Datos.

En particular, el Reglamento de Datos se basa en categorías conceptualmente difusas, como la noción de “datos de producto”, que han contribuido a fragmentar los mercados de datos y a generar inseguridad jurídica. La distinción entre datos en función del tipo de dispositivo que los genera resulta difícil de sostener en la práctica, dado que todos los datos residen, en última instancia, en infraestructuras físicas. Una extensión del ámbito del Reglamento de Datos a todos los datos no personales, y no solo a los denominados datos de producto, habría simplificado de manera mucho más efectiva el panorama regulatorio (Martens, 2025).

Además, el Reglamento de Datos mantiene un enfoque que concentra el control del acceso a los datos en los titulares industriales, en detrimento de usuarios y proveedores de servicios de datos. Al permitir que los fabricantes determinen precios y condiciones para la compartición de datos, se crean barreras al desarrollo de mercados de datos competitivos y se vacía parcialmente de contenido el objetivo declarado de fomentar la reutilización y el pooling de datos. Otras disposiciones, como la prohibición de utilizar datos obtenidos de otras empresas para desarrollar productos o servicios competidores, refuerzan este sesgo y contradicen la lógica de apertura que debería inspirar la regulación de los datos como factor productivo.

5.3.4- Capacidad institucional y sustitución incompleta de los mecanismos nacionales de notificación

El paquete Ómnibus Digital pone de relieve carencias relevantes en términos de capacidad institucional y diseño operativo, que no pueden reducirse a meros problemas de ejecución. El ejemplo más claro es la creación de un punto de entrada único para la notificación de incidentes, concebido como instrumento central para racionalizar las obligaciones derivadas de la superposición de marcos como NIS2, DORA, CER, eIDAS o el GDPR.

Desde una perspectiva conceptual, el principio de “notificar una vez, compartir múltiples veces” es sólido y responde a una disfunción ampliamente reconocida. No obstante, su eficacia dependerá de que el nuevo mecanismo sustituya efectivamente a los canales nacionales existentes, y no se limite a superponerse a ellos. El Ómnibus no redefine de forma suficientemente clara los incentivos ni las obligaciones de las autoridades nacionales, ni aborda plenamente cuestiones operativas esenciales como los idiomas de trabajo, los niveles de acceso a la información, la interacción con competencias de seguridad nacional o la interoperabilidad real entre sistemas.

A estas incertidumbres se añade una limitación crítica en términos de recursos. La asignación prevista para que ENISA gestione el punto de entrada único resulta claramente insuficiente para garantizar un funcionamiento eficaz, continuo y seguro en un entorno transfronterizo y multisectorial. Esta infra-dotación no constituye un detalle técnico menor, sino un síntoma de una brecha más amplia entre las ambiciones regulatorias del Ómnibus y la capacidad real de supervisión y coordinación a nivel de la Unión. En ausencia de un compromiso efectivo de los Estados miembros para racionalizar sus propios canales y criterios de notificación, existe el riesgo de que el punto de entrada único funcione como una capa adicional de comunicación, reduciendo de forma significativa su potencial simplificador.

5.3.5 – Simplificación legislativa y desplazamiento regulatorio en el marco del Reglamento de Inteligencia Artificial

Una debilidad distinta, aunque relacionada, del paquete Ómnibus Digital se manifiesta en los ajustes introducidos en relación con la aplicación del Reglamento de Inteligencia Artificial. A diferencia del caso del punto de entrada único, el problema aquí no es tanto de capacidad institucional como de arquitectura normativa y seguridad jurídica.

El Ómnibus propone aplazar determinadas obligaciones, vincular su aplicabilidad a la disponibilidad de normas armonizadas y reforzar el recurso a directrices, actos de implementación y otros instrumentos de soft law. Si bien este enfoque responde a preocupaciones legítimas sobre la falta de madurez técnica y la dificultad de cumplimiento temprano, también conlleva el riesgo de prolongar la incertidumbre regulatoria en lugar de reducirla. En la práctica, el contenido efectivo de las obligaciones puede quedar desplazado desde el texto legislativo hacia instrumentos posteriores, definidos por autoridades técnicas con limitada rendición de cuentas democrática.

En un contexto de rápida evolución tecnológica, esta proliferación de normas no vinculantes y actos de ejecución puede convertirse en una nueva fuente de complejidad, dificultando la planificación de inversiones y la evaluación ex ante de riesgos regulatorios. Desde esta perspectiva, la simplificación introducida por el Ómnibus corre el riesgo de ser parcial y transitoria, al aliviar temporalmente ciertas cargas formales mientras traslada el centro de gravedad regulatorio fuera del legislador, sin una delimitación clara y estable de derechos y obligaciones.

5.3.6- Simplificación sin consolidación: el coste de la falta de textos integrados

Otra debilidad del Ómnibus Digital es de carácter más práctico, pero no menos relevante: la ausencia de una política sistemática de consolidación legislativa. El paquete introduce modificaciones simultáneas en un número elevado de actos jurídicos, pero no va acompañado de la publicación de versiones consolidadas e integradas de las normas afectadas.

Como resultado, empresas, autoridades y asesores se ven obligados a reconstruir el Derecho aplicable a partir de sucesivas propuestas Ómnibus, actos modificativos y disposiciones transitorias. Esta situación incrementa el coste cognitivo y operativo del cumplimiento, especialmente en un entorno ya caracterizado por la densidad normativa. Paradójicamente, un ejercicio concebido para simplificar puede acabar dificultando el acceso al Derecho vigente.

Desde el punto de vista de la calidad regulatoria, la falta de textos consolidados limita de forma significativa el impacto real de la simplificación. Reducir obligaciones sin mejorar la inteligibilidad del marco jurídico implica una simplificación formal que no siempre se traduce en una reducción efectiva de costes.

5.3.7- Gobernanza fragmentada y dependencia estructural de la regulación de nivel 2

El recurso intensivo a actos de ejecución, normas técnicas y directrices interpretativas constituye uno de los rasgos más característicos del acervo digital europeo reciente.

En un sistema caracterizado por una aplicación altamente descentralizada, con una pluralidad de autoridades nacionales competentes, mandatos funcionales diversos y lógicas supervisoras no siempre alineadas, la regulación de nivel 1 (Reglamentos y Directivas) resulta, por sí sola, insuficiente para garantizar una aplicación mínimamente coherente del marco normativo. En este contexto, los actos de ejecución y de implementación de la Comisión se convierten en un mecanismo compensatorio, destinado a acotar márgenes interpretativos, homogeneizar formatos, precisar conceptos y reducir divergencias en la práctica administrativa de los Estados miembros.

Sin embargo, la proliferación de normas de nivel 2 introduce una nueva capa de complejidad, desplazando la inseguridad jurídica desde el texto legislativo hacia la fase de implementación. La simplificación se anuncia en el acto legislativo, pero su efectividad queda condicionada a un ecosistema posterior de normas técnicas, directrices y formatos cuyo contenido y calendario de adopción resultan, en muchos casos, inciertos.

Esta dinámica está estrechamente vinculada a la fragmentación institucional descrita en la sección 2. El Reglamento de Inteligencia Artificial constituye un ejemplo paradigmático: su aplicación se reparte entre una multiplicidad de autoridades nacionales, en ocasiones sin una autoridad única claramente responsable a nivel nacional, lo que incrementa la necesidad de orientaciones adicionales para coordinar criterios. El GDPR se articula en torno a autoridades de protección de datos con lógicas y prioridades distintas, mientras que otros instrumentos del acervo digital introducen supervisores sectoriales adicionales. Las intersecciones entre estos marcos hacen prácticamente inevitable el recurso a actos de implementación para gestionar solapamientos e interacciones regulatorias.

No obstante, incluso con una normativa de nivel 2 cada vez más detallada, la heterogeneidad en la aplicación no desaparece por completo. Los actos de ejecución pueden mitigar divergencias, pero no sustituyen una gobernanza clara y unificada. El resultado es un marco en el que la simplificación en el nivel legislativo convive con una densificación normativa en los niveles inferiores, trasladando la complejidad desde el Derecho primario hacia un entramado técnico menos transparente y con menor control político.

Desde esta óptica, el Ómnibus Digital no elimina uno de los orígenes estructurales de la complejidad normativa del acervo digital europeo: una gobernanza profundamente fragmentada, que obliga a recurrir de forma sistemática a instrumentos de nivel 2 como mecanismo de coordinación ex post. Ello limita el impacto real de cualquier ejercicio de simplificación basado exclusivamente en reformas legislativas de nivel 1.

6- Conclusiones

El Paquete Ómnibus Digital constituye un giro relevante en la política regulatoria europea: por primera vez, la Comisión reconoce de forma explícita que la acumulación y estratificación del acervo digital, más que su mera ambición, se ha convertido en un factor de coste, inseguridad jurídica y desventaja competitiva. En este sentido, el Ómnibus identifica con acierto varios de los “puntos de fricción” más evidentes del sistema: la fatiga del consentimiento y los incentivos perversos asociados a las cookies; la incertidumbre en torno al uso de datos personales para el desarrollo y despliegue de sistemas de inteligencia artificial; la proliferación de regímenes paralelos en materia de datos; y, de forma especialmente tangible, la multiplicación de obligaciones de notificación de incidentes bajo marcos distintos. Su valor reside precisamente en esta aproximación pragmática: no pretende reescribir el acervo desde cero, sino corregir disfunciones que ya estaban generando costes netos sin aportar beneficios proporcionales en términos de protección.

Ahora bien, el Ómnibus también ilustra los límites inherentes a la simplificación cuando se aborda mediante modificaciones legislativas puntuales sobre un sistema multinivel y fragmentado. La primera limitación es institucional: incluso cuando las reglas se armonizan en el nivel 1, la aplicación sigue descansando en una pluralidad de autoridades nacionales con mandatos y prácticas divergentes, lo que obliga a recurrir sistemáticamente a instrumentos de nivel 2 para reducir divergencias ex post. En este contexto, la simplificación corre el riesgo de ser efímera o incompleta: puede reducir ciertas cargas en el texto legislativo, pero desplazar la complejidad hacia actos de ejecución, normas técnicas y guías cuyo contenido y calendario no siempre son previsibles.

La segunda limitación es de coherencia normativa. El Ómnibus avanza en la consolidación del marco de datos y en el reordenamiento del GDPR como referencia horizontal, pero deja sin resolver uno de los principales focos de inconsistencia: la persistencia de la Directiva ePrivacy, que continúa introduciendo asimetrías sectoriales y solapamientos difíciles de justificar en un ecosistema tecnológico convergente. Del mismo modo, la consolidación del marco de datos en torno al Reglamento de Datos mejora la arquitectura formal del sistema, pero no corrige algunos problemas de diseño que pueden seguir limitando el desarrollo de mercados de datos competitivos.

La tercera limitación es operativa. El punto de entrada único para notificaciones de incidentes representa, probablemente, la medida más “simple” en el sentido económico del término: reduce duplicidades sin rebajar objetivos de protección. Sin embargo, su eficacia dependerá de dos condiciones que el propio Ómnibus no puede garantizar por sí solo: que los Estados miembros eliminen incentivos a mantener canales paralelos, y que ENISA cuente con los recursos y capacidades necesarias para gestionar un mecanismo transfronterizo, multisectorial y crítico.

En suma, el Ómnibus Digital es un paso necesario y bien orientado, pero no constituye, ni puede constituir, una solución estructural al problema de fondo: la complejidad del acervo digital europeo no proviene únicamente de la cantidad de normas, sino de la combinación de capas regulatorias superpuestas con una gobernanza descentralizada que genera incertidumbre y costes de coordinación. Si la UE aspira a una simplificación duradera compatible con su modelo de protección, el enfoque Ómnibus debería entenderse como un primer ajuste correctivo, no como un punto de llegada. La agenda pendiente es más exigente: avanzar hacia una mayor coherencia entre instrumentos, reducir marcos obsoletos, reforzar la capacidad institucional europea allí donde el mercado es realmente transfronterizo y, sobre todo, mejorar la inteligibilidad del Derecho aplicable mediante consolidación sistemática de textos y clarificación de responsabilidades. Solo así la simplificación dejará de ser un ejercicio de “alivio parcial” para convertirse en una mejora estable de la calidad regulatoria y de la competitividad digital europea.

Bibliografía

References

1. Arnal, J. (2025a). Brussels' regulatory simplification: Grand ambitions, inadequate tools. En J. Cloos (Ed.), European Council Experts' Debrief: Simplification of EU legislation: A complex matter (Issue XVII, pp. 4–6). Trans European Policy Studies Association (TEPSA).
2. Arnal, J. (2025b). AI at risk in the EU: It's not regulation, it's implementation. European Journal of Risk Regulation, 16(5), 1168–1177. https://doi.org/10.1017/err.2025.19
3. Comisión Europea. (2025a). Proposal for a digital omnibus, COM(2025) 837 final. https://ec.europa.eu/newsroom/dae/redirection/document/121742
4. Comisión Europea. (2025b). Proposal for a digital omnibus on AI, COM(2025) 836 final. https://ec.europa.eu/newsroom/dae/redirection/document/121744
5. Crémer, J., de Montjoye, Y.-A., & Schweitzer, H. (2019). Competition policy for the digital era. European Commission.
6. de Streel, A., Larouche, P., Pelkmans, J., & others. (2023). EU regulation and institutions for digital competitiveness. Centre on Regulation in Europe (CERRE).
7. de Streel, A. (2025). EU regulation and institutions for digital competitiveness. Centre on Regulation in Europe (CERRE). https://cerre.eu/wpcontent/uploads/2025/11/EU-Regulation-and-Institutions-for-Digital-Competitiveness.pdf
8. Domínguez de Olazábal, I. (2025). Alleged "simplification" without safeguards: What the Digital Omnibus means for Europe's rights framework. En J. Cloos (Ed.), European Council Experts' Debrief: Simplification of EU legislation: A complex matter (Issue XVII). Trans European Policy Studies Association (TEPSA).
9. European Data Protection Board. (2024). Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models.
10. Magierska, M. (2025). Competitiveness and fundamental rights: A false dilemma. En J. Cloos (Ed.), European Council Experts' Debrief: Simplification of EU legislation: A complex matter (Issue XVII). Trans European Policy Studies Association (TEPSA).
11. Martens, B. (2024). Regulating data markets: Digital regulation beyond the Digital Markets Act. Bruegel.
12. Martens, B. (2025). The European Union needs more than the digital omnibus to make digital services competitive. Bruegel. https://www.bruegel.org/analysis/european-union-needs-more-digital-omnibusmake-digital-services-competitive
13. Talayero, N. (2025). Simplificación regulatoria: ¿El paquete Omnibus Digital como primer paso? Telefónica. https://www.telefonica.com/es/salacomunicacion/blog/simplificacion-regulatoria-paquete-omnibus-digital-primerpaso/
14. Tribunal de Justicia de la Unión Europea. (2025). Judgment of the Court in Case C-413/23 P, EDPS v Single Resolution Board (Concept of personal data). ECLI:EU:C:2025:645.
15. Wendehorst, C. (2025). Who is afraid of the Digital Omnibus? En J. Cloos (Ed.), European Council Experts' Debrief: Simplification of EU legislation: A complex matter (Issue XVII). Trans European Policy Studies Association (TEPSA).
16. Zenner, K., & Marcus, J. S. (2025). The top 20 digital laws that all digital policy experts should know. Centre for European Policy Studies.

References