El RGPD cumple ocho años: lecciones aprendidas y lo que viene

Ocho años de la ley de privacidad más influyente del mundo

El 25 de mayo de 2018, el Reglamento General de Protección de Datos entró en vigor en toda la Unión Europea. Ocho años después, el RGPD se ha convertido en la norma tecnológica más trascendental de la historia, no porque sea perfecto, sino porque cambió de raíz el debate mundial sobre la protección de datos, la responsabilidad de las empresas y los derechos individuales en la era digital.

Las cifras cuentan parte de la historia. A 1 de marzo de 2026, las autoridades europeas de protección de datos habían impuesto multas por unos 6.100 millones de euros en más de 2.600 decisiones registradas, según el CMS GDPR Enforcement Tracker Report 2026. Solo Meta ha sido multada con más de 2.500 millones de euros por diversas infracciones. Amazon, Google, TikTok y decenas de otras empresas han recibido sanciones que van de miles a cientos de millones de euros. Pero el verdadero impacto del RGPD va mucho más allá de las multas.

Qué funcionó

Un estándar mundial: El mayor logro del RGPD quizá sea su influencia extraterritorial. La LGPD de Brasil, las reformas de la APPI de Japón, las actualizaciones de la PIPA de Corea del Sur, la ley DPDP de la India y decenas de otras leyes nacionales de privacidad se inspiraron directamente en los principios del RGPD. El reglamento creó una base mundial de protección de datos que antes no existía.

Cambio en el comportamiento de las empresas: Antes del RGPD, la mayoría de las empresas trataban los datos personales como un recurso gratuito que se podía recopilar, combinar y monetizar sin límites reales. El RGPD convirtió la responsabilidad proactiva en una obligación legal. Hoy las empresas cuentan con delegados de protección de datos, realizan evaluaciones de impacto relativas a la protección de datos y mantienen registros de actividades de tratamiento, no por buena voluntad, sino porque la ley lo exige y las sanciones por incumplimiento son importantes.

Conciencia de los derechos individuales: El derecho de acceso, el derecho de supresión, el derecho a la portabilidad de los datos: antes del RGPD eran abstracciones jurídicas poco conocidas. Hoy los ciudadanos europeos ejercen estos derechos con normalidad. Las solicitudes de acceso se han convertido en una herramienta habitual para que las personas entiendan y controlen cómo se usan sus datos.

Privacidad desde el diseño: La exigencia del RGPD de que la protección de datos se integre en los sistemas desde el principio — en lugar de añadirse a posteriori — ha influido en la forma de diseñar y desarrollar productos en todo el sector tecnológico a escala mundial.

Qué no funcionó

Aplicación desigual: La mayor debilidad estructural del RGPD ha sido su dependencia de autoridades nacionales de protección de datos con recursos, prioridades e independencia política muy distintos. La Comisión de Protección de Datos de Irlanda, que supervisa a la mayoría de las grandes tecnológicas estadounidenses porque tienen su sede europea en Dublín, ha sido criticada repetidamente por la lentitud de sus investigaciones y la laxitud de su aplicación. El mecanismo de ventanilla única, pensado para agilizar los casos transfronterizos, ha creado a menudo cuellos de botella en lugar de eficiencia.

Falta de recursos de las autoridades: Muchas autoridades nacionales siguen crónicamente infrafinanciadas. La distancia entre las ambiciosas exigencias del RGPD y los recursos disponibles para hacerlas cumplir ha sido uno de los problemas más persistentes del reglamento. Las autoridades pequeñas sencillamente no pueden enfrentarse a multinacionales con presupuestos jurídicos ilimitados.

Fatiga del consentimiento de cookies: Los banners de consentimiento de cookies se han convertido en la manifestación más visible — y más criticada — del RGPD. Aunque los requisitos de consentimiento del reglamento son sólidos en principio, su aplicación mediante ventanas emergentes plagadas de patrones oscuros ha generado cansancio en los usuarios y ha dañado la percepción pública de la regulación de la privacidad. Se trata sobre todo de un fallo en la persecución de los diseños de consentimiento manipuladores, más que de un fallo del propio reglamento.

Carga de cumplimiento para las pymes: Las pequeñas y medianas empresas han soportado una carga de cumplimiento desproporcionada en relación con el riesgo real de sus tratamientos de datos. El enfoque único del reglamento ha sido criticado por aplicar el mismo marco a una startup de dos personas que a un intermediario de datos multinacional.

La influencia del RGPD en la regulación posterior

El RGPD fue la primera ola. Sus principios y su modelo de aplicación han dado forma directamente a la regulación digital posterior de la UE:

El Reglamento de IA se basa en el enfoque basado en el riesgo del RGPD y extiende los requisitos de gobernanza de datos a los conjuntos de datos de entrenamiento de IA. La Ley de Mercados Digitales incorpora los principios de consentimiento del RGPD a las normas de competencia entre plataformas y prohíbe a los guardianes de acceso combinar datos personales entre servicios sin consentimiento explícito. El Reglamento de Datos (Data Act) extiende los principios de portabilidad que el RGPD estableció para los datos personales a los datos industriales y de IoT no personales.

Cada nueva norma refuerza y amplía los principios fundamentales del RGPD, creando un marco europeo integral de gobernanza digital mucho más coherente y ambicioso que cualquier iniciativa comparable en el mundo.

Cómo podría ser el RGPD 2.0

La revisión ya no es hipotética. En noviembre de 2025, la Comisión Europea propuso modificaciones específicas del RGPD dentro de su paquete «Ómnibus Digital», y ese mismo mes la UE adoptó un reglamento aparte que armoniza los procedimientos de aplicación transfronteriza. En octubre de 2026, el Parlamento Europeo y el Consejo siguen negociando las modificaciones del Ómnibus, y algunas de ellas — en particular una definición más restrictiva de datos personales — cuentan con la oposición del CEPD y del SEPD. Los temas principales:

Aplicación armonizada: El Reglamento (UE) 2025/2518 fija normas de procedimiento comunes para los casos transfronterizos: admisibilidad armonizada de las reclamaciones, un plazo de 15 meses (prorrogable 12 meses) para el proyecto de decisión de la autoridad principal y un procedimiento simplificado para los casos sencillos. Se aplica desde abril de 2027 y mantiene el mecanismo de ventanilla única, pero busca evitar que se convierta en un cuello de botella.

Cumplimiento simplificado: El Ómnibus propone aligerar las obligaciones administrativas, con plantillas y metodologías de la Comisión para las evaluaciones de impacto relativas a la protección de datos, un punto único de notificación de incidentes de seguridad y la obligación de notificar a las autoridades solo las violaciones de datos de alto riesgo, en 96 horas en lugar de 72.

Reforma del consentimiento: El Ómnibus trasladaría las normas sobre cookies al RGPD, permitiría rechazar con un solo clic, impediría que los sitios vuelvan a preguntar durante seis meses tras una elección y abriría la puerta a señales automáticas y legibles por máquina enviadas por el navegador en lugar de ventanas emergentes en cada sitio.

IA y decisiones automatizadas: La propuesta reconocería el interés legítimo como posible base jurídica para desarrollar y utilizar sistemas de IA y aclararía cuándo se permiten las decisiones automatizadas del artículo 22, cambios que los críticos ven como un debilitamiento de protecciones que los redactores del RGPD escribieron en 2016, mucho antes de los sistemas de IA modernos.

El legado a los ocho años

El RGPD es imperfecto. Su aplicación es desigual, su carga de cumplimiento para las pequeñas empresas es excesiva y su aplicación en forma de consentimiento de cookies es ampliamente detestada. Pero, medido frente a sus objetivos esenciales — establecer derechos fundamentales sobre los datos personales, responsabilizar a las empresas de sus prácticas con los datos y crear un estándar mundial de protección de la privacidad —, el RGPD ha tenido más éxito de lo que la mayoría de los observadores esperaba cuando entró en vigor en 2018.

El mundo anterior al RGPD era uno en el que las empresas recopilaban datos personales sin límite, los almacenaban sin seguridad, los compartían sin consentimiento y no sufrían consecuencias reales cuando algo salía mal. Ese mundo ya no existe en Europa y, cada vez más, ya no existe en ningún sitio. Ese es el legado del RGPD a los ocho años, y es un legado sobre el que merece la pena seguir construyendo.