En el mes de febrero de 2026, la presidencia chipriota del Consejo de la Unión Europea hizo circular entre las delegaciones un texto de compromiso sobre el Digital Omnibus que suprime, por completo, la nueva definición de «dato personal» que la Comisión Europea había propuesto tres meses antes. El documento elimina el cambio propuesto por la Comisión. Con esto desaparece también la habilitación para que la Comisión decidiera, mediante actos de ejecución, qué deja de ser dato personal tras la seudonimización.

La noticia pasó casi inadvertida ya que la mayoría de als miradas se fijaron en la IA —el aplazamiento de las obligaciones de alto riesgo del AI Act, que ya analizamos en su momento—. Mientras la atención se concentraba en los calendarios del Reglamento (UE) 2024/1689, la Comisión había deslizado en el capítulo de protección de datos del Omnibus la modificación con más alcance material sobre el RGPD desde su entrada en aplicación. No una excepción sectorial, ni un plazo sino un cambio en la definición sobre la que se sostiene todo.

El hecho: qué proponía la Comisión y qué borra el Consejo

La Comisión adoptó la propuesta de Digital Omnibus el 19 de noviembre de 2025, presentándola como un ejercicio de simplificación del acervo digital: un paquete que toca el RGPD, el Data Act, el AI Act y media docena de normas más. En el capítulo del RGPD, la pieza que ahora ha caído consistía en añadir un párrafo al artículo 4, apartado 1, con el siguiente contenido (en la redacción filtrada):

«La información relativa a una persona física no es necesariamente dato personal para cualquier otra persona o entidad por el mero hecho de que otra entidad pueda identificar a esa persona física. La información no será personal para una entidad determinada cuando esa entidad no pueda identificar a la persona física a la que se refiere, teniendo en cuenta los medios razonablemente probables de ser utilizados por esa entidad. Tal información no se convierte en personal para esa entidad por el mero hecho de que un potencial destinatario posterior disponga de medios razonablemente probables de ser utilizados para identificar a la persona física.»

Conviene leer despacio la última frase, porque ahí está el nervio de la reforma. La propuesta no se limitaba a recordar que la identificabilidad se valora en función de los medios razonablemente disponibles —eso ya estaba en el sistema—. Introducía un criterio estrictamente subjetivo, anclado en la entidad concreta que trata el dato, y neutralizaba de forma expresa el factor que hasta ahora obligaba a mirar más allá de esa entidad: la capacidad de un tercero, de un destinatario ulterior, de identificar al titular. Si el que tiene el dato no puede identificarme, deja de ser mi dato para él; y no vuelve a serlo aunque el siguiente eslabón de la cadena sí pueda.

El compromiso del Consejo elimina íntegramente ese párrafo y, en su lugar, se remite al trabajo que el Comité Europeo de Protección de Datos (EDPB) está ultimando sobre seudonimización. Es una retirada limpia, no una transacción. Y llega apenas nueve días después de que las dos autoridades europeas de protección de datos hubieran puesto el mismo punto sobre la mesa.

El marco: el artículo 4.1 y el considerando 26

Para medir el alcance de lo que se propuso hay que volver al texto vigente. El artículo 4.1 del RGPD define el dato personal como «toda información sobre una persona física identificada o identificable», y precisa que es identificable «toda persona cuya identidad pueda determinarse, directa o indirectamente». El umbral de esa identificabilidad no está en el articulado, sino en el considerando 26: para determinar si una persona es identificable «deben tenerse en cuenta todos los medios que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física».

Esa fórmula —«el responsable o cualquier otra persona»— es la clave de bóveda. El estándar de los «medios razonablemente probables» nunca fue un criterio puramente absoluto ni puramente subjetivo: obligaba a valorar tanto lo que el responsable puede hacer como lo que puede hacer un tercero con acceso realista a los medios de reidentificación. El Tribunal de Justicia lo fijó así en Breyer (asunto C–582/14, sentencia de 19 de octubre de 2016), a propósito de las direcciones IP dinámicas: un dato es personal para quien, sin poder identificar por sí solo al titular, dispone de medios jurídicos que le permitan razonablemente obtener la información adicional de un tercero. La identificabilidad se apreciaba, ya entonces, de forma relativa y contextual, pero sin amputar la dimensión de «cualquier otra persona».

La propuesta de la Comisión conservaba la etiqueta de los «medios razonablemente probables» —de ahí que se vendiera como codificación— pero hacía dos cosas distintas. Trasladaba el criterio del considerando al articulado, elevándolo de pauta interpretativa a regla operativa. Y, sobre todo, sustituía el «o cualquier otra persona» del considerando 26 por su negación ya que el destinatario posterior con capacidad de reidentificar deja de ser relevante. No es lo mismo un estándar que integra los medios de terceros que uno que los excluye por definición.

Por qué mover la definición recoloca todo el sistema

El concepto de dato personal no es un artículo más del RGPD: es la llave que abre o cierra la aplicación de toda la norma. Si una información es dato personal, se activan la licitud del tratamiento (art. 6), los principios del artículo 5, los derechos del interesado —acceso (art. 15), supresión (art. 17), oposición, portabilidad—, las obligaciones de seguridad y notificación de brechas, las reglas de transferencia internacional del capítulo V y el régimen sancionador. Si no lo es, no se activa nada. La definición no regula un supuesto: decide el perímetro entero del Derecho de protección de datos.

Por eso una recalibración que en apariencia es semántica tiene consecuencias de fondo. El efecto práctico de la propuesta se concentraba en las cadenas de tratamiento con varios actores —relaciones responsable-encargado, ecosistemas de intercambio de datos bajo el Data Act, arquitecturas de adtech, transferencias intragrupo— donde cada eslabón tiene una capacidad distinta de reidentificar. En ese terreno, la nueva definición habría facilitado que un actor sostuviera que, «desde su perspectiva», el dato no es personal y que, por tanto, el RGPD no le aplica. La policy advisor de European Digital Rights, Itxaso Domínguez de Olazábal, lo resumió con precisión: el cambio «habría hecho más fácil que actores en cadenas de tratamiento complejas argumentaran que el dato no es personal desde su punto de vista».

Hay un segundo frente, menos visible y más incómodo: el entrenamiento de modelos con datos presentados como «anonimizados». La frontera entre seudonimización y anonimización es precisamente el lugar donde la definición es más relevante. Un conjunto de datos que un proveedor recibe seudonimizado, sin la clave de reidentificación, podría quedar fuera del RGPD «en sus manos» aunque el cedente conserve la capacidad de reconstruirlo y aunque un tercero pudiera hacerlo. Para quien entrena el modelo, la reforma era una buena noticia; para el interesado que no controla quién puede recomponer el puzle, una pérdida de protección difícil de percibir hasta que se materializa.

Aquí es donde el derecho de acceso o el de supresión dejan de ser abstracciones. Si el responsable A cede datos seudonimizados al destinatario B, para quien el conjunto es efectivamente anónimo, y el interesado dirige a B una solicitud de acceso o de borrado, B no podrá confirmar ni negar que trata sus datos. Bajo la lógica de la definición propuesta, el RGPD no le aplicaría y no tendría obligación de responder. El artículo 11 del RGPD —que exime al responsable que no puede identificar al interesado de conservar datos adicionales solo para atender solicitudes— ofrece hoy una válvula ordenada para ese escenario. Pero el artículo 11 presupone que se está tratando un dato personal; si el dato ya no es personal para B, la protección no se modula, desaparece.

Codificar no es reescribir: qué dijo realmente el TJUE en EDPS c. SRB

La Comisión justificó la reforma como una puesta al día del RGPD a la luz de la jurisprudencia reciente del Tribunal de Justicia, y en particular de la sentencia de 4 de septiembre de 2025 en el asunto C–413/23 P, EDPS c. SRB. El argumento tiene fuerza aparente y una debilidad de fondo que conviene analizar.

Primero, la cita correcta. La resolución de septiembre de 2025 es la dictada, donde el recurrente es el Supervisor Europeo de Protección de Datos: EDPS c. SRB, asunto C–413/23 P. La sentencia que a menudo se menciona como «SRB v EDPS» era la del Tribunal General (asunto T–557/20, de 26 de abril de 2023), que el Tribunal de Justicia precisamente revoca. No es un matiz de erudición: quien invoque el precedente en un escrito o en un informe debe citar el pronunciamiento que sienta doctrina, no el que fué revocado.

Segundo, y más importante, el fondo. El litigio nació de la resolución de Banco Popular. La Junta Única de Resolución (SRB) abrió un trámite de audiencia a antiguos accionistas y acreedores, recibió más de 23.000 comentarios identificados con un código alfanumérico y transmitió 1.104 de ellos a Deloitte, como valorador independiente, sin entregarle la clave que vinculaba los códigos con las personas. Varios interesados denunciaron ante el EDPS que no se les había informado de esa cesión. El Tribunal de Justicia resolvió tres cuestiones y de las tres nace el criterio que la Comisión quiso codificar.

De un lado, las opiniones y valoraciones personales son dato personal por su propia naturaleza, en cuanto expresión del pensamiento de su autor, sin necesidad de analizar su contenido, finalidad o efecto (apartados 58 a 60). Es la línea de Nowak (C–434/16) sobre las anotaciones de un examinador, y de la lectura amplia del concepto reafirmada en IAB Europe (C–604/22) y en OC c. Comisión (C–479/22 P). De otro, la seudonimización no equivale a anonimización: reduce el riesgo de identificación pero no lo elimina automáticamente. Y de ahí la conclusión que se ha convertido en cita obligada: el dato seudonimizado «no debe considerarse, en todos los casos y para toda persona, dato personal» (apartado 86). Para la SRB, que conserva la clave, seguía siendo dato personal (apartado 76); para Deloitte, que carecía de ella y de medios razonables de reidentificación, podía no serlo (apartado 77).

Hasta aquí, la Comisión parece tener razón: el Tribunal abraza un criterio relativo. El problema es lo que la sentencia dice a continuación, y que la propuesta ignoraba. El Tribunal mantuvo con firmeza la protección del lado del responsable: la obligación de transparencia se aprecia ex ante, en el momento de la recogida y desde la perspectiva del responsable inicial, con independencia de que el destinatario pueda o no reidentificar (apartados 102 y 112). La SRB debía informar de la cesión a Deloitte aunque para Deloitte el dato dejara de ser personal. Dicho de otro modo: el Tribunal introdujo flexibilidad para el receptor, no una vía de escape para el cedente.

La reforma de la Comisión hacía tres cosas que la sentencia no autoriza. Convertía un test judicial, casuístico y ligado a las circunstancias de cada tratamiento, en una regla legal general y abstracta. Redactaba la definición «en negativo» —diciendo qué no es dato personal en lugar de qué lo es—, lo que invierte la carga argumentativa a favor de quien quiere quedar fuera del Reglamento. Y neutralizaba el factor «destinatario posterior» que Breyer había incorporado a través del «o cualquier otra persona» del considerando 26. EDPS c. SRBno es la víctima de la reforma; fue su coartada. La distancia entre codificar una sentencia y reescribir una definición usando la sentencia como excusa es exactamente la distancia que separa el relato de la Comisión de lo que el Tribunal resolvió.

Eso es, en esencia, lo que el EDPB y el Supervisor Europeo dijeron en su Dictamen conjunto 2/2026, adoptado el 11 de febrero de 2026. Las dos autoridades respaldan el objetivo general de simplificación, pero instan a los colegisladores a no adoptar el cambio de definición: va «mucho más allá de una enmienda técnica o específica», «no refleja con exactitud la jurisprudencia del TJUE» y estrecharía de forma significativa el concepto de dato personal. Añaden dos objeciones de técnica normativa que un jurista debe retener. La definición debería decir qué es dato personal, no qué no es: la fórmula en negativo aumenta la inseguridad jurídica. Y la Comisión no debería quedar habilitada para decidir por acto de ejecución qué deja de ser dato personal tras la seudonimización, porque eso afecta directamente al ámbito de aplicación de todo el Derecho de la Unión en la materia —una decisión de ese calado no se delega en la comitología—.

El criterio relativo y la tradición de la AEPD

Trasladado al Derecho español, el episodio tiene una lectura adicional. Las autoridades de protección de datos, y la Agencia Española de Protección de Datos entre ellas, han sostenido durante años una posición próxima a la absolutista: el dato seudonimizado es dato personal, y punto. Es la línea del antiguo Grupo del Artículo 29 y la que subyace en el borrador de Directrices 01/2025 del EDPB sobre seudonimización, sometido a consulta en enero de 2025, que parte de que los datos seudonimizados son datos personales. EDPS c. SRB obliga a revisar esa premisa —el propio EDPB ha reconocido que actualiza esas directrices— y explica por qué el compromiso del Consejo remite ahora a ese trabajo en curso en lugar de fijar la cuestión en el articulado.

Vale la pena mirar el contraste con el otro gran modelo regulatorio. El Derecho estadounidense nunca ha operado con un concepto unitario y binario de dato personal como el europeo: la noción de personally identifiable information se define por sectores y varía de una norma a otra, y estándares como el de «información razonablemente vinculable» de la California Consumer Privacy Act asumen de partida que la condición de personal es relativa y dependiente del contexto. Leída con esa lente, la propuesta de la Comisión no era tanto una codificación del acervo europeo como la importación de una lógica más próxima a la estadounidense —relativa, funcional, entidad por entidad— dentro de una arquitectura, la del RGPD, construida sobre la premisa contraria: que el dato es personal o no lo es, con carácter general. El problema no es que esa lógica sea ilegítima; es que introducirla por la puerta del artículo 4.1, y en negativo, altera el equilibrio de un edificio que no se diseñó para sostenerla.

La consecuencia para la práctica española es concreta. Los contratos de cesión y los acuerdos de encargo de tratamiento tendrán que convivir con una asimetría que la sentencia ya legitima: el mismo conjunto de datos puede ser personal para el cedente y no serlo para el cesionario. Esa divergencia complica la negociación —cada parte querrá calificar el dato conforme a su propio interés— y obliga a repartir de forma expresa las obligaciones de transparencia y de atención de derechos a lo largo de la cadena. No es teoría: es cláusula. Quien redacte hoy un acuerdo de intercambio de datos sin anticipar este reparto está dejando una laguna que el criterio relativo hará aflorar tarde o temprano.

Hay además una dimensión de transferencias internacionales que afecta de lleno a estructuras habituales en despachos y empresas españolas. Para el exportador, el dato seudonimizado seguirá siendo, con toda probabilidad, personal, y exigirá cláusulas contractuales tipo o normas corporativas vinculantes. Para el importador que no puede reidentificar, ese mismo dato puede quedar fuera. La fricción es evidente: ¿por qué aceptaría un receptor las obligaciones de unas cláusulas tipo si no se considera sujeto al RGPD? La respuesta pasará por adaptar los instrumentos de transferencia y precisar el reparto de responsabilidades, no por asumir que la seudonimización resuelve el problema.

Qué debe hacer un responsable mientras la definición cambia

La tentación, ante un cambio que se anuncia como simplificación, es reorganizar el cumplimiento para aprovecharlo. Sería un error de cálculo. La definición propuesta no es Derecho vigente sino una propuesta de la Comisión que el Consejo, en su posición negociadora, acaba de retirar, y sobre la que el Parlamento Europeo aún no ha cerrado postura. Reconstruir hoy la arquitectura de cumplimiento sobre una definición que sigue en proyecto es edificar sobre un plano que todavía se discute.

La conducta prudente —el enfoque de Derecho Proactivo que venimos defendiendo— es la contraria a la desmovilización. El criterio relativo que sí es Derecho, porque lo ha fijado el Tribunal de Justicia, obliga a evaluar la identificabilidad en cada eslabón de la cadena y no a asumir que la seudonimización expulsa el dato del RGPD de una vez y para todos. Conviene revisar los acuerdos de cesión y de encargo para asignar expresamente quién soporta la transparencia y quién atiende los derechos cuando el dato es personal para unos y no para otros; documentar, del lado del responsable inicial, el cumplimiento ex ante de la información que EDPS c. SRB exige con independencia de la posición del receptor; y tratar la seudonimización como lo que la sentencia ha confirmado que es —una bisagra jurídica que decide la aplicación del Reglamento, no un salvoconducto—.

El calendario a vigilar no es el de agosto ni el de ningún plazo administrativo. Es el del 27 de febrero, cuando los representantes de los Estados miembros abordan el compromiso, y el del trílogo posterior. Ahí se decide si la definición de dato personal se mantiene como está, se reescribe o se deja para las directrices del EDPB. Es el punto del expediente que más conviene seguir, y el que menos titulares generará.

El fondo de la discusión

Detrás de la técnica hay una elección que no es técnica. Un dato personal puede definirse como una cualidad objetiva de la información —lo es para todos, con independencia de quién la tenga— o como una cualidad relativa, que depende de la capacidad de cada actor para conectar el dato con una persona. El Tribunal de Justicia ha inclinado la balanza hacia lo segundo, y con buenas razones: tratar como personal un dato que nadie puede realmente vincular a un individuo impone costes sin proteger a nadie. Pero la relatividad tiene un reverso. Cuanto más subjetivo es el criterio, más fácil resulta que cada eslabón de una cadena declare, de buena o mala fe, que el dato no es suyo, y más difícil que el interesado sepa a quién reclamar.

La Comisión quiso hard-codear esa relatividad en el artículo 4.1 y añadirle una cláusula que ignora al destinatario posterior. El Consejo lo ha frenado, y el EDPB ha recordado que una definición que dice qué no es un dato personal, en vez de qué lo es, traslada el riesgo al lado equivocado. La pregunta que queda abierta —la que decidirá el trílogo— es sencilla de formular y difícil de contestar: un dato personal que lo es para todos, o uno que depende de quién lo mire.