La propuesta de simplificación de las reglas de la UE sobre el consentimiento para el procesamiento de datos personales debe considerar cómo las incentivos del mercado digital influyen en la implementación. En línea, los datos personales de los usuarios fluyen a través de un sistema complejo que involucra a los editores, proveedores de terceros, proveedores de análisis y tecnologías de publicidad, lo que hace que la compartición de datos a gran escala sea una parte rutinaria de los modelos de negocio en línea. Por ejemplo, un sitio de comercio electrónico podría compartir los datos personales de los usuarios con varios proveedores de terceros, incluidas las plataformas de redes sociales y servicios de publicidad.
Las reglas de la UE, particularmente la Regulación General de Protección de Datos (GDPR) y la Directiva de Privacidad Electrónica, buscan dar a los usuarios un control significativo sobre sus datos personales. Para muchos tipos de procesamiento de datos, estas regulaciones requieren que las entidades en línea obtengan el consentimiento de los usuarios antes de manejar datos personales o almacenar cookies y otras tecnologías de seguimiento en dispositivos. Esta exigencia se implementa típicamente a través de banderas de consentimiento en línea que los usuarios encuentran rutinariamente. Sin embargo, este enfoque a menudo falla en cumplir con las expectativas regulatorias o en apoyar genuinamente los intereses de los usuarios.
Desafíos en la implementación del GDPR
Entre los principales sitios web europeos, menos del 15 por ciento despliega banderas de consentimiento que son plenamente conformes con la GDPR. Las auditorías internas de iniciativas industriales también revelan que muchas soluciones de gestión de consentimiento fallan en cumplir. La persistente falta de aplicación regulatoria permite esta falta de cumplimiento; la responsabilidad de asegurar que las banderas de consentimiento cumplan con la ley de la UE recae en las autoridades de protección de datos nacionales, muchas de las cuales están subfinanciadas y tienen interpretaciones diferentes de las reglas. La razón más profunda de estos patrones se encuentra en los intereses comerciales de las empresas. La aproximación de la industria para implementar la GDPR y la Directiva de Privacidad Electrónica está impulsada por incentivos de beneficio fuertes para estructurar opciones de consentimiento de manera que aumenten las tasas de aceptación de los usuarios. Esto a menudo surge en la forma de ‘patrones oscuros’—diseños y configuraciones de sitios web engañosos y manipuladores destinados a guiar a los usuarios hacia la discusión de más datos personales. Incluso si son plenamente conformes, el sistema de consentimiento presenta problemas prácticos significativos para los usuarios. Los visitantes se enfrentan a numerosas decisiones de consentimiento cada vez que acceden a un sitio web, lo que lleva a la fatiga del usuario. Como resultado, las personas a menudo toman decisiones que no reflejan cómo valoran los costos de privacidad frente a los beneficios de compartir sus datos. Los estudios muestran que muchos usuarios tienen preferencias matizadas, pero los cortes binarios los empujan a compartir más o menos de lo que elegirían idealmente. Los usuarios serían mejor servidos si podían configurar preferencias globales, reduciendo la carga de consentimiento y ayudando a los usuarios a tomar decisiones que se alineen con cómo quieren que se manejen sus datos. Configurar preferencias globalmente permite a los usuarios configurar todo una vez, en un momento conveniente, en lugar de mientras intentan lograr otra tarea. Esto los hace más propensos a tomar el tiempo para tomar decisiones más informadas que se alineen con sus preferencias.
Propuesta de la Comisión Europea
En este contexto, la Comisión Europea propuso un omnibus digital el 19 de noviembre de 2025—un proyecto de ley que modificaría varias leyes digitales de la UE como parte de un esfuerzo de simplificación destinado a fortalecer la competitividad de la UE. Una gran parte de la reducción esperada en la carga administrativa para los consumidores y las empresas procedería de las revisiones de la GDPR y la Directiva de Privacidad Electrónica para simplificar la gestión del consentimiento en línea. Estas modificaciones afectan todo, desde las situaciones en las que se requiere el consentimiento de los usuarios hasta los controles de nivel de navegador y el diseño de las banderas de consentimiento.
La propuesta de la Comisión reduciría significativamente el número de situaciones en las que los editores deben pedir consentimiento. En primer lugar, la Comisión propone integrar elementos de la Directiva de Privacidad Electrónica en la GDPR sobre el procesamiento de la información almacenada en dispositivos de los usuarios. Al mismo tiempo, propone modificar estas disposiciones definiendo un conjunto de fines de uso de datos de bajo riesgo que ya no requerirían consentimiento. Además, la Comisión también propone estrechar la definición de ‘datos personales’, lo que reduciría la gama de situaciones en las que la GDPR se aplica. A través de estas reducciones de alcance, la Comisión afirma que el 50 por ciento de los sitios web privados y el 80 por ciento de los sitios web públicos ya no tendrían que depender del consentimiento y el uso de banderas de cookies. En principio, excluir actividades de bajo riesgo del alcance de la GDPR y reducir las solicitudes de consentimiento innecesarias es un primer paso natural para abordar la fatiga del usuario de las banderas de consentimiento. Sin embargo, quedan preguntas sobre si las empresas pueden interpretar estas excepciones demasiado ampliamente en la práctica, reduciendo el control del usuario. Si bien estas reducciones pueden facilitar las cargas de cumplimiento, la Comisión debe asegurarse de que el resultado no disminuya indebidamente las protecciones individuales.
La Comisión propone cambiar la gestión del consentimiento desde banners de nivel de sitio hacia configuraciones centralizadas y controladas por el usuario. Los usuarios podrían establecer sus preferencias de privacidad para diferentes tipos de procesamiento de datos a través de su navegador web, que respondería a las solicitudes de consentimiento automáticamente. Esto ofrecería una forma centralizada y accesible para que los usuarios acepten o rechacen el procesamiento de datos, reduciendo significativamente las interacciones repetidas con los banners de consentimiento. Sin embargo, delegar la implementación a los proveedores de navegadores plantea preocupaciones. Muchos navegadores se benefician del intercambio de datos personales y, por lo tanto, tienen incentivos comerciales limitados para facilitar mecanismos amigables para los usuarios. Podrían diseñar interfaces confusas y difíciles de navegar para dificultar que los usuarios rechacen el intercambio de datos personales.
Desafíos en la implementación
La Comisión también alienta soluciones técnicas alternativas, incluido el uso potencial de sistemas de inteligencia artificial agente, que procesarían información sobre las preferencias de los usuarios y las declaraciones de las empresas sobre el uso de datos personales para tomar decisiones sobre consentimientos en nombre de los usuarios. Sin embargo, sin expectativas más claras o apoyo tangible, la mención breve de los sistemas de inteligencia artificial agente en la propuesta es poco probable que desencadene tales soluciones. La industria tiene poca motivación para crear herramientas de consentimiento que empoderen a los usuarios, y las pocas soluciones prometedoras que existen a menudo fracasan en ganar tracción. La Comisión debería asumir un papel más proactivo, por ejemplo, financiando la investigación en herramientas de consentimiento innovadoras o creando una certificación de la UE para herramientas de consentimiento confiables.
Exención para proveedores de servicios de medios
Una gran exención que socava el objetivo más amplio de establecer un marco de consentimiento consistente y centrado en el usuario es que los proveedores de servicios de medios no estarían obligados a respetar señales de consentimiento automatizadas y podrían seguir dependiendo de banners de consentimiento tradicionales. La Comisión justifica esta exención como necesaria para proteger la base financiera del periodismo independiente. Sin embargo, limitar esta exención a las organizaciones de medios parece arbitraria: aunque apoyar el periodismo independiente es un objetivo válido, la misma lógica podría argumentarse que se extiende a otros sectores que también dependen de la renta basada en datos. Un resultado similar podría lograrse mandando que la señal de consentimiento global incluya preferencias específicas de la industria, de modo que los usuarios puedan elegir diferentes ajustes de privacidad para sectores como los medios de noticias si lo desean.
Medidas contra patrones oscuros
La Comisión aborda directamente varios patrones oscuros comunes utilizados en la recopilación de consentimiento. Primero, establece que los usuarios deben poder dar o rechazar consentimiento a través de un mecanismo de clic único, simplificando las opciones de consentimiento. Además, prohíbe a los sitios web solicitar consentimiento repetidamente a los usuarios después de una negativa con la esperanza de obtener aprobación eventualmente. Bajo las reglas propuestas, los editores están prohibidos de solicitar consentimiento nuevamente durante seis meses. Estos pasos pueden ayudar a abordar algunos patrones oscuros, pero son reactivos y principalmente abordan los síntomas más que la causa subyacente. Mientras que los diseños de banners de consentimiento estén principalmente guiados por las preferencias de los sitios web y los proveedores, nuevos patrones oscuros seguirán apareciendo, y las prácticas reales caerán cortas de la intención regulatoria. Si las empresas que diseñan interfaces de consentimiento se beneficiaran de alinear sus elecciones de diseño con los intereses de los usuarios, los patrones oscuros desaparecerían naturalmente.
