La propuesta de simplificación de las reglas de la UE sobre el consentimiento para el procesamiento de datos personales debe considerar cómo las incentivos del mercado digital influyen en la implementación. En línea, los datos personales de los usuarios fluyen a través de un sistema complejo que involucra editores, proveedores de terceros, proveedores de análisis y tecnologías de publicidad, lo que hace que la compartición de datos a gran escala sea una parte rutinaria de los modelos de negocio en línea. Por ejemplo, un sitio de comercio electrónico podría compartir los datos personales de los usuarios con varios proveedores de terceros, incluidas plataformas de redes sociales y servicios de publicidad.
Las reglas de la UE, particularmente la Regulación General de Protección de Datos (GDPR) y la Directiva de Privacidad Electrónica, buscan dar a los usuarios un control significativo sobre sus datos personales. Para muchos tipos de procesamiento de datos, estas regulaciones requieren que las entidades en línea obtengan el consentimiento de los usuarios antes de manejar datos personales o almacenar cookies y otras tecnologías de seguimiento en dispositivos. Esta exigencia se implementa típicamente a través de banners de consentimiento en línea que los usuarios encuentran rutinariamente. Sin embargo, esta aproximación a menudo falla en cumplir con las expectativas regulatorias o apoya genuinamente los intereses de los usuarios.
Desafíos en la implementación de la GDPR
Entre los principales sitios web europeos, menos del 15 por ciento despliega banners de consentimiento que son plenamente compliant con la GDPR. Las auditorías internas de iniciativas industriales también revelan que muchas soluciones de gestión de consentimiento fallan en cumplir. La persistente falta de enfoque regulatorio permite esta falta de cumplimiento; la responsabilidad de asegurar que los banners de consentimiento cumplan con la ley de la UE recae en las autoridades de protección de datos nacionales, muchas de las cuales están subfinanciadas y tienen interpretaciones diferentes de las reglas. La razón más profunda de estos patrones se encuentra en los intereses comerciales de las empresas. La aproximación de la industria para implementar la GDPR y la Directiva de Privacidad Electrónica está impulsada por fuertes incentivos de beneficio para estructurar opciones de consentimiento de manera que aumenten las tasas de aceptación de los usuarios. Esto a menudo se manifiesta en la forma de « patrones oscuros » – diseños y configuraciones de sitios web engañosos y manipuladores destinados a guiar a los usuarios hacia la discusión de más datos personales. Incluso si son plenamente compliant, el sistema de consentimiento presenta problemas prácticos significativos para los usuarios. Los visitantes se enfrentan a numerosas decisiones de consentimiento cada vez que acceden a un sitio web, lo que lleva a la fatiga del usuario. Como resultado, las personas a menudo toman decisiones que no reflejan cómo valoran los costos de privacidad frente a los beneficios de compartir sus datos. Los estudios muestran que muchos usuarios tienen preferencias matizadas, pero los atajos binarios los llevan a compartir más o menos de lo que idealmente elegirían. Los usuarios se beneficiarían si podían configurar preferencias globales, reduciendo la carga de consentimiento y ayudando a los usuarios a tomar decisiones que se alineen con cómo quieren que se manejen sus datos. Configurar preferencias globalmente permite a los usuarios configurar todo una vez, en un momento conveniente, en lugar de mientras intentan lograr otra tarea. Esto los hace más propensos a tomar el tiempo para tomar decisiones más informadas que se alineen con sus preferencias.
Propuesta de la Comisión Europea
En este contexto, la Comisión Europea propuso un omnibus digital el 19 de noviembre de 2025 – un proyecto de ley que modificaría varias leyes digitales de la UE como parte de un esfuerzo de simplificación destinado a fortalecer la competitividad de la UE. Una gran parte de la reducción esperada en la carga administrativa para los consumidores y las empresas procedería de las revisiones de la GDPR y la Directiva de Privacidad Electrónica para simplificar la gestión de consentimiento en línea. Estas modificaciones afectan todo, desde las situaciones en las que se requiere el consentimiento de los usuarios hasta los controles de nivel de navegador y el diseño de los banners de consentimiento.
La propuesta de la Comisión reduciría significativamente el número de situaciones en las que los editores deben pedir consentimiento. En primer lugar, la Comisión propone integrar elementos de la Directiva de Privacidad Electrónica en la GDPR sobre el procesamiento de la información almacenada en dispositivos de los usuarios. Al mismo tiempo, propone modificar estas disposiciones definiendo un conjunto de fines de uso de datos de bajo riesgo que ya no requerirían consentimiento. Además, la Comisión también propone restringir la definición de « datos personales », lo que reduciría la gama de situaciones en las que la GDPR se aplica. A través de estas reducciones de alcance, la Comisión afirma que el 50 por ciento de los sitios web privados y el 80 por ciento de los sitios web públicos ya no tendrían que depender del consentimiento y el uso de banners de cookies. En principio, excluir actividades de bajo riesgo del alcance de la GDPR y reducir las solicitudes de consentimiento innecesarias es un primer paso natural para abordar la fatiga del usuario en los banners de consentimiento. Sin embargo, se plantean preguntas sobre si las empresas pueden interpretar estas excepciones demasiado ampliamente en la práctica, reduciendo el control del usuario. Si bien estas reducciones pueden facilitar las cargas de cumplimiento, la Comisión debe asegurarse de que el resultado no disminuya indebidamente las protecciones individuales.
La Comisión busca desplazar la gestión del consentimiento desde las barreras de sitio web hacia configuraciones centralizadas y controladas por el usuario. Los usuarios podrían establecer sus preferencias de privacidad para diferentes tipos de procesamiento de datos a través de su navegador web, que respondería automáticamente a las solicitudes de consentimiento. Esto ofrecería una forma centralizada y accesible para que los usuarios acepten o rechacen el procesamiento de datos, reduciendo significativamente las interacciones repetidas con las barreras de consentimiento. Sin embargo, delegar la implementación a los proveedores de navegadores plantea preocupaciones. Muchos navegadores se benefician del intercambio de datos personales y, por lo tanto, tienen incentivos comerciales limitados para facilitar mecanismos amigables para los usuarios. Podrían diseñar interfaces confusas y difíciles de navegar para dificultar que los usuarios rechacen el intercambio de datos personales.
La Comisión también alienta explícitamente soluciones técnicas alternativas, incluido el potencial uso de sistemas de inteligencia artificial agente, que procesarían información sobre las preferencias de los usuarios y las declaraciones de uso de datos personales de las empresas para tomar decisiones sobre consentimiento en nombre de los usuarios. Sin embargo, sin expectativas más claras o apoyo tangible, la mención breve de los sistemas de inteligencia artificial agente en la propuesta es poco probable que desencadenen tales soluciones. La industria tiene poca motivación para crear herramientas de consentimiento que empoderen a los usuarios, y las pocas soluciones prometedoras que existen a menudo fracasan en ganar tracción. La Comisión debería asumir un papel más proactivo, por ejemplo, financiando la investigación en herramientas de consentimiento innovadoras o creando una certificación de la UE para herramientas de consentimiento confiables.
Excepciones y limitaciones
Una gran excepción socava el objetivo más amplio de la omnibus de establecer un marco de consentimiento consistente y centrado en el usuario: los proveedores de servicios de medios no estarían obligados a respetar señales de consentimiento automatizadas y podrían seguir confiando en barreras de consentimiento tradicionales. La Comisión justifica esta excepción como necesaria para proteger la base financiera del periodismo independiente. Sin embargo, limitar esta excepción a las organizaciones de medios parece arbitraria: aunque apoyar el periodismo independiente es un objetivo válido, la misma lógica podría argumentarse que se extiende a otros sectores que también dependen de la renta basada en datos. Un resultado similar podría lograrse mediante la obligación de incluir preferencias de industria específicas en el señal de consentimiento global, de modo que los usuarios puedan elegir diferentes ajustes de privacidad para sectores como los medios de noticias si lo desean.
La Comisión aborda directamente varios patrones oscuros comunes utilizados en la recopilación de consentimiento. Primero, establece que los usuarios deben poder dar o rechazar consentimiento mediante un mecanismo de clic único, simplificando las opciones de consentimiento. Además, prohíbe a los sitios web solicitar consentimiento repetidamente a los usuarios después de una negativa con la esperanza de obtener finalmente la aprobación. Según las reglas propuestas, los editores están prohibidos de solicitar consentimiento nuevamente durante seis meses. Estos pasos pueden ayudar a abordar algunos patrones oscuros, pero son reactivos y principalmente abordan los síntomas en lugar de la causa subyacente. Mientras que las preferencias de los sitios web y los proveedores de contenido sigan guiando el diseño de las barreras de consentimiento, nuevos patrones oscuros seguirán apareciendo, y las prácticas reales caerán cortas de la intención regulatoria. Si las empresas que diseñan interfaces de consentimiento se beneficiaran de alinear sus elecciones de diseño con los intereses de los usuarios, los patrones oscuros desaparecerían naturalmente.
