El Reglamento General de Protección de Datos cumplió ocho años de aplicación efectiva en mayo de 2026, y por primera vez desde su entrada en vigor, la posibilidad de una reforma de calado no es un rumor sino una conversación abierta en las instituciones europeas. La Comisión Europea ha comenzado a trabajar en una revisión del RGPD que podría alterar el equilibrio entre protección de datos, innovación y simplificación administrativa. Para las empresas españolas, entender qué está en juego es hoy más importante que nunca.
¿Por qué se habla de reformar el RGPD ahora?
El RGPD fue diseñado para ser una norma duradera y tecnológicamente neutral, pero el contexto digital de 2026 es radicalmente distinto al de 2018. La explosión de la inteligencia artificial generativa, la proliferación de plataformas de datos, la entrada en vigor del AI Act y la presión de las empresas tecnológicas para simplificar las cargas de cumplimiento han generado un debate sobre si el RGPD sigue siendo el instrumento adecuado o necesita actualizarse.
A esto se suma que la AEPD recibió más de 30.000 reclamaciones en 2025, un 64% más que el año anterior, lo que revela tanto una mayor conciencia ciudadana sobre sus derechos como una creciente dificultad de las organizaciones para cumplir de forma efectiva.
¿Qué podría cambiar en el RGPD?
Plataforma única de notificación de incidentes
Actualmente, una empresa que sufre una brecha de datos que afecta a ciudadanos de varios países debe notificar a múltiples autoridades nacionales. La reforma podría centralizar este proceso en una única ventanilla europea, reduciendo la carga administrativa para las organizaciones multinacionales.
Sandbox regulatorios para tratamientos innovadores
Se contempla la creación de entornos controlados donde las empresas puedan experimentar con nuevos modelos de tratamiento de datos bajo supervisión de las autoridades, antes de desplegarlos a gran escala. Esto beneficiaría especialmente a startups y empresas que desarrollan tecnología basada en datos.
Refuerzo de la cooperación entre autoridades nacionales
Uno de los puntos más criticados del RGPD ha sido la desigualdad en su aplicación entre países miembros. La reforma podría establecer mecanismos más vinculantes de coordinación entre las autoridades de protección de datos europeas.
Simplificación para pymes
Las obligaciones documentales del RGPD han sido especialmente gravosas para las pequeñas y medianas empresas. La reforma podría establecer un régimen simplificado que mantenga las garantías esenciales pero reduzca la burocracia para organizaciones de menor tamaño.
Lo que no va a cambiar: los principios fundamentales
La reforma, si finalmente se produce, no va a eliminar los pilares del RGPD: el derecho a la información, el consentimiento informado, la minimización de datos, la limitación de la finalidad, la seguridad, la responsabilidad proactiva y los derechos de los ciudadanos. Estos principios son el núcleo irrenunciable del modelo europeo de protección de datos y cualquier revisión tendrá que preservarlos.
Esto significa que las inversiones que las empresas han realizado en adaptación al RGPD no van a quedar obsoletas. Al contrario, quienes han construido una cultura sólida de protección de datos estarán mejor posicionados para adaptarse a cualquier cambio normativo.
El contexto más amplio: RGPD, AI Act y futuro digital europeo
La posible reforma del RGPD no puede entenderse de forma aislada. Se produce en un contexto en el que el AI Act ya es plenamente aplicable, el Data Act y el Data Governance Act han redefinido las reglas del intercambio de datos, y la Comisión Europea trabaja en una Estrategia Digital que busca mantener la competitividad de Europa sin renunciar a sus valores de privacidad y derechos fundamentales.
Para las empresas, esto significa que el cumplimiento normativo en materia de datos es cada vez más complejo e interconectado. No basta con cumplir el RGPD: hay que tener en cuenta el AI Act, el Data Act, la directiva NIS2 en materia de ciberseguridad y las normativas sectoriales específicas.
¿Qué deben hacer ahora las empresas españolas?
Ante la posibilidad de una reforma del RGPD, la actitud más inteligente es la de consolidar el cumplimiento actual, no esperar a que lleguen los cambios. Las organizaciones que tienen sus bases bien asentadas, con registros de actividades actualizados, políticas de privacidad coherentes y procedimientos de respuesta ante incidentes, estarán en una posición óptima para adaptarse a cualquier modificación normativa con el mínimo esfuerzo.
Conclusión
El RGPD no va a desaparecer ni a debilitarse: va a evolucionar para seguir siendo el estándar de referencia global en protección de datos. Las empresas que vean esta evolución no como una amenaza sino como una oportunidad de diferenciación serán las que mejor sepan aprovechar el momento.
En DataIbérica seguimos de cerca todos los desarrollos normativos para que nuestros clientes siempre estén un paso por delante. Si quieres revisar tu situación actual o prepararte para los cambios que vienen, contacta con nuestro equipo.
