El paquete ómnibus digital: ¿simplificación o desregulación?
El paquete ómnibus digital: ¿simplificación o desregulación?
ALBA NAVALÓN ARNAL
Personal Investigador en Formación en Derecho del Trabajo y Seguridad Social
Universitat de València
El 19 de noviembre de 2025 fue aprobado por la Comisión Europea el paquete ómnibus digital, una iniciativa que plantea introducir un conjunto de enmiendas en los diversos textos normativos que componen la legislación digital de la Unión Europea.
El paquete ómnibus digital incluye, más concretamente, dos propuestas de Reglamento: el Digital Omnibus, que revisa la normativa sobre tratamiento de datos, privacidad y ciberseguridad; y el Digital Omnibus on AI, que plantea la modificación de algunos preceptos del Reglamento de Inteligencia Artificial. Ambos reglamentos han sido elaborados bajo el pretexto o con la intención de simplificar la normativa, optimizar su aplicación y proporcionar un “alivio” a las empresas en lo que respecta, sobre todo, al cumplimiento de las obligaciones que nacen del tratamiento de datos o del desarrollo o empleo de sistemas de inteligencia artificial.
Dentro del conjunto de cuerpos normativos sobre los que recaen las modificaciones propuestas por esta iniciativa se encuentra el Reglamento General de Protección de Datos (RGPD) y el Reglamento de Inteligencia Artificial (RIA), que, aun incluyendo escasos preceptos específicamente dedicados al ámbito laboral, recogen –especialmente el RGPD– unos principios, garantías y obligaciones que ocupan y han ocupado un papel esencial en la protección de los derechos fundamentales de las personas trabajadoras en los entornos de trabajo digitalizados. Aquí radica, pues, la importancia de prestar atención a los cambios que podrían ser introducidos con el paquete ómnibus digital y que podrían afectar a los derechos digitales que tienen reconocidos las personas trabajadoras.
Entre las diversas modificaciones que propone el paquete ómnibus digital, se encuentra la ampliación de las circunstancias en las que pueden ser tratadas las categorías especiales de datos personales. Se plantea la adición de dos nuevas excepciones a la prohibición de tratamiento del artículo 9 del RGPD: el empleo de datos biométricos cuando sea necesario para confirmar la identidad de una persona (verificación), y el tratamiento de datos sensibles para el desarrollo y funcionamiento de un sistema o modelo de inteligencia artificial. Esta segunda excepción, con el propósito de evitar una obstaculización desproporcionada en el desarrollo y funcionamiento de la IA, permitiría el tratamiento residual de datos sensibles. Si bien se destina a un tratamiento restringido –una vez la empresa hubiera implementado de manera eficaz medidas técnicas y organizativas adecuadas para evitar el tratamiento de estos datos–, no se matiza cuándo se entienden adecuadas las medidas ni se especifica que se requiera la existencia de un interés legítimo en el tratamiento (por ejemplo, la detección o eliminación de sesgos).
El artículo 12 del RGPD, relativo al derecho de acceso, es igualmente objeto de modificación con el fin de incorporar un nuevo supuesto en el que las solicitudes de información dirigidas a las entidades responsables del tratamiento puedan ser calificadas como abusivas. Cuando una solicitud es manifiestamente infundada o excesiva, la empresa puede cobrar un canon razonable o negarse a atender la solicitud. El paquete ómnibus digital plantea ampliar este régimen, permitiendo la aplicación de dichas consecuencias cuando las personas interesadas ejerciten el derecho de acceso con fines distintos de la protección de sus datos personales. En los considerandos se matiza, además, que podrían entenderse desproporcionadas aquellas solicitudes formuladas de manera excesivamente amplia. Esta previsión tiene por objeto prevenir el ejercicio abusivo del derecho de acceso; no obstante, podría generar cierta incertidumbre en el ámbito laboral, en el que, en ocasiones, la finalidad de la solicitud de información no es estrictamente la protección de datos personales –sino, por ejemplo, la obtención de pruebas de una posible vulneración del derecho a la no discriminación– o en el que la persona trabajadora desconoce qué datos personales obran en poder de la empresa.
Otro de los matices que introduce la propuesta es la flexibilización del requisito de necesidad del artículo 22.2.a) del RGPD. El artículo 22 prohíbe, con carácter general, la toma de decisiones individuales automatizadas basadas en datos personales, a menos que, entre otras excepciones, sea necesaria para la celebración o la ejecución de un contrato entre la persona interesada y la entidad responsable del tratamiento (art. 22.2.a) RGPD), incluido el contrato de trabajo. El criterio de necesidad se matiza para añadir que esta excepción será aplicable independientemente de que la decisión pueda ser tomada por medios distintos a los puramente automatizados. De este modo, no se exige acreditar que la decisión no pueda adoptarse con intervención humana.
Por último, se propone una serie de medidas para facilitar el cumplimiento de la normativa a las empresas y uniformizar los procesos entre los distintos países de la UE. Así, se introduce la obligación de preparar, por parte del Comité Europeo de Protección de Datos y con la posterior revisión y aprobación de la Comisión, un modelo común para notificar las violaciones de seguridad, y dos listas únicas que recojan aquellas operaciones de tratamiento que requieran de la elaboración de una evaluación de impacto relativa a la protección de datos, y aquellas que no requieran de dicha evaluación, facultad que actualmente ostentan las autoridades de control de cada Estado miembro (reforma de los artículos 33 y 35 del RGPD).
Además, se transforma la obligación de las empresas de garantizar la alfabetización en materia de IA de su personal en una obligación de la Comisión y los Estados miembros de fomentar la adopción de medidas para garantizar un nivel suficiente de conocimientos (reforma del art. 4 del RIA). Igualmente, se retrasa el plazo de aplicación de las obligaciones relativas a los sistemas de IA de alto riesgo, actualmente previsto para el 2 de agosto de 2026. Las obligaciones aplicables a aquellos sistemas de IA utilizados en la contratación o la gestión de las personas trabajadoras (por ejemplo, el deber de la empresa de informar a la representación legal de su utilización) serán de aplicación tras un plazo de 6 meses desde que la Comisión adopte una decisión en la que confirme que se disponen de las medidas de apoyo necesarias para el cumplimiento de dichas obligaciones y, en todo caso, el 2 de diciembre de 2027 (reforma del artículo 113 del RIA).
En definitiva, las enmiendas contenidas en ambos reglamentos que componen el paquete ómnibus digital responden al objetivo de facilitar la aplicación de la normativa y reducir la carga de las empresas. Si bien las medidas podrían resultar eficaces para el cumplimiento de este propósito, cabe mencionar que algunos de los preceptos que la propuesta plantea reformar o introducir podrían contribuir, a su vez, a un debilitamiento de los derechos digitales de las personas trabajadoras y a una mayor intromisión en su privacidad. El incremento de los supuestos en los que pueden ser tratados los datos personales especialmente sensibles, la inclusión de restricciones para el ejercicio del derecho de acceso o la ampliación del criterio de necesidad en la toma de decisiones automatizadas son puntos que deberían ser objeto de un estudio más detenido. De lo contrario, se corre el riesgo de que la potencial reducción de ciertas protecciones conduzca a que la propuesta, planteada como una simplificación técnica, se convierta realmente en un ejercicio de desregulación.
Con todo ello, el paquete ómnibus digital sorprende en un momento en el que se está debatiendo la posible elaboración de una iniciativa legal a nivel europeo específicamente centrada en garantizar el uso transparente, justo y seguro de los sistemas automatizados de supervisión y de toma de decisiones en el lugar de trabajo. En efecto, el 17 de diciembre de 2025, el Parlamento Europeo aprobó una resolución con recomendaciones destinadas a la Comisión sobre digitalización, inteligencia artificial y gestión algorítmica en el lugar de trabajo. Las recomendaciones planteadas por el Parlamento Europeo, en línea con la Directiva de Trabajo en Plataformas, recogen derechos de información, consulta, supervisión y explicación, prohíben determinadas prácticas especialmente intrusivas –como el tratamiento de datos relativos a los estados emocionales– y ponen el foco en la importancia de garantizar la seguridad y salud en el entorno de trabajo digitalizado.
En este escenario, cabe esperar a la posición que adopte la Comisión respecto de las recomendaciones formuladas por el Parlamento Europeo. De materializarse, una iniciativa legal sobre digitalización en el ámbito laboral estaría contribuyendo a contrarrestar las restricciones que pueden derivar del paquete ómnibus digital.
CITA: NAVALÓN ARNAL, ALBA, “El paquete ómnibus digital: ¿simplificación o desregulación?”, Briefs AEDTSS, número 6, Asociación Española de Derecho del Trabajo y de la Seguridad Social, 2026.
Briefs AEDTSS, nº 6, 2026
