El 24 de mayo de 2026 se cumplieron diez años de la entrada en vigor del Reglamento General de Protección de Datos (RGPD) de la Unión Europea, según recordó la Comisión Europea. La norma, de aplicación desde 2018, le dio a los europeos derechos concretos: saber qué datos se recogen, para qué y con quién se comparten, pedir su acceso, corrección o borrado y retirar el consentimiento. Para las empresas, supuso un régimen de cumplimiento estricto, con multas de hasta 4 % de la facturación mundial.
Su influencia fue mucho más allá de Europa. A ese fenómeno, en el que una regulación de la UE termina fijando el estándar global porque a las empresas les conviene aplicarla en todas partes, se le conoce como "efecto Bruselas". Según la Comisión, el reglamento inspiró leyes similares en países de todo el mundo. Entre ellas figuran la Ley General de Protección de Datos de Brasil, normas en Chile y Perú, leyes estatales de California, Virginia y Colorado, la ley de información personal de China de 2021 y reformas en Japón, Corea del Sur y Suiza. Un análisis del Future of Privacy Forum añade que el RGPD exportó su amplia definición de dato personal, centrada en la capacidad de identificar a alguien, a leyes de California, Brasil, China e India.
Hoy, sin embargo, Bruselas discute recortarlo. Un paquete de simplificación, el llamado "ómnibus digital", propone cambios para reducir cargas, especialmente en sectores de bajo impacto, y adaptar el marco a la inteligencia artificial y a la competencia con Estados Unidos y China. El punto más sensible es la definición de dato personal: si una empresa concreta no puede identificar a una persona, el dato dejaría de ser personal para esa empresa. Según el análisis del FPF, eso reduciría el alcance de la ley y dejaría poco margen a las autoridades para aplicarla caso por caso.
Las críticas son fuertes. La organización noyb, de Max Schrems, advirtió que el borrador implicaría una degradación masiva de la privacidad, y señaló además propuestas para limitar el uso de derechos como acceso, rectificación o supresión a "fines de protección de datos". En febrero de 2026, las autoridades europeas de protección de datos (EDPB y EDPS) adoptaron un dictamen conjunto que pide no adoptar ciertos cambios, sobre todo los relativos a la definición de datos personales. Para el análisis jurídico de LegalToday, el balance de la década es claramente positivo, pero la simplificación no debería comprometer las garantías.
Los defensores de la reforma replican que la regulación acumulada se ha vuelto pesada y pone en desventaja a empresas europeas, y que ajustar el marco a la IA no equivale a desmantelarlo. Existe también una discusión sobre la consistencia: la UE construyó además normas como el Reglamento de Mercados Digitales y el de Inteligencia Artificial, y la superposición genera costos de cumplimiento.
La paradoja del efecto Bruselas es que funciona en ambos sentidos. Si el estándar europeo se rebaja, las leyes que lo copiaron podrían seguir ese camino, o al menos perder su referencia. Los efectos se sentirían, advierte el FPF, no de inmediato sino en los años siguientes. Lo que se decida en la Unión podría redefinir la protección de datos de cientos de millones de personas fuera de ella.
Fuentes: Comisión Europea (Diez años del RGPD); Wikipedia (RGPD); Future of Privacy Forum; noyb; LegalToday; Capital (Atico34); Andina Link.
.png)
