Octubre de 2026: tres capas normativas, no una sola ley de privacidad
La regulación digital europea no avanza como una única cronología de privacidad. El RGPD protege los datos personales; la Ley de Mercados Digitales (DMA) impone obligaciones específicas a plataformas designadas como guardianes de acceso, y el Reglamento de Ciberresiliencia (CRA) fija requisitos de ciberseguridad para productos con elementos digitales. Son marcos distintos, con sujetos obligados y calendarios diferentes.
La diferencia importa para decidir qué hacer ahora. Una empresa que trata información identificable debe revisar la base jurídica, la transparencia, la seguridad y los derechos que exige el RGPD. Un fabricante de dispositivos conectados debe atender también al calendario del CRA. Y una empresa usuaria de una gran plataforma no queda automáticamente sometida a las obligaciones de la DMA que corresponden a los guardianes designados.
En este artículo, «vigente» no significa que todos los deberes de un reglamento se apliquen ya. El CRA, por ejemplo, está en vigor como norma, pero tiene fechas de aplicación escalonadas: la notificación de determinados incidentes ya es exigible, mientras la mayor parte de los requisitos para productos se aplica en 2027. Las propuestas legislativas, por su parte, no deben tratarse como derecho aplicable hasta que se adopten y empiecen a producir efectos.
2016–2018: el RGPD establece la base de protección de datos
El Reglamento General de Protección de Datos, Reglamento (UE) 2016/679, fue adoptado el 27 de abril de 2016 y comenzó a aplicarse el 25 de mayo de 2018. Establece reglas para el tratamiento de datos personales y busca proteger los derechos de las personas, además de permitir la circulación de esos datos dentro de la Unión. Su núcleo sigue siendo la referencia para evaluar un tratamiento, también cuando se emplean tecnologías nuevas.
El RGPD no prohíbe recopilar datos por defecto ni convierte el consentimiento en la única base jurídica posible. Exige que cada tratamiento tenga una base válida, una finalidad definida y salvaguardas adecuadas; también reconoce derechos como el acceso, la rectificación y la supresión, sujetos a las condiciones del propio reglamento. Para las organizaciones, el punto de partida práctico es documentar qué datos se usan, para qué, con quién se comparten y durante cuánto tiempo.
La década transcurrida desde su adopción no debe confundirse con una nueva entrada en vigor en 2026. Las publicaciones conmemorativas de ese año recuerdan la trayectoria del reglamento, pero no sustituyen su texto ni alteran por sí solas sus obligaciones. Tampoco puede inferirse que una tecnología cumpla el RGPD solo porque se utilice en sectores regulados: la conformidad depende de los datos, los fines, la base jurídica y la ejecución concreta.
2022–2024: la DMA regula a guardianes de acceso, no la privacidad en general
La DMA, Reglamento (UE) 2022/1925, entró en vigor el 1 de noviembre de 2022 y las obligaciones para los guardianes de acceso designados empezaron a aplicarse en marzo de 2024. Su objetivo central es que determinados mercados digitales sean más disputables y equitativos. No es una segunda ley general de privacidad: regula prácticas de plataformas que cumplen los criterios de designación y no reemplaza el RGPD.
Para las empresas usuarias y los consumidores, la DMA puede cambiar las condiciones de acceso a ciertos servicios y las prácticas de plataformas designadas. Pero no es correcto trasladar sus deberes directamente a cualquier aplicación, tienda en línea o proveedor de servicios digitales. La pregunta operativa es si la organización está sujeta a una obligación propia del reglamento o si interactúa con una plataforma que sí lo está.
La cronología tiene así dos hitos claros: entrada en vigor en 2022 y comienzo del cumplimiento por los guardianes designados en 2024. La cifra de empresas designadas puede cambiar con nuevas decisiones de la Comisión, por lo que conviene consultar fuentes oficiales actualizadas antes de afirmar un número. Para una evaluación de privacidad, la DMA tampoco elimina la necesidad de determinar por separado si hay tratamiento de datos personales sujeto al RGPD.
2024–2027: el Reglamento de Ciberresiliencia aplica sus deberes por etapas
El Reglamento de Ciberresiliencia, Reglamento (UE) 2024/2847, establece requisitos de ciberseguridad para productos con elementos digitales y asigna obligaciones a fabricantes, importadores y distribuidores, según su papel. La Comisión lo describe como un marco que cubre el diseño, el desarrollo, el mantenimiento y la gestión de vulnerabilidades. Afecta al producto y a su ciclo de vida, no a cualquier operación de tratamiento de datos por el mero hecho de usar software.
El primer hito operativo ya ha llegado: desde el 11 de septiembre de 2026 se aplican las obligaciones del artículo 14 sobre notificación de vulnerabilidades explotadas activamente e incidentes graves que afecten a la seguridad del producto. Según la síntesis consultada, los avisos tienen plazos diferenciados —24 horas para una alerta inicial sobre vulnerabilidad explotada y 72 horas para la notificación de un incidente grave— y deben canalizarse mediante los mecanismos previstos, incluido el punto único de notificación. No es una obligación general de notificar cualquier brecha de datos a ENISA: el supuesto debe encajar en el CRA y en sus criterios.
La mayoría de los demás requisitos del reglamento, incluidos los requisitos esenciales de ciberseguridad para productos, se aplicarán desde el 11 de diciembre de 2027. Por eso, en octubre de 2026 conviene separar preparación de cumplimiento exigible: revisar inventario de productos y funciones, asignar responsables para vulnerabilidades e incidentes y definir procesos de soporte y actualización, sin presentar todos los deberes futuros como ya plenamente aplicables.
| Hito del CRA | Fecha | Qué significa |
|---|---|---|
| Aplicación de las obligaciones del artículo 14 | 11 de septiembre de 2026 | Notificación de vulnerabilidades explotadas activamente e incidentes graves comprendidos en el reglamento |
| Aplicación general de la mayoría de requisitos | 11 de diciembre de 2027 | Aplicación de los requisitos de ciberseguridad de producto y otras obligaciones principales |
La tabla resume fechas generales, no sustituye un análisis de alcance. El producto, la función de la empresa en la cadena de suministro, las exclusiones aplicables y el tipo de incidente determinan qué deber concreto corresponde. En particular, las obligaciones del CRA no deben confundirse con las del RGPD sobre violaciones de datos personales: un incidente puede activar uno, ambos o ninguno, según sus circunstancias y los respectivos criterios.
Octubre de 2026: orientación del CEPD sobre gafas inteligentes
El Comité Europeo de Protección de Datos (CEPD o EDPB) publicó el 13 de octubre de 2026 una declaración sobre los retos de protección de datos asociados a las gafas inteligentes. La publicación disponible en su web acredita la existencia de la declaración, pero el material de investigación no permite reconstruir con precisión cada recomendación de su texto. Por ello, no corresponde describirla como una guía exhaustiva ni atribuirle requisitos específicos sin consultar el documento completo.
Una declaración u orientación del CEPD no equivale a una nueva ley autónoma. Su utilidad consiste en ayudar a interpretar las normas de protección de datos existentes en situaciones concretas; el RGPD sigue siendo la base jurídica. En unas gafas con cámara, micrófono o funciones de análisis, una organización debería evaluar qué información puede captar, quién puede quedar registrado, cuál es el propósito y qué medidas de información, minimización, seguridad y conservación resultan adecuadas.
Para una empresa que valore estos dispositivos en el trabajo, la decisión no debería limitarse a preguntar si el equipo tiene una luz indicadora o una función de grabación. Hace falta determinar el contexto, la necesidad y la proporcionalidad del uso, así como las responsabilidades entre organización y proveedor. La evaluación debe centrarse en el tratamiento real, incluido el eventual envío a servicios en la nube, y no solo en la etiqueta comercial de «dispositivo inteligente».
Qué revisar ahora: una lista práctica según el papel de la organización
En octubre de 2026, la fecha por sí sola no permite saber qué norma obliga a una organización. El criterio práctico es identificar el papel que desempeña y el objeto regulado: tratamiento de datos personales bajo el RGPD, prestación de servicios por una plataforma designada bajo la DMA, o puesta en el mercado y mantenimiento de productos digitales bajo el CRA.
Una revisión inicial puede organizarse en estos pasos:
- Mapear los tratamientos de datos personales y comprobar finalidades, bases jurídicas, información ofrecida, plazos de conservación y procedimientos para atender derechos conforme al RGPD.
- Comprobar el rol frente a la DMA: distinguir entre ser un guardián de acceso designado, proveedor que interactúa con uno o empresa usuaria de sus servicios.
- Inventariar productos con elementos digitales y determinar si la organización es fabricante, importador o distribuidor a efectos del CRA.
- Activar el proceso del artículo 14, si el producto y el incidente entran en su ámbito, incluyendo detección, escalado y notificación en los plazos aplicables desde septiembre de 2026.
- Preparar la aplicación general de 2027: revisar diseño, gestión de vulnerabilidades, actualizaciones y documentación pertinente para los productos afectados.
- Evaluar por separado los dispositivos de captación —como gafas inteligentes— con atención al contexto de uso y a los datos de terceros que puedan recoger.
Este listado es un punto de partida, no una conclusión jurídica para todos los sectores. Un mismo proveedor puede tener obligaciones bajo varios marcos, pero cada una depende de hechos concretos. Por ejemplo, el fabricante de un dispositivo puede tener deberes del CRA y, si decide además los fines y medios de un tratamiento de datos personales, responsabilidades bajo el RGPD. La coexistencia de normas exige análisis por actividad, no una etiqueta global de «cumplimiento digital».
Qué está confirmado y qué sigue pendiente
La línea temporal más sólida para 2026 es la de las fechas fijadas en los propios reglamentos: el RGPD se aplica desde 2018; las obligaciones de la DMA para guardianes designados desde 2024; y las notificaciones del artículo 14 del CRA desde el 11 de septiembre de 2026, con la aplicación general de la mayoría de obligaciones prevista para el 11 de diciembre de 2027. Esas fechas no son intercambiables y deben vincularse al ámbito de cada norma.
En cambio, no se puede presentar una reforma propuesta del Reglamento de Inteligencia Artificial como una obligación ya vigente. La cobertura jurídica aportada describe propuestas de modificación en 2026, pero no demuestra que se hayan aprobado ni que hayan entrado en vigor. Además, la Ley de IA no es una norma de privacidad: puede interactuar con el RGPD cuando un sistema de IA trata datos personales, pero cada reglamento conserva su propio objeto y requisitos.
La declaración del CEPD sobre gafas inteligentes sí aparece como una publicación de octubre de 2026, aunque la fuente primaria incluida en la investigación solo permite confirmar su anuncio y fecha, no detallar su contenido íntegro. Esa es una limitación de alcance, no una razón para inventar recomendaciones. Para decisiones de cumplimiento, la regla segura es verificar el texto oficial vigente y las decisiones de las autoridades competentes antes de fijar obligaciones concretas.
