El argumento al que recurrió la autoridad

La autoridad belga de protección de datos, actuando como autoridad de control principal, intentó cerrar una reclamación sobre cookies sin llegar a examinar nunca el banner de cookies. Su propuesta era archivar el asunto por abuso de derecho conforme a los artículos 77 y 80.1 del RGPD. La reclamación se refería al banner de consentimiento de la Vlaamse Radio- en Televisieomroeporganisatie, la radiotelevisión pública flamenca, y procedía de noyb, la organización de privacidad que presenta reclamaciones a gran escala por la vía del mandato de representación del artículo 80.1 del RGPD.

La autoridad austriaca de protección de datos formuló objeción. Esa objeción es lo que sacó el expediente de Bélgica y lo llevó al mecanismo de coherencia, y por eso acabó resolviendo el Comité Europeo de Protección de Datos conforme al artículo 65.1.a) del RGPD en lugar de cerrar el asunto la autoridad belga.

El resultado es la Decisión vinculante 1/2026. Se adoptó el 28 de mayo de 2026 y se publicó el 14 de julio de 2026. La adopción es el hecho más antiguo. La publicación del 14 de julio es lo que puso el razonamiento delante de todo el que opera un banner en la Unión Europea.

Lo que el Comité decidió el 28 de mayo

El Comité Europeo de Protección de Datos no apreció abuso de derecho, y consideró que no concurría ninguno de los dos elementos que esa apreciación exige. Aplicando los criterios elaborados por el Tribunal de Justicia de la Unión Europea, sostuvo que no se cumplía ni el elemento objetivo ni el elemento subjetivo.

Acto seguido instruyó a la autoridad de control principal para que examinara la reclamación en cuanto al fondo y presentara un nuevo proyecto de decisión conforme al artículo 60.3 del RGPD. No se fija ningún plazo para ese nuevo proyecto.

Leída con atención, es una resolución procedimental y nada más. No crea una regla sobre el diseño de los banners. No declara que la radiotelevisión haya hecho nada mal. Nada se ha decidido sobre el fondo, no se ha fijado ninguna sanción, y la cuestión de si el banner era lícito sigue exactamente donde estaba en 2021, a la espera de respuesta.

El volumen no vuelve sospechoso un mandato

Acaba de cerrarse una salida procedimental, y era aquella en la que la mayoría de los operadores confiaba en silencio. El argumento tenía un atractivo evidente. Esta reclamación es una de miles presentadas por una organización activista, así que se trata la propia presentación como el defecto y se archiva. Un regulador nacional, actuando como autoridad principal, sostuvo de verdad ese argumento. El Comité lo rechazó en una decisión vinculante.

El principio, según se ha informado, es que un mandato válido conforme al artículo 80.1 del RGPD no se vuelve sospechoso por el mero hecho de que la organización representante opere a gran escala. Esa formulación procede de la información publicada sobre la decisión y no del texto de la decisión, y por eso conviene manejarla con prudencia. El resultado en sí no admite dudas.

La consecuencia para un propietario es directa. Su exposición en un banner de consentimiento se decide por el diseño del banner, no por quién reclamó ni por cuántas reclamaciones presentó. Cualquier defensa construida sobre la identidad o el volumen del reclamante es ya una defensa que una autoridad principal ha intentado y con la que ha perdido.

Cinco años en la cola, y todavía viva

La reclamación se presentó el 10 de agosto de 2021. Solo ahora, casi cinco años después, se devuelve para una decisión sobre el fondo. Estuvo en una cola, y ese tiempo de espera no cambió nada de su posición.

La lección que sacamos es que una reclamación aletargada conserva toda su fuerza. Un banner que usted arregló en 2023 no retira la reclamación que alguien presentó contra la versión que utilizaba en 2021. Asuma que la versión que publicó hace años sigue siendo examinable, porque en este caso lo es.

Qué cambia esto en su sitio

Trabaje partiendo de que el banner que utilizó hace años sigue siendo examinable, y no de la antigüedad de su archivo. Si no puede presentar la interfaz de consentimiento tal como aparecía en 2021 o en 2022, no puede mostrar qué examinaría realmente una autoridad de control, y estará discutiendo sobre una pantalla que ya no tiene.

Por eso, conserve registros versionados del propio banner. La redacción, la jerarquía de los botones, los estados por defecto, la capa en la que se ofrecía el rechazo. Son las cosas que mira un examen sobre el fondo, y son las cosas que cambian en silencio cada vez que una plataforma de consentimiento lanza una actualización.

Y deje de leer el número de reclamaciones como una señal de riesgo. Cuántas reclamaciones presenta una organización no le dice nada sobre si la dirigida contra usted será examinada. La Decisión vinculante 1/2026 apunta a que lo será.

Leer a continuación: La UE está reescribiendo el RGPD  |  Una primera solicitud de datos puede ser abusiva