El Comité Europeo de Protección de Datos ha seleccionado la transparencia y la información al usuario como el objeto de su acción coordinada de supervisión para 2026, dirigida a los artículos 12, 13 y 14 del RGPD. La decisión afecta directamente a webs, formularios, landing pages, aplicaciones y a todo proceso de generación de leads.

Cada año, el Comité Europeo de Protección de Datos (CEPD) selecciona un tema concreto sobre el que las autoridades de protección de datos de los distintos Estados miembros trabajan de forma coordinada, comparando resultados y generando una visión conjunta a escala europea. En años anteriores, este mecanismo, conocido como “Coordinated Enforcement Framework”, o CEF, se ha centrado en cuestiones como la figura del delegado de protección de datos (2023), el ejercicio del derecho de acceso (2024) o el derecho al olvido (2025). Para 2026, el CEPD ha decidido dirigir su atención al cumplimiento de las obligaciones de transparencia e información recogidas en los artículos 12, 13 y 14 del RGPD, una acción que ya está en marcha con la participación voluntaria de las autoridades nacionales, entre ellas la AEPD.

Qué obligaciones concretas están en juego

Los artículos 12 a 14 del RGPD regulan, en esencia, el derecho de toda persona a recibir información clara, concisa y accesible antes de que sus datos personales sean tratados. No se trata de una obligación meramente formal cumplida con la existencia de una política de privacidad, por extensa que esta sea, sino de un estándar de comprensión efectiva: el usuario debe poder entender, en el momento en que facilita sus datos, quién va a tratar su información, con qué finalidad, sobre qué base jurídica, durante cuánto tiempo, si esos datos se comunicarán a terceros y cómo puede ejercer sus derechos.

El propio CEPD ha señalado que este ámbito reviste especial interés porque los incumplimientos de las obligaciones de información han sido, históricamente, uno de los motivos más frecuentes de sanción en materia de protección de datos en toda Europa, y porque la forma en que se presenta la información, no solo su contenido, condiciona directamente su eficacia real.

Por qué el foco recae especialmente sobre el entorno digital

La acción coordinada del CEPD pone el acento en aspectos que van más allá de la existencia de una política de privacidad publicada en un enlace del pie de página. Entre los elementos que previsiblemente serán objeto de escrutinio se encuentran:

• El diseño de los flujos de captación: cómo se presenta la información en los procesos de alta, formularios de registro, banners de cookies o solicitudes de permiso dentro de una aplicación.
• Las capas informativas: si el usuario recibe primero un aviso breve y comprensible, con acceso claro a la información ampliada, o si se le remite directamente a un documento extenso y de difícil lectura.
• Los denominados patrones oscuros o “dark patterns”: diseños de interfaz que, de forma deliberada o no, dificultan la comprensión real de lo que el usuario está aceptando.
• La coherencia entre lo declarado y lo realmente tratado: si la información facilitada refleja con precisión el uso efectivo que se hace de los datos, incluidas la elaboración de perfiles, la personalización de contenidos o la cesión a terceros.

Para el sector del marketing digital, generación de leads y captación online, este análisis afecta a prácticamente todos los puntos de contacto con el usuario: webs corporativas, landing pages de campañas específicas, formularios embebidos en redes sociales, aplicaciones móviles, procesos de registro en sorteos o promociones, y bases de datos adquiridas o compartidas con terceros.

El error más habitual: transparencia genérica frente a transparencia específica

Uno de los problemas más recurrentes en la práctica es el uso de textos informativos genéricos, redactados para cubrir cualquier tratamiento posible, sin adaptarlos a la finalidad concreta de cada formulario o campaña. Una cláusula de privacidad estándar, copiada de una web a otra sin ajustar a la realidad del tratamiento específico, no satisface el estándar de transparencia exigido por el RGPD ni, previsiblemente, el que resultará de esta acción coordinada.
La información facilitada al usuario debe ser específica para el tratamiento concreto de que se trate: no es lo mismo informar sobre el tratamiento de datos para gestionar una suscripción a un boletín informativo que para ceder esos mismos datos a terceros anunciantes con fines de prospección comercial. Ambos supuestos exigen información diferenciada, clara y previa a la recogida del dato.

Qué revisar antes de que la acción coordinada llegue a España

Aunque la participación de la AEPD en esta acción coordinada se desarrollará durante 2026, conviene anticiparse revisando:
1. Todas las capas informativas presentes en formularios, pop-ups, landing pages y procesos de registro, verificando que la información es clara, específica y accesible antes de la recogida del dato.

2. La coherencia entre el texto informativo y el tratamiento real que la empresa realiza con los datos, incluyendo cesiones a terceros, perfilado o personalización.

3. El diseño de la interfaz de usuario, identificando posibles elementos que puedan interpretarse como patrones oscuros u obstáculos a la comprensión.

4. La existencia de mecanismos sencillos y efectivos para el ejercicio de derechos, mencionados de forma clara en la información facilitada.

5. La actualización de los textos informativos cada vez que cambie el tratamiento real de los datos, evitando el desfase entre lo declarado y lo practicado.

La transparencia informativa deja de ser, con esta acción coordinada, un aspecto secundario del cumplimiento normativo para convertirse en objeto de escrutinio directo por parte de las autoridades europeas de protección de datos. Para las empresas de marketing digital, cuyo modelo de negocio depende en buena medida de la captación masiva de datos a través de canales digitales, una revisión temprana de sus capas informativas constituye una medida preventiva especialmente recomendable.