Digital Omnibus: postoj Rady k GDPR a cookies

Zveřejněno 29. října 2026 · Dazr

Dne 21. října 2026 schválili velvyslanci EU mandát Rady k Digital Omnibus: porušení zabezpečení, osobní údaje, cookies a hlášení incidentů.

Dne 21. října 2026 schválil Výbor stálých zástupců (Coreper) mandát Rady k jednání s Evropským parlamentem o Digital Omnibus, návrhu Komise z listopadu 2025 na zjednodušení digitálních předpisů EU (postup 2025/0360(COD)). Text byl zveřejněn 22. října 2026 jako dokument Rady 14756/26 a každá změna oproti návrhu Komise je v něm vyznačena.

Jde o výchozí postoj Rady pro jednání, nikoli o platné právo. Dokud nebude konečné nařízení přijato a zveřejněno, platí GDPR, směrnice ePrivacy i vnitrostátní zákony provádějící NIS2 beze změny.

Porušení zabezpečení osobních údajů

Rada ponechává dvě hlavní změny článku 33 GDPR, které navrhla Komise:

Hlásit by se musela jen porušení s vysokým rizikem: ta, která "mají za následek vysoké riziko pro práva a svobody fyzických osob".
96 hodin místo 72: ohlášení bez zbytečného odkladu, a pokud je to možné, do 96 hodin od zjištění, s odůvodněním případného zpoždění.

Hlášení by šlo přes vnitrostátní vstupní místo, které zřídí každý členský stát, místo jednotného evropského vstupního místa navrženého Komisí. Do jeho zřízení správci hlásí přímo dozorovému úřadu. EDPB by zveřejnil seznamy situací, které vysoké riziko pravděpodobně představují a které ne.

Osobní údaje a pseudonymizace

Komise navrhovala doplnit do definice osobních údajů, že informace nejsou osobním údajem pro subjekt, který osobu nemůže identifikovat. Rada tuto větu škrtá a místo toho navrhuje nový článek 25a o pseudonymizaci:

pseudonymizované údaje nejsou osobními údaji pro třetí stranu, která osobu nemůže identifikovat;
pokud jsou předány někomu, kdo osobu identifikovat může, jsou opět osobními údaji;
pro zpracovatele zůstávají údaje zpracovávané pro správce vždy osobními údaji;
EDPB by vydal stanovisko k pseudonymizaci a anonymizaci.

Cookies zůstávají ve směrnici ePrivacy

Komise navrhovala přesunout pravidla pro cookies do GDPR. Rada je ponechává v čl. 5 odst. 3 směrnice ePrivacy a nově jej formuluje. Pravidlem zůstává souhlas, s výjimkami tam, kde je ukládání nebo čtení informací nezbytně nutné, například pro přenos komunikace, poskytnutí služby, o kterou uživatel požádal, pro bezpečnost nebo pro anonymní agregované měření návštěvnosti poskytovatelem služby nebo jeho jménem.

Pokud se žádá o souhlas, musí jej uživatel moci odmítnout jedním kliknutím nebo rovnocenným způsobem. Po odmítnutí by se stejná žádost nesměla opakovat alespoň čtyři měsíce; Komise navrhovala šest. Členské státy by měly 24 měsíců od přijetí na provedení změn.

Automatizovaná rozhodnutí (článek 22): Rada je zachovává jako právo nebýt předmětem rozhodnutí založeného výhradně na automatizovaném zpracování, se stávajícími výjimkami a zárukami včetně lidského zásahu.
Žádosti o přístup (čl. 12 odst. 5): správce by mohl účtovat poplatek nebo žádost odmítnout, pokud lze prokázat zneužívající úmysl; důkazní břemeno nese správce.
Posouzení vlivu (článek 35): EDPB by zveřejnil celounijní seznamy operací, které DPIA vyžadují a které ne.
AI: zpracování pro vývoj a provoz systémů a modelů AI se může opírat o oprávněný zájem podle čl. 6 odst. 1 písm. f) a zvláštní kategorie údajů, které se do trénovacích dat dostaly náhodně, je nutné bez zbytečného odkladu vymazat, nebo chránit, pokud výmaz není technicky možný.

Hlášení incidentů podle NIS2

Místo jednotné evropské platformy by ENISA vytvořila informační místo pro hlášení incidentů, které ukáže, jaké povinnosti platí, a odkáže na správné vnitrostátní vstupní místo; samo hlášení nepřijímá. Do šesti měsíců od vstupu v platnost by Komise předložila zprávu o rozdílech v definicích, prahových hodnotách a lhůtách mezi NIS2, eIDAS, GDPR, DORA a směrnicí CER.

Co dělat teď

Zatím se nic nemění. Hlaste porušení do 72 hodin, ponechte souhlas s cookies tak, jak je, a sledujte jednání: konečný text se může v každém z těchto bodů ještě posunout.

Zdroje

Pouze pro informaci, nejde o právní poradenství. Naposledy aktualizováno 29. října 2026.

Témata: GDPR, ePrivacy, NIS2, Digital Omnibus, EU

K dispozici také v jazyce: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Slovenčina, Dansk, Svenska, Norsk bokmål