Digital Omnibus: stanowisko Rady w sprawie RODO i cookies
21 października 2026 r. ambasadorowie UE uzgodnili mandat Rady w sprawie Digital Omnibus: naruszenia danych, dane osobowe, cookies i zgłaszanie incydentów.
21 października 2026 r. Komitet Stałych Przedstawicieli (Coreper) uzgodnił mandat Rady do negocjacji z Parlamentem Europejskim w sprawie Digital Omnibus, czyli przedstawionego w listopadzie 2025 r. wniosku Komisji upraszczającego unijne przepisy cyfrowe (procedura 2025/0360(COD)). Tekst opublikowano 22 października 2026 r. jako dokument Rady 14756/26, z zaznaczeniem każdej zmiany względem wniosku Komisji.
To punkt wyjścia Rady do negocjacji, a nie obowiązujące prawo. Dopóki ostateczne rozporządzenie nie zostanie przyjęte i opublikowane, RODO, dyrektywa ePrivacy i krajowe ustawy wdrażające NIS2 obowiązują bez zmian.
Naruszenia ochrony danych osobowych
Rada zachowuje dwie najważniejsze zmiany Komisji w art. 33 RODO:
- Tylko naruszenia wysokiego ryzyka trzeba by zgłaszać organowi nadzorczemu: te, które "mogą powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych".
- 96 godzin zamiast 72: zgłoszenie bez zbędnej zwłoki i w miarę możliwości w ciągu 96 godzin od stwierdzenia naruszenia, z uzasadnieniem w razie opóźnienia.
Zgłoszenie trafiałoby przez krajowy punkt wejścia utworzony przez każde państwo członkowskie, zamiast proponowanego przez Komisję jednego unijnego punktu. Do czasu jego utworzenia administratorzy zgłaszają naruszenia bezpośrednio organowi nadzorczemu. EROD publikowałaby wykazy sytuacji, które mogą, oraz które nie mogą, powodować wysokie ryzyko.
Dane osobowe i pseudonimizacja
Komisja proponowała dodać do definicji danych osobowych, że informacje nie są danymi osobowymi dla podmiotu, który nie może zidentyfikować osoby. Rada skreśla to zdanie i w zamian proponuje nowy art. 25a o pseudonimizacji:
- dane spseudonimizowane nie są danymi osobowymi dla strony trzeciej, która nie może zidentyfikować osoby;
- jeśli zostaną przekazane komuś, kto może ją zidentyfikować, znów są danymi osobowymi;
- dla podmiotu przetwarzającego dane przetwarzane w imieniu administratora zawsze pozostają danymi osobowymi;
- EROD wydałaby opinię w sprawie pseudonimizacji i anonimizacji.
Cookies zostają w dyrektywie ePrivacy
Komisja proponowała przeniesienie przepisów o cookies do RODO. Rada pozostawia je w art. 5 ust. 3 dyrektywy ePrivacy i nadaje mu nowe brzmienie. Zgoda pozostaje regułą, z wyjątkami, gdy zapisywanie lub odczyt informacji jest ściśle niezbędny, na przykład do przesłania komunikatu, świadczenia usługi, o którą prosi użytkownik, w celach bezpieczeństwa lub do anonimowego, zagregowanego pomiaru oglądalności przez dostawcę usługi lub w jego imieniu.
Gdy prosi się o zgodę, użytkownik musi móc odmówić jednym kliknięciem lub równoważnym sposobem. Po odmowie tej samej prośby nie można by ponawiać przez co najmniej cztery miesiące; Komisja proponowała sześć. Państwa członkowskie miałyby 24 miesiące od przyjęcia na wdrożenie tych zmian.
Inne kwestie w RODO
- Zautomatyzowane decyzje (art. 22): Rada zachowuje prawo do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, z obecnymi wyjątkami i zabezpieczeniami, w tym interwencją człowieka.
- Żądania dostępu (art. 12 ust. 5): administrator mógłby pobrać opłatę lub odmówić, jeśli można wykazać zamiar nadużycia; ciężar dowodu spoczywa na administratorze.
- Oceny skutków (art. 35): EROD publikowałaby ogólnounijne wykazy operacji wymagających i niewymagających DPIA.
- AI: przetwarzanie na potrzeby rozwoju i działania systemów i modeli AI może opierać się na prawnie uzasadnionym interesie z art. 6 ust. 1 lit. f), a szczególne kategorie danych, które przypadkowo znalazły się w danych treningowych, trzeba usunąć bez zbędnej zwłoki albo chronić, jeśli usunięcie jest technicznie niemożliwe.
Zgłaszanie incydentów w ramach NIS2
Zamiast jednej unijnej platformy ENISA stworzyłaby punkt informacyjny dotyczący zgłaszania incydentów, który wskazuje, jakie obowiązki mają zastosowanie, i kieruje do właściwego krajowego punktu wejścia; sam nie przyjmuje zgłoszeń. W ciągu sześciu miesięcy od wejścia w życie Komisja przedstawiłaby sprawozdanie o różnicach w definicjach, progach i terminach między NIS2, eIDAS, RODO, DORA i dyrektywą CER.
Co robić teraz
Na razie nic się nie zmienia. Zgłaszaj naruszenia w ciągu 72 godzin, zostaw obecny mechanizm zgody na cookies i śledź negocjacje: ostateczny tekst może się jeszcze zmienić w każdym z tych punktów.
Źródła
- Rada UE: dokument 14756/26, Digital Omnibus, mandat negocjacyjny (22 października 2026 r.)
- Rozporządzenie (UE) 2016/679 (RODO)
- Dyrektywa 2002/58/WE (dyrektywa o prywatności i łączności elektronicznej)
- Dyrektywa (UE) 2022/2555 (NIS2)
Wyłącznie w celach informacyjnych, nie stanowi porady prawnej. Ostatnia aktualizacja: 29 października 2026.
Dostępne także w języku: English, Nederlands, Italiano, Deutsch, Français, Español, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål