Digital Omnibus: o Conselho sobre o RGPD e os cookies
A 21 de outubro de 2026, os embaixadores da UE acordaram o mandato do Conselho sobre o Digital Omnibus: violações, dados pessoais, cookies, incidentes.
A 21 de outubro de 2026, o Comité de Representantes Permanentes (Coreper) acordou o mandato do Conselho para as negociações com o Parlamento Europeu sobre o Digital Omnibus, a proposta da Comissão de novembro de 2025 para simplificar as regras digitais da UE (processo 2025/0360(COD)). O texto foi publicado a 22 de outubro de 2026 como documento do Conselho 14756/26, com cada alteração à proposta da Comissão assinalada.
É a posição de partida do Conselho para as negociações, não legislação em vigor. Até que um regulamento definitivo seja adotado e publicado, o RGPD, a Diretiva ePrivacy e as leis nacionais de transposição da NIS2 aplicam-se tal como estão.
Violações de dados pessoais
O Conselho mantém as duas principais alterações da Comissão ao artigo 33.º do RGPD:
- Apenas as violações de risco elevado teriam de ser notificadas à autoridade de controlo: as "suscetíveis de implicar um elevado risco para os direitos e liberdades das pessoas singulares".
- 96 horas em vez de 72: notificação sem demora injustificada e, sempre que possível, nas 96 horas seguintes ao conhecimento da violação, com os motivos de qualquer atraso.
A notificação passaria por um ponto de entrada nacional criado por cada Estado-Membro, em vez do ponto de entrada único europeu proposto pela Comissão. Até lá, os responsáveis continuam a notificar diretamente a autoridade de controlo. O CEPD publicaria listas das situações suscetíveis, ou não, de implicar um risco elevado.
Dados pessoais e pseudonimização
A Comissão propunha acrescentar à definição de dados pessoais que uma informação não é um dado pessoal para uma entidade que não consegue identificar a pessoa. O Conselho elimina essa frase e propõe, em vez disso, um novo artigo 25.º-A sobre pseudonimização:
- os dados pseudonimizados não são dados pessoais para um terceiro que não consegue identificar a pessoa;
- se forem transmitidos a alguém que consegue identificá-la, voltam a ser dados pessoais;
- para um subcontratante, os dados tratados por conta do responsável continuam sempre a ser dados pessoais;
- o CEPD emitiria um parecer sobre pseudonimização e anonimização.
Os cookies ficam na Diretiva ePrivacy
A Comissão propunha transferir as regras sobre cookies para o RGPD. O Conselho mantém-nas no artigo 5.º, n.º 3, da Diretiva ePrivacy e reescreve-o. O consentimento continua a ser a regra, com exceções quando armazenar ou ler informação é estritamente necessário, por exemplo para transmitir uma comunicação, prestar um serviço pedido pelo utilizador, por segurança ou para medir audiências de forma anónima e agregada pelo prestador do serviço ou em seu nome.
Quando o consentimento é pedido, o utilizador tem de o poder recusar com um só clique ou meio equivalente. Após uma recusa, o mesmo pedido não poderia ser repetido durante pelo menos quatro meses; a Comissão tinha proposto seis. Os Estados-Membros teriam 24 meses após a adoção para transpor estas alterações.
Outros pontos do RGPD
- Decisões automatizadas (artigo 22.º): o Conselho mantém-no como direito a não ficar sujeito a decisões tomadas exclusivamente com base em tratamento automatizado, com as exceções e garantias atuais, incluindo a intervenção humana.
- Pedidos de acesso (artigo 12.º, n.º 5): o responsável poderia cobrar uma taxa ou recusar um pedido quando possa ser demonstrada uma intenção abusiva; o ónus da prova cabe ao responsável.
- Avaliações de impacto (artigo 35.º): o CEPD publicaria listas europeias dos tratamentos que exigem, ou não, uma AIPD.
- IA: o tratamento para o desenvolvimento e funcionamento de sistemas e modelos de IA pode basear-se no interesse legítimo do artigo 6.º, n.º 1, alínea f), e as categorias especiais de dados presentes por acaso nos dados de treino têm de ser apagadas sem demora injustificada, ou protegidas se o apagamento for tecnicamente impossível.
Notificação de incidentes no âmbito da NIS2
Em vez de uma plataforma europeia única, a ENISA criaria um ponto de informação sobre a notificação de incidentes que indica as obrigações aplicáveis e encaminha para o ponto de entrada nacional certo; não recebe notificações. No prazo de seis meses após a entrada em vigor, a Comissão apresentaria um relatório sobre as diferenças de definições, limiares e prazos entre a NIS2, o eIDAS, o RGPD, o DORA e a Diretiva CER.
O que fazer agora
Por enquanto nada muda. Continue a notificar violações em 72 horas, mantenha a gestão do consentimento de cookies como está e acompanhe as negociações: o texto final ainda pode mudar em qualquer destes pontos.
Fontes
- Conselho da UE: documento 14756/26, Digital Omnibus, mandato de negociação (22 de outubro de 2026)
- Regulamento (UE) 2016/679 (RGPD)
- Diretiva 2002/58/CE (Diretiva relativa à privacidade e às comunicações eletrónicas)
- Diretiva (UE) 2022/2555 (NIS2)
Apenas para informação, não constitui aconselhamento jurídico. Última atualização: 29 de outubro de 2026.
Também disponível em: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål