Digital Omnibus: Consiliul despre GDPR și cookie-uri

Publicat 29 octombrie 2026 · De Dazr

Pe 21 octombrie 2026, ambasadorii UE au convenit mandatul Consiliului privind Digital Omnibus: încălcări de date, date personale, cookie-uri și incidente.

Pe 21 octombrie 2026, Comitetul Reprezentanților Permanenți (Coreper) a convenit mandatul Consiliului pentru negocierile cu Parlamentul European privind Digital Omnibus, propunerea Comisiei din noiembrie 2025 de simplificare a normelor digitale ale UE (procedura 2025/0360(COD)). Textul a fost publicat pe 22 octombrie 2026 ca documentul Consiliului 14756/26, cu fiecare modificare față de propunerea Comisiei marcată.

Este poziția de pornire a Consiliului în negocieri, nu o lege în vigoare. Până la adoptarea și publicarea unui regulament final, GDPR, Directiva ePrivacy și legile naționale de transpunere a NIS2 se aplică așa cum sunt astăzi.

Încălcări ale securității datelor cu caracter personal

Consiliul păstrează cele două modificări principale propuse de Comisie la articolul 33 din GDPR:

Doar încălcările cu risc ridicat ar trebui notificate autorității de supraveghere: cele "susceptibile să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice".
96 de ore în loc de 72: notificare fără întârzieri nejustificate și, dacă este posibil, în 96 de ore de la data la care s-a luat cunoștință de încălcare, cu motivarea oricărei întârzieri.

Notificarea ar trece printr-un punct de intrare național creat de fiecare stat membru, în locul punctului unic de intrare european propus de Comisie. Până atunci, operatorii notifică direct autoritatea de supraveghere. CEPD ar publica liste cu situațiile susceptibile, sau nu, să genereze un risc ridicat.

Date cu caracter personal și pseudonimizare

Comisia propunea să se adauge la definiția datelor cu caracter personal că o informație nu este dată personală pentru o entitate care nu poate identifica persoana. Consiliul elimină această frază și propune în schimb un nou articol 25a privind pseudonimizarea:

datele pseudonimizate nu sunt date cu caracter personal pentru un terț care nu poate identifica persoana;
dacă sunt transmise cuiva care o poate identifica, redevin date cu caracter personal;
pentru o persoană împuternicită, datele prelucrate în numele operatorului rămân întotdeauna date cu caracter personal;
CEPD ar emite un aviz privind pseudonimizarea și anonimizarea.

Comisia propunea mutarea regulilor privind cookie-urile în GDPR. Consiliul le păstrează la articolul 5 alineatul (3) din Directiva ePrivacy și îl reformulează. Consimțământul rămâne regula, cu excepții atunci când stocarea sau citirea informațiilor este strict necesară, de exemplu pentru transmiterea unei comunicări, pentru furnizarea unui serviciu solicitat de utilizator, pentru securitate sau pentru măsurarea anonimă și agregată a audienței de către furnizorul serviciului ori în numele său.

Atunci când se cere consimțământul, utilizatorul trebuie să-l poată refuza cu un singur clic sau printr-un mijloc echivalent. După un refuz, aceeași cerere nu ar putea fi repetată cel puțin patru luni; Comisia propusese șase. Statele membre ar avea 24 de luni de la adoptare pentru transpunere.

Decizii automatizate (articolul 22): Consiliul îl păstrează ca drept de a nu face obiectul unei decizii bazate exclusiv pe prelucrare automată, cu excepțiile și garanțiile existente, inclusiv intervenția umană.
Cereri de acces (articolul 12 alineatul (5)): operatorul ar putea percepe o taxă sau refuza o cerere atunci când se poate demonstra o intenție abuzivă; sarcina probei revine operatorului.
Evaluări de impact (articolul 35): CEPD ar publica liste la nivelul UE cu operațiunile care necesită, sau nu, o evaluare a impactului.
IA: prelucrarea pentru dezvoltarea și funcționarea sistemelor și modelelor de IA se poate baza pe interesul legitim de la articolul 6 alineatul (1) litera (f), iar categoriile speciale de date ajunse întâmplător în datele de antrenare trebuie șterse fără întârzieri nejustificate sau protejate, dacă ștergerea este imposibilă din punct de vedere tehnic.

Raportarea incidentelor în temeiul NIS2

În locul unei platforme europene unice, ENISA ar crea un punct de informare privind raportarea incidentelor care arată ce obligații se aplică și trimite la punctul de intrare național potrivit; el însuși nu primește notificări. În termen de șase luni de la intrarea în vigoare, Comisia ar prezenta un raport privind diferențele de definiții, praguri și termene dintre NIS2, eIDAS, GDPR, DORA și Directiva CER.

Ce faceți acum

Deocamdată nu se schimbă nimic. Notificați în continuare încălcările în 72 de ore, păstrați gestionarea consimțământului pentru cookie-uri așa cum este și urmăriți negocierile: textul final se poate încă modifica la fiecare dintre aceste puncte.

Surse

Doar cu titlu informativ, nu constituie consultanță juridică. Ultima actualizare: 29 octombrie 2026.

Subiecte: GDPR, ePrivacy, NIS2, Digital Omnibus, UE

Disponibil și în: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål