Prezydencja Rady UE przedstawiła 2 października 2026 r. ambasadorom państw członkowskich (Coreper) kompromisowy tekst mandatu w sprawie Digital Omnibus — pakietu, który zmienia m. in. RODO, dyrektywę ePrivacy i Data Act. Mandat czeka na zatwierdzenie; dopiero po nim ruszą trilogi z Parlamentem Europejskim. W porównaniu z tekstem z 21 września zmiany są punktowe, ale kilka z nich realnie zmienia praktykę administratorów: zawężony wyjątek od obowiązku informacyjnego, jasna granica dla uzasadnionego interesu przy rozwoju AI i krótsza przerwa przed ponownym pytaniem o zgodę na cookies.

Ten wpis udostępniamy w całości bezpłatnie. Zapisz się do newslettera — wyślemy w nim subskrybentom kod z 10% rabatem na pierwszy zakup dostępu.

RODO: obowiązek informacyjny, AI, badania i pseudonimizacja

Węższy wyjątek od obowiązku informacyjnego (art. 13 ust. 5). Wrześniowy tekst przewidywał dwie alternatywne podstawy zwolnienia: osoba ma już informacje albo ich przekazanie wymagałoby niewspółmiernego wysiłku, a przetwarzanie nie niesie wysokiego ryzyka. Tekst z 2 października skreśla podstawę „niewspółmiernego wysiłku”, a pozostałe warunki łączy spójnikiem „i”: zwolnienie przysługuje tylko wtedy, gdy są uzasadnione podstawy, by sądzić, że osoba zna tożsamość administratora i cele przetwarzania, oraz przetwarzanie nie niesie wysokiego ryzyka w rozumieniu art. 35. Wyjątek nadal nie obejmuje złożonych operacji, dużych ilości danych ani danych z art. 9 i 10. To najdalej idąca zmiana tej rundy — klauzule informacyjne zostają, a zwolnienie obejmie wyłącznie proste, niskoryzykowe relacje.

Rozwój AI sam w sobie nie jest uzasadnionym interesem (art. 88 bis, motyw 33a). Motyw 33a przesądza, że rozwój i eksploatacja systemu lub modelu AI same w sobie nie stanowią uzasadnionego interesu, a zastosowanie art. 6 ust. 1 lit. f ocenia się w każdym przypadku osobno, z uwzględnieniem celu, któremu przetwarzanie służy. Organy publiczne, które trenują lub eksploatują systemy AI w ramach zadań publicznych, mają sięgać po art. 6 ust. 1 lit. e. Sam art. 88 bis ust. 3 zyskał wyraźne odesłanie do prawa sprzeciwu z art. 21. Przepis nie tworzy więc domniemania uzasadnionego interesu.

Badania naukowe mogą mieć cel komercyjny (art. 4 pkt 38). Zdanie, które we wrześniu było tylko w motywie, trafia do definicji: badania mogą zmierzać także do celu komercyjnego, jeśli spełniają pozostałe kryteria — metodologię, standardy etyczne, autonomię i weryfikowalność wyników.

Dane spseudonimizowane nadal wymagają zabezpieczeń (art. 25a). Stosowanie pseudonimizacji ma podlegać środkom technicznym i organizacyjnym, „w tym środkom bezpieczeństwa”; motyw 27a dodaje, że dane spseudonimizowane nadal wymagają zabezpieczeń przed utratą, kradzieżą i nieuprawnionym ujawnieniem. Z testu identyfikowalności w ust. 5 skreślono frazę „przez administratora lub inną osobę” — czysto redakcyjnie albo jako relatywizacja oceny do podmiotu, którego dotyczy. To warto śledzić w trilogach.

RODO: nadużycie prawa dostępu, transfery i zapowiedź dalszych zmian

• „Zamiar nadużycia” — tylko przy żądaniach dostępu do danych (motyw 35) — przesłanka „zamiaru nadużycia” odnosi się wprost do żądań z art. 15, a nie do wszystkich praw z rozdziału III; przykładem pozostaje żądanie złożone wyłącznie po to, by uzyskać odszkodowanie.
• Powtarzalne transfery poza UE na podstawie wyjątków — w węższym zakresie (motyw 40b) — teza, że takie transfery nie muszą być jednorazowe, obejmuje już tylko art. 49 ust. 1 lit. d oraz f–g (we wrześniu: a–g). Dodano przykład międzynarodowej wymiany informacji między administracjami podatkowymi.
• Zapowiedź przeglądu obowiązków administratora pod kątem mniejszych organizacji (art. 97 ust. 2 lit. c) — sprawozdanie Komisji ma ocenić proporcjonalność obowiązków z rozdziału IV (rejestr czynności, DPIA, IOD, umowy powierzenia) i ich wpływ na mniejsze organizacje. To zapowiedź kolejnej rundy deregulacji.

Cookies i dyrektywa ePrivacy

• Po odmowie zgody administrator może ponownie zapytać o zgodę w tym samym celu najwcześniej po czterech miesiącach (we wrześniu: sześciu). Motyw 45 dopuszcza wcześniejsze pytanie m. in. przy zmianie celu, nowej usłudze albo gdy użytkownik sam usunął cookies.
• Wyjątek od zgody dla pomiaru oglądalności mediów nie obejmuje śledzenia użytkownika poza mierzonym serwisem.
• Komisja ma przedstawić raport o technologiach chroniących prywatność w ciągu 12 miesięcy od przyjęcia rozporządzenia.
• Motyw 45 zastrzega też, że zmiany nie określają warunków dotyczących przychodów wydawców — Omnibus nie rozstrzyga sporu o modele „zgoda albo opłata”.

Data Act: tajemnice przedsiębiorstwa

Istotne zmiany dotyczą też Data Act. W tekście z 2 października tajemnice przedsiębiorstwa „nie muszą być ujawniane”, dopóki posiadacz danych i użytkownik nie podejmą niezbędnych środków ochrony — to odwrócenie reguły domyślnej. Posiadacz danych może odmówić udostępnienia już przy „znacznym” (a nie „wysokim”) ryzyku nieuprawnionego pozyskania danych przez podmioty z państw trzecich, a Komisja ma wydać wytyczne o danych z sektorów krytycznych. Krajowe, krótsze terminy rozpatrywania wniosków o ponowne wykorzystanie danych zostają zachowane.

Co dalej

Tekst z 2 października musi jeszcze zatwierdzić Coreper; dopiero potem Prezydencja rozpocznie trilogi z Parlamentem Europejskim, a brzmienie każdego z omówionych przepisów może się zmienić. Decyzje strukturalne — przeniesienie zasad dotyczących cookies do dyrektywy ePrivacy czy rezygnacja z przepisów o sygnałach zgody w przeglądarkach — zapadły we wcześniejszych kompromisach i tekst z października je utrwala.

Przepisy to połowa obrazu. Drugą jest to, jak stosują je organy nadzorcze i sądy — i tę część zbieramy na bieżąco.

Źródło: kompromisowy tekst Prezydencji Rady UE z 2 października 2026 r. (dok. 13886/26) w porównaniu z tekstem z 21 września 2026 r. (dok. 13112/26).

Niniejsze opracowanie powstało częściowo z wykorzystaniem modelu sztucznej inteligencji ogólnego przeznaczenia i mimo dołożonej staranności może zawierać błędy. Przekazane informacje nie stanowią porady prawnej — przedstawiają wyłącznie pogląd Autora.