RGPD mais simples? O Conselho da UE fechou a sua posição sobre o Omnibus Digital
Os Estados-membros apoiam menos banners de cookies, prazos mais longos para notificar violações de dados e modelos comuns de cumprimento. Ainda falta o Parlamento Europeu.
A 21 de outubro de 2026, o Conselho da União Europeia aprovou a sua posição negocial sobre o Omnibus Digital, o pacote que pretende simplificar várias regras digitais europeias, incluindo o RGPD e a diretiva ePrivacy (a que regula os cookies). Ainda não é lei: falta o Parlamento Europeu fechar a sua posição e, depois, as negociações entre as duas instituições.
O que o Conselho defende
- Definição de dados pessoais mantém-se, mas surge uma nova disposição sobre pseudonimização e sobre quando uma pessoa é identificável.
- Pedidos de acesso abusivos: regras mais claras para lidar com pedidos manifestamente infundados ou excessivos.
- Violações de dados: um prazo mais longo para notificar a autoridade de controlo. O novo prazo ainda não é conhecido.
- Modelos comuns de cumprimento do RGPD e uma lista única europeia de tratamentos que tendem a ser de alto risco.
- Cookies: deixaria de ser preciso consentimento em mais situações, como cookies necessários para prestar o serviço, medir audiências ou proteger o dispositivo do utilizador. Na prática, podem ser menos banners.
- IA: clarificação dos fundamentos legais para tratar dados pessoais em sistemas de IA, com salvaguardas adicionais para dados sensíveis e verificação biométrica.
- Incidentes de cibersegurança: o Conselho recusou um ponto único europeu de notificação e prefere um ponto de entrada nacional em cada Estado-membro, com regras mais harmonizadas.
Segundo o comunicado, a presidência irlandesa quer um acordo rápido com o Parlamento, e o roteiro "One Europe, One Market" aponta para concluir os pacotes de simplificação até ao fim de 2027.
Porque importa
Para uma PME, o RGPD pesa sobretudo na papelada: registos, avisos, pedidos de titulares e notificações. Menos banners de cookies, modelos comuns e prazos mais realistas podem reduzir esse esforço. Mas, como lembra Paul Collier, do DPO Centre, "regras mais simples não significam necessariamente cumprimento mais simples".
O que isto significa para a sua empresa
- Não mude nada já: as regras atuais continuam em vigor, incluindo o prazo atual para notificar violações de dados.
- Acompanhe as negociações e espere pelo texto final antes de rever políticas, avisos ou o banner de cookies do site.
- Arrume a casa entretanto: saber que dados tem, onde estão e quem lhes acede facilita qualquer adaptação futura.
- Se usa IA com dados de clientes, documente desde já a base legal e as salvaguardas: é exatamente o ponto que o Omnibus quer clarificar.
A simpler GDPR? The EU Council has set its position on the Digital Omnibus
Member states back fewer cookie banners, longer deadlines to report data breaches and common compliance templates. The European Parliament still has to weigh in.
On 21 October 2026 the Council of the European Union adopted its negotiating position on the Digital Omnibus, the package meant to simplify several EU digital rules, including the GDPR and the ePrivacy directive (which governs cookies). It is not law yet: the European Parliament still has to settle its own position, and then the two institutions must negotiate.
What the Council supports
- The definition of personal data stays, but a new provision on pseudonymisation and on when a person is identifiable is added.
- Abusive access requests: clearer rules for handling manifestly unfounded or excessive requests.
- Data breaches: a longer deadline to notify the supervisory authority. The new deadline is not yet known.
- Common GDPR compliance templates and a single EU list of processing activities likely to be high risk.
- Cookies: consent would no longer be needed in more cases, such as cookies needed to provide the service, measure audiences or protect the user's device. In practice, possibly fewer banners.
- AI: clarified legal grounds for processing personal data in AI systems, with extra safeguards for sensitive data and biometric verification.
- Cybersecurity incidents: the Council rejected a single EU reporting entry point and prefers one national entry point in each member state, with more harmonised rules.
According to the press release, the Irish presidency wants a swift agreement with Parliament, and the "One Europe, One Market" roadmap aims to complete the simplification packages by the end of 2027.
Why it matters
For an SME, the GDPR weighs mostly in paperwork: records, notices, data subject requests and notifications. Fewer cookie banners, common templates and more realistic deadlines could reduce that effort. But, as Paul Collier of the DPO Centre points out, "simpler rules won't necessarily mean simpler compliance".
What this means for your company
- Don't change anything yet: current rules still apply, including the current deadline to notify data breaches.
- Follow the negotiations and wait for the final text before revising policies, notices or your website's cookie banner.
- Get your house in order meanwhile: knowing what data you hold, where it is and who accesses it makes any future change easier.
- If you use AI with customer data, document the legal basis and safeguards now: that is exactly what the Omnibus aims to clarify.