Consiliul UE aprobă un mandat de negociere pentru mai puține bannere cookie și raportarea incidentelor prin puncte naționale

Consiliul Uniunii Europene a aprobat la 21 octombrie 2026 mandatul de negociere pentru simplificarea unor norme privind datele personale, cookie-urile și raportarea incidentelor cibernetice. Poziția statelor membre urmărește reducerea bannerelor de consimțământ și folosirea unor puncte naționale de raportare, în locul portalului european unic propus de Comisie. Mandatul stabilește poziția Consiliului pentru negocierile cu Parlamentul European; modificările nu sunt încă lege.

Reforma face parte din pachetul Digital Omnibus prezentat de Comisia Europeană la 19 noiembrie 2025. Obiectivul declarat este reducerea costurilor administrative și a suprapunerilor dintre normele digitale. Mandatul privește protecția datelor, confidențialitatea comunicațiilor, accesul și reutilizarea datelor și raportarea incidentelor. Dosarul este distinct de componenta separată a pachetului privind simplificarea normelor pentru inteligența artificială, adoptată definitiv de Consiliu la 29 iunie 2026.

În privința cookie-urilor și a tehnologiilor similare, Consiliul păstrează cadrul în Directiva ePrivacy. Excepțiile propuse de la consimțământ acoperă scopuri strict delimitate, precum furnizarea serviciului cerut de utilizator, anumite măsurători de audiență și securitatea tehnică a serviciului sau dispozitivului. Acestea nu echivalează cu o autorizare generală a urmăririi comportamentului online pentru publicitate.

De exemplu, una dintre excepțiile pentru audiență vizează producerea de informații agregate anonime despre folosirea unui serviciu, de către furnizor sau în numele său. Datele nu ar putea fi folosite pentru alte scopuri, partajate cu terți ori combinate cu date de la terți. Pentru măsurarea audienței serviciilor media sunt prevăzute condiții distincte, inclusiv pseudonimizarea datelor și interzicerea urmăririi în afara serviciului sau conținutului măsurat. Mandatul include și măsurarea publicității contextuale, cu restricții privind profilarea și folosirea datelor despre activitatea anterioară sau ulterioară a utilizatorului.

Mandatul ar permite refuzarea consimțământului printr-un singur clic sau un mijloc echivalent, ușor de înțeles. După un refuz, furnizorul nu ar trebui să repete solicitarea pentru același scop timp de cel puțin patru luni. Regula privește aceeași finalitate; textul explică situații în care o nouă cerere poate fi necesară, precum schimbarea scopului sau ștergerea de către utilizator a cookie-ului care înregistrează alegerea.

Același incident poate afecta atât funcționarea unui serviciu, cât și confidențialitatea datelor personale, declanșând obligații de raportare către autorități diferite. Pentru raportarea incidentelor, Consiliul înlocuiește portalul unic la nivelul UE propus de Comisie cu puncte naționale. Statele ar putea conecta sistemele existente și organiza transmiterea informațiilor către autoritățile competente potrivit propriilor structuri. La nivel european, ENISA ar administra un punct de informare care identifică obligațiile aplicabile și direcționează organizațiile către punctul național potrivit. Acesta nu ar permite depunerea, transmiterea sau stocarea notificărilor și nu ar colecta informații care identifică organizația raportoare ori incidentul.

În cazul breșelor de date personale raportate în temeiul GDPR, mandatul propune notificarea autorității fără întârzieri nejustificate și, unde este posibil, în cel mult 96 de ore de la luarea la cunoștință, dacă este probabil un risc ridicat pentru drepturile și libertățile persoanelor. În prezent, termenul este de 72 de ore, iar excepția de la notificare privește cazurile în care este puțin probabil să existe un risc. Obligația de documentare a breșelor ar rămâne, inclusiv când noul prag de notificare nu este atins. În cazurile cu risc ridicat, regulile actuale pot impune și informarea persoanelor afectate. Termenul propus de 96 de ore nu este un termen unic pentru toate incidentele cibernetice și nu permite amânarea nejustificată a unei notificări.

Consiliul păstrează definiția actuală a datelor personale din GDPR, eliminând modificarea definiției propusă de Comisie. În schimb, introduce o regulă separată privind pseudonimizarea: datele pseudonimizate nu ar fi considerate personale pentru un terț care nu poate identifica persoana. Evaluarea trebuie să țină seama de toate mijloacele rezonabil susceptibile de a fi folosite pentru identificare. Transmiterea către un alt destinatar care poate identifica persoana și prelucrarea de către acesta intră în sfera datelor personale; un prestator care prelucrează date personale în numele unui operator rămâne supus obligațiilor GDPR.

În gestionarea cererilor persoanelor vizate, mandatul clarifică situațiile în care o organizație poate percepe o taxă rezonabilă sau poate refuza o cerere vădit nefondată ori excesivă. Când este invocat abuzul pentru o cerere de acces, intenția abuzivă trebuie să poată fi demonstrată. Organizația trebuie să justifice evaluarea și să explice motivele refuzului; simpla invocare a unui scop diferit de protecția datelor nu este criteriul propus de Consiliu.

Sunt adaptate și unele obligații de informare când există motive rezonabile să se creadă că persoana cunoaște deja identitatea operatorului și scopurile prelucrării, iar prelucrarea nu este susceptibilă să genereze un risc ridicat. Excepția nu ar acoperi operațiuni complexe, volume mari de date sau date sensibile ori privind condamnări penale și infracțiuni. Alte măsuri prevăd liste europene pentru evaluarea riscurilor și modele comune pentru notificări și evaluările impactului asupra protecției datelor.

Pentru cercetarea științifică, mandatul propune o definiție care cere o abordare metodologică și sistematică, respectarea standardelor etice și rezultate verificabile și transparente, produse autonom și independent. Sunt prevăzute derogări punctuale de la anumite obligații de informare, însoțite de garanții pentru persoanele vizate. Interesul comercial nu exclude automat calificarea drept cercetare, dar simpla invocare a cercetării nu înlătură condițiile legale de prelucrare.

Derogarea biometrică privește verificarea individuală a unei identități declarate, prin comparație unu-la-unu, când datele biometrice sau mijloacele necesare verificării sunt sub controlul exclusiv al persoanei vizate. În domeniul AI, derogarea pentru date sensibile ar fi limitată la prelucrarea incidentală a unor date reziduale, neintenționată de operator, în dezvoltarea și operarea tehnică a sistemelor sau modelelor. Operatorul ar trebui să prevină colectarea unor asemenea date și să le șteargă fără întârzieri nejustificate când le identifică. Dacă ștergerea este tehnic imposibilă sau cere un efort vădit disproporționat, datele trebuie protejate efectiv împotriva prelucrării ulterioare, folosirii pentru rezultate și divulgării.

Dosarul consolidează și regulile privind reutilizarea datelor publice, serviciile de intermediere a datelor și altruismul în materie de date. Mandatul păstrează posibilitatea unor condiții speciale și tarife mai ridicate pentru întreprinderile foarte mari, inclusiv platformele desemnate drept controlori ai accesului, pe criterii obiective și proporționale. Pentru secretele comerciale, divulgarea ar trebui să aibă loc numai după luarea măsurilor necesare de confidențialitate, cu garanții suplimentare în situațiile care prezintă riscuri de divulgare ilegală către entități supuse jurisdicțiilor din țări terțe.

Mandatul modifică și unele norme privind relațiile dintre platforme și întreprinderi și aliniază regulile de protecție a datelor aplicabile instituțiilor UE cu schimbările propuse pentru GDPR.

Dezbaterea include și protecția drepturilor fundamentale. În avizul comun din 11 februarie 2026, Comitetul european pentru protecția datelor și Autoritatea Europeană pentru Protecția Datelor susțin anumite simplificări, inclusiv prelungirea notificării breșelor de la 72 la 96 de ore, dar cer să nu fie adoptată restrângerea definiției datelor personale propusă inițial de Comisie. Avizul analizează acea propunere, nu mandatul Consiliului aprobat opt luni mai târziu.

Pentru România, reforma ar putea schimba procedurile administratorilor de site-uri, companiilor care prelucrează date, operatorilor de servicii și administrațiilor publice. Un punct național ar putea reduce folosirea mai multor canale pentru același incident, însă mandatul nu creează prin el însuși un sistem nou de raportare în România.

La 22 octombrie, fișa Parlamentului European indică faptul că dosarul așteaptă o decizie în comisiile parlamentare. Negocierile interinstituționale vor începe după adoptarea poziției Parlamentului. Consiliul și Parlamentul trebuie să ajungă la un text comun și să îl adopte definitiv, iar modificările se vor aplica potrivit termenelor prevăzute în legea finală. Până atunci, companiile și autoritățile trebuie să respecte normele în vigoare.