Em 21 de outubro de 2026, o Comitê de Representantes Permanentes dos Estados-membros da UE definiu a posição de negociação do Conselho sobre o Digital Omnibus. O pacote pretende simplificar o GDPR, as regras de cookies da Diretiva ePrivacy e os canais de notificação de incidentes de segurança. Ainda não há nada em vigor: primeiro o Parlamento Europeu precisa definir sua posição, depois seguem as negociações entre Conselho, Parlamento e Comissão. Mesmo assim, vale a pena acompanhar, pois já se percebe em que direção caminham as obrigações de notificação e a documentação.
Do que trata o Digital Omnibus
A Comissão Europeia apresentou o Digital Omnibus em novembro de 2025. Ele faz parte de seu programa de simplificação das normas da UE e reúne alterações em várias leis. A parte sobre inteligência artificial já foi aprovada e adiou os prazos do EU AI Act. A parte sobre dados e proteção de dados é politicamente mais controversa e, por isso, vem depois.
O Conselho não segue a Comissão em todos os pontos. Em algumas propostas ele freia, em outras acrescenta salvaguardas.
O conceito de dados pessoais permanece
A Comissão queria alterar a definição do artigo 4, número 1, do GDPR para que os dados não fossem pessoais para um destinatário que não consegue identificar a pessoa. O Conselho rejeita isso e mantém a definição atual. Em vez disso, uma norma própria sobre pseudonimização deve regular quando terceiros sem acesso à chave podem tratar dados pseudonimizados de outra forma. Segundo a posição do Conselho, operadores tratam dados pessoais em qualquer caso. Na prática, isso significa que os contratos conforme o artigo 28 do GDPR e as respectivas obrigações permanecem como estão.
Violações de dados: limite maior, prazo mais longo
A mudança provavelmente mais perceptível afeta o artigo 33 do GDPR. Segundo a posição do Conselho, os controladores só precisarão notificar uma violação de dados à autoridade supervisora se ela provavelmente resultar em risco elevado para os titulares. É o mesmo limite que já vale hoje para a comunicação aos titulares. O prazo de notificação passaria de 72 para 96 horas.
Continua inalterada a obrigação de documentar internamente toda violação de dados, mesmo que não seja notificada. Quem hoje não mantém um registro organizado de incidentes de proteção de dados ganha pouco com a reforma.
Canais de notificação de incidentes de segurança
A Comissão havia proposto um ponto de contato único em toda a UE, por meio do qual as empresas notificariam incidentes conforme várias leis, como o GDPR e a NIS2. O Conselho quer, em vez disso, um ponto de contato nacional em cada Estado-membro, complementado por um centro de informações em nível da UE e regras uniformes para notificações transfronteiriças. Para entidades abrangidas pela NIS2, isso poderia significar, a longo prazo, um canal de notificação comum. Até lá, continuam valendo as obrigações separadas perante o BSI e a autoridade de proteção de dados.
Outros pontos da posição do Conselho
- Avaliação de impacto sobre a proteção de dados: o Comitê Europeu para a Proteção de Dados deve publicar listas uniformes para toda a UE indicando quais tratamentos exigem uma avaliação de impacto e quais não. Até lá, as listas nacionais continuam valendo.
- Pedidos de acesso: os controladores poderão recusar pedidos abusivos ou cobrar uma taxa, se conseguirem comprovar a intenção abusiva. O ônus da prova é deles.
- Deveres de informação: uma nova exceção valeria quando os titulares já conhecem o controlador e a finalidade e o tratamento não envolve risco elevado. Ela não se aplica a dados sensíveis.
- Inteligência artificial: o desenvolvimento e a operação de sistemas de IA poderão se basear no interesse legítimo, mas apenas após análise caso a caso. Dados sensíveis que entrem involuntariamente em dados de treinamento devem ser excluídos ou isolados.
- Cookies: as regras permanecem na Diretiva ePrivacy. Para determinadas finalidades, como a prestação de um serviço, a medição de audiência ou a segurança do dispositivo, o consentimento deixaria de ser necessário.
Próximos passos
O Parlamento ainda não aprovou sua posição. Segundo observadores, não se espera uma votação na comissão competente antes do início de 2027. Só depois começam as negociações do trílogo, nas quais todos os pontos ainda podem mudar. Até um acordo e sua publicação no Jornal Oficial, o GDPR e a Diretiva ePrivacy continuam inalterados. Portanto, o prazo de 72 horas para notificações segue determinante até segunda ordem.
O que isso significa para você
Você não precisa mudar nada hoje. Mas a posição do Conselho mostra para onde o esforço deve se deslocar, e alguns preparativos valem a pena independentemente do resultado:
- Mantenha um registro completo de todos os incidentes de proteção de dados com sua avaliação de riscos. Essa obrigação permanece em qualquer caso, e um limite de notificação mais alto pressupõe uma avaliação rastreável.
- Continue planejando com 72 horas. Ajuste seu processo de notificação somente quando um novo prazo estiver de fato em vigor.
- Verifique onde as notificações conforme o GDPR e a NIS2 se sobrepõem e defina quem informa qual autoridade em caso de emergência.
- Em projetos de IA, documente desde já a ponderação em que você baseia o tratamento. A análise caso a caso continuará sendo exigida após a reforma.
- Acompanhe a consulta sobre as diretrizes de multas do EDPB, que abordamos no artigo sobre multa ou advertência do GDPR.
A Sightadel ajuda você a documentar incidentes, avaliações e medidas em um só lugar, com data, e a gerenciar em conjunto as obrigações do GDPR e da NIS2. Saiba mais na página sobre o GDPR e na página sobre a NIS2. Você pode testar a plataforma gratuitamente por 14 dias.
Atualizado em: 5 de novembro de 2026 · Não constitui consultoria jurídica. Vale a norma ou a lei na versão em vigor.
