Em 21 de outubro de 2026, o Comité de Representantes Permanentes dos Estados-Membros da UE fixou a posição negocial do Conselho sobre o Digital Omnibus. O pacote visa simplificar o RGPD, as regras sobre cookies da Diretiva ePrivacy e os canais de notificação de incidentes de segurança. Ainda nada disto é direito em vigor: primeiro, o Parlamento Europeu tem de definir a sua posição e, depois, seguem-se as negociações entre Conselho, Parlamento e Comissão. Ainda assim, vale a pena as empresas acompanharem o tema, pois já se percebe em que direção evoluem as obrigações de notificação e a documentação.
Em que consiste o Digital Omnibus
A Comissão Europeia apresentou o Digital Omnibus em novembro de 2025. Integra o seu programa de simplificação da legislação da UE e agrega alterações a vários atos legislativos. A parte relativa à inteligência artificial já foi aprovada e adiou os prazos do EU AI Act. A parte relativa aos dados e à proteção de dados é politicamente mais controversa e, por isso, surge mais tarde.
O Conselho não acompanha a Comissão em todos os pontos. Nalgumas propostas trava, noutras acrescenta salvaguardas.
O conceito de dados pessoais mantém-se
A Comissão pretendia alterar a definição do artigo 4.º, n.º 1, do RGPD, de modo que os dados não fossem pessoais para um destinatário que não consiga identificar a pessoa. O Conselho rejeita esta alteração e mantém a definição atual. Em alternativa, uma disposição própria sobre pseudonimização deverá regular quando terceiros sem acesso à chave podem tratar dados pseudonimizados de forma diferente. Segundo a posição do Conselho, os subcontratantes tratam sempre dados pessoais. Na prática, isto significa que os contratos ao abrigo do artigo 28.º do RGPD e as respetivas obrigações se mantêm inalterados.
Violações de dados: limiar mais alto, prazo mais longo
A alteração provavelmente mais sensível diz respeito ao artigo 33.º do RGPD. Segundo a posição do Conselho, os responsáveis pelo tratamento só terão de notificar uma violação de dados à autoridade de controlo se esta for suscetível de resultar num risco elevado para os titulares. É o mesmo limiar que já hoje se aplica à comunicação aos titulares. O prazo de notificação deverá passar de 72 para 96 horas.
Mantém-se a obrigação de documentar internamente todas as violações de dados, mesmo que não sejam notificadas. Quem hoje não mantém um registo rigoroso de incidentes de proteção de dados pouco ganha, portanto, com a reforma.
Canais de notificação de incidentes de segurança
A Comissão tinha proposto um ponto de contacto único a nível da UE, através do qual as empresas notificariam incidentes ao abrigo de vários atos legislativos, como o RGPD e a NIS2. O Conselho prefere um ponto de contacto nacional em cada Estado-Membro, complementado por um ponto de informação a nível da UE e por regras uniformes para notificações transfronteiriças. Para as entidades abrangidas pela NIS2, isto poderá significar, a longo prazo, um canal de notificação comum. Até lá, continuam a aplicar-se as obrigações separadas perante o BSI e a autoridade de proteção de dados.
Outros pontos da posição do Conselho
- Avaliação de impacto sobre a proteção de dados: O Comité Europeu para a Proteção de Dados deverá publicar listas uniformes a nível da UE sobre os tratamentos que exigem, ou não, uma avaliação de impacto. Até lá, continuam a aplicar-se as listas nacionais.
- Pedidos de acesso: Os responsáveis pelo tratamento poderão recusar pedidos abusivos ou cobrar uma taxa, desde que consigam demonstrar a intenção abusiva. O ónus da prova recai sobre eles.
- Deveres de informação: Deverá aplicar-se uma nova exceção quando os titulares já conheçam o responsável e a finalidade e o tratamento não implique um risco elevado. Não se aplica a dados sensíveis.
- Inteligência artificial: O desenvolvimento e a operação de sistemas de IA poderão basear-se no interesse legítimo, mas apenas após análise caso a caso. Os dados sensíveis que entrem involuntariamente nos dados de treino deverão ser apagados ou isolados.
- Cookies: As regras mantêm-se na Diretiva ePrivacy. Para determinadas finalidades, como a prestação de um serviço, a medição de audiências ou a segurança do equipamento terminal, deixará de ser necessário consentimento.
Próximos passos
O Parlamento ainda não aprovou a sua posição. Segundo os observadores, não se espera uma votação na comissão competente antes do início de 2027. Só depois começam as negociações de trílogo, nas quais todos os pontos ainda podem mudar. Até a um acordo e à sua publicação no Jornal Oficial, o RGPD e a Diretiva ePrivacy aplicam-se sem alterações. O prazo de 72 horas para notificações continua, portanto, a ser o determinante até nova indicação.
O que isto significa para a sua organização
Não é necessário alterar nada hoje. A posição do Conselho mostra, contudo, onde o esforço poderá deslocar-se, e alguns preparativos compensam independentemente do desfecho:
- Mantenha um registo completo de todos os incidentes de proteção de dados com a respetiva avaliação de risco. Esta obrigação mantém-se em qualquer caso, e um limiar de notificação mais alto pressupõe uma avaliação rastreável.
- Continue a planear com 72 horas. Ajuste o seu processo de notificação apenas quando um novo prazo estiver efetivamente em vigor.
- Verifique onde as notificações ao abrigo do RGPD e da NIS2 se sobrepõem e defina quem informa que autoridade em caso de incidente.
- Nos projetos de IA, documente desde já a ponderação em que baseia o tratamento. Uma análise caso a caso continuará a ser exigida após a reforma.
- Acompanhe a consulta sobre as diretrizes do EDPB relativas a coimas, que abordámos no artigo sobre coima ou advertência ao abrigo do RGPD.
A Sightadel ajuda a documentar incidentes, avaliações e medidas num único local, com data, e a gerir em conjunto as obrigações do RGPD e da NIS2. Saiba mais na página sobre o RGPD e na página sobre a NIS2. Pode experimentar a plataforma gratuitamente durante 14 dias.
Situação em: 5 de novembro de 2026 · Não constitui aconselhamento jurídico. Prevalece a norma ou a lei na versão em vigor.
