Digital Omnibus: Conselho da UE define a sua posição

Os Estados-Membros da UE já decidiram quais as alterações que pretendem introduzir na proposta de Regulamento Digital Omnibus. No passado dia 21 de outubro de 2026, os seus embaixadores, reunidos no Comité de Representantes Permanentes (Coreper), aprovaram a posição comum do Conselho, o chamado “mandato de negociação”. O texto foi divulgado a 22 de outubro como documento 14756/26 (PDF).

O mandato reflete a posição que o Conselho defenderá nas negociações com o Parlamento Europeu, nas quais também participa a Comissão: os chamados “trílogos”. O objetivo destas negociações é chegar a acordo sobre um texto final, que deverá posteriormente ser aprovado formalmente pelo Parlamento e pelo Conselho. O Parlamento ainda não definiu a sua posição; quando o fizer, os trílogos poderão ter início.

O Digital Omnibus é uma proposta de regulamento que foi apresentada pela Comissão em 19 de novembro de 2025 (COM(2025) 837) como um “primeiro passo” para simplificar a legislação digital europeia. Não deve ser confundido com o Regulamento Omnibus Digital em matéria de IA, que já foi aprovado em julho de 2026 e que tem por objetivo alterar alguns aspetos do Regulamento de IA.

A proposta original da Comissão previa a introdução de alterações num grande número de normas: o RGPD, o Regulamento (UE) 2018/1725, a Diretiva ePrivacy, o Regulamento dos Dados (Data Act), a NIS2, a DORA, o eIDAS e a Diretiva CER. Propunha igualmente integrar no Regulamento dos Dados (Data Act) o Regulamento da Governação dos Dados (Data Governance Act), a Diretiva relativa aos dados abertos e o Regulamento relativo à livre circulação de dados não pessoais, bem como revogar o Regulamento P2B (Regulamento (UE) 2019/1150), por considerar que o seu conteúdo já está, em grande medida, abrangido pela DSA e pela DMA.

O Conselho recusa alterar a definição de dados pessoais

A alteração mais controversa da proposta da Comissão consistia em alterar a definição de dados pessoais (artigo 4.º, n.º 1, do RGPD) para indicar que “[a] informação não será considerada pessoal para uma determinada entidade quando essa entidade não puder identificar a pessoa singular a quem a informação se refere, tendo em conta os meios que possam razoavelmente ser utilizados por essa entidade. Essas informações não se tornam pessoais para essa entidade pelo simples facto de um eventual destinatário posterior dispor de meios que possam razoavelmente ser utilizados para identificar a pessoa singular a quem as informações se referem". Esta noção relativa ou subjetiva de dados pessoais era acompanhada da competência da Comissão para determinar, através de atos de execução, em que momento os dados pseudonimizados deixam de ser pessoais.

O Conselho rejeita a alteração da definição de dados pessoais. Isso não significa que ignore a jurisprudência do TJUE na qual a Comissão baseava a sua proposta. O que faz é transferir a questão para uma regra específica sobre pseudonimização, o novo artigo 25.º, alínea a) que a versão do Conselho propõe introduzir no RGPD e que estabelece o seguinte:

• os dados pseudonimizados não serão considerados dados pessoais para um terceiro que não consiga identificar o titular dos dados;
• se esse terceiro os transmitir a outro que disponha ou possa obter meios razoavelmente prováveis de identificação, tanto a transmissão como o tratamento subsequente constituem tratamento de dados pessoais (trata-se de uma alteração muito relevante em relação ao proposto pela Comissão, que, como vimos, considerava que os dados não passavam a ser dados pessoais para o transmissor);
• para o subcontratante que trata dados pessoais por conta do responsável pelo tratamento, esses dados são sempre dados pessoais;
• para determinar a identificabilidade de uma pessoa singular, mesmo a partir de dados pessoais que tenham sido pseudonimizados, devem ser tidos em conta todos os meios que seja razoavelmente provável que sejam utilizados para identificar essa pessoa, direta ou indiretamente.

O considerando 27-B da versão do Conselho especifica que, para o responsável pelo tratamento que pseudonimiza os dados, o titular dos dados continua a ser identificável. Por outro lado, em vez de atos de execução da Comissão, o Conselho propõe que seja o Comité Europeu para a Proteção de Dados (CEPD) a emitir um parecer sobre a pseudonimização e a anonimização, após consulta pública (considerando 27-C).

Outros pontos-chave da posição do Conselho

Para além de rejeitar a alteração da definição de “dados pessoais”, o Conselho introduz outras alterações, das quais se destacam as seguintes:

• Cookies e terminais: A Comissão propunha transferir para o RGPD a regulamentação relativa aos cookies e ao acesso à informação armazenada nos dispositivos dos utilizadores. O Conselho rejeita essa transferência e mantém esta matéria no artigo 5.º, n.º 3, da Diretiva 2002/58/CE (Diretiva ePrivacy), embora altere o seu conteúdo. Deste modo, alarga a lista de casos em que não é necessário o consentimento: inclui a medição de audiências dos meios de comunicação social, em conformidade com o artigo 24.º do Regulamento (UE) 2024/1083, e a medição da publicidade contextual, ambas com pseudonimização dos dados. Se o utilizador recusar os cookies, não lhe poderá ser solicitado novamente o consentimento durante quatro meses (a Comissão propunha seis).
• Sinais automatizados do navegador: A Comissão propunha obrigar os responsáveis a respeitar as preferências de privacidade expressas por meios automatizados e legíveis por máquina, por exemplo, através das definições do navegador. Além disso, pretendia exigir que os fornecedores de navegadores oferecessem essa possibilidade. O Conselho suprime ambas as obrigações.
• Interesse legítimo na utilização de dados pessoais na IA: A Comissão propunha incluir no RGPD uma regra que permitisse expressamente basear o tratamento de dados no interesse legítimo, com vista ao desenvolvimento e funcionamento de sistemas e modelos de IA. Em contrapartida, exigia garantias como a minimização dos dados, uma maior transparência e, sobretudo, um direito de oposição incondicional: bastava que o titular dos dados se opusesse para que o tratamento tivesse de cessar. O Conselho mantém a menção expressa de que este tratamento pode basear-se no interesse legítimo do responsável pelo tratamento ou de um terceiro, nos termos do artigo 6.º, n.º 1, alínea f) do RGPD, mas altera um ponto essencial. Em vez de um direito de oposição específico e incondicional, remete para o direito de oposição geral previsto no artigo 21.º do RGPD. Esse direito não é absoluto: o responsável pelo tratamento pode continuar a tratar os dados se apresentar razões imperiosas e legítimas para esse tratamento que prevaleçam sobre os interesses, direitos e liberdades do titular dos dados. O Conselho recorda ainda que o responsável pelo tratamento continua obrigado a escolher, em cada caso, a base jurídica adequada e que, independentemente dessa base, se aplicam as garantias técnicas e organizativas do RGPD. O considerando 33.º, alínea a) da versão do Conselho esclarece que o desenvolvimento de IA não constitui, por si só, um interesse legítimo e que tal terá de ser avaliado caso a caso. Por último, a exceção que permite o tratamento de dados sensíveis neste contexto limita-se aos dados residuais que surgem de forma incidental e que o responsável pelo tratamento não tencionava tratar.
• Direitos dos titulares dos dados: Para considerar abusivo um pedido de acesso, o responsável pelo tratamento deverá demonstrar uma "intenção abusiva” e comunicar ao titular dos dados os motivos da recusa. A isenção do dever de informação previsto no artigo 13.º não se aplica a tratamentos complexos, a grandes volumes de dados nem aos dados referidos nos artigos 9.º e 10.º. O artigo 22.º é reformulado como o direito a não ser objeto de decisões automatizadas.
• Violações e AIPD: Mantêm-se o prazo de 96 horas e o limiar de “alto risco” para notificar a autoridade de controlo, tal como previsto na proposta da Comissão. No entanto, o Conselho atribui maior peso à CEPD: será esta que aprovará diretamente as listas de violações de alto risco (e das que não o são) e as listas de tratamentos que requerem ou não uma Avaliação de Impacto sobre a Proteção de Dados (AIPD), em vez de a Comissão o fazer através de atos de execução.
• Notificação de incidentes: O ponto único europeu gerido pela ENISA é substituído por pontos de entrada nacionais (novo artigo 23.º, alínea B da NIS2). A ENISA manterá apenas um ponto informativo que não receberá notificações, e o prazo para que o sistema comece a ser aplicado é alargado para 30 meses.
• Data Act e segredos comerciais: O Conselho reforça o chamado "travão de mão”, que permite ao detentor dos dados recusar-se a partilhá-los. Já não exige que se trate de “circunstâncias excecionais” nem de uma avaliação “caso a caso”, bastando um risco “significativo” — e não “elevado” — de que os segredos comerciais cheguem a países terceiros. Além disso, presta especial atenção ao know-how industrial nos sectores críticos do anexo I da NIS2 e em alguns do anexo II. Os detentores dos dados já tinham de notificar as suas recusas à autoridade competente; agora terão de o fazer a cada três meses. A Comissão publicará orientações sobre a forma de aplicar esta exceção. 
• Plataformas (Regulamento P2B): Ao contrário do que a Comissão propunha, a posição do Conselho não revoga o Regulamento (UE) 2019/1150 relativo à promoção da equidade e da transparência para os utilizadores profissionais de serviços de intermediação em linha, conhecido como Regulamento “Platform to Business” ou P2B. Na versão do Conselho, apenas são suprimidas algumas das suas disposições, mantendo-se, entre outras, as relativas às condições gerais, à classificação, ao tratamento diferenciado e ao tratamento de reclamações.

Próximos passos

O próximo passo é o Parlamento definir a sua posição. A partir desse momento, iniciar-se-ão as reuniões tripartidas, nas quais o Conselho e o Parlamento Europeu negociarão com base nas suas respetivas posições, com a Comissão a desempenhar o papel de mediadora, até se chegar a um acordo. Prevê-se que os pontos de maior tensão sejam a definição de dados pessoais e a pseudonimização, o interesse legítimo no âmbito da IA, o regime dos cookies e o modelo de notificação de incidentes.