Rada Evropské unie schválila vyjednávací pozici k balíčku Digital Omnibus, který má zjednodušit některá pravidla evropského digitálního práva. Návrh počítá mimo jiné se zkrácením lhůty, během níž webové stránky nesmějí znovu požádat uživatele o souhlas s cookies poté, co jej odmítl, a s rozšířením výjimek z povinnosti získat souhlas. Změny se však zatím nestaly součástí platného práva.
Čtyři měsíce místo šesti
Jedním z důležitých bodů návrhu Digital Omnibus je změna pravidel pro opakované zobrazování žádostí o souhlas s používáním cookies. Podle vyjednávací pozice Rady EU by webové stránky mohly uživatele znovu požádat o souhlas po uplynutí čtyř měsíců od jeho odmítnutí. Dosavadní návrh Rady přitom počítal se šestiměsíční lhůtou.
Cílem je omezit opakované zobrazování cookie bannerů a snížit administrativní zátěž spojenou se správou souhlasů. Z pohledu provozovatelů webových stránek, vydavatelů a reklamního trhu by kratší lhůta mohla přinést větší flexibilitu při práci se souhlasy uživatelů.
Zkrácení lhůty však neznamená, že by provozovatelé webových stránek mohli ignorovat odmítnutí souhlasu nebo pokračovat ve zpracování údajů, pro které je souhlas nezbytný. Po dobu stanovenou příslušnými pravidly by měli odmítnutí respektovat.
Širší výjimky z povinnosti získat souhlas
Návrh zároveň počítá s rozšířením případů, kdy by bylo možné ukládat informace do zařízení uživatele nebo k nim přistupovat bez jeho souhlasu. Pravidla se mají nadále opírat především o čl. 5 odst. 3 směrnice 2002/58/ES o soukromí a elektronických komunikacích, známé jako směrnice ePrivacy.
Mezi navrhované výjimky patří zejména:
Technicky nezbytné operace potřebné pro přenos elektronické komunikace.
Poskytování služby výslovně požadované uživatelem, včetně zajištění jejích základních funkcí.
Měření návštěvnosti a používání webových stránek, pokud splňuje stanovené podmínky a slouží k vytváření anonymních souhrnných informací.
Měření sledovanosti médií za podmínek stanovených návrhem.
Zajištění technické bezpečnosti služby nebo koncového zařízení.
Měření zobrazení a výkonu kontextové reklamy, tedy reklamy založené na obsahu právě navštěvované stránky, nikoli na sledování uživatele napříč různými weby.
Výjimky mají být podmíněny konkrétním účelem a dodržením ochranných opatření. Například měření návštěvnosti by nemělo sloužit jako záminka k následnému kombinování údajů s informacemi z jiných služeb nebo k jejich využívání pro další, nesouvisející účely.
Z praktického hlediska je důležité rozlišovat mezi měřením kontextové reklamy a behaviorální reklamou. Návrh vytváří prostor pro jednodušší měření výkonu reklamy podle obsahu stránky, avšak nepředstavuje obecnou výjimku pro sledování uživatelů, profilování nebo cílení reklamy na základě jejich chování napříč internetem.
Cookie pravidla zůstávají v režimu směrnice ePrivacy
Rada EU se v návrhu odchýlila od původní koncepce Evropské komise, která počítala s přesunem některých pravidel týkajících se přístupu k informacím v koncových zařízeních do GDPR.
Podle pozice Rady mají pravidla pro ukládání a čtení informací v zařízeních uživatelů nadále vycházet ze směrnice ePrivacy, jejíž ustanovení se uplatňují společně s GDPR.
Tento přístup je významný také z hlediska právní jistoty. Přestože návrh směřuje ke zjednodušení pravidel, zachovává samostatný právní rámec pro cookies a obdobné technologie. Současně předpokládá úpravu některých výjimek a pravidel jejich vymáhání.
Pro provozovatele webových stránek proto nebude rozhodující pouze to, zda konkrétní technologie používá cookies, ale také její účel, rozsah zpracování údajů a splnění podmínek příslušné výjimky.
Digital Omnibus přináší i další změny GDPR
Cookies představují pouze jednu část širšího legislativního balíčku Digital Omnibus. Ten zahrnuje také návrhy změn GDPR, pravidel pro kybernetickou bezpečnost a dalších předpisů upravujících evropské digitální prostředí.
Mezi další diskutované oblasti patří vyjasnění některých aspektů definice osobních údajů, pravidla pro pseudonymizované údaje a změny oznamování případů porušení zabezpečení osobních údajů.
Vyjednávací pozice Rady počítá také s prodloužením lhůty pro oznámení porušení zabezpečení osobních údajů dozorovému úřadu ze současných 72 hodin na 96 hodin, pokud je to proveditelné, a s úpravou prahu rizika, při jehož dosažení vzniká oznamovací povinnost. Jde však o navrhované změny, nikoli o již platné povinnosti.
Balíček má rovněž upravit způsob oznamování kybernetických bezpečnostních incidentů. Rada namísto jednotného evropského vstupního místa navrženého Komisí podporuje vytvoření vnitrostátních kontaktních míst v jednotlivých členských státech, která mají usnadnit plnění oznamovacích povinností podle různých právních předpisů EU.
Co bude následovat?
Dne 21. října 2026 Rada EU schválila svou vyjednávací pozici k balíčku Digital Omnibus. Tím se otevřela cesta k jednání s Evropským parlamentem, který musí nejprve přijmout vlastní pozici.
Následná jednání mohou vést ke změnám návrhu. Konečné znění proto zatím není možné považovat za definitivní a konkrétní parametry nové právní úpravy se mohou ještě změnit.
Do přijetí a použitelnosti příslušných legislativních změn musí správci a provozovatelé webových stránek nadále postupovat podle stávajících pravidel GDPR a směrnice ePrivacy, včetně požadavků na získání platného souhlasu tam, kde je vyžadován.
Závěr
Digital Omnibus představuje další krok v úsilí EU o zjednodušení digitální regulace. Navrhované změny by mohly omezit počet cookie bannerů, usnadnit některé formy měření návštěvnosti a výkonu kontextové reklamy a upravit vybrané povinnosti podle GDPR.
Pro správce osobních údajů, vydavatele a reklamní společnosti bude zásadní sledovat další vývoj legislativního procesu. Především rozšíření výjimek z povinnosti získat souhlas nelze chápat jako obecné oprávnění k používání sledovacích technologií bez souhlasu uživatele. Rozhodující bude konečné znění předpisu a konkrétní podmínky jednotlivých výjimek.
