"Digital Omnibus" – novi prijedlog Europske komisije koji najavljuje tektonske promjene

19. studenoga 2025. Europska komisija službeno je predstavila svoj „Digital Omnibus“ paket¹, odnosno Prijedlog za sveobuhvatnu digitalnu uredbu koja ima za cilj sveobuhvatno ažurirati digitalni regulatorni okvir EU-a. Ukratko, „Digital omnibus“ mogao bi biti pravi gamechanger uvodeći značajne promjene u obvezama zaštite osobnih podataka, pravilima o kolačićima koji neumoljivo iskaču prilikom svakog posjeta web stranicama (sve dok ih konačno ne prihvatite), propisima o kibernetičkoj sigurnosti i u pogledu uređenja umjetne inteligencije, koja je tek nedavno regulirana po prvi put u povijesti EU-a Uredbom o umjetnoj inteligenciji (a evo, sad će se uskoro, kako stvari stoje, već i mijenjati).

Dakle, paket „Digital omnibus“ sastoji se od dva predložena propisa: (i) Uredbe digitalni omnibus, koja bi, između ostalim, izmijenila Opću uredbu o zaštiti podataka (GDPR)², Direktivu o privatnosti i elektroničkim komunikacijama (ePrivacy)³, Direktivu NIS2⁴ i Akt o podacima⁵; te (ii) zaseban Digitalni omnibus o umjetnoj inteligenciji koji bi izmijenio Uredbu o umjetnoj inteligenciji⁶. U nastavku pročitajte najvažnije informacije.

Zašto?

Sve je započelo s izvješćem Marija Draghija⁷ o budućnosti EU konkurentnosti, kojeg je Europska komisija postavila kao posebnog izvjestitelja za tu temu, jednako kao što je ranije o drugim temama izvješće dao Enrico Letta o jedinstvenom europskom tržištu ili Noyer o uniji tržišnog kapitala. Mario Draghi u svom je izvješću koje je objavljeno u rujnu 2024. upozorio kako EU zaostaje u ključnim tehnologijama, kako nema dovoljno brzog rasta mladih tech kompanija, a da fragmentiranost i složenost postojećeg pravnog okvira ima značajan (negativan) utjecaj na EU konkurentnost.

Europska komisija ozbiljno je shvatila kritike iz Draghijevog izvješća te je rezultat toga Digital Omnibus paket koji ima za cilj pretvoriti regulatornu usklađenost u konkurentnu prednost na globalnoj razini. Valja naglasiti da su najavljene promjene zaista značajne i da sigurno možemo očekivati kako će upravo „Digital Omnibus“ biti uskoro tema o kojoj će svi u svijetu tehnologije pričati.

Koje su promjene na vidiku?

- Revidirana definicija osobnih podataka

Jedna od najkomentiranijih prijedloga promjene odnosi se bez sumnje na promjene u Općoj uredbi o zaštiti osobnih podataka, poznatijoj kao GDPR (eng. General Data Protection Regulation). Naime, „Digital Omnibus“ predlaže redefiniranje pojma „osobnih podataka” tako da isključuje informacije za koje subjekt koji njima raspolaže nema „sredstva koja se razumno mogu upotrijebiti” za identifikaciju pojedinca. U skladu s presudom Suda Europske unije (SEU) u predmetu EDPS vs. SRB (C-413/23)⁸, informacija se ne bi smatrala osobnim podatkom za taj subjekt – te bi time bila izuzeta iz područja primjene GDPR-a – ako je identifikacija zakonski zabranjena ili bi zahtijevala nerazmjeran napor.

Prijedlog također predlaže EU Komisiju kao nadležno tijelo za donošenje provedbenih akata kojima bi se pojašnjavalo u kojim se slučajevima pseudonimizirani podaci ipak ne smatraju osobnim podacima, za određene subjekte.

- Mogućnosti za razvoj i primjenu AI sustava

Predlažu se dvije ključne izmjene GDPR-a radi pojašnjenja pravila o obradi osobnih podataka u svrhu razvoja i primjene sustava umjetne inteligencije. „Digital Omnibus“ predlaže izričito priznati takvu obradu kao „legitiman interes” prema GDPR-u. No voditelji obrade bi i dalje morali dokazati nužnost i proporcionalnost obrade te primijeniti odgovarajuće zaštitne mjere, uključujući minimiziranje korištenih podataka za treniranje AI modela i osiguranje bezuvjetnog prava ispitanika na prigovor obradi osobnih podataka. Nadalje, predlaže se i uvođenje iznimke od zabrane obrade „posebnih kategorija osobnih podataka” u slučajevima kada skup podataka sadržava preostale osjetljive podatke, pod uvjetom da su primijenjene tehničke mjere za njihovo minimiziranje i uklanjanje.

- Jasnije odredbe o „znanstvenim istraživanjima”

Pojam „znanstveno istraživanje” bio bi široko definiran kao „svako istraživanje koje može poduprijeti inovacije, kao što su tehnološki razvoj i prikazivanje”⁹. Takvo istraživanje može „ciljati na komercijalni interes”, ali mora doprinositi postojećem znanstvenom znanju, širiti opću društvenu dobrobit te poštovati etičke standarde u dotičnom području. Nadalje, dodatna obrada u znanstvene svrhe smatrala bi se kompatibilnom s prvotnom svrhom obrade, a znanstveno istraživanje priznalo bi se kao legitiman interes. Time su trenutne postavke za GDPR usklađeno provođenje znanstvenih istraživanja značajno promijenjene, olakšavajući obradu osobnih podataka u znanstvene svrhe, ali i slabeći jedno od temeljnih načela GDPR-a, a to je načelo ograničenja svrhe.

- Proširene iznimke od prava ispitanika

Prijedlog proširuje postojeće iznimke u vezi s obvezama transparentnosti, osobito kada se obrada provodi u znanstvene svrhe. Također precizira okolnosti u kojima voditelji obrade mogu odbiti zahtjev za pristup prema članku 15. GDPR-a ili naplatiti razumnu naknadu, primjerice kada ispitanik „zloupotrebljava prava dodijeljena ovom Uredbom u druge svrhe osim zaštite svojih podataka”.

- Ažurirana pravila o kolačićima

„Digital Omnibus“ predlaže riješiti tzv. consent fatigue, odnosno problem napornih ishođenja privola i čestih pop-up prozora o kolačićima uvodeći fleksibilniji i usklađeniji pristup pravilima praćenja na internetu. Između ostalog, prijedlog bi dopustio pohranu osobnih podataka ili pristup njima bez privole korisnika u određenim slučajevima, primjerice, kada je nužno mjerenje publike ili osiguravanje sigurnosti sustava. U budućnosti se predviđa uvođenje mehanizama za univerzalne postavke privatnosti koji bi korisnicima omogućili da jednom izraze privolu ili isključe praćenje za sve internetske stranice i aplikacije.

Za tehničke specifikacije bili bi zaduženi relevantni standardizacijski subjekti, a pružatelji preglednika, operacijskih sustava i trgovina aplikacija morali bi podržavati te postavke. Operatori internetskih stranica i aplikacija morali bi ih provesti u roku od šest mjeseci od stupanja na snagu.

- Jedinstveni EU portal za prijavu povreda podataka

Kako sada stvari stoje, u slučaju incidenta, kibernetičkog napada ili povrede osobnih podataka, potrebno je ispuniti čitav niz obveza prijavljivanja takvog nepoželjnog događaja i to na niz različitih adresa. Komisija planira uspostaviti centralni EU portal za prijavu povreda podataka, prema modelu „jednom prijavi – široko dijeli”¹⁰, radi pojednostavljenja obveza prema GDPR-u, Direktivi NIS2, Uredbi o digitalnoj operativnoj otpornosti (DORA), Direktivi o otpornosti kritičnih entiteta i nadolazećem Aktu o kibernetičkoj otpornosti. Preklapajuće obveze izvješćivanja prema Direktivi o e-privatnosti za pružatelje komunikacijskih usluga bile bi ukinute. Voditelji obrade morali bi prijavljivati samo povrede koje predstavljaju visok rizik za ispitanike, a rok za prijavu bio bi produljen na 96 sati (u odnosu na sadašnjih 72 sata). Europski odbor za zaštitu podataka (EDPB) izradio bi standardizirani obrazac za prijavu, koji bi Komisija usvojila provedbenim aktom.

- Usklađene smjernice i predložak za procjenu učinka na zaštitu podataka (DPIA)

Prema prijedlogu, Europski odbor za zaštitu podataka (EDPB) bio bi nadležan za izradu EU popisa aktivnosti obrade koje zahtijevaju, odnosno ne zahtijevaju procjenu učinka na zaštitu osobnih podataka (eng. data protection impact assessment - DPIA), čime bi se zamijenili nacionalni popisi. Također bi razvio standardizirani predložak i metodologiju za provedbu DPIA, koje bi Komisija mogla usvojiti provedbenim aktom. Popisi i metodologija redovito bi se ažurirali, najmanje svake tri godine.

- EU digitalni poslovni novčanik

Zajedno s „Digitalnim Omnibusom“, Komisija usporedno radi na prijedlogu Uredbe o europskim poslovnim novčanicima. Ideja iza poslovnih novčanika je pojednostaviti usklađivanje s regulatornim okvirom i smanjiti administrativna opterećenja za poduzeća, na način da djeluju kao jedinstvena platforma za pojednostavljenu interakciju diljem EU-a. Implementacijom jedinstvenog i trajnog identifikatora koji će djelovati kao digitalni poslovni novčanik, poduzeća će biti ovlaštena digitalno provjeravati identitete, potpisivati dokumente, dodavati vremenske pečate i besprijekorno razmjenjivati provjerene digitalne informacije preko granica korištenjem jedinstvenog rješenja. Usvajanjem europskih poslovnih novčanika, poduzeća, posebno mala i srednja poduzeća, moći će se s lakoćom snalaziti u usklađivanju, oslobađajući vitalne resurse koji se mogu preusmjeriti prema rastu i inovacijama.

Kada će promjene stupiti na snagu?

„Digital Omnibus“ tek je prijedlog EU Komisije koji će se razmatrati sukladno redovitom  zakonodavnom postupku u Europskom parlamentu i Vijeću. Konačni tekst ovisit će o njihovoj ocjeni i izmjenama tijekom zakonodavnog procesa, a okvirna procjena EU Komisije je da će promjene efektivno ugledati svjetlo dana krajem 2027. godine.

No ono što je sigurno jest da će prigovori u samom tijeku zakonodavnog postupka biti brojni, kao i zahtjevi za izmjenu. Iako je ideja EU Komisije srezati administrativne troškove u digitalnom sektoru, i to za cca 2,4 milijarde EUR, mnogi su skeptični prema novom prijedlogu ističući kako će inicijalna adaptacija poduzećima donijeti nove troškove, a bez jasnih praktičnih olakšica koje su zazivali svih ovih godina. Osim toga, najavljena promjena definicije „osobnih podataka“ u smislu GDPR-a u startu je problematična zbog moguće posljedice višeslojne klasifikacije i neujednačenih interpretacija od strane voditelja obrade osobnih podataka čija će subjektivna ocjena biti od presudne važnosti. Na kraju, bit će zanimljivo pratiti kako će EU Komisija odgovoriti na kritike da se privatnost u online svijetu koja je trenutno regulirana Direktivom 2002/58/EZ o privatnosti i elektroničkim komunikacijama gubi u prijedlogu „Digital Omnibus“ i de facto izjednačuje s etabliranim pravom na zaštitu osobnih podataka, a koje je regulirano GDPR-om.

U svakom slučaju, prijedlog „Digital Omnibus“ ima potencijal donijeti tektonske promjene u digitalnom tržištu mijenjajući regulatorni okvir kakvog poznajemo, nada(j)m(o) se za dobrobit tog tržišta, a ne tek kao nastavak superregulacije bez efektivnih promjena s praktičnom vrijednosti.

Natalija Babić, LL.M., odvjetnica