Por dentro do Digital Omnibus da UE: o que está mesmo a mudar no RGPD, e o que ficou encravado

Durante a maior parte da sua existência, o RGPD foi tratado como um alvo fixo: um conjunto de regras publicado em 2016, aplicável a partir de 2018, e alterado apenas de forma marginal desde então. Isso está agora a mudar — só que não tão linearmente como a Comissão Europeia esperava inicialmente. Em novembro de 2025, a Comissão publicou o pacote Digital Omnibus, propondo o conjunto de alterações mais substancial ao RGPD desde a entrada em vigor do regulamento. Três alterações são as mais relevantes: uma isenção muito mais ampla do dever formal de manter registos, um banner de cookies redesenhado com uma opção de rejeição num único clique, e nova redação a confirmar que o interesse legítimo pode servir de base ao tratamento de dados para IA.

Nada disto é ainda lei e, em agosto de 2026, as três propostas já não avançam ao mesmo ritmo. A isenção de registo tem apoio institucional e é a parte com mais probabilidades de sobreviver intacta. O redesenho do banner de cookies e a clarificação sobre o interesse legítimo aplicado à IA embateram num muro no Conselho em junho de 2026 e foram retirados do texto de trabalho que os Estados-Membros negociavam — não foram eliminados, mas ficaram encravados, com o seu destino agora nas mãos de um Parlamento que só deverá terminar a sua própria posição depois de um estudo de impacto previsto para outubro de 2026. Eis o que está mesmo em cima da mesa, o que está parado, e o que fazer entretanto.

Porque é que a Comissão o faz agora

O Digital Omnibus não surgiu do nada. Desde 2018, uma queixa persistente das empresas — em particular as de média dimensão e em crescimento — é que o peso da conformidade com o RGPD aumenta de forma desigual. Uma empresa com 240 trabalhadores beneficia de isenções significativas às exigências formais de registo; a mesma empresa com 260 trabalhadores já não, apesar de ser apenas marginalmente maior. A Comissão descreveu isto como um problema de "efeito falésia": as empresas embatem numa parede de novas obrigações precisamente no momento em que tentam crescer.

Ao mesmo tempo, a Comissão tem enfrentado pressão vinda de outra direção: queixas de que os banners de consentimento de cookies se tornaram tão manipuladores — concebidos para fazer de "aceitar tudo" o caminho de menor resistência — que deixaram de funcionar como verdadeiros mecanismos de consentimento. E, sobrepondo-se a ambas as preocupações, está a ascensão da IA, que obrigou os reguladores a clarificar como o interesse legítimo, uma das seis bases jurídicas do RGPD para o tratamento de dados, se aplica a uma categoria de tratamento que mal existia quando o regulamento foi redigido.

O Digital Omnibus tenta resolver as três questões ao mesmo tempo. Na prática, são duas propostas de regulamento: um "Digital Omnibus" geral que altera o RGPD, a Diretiva ePrivacy, a NIS2 e o Data Act (por vezes chamado "Data Omnibus" em comentários jurídicos), e um "Digital Omnibus sobre IA" separado, centrado no Regulamento da IA da UE. Esta distinção é importante para o calendário — a parte relativa ao Regulamento da IA já foi aprovada pelo Conselho e pelo Parlamento e entra em vigor com a publicação no Jornal Oficial, prevista para meados de 2026. A parte relativa ao RGPD ainda não, e é o tema deste artigo.

Alargamento da isenção do registo das atividades de tratamento

Segundo as regras atuais do RGPD, o art. 30 exige que a maioria das organizações mantenha registos detalhados das suas atividades de tratamento — que dados pessoais recolhem, porquê, durante quanto tempo os conservam, e que medidas de segurança têm em vigor. O art. 30(5) prevê uma isenção restrita para organizações com menos de 250 trabalhadores, desde que o seu tratamento não preencha determinadas condições de risco, incluindo qualquer tratamento de dados de categorias especiais.

O Digital Omnibus alargaria isto consideravelmente, de duas formas. Primeiro, o limiar de trabalhadores subiria de menos de 250 para menos de 750 — desde que a organização também se mantenha abaixo dos tetos financeiros de 150 milhões de euros de volume de negócios anual ou 129 milhões de euros de balanço total. Um grande número de empresas de média dimensão que atualmente têm de manter a documentação completa exigida pelo art. 30 passaria, ao abrigo do novo limiar, a qualificar-se para o regime mais leve.

Segundo, a proposta altera o que, à partida, exclui uma organização da isenção. Hoje, qualquer tratamento de dados de categorias especiais — informação de saúde, dados biométricos, dados que revelem opiniões políticas ou convicções religiosas — exclui automaticamente uma organização, independentemente do risco real. O Digital Omnibus substituiria essa exclusão generalizada por um critério baseado no risco: a isenção só deixaria de estar disponível quando o tratamento for "suscetível de resultar num elevado risco" para as pessoas — o mesmo limiar que já desencadeia uma avaliação de impacto sobre a proteção de dados (AIPD) nos termos do art. 35.

Vale a pena ser preciso sobre o que isto muda e o que não muda. Reduz o esforço documental; não reduz as obrigações subjacentes relativas à licitude do tratamento, aos direitos dos titulares dos dados, ou à segurança. As organizações abrangidas pela isenção alargada continuarão a ter de realizar uma AIPD sempre que exigido — a avaliação de risco usada para determinar a elegibilidade para a isenção é, em si mesma, um exercício próximo de uma AIPD. Esta é a única parte do Digital Omnibus que tem apoio institucional claro: o Comité Europeu para a Proteção de Dados e a Autoridade Europeia para a Proteção de Dados (EDPS) saudaram a simplificação do registo num parecer conjunto já em julho de 2025, e reafirmaram o seu amplo apoio — ao mesmo tempo que levantaram outras preocupações, nomeadamente sobre a proposta do Omnibus de restringir a definição de dados pessoais — num parecer conjunto mais alargado sobre todo o pacote, publicado em fevereiro de 2026.

O redesenho do banner de cookies — e porque encravou

A segunda vertente do Digital Omnibus aborda uma das características mais criticadas do atual panorama do RGPD. Tal como originalmente proposto, exigiria que os sites permitissem aos utilizadores rejeitar todos os cookies não essenciais num único clique, diretamente na primeira camada do banner, com essa opção de rejeição a ter o mesmo destaque visual que a de aceitar — fechando a brecha há muito conhecida em que "aceitar tudo" é um único botão e "rejeitar" significa navegar até um painel de definições e desmarcar opções uma a uma.

A proposta original ia ainda mais longe: isentava categorias de cookies de baixo risco da necessidade de qualquer banner de consentimento — medição interna de audiências, cookies necessários para prestar um serviço que o utilizador tenha pedido expressamente, cookies de segurança e de prevenção de fraude — e introduzia sinais "automatizados e legíveis por máquina" ao nível do navegador, para que um utilizador pudesse definir as suas preferências de rastreio uma única vez e ver esse sinal respeitado automaticamente pelos sites. Nos casos em que o consentimento continuasse a ser pedido e dado, os sites teriam de respeitar essa escolha durante pelo menos seis meses antes de voltar a perguntar.

No texto de compromisso do Conselho de 10 de junho de 2026, os artigos que continham o botão de rejeição num clique e o mecanismo de sinal ao nível do navegador foram simplesmente eliminados, depois de os embaixadores dos Estados-Membros não terem chegado a acordo sobre eles dois dias antes. Mesmo esse compromisso reduzido não obteve a maioria qualificada de que necessitava e foi retirado da aprovação formal no final de junho.

Isso não significa que o design dos banners de cookies seja agora terreno livre. Independentemente do Digital Omnibus, a orientação de aplicação do RGPD já em vigor trata um botão de "aceitar tudo" mais fácil de encontrar ou de clicar do que "rejeitar" como um padrão sombrio (dark pattern) — uma falha de conceção que os reguladores já perseguem ao abrigo das regras atuais, com ou sem o Omnibus. O que está de facto parado em Bruxelas é o mecanismo específico (clique único, sinais ao nível do navegador, as isenções de baixo risco) — não a expectativa subjacente de que rejeitar tem de ser tão fácil, na prática, como aceitar.

Interesse legítimo e tratamento de IA — também parado

O terceiro elemento aborda uma das questões mais controversas da prática atual de proteção de dados: pode o interesse legítimo, enquanto base jurídica ao abrigo do art. 6, servir de fundamento ao tratamento de dados pessoais para treinar ou operar sistemas de IA? Hoje, as organizações que recorrem ao interesse legítimo para o tratamento de dados para IA operam com um certo grau de ambiguidade — realizando os seus próprios testes de ponderação sem que o RGPD tenha redação explícita a confirmar que essa abordagem é válida.

O Digital Omnibus, tal como originalmente redigido, teria acrescentado redação a reconhecer explicitamente que o interesse legítimo pode servir de base ao tratamento de dados para IA — de forma condicional, não incondicional. As salvaguardas já existentes que tornam o interesse legítimo válido em qualquer contexto — necessidade, proporcionalidade, um verdadeiro teste de ponderação face aos direitos das pessoas, transparência, e um direito de oposição incondicional — teriam de continuar genuinamente intactas. Foi apresentado como uma clarificação do âmbito, não como um alívio do critério.

Essa redação clarificadora foi uma das disposições retiradas juntamente com os artigos sobre cookies no texto de compromisso do Conselho de junho de 2026. O efeito prático, para já: as organizações continuam sem uma disposição explícita do RGPD a confirmar que o interesse legítimo cobre o tratamento de dados para IA. A posição jurídica subjacente não mudou — o art. 6(1)(f) já se aplica se o teste de ponderação for genuinamente feito e documentado — mas a confirmação regulatória tão desejada não está mais próxima do que estava em novembro de 2025.

Onde as coisas realmente estão, por ordem

1. Novembro de 2025 — A Comissão Europeia publica a proposta do Digital Omnibus, abrangendo o RGPD, a ePrivacy, a NIS2 e o Data Act.
2. Fevereiro de 2026 — O CEPD e o EDPS emitem o seu parecer conjunto sobre o pacote completo: globalmente favoráveis à simplificação do registo, embora levantando preocupações noutros pontos, incluindo a proposta de definição mais restrita de dados pessoais.
3. 8–10 de junho de 2026 — Os embaixadores do Conselho não chegam a acordo sobre as disposições relativas ao consentimento de cookies e ao interesse legítimo para IA; o texto de compromisso da presidência elimina esses artigos por completo.
4. Final de junho de 2026 — Mesmo o texto de compromisso reduzido é retirado da aprovação formal do Conselho, por não reunir maioria qualificada.
5. Agora (agosto de 2026) — O Parlamento Europeu ainda está a finalizar a sua própria posição, com um estudo de impacto previsto para outubro de 2026. Não se espera a adoção final da parte do pacote relativa ao RGPD antes do final de 2026, na melhor das hipóteses — o que significa que a implementação real será, mais plausivelmente, uma história de 2027, podendo prolongar-se ainda mais consoante o que o Parlamento e o Conselho ainda tiverem de conciliar.

Entretanto, a parte do pacote Digital Omnibus relativa ao Regulamento da IA — uma proposta separada, sem relação com a questão do interesse legítimo acima referida — já foi aprovada tanto pelo Conselho como pelo Parlamento, e entra em vigor com a publicação no Jornal Oficial. É fácil confundir as duas metades do Digital Omnibus; só uma delas, de facto, já chegou a bom porto.

Preparar-se agora para regras que ainda não são finais

Essa incerteza não é motivo para esperar, mas é motivo para ser seletivo sobre onde investe esforço.

1. Acompanhe o limiar do RoPA, mas não aja ainda com base nele. Se a sua organização se situar entre os 250 e os 750 trabalhadores, a isenção alargada pode alterar de forma significativa a sua carga de conformidade — mas o limiar, e os tetos financeiros a ele associados, continuam sujeitos a negociação. Saiba onde se posicionaria, e mantenha os seus registos atuais nos termos do art. 30 devidamente organizados até o texto final estar fechado.
2. Não redesenhe o seu banner de cookies em torno de um mecanismo que está atualmente eliminado do texto de negociação. Construir um fluxo de rejeição num único clique em torno de um artigo específico sobre o qual os membros do Conselho não conseguiram chegar a acordo em junho é prematuro. O que não é prematuro: garantir que a sua opção de "rejeitar" atual é, na prática, tão fácil de encontrar e de clicar como a de "aceitar" — essa é uma expectativa de aplicação do RGPD já hoje, independentemente do Omnibus.
3. Continue a documentar os seus testes de ponderação do interesse legítimo para o tratamento de dados para IA como se a clarificação não fosse chegar tão cedo — porque, para já, não vai chegar. As salvaguardas (necessidade, proporcionalidade, uma avaliação de ponderação real, transparência, o direito de oposição) são o que torna o interesse legítimo defensável hoje, com ou sem uma disposição explícita sobre IA no texto.
4. Reavalie a situação em outubro de 2026, quando o estudo de impacto do Parlamento estiver previsto e a sua própria posição negocial começar a ganhar forma. É o próximo momento em que o contorno do texto final — e não já a proposta de novembro de 2025 — se torna mais claro.

Em resumo

O Digital Omnibus continua a ser uma tentativa genuína de resolver três problemas reais do RGPD tal como este funciona atualmente — mas, em agosto de 2026, avança a três velocidades diferentes. A simplificação do registo tem o apoio do CEPD e do EDPS, e é a parte com mais probabilidades de se tornar lei próxima da sua forma atual. O redesenho do banner de cookies e a clarificação sobre o interesse legítimo para IA estão ambos parados, retirados do texto de trabalho do Conselho depois de os Estados-Membros não terem chegado a acordo, sem que se espere a posição do Parlamento antes de outubro. Trate a isenção do RoPA como algo a acompanhar de perto, e trate as outras duas como ruído de fundo até existir um texto a que valha realmente a pena reagir.

Marque uma consulta gratuita com a GDPRGard →

Fontes

• EDPB — Digital Omnibus: EDPB and EDPS support simplification and competitiveness while raising key concerns (Feb 2026)
• EDPB — Targeted modifications of the GDPR: record-keeping simplification (July 2025)
• Noerr — Proposal for simplification of GDPR record-keeping for organisations under 750 employees
• Secure Privacy — What Article 88a Changes for Cookie Consent (2026)
• Addleshaw Goddard — EU Digital Omnibus on AI: Council and Parliament agreed positions

Leia também:

• RGPD em 2026: coimas recorde, uma reforma em curso, e o que fazer agora
• Os 5 erros mais comuns nos banners de cookies — e como corrigi-los
• A desculpa “era público” acabou: o RGPD agora cobre formalmente os dados de treino da IA