Krótko: Rada UE w końcu ma stanowisko. 21 października 2026 ambasadorowie państw UE zebrani jako Coreper uzgodnili mandat negocjacyjny Rady w sprawie Digital Omnibus, po dwóch nieudanych próbach 7 i 11 października. Ale przyjęty mandat to nie to, czego spodziewała się większość obserwatorów. Zgoda na cookies zostaje w dyrektywie ePrivacy, plan Komisji Europejskiej, żeby przenieść ją do RODO, nie przetrwał negocjacji. Poniżej co faktycznie się zmieniło i dlaczego nagłówek "osiągnięto porozumienie" nie oznacza, że na Waszej stronie trzeba już cokolwiek zmieniać.

Co uzgodniono 21 października

Rada UE uzgodniła stanowisko negocjacyjne w sprawie pakietu Digital Omnibus, obejmującego uproszczenie RODO, Data Act, zgłaszanie incydentów cybernetycznych oraz zmiany w zasadach zgody na cookies. Poprzedzały to: głosowanie Coreper odłożone 7 października pod presją Niemiec i Francji w sprawie ochrony tajemnic przedsiębiorstwa w Data Act, oraz druga próba 11 października, gdy tekstu w ogóle nie poddano pod dyskusję. Mandat przyjęty ostatecznie 21 października zachowuje te same zabezpieczenia tajemnic handlowych, które blokowały wcześniejsze głosowania.

To stanowisko negocjacyjne Rady, nie przyjęte prawo. Kolejny krok to Parlament Europejski, który nie przyjął jeszcze własnego stanowiska w tej części pakietu Digital Omnibus (osobna część dotycząca aktu o sztucznej inteligencji w tym samym pakiecie zakończyła już swój proces wcześniej w 2026 roku). Dopiero gdy Parlament będzie miał stanowisko, może zacząć się trilog między Radą, Parlamentem i Komisją.

Zaskoczenie strukturalne: cookies zostają w ePrivacy, nie trafiają do RODO

Pierwotny projekt Komisji, opublikowany 19 listopada 2025 jako COM(2025) 837, chciał przenieść zasady zgody na dostęp do urządzenia z dyrektywy ePrivacy do dwóch nowych artykułów RODO, 88a i 88b. Ten kierunek nie przetrwał negocjacji. W tekście prezydencji irlandzkiej z 3 września 2026 artykuł 88a odpadł, a zasady wróciły do artykułu 5(3) dyrektywy ePrivacy, gdzie obowiązują od 2009 roku. Finalny mandat Rady to potwierdza: zgoda na dostęp do urządzenia albo zapis informacji na nim zostaje w ePrivacy, tylko z rozszerzoną listą wyjątków.

Pomysł prawnie wiążącego sygnału zgody na poziomie przeglądarki, pierwotnie artykuł 88b, zniknął całkowicie i to już od kompromisu z czerwca 2026. W obecnym tekście nie ma unijnego mechanizmu "ustaw raz w przeglądarce".

Co faktycznie zmienia się w artykule 5(3)

Mandat poszerza listę celów, które nie wymagają zgody przed dostępem do urządzenia albo zapisem na nim informacji. Wymieniono sześć wyjątków:

• Przesłanie komunikatu w sieci.
• Dostarczenie usługi, o którą użytkownik wprost poprosił.
• Pomiar własnej widowni (first-party), ograniczony do informacji anonimowych i zagregowanych.
• Pomiar widowni mediów na podstawie europejskiego aktu o wolności mediów (EMFA).
• Utrzymanie albo przywrócenie technicznego bezpieczeństwa usługi lub urządzenia końcowego.
• Pomiar wyświetleń i skuteczności reklamy kontekstowej, w tym ograniczanie liczby wyświetleń tej samej reklamy (frequency capping), pod warunkiem danych pseudonimizowanych, braku profilowania i braku śledzenia między różnymi stronami albo usługami.

Dwa wymogi, które wcześniej były częścią już wykreślonego artykułu 88a, przetrwały jako osobne zasady: odmowa zgody musi być tak samo łatwa jak jej udzielenie, jedno kliknięcie w obie strony, a strona, która dostała odmowę, musi odczekać co najmniej cztery miesiące przed ponownym pytaniem o tę samą zgodę. Oba te wymogi przeszły z kompromisów czerwcowego i październikowego do finalnego mandatu bez zmian.

Co to oznacza dla Waszej strony dziś

Na razie nic się nie zmienia w tym, co trzeba zrobić. Obowiązują wyłącznie dotychczasowe zasady RODO i dyrektywy ePrivacy, dokładnie tak jak przed tym głosowaniem. Mandat Rady to punkt wyjścia do negocjacji z Parlamentem, nie termin do spełnienia. Biorąc pod uwagę, że powiązana ścieżka dotycząca aktu o sztucznej inteligencji w tym samym pakiecie Digital Omnibus potrzebowała około czterech miesięcy od głosowania w komisji do publikacji w Dzienniku Urzędowym, gdy obaj współustawodawcy mieli już stanowiska, a Parlament nawet nie zaczął pracy nad tą ścieżką, realistyczne przyjęcie części dotyczącej cookies i RODO to raczej nie wcześniej niż koniec 2026 roku, a faktyczne stosowanie prawdopodobnie dopiero w 2027.

Warto natomiast śledzić kierunek zmian. Wymogi łatwej odmowy i czteromiesięcznej karencji przetrwały już trzy kolejne rundy kompromisów, co czyni je rozsądnie pewnym kandydatem na finalny tekst w jakiejś formie. Sześć wymienionych wyjątków jest węższych, niż sugeruje wielu dostawców bannerów cookie: "pomiar widowni" w mandacie oznacza wprost dane anonimowe i zagregowane, nie zwykły cookie analityczny z identyfikatorem klienta.

Krótka lista kontrolna, którą warto przejść już teraz

• Opcja odmowy jest już tak samo łatwa do znalezienia jak zgoda, nie schowana w panelu ustawień, więc ten wymóg nie wymusi później przebudowy.
• Nie polegacie na jeszcze nieistniejącym sygnale przeglądarkowym, bo mechanizm z dawnego artykułu 88b zniknął z tekstu.
• Jeśli dostawca bannera twierdzi, że UE zatwierdziła już nowe zasady cookies, poproście o numer dokumentu Rady. Na dziś to mandat negocjacyjny, nie rozporządzenie.
• Macie zapis, na co i kiedy użytkownik się zgodził, czego żaden z tych projektów nie dotyka.

Nic z powyższego nie zależy od tego, która wersja Digital Omnibus ostatecznie przejdzie. Domyślny banner InCookie już dziś ma przycisk odmowy tej samej wielkości co przycisk zgody i zapisuje wybory zgody z datą, więc po Waszej stronie nie ma nic do zmiany, dopóki trwa proces legislacyjny.

Chcecie sprawdzić własną konfigurację bannera w trzy minuty? Zacznijcie od darmowego planu InCookie i potwierdźcie, że Wasze sygnały zgody już dziś są tam, gdzie chce tego ten projekt.

Źródła

• Rada UE, komunikat prasowy, "Digital rulebook: Council agrees position to simplify data protection, privacy and cyber reporting rules", consilium.europa.eu, 21 października 2026
• Agence Europe, "EU Council adopts negotiating position on Digital Omnibus", 21-22 października 2026
• ieu-monitoring.com i news.europawire.eu, relacje z mandatu Rady z 21 października 2026
• ppc.land, relacje z kolejnych projektów Rady i finalnego mandatu, w tym sześć wyjątków z artykułu 5(3) i czteromiesięczna karencja
• digidata.substack.com, "The Council Has Given the Digital Omnibus a Workable Direction", analiza mandatu z 21 października 2026
• Komisja Europejska, wniosek Digital Omnibus COM(2025) 837, 19 listopada 2025 (pierwotna propozycja przeniesienia zgody do artykułów 88a/88b RODO)