🇪🇺 Рада ЄС погодила мандат щодо реформи цифрових правил (Digital Omnibus)

Країни ЄС узгодили спільну переговорну позицію щодо масштабного пакету змін до GDPR, ePrivacy Directive та Data Act. Це ще не фінальний закон — попереду переговори з Європарламентом. Ймовірні зміни:

🍪 4 місяці паузи на банери згоди: якщо користувач відхилив запит на файли cookie (кнопкою в один клік), сайт не має права запитувати згоду знову щонайменше 4 місяці. Винятки — очищення кешу/cookie або суттєва зміна сервісу.
🚫 6 винятків без потреби згоди: cookies дозволять без банера суто для:
1. передачі даних мережею;
2. надання запитаної користувачем послуги/функціоналу;
3. власної агрегованої аналітики аудиторії (first-party);
4. вимірювання медіааудиторії за нормами EMFA;
5. технічної безпеки сервісу;
6. вимірювання та показу контекстної реклами (зокрема frequency capping без міжсайтового трекінгу та профайлінгу).
❌ Відмова від браузерного сигналу: Рада вилучила норму, яка зобов'язувала б сайти поважати автоматичні сигнали відмови, надіслані браузером.
👤 Псевдонімізація та персональні дані: псевдонімізовані дані не вважатимуться персональними для третьої сторони, якщо та не має технічної змоги ідентифікувати особу (відповідно до практики суду ЄС).
🤖 Навчання ШІ: обробка даних для розробки та роботи AI-моделей офіційно дозволена на базі «законного інтересу» (legitimate interest) відповідно до ст. 6(1)(f) GDPR, але зі збереженням стандартного права користувача на заперечення (right to object).
⏰ 96 годин на звіт про витоки: дедлайн повідомлення про витоки даних підвищеного ризику збільшено з 72 до 96 годин. Замість єдиного порталу ENISA звіти прийматимуть національні контактні пункти країн.
⏳ Терміни впровадження: нові правила для cookie набудуть чинності через 24 місяці після остаточного ухвалення (через необхідність національної імплементації директиви), а система репортингу кіберінцидентів — через 30 місяців.

Детальний розбір від PPC Land