Статус към 26 октомври 2026 г.: разглежданият текст е преговорна позиция на Съвета на ЕС по процедура 2025/0360(COD), а не действащ закон.
Практически правен анализ за онлайн магазини, SaaS компании, дигитални агенции и организации, които използват данни, бисквитки или AI.
Автор: Ivanova Legal Solutions | Категория: Лични данни, AI и технологии
1. Въведение: Нов етап в европейското цифрово законодателство
На 21–22 октомври 2026 г. Съветът на Европейския съюз официално одобри своя преговорен мандат по ключовия законодателен пакет Digital Omnibus (процедура 2025/0360(COD), документ на Съвета ST 14756/26). Инициативата има за цел да хармонизира, опрости и модернизира съществуващата нормативна рамка на ЕС в областта на защитата на личните данни, неприкосновеността на електронните съобщения и киберсигурността.
Основните акценти в постигнатия компромис засягат пряко ежедневните процеси в дигиталната икономика:
- Редуциране на натоварването от cookie банери чрез разширяване на хипотезите за използване на бисквитки без предварително съгласие;
- По-висок праг и удължен срок (96 часа) за уведомяване на надзорните органи при нарушения на сигурността на личните данни по чл. 33 от GDPR;
- Правни гаранции и яснота при обработването на данни за системи с изкуствен интелект (AI) и изясняване на концепцията за псевдонимизация;
- Единна национална входна точка за централизирано докладване на киберинциденти по GDPR, NIS2, DORA, eIDAS и Директивата за критичните субекти (CER).
Важно уточнение за бизнеса: Приетият мандат на Съвета представлява неговата позиция за предстоящите междуинституционални преговори (трилози) с Европейския парламент. Текстът все още не е окончателно приет закон. Към настоящия момент действащите правила на GDPR и Директива 2002/58/ЕО (ePrivacy) остават в пълна сила и бизнесите не следва прибързано да премахват своите банери за съгласие или да изменят процедурите си по сигурност.
2. Бисквитки и проследяване: Ще изчезнат ли досадните банери?
Едно от най-очакваните практически подобрения е насочено към т.нар. „умора от съгласия“ (consent fatigue). Преговорната позиция на Съвета запазва общия принцип за изискване на съгласие при достъп до крайното устройство на потребителя по член 5, параграф 3 от Директива ePrivacy и предлагания нов член 88a от GDPR, но въвежда изрични и по-широки изключения, при които съгласие няма да се изисква.
Кога бисквитки ще могат да се поставят без съгласие?
- Пренос на електронни съобщения и строго необходими услуги: Запазва се традиционното изключение за функционирането на изрично поискана от потребителя услуга на информационното общество (напр. потребителска кошница в онлайн магазин, запазване на сесия);
- Агрегирано измерване на аудиторията (Audience Measurement): Допуска се измерване на посещаемостта и трафика на уебсайта от самия администратор единствено за негова собствена употреба. Условието е събраните данни да се псевдонимизират след събирането им, крайните отчети да не съдържат лични данни и информацията да не се използва за профилиране или таргетирана реклама;
- Киберсигурност и поддръжка на крайното устройство: Позволява се съхранение и достъп за поддържане или възстановяване на сигурността на услугата или крайното устройство, включително предотвратяване на измами и критични софтуерни актуализации за сигурност;
- Измерване на контекстуална реклама: Допуска се отчитане на показването и базовата ефективност на реклама, базирана единствено на непосредствено разглежданото съдържание при текущата сесия, без проследяване на минала или бъдеща активност на потребителя между различни сайтове.
Край на безкрайните повторни запитвания (Cookie Fatigue)
Проектът въвежда строги правила за интерфейсите на банерите:
- Отказ с един клик: Потребителят трябва да има възможност да откаже съгласието си толкова лесно, колкото и да го даде — чрез ясен и видим бутон на първо ниво;
- Забрана за повторно питане след отказ: При отказ от страна на потребителя, администраторът няма право да показва повторно банер за съгласие за същата цел в продължение на минимум 4 месеца (и до 6 месеца по общите правила за крайни устройства);
- Автоматизирани сигнали от браузъра: Предвижда се платформите да бъдат задължени да зачитат машинночетими сигнали за предпочитания, зададени на ниво браузър или операционна система (с преходни срокове от 24 до 48 месеца за разработчиците на браузъри).
3. GDPR, псевдонимизация и изкуствен интелект (AI)
Digital Omnibus адресира някои от най-спорните практически въпроси при съвместяването на GDPR с новите технологии и генеративния изкуствен интелект:
Релативен подход към понятието „лични данни“ и псевдонимизацията
В изменения член 4, точка 1 от GDPR изрично се пояснява, че дадена информация не представлява автоматично лични данни за всеки субект само защото трето лице разполага с възможност да идентифицира конкретното физическо лице. За конкретния получател информацията не се счита за лични данни, ако той не разполага със средства, които разумно е вероятно да бъдат използвани за повторна идентификация. Това предоставя дългоочаквана правна сигурност при обмен на псевдонимизирани масиви от данни.
Обучение и експлоатация на AI системи (чл. 88c от GDPR)
Законопроектът потвърждава, че разработването и експлоатацията на AI модели може да се извършва на основание легитимен интерес по чл. 6, ал. 1, б. „е“ от GDPR, при спазване на теста за баланс на интереси, мерки за минимизиране на данните и гарантиране на безусловното право на възражение по чл. 21.
Допълнително се въвежда дерогация по отношение на специалните категории данни (чл. 9 от GDPR): при непредвидено и остатъчно попадане на чувствителни данни в масиви за обучение и валидиране на AI, разработчикът не носи отговорност за нарушение, стига да е приложил адекватни мерки за предотвратяването им и да ги изтрие без забавяне (или да ги изолира технически, ако пълното им изтриване от модела е технически невъзможно).
Облекчения при злоупотреба с права от субекти на данни
Преговорният текст въвежда по-ясни критерии и процедурни облекчения за администраторите при получаване на явно неоснователни или прекомерни искания за достъп, изтриване или преносимост, както и при специфични нискорискови информационни задължения.
4. Нови правила при киберинциденти: 96 часа и Единна входна точка
| Аспект | Действащ режим (GDPR) | Предложение на Съвета (Digital Omnibus) |
|---|---|---|
| Праг за уведомяване на надзорния орган | Всяко нарушение, освен ако няма вероятност да породи риск за правата и свободите. | Само нарушения, които е вероятно да породят висок риск за правата и свободите на физическите лица. |
| Срок за първоначално уведомяване | До 72 часа от узнаването. | До 96 часа от узнаването (при обосноваване на забавянето). |
| Канал за докладване | Пряко до Комисията за защита на личните данни (КЗЛД) чрез национален формуляр. | Национална единна входна точка (съвместяваща сигнали по GDPR, NIS2, DORA, eIDAS и CER). |
| Вътрешна документация | Задължителен регистър на всички нарушения (чл. 33, ал. 5). | Запазва се пълното задължение за документиране и вътрешна оценка на риска. |
Създаването на национална входна точка във всяка държава членка (с информационен портал, координиран от ENISA) цели да премахне двойното и тройното докладване, пред което са изправени банки, финтех дружества, доставчици на облачни услуги и критични оператори, попадащи едновременно под действието на GDPR, NIS2 и DORA.
5. Какво означава това за бизнеса: Практически съвети
1. За онлайн магазини и платформи за електронна търговия
Въпреки че банерите за маркетингови и тракинг бисквитки от трети страни ще продължат да изискват съгласие, отпадането на съгласието за базови вътрешни анализи (first-party audience measurement) ще подобри потребителското преживяване и точността на аналитичните данни.
2. За SaaS и софтуерни компании
По-високият праг за уведомяване за инциденти (само при „висок риск“) и удълженият срок от 96 часа ще намалят административната паника и необоснованото докладване на незначителни технически отклонения, като същевременно ще осигурят ценно време за реален анализ на инцидента.
3. За дигитални и маркетингови агенции
Агенциите ще трябва да подготвят клиентите си за строгите изисквания за отказ с един клик и паузата от 4 до 6 месеца преди повторно запитване. Стратегиите за събиране на съгласия ще трябва да станат значително по-прозрачни и насочени към доверието на потребителя.
6. Следващи стъпки и времеви хоризонт
Приемането на мандата от Съвета дава зелена светлина за старт на тристранните преговори с Европейския парламент след гласуването на неговата преговорна позиция. Очаква се финалният текст на регламента Digital Omnibus да бъде окончателно договорен и приет в рамките на 2027 г., след което ще има определен преходен период за адаптация (между 18 и 24 месеца за повечето задължения и до 48 месеца за доставчиците на браузъри).
Препоръка от екипа на Ivanova Legal Solutions: Не предприемайте промени в техническите си банери или вътрешните регистри по сигурност на този етап. Използвайте настоящия момент за вътрешен одит на използваните бисквитки (разделяне на първична аналитика от ремаркетинг) и преглед на готовността за киберинциденти по NIS2/DORA.
За правни консултации относно съответствието на вашия софтуер, онлайн платформа или AI решение с европейското законодателство, свържете се с Ivanova Legal Solutions.
Официални източници: Council document ST 14756/26 и предложението на Европейската комисия COM(2025) 837 final. Материалът е с обща информационна цел и не представлява индивидуален правен съвет.