Jednym z kluczowych elementów opublikowanego przez Komisję Europejską pakietu Digital Package, jest projekt tzw. Cyfrowego Omnibusa, zorientowanego na uproszczenie szeregu unijnych regulacji rzutujących na funkcjonowanie firm na rynku cyfrowym.
Lewiatan z zadowoleniem przyjmuje propozycje zawarte w projekcie rozporządzenia Digital Omnibus, które stanowią dobry punkt wyjścia do uproszczenia unijnych przepisów dotyczących technologii, ograniczenia biurokracji i zwiększenia konkurencyjności. Uważamy jednak, że regulacja, która ewidentnie pomoże odciążyć firmy, nie rozwiąże problemów związanych z konkurencyjnością, które zostały zidentyfikowane przez firmy i szefów państw europejskich.
Wśród rozwiązań dobrze ocenianych przez firmy, warto wymienić zmiany w RODO w postaci wprowadzenia harmonizacji oceny skutków dla ochrony danych (DPIA (art. 35) w RODO), która zastępuje ponad 40 krajowych systemów jednym standardem UE. Europejska Rada Ochrony Danych opracuje wspólny wzór zgłoszenia naruszenia oraz ujednolicony wykaz okoliczności naruszeń „wysokiego ryzyka”.
Z zadowoleniem przyjmujemy propozycję Komisji Europejskiej dotyczącą połączenia przepisów ustawy o zarządzaniu danymi (DGA), rozporządzenia w sprawie swobodnego przepływu danych nieosobowych (Free Flow of Data) oraz Rozporządzenia o danych (Data Act), tworząc jednolite, usprawnione ramy prawne. Znosi ona przestarzałe przepisy, zachowując jednocześnie podstawowe zasady, takie jak zakaz lokalizacji danych. Wzmacnia to międzynarodowy przepływ danych, który jest podstawą gospodarki opartej na danych, a przedsiębiorstwa polegają na nim w celu zwiększenia swojej globalnej konkurencyjności, opracowywania produktów.
Firmy dostrzegają jednak niedoskonałości nowej regulacji.
Podwójny system regulacji danych osobowych i nieosobowych powoduje niepewność klasyfikacji i komplikuje wdrażanie przepisów. Zgoda, jako podstawa przetwarzania danych, pozostaje wąskim gardłem: mimo że zasady dotyczące plików cookie/śledzenia są obecnie regulowane przez RODO, co eliminuje podwójny system regulacji. Regulacje dotyczące danych o ruchu i marketingu bezpośredniego nadal są podzielone między RODO a e-prywatnością, co powoduje powielanie przepisów i obciążenia związane z zapewnieniem zgodności.
Wątpliwości firm budzą nowe rozwiązania zawarte w RODO, w ramach których dostawcy przeglądarek internetowych, którzy nie są MŚP, muszą zapewnić użytkownikom środki techniczne umożliwiające wyrażenie lub odmowę zgody oraz skorzystanie z prawa do sprzeciwu za pomocą zautomatyzowanych i nadających się do odczytu maszynowego środków. Obowiązek ten ułatwia wprowadzenie scentralizowanych mechanizmów zarządzania plikami cookie, często kontrolowanych przez przeglądarki lub systemy operacyjne. Wprowadzenie scentralizowanych mechanizmów może poważnie zaszkodzić szeroko pojętej europejskiej gospodarce cyfrowej, w tym MŚP. Użytkownicy wolą zachować kontrolę nad wyborami dotyczącymi gromadzenia danych, często podejmując odrębne decyzje dla każdej strony internetowej lub aplikacji w oparciu o treść lub usługę. Dlatego scentralizowany system zarządzania zgodą może nie być odpowiedni dla wszystkich preferencji użytkowników, ponieważ ogranicza ten poziom kontroli. Systemy takie nie uzyskały wcześniej porozumienia podczas negocjacji rozporządzenia o prywatności i łączności elektronicznej.
Firmy oczekiwały również ambitniejszego podejścia do kwestii cyberbezpieczeństwa, gdzie złożoność istniejących przepisów wymaga środków upraszczających, wykraczających poza zwykłe usprawnienie obowiązków zgłaszania incydentów.
Aleksandra Musielak, dyrektorka Departamentu Rynku Cyfrowego, Konfederacja Lewiatan
Artykuł do Brussels Headlines – newslettera europejskiego Konfederacji Lewiatan – grudzień 2025