«Цифровой омнибус» — это готовящийся пакет законодательных изменений на уровне ЕС, направленный на упрощение и оптимизацию все более сложной нормативно-правовой базы в отношении данных, искусственного интеллекта и цифровой ответственности. Его цель — не ослабление защиты персональных данных, а снижение затрат на соблюдение нормативных требований, особенно для малых и средних предприятий, при сохранении высоких стандартов безопасности.
В этой статье мы объясним:
- Как может измениться определение персональных данных и почему это хорошая новость для небольших компаний
- когда инцидент считается "вероятно, сопряженным с высоким риском",
- и почему 96 часов на сообщение о нарушении вскоре могут стать новым стандартом.
Что такое «Цифровой омнибус» и откуда он появился?
«Цифровой омнибус» — это не один новый закон, а пакет скоординированных изменений существующих и будущих нормативных актов, таких как GDPR, Закон об искусственном интеллекте и Закон о данных. Европейская комиссия отметила, что:
- Одни и те же понятия определяются по-разному в различных правовых актах
- Обязанности по отчетности часто дублируются
- Кроме того, малые и средние предприятия сталкиваются с непропорционально высокими затратами на соблюдение этого закона.
Таким образом, «Общий свод законов» призван служить «упрощением законодательства» – без революционных изменений в основах защиты данных, но с четкой корректировкой практических обязательств.
Как изменится определение «персональных данных»?
Наиболее важное предлагаемое изменение касается уточнения того, когда данные действительно являются персональными данными, а когда риск идентификации личности носит лишь теоретический характер.
Текущий статус
Сегодня персональными данными часто считается информация, которая:
- это потенциально может привести к идентификации человека
- даже если у администратора нет реальных средств для проведения этой идентификации.
На практике это приводит к ситуации, в которой:
- высокоагрегированные данные,
- псевдонимизированные наборы данных,
- Технические данные (например, системные журналы)
обрабатываются так же, как имя, фамилия или номер PESEL.
Что изменится?
В концепции «Цифрового омнибуса» предполагается смещение акцента с чисто гипотетических на реалистичные возможности идентификации.
Это означает, что:
- Данные будут считаться персональными только в том случае, если их можно сопоставить с конкретным лицом с помощью разумных средств
- При оценке будут учитываться масштабы деятельности администратора, доступные технологии и затраты.
Что это значит для малых предприятий?
Для малых и средних предприятий это потенциально огромные перемены:
- меньше требований к документации,
- меньше оценок воздействия на защиту данных (DPIA),
- Снижен риск санкций за «чрезмерную интерпретацию» концепции персональных данных.
Когда инцидент становится «вероятно, сопряжен с высоким риском»?
Одним из наиболее проблемных элементов GDPR сегодня является оценка риска нарушения прав и свобод физических лиц. На практике многие операторы персональных данных:
- Сообщает почти о каждом инциденте «на всякий случай»
- рассматривает Управление по защите персональных данных как «гарантию» от обвинений в упущении.
Новый подход в рамках проекта Digital Omnibus
Цель пакета изменений — ввести более объективные критерии для оценки того, когда риск становится «вероятно высоким».
В числе прочих следует учитывать следующее:
- тип данных (обычные или специальные категории),
- масштаб утечки данных (количество людей, объем данных),
- легкость идентификации человека,
- реальные последствия (кража личных данных, финансовые потери, дискриминация).
Практический эффект
Мелкие технические неполадки, такие как:
- краткосрочный доступ сотрудников к данным,
- Неправильно отправленное электронное письмо, не содержащее конфиденциальных данных,
не будет автоматически классифицировано как письмо высокого риска.
Это означает меньшее количество «превентивных» отчетов и более рациональный подход к нарушениям.
Почему установленный срок в 96 часов для сообщения о нарушении может стать нормой?
В настоящее время GDPR предусматривает 72-часовой период для сообщения о нарушении с момента его обнаружения. На практике этот срок может варьироваться:
- слишком короткий для надежного анализа
- Сложно поддерживать в рабочем состоянии в выходные и праздничные дни
- источник неполных или преждевременных отчетов.
Цифровое сводное предложение
Новый подход исходит из следующих предположений:
- продление срока до 96 часов
- больший акцент делается на качестве отчета, а не на скорости его составления.
Что это изменит?
Администраторы и сотрудники по защите данных:
- Они выиграют время для проведения реальной оценки рисков
- Они смогут собрать более полную техническую информацию
- После отправки отчета количество исправлений и дополнений будет ограничено.
Для надзорных органов это означает меньший информационный хаос и более высокое качество данных об инцидентах.
Как «Цифровой омнибус» повлияет на роль администратора и специалиста по защите данных?
Предложенный пакет изменений не отменяет ответственность, а упорядочивает её.
Администратор данных:
- будут принимать решения на основе более точных критериев
- это позволит снизить чрезмерную осторожность, которая влечет за собой издержки
- получит большую правовую определенность.
Сотрудник по защите данных:
- сосредоточится на реальных угрозах
- вместо того, чтобы просто "отмечать" выполнение формальных обязательств,
- станет скорее стратегическим советником, чем хранителем процедур.
Резюме – меньше формальностей, больше смысла
«Цифровой омнибус» свидетельствует о том, что ЕС осознает усталость бизнеса от регулирования. Изменения в определении персональных данных, оценке рисков и сроках отчетности могли бы реально:
- снизить затраты на соблюдение нормативных требований,
- сократить количество ненужных обязанностей
- Повышайте качество защиты данных, а не имитируйте её.
Если вы являетесь оператором персональных данных или специалистом по защите данных, стоит уже сейчас подготовиться к этим изменениям и проанализировать, как они повлияют на ваши внутренние процедуры и возможные судебные разбирательства.
Данная статья носит исключительно информационный характер и не является юридической консультацией
Правовой статус по состоянию на 14 января 2026 года.
Автор/редактор серии:
