Zjednodušenie GDPR: čo prináša Digital Omnibus pre firmy a verejnú správu

GDPR sa od svojho vzniku v roku 2018 podstatne nemenilo, a preto sa naň mnohí pozerajú ako na uzavretú kapitolu. To bola dlho pravda, teraz už nie. Európska únia rozbehla najväčšie prepracovanie GDPR od jeho vzniku a jeho zmyslom je, prekvapivo, zjednodušenie.

Ide o balík nazvaný Digital Omnibus, ktorý Európska komisia predstavila 19. novembra 2025. Netreba pri ňom podľahnúť dvom protichodným reakciám: ani panike, že sa všetko mení, ani nádeji, že netreba nič robiť, lebo to čoskoro bude jednoduchšie. Realita je triezvejšia a za rok a pol rokovaní sa výrazne posunula.

Čo je Digital Omnibus a prečo vznikol?

Prvá vec, ktorá sa často prehliada: Digital Omnibus nie je jeden návrh, ale dva samostatné legislatívne spisy predložené v ten istý deň. Jeden mení Nariadenie (EÚ) 2024/1689 o umelej inteligencii. Druhý sa dotýka GDPR, smernice 2002/58/ES o súkromí v elektronických komunikáciách, nariadenia o dátach (Data Act) a smernice NIS2. Postupujú samostatne a, ako sa ukázalo, veľmi rôznou rýchlosťou.

Balík je súčasťou širšieho zjednodušovacieho programu Komisie, ktorá si stanovila cieľ znížiť administratívnu záťaž do konca roka 2029 najmenej o 25 percent pre všetky podniky a najmenej o 35 percent pre malé a stredné podniky. Tieto dve čísla sa často mylne uvádzajú ako prínos samotného Digital Omnibusu. Pri ňom Komisia odhaduje úsporu administratívnych nákladov firiem do zhruba 5 miliárd eur do roku 2029 a približne jednu miliardu pre verejnú správu. Ide o odhad z pracovného dokumentu, nie o výsledok plného posúdenia vplyvov, a odborná kritika mu vyčíta práve slabú dôkazovú základňu.

Čo už je prijaté: časť o umelej inteligencii

Časť týkajúca sa umelej inteligencie prešla legislatívnym procesom rýchlo, lebo tlačil termín. Európsky parlament ju schválil 16. júna 2026, Rada ju definitívne potvrdila 29. júna 2026 a text bol podpísaný 8. júla 2026.

Prakticky prináša posunuté termíny podľa nariadenia o umelej inteligencii, ktoré sú pevne určené: 2. decembra 2027 pre samostatné vysokorizikové systémy a 2. augusta 2028 pre vysokorizikové systémy zabudované do výrobkov. Skôr, k 2. decembru 2026, nabiehajú povinnosti označovania obsahu generovaného umelou inteligenciou a zákaz systémov na tvorbu intímnych obrazov bez súhlasu a materiálu zobrazujúceho sexuálne zneužívanie detí.

Pre firmy, ktoré riešia riadenie rizík alebo zavádzajú systém manažérstva umelej inteligencie podľa ISO/IEC 42001:2023, je toto podstatnejšia informácia než reforma cookies. Znamená, že času je viac, ale latka zostáva rovnako vysoko.

Čo z návrhu pre GDPR zostáva na stole

Dve zmeny, ktoré by firmám najviac uľahčili administratívu, v rokovaniach zatiaľ prežili.

Pri zázname o spracovateľských činnostiach sa navrhuje zdvihnúť hranicu výnimky nad súčasných 250 zamestnancov. To isté ustanovenie menia dva paralelné návrhy naraz, štvrtý zjednodušovací balík z 21. mája 2025 a Digital Omnibus z novembra 2025. V pracovných textoch sa objavil prah 750 aj 1000 zamestnancov a v niektorých verziách aj naviazanie na finančné kritériá a na to, či spracúvanie predstavuje vysoké riziko. Prah teda nie je hotová vec a môže sa vo finálnom znení zmeniť. Do prijatia platí súčasná hranica 250 zamestnancov s tromi podmienkami, ktoré ju v praxi zužujú.

Pri hlásení únikov sa navrhujú tri veci naraz. Prah, od ktorého treba únik hlásiť úradu, by sa zdvihol z rizika na vysoké riziko, takže by sa hlásilo menej drobných incidentov. Lehota by sa predĺžila zo 72 na 96 hodín. A vzniklo by jednotné miesto hlásenia prevádzkované agentúrou ENISA, cez ktoré by sa naraz plnili povinnosti podľa GDPR, NIS2 aj ďalších predpisov.

V hláseniach podľa zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti v znení neskorších predpisov a vyhlášky č. 226/2025 Z. z. sa zatiaľ nič nemení. Jednotné miesto hlásenia by sa do slovenských predpisov premietlo až po prijatí zmien a ich následnej transpozícii.

Čo z návrhu vypadlo

Rada vo svojom kompromisnom texte z mája 2026 z návrhu vypustila tri z jeho najvýraznejších zmien GDPR.

Presun pravidiel pre cookies do GDPR. Pôvodný návrh chcel presunúť pravidlá pre ukladanie a prístup k údajom v zariadení používateľa zo smernice o súkromí priamo do GDPR a riešiť únavu zo súhlasov. Počítal s možnosťou odmietnuť nepodstatné cookies jedným kliknutím, s platnosťou odmietnutia po dobu šiestich mesiacov bez opakovaného zisťovania a so signálmi nastavenými priamo v prehliadači, ktoré by weby museli rešpektovať. Členské štáty sa na tomto bloku nedohodli a z rokovacieho textu ho odstránili.

Osobitný právny základ pre umelú inteligenciu. Komisia pôvodne navrhla výslovne uznať oprávnený záujem ako základ pre trénovanie a prevádzku modelov, a to za podmienok posilnenej transparentnosti a práva dotknutej osoby namietať. V rokovaniach sa toto ustanovenie ukázalo ako sporné a v kompromisnom texte Rady sa už nenachádza.

Užšia definícia osobného údaja. Návrh chcel posudzovať osobný údaj vo vzťahu ku konkrétnemu prevádzkovateľovi: údaj, ktorý prevádzkovateľ nedokáže priradiť ku konkrétnej fyzickej osobe prostriedkami, ktoré má reálne k dispozícii, by pre neho nemusel byť osobným údajom, aj keby ho niekto iný priradiť vedel. Dotklo by sa to najmä pseudonymných identifikátorov. Proti tejto zmene sa ostro postavili Európsky výbor pre ochranu údajov aj Európsky dozorný úradník pre ochranu údajov, ktorí ju v spoločnom stanovisku z februára 2026 označili za predčasnú a potenciálne škodlivú. Aj táto zmena bola odstránená.

Či sa niektorá z nich vráti a v akej podobe, zostáva otvorené.

Zmeny, o ktorých sa hovorí menej

Digital Omnibus sa prezentuje ako zjednodušenie. Návrh ale obsahuje aj zmeny, ktoré zasahujú do práv dotknutých osôb.

Navrhuje sa obmedziť informačné povinnosti podľa článkov 13 a 14 a právo na prístup podľa článku 15 v situáciách, keď by ich splnenie bolo nemožné alebo by si vyžiadalo neprimerané úsilie, s osobitným režimom pre vedecký výskum. Ďalej sa navrhuje spresniť, kedy je žiadosť zjavne neopodstatnená alebo neprimeraná, teda keď dotknutá osoba svoje právo zneužíva na iný účel než ochranu vlastných údajov. Zužuje sa aj rozsah osobitných kategórií údajov podľa článku 9 a pridávajú sa výnimky pre vývoj a prevádzku systémov umelej inteligencie. A posúdenie vplyvu sa má zjednotiť naprieč Úniou spoločným zoznamom spracovateľských operácií, šablónou a metodikou.

Práve rozšírenie dôvodov na odmietnutie žiadosti patrí medzi najspornejšie časti balíka. Kritici namietajú, že oslabuje jedno z hlavných práv a odchyľuje sa od doterajšej judikatúry Súdneho dvora.

Kedy nadobudne platnosť?

Zo zmien, ktoré sa dotýkajú GDPR, zatiaľ neplatí nič. Návrh je stále pred prerokovaním Radou, rokovania s Európskym parlamentom sa nezačali a Parlament svoju pozíciu ešte finalizuje. Podľa priebehu legislatívneho procesu sa prijatie očakáva najskôr na prelome rokov 2026 a 2027, pričom účinnosť jednotlivých zmien by nastala ešte neskôr, v niektorých prípadoch až o rok či dva. Nejde o plánovaný termín, ale o odhad z doterajšieho tempa rokovaní.

Isté je zatiaľ len to, že zámer je jasný, teda menej administratívy pri nízkorizikovom spracúvaní a zosúladenie s umelou inteligenciou, a že rozsah zjednodušenia sa počas rokovaní zmenšuje, nie zväčšuje.

Čo s tým teraz

Nič sa zatiaľ nezjednodušilo a základné povinnosti, teda právne základy, záznam o spracúvaní, bezpečnosť a postup pri úniku, budete potrebovať tak či tak, nech návrh dopadne akokoľvek. Zjednodušenie zníži administratívu, nezruší podstatu.

Robte poriadne to, čo platí dnes, lebo z toho nič nebude zbytočné. A ak niektorú povinnosť dnes nespĺňate, napríklad nemáte poriadok v súhlasoch a cookies alebo pripravený postup pri úniku údajov, riešte ju podľa platných pravidiel. Zjednodušenie na ňu nepočká a po ostatnom vývoji je zrejmé, že prísť nemusí vôbec.

Ak si chcete ujasniť, čo z pripravovaných zmien sa vás reálne dotkne a čo máte riešiť už teraz, a nechcete v tom byť sami, vašu situáciu posúdime a prípadne prevezmeme rolu zodpovednej osoby. Ako externá zodpovedná osoba pritom pôsobíme nezávisle a bez konfliktu záujmov, ako to vyžaduje čl. 38 GDPR. Viac informácií nájdete na našej stránke o ochrane osobných údajov. Celý rámec GDPR pre firmy a organizácie sme zhrnuli v úvodnom článku série.