Евросоюз готовит самое крупное смягчение правил о данных с 2018

Евросоюз готовит самое крупное с 2018 года смягчение правил о персональных данных. Пакет Digital Omnibus, который Еврокомиссия представила ещё в ноябре 2025-го, должен заметно разгрузить бизнес — а обычного пользователя порадовать меньшим числом назойливых cookie-баннеров.

Что меняется для куки? Базовую обезличенную статистику посещений предлагают разрешить вообще без согласия, если данные не уходят на сторону. Отказ от необязательных куки должен стать таким же лёгким, как согласие, причём выбор сайт обязан помнить минимум полгода — и столько же не переспрашивать об одном и том же.

Важная оговорка: пока это лишь проект. Текст ещё будут править в Европарламенте и Совете ЕС, а часть норм уже вызвала споры — так что финальная версия почти наверняка будет другой.

Баннеры, которые всех достали

Зачем всё это? Еврокомиссия подсчитала: на клики по баннерам в ЕС уходит около 334 млн часов в год, а бизнесу обещают порядка 1 млрд евро экономии; баннеры, по оценкам, могут исчезнуть примерно у 60% сайтов.

Технически правила куки переносят из старой директивы ePrivacy прямо в GDPR — в новую статью 88a, с одним кликом на отказ и запретом переспрашивать полгода. Для пользователя это и есть главная выгода: меньше одинаковых окон на каждом шагу.

Была и более смелая идея — перенести согласие на уровень браузера: один раз настроил запрет слежки, и сайты учитывают его сами. Но именно её, по сообщениям, Совет ЕС убрал из текста после лоббирования со стороны Google, а против выступала и французская рекламная индустрия. Так что «браузерного» согласия в финале может и не оказаться.

Для ИИ приоткрыли дверь

Трогают и сам GDPR. Об утечке регулятора нужно будет уведомлять только при высоком риске и за 96 часов вместо 72, а само уведомление объединят в одну точку — общую для GDPR, NIS2 и DORA. Меньше бумаг и дедлайнов.

Разработчикам ИИ при этом прямо обещают разрешить ссылаться на законный интерес как основание обрабатывать данные для обучения моделей. Формулировку вписывают в GDPR отдельным положением — но, как водится, с условиями.

Единодушия, впрочем, нет. Надзорные органы ЕС — EDPB и EDPS — в совместном заключении раскритиковали ключевые правки, усомнившись, что ИИ-послабление вообще необходимо; Франция против части норм, а Германия, наоборот, требует упрощать сильнее. Позиция Европарламента ожидается не раньше 2027 года.

Меньше баннеров — не меньше правил

Меньше баннеров не значит меньше правил. Куки просто переносят в GDPR, а базовую аналитику допускают по законному интересу — но лишь при условии: данные остаются у сайта и не идут на профилирование и рекламный таргетинг. Исключение узкое, и чуть шагнёшь в сторону рекламы — снова нужно согласие.

Поднять порог с любого риска до высокого и дать 96 часов удобно бизнесу. Но решать, высок ли риск утечки, теперь придётся самой компании — и ошибка в оценке обернётся против неё же. Меньше бумаг — больше ответственности за собственное суждение.

Назвать законный интерес основанием для обучения ИИ — это уточнение, а не индульгенция. Как напоминают сами регуляторы, послабление действует с оговорками: баланс интересов и право человека возразить против обработки остаются. Так что главной по-прежнему будет оценка законного интереса, а не сама формулировка в законе.