Digital Omnibus: a Europa recalibra a regulação digital

Em novembro de 2025, a Comissão Europeia apresentou o Digital Omnibus – um pacote legislativo com um objetivo declarado: descomplicar o ecossistema regulatório digital europeu. Em 2026, o pacote entrou já numa fase decisiva de concretização: a vertente relativa à inteligência artificial foi aprovada, enquanto o regulamento geral prossegue a sua tramitação legislativa no Parlamento Europeu. O diagnóstico (e objetivo) é difícil de contestar. À aprovação sucessiva do RGPD, NIS2, DORA, Data Act, Data Governance Act e AI Act correspondeu uma arquitetura ambiciosa, mas marcada por conceitos sobrepostos, múltiplas autoridades, reportes duplicados e calendários nem sempre coerentes. O pacote procura agora reduzir esse atrito sem diminuir o nível de proteção.

As alterações são, porém, mais amplas do que uma operação de limpeza legislativa. No domínio dos dados, a proposta concentra no Data Act matérias hoje dispersas pelo Data Governance Act, pela Diretiva Open Data e pelo regime da livre circulação de dados não pessoais. Na cibersegurança, cria um ponto único europeu para cumprir simultaneamente obrigações da NIS2, do RGPD, do DORA ou de outros regimes, embora subsistam diferenças de prazos e conteúdo.

No RGPD encontram-se as mudanças mais sensíveis. A proposta eleva para “risco elevado” o limiar de notificação de violações de dados e alarga o prazo de 72 para 96 horas; prevê listas e modelos europeus comuns para notificações e avaliações de impacto; harmoniza o conceito de investigação científica; e admite novas soluções para autenticação biométrica. Mas pretende também relativizar o conceito de dado pessoal, fazendo depender essa qualificação dos meios de identificação razoavelmente disponíveis a cada entidade. Assim, a mesma informação poderá constituir um dado pessoal para quem consiga identificar o respetivo titular, mas não para quem, no contexto concreto, não disponha de meios razoáveis para o fazer. Acresce uma referência expressa ao interesse legítimo no desenvolvimento de IA e uma derrogação para o tratamento incidental e residual de categorias especiais de dados.

Também os cookies deixam de ser uma questão cosmética. A proposta transfere parte da gestão do consentimento para sinais automatizados e legíveis por máquina, comunicados por navegadores e outras interfaces, e impede a repetição de um pedido recusado durante seis meses. Já o AI Omnibus recalibra a aplicação das obrigações relativas a sistemas de alto risco, estende simplificações às small mid-caps e procura reduzir duplicações entre o AI Act e a legislação setorial.

A simplificação é, em muitos destes pontos, necessária. Um único reporte, formulários comuns e regras consolidadas podem libertar recursos para a gestão efetiva do risco. Mas o pacote não é juridicamente neutro. Redefinir o perímetro dos dados pessoais, ampliar fundamentos para o desenvolvimento de IA ou flexibilizar obrigações substantivas redistribui riscos entre empresas, cidadãos e autoridades.

No panorama português, esta tensão é particularmente relevante para as PME. A redução de encargos formais pode libertar capacidade financeira e organizativa num tecido empresarial com estruturas de compliance reduzidas. Porém, soluções demasiado abertas ou instáveis podem produzir o efeito inverso: aumentar a dependência de assessoria externa e dificultar a antecipação dos padrões exigidos pelas autoridades.

A questão decisiva não é, por isso, saber se a Europa deve simplificar. Deve. É saber se consegue distinguir burocracia redundante de garantias essenciais. Quando essa fronteira se perde, a simplificação deixa de aperfeiçoar a regulação e passa a reescrevê-la.