Vzhledem ke geopolitickému dění a sílícímu ohrožení konkurenceschopnosti EU roste poptávka po zjednodušování evropské legislativy a snižování administrativní zátěže ve prospěch evropských podniků. Jedním z aktuálních počinů v rámci simplifikační agendy EU je tzv. digitální omnibus, který Evropská komise představila v listopadu loňského roku. Tento návrh zahrnuje změny celkem 13 legislativních aktů EU v digitální oblasti, včetně GDPR, předpisů kybernetické bezpečnosti a datové legislativy.
Zřejmě nejrozsáhlejší a nejambicióznější jsou návrhy týkající se ochrany osobních údajů. Snahou Evropské komise je reagovat na poznatky aplikační praxe a přiměřeně zmírnit některá pravidla, bez snížení obecného standardu ochrany těchto údajů. Návrh však zahrnuje i řadu zásadnějších koncepčních změn. Některé změny by dokonce měly překonat restriktivní výklad Evropského sboru pro ochranu osobních údajů. Odpor vůči takovému posunu výkladu se ukázal již v lednu 2026, kdy Sbor společně s Evropským inspektorem ochrany údajů vydali k digitálnímu omnibusu stanovisko, ve kterém vyjadřují obavy z řady návrhů. Ve stanovisku kritizují, že změny zacházejí daleko nad rámec cílených a technických úprav GDPR. Kritické postoje se objevují i v Evropském parlamentu, který je tradičně silným zastáncem ochrany práv občanů EU. Poněkud překvapivě však zaznívají i v Radě, ačkoliv členské státy obecně po zjednodušování evropské legislativy volají. Osud jednotlivých návrhů je nejistý, již nyní je ale zřejmé, že finální podoba digitálního omnibusu obecně nezachová původní míru ambice.
Klíčovou navrhovanou změnou je definice osobních údajů. Evropská komise navrhuje posun od objektivního k subjektivnímu pojetí osobních údajů. Zatímco dnes se za osobní údaje považují jakékoliv údaje, které mohou přímo nebo i nepřímo identifikovat konkrétní osobu (nehledě na to, zda zpracovatel sám disponuje dalšími údaji, které umožňují identifikaci), nově by se údaje nepovažovaly za osobní, pokud by držitel údajů sám neměl rozumné prostředky k identifikaci osob. Jinými slovy, pokud by s pseudonymizovanými údaji zacházel někdo, kdo nemá k dispozici další údaje umožňující identifikaci osob, v rukou této osoby by byly považovány za anonymizované a GDPR by se na manipulaci s takovými údaji nevztahovalo. Evropská komise v této změně reflektuje nedávný rozsudek ve věci SRB v. EDPS ze dne 4. 9. 2025 (sp. zn. C‑413/23P), ve kterém se Soudní dvůr EU odklonil od svého doposud striktního výkladu pojmu osobní údaj. Navrhovaná změna by tak mohla podpořit využívání pseudonymizace ve spojení s dalšími opatřeními na posílení ochrany údajů a zároveň usnadnit práci s daty. Pojišťovnám by mohla v určitých situacích přinést snazší sdílení dat v rámci skupiny i sdílení s dalšími subjekty v souvislosti se statistickými či analytickými potřebami, rozvojem inovativních služeb apod. Z vyjednávání evropských zákonodárců se ovšem jeví jako nereálné, že by změna prošla. Její vypuštění je navrhováno dokonce i kyperským předsednictvím v Radě. Je tak pravděpodobné, že zmíněný rozsudek Soudního dvora bude promítnut pouze do pokynů k pseudonymizaci a anonymizaci, které aktuálně připravuje Evropský sbor pro ochranu osobních údajů. Lze očekávat, že Sbor bude tradičně zastávat restriktivnější výklad a stanoví přísné podmínky pro to, kdy lze pseudonymizované údaje považovat za anonymizované v rukou třetí strany, která nemá prostředky k opětovné identifikaci fyzických osob. Problematické přitom zřejmě bude posouzení identifikovatelnosti v datových tocích, do kterých je zapojeno více datových sad a více aktérů. Nelze přitom předpokládat, že bude Sbor výrazněji razit přístup založený na riziku.
Další významnější změna se týká čl. 22 GDPR, konkrétně rozvolnění podmínky nezbytnosti u automatizovaného individuálního rozhodování. Jednou z platných výjimek ze zákazu automatizovaného individuálního rozhodování je, je-li to nezbytné k uzavření nebo plnění smlouvy. Podmínka nezbytnosti je však ze strany řady dozorových orgánů, včetně českého ÚOOÚ, vykládána velmi přísně. Zjednodušeně lze konstatovat, že pokud historicky mohl rozhodnutí vydat člověk, nelze podmínku nezbytnosti považovat za splněnou. Tento striktní pohled tak zcela přehlíží dnešní realitu, kdy i zákazníci mají zájem uzavírat smlouvy online jednodušším a rychlejším způsobem, bez zbytečných průtahů a papírování. Aktuální výklad tak de facto může bránit online uzavírání smluv s odkazem na možnost uzavírat smlouvy na základě osobního jednání. Podle návrhu Evropské komise by nově podmínka nezbytnosti pro plnění smlouvy mohla být splněna i tehdy, pokud je rozhodnutí možné vydat i jinak než jen automaticky. Automatizovaná rozhodnutí v souvislosti se smlouvami by tak byla povolena, i kdyby rozhodnutí mohl učinit člověk. Pojišťovnám by to mohlo přinést možnost rozšířenějšího využití automatizovaného rozhodování při sjednávání pojistek, úpisu a dalších služeb. Aktuální kompromisní znění pozice Rady však tento návrh zcela vypouští, takže je změna reálně ohrožena.
Velký potenciál pro snížení administrativní zátěže mají i návrhy v oblasti reportingu incidentů. Evropská komise navrhuje prodloužit lhůtu pro oznámení incidentu z aktuálních 72 h na 96 h a omezit povinnost oznamování na incidenty, které může mít za následek vysoké riziko pro práva a svobody fyzických osob. Současně počítá s tím, že by Evropský sbor pro ochranu osobních údajů připravil seznam okolností, které jsou rozhodující pro posouzení vysokého rizika, a vytvořil vzor pro hlášení incidentů. Klíčovou změnou by bylo i zřízení tzv. „single-entry point“, které by se mělo stát jednotným vstupním bodem pro hlášení kybernetických a datových incidentů podle vícero evropských legislativních aktů. Tyto změny by přinesly úlevy i pojišťovacímu sektoru, neboť pojišťovny by získaly více času pro důkladnější prověření incidentů (např. přesnější zjištění dotčených kategorií údajů a odhadu počtu zasažených subjektů) a mohly se zaměřit na klíčové incidenty, což by jim umožnilo efektivněji řídit incidenty, podávat kvalitnější hlášení a optimalizovat náklady na compliance. Vytvoření jednotného vstupního bodu pro reporting incidentů by taky mohlo přinést úlevu, neboť událost, která je incidentem podle různých právních předpisů, by pojišťovny nově reportovaly pouze jednou a jedním kanálem, ze kterého by čerpaly všechny příslušné orgány. Z diskusí zákonodárců jsou již patrné výhrady k prodloužení lhůty pro oznamování incidentů. Složitější vyjednávání zákonodárce čeká zřejmě i ve vztahu k jednotnému vstupnímu bodu, jehož úspěch bude záviset na detailním technickém nastavení, a navíc bude nutné se vypořádat s obavami ze zmařených investic v souvislosti s nedávným spuštěním národních reportovacích kanálů. Členské státy v aktuálních diskusích zvažují i alternativní návrh, který by jednotný celoevropský vstupní bod nahradil národními vstupními body.
Z návrhu digitálního omnibusu je zároveň zřejmé, že Evropská komise z praxe navnímala případy šikanózního výkonu práva na přístup k údajům. Komise totiž navrhuje rozšířit důvody pro poplatnění nebo odmítnutí práva na přístup. Dnes je odmítnutí nebo zpoplatnění možné, pokud je požadavek subjektu údajů neodůvodněný nebo excesivní. Nově by tato možnost náležela i v situacích, kdy subjekt zneužívá práva za jiným účelem, než je ochrana jeho dat. Správce by ovšem musel prokázat, že subjekt údajů uplatnil právo se zlým úmyslem. Ačkoliv je tento návrh dobře míněný a reaguje na situace, se kterými se setkávají i pojišťovny, není překvapením, že vzbuzuje řadu výkladových nejasností a obav z přílišného oslabení práva subjektu údajů. I u tohoto návrhu proto hrozí významné rozmělnění nebo jeho odmítnutí.
Významnější změnou je i zavedení nového právního základu pro přístup k údajům z koncového zařízení. Aktuální úprava v čl. 5 e-Privacy směrnice je v mnoha ohledech již překonaná, protože v době jejího přijetí neexistovala řada dnes již běžných technologických inovací (např. připojená zařízení) a služeb spojených s těmito inovacemi. Pro pojišťovny má význam s ohledem na personalizované pojistné produkty, např. na tzv. pay-how-you-drive pojištění, u něhož se výše pojistného odvíjí od bezpečnosti jízdy řidiče. Pro fungování těchto produktů je klíčový přístup k datům v telematických zařízeních instalovaných ve vozidlech. Dnes musí pojišťovny spoléhat na souhlas klienta, aby mohly data využívat, což má řadu praktických úskalí (např. v případě odvolání souhlasu již není možné pokračovat v provádění smlouvy). Nyní Evropská komise navrhuje, aby úpravu převzala GDPR, která by zároveň stanovila nový právní základ za účelem poskytování služby, o niž požádal subjekt údajů. Pojišťovny by tak získaly stabilní a spolehlivější základ pro zpracování osobních údajů v souvislosti s pojistnými smlouvami založenými na telematice. V tuto chvíli však není zřejmé, jak se ke změně postaví evropští zákonodárci.
Digitální omnibus obsahuje i další změny GDPR, včetně výslovného připuštění oprávněného zájmu jakožto právního základu pro zpracování osobních údajů v kontextu vývoje a testování AI systému nebo možnosti zbytkového zpracování zvláštních kategorií údajů v rámci vývoje a testování AI systému. Tyto změny však doprovází řada podmínek, které omezují jejich přínos pro praxi. Stejně jako u ostatních změn je navíc diskutabilní, zda projdou sítem evropských zákonodárců.
Evropská komise souběžně s představením digitálního omnibusu spustila veřejnou konzultaci „digital fitness check“. Cílem je shromáždit podněty praxe pro další zjednodušení evropských digitálních předpisů. V rámci této veřejné konzultace je tak prostor, aby i pojišťovací sektor uplatnil své dlouhodobé požadavky, jako je vyřešení absence jednotného právního základu pro zpracování zdravotních údajů či potřeba zpřesnění definice zdravotních údajů. V situaci, kdy evropští zákonodárci rozporují i změny již navržené Evropskou komisí, je však naděje na další změny velmi omezená.
Evropský parlament a Radu čeká v souvislosti s digitálním omnibusem ještě hodně práce. Doposud se soustředily na sesterský návrh, AI omnibus, jehož přijetí bylo s ohledem na posun původních lhůt aplikovatelnosti AI aktu naléhavější. Na konečném znění AI omnibusu se však začátkem května t. r. zákonodárci shodli, a uvolnily se jim tak ruce pro digitální omnibus. Rada se v tuto chvíli zaměřuje na změny týkající se GDPR a Evropský parlament se do projednávání teprve pouští. Z předpokládaného harmonogramu je patrné, že finální podoby se nedočkáme dříve než v druhé
polovině r. 2027.
