Ambasadorowie 27 państw UE zatwierdzili w środę 21 października 2026 roku mandat negocjacyjny Rady w sprawie Cyfrowego Omnibusa, który dodaje do RODO nowy artykuł 88 bis: rozwój i działanie systemów oraz modeli AI będą mogły opierać się na „prawnie uzasadnionym interesie” firmy, a nie na zgodzie użytkownika. Organizacja NOYB Maxa Schremsa nazwała tę decyzję cyfrowym wywłaszczeniem Europejczyków i zapowiada walkę w Parlamencie Europejskim, a w ostateczności przed Trybunałem Sprawiedliwości UE.
- 21 października 2026 roku ambasadorowie 27 państw UE (Coreper) zatwierdzili mandat negocjacyjny w sprawie Cyfrowego Omnibusa, który dodaje do RODO nowy artykuł 88 bis, pozwalający firmom na przetwarzanie danych osobowych do celów trenowania i działania systemów AI na podstawie „prawnie uzasadnionego interesu" – bez konieczności uzyskiwania zgody użytkownika.
- Organizacja NOYB Maxa Schremsa zarzuca, że w odróżnieniu od dotychczasowego RODO, które wymagało wskazania konkretnego celu przetwarzania, art. 88 bis legitymizuje całą technologię AI niezależnie od celu jej użycia, co mogłoby objąć dane wszystkich osób dostępnych firmie – w tym zebrane przez platformy takie jak Meta przez ostatnie 20 lat.
- Mandat Rady nie jest jeszcze prawem – Parlament Europejski musi przyjąć własne stanowisko, a następnie odbyć trilog z Radą; NOYB zapowiada, że jeśli ostateczny tekst nie będzie zawierał proporcjonalnych zabezpieczeń, sprawa może trafić do Trybunału Sprawiedliwości UE, a za najwcześniejszy realistyczny termin zakończenia prac uznaje się początek 2027 roku.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Co dokładnie zatwierdziła Rada UE 21 października
Komitet Stałych Przedstawicieli (Coreper), czyli ambasadorowie rządów państw członkowskich, zatwierdził 21 października 2026 roku mandat negocjacyjny Rady w sprawie Cyfrowego Omnibusa, pakietu, który nowelizuje m.in. RODO. Tekst opublikowano dzień później jako dokument 14756/26. Mandat liczy 179 stron i przepisuje fragmenty RODO, dyrektywy ePrivacy, Data Act oraz unijnych przepisów o zgłaszaniu incydentów cyberbezpieczeństwa.
W artykule 88 bis zapisano, że przetwarzanie danych osobowych „w kontekście rozwoju i działania” systemu lub modelu AI może odbywać się na podstawie prawnie uzasadnionego interesu administratora lub osoby trzeciej, zgodnie z art. 6 ust. 1 lit. f RODO. Przepis odwołuje się też do prawa sprzeciwu z art. 21 RODO i do obowiązku stosowania odpowiednich środków technicznych i organizacyjnych.
Najważniejsze elementy mandatu Rady w części dotyczącej RODO:
- art. 88 bis: prawnie uzasadniony interes jako podstawa przetwarzania danych przy rozwoju i działaniu AI,
- zachowanie obecnej definicji danych osobowych, ale z dodatkowymi przepisami o pseudonimizacji i identyfikowalności, według których dana informacja nie musi być daną osobową dla każdego podmiotu, który ją otrzymuje,
- przedłużenie terminu zgłaszania naruszeń ochrony danych do 96 godzin,
- pozostawienie zasad dotyczących plików cookie w dyrektywie ePrivacy, zamiast przenoszenia ich do RODO.
Droga do tego mandatu była wyboista. Coreper nie zdołał przyjąć mandatu 7 października 2026 roku, bo Niemcy i Francja domagały się silniejszej ochrony tajemnic handlowych w Data Act. Głosowanie nie odbyło się także 11 października, a dopiero 21 października Coreper przyjął stanowisko.
Prawnicy spierają się, czy przepis w ogóle coś zmienia
Analizy prawne po publikacji mandatu nie dają jednoznacznej odpowiedzi, czy art. 88 bis to rewolucja, czy potwierdzenie obecnej praktyki. Już w grudniu 2024 roku Europejska Rada Ochrony Danych (EROD) w opinii 28/2024 dopuściła, że prawnie uzasadniony interes może być podstawą przetwarzania danych na potrzeby rozwoju modeli AI, pod warunkiem przejścia testu równowagi interesów.
Autor analizy na blogu Digidata zwraca uwagę, że art. 88 bis wprost odwołuje się do art. 6 ust. 1 lit. f, zachowuje zastrzeżenie o nadrzędności praw osoby, której dane dotyczą, i respektuje inne przepisy wymagające zgody. Motyw 33a stanowi z kolei, że rozwój i działanie AI same w sobie nie stanowią prawnie uzasadnionego interesu: ocena pozostaje indywidualna i dotyczy celu przetwarzania. Według innej analizy tekst pozwala trenować AI bez zgody wyłącznie w tym sensie, w jakim prawnie uzasadniony interes nigdy nie wymagał zgody, tak samo jak przy każdym innym przetwarzaniu.
Jest też ciekawy szczegół dotyczący dzieci. Motyw 33a wyklucza prawnie uzasadniony interes tam, gdzie prawa osoby, której dane dotyczą, przeważają, w szczególności w przypadku osoby małoletniej. Ta wzmianka nie pojawia się już jednak w samym art. 88 bis w wersji Rady.
Niemcy chciały pójść dalej. W oświadczeniu z 21 października, o którym 23 października informowała Agence Europe, Berlin z zadowoleniem przyjął przywrócenie przepisu o AI, ale domagał się mocniejszej podstawy prawnej, w tym domniemania, że trenowanie i działanie AI stanowią prawnie uzasadniony interes, oraz zmian w art. 9 RODO (czyli w przepisach o danych szczególnej kategorii, takich jak zdrowie czy poglądy polityczne).
Wypełnij formularz, a my skontaktujemy się z Tobą, aby upewnić się czego potrzebujesz.
NOYB: to blankiet dla całej technologii, a nie dla konkretnego celu
Organizacja NOYB (None of Your Business), austriacka organizacja pozarządowa założona przez Maxa Schremsa, opublikowała 23 października 2026 roku komunikat zatytułowany „AI: Państwa członkowskie UE zatwierdzają cyfrowe wywłaszczenie dla firm AI”. NOYB czyta ten sam tekst zupełnie inaczej niż cytowani wyżej prawnicy.
Główny zarzut NOYB brzmi: RODO zwykle dopuszcza przetwarzanie dla konkretnych celów, takich jak przechowywanie dokumentów podatkowych czy zapobieganie oszustwom. Art. 88 bis legitymizuje natomiast całą technologię, niezależnie od celu jej użycia. Według organizacji przepis objąłby wszystkie dane osobowe, do których firma AI może w jakikolwiek sposób dotrzeć, także dane osób, które nigdy nie były klientami danej firmy, oraz wpisy sprzed dekad z czatów czy mediów społecznościowych.
Max Schrems, honorowy przewodniczący NOYB, podsumował to tak:
„To nic innego jak cyfrowe wywłaszczenie Europejczyków.” / „This is nothing but a digital expropriation of Europeans.”
NOYB podnosi też, że odwołanie do art. 21 i art. 24 RODO nie dodaje żadnych nowych zabezpieczeń, bo te przepisy i tak stosują się do każdego przetwarzania. Organizacja ostrzega, że przepis mógłby zalegalizować operacje dziś nielegalne, na przykład reklamę spersonalizowaną bez zgody, jeśli tylko personalizację wykona system AI. Schrems porównuje to do sytuacji, w której coś zabronionego w arkuszu kalkulacyjnym staje się dozwolone, gdy zrobi to agent AI.
Osobny wątek to definicja danych osobowych. Według NOYB większość systemów informatycznych działa na pseudonimach, takich jak identyfikatory użytkowników, identyfikatory śledzące czy adresy IP. Jeśli te dane częściej wypadałyby poza RODO, nie wiadomo, czy śledzenie w sieci nadal podlegałoby rozporządzeniu. O tym, czy dane są „osobowe”, decydowałyby w pierwszej kolejności firmy objęte regulacją.
NOYB zwraca również uwagę na kontekst polityczny: prezydencję w Radzie sprawuje obecnie Irlandia, która jest europejską siedzibą większości amerykańskich i chińskich korporacji AI. Organizacja wskazuje też, że Komisja Europejska wybrała przyspieszoną ścieżkę legislacyjną bez oceny wpływu na prawa podstawowe i bez bezpośredniego udziału EROD.
Czytam oba stanowiska i uważam, że prawda leży w szczegółach, które poznamy dopiero po trilogu. Prawnicy mają rację, że prawnie uzasadniony interes nigdy nie wymagał zgody i że EROD już dwa lata temu dopuściła go przy trenowaniu modeli. NOYB ma rację, że wpisanie całej technologii do rozporządzenia jako osobnej podstawy to zupełnie nowa jakość. Dotąd przepis mówił o celu. Teraz mówi o narzędziu.
Najbardziej niepokoi mnie co innego. Przez lata europejscy użytkownicy słyszeli, że ich dane są bezpieczne, bo chroni je RODO. Jeśli ten sam parlament i ta sama Rada, które w 2016 roku uchwaliły to rozporządzenie, teraz otworzą furtkę dla danych zebranych dekadę temu, zaufanie do unijnego prawa cyfrowego spadnie. I nie odbudują go żadne motywy 33a.
Z drugiej strony widzę argument przemysłowy. Modeli językowych nie da się trenować na indywidualnych zgodach, to fizycznie niewykonalne. Pytanie, czy odpowiedzią ma być przepis tak szeroki, że obejmie zarówno europejski startup, jak i Metę z jej zasobami z ostatnich 20 lat. Schrems twierdzi, że skorzystają głównie ci drudzy. Trudno mi z tym polemizować.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Polski biznes naciskał na rząd, by Polska poszła dalej niż Komisja
Polskie organizacje pracodawców domagały się od rządu stanowiska jeszcze bardziej liberalnego niż to, które ostatecznie przyjęła Rada. Rada Przedsiębiorczości, forum dziewięciu największych organizacji pracodawców w Polsce (m.in. Konfederacja Lewiatan, Krajowa Izba Gospodarcza, Pracodawcy RP, Związek Banków Polskich, ABSL), wysłała 4 sierpnia 2026 roku list do wicepremiera i ministra cyfryzacji Krzysztofa Gawkowskiego z apelem o „znaczące zwiększenie ambicji polskiego stanowiska” w pracach Rady UE nad Cyfrowym Omnibusem.
W sprawie przepisu o AI (wówczas jeszcze art. 88c) organizacje prosiły o:
- potwierdzenie art. 88c jako wiążącego przepisu, a nie tylko motywu,
- usunięcie możliwości wprowadzania w prawie krajowym dodatkowych wymogów uzyskania zgody,
- wyraźne wskazanie, że prawnie uzasadniony interes obejmuje rozwój i działanie modeli AI ogólnego przeznaczenia,
- usunięcie wymogów „zwiększonej przejrzystości” i „bezwarunkowego prawa do sprzeciwu”.
Rada Przedsiębiorczości argumentowała, że modeli AI trenowanych na dużych zbiorach danych nie da się tworzyć na podstawie indywidualnej zgody, oraz że inwestycje w AI w Unii są około dziesięciokrotnie niższe niż w USA. Organizacje powoływały się na raport Draghiego, według którego luka inwestycyjna w UE sięga 800 mld euro rocznie, a Europa przyciąga około 5 proc. globalnego kapitału VC w sektorach technologicznym i AI, podczas gdy USA ponad 50 proc.
Jak w Coreperze głosowała Polska, z publicznie dostępnych dokumentów nie wynika. Ministerstwo Cyfryzacji informowało wcześniej, że jego eksperci aktywnie uczestniczą w pracach nad pakietem. Wiadomo natomiast, że w grudniu 2025 roku Rzecznik Praw Obywatelskich w stanowisku do Komisji Europejskiej i Ministerstwa Cyfryzacji ostrzegał przed wprowadzeniem względnego kryterium w definicji danych osobowych, czyli dokładnie tym elementem, który NOYB krytykuje dziś w mandacie Rady.
Dla polskich firm budujących produkty AI stanowisko Rady oznaczałoby jaśniejszą podstawę prawną do trenowania modeli na danych klientów. Dla polskich użytkowników Facebooka, Google czy ChatGPT oznaczałoby, że ich dane zebrane przez te platformy przez lata mogłyby zasilać modele bez osobnego pytania o zgodę, z zachowaniem prawa sprzeciwu.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Co dalej: Parlament, trilog i możliwy spór przed TSUE
Mandat Rady nie jest prawem. Parlament Europejski musi teraz przyjąć własne stanowisko w sprawie Cyfrowego Omnibusa, a dopiero potem mogą zacząć się negocjacje między Radą a Parlamentem. Dotyczy to wyłącznie części „danych”: część pakietu dotycząca AI Act została wydzielona wcześniej i w lipcu 2026 roku stała się rozporządzeniem (UE) 2026/1744.
W Parlamencie układ sił jest niejasny. NOYB przeanalizowała ponad 1000 poprawek do przepisów RODO i ePrivacy w Cyfrowym Omnibusie i wskazuje, że większość Europejskiej Partii Ludowej (EPP) skłania się ku dalszym wyjątkom w prawie cyfrowym, podczas gdy frakcje centrolewicowe opowiadają się za utrzymaniem obecnego stanu. Organizacja zapowiada, że jeśli ostateczny tekst nie będzie zawierał proporcjonalnych zabezpieczeń, sprawa może trafić do Trybunału Sprawiedliwości UE, który w przeszłości unieważniał unijne przepisy o retencji danych i o transferach danych do USA.
Cyfrowy Omnibus musi zostać przyjęty zarówno przez Radę, jak i Parlament Europejski, a początek 2027 roku uznawany jest za najwcześniejszy realistyczny termin zakończenia prac. Do tego czasu obowiązuje RODO w obecnym brzmieniu.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz dodatkowych źródeł, w tym mandatu negocjacyjnego Rady UE dokument ST 14756/26 z dnia 22.10.2026, komunikatu organizacji NOYB z dnia 23.10.2026 oraz relacji Agence Europe z dnia 22.10.2026. Polski kontekst na podstawie listu Rady Przedsiębiorczości do ministra cyfryzacji z dnia 04.08.2026. Do weryfikacji wykorzystano także analizy PPC Land, Lexology, Digidata oraz stanowisko Rzecznika Praw Obywatelskich z grudnia 2025 roku.
Cytat Maxa Schremsa, honorowego przewodniczącego NOYB, został zweryfikowany z oryginalnym anglojęzycznym materiałem źródłowym.
Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl.
Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji o pracach nad Cyfrowym Omnibusem i artykułem 88 bis RODO.
