În 13 aprilie 2026 a avut loc o reuniune a grupului de lucru privind protecția datelor cu caracter personal, din cadrul CNUE.

Au avut loc discuții și cu privire la sistemele de IA de la nivelul notariatelor și măsurile în materie de protecție a datelor, precum și impactul Omnibus-ului digital (pachet legislativ lansat de Comisia Europeană în noiembrie 2025 pentru a simplifica și armoniza reglementările digitale existente în UE) asupra aplicării RGPD.

Notariatul maghiar a subliniat că folosirea IA în practica notarială reprezintă un risc înalt pentru protecția datelor cu caracter personal, având în vedere că o parte a serverelor folosite de furnizorii de servicii în materie de IA se află în India sau China, iar datele personale pot fi utilizate de către persoane neautorizate.

Notariatul austriac a menționat că a fost creată la nivel notarial o unitate ce se ocupă de partea de inovare, inclusiv de posibila utilizare a IA. Însă, la momentul actual, datele cu caracter personal nu pot fi utilizate pentru prompturile sistemelor generative de IA.

Notariatul belgian a menționat că IA poate să constituie o valoare adăugată pentru activitatea notarială. Începând cu 2024, notariatul belgian a creat mai multe grupuri de lucru interne, care analizează modul în care IA poate fi utilizată în practica notarială. Spre exemplu, programul Claude este considerat a fi destul de sigur. Notariatul belgian a elaborat o grilă pentru evaluarea riscurilor în materie de folosire a IA, ce conține 23 de criterii diferite, ce trebuie luate în considerare de către notari atunci când folosesc un sistem generativ de IA.

Notariatul croat a precizat că are în vedere dezvoltarea unui sistem bazat pe IA, cu ajutorul căruia verificarea clienților, în contextul prevederilor de combatere a spălării banilor, să aibă loc în mod automatizat.

Notariatul spaniol a menționat că nu recomandă notarilor folosirea sistemelor generative de IA.

Notariatul francez a precizat că a elaborat un ghid cu privire la utilizarea IA în activitatea notarială, ce este disponibil pe portalul intern. Un sistem de tip IA este folosit, începând cu 2025, pentru procedura identificării la distanță a clienților, în cazul procurilor. IA este folosită, în acest caz, pentru recunoașterea facială a clientului.

Notariatul italian a menționat că nu există, momentan, un cadru juridic pentru utilizarea datelor personale în cadrul unor sisteme generative de tip IA. În cazul în care se folosește IA de către notariat, ar trebui să fie un sistem dezvoltat de către profesie, deoarece IA nu oferă garanții cu privire la neutralitate din punct de vedere cultural sau politic și poate fi influențată de interesele terților.

Notariatul lituanian a menționat că utilizează IA pentru confirmarea identității clientului, în procedurile la distanță (clientul trebuie să își facă o fotografie și să fotografieze actul de identitate, iar sistemul compară fotografia cu cea din registrul pentru evidența populației și trimite un raport către sistemul e-notary, utilizat pentru actele la distanță).

Notariatul olandez a precizat că a elaborat două ghiduri în atenția notarilor, unul mai general, cu privire la inteligența artificială, și unul mai detaliat cu privire la utilizarea IA de către notari. La momentul actual, notariatul olandez are în lucru trei proiecte privind folosirea IA: Un ChatGPT pentru notari, ce va fi alimentat din surse deschise; un instrument (NOTI), ce va funcționa ca un chatbot intern și va centraliza toate întrebările adresate notarilor de către clienți, și un extractor de informații din actele notariale, pentru completarea automată a anumitor documente notariale.

Notariatul portughez a informat cu privire la folosirea unui sistem IA, de extragere a datelor din pașaport și din cărțile de identitate. Institutul de Evidență și Notariat (IRN) este responsabil pentru acordarea și eliberarea pașaportului electronic portughez. În baza unui protocol de colaborare dintre IRN și Oficiul Național pentru Imigrări, este posibilă utilizarea sistemului IA după cum urmează: actele de identitate/pașapoartele sunt scanate, iar informațiile sunt extrase și automatizate și incluse în cadrul platformei digitale. Pentru a verifica informația de care are nevoie și a o extrage, Oficiul Național pentru Imigrări utilizează un cod generat de către platformă.

În cea de-a doua parte a reuniunii, au fost trecute în revistă propunerile Comisiei Europene cu privire la Omnibus-ul digital, publicate în noiembrie 2025, și impactul asupra RGPD.

Acquis-ul legislativ privind datele include o serie de regulamente, creând complexitate juridică, inclusiv unele suprapuneri, definiții nealiniate perfect și nelămuriri privind interacțiunea dintre instrumente. Pentru a aborda acest aspect, Regulamentul Omnibus propune abrogarea normelor caduce, în special a normelor în vigoare prevăzute în Regulamentul (UE) 2018/1807 [Regulamentul privind libera circulație a datelor fără caracter personal (FFDR)], precum și consolidarea și raționalizarea normelor prevăzute în Regulamentul (UE) 2022/868 privind guvernanța datelor, DGA. În același timp, normele prevăzute în acest regulament privind guvernanța datelor referitoare la reutilizarea datelor protejate sunt cumulate cu normele prevăzute în Directiva (UE) 2019/1024 privind datele deschise, în scopul de a crea un cadru unic pentru reutilizarea datelor deținute de organisme din sectorul public, reflectat în Regulamentul (UE) 2023/2854 privind datele.

Regulamentul RGPD a intrat în vigoare la 25 mai 2018, creând standarde, norme și garanții la nivelul Uniunii pentru prelucrarea datelor cu caracter personal ale persoanelor fizice, drepturile persoanelor vizate, precum și un cadru juridic general pentru persoanele care prelucrează date cu caracter personal. Comisia propune clarificarea anumitor definiții-cheie (ex: date cu caracter personal) sau facilitarea conformării, prin sprijinirea operatorilor în ceea ce privește criteriile și mijloacele prin care se stabilește dacă datele rezultate din pseudonimizare constituie sau nu date cu caracter personal. Mai sunt incluse în propunere modificări în legătură cu cerințele de informare și notificările privind încălcarea securității datelor transmise către autoritățile de supraveghere, precum și prin clarificarea anumitor aspecte legate de prelucrarea datelor pentru antrenarea și dezvoltarea IA. Se propune, de asemenea, extinderea excepțiilor acordate în cadrul obligației de informare în vederea prelucrării.

Este propusă modificarea articolului 4, după cum urmează: „Informațiile referitoare la o persoană fizică nu constituie în mod necesar date cu caracter personal pentru orice altă persoană sau entitate pentru simplul motiv că o altă entitate poate identifica persoana fizică respectivă. Informațiile nu au caracter personal pentru o anumită entitate în cazul în care entitatea respectivă nu poate identifica persoana fizică la care se referă informațiile, ținând seama de mijloacele care ar putea fi utilizate în mod rezonabil de entitatea respectivă. Astfel de informații nu capătă caracter personal pentru entitatea respectivă doar pentru că un potențial destinatar ulterior dispune de mijloace care ar putea fi utilizate în mod rezonabil pentru a identifica persoana fizică la care se referă informațiile.”

Datele cu caracter personal devin relative, în funcție de entitate: aceleași date nu constituie în mod automat date cu caracter personal pentru fiecare operator sau destinatar. Această propunere are un impact considerabil asupra datelor pseudonimizate.

Comitetul european pentru protecția datelor și Autoritatea Europeană de Supraveghere au dat un aviz negativ cu privire la această propunere a CE.

Conform noului articol 41.a: „Articolul 41.a: (1) Comisia poate adopta acte de punere în aplicare pentru a specifica mijloacele și criteriile pentru a stabili dacă datele rezultate din pseudonimizare nu mai constituie date cu caracter personal pentru anumite entități. (2) În sensul alineatului (1), Comisia:

(a) evaluează stadiul actual al tehnologiei în ceea ce privește tehnicile disponibile;

(b) elaborează criterii și/sau categorii pentru ca operatorii și destinatarii să evalueze riscul de reidentificare în raport cu destinatarii tipici ai datelor.

(3) Punerea în aplicare a mijloacelor și a criteriilor prezentate într-un act de punere în aplicare poate fi utilizată ca element care să demonstreze că datele nu pot conduce la reidentificarea persoanelor vizate.

(4) Comisia implică îndeaproape CEPD în ceea ce privește întocmirea actelor de punere în aplicare. CEPD emite un aviz cu privire la proiectele de acte de punere în aplicare în termen de 8 săptămâni de la primirea proiectului din partea Comisiei.

(5) Actele de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 93 alineatul (3).”

Comisia este împuternicită să adopte acte de punere în aplicare: mijloace și criterii specifice pentru a stabili când datele pseudonimizate nu mai constituie date cu caracter personal pentru anumite entități. De asemenea, vor fi emise orientări pentru operatorii de date, pentru a analiza dacă seturile de date pseudonimizate intră în continuare sub incidența RGPD. Accentul este pus pe riscul de reidentificare a persoanelor vizate.

Se propune modificarea articolului 9.2, după cum urmează: 

„(k) prelucrarea este necesară în contextul dezvoltării și operării unui sistem de IA, astfel cum este definit la articolul 3 punctul 1 din Regulamentul (UE) 2024/1689, sau a unui model de IA, sub rezerva condițiilor menționate la alineatul (5);

(l) prelucrarea datelor biometrice este necesară în scopul confirmării identității unei persoane vizate (verificare), în cazul în care datele biometrice sau mijloacele necesare pentru verificare se află sub controlul exclusiv al persoanei vizate.”

Se introduce, astfel, un nou temei juridic cu privire la prelucrarea datelor biometrice sau mijloacele de verificare: acestea se află sub controlul exclusiv al persoanei vizate. Exemple: datele și mijloacele de verificare se află exclusiv pe dispozitivul propriu al utilizatorului (telefon, laptop), nu pe serverele operatorului; se folosește un cod PIN securizat și un token criptografic pe care utilizatorul îl poate șterge, revoca sau reseta în orice moment.

Operatorul nu poate reutiliza în mod independent datele biometrice în alte scopuri,  datele sau cheia acestora nu ies de sub controlul persoanei vizate.

Prelucrarea datelor sensibile în contextul dezvoltării și exploatării unui sistem sau model de IA se va afla sub rezerva unor garanții stricte. Operatorii vor trebui să pună în aplicare măsuri organizatorice și tehnice adecvate, pentru a preveni colectarea sau utilizarea datelor sensibile.

Conform amendamentului adus articolului 88.c:

„În cazul în care prelucrarea datelor cu caracter personal este necesară pentru interesele operatorului în contextul dezvoltării și operării unui sistem de IA, astfel cum este definit la articolul 3 punctul 1 din Regulamentul (UE) 2024/1689, sau a unui model de IA, o astfel de prelucrare poate fi efectuată într-un interes legitim în sensul articolului 6 alineatul (1) litera (f) din Regulamentul (UE) 2016/679, după caz, cu excepția cazului în care alte acte legislative ale Uniunii sau naționale impun în mod explicit consimțământul și în cazul în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil.

Orice astfel de prelucrare face obiectul unor măsuri organizatorice și tehnice și a unor garanții adecvate pentru drepturile și libertățile persoanei vizate, cum ar fi asigurarea respectării reducerii la minimum a datelor în etapa de selecție a surselor și de antrenare și testare a unui sistem de IA sau model de IA, protejarea împotriva divulgării datelor păstrate în mod rezidual în sistemul sau modelul de IA, asigurarea unei transparențe sporite pentru persoanele vizate și acordarea unui drept necondiționat persoanelor vizate de a se opune prelucrării datelor lor cu caracter personal.”

Criticile aduse acestei modificări se referă la slăbirea protecției bazate pe consimțământ, facilitarea antrenării IA la scară largă, în baza datelor cu caracter personal, o dificultate în a oferi și aplica garanții adecvate pentru drepturile și libertățile persoanei vizate, precum și lipsa unei supravegheri eficiente a aplicării normelor în materie de RGPD. Grupul de lucru în materie de RGPD va continua să monitorizeze evoluția negocierilor instituționale, referitoare la Omnibus-ul digital.