欧盟数字规则简化又往前走了一步。2026年10月21日，欧盟理事会通过了谈判授权立场，同意对 GDPR、电子隐私指令下的 cookie 规则、网安与数据事件报告义务做一轮“简化但不降低保护”的修订；新闻稿在次日更新了授权立场全文。
发生了什么
这是欧盟“一揽子简化”计划的第七个立法包，目标是让欧盟数字规则更清晰、更好执行，降低企业和公共部门的合规成本。需要注意的是，同一立法包中关于 AI 协调规则实施简化的部分，已在 2026 年 6 月 29 日通过；本轮理事会拍板的是另一半——数字立法框架简化。
主要内容包括：
- GDPR 修订：个人数据的定义维持不变，新增假名化与自然人身份识别的专门条款；对无根据或过量的数据主体请求、低风险场景下的信息披露义务简化合规要求；“科研”采用原则性定义，并给研究机构定向豁免；为生物识别验证、以及 AI 系统开发与运行中处理敏感数据设立附带保障措施的豁免；澄清 AI 相关个人数据处理的合法依据；延长个人数据泄露通知期限；推出欧盟统一的高风险处理类别清单和通用合规模板。
- Cookie 规则：电子隐私指令下的 cookie 与在线追踪规则保留，但明确更多无需用户同意即可放置 cookie 的情形，例如提供服务、受众测量、保障用户设备安全——这意味着以后网页上的 cookie 横幅会明显变少。
- 平台与数据规则：废除平台-企业（P2B）条例的部分条款；整合“数据规则集”；公共部门可对超大型企业、特别是被指定为“看门人”的企业的数据再利用收取更高费用；加强商业秘密对第三国泄露的防范——数据持有者和使用者在采取全部必要保密措施之前，无需披露商业秘密。
- 事件报告：不再设立单一的欧盟级报告入口，改为每个成员国设立国家级入口，同时设立欧盟层面的事件报告信息点，并推动统一的事件通知框架和跨境事件通知规则。与此同时，欧盟 AI 法案已经进入执法阶段 (/article/2612-eu-ai-acts-first-enforcement-why-openai-and-anthropic-got-letters)，合规压力是真实的。
下一步是理事会主席国在欧洲议会形成自己的谈判立场后，与议会展开三方谈判。按 2026 年 4 月签署的“一欧洲一市场”路线图，欧盟目标是在 2027 年底前收尾全部简化立法包。
影响谁
适用范围是欧盟：在欧盟境内运营的企业、公共管理部门和欧盟公民都受影响。
- 在欧盟提供 AI 服务、或用 AI 处理个人数据的企业：AI 训练与运行环节的数据法律依据、生物识别验证场景的合规路径可能出现新的豁免空间。此前英国数据监管已要求十家大模型厂商整改数据做法 (/article/2519-uk-ico-names-10-model-developers-changing-data-practices-and-xai-faces-a-separat)，可见数据处理合规正在收紧。
- 隐私与安全团队：数据泄露通知时限延长是利好，但报告渠道将切换为国家级入口加统一框架，内部响应流程要跟着改。
- 网站运营者与广告测量方：cookie 同意管理工具要按新的豁免情形调整配置。
- 公共部门数据持有者与大数据再利用企业：看门人再利用公共数据的费用可能上涨，商业秘密出境的保护门槛提高。
该怎么做
- 别等最终文本：现在就梳理自家 AI 训练与运行环节处理个人数据的法律依据和假名化方案，先把差距清单列出来，立法落地后直接对号入座。
- 生物识别场景单独建档：新的豁免都绑着保障措施，上线前先做一次合规评审，别把“豁免”理解成“放行”。
- 更新泄露响应流程：通知时限可能延长，但统一通知框架和国家级入口意味着报告模板和对接渠道要重做。
- 跟踪三方谈判：理事会授权立场只是谈判起点，议会立场尚未形成，假名化条款、科研豁免、cookie 豁免范围等关键内容都可能在谈判中增减，以最终通过的版本为准。
风险在哪里
最大的风险是把它当成已经生效的法律——这只是理事会的谈判授权，还要和欧洲议会谈，落地时间和最终内容都有变数。同时，“简化”不等于“放松”：新闻稿反复强调维持高保护标准，生物识别与 AI 数据处理的豁免都附带保障措施，合规动作不能提前停摆。
还要特别注意地域边界：这是欧盟规则，不适用于美国等其他法域，跨国企业要分法域管理，不能把欧盟的豁免情形套用到其他地区。
