GDPR is al bijna acht jaar 's werelds meest aangehaalde privacywet, maar een snelle onderhandeling binnen de EU-Raad zou stilletjes kunnen herschrijven wat de wet daadwerkelijk beschermt. Volgens berichtgeving over de lopende gesprekken naderen diplomaten van de EU-Raad een Digital Omnibus-akkoord dat advertentietracking-ID's voor bepaalde verwerkers buiten de dataprotectiewet zou laten vallen, AI-ontwikkelaars een zonder-toestemming snelweg voor trainingsdata zou geven, en een geautomatiseerd browsersignaal zou schrappen dat was ontworpen om het voor gewone gebruikers makkelijker te maken zich af te melden voor tracking. Voor de 450 miljoen EU-inwoners die op GDPR vertrouwen als hun juridische vangnet tegen dataverzameling, zijn de onderhandelingen van deze week belangrijker dan de meeste mensen beseffen.
Wat de Digital Omnibus-deal verandert in GDPR
De Digital Omnibus werd gepresenteerd als een vereenvoudigingspakket, een manier om regelgevende wrijving te verminderen voor bedrijven die te maken hebben met overlappende EU-digitale regels. Maar de versie die nu door de Raad gaat, gaat verder dan administratieve opruiming. Op basis van de huidige berichtgeving zou de deal uitzonderingen creëren waardoor bepaalde dataverwerkers advertentietracking-identificatoren als buiten het bereik van GDPR kunnen behandelen. Dat is een betekenisvolle verschuiving: tracking-ID's zijn de ruggengraat van gedragsadvertenties, en ze vrijstellen van de dataprotectiewet verwijdert een laag van toezicht die sinds de inwerkingtreding van GDPR van toepassing is. Dezelfde onderhandelingen zouden ook AI-trainingsactiviteiten een juridische snelweg geven die geen gebruikerstoestemming vereist, nog een kernprincipe van GDPR dat wordt ingeperkt in plaats van versterkt.
Handhavingscijfers tonen waarom dit onderscheid belangrijk is. Cumulatieve GDPR-boetes zijn al opgelopen tot meer dan 4 miljard euro terwijl toezichthouders wereldwijd vergelijkbare privacykaders hebben aangenomen. Dat handhavingsrecord bestaat omdat de toestemmings- en verwerkingsregels van GDPR toezichthouders duidelijke overtredingen gaven om op te treden. Het versoepelen van die definities beïnvloedt niet alleen toekomstige zaken, het verandert wat in de eerste plaats als een overtreding geldt.
Wie profiteert: Ad-tech en AI-trainingsuitzonderingen
De twee grootste uitzonderingen in de gerapporteerde deal wijzen beide in dezelfde richting: verminderde wrijving voor bedrijven die persoonlijke data op grote schaal monetiseren. Advertentietechnologiebedrijven hebben jarenlang weerstand geboden tegen toestemmingsvereisten die real-time bidding en cross-site tracking vertragen. Als tracking-ID's voor sommige verwerkers als vrijgesteld worden geherclassificeerd, krijgen ad-techbedrijven een schonere juridische weg om identificatoren te verzamelen en te delen zonder dezelfde toestemmingsverplichtingen die momenteel gelden.
AI-ontwikkelaars hebben een vergelijkbaar voordeel. Een zonder-toestemming snelweg voor trainingsdata pakt een van de meest betwiste onopgeloste vragen in AI-regulering aan: of persoonlijke data die wordt gescraped of gelicentieerd voor modeltraining hetzelfde toestemmingsstandaard vereist als andere verwerking. Het verwijderen van die vereiste zou AI-bedrijven in staat stellen te trainen op data van EU-inwoners met minder juridische blootstelling, zelfs terwijl debatten over AI-transparantie en dataprovenance elders in Brussel doorgaan.
Geen van deze uitzonderingen elimineert GDPR volledig. Maar ze beperken het bereik precies op de twee gebieden waar het verzamelen van persoonlijke data de afgelopen jaren het snelst is gegroeid.
Het geschrapte browsersignaal en wat het betekende voor afmeldingen
Misschien wel het meest ingrijpende detail in de gerapporteerde deal is het kleinste: het verwijderen van een geautomatiseerd browsersignaal dat bedoeld was om gebruikers tracking-afmeldingen te laten registreren zonder op elke site die ze bezoeken door toestemmingsbanners te klikken. Signalen zoals deze zijn bedoeld om de last van privacybeheer weg te schuiven van individuele gebruikers naar browserbrede standaardinstellingen, zodat één instelling iemands voorkeur op het hele web kan communiceren. Het verwijderen van dat mechanisme uit het Digital Omnibus-pakket betekent dat gebruikers een gestandaardiseerde, laagdrempelige manier verliezen om nee te zeggen tegen tracking, en terug worden geduwd naar het handmatig beheren van toestemmingspop-ups site voor site, een proces waar de meeste mensen doorheen klikken zonder te lezen.
Wat dit voor jou betekent
Als deze deal doorgaat zoals gerapporteerd, verliezen EU-inwoners niet van de ene op de andere dag GDPR, maar ze verliezen wel een deel van de praktische tanden ervan precies op de gebieden waar tracking het meest doordringend is: advertenties en AI. Zonder een browserbreed afmeldingsignaal verschuift de verantwoordelijkheid voor het beperken van tracking verder naar individuen in plaats van geautomatiseerde tools. Dat maakt persoonlijke privacygewoonten belangrijker, niet minder. Het aanpassen van browserprivacy-instellingen, het beperken van third-party cookies, en het gebruik van een VPN om je IP-adres en locatie te maskeren voor advertentienetwerken vervangen niet wat een sterk regelgevend kader biedt, maar ze voegen een laag controle toe die niet afhangt van hoe een Brusselse onderhandeling deze week afloopt.
Belangrijkste punten
Let op hoe deze Raadsonderhandeling afloopt, aangezien de definitieve tekst over tracking-ID-uitzonderingen en AI-toestemmingssnelwegen nog kan verschuiven voor de goedkeuring. Ondertussen: wacht niet tot regelgeving bijbenen: bekijk de trackingbeschermingsinstellingen van je browser, beperk welke sites advertentie-identificatoren kunnen plaatsen, en overweeg een VPN als een praktische manier om blootstelling aan cross-site tracking te verminderen, ongeacht hoe het bereik van GDPR evolueert. Gezien het feit dat GDPR-handhaving al miljarden aan boetes heeft opgeleverd, is de kernwaarde van de wet bewezen, en dat is precies waarom de Raadsbeslissingen van deze week over de Digital Omnibus publieke aandacht verdienen.
