De Digital Omnibus van de Europese Unie wordt gepresenteerd als een vereenvoudigingspakket, en een van de meest zichtbare beloften is minder cookiebanners. Maar de GDPR-wijzigingen van de EU Digital Omnibus gaan veel verder dan pop-ups. Volgens de berichtgeving die we hebben bekeken, zou het voorstel de cookieregels raken, de manier waarop persoonsgegevens worden gedefinieerd en hoe AI-systemen kunnen worden getraind. Hier is een toegankelijke uitleg van wat er op tafel ligt, wat de Raad tot nu toe heeft voorgesteld, en wanneer een en ander van kracht zou kunnen worden.

Wat de Digital Omnibus zou veranderen

De Digital Omnibus is een pakket voorgestelde wijzigingen dat de Europese Commissie op 19 november 2025 heeft gepresenteerd. Het bundelt wijzigingen van verschillende digitale wetten, waaronder de Algemene Verordening Gegevensbescherming (GDPR), de regels voor cookies en toegang tot apparaten, en de tijdlijn voor verplichtingen voor hoogrisico-AI. Het gestelde doel is overlapping en nalevingslast te verminderen, vooral voor kleinere bedrijven.

Juridische analyses van het pakket benadrukken drie gebieden die het meest relevant zijn voor alledaagse privacy: de vraag wanneer gegevens als persoonsgegevens gelden, het gebruik van persoonsgegevens voor AI-training, en de omgang met cookies en vergelijkbare trackingtools. Andere gerapporteerde elementen zijn meer administratief, zoals het schrappen van overbodige datalekmeldingen en het aanpassen van registratievereisten voor sommige vrijgestelde AI-systemen.

Het is belangrijk om te onthouden dat dit een voorstel is. Niets van wat hier wordt beschreven is al wet, en de tekst kan veranderen terwijl de Raad en het Parlement onderhandelen.

Minder cookiebanners, zwakkere bescherming?

De boodschap van de Commissie is dat mensen echte keuzes moeten kunnen maken en hun apparaten veilig moeten kunnen houden, zonder eindeloos door consentmeldingen te hoeven klikken. In de praktijk zou het pakket de kernbepaling over toegang tot informatie die op je apparaat is opgeslagen, verplaatsen van het ePrivacy-kader naar de GDPR.

Critici, waaronder de digitale rechtenorganisatie EDRi, stellen dat deze verschuiving het ePrivacy-kader verzwakt. Zij merken op dat toestemming voor de meeste toepassingen nog steeds vereist zou blijven, dus de wijziging is geen algehele afschaffing van toestemming. Het debat gaat over de uitzonderingen en over hoeveel ruimte bedrijven zouden krijgen om gegevens op je apparaat te lezen of op te slaan zonder het te vragen.

Een tweede zorg is de definitie van persoonsgegevens. Analyses van het voorstel zeggen dat sommige gegevens niet langer onder de GDPR zouden vallen, afhankelijk van of een bepaalde organisatie een persoon er realistisch gezien uit kan identificeren. Dat is belangrijk omdat dezelfde dataset voor het ene bedrijf persoonsgegevens kan zijn en voor het andere niet. Voor lezers is het praktische risico dat informatie over jou buiten de GDPR-bescherming kan vallen, zelfs als die bijdraagt aan profielen of tracking.

De kant van de Raad wordt behandeld in ons eerdere artikel over hoe de EU-Raad een deal nadert om de GDPR te versoepelen voor 450 miljoen gebruikers, dat uitlegt hoe de onderhandelingen vormgeven wat de wet daadwerkelijk beschermt.

Hoe AI-training op persoonsgegevens zou kunnen werken

Het voorstel zou ook verduidelijken wanneer persoonsgegevens kunnen worden gebruikt om AI-modellen te trainen. Juridisch commentaar beschrijft dit als een beroep op gerechtvaardigd belang als grondslag, in plaats van in elk geval toestemming te vereisen. Voorstanders zeggen dat het ontwikkelaars rechtszekerheid biedt. Privacyvoorvechters vrezen dat het de deur opent naar grootschalig gebruik van persoonlijke informatie, waaronder materiaal dat van het web is geschraapt, met minder controles.

Bijzondere categorieën van gegevens, zoals gezondheidsinformatie of politieke opvattingen, mogen op grond van artikel 9 van de GDPR in beginsel niet worden verwerkt. Berichtgeving over de Omnibus zegt dat er op dit gebied nog steeds enkele wijzigingen worden gesuggereerd, dus het is de moeite waard om te volgen hoe eventuele uitzonderingen worden geformuleerd en welke waarborgen behouden blijven.

Het pakket stelt ook een voorwaardelijke tijdlijn voor hoogrisico-AI-regels voor, wat zou verschuiven wanneer sommige verplichtingen gaan gelden.

Wanneer het wet kan worden en wat je nu kunt doen

De Omnibus moet nog door het EU-wetgevingsproces. De Raad werkt aan zijn standpunt, en het Europees Parlement zal zich uitspreken voordat er een definitieve tekst wordt overeengekomen. We hebben in het bekeken materiaal geen bevestigde datum voor aanneming gezien, dus elke tijdlijn die je leest moet als een schatting worden beschouwd. Zelfs na aanneming gaan nieuwe regels doorgaans gepaard met overgangsperioden.

Dat geeft je tijd om je voor te bereiden en het debat te volgen.

Wat dit voor jou betekent

  • Verwacht minder meldingen, maar let op de kleine lettertjes. Minder banners kunnen handig zijn, maar de keerzijde is minder zichtbare controle over wat op je apparaat wordt opgeslagen.
  • Je gegevens kunnen anders worden behandeld. Als de definitie van persoonsgegevens wordt vernauwd, kan sommige informatie over jou buiten GDPR-rechten zoals inzage en verwijdering vallen.
  • AI-training is een grotere vraag. Content die je openbaar plaatst, kan gemakkelijker worden gebruikt om modellen te trainen als gerechtvaardigd belang de geaccepteerde grondslag wordt.
  • Vandaag verandert er niets. Je huidige GDPR-rechten blijven van kracht terwijl het voorstel wordt besproken.

Praktische adviezen

  • Controleer je cookie-instellingen in de browser en wis of blokkeer cookies van derden waar je kunt.
  • Schakel de ingebouwde trackingbescherming van je browser in.
  • Controleer de privacyinstellingen op platformen die je gebruikt, inclusief opties om je af te melden voor AI-training waar die worden aangeboden.
  • Blijf gebruikmaken van je GDPR-rechten om inzage in of verwijdering van je gegevens te vragen zolang deze volledig van toepassing zijn.
  • Volg het wetgevingsproces. Voor meer context over de strijd over de regels, lees ons artikel over de GDPR-onderhandelingen van de EU-Raad.

De GDPR-wijzigingen van de EU Digital Omnibus zijn nog werk in uitvoering, en de uiteindelijke vorm van de cookie-, gegevensdefinitie- en AI-bepalingen zal bepalen hoeveel privacy Europeanen behouden. Op de hoogte blijven en nu je eigen instellingen aanscherpen is de meest betrouwbare manier om de controle te houden.