Den europeiske unions digitale omnibus presenteres som en forenklingspakke, og et av de mest synlige løftene er færre informasjonskapselbannere. Men EUs digitale omnibus endringer i GDPR går langt utover pop-ups. Ifølge dekningen vi har gjennomgått, vil forslaget berøre reglene for informasjonskapsler, måten personopplysninger defineres på og hvordan KI-systemer kan trenes. Her er en gjennomgang i klarspråk av hva som ligger på bordet, hva Rådet har foreslått så langt, og når noe av dette kan tre i kraft.

Hva den digitale omnibussen vil endre

Den digitale omnibussen er en pakke med foreslåtte endringer som Europakommisjonen la frem 19. november 2025. Den samler endringer i flere digitale lover, blant annet personvernforordningen (GDPR), reglene om informasjonskapsler og tilgang til enheter, og tidslinjen for forpliktelser knyttet til høyrisiko-KI. Det oppgitte målet er å redusere overlapp og etterlevelsesbyrde, særlig for mindre selskaper.

Juridiske analyser av pakken fremhever tre områder som betyr mest for hverdagspersonvernet: spørsmålet om når data regnes som personopplysninger, bruken av personopplysninger til KI-trening, og håndteringen av informasjonskapsler og lignende sporingsteknologier. Andre rapporterte elementer er mer administrative, som å kutte overflødige bruddmeldinger og justere registreringskrav for enkelte unntatte KI-systemer.

Det er viktig å huske at dette er et forslag. Ingenting som beskrives her, er lov ennå, og teksten kan endre seg mens Rådet og Parlamentet forhandler.

Færre informasjonskapselbannere, svakere beskyttelse?

Kommisjonens budskap er at folk skal kunne uttrykke reelle valg og holde enhetene sine trygge, uten å klikke seg gjennom endeløse samtykkeforespørsler. I praksis vil pakken flytte den sentrale bestemmelsen om tilgang til informasjon som lagres på enheten din, fra ePrivacy-rammeverket og inn i GDPR.

Kritikere, blant annet digitalrettighetsgruppen EDRi, hevder at denne flyttingen svekker ePrivacy-rammeverket. De påpeker at samtykke fortsatt vil være nødvendig for de fleste bruksområder, så endringen er ikke en generell fjerning av samtykke. Debatten handler om unntakene og om hvor mye rom selskapene vil få til å lese eller lagre data på enheten din uten å spørre.

En annen bekymring er definisjonen av personopplysninger. Analyser av forslaget sier at enkelte data ikke lenger vil være underlagt GDPR, avhengig av om en gitt organisasjon realistisk kan identifisere en person ut fra dem. Det er viktig fordi det samme datasettet kan være personopplysninger for ett selskap og ikke for et annet. For lesere er den praktiske risikoen at informasjon om deg kan falle utenfor GDPR-beskyttelsen selv om den inngår i profiler eller sporing.

Rådets side av saken er dekket i vår tidligere rapport om hvordan EU-rådet nærmer seg en avtale om å lempe GDPR for 450 millioner brukere, som forklarer hvordan forhandlingene former det loven faktisk beskytter.

Hvordan KI-trening på personopplysninger kan fungere

Forslaget vil også klargjøre når personopplysninger kan brukes til å trene KI-modeller. Juridisk kommentarlitteratur beskriver dette som å basere seg på berettiget interesse fremfor å kreve samtykke i alle tilfeller. Tilhengere sier det gir utviklere rettssikkerhet. Personvernforkjempere frykter at det åpner døren for storskala bruk av personopplysninger, inkludert materiale skrapet fra nettet, med færre kontroller.

Særlige kategorier av opplysninger, som helseopplysninger eller politiske meninger, er generelt forbudt å behandle etter artikkel 9 i GDPR. Rapportering om omnibussen sier at den fortsatt foreslår enkelte endringer på dette området, så det er verdt å følge med på hvordan eventuelle unntak utformes og hvilke sikkerhetstiltak som gjenstår.

Pakken foreslår også en betinget tidslinje for reglene om høyrisiko-KI, som vil endre når enkelte forpliktelser begynner å gjelde.

Når det kan bli lov, og hva du kan gjøre nå

Omnibussen må fortsatt gjennom EUs lovgivningsprosess. Rådet arbeider med sin posisjon, og Europaparlamentet vil komme med innspill før en endelig tekst blir enighet om. Vi har ikke sett en bekreftet dato for vedtakelse i materialet som er gjennomgått, så enhver tidslinje du leser, bør behandles som et anslag. Selv etter vedtakelse kommer nye regler vanligvis med overgangsperioder.

Det gir deg tid til å forberede deg og følge debatten.

Hva dette betyr for deg

  • Forvent færre forespørsler, men les det med liten skrift. Færre bannere kan være praktisk, men prisen er mindre synlig kontroll over hva som lagres på enheten din.
  • Dataene dine kan bli behandlet annerledes. Hvis definisjonen av personopplysninger innsnevres, kan enkelte opplysninger om deg havne utenfor GDPR-rettigheter som innsyn og sletting.
  • KI-trening er et større spørsmål. Innhold du publiserer offentlig, kan lettere brukes til å trene modeller hvis berettiget interesse blir det aksepterte grunnlaget.
  • Ingenting endres i dag. Dine nåværende GDPR-rettigheter gjelder fortsatt mens forslaget debatteres.

Praktiske råd

  • Se over nettleserens innstillinger for informasjonskapsler og slett eller blokker tredjeparts informasjonskapsler der du kan.
  • Slå på nettleserens innebygde sporingsbeskyttelse.
  • Sjekk personverninnstillingene på plattformene du bruker, inkludert valg for å reservere deg mot KI-trening der det tilbys.
  • Fortsett å bruke GDPR-rettighetene dine til å be om innsyn i eller sletting av dataene dine mens de gjelder fullt ut.
  • Følg lovgivningsprosessen. For mer kontekst om kampen om reglene, les vår dekning av EU-rådets GDPR-forhandlinger.

EUs digitale omnibus endringer i GDPR er fortsatt under arbeid, og den endelige utformingen av bestemmelsene om informasjonskapsler, datadefinisjoner og KI vil avgjøre hvor mye personvern europeerne beholder. Å holde seg informert og stramme inn egne innstillinger nå er den mest pålitelige måten å beholde kontrollen.