GDPR har i nästan åtta år varit världens mest citerade integritetslag, men en snabb förhandling inom EU-rådet kan tyst skriva om vad lagen faktiskt skyddar. Enligt rapportering om de pågående samtalen närmar sig EU-rådets diplomater en överenskommelse om ett digitalt omnibuspaket som skulle låta annonsspårnings-ID:n undgå dataskyddslagstiftningen för vissa personuppgiftsbiträden, ge AI-utvecklare en genväg utan samtycke för träningsdata och eliminera en automatisk webbläsarsignal som var utformad för att göra det enklare för vanliga användare att avstå från spårning. För de 450 miljoner EU-medborgare som förlitar sig på GDPR som sitt juridiska skyddsnät mot datainsamling betyder veckans förhandlingar mer än de flesta inser.

Vad avtalet om det digitala omnibuspaketet förändrar i GDPR

Det digitala omnibuspaketet presenterades som ett förenklingspaket, ett sätt att minska regelkrånglet för företag som navigerar bland överlappande EU-regler för digital verksamhet. Men den version som nu rör sig genom rådet går längre än administrativ städning. Baserat på aktuell rapportering skulle avtalet skapa undantag som låter vissa personuppgiftsbiträden behandla annonsspårningsidentifierare som helt utanför GDPR:s tillämpningsområde. Det är en betydande förskjutning: spårnings-ID:n är ryggraden i beteendebaserad annonsering, och att behandla dem som undantagna från dataskyddslagstiftningen tar bort ett lager av tillsyn som har gällt sedan GDPR trädde i kraft. Samma förhandlingar uppges också vara på väg att ge AI-träningsverksamhet en juridisk genväg som inte kräver användarsamtycke, ännu en central GDPR-princip som begränsas snarare än förstärks.

Siffror över efterlevnad visar varför denna distinktion är viktig. Kumulativa GDPR-böter har redan överstigit 4 miljarder euro i takt med att tillsynsmyndigheter världen över har antagit liknande integritetsramverk. Denna efterlevnadshistorik finns eftersom GDPR:s regler om samtycke och behandling gav tillsynsmyndigheterna tydliga överträdelser att agera mot. Att luckra upp dessa definitioner påverkar inte bara framtida ärenden, det förändrar vad som överhuvudtaget räknas som en överträdelse.

Vilka som gynnas: undantag för annonsteknik och AI-träning

De två största undantagen i det rapporterade avtalet pekar båda i samma riktning: minskat regelkrångel för företag som tjänar pengar på personuppgifter i stor skala. Annonsteknikföretag har i åratal motarbetat samtyckeskrav som saktar ner realtidsbudgivning och spårning över webbplatser. Om spårnings-ID:n omklassificeras som undantagna för vissa personuppgiftsbiträden får annonsteknikföretag en tydligare juridisk väg att samla in och dela identifierare utan samma samtyckesförpliktelser som gäller idag.

AI-utvecklare har liknande fördelar att vinna. En genväg utan samtycke för träningsdata adresserar en av de mest omstridda olösta frågorna inom AI-reglering: huruvida personuppgifter som skrapas eller licensieras för modellträning kräver samma samtyckesstandard som annan behandling. Att ta bort det kravet skulle låta AI-företag träna på EU-medborgares data med mindre juridisk exponering, även när debatter om AI-transparens och dataproveniens fortsätter på annat håll i Bryssel.

Inget av dessa undantag avskaffar GDPR helt. Men de begränsar dess räckvidd inom exakt de två områden där insamlingen av personuppgifter har expanderat snabbast under de senaste åren.

Den skrotade webbläsarsignalen och vad den betydde för att avstå

Kanske den mest konsekvensrika detaljen i det rapporterade avtalet är den minsta: borttagandet av en automatisk webbläsarsignal som var tänkt att låta användare registrera att de avstår från spårning utan att klicka igenom samtyckesbanner på varje webbplats de besöker. Signaler som denna är tänkta att flytta bördan av integritetshantering från enskilda användare till webbläsarnivå, så att en enda inställning kan kommunicera en persons preferens över hela webben. Att ta bort den mekanismen från det digitala omnibuspaketet innebär att användare förlorar ett standardiserat, smidigt sätt att säga nej till spårning, och pressas tillbaka mot att manuellt hantera samtyckespopupar webbplats för webbplats, en process som de flesta klickar igenom utan att läsa.

Vad detta betyder för dig

Om detta avtal går igenom som rapporterat förlorar EU-medborgare inte GDPR över en natt, men de förlorar en del av dess praktiska tänder inom exakt de områden där spårning är som mest genomträngande: annonsering och AI. Utan en webbläsarsignal för att avstå skjuts ansvaret för att begränsa spårning ännu längre över på individer snarare än automatiserade verktyg. Det gör personliga integritetsvanor viktigare, inte mindre. Att justera webbläsarens integritetsinställningar, begränsa tredjepartscookies och använda en VPN för att dölja din IP-adress och plats från annonsnätverk ersätter inte vad ett starkt regelverk ger, men de lägger till ett lager av kontroll som inte beror på hur en Brysselförhandling slutar denna vecka.

Viktiga slutsatser

Håll koll på hur denna rådsförhandling utfaller, eftersom den slutliga formuleringen om undantag för spårnings-ID:n och genvägar för AI-samtycke fortfarande kan förändras före antagandet. Under tiden, vänta inte på att regleringen ska komma ikapp: granska webbläsarens inställningar för spårningsskydd, begränsa vilka webbplatser som kan sätta annonsidentifierare och överväg en VPN som ett praktiskt sätt att minska exponeringen för spårning över webbplatser oavsett hur GDPR:s räckvidd utvecklas. Med tanke på att GDPR-efterlevnaden redan har producerat miljarder i böter har lagens kärnvärde bevisats, vilket är precis varför veckans rådsbeslut om det digitala omnibuspaketet förtjänar allmänhetens uppmärksamhet.