Digital Omnibus: Rådets holdning til GDPR og cookies

Udgivet 29. oktober 2026 · Af Dazr

Den 21. oktober 2026 vedtog EU's ambassadører Rådets mandat om Digital Omnibus: brud på datasikkerheden, personoplysninger, cookies og hændelser.

Den 21. oktober 2026 vedtog De Faste Repræsentanters Komité (Coreper) Rådets mandat til forhandlingerne med Europa-Parlamentet om Digital Omnibus, Kommissionens forslag fra november 2025 om at forenkle EU's digitale regler (procedure 2025/0360(COD)). Teksten blev offentliggjort den 22. oktober 2026 som Rådets dokument 14756/26, hvor hver ændring i forhold til Kommissionens forslag er markeret.

Det er Rådets udgangspunkt for forhandlingerne, ikke gældende ret. Indtil en endelig forordning er vedtaget og offentliggjort, gælder GDPR, e-databeskyttelsesdirektivet og de nationale NIS2-love, som de er i dag.

Brud på persondatasikkerheden

Rådet fastholder Kommissionens to vigtigste ændringer af artikel 33 i GDPR:

Kun brud med høj risiko skulle anmeldes til tilsynsmyndigheden: brud, der "sandsynligvis indebærer en høj risiko for fysiske personers rettigheder og frihedsrettigheder".
96 timer i stedet for 72: anmeldelse uden unødig forsinkelse og så vidt muligt senest 96 timer efter, at man er blevet bekendt med bruddet, med en begrundelse ved forsinkelse.

Anmeldelsen skulle gå gennem et nationalt indgangspunkt, som hver medlemsstat opretter, i stedet for det fælles EU-indgangspunkt, Kommissionen foreslog. Indtil det findes, anmelder dataansvarlige direkte til tilsynsmyndigheden. EDPB ville offentliggøre lister over situationer, der sandsynligvis indebærer en høj risiko, og situationer, der ikke gør.

Personoplysninger og pseudonymisering

Kommissionen foreslog at tilføje til definitionen af personoplysninger, at oplysninger ikke er personoplysninger for en enhed, der ikke kan identificere personen. Rådet sletter den sætning og foreslår i stedet en ny artikel 25a om pseudonymisering:

pseudonymiserede data er ikke personoplysninger for en tredjepart, der ikke kan identificere personen;
videregives de til nogen, der kan identificere personen, er de igen personoplysninger;
for en databehandler forbliver data, der behandles på vegne af den dataansvarlige, altid personoplysninger;
EDPB ville afgive en udtalelse om pseudonymisering og anonymisering.

Cookies bliver i e-databeskyttelsesdirektivet

Kommissionen foreslog at flytte cookiereglerne ind i GDPR. Rådet beholder dem i artikel 5, stk. 3, i e-databeskyttelsesdirektivet og omskriver den. Samtykke er fortsat hovedreglen, med undtagelser hvor lagring eller læsning af oplysninger er strengt nødvendig, for eksempel for at overføre en kommunikation, levere en tjeneste, brugeren har bedt om, af sikkerhedshensyn eller til anonym, aggregeret måling af publikum foretaget af tjenesteudbyderen eller på dennes vegne.

Når der bedes om samtykke, skal brugeren kunne afvise med ét klik eller tilsvarende. Efter en afvisning må samme anmodning ikke gentages i mindst fire måneder; Kommissionen havde foreslået seks. Medlemsstaterne ville have 24 måneder efter vedtagelsen til at gennemføre ændringerne.

Automatiske afgørelser (artikel 22): Rådet fastholder retten til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, med de nuværende undtagelser og garantier, herunder menneskelig indgriben.
Indsigtsanmodninger (artikel 12, stk. 5): den dataansvarlige kunne opkræve et gebyr eller afvise en anmodning, hvis der kan påvises en hensigt om misbrug; bevisbyrden ligger hos den dataansvarlige.
Konsekvensanalyser (artikel 35): EDPB ville offentliggøre EU-dækkende lister over behandlinger, der kræver, og ikke kræver, en konsekvensanalyse.
AI: behandling til udvikling og drift af AI-systemer og -modeller kan bygge på legitim interesse efter artikel 6, stk. 1, litra f, og særlige kategorier af oplysninger, der tilfældigt er havnet i træningsdata, skal slettes uden unødig forsinkelse eller beskyttes, hvis sletning er teknisk umulig.

Indberetning af hændelser under NIS2

I stedet for én fælles EU-platform ville ENISA opbygge et informationspunkt for indberetning af hændelser, der viser, hvilke indberetningspligter der gælder, og henviser til det rette nationale indgangspunkt; det modtager ikke selv indberetninger. Senest seks måneder efter ikrafttrædelsen ville Kommissionen rapportere om forskellene i definitioner, tærskler og frister mellem NIS2, eIDAS, GDPR, DORA og CER-direktivet.

Hvad du gør nu

Intet ændrer sig endnu. Anmeld fortsat brud inden for 72 timer, behold dit cookiesamtykke, som det er, og følg forhandlingerne: den endelige tekst kan stadig ændre sig på hvert af punkterne ovenfor.

Kilder

Kun til orientering, ikke juridisk rådgivning. Senest opdateret 29. oktober 2026.

Emner: GDPR, ePrivacy, NIS2, Digital Omnibus, EU

Findes også på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Svenska, Norsk bokmål