Digital Omnibus: Rådet om GDPR og informasjonskapsler

Publisert 29. oktober 2026 · Av Dazr

21. oktober 2026 ble EU-ambassadørene enige om Rådets mandat for Digital Omnibus: avvik, personopplysninger, informasjonskapsler og hendelsesrapportering.

oktober 2026 ble De faste representantenes komité (Coreper) enig om Rådets mandat for forhandlingene med Europaparlamentet om Digital Omnibus, Kommisjonens forslag fra november 2025 om å forenkle EUs digitale regler (prosedyre 2025/0360(COD)). Teksten ble publisert 22. oktober 2026 som Rådets dokument 14756/26, der hver endring sammenlignet med Kommisjonens forslag er markert.

Dette er Rådets utgangspunkt for forhandlingene, ikke gjeldende rett. Inntil en endelig forordning er vedtatt og kunngjort, gjelder GDPR, ePrivacy-direktivet og de nasjonale NIS2-lovene slik de er i dag. For Norge kommer i tillegg prosessen med å innlemme regelverket i EØS-avtalen.

Brudd på personopplysningssikkerheten

Rådet beholder Kommisjonens to viktigste endringer i artikkel 33 i GDPR:

Bare brudd med høy risiko måtte meldes til tilsynsmyndigheten: brudd som "sannsynligvis vil medføre en høy risiko for fysiske personers rettigheter og friheter".
96 timer i stedet for 72: melding uten ugrunnet opphold og om mulig innen 96 timer etter at man ble kjent med bruddet, med begrunnelse ved forsinkelse.

Meldingen skulle gå gjennom et nasjonalt inngangspunkt som hver medlemsstat oppretter, i stedet for det felles EU-inngangspunktet Kommisjonen foreslo. Inntil det finnes, melder behandlingsansvarlige direkte til tilsynsmyndigheten. EDPB ville publisere lister over situasjoner som sannsynligvis, og ikke sannsynligvis, medfører høy risiko.

Personopplysninger og pseudonymisering

Kommisjonen foreslo å legge til i definisjonen av personopplysninger at opplysninger ikke er personopplysninger for en aktør som ikke kan identifisere personen. Rådet stryker den setningen og foreslår i stedet en ny artikkel 25a om pseudonymisering:

pseudonymiserte data er ikke personopplysninger for en tredjepart som ikke kan identifisere personen;
gis de videre til noen som kan identifisere personen, er de igjen personopplysninger;
for en databehandler forblir data som behandles på vegne av den behandlingsansvarlige, alltid personopplysninger;
EDPB ville avgi en uttalelse om pseudonymisering og anonymisering.

Informasjonskapslene blir i ePrivacy-direktivet

Kommisjonen foreslo å flytte reglene om informasjonskapsler inn i GDPR. Rådet beholder dem i artikkel 5 nr. 3 i ePrivacy-direktivet og skriver den om. Samtykke er fortsatt hovedregelen, med unntak der lagring eller lesing av informasjon er strengt nødvendig, for eksempel for å overføre en kommunikasjon, levere en tjeneste brukeren har bedt om, av sikkerhetshensyn eller for anonym, aggregert publikumsmåling utført av tjenesteleverandøren eller på dennes vegne.

Når det bes om samtykke, skal brukeren kunne avslå med ett klikk eller tilsvarende. Etter et avslag kan samme forespørsel ikke gjentas på minst fire måneder; Kommisjonen hadde foreslått seks. Medlemsstatene ville få 24 måneder etter vedtakelsen til å gjennomføre endringene.

Automatiserte avgjørelser (artikkel 22): Rådet beholder retten til ikke å være gjenstand for avgjørelser som utelukkende bygger på automatisert behandling, med dagens unntak og garantier, blant annet menneskelig inngripen.
Innsynsbegjæringer (artikkel 12 nr. 5): den behandlingsansvarlige kunne kreve et gebyr eller avslå en begjæring dersom en hensikt om misbruk kan påvises; bevisbyrden ligger hos den behandlingsansvarlige.
Konsekvensvurderinger (artikkel 35): EDPB ville publisere felleseuropeiske lister over behandlinger som krever, og ikke krever, en vurdering av personvernkonsekvenser.
KI: behandling for utvikling og drift av KI-systemer og -modeller kan bygge på berettiget interesse etter artikkel 6 nr. 1 bokstav f, og særlige kategorier av personopplysninger som tilfeldigvis har havnet i treningsdata, skal slettes uten ugrunnet opphold eller beskyttes dersom sletting er teknisk umulig.

Hendelsesrapportering etter NIS2

I stedet for én felles EU-plattform ville ENISA bygge et informasjonspunkt for hendelsesrapportering som viser hvilke rapporteringsplikter som gjelder, og viser videre til riktig nasjonalt inngangspunkt; det tar ikke selv imot rapporter. Innen seks måneder etter ikrafttredelsen ville Kommisjonen rapportere om forskjellene i definisjoner, terskler og frister mellom NIS2, eIDAS, GDPR, DORA og CER-direktivet.

Hva du gjør nå

Ingenting endres ennå. Fortsett å melde brudd innen 72 timer, behold samtykkeløsningen for informasjonskapsler slik den er, og følg forhandlingene: den endelige teksten kan fortsatt endres på hvert av punktene ovenfor.

Kilder

Kun til informasjon, ikke juridisk rådgivning. Sist oppdatert 29. oktober 2026.

Emner: GDPR, ePrivacy, NIS2, Digital Omnibus, EU

Finnes også på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska