Digital Omnibus: standpunt van de Raad over AVG en cookies

Gepubliceerd 29 oktober 2026 · Door Dazr

Op 21 oktober 2026 stelden de EU-ambassadeurs het mandaat van de Raad voor de Digital Omnibus vast: datalekken, persoonsgegevens, cookies, incidenten.

Op 21 oktober 2026 stelde het Comité van permanente vertegenwoordigers (Coreper) het mandaat van de Raad vast voor de onderhandelingen met het Europees Parlement over de Digital Omnibus, het voorstel van de Commissie van november 2025 om de Europese digitale regels te vereenvoudigen (procedure 2025/0360(COD)). De tekst verscheen op 22 oktober 2026 als Raadsdocument 14756/26, met elke wijziging ten opzichte van het Commissievoorstel gemarkeerd.

Dit is het vertrekpunt van de Raad voor de onderhandelingen, geen wet. Tot een definitieve verordening is aangenomen en gepubliceerd, gelden de AVG, de e-privacyrichtlijn en de nationale NIS2-wetten zoals ze nu zijn.

Datalekken

De Raad houdt de twee belangrijkste wijzigingen van de Commissie in artikel 33 AVG vast:

Alleen datalekken met een hoog risico zouden nog bij de toezichthouder gemeld moeten worden: lekken die "waarschijnlijk een hoog risico inhouden voor de rechten en vrijheden van natuurlijke personen".
96 uur in plaats van 72: melden zonder onredelijke vertraging en, waar mogelijk, binnen 96 uur nadat je van het lek op de hoogte bent, met een motivering bij een latere melding.

De melding zou lopen via een nationaal meldpunt dat elke lidstaat inricht, in plaats van het ene Europese meldpunt dat de Commissie voorstelde. Tot dat er is, meld je rechtstreeks bij de toezichthouder. De EDPB zou lijsten publiceren van situaties die wel en niet waarschijnlijk een hoog risico inhouden.

Persoonsgegevens en pseudonimisering

De Commissie wilde aan de definitie van persoonsgegevens toevoegen dat informatie geen persoonsgegeven is voor een partij die de persoon niet kan identificeren. De Raad schrapt die zin en stelt in plaats daarvan een nieuw artikel 25a over pseudonimisering voor:

gepseudonimiseerde gegevens zijn geen persoonsgegevens voor een derde die de persoon niet kan identificeren;
worden die gegevens doorgegeven aan iemand die de persoon wel kan identificeren, dan zijn het weer persoonsgegevens;
voor een verwerker blijven gegevens die hij voor een verwerkingsverantwoordelijke verwerkt altijd persoonsgegevens;
de EDPB zou een advies uitbrengen over pseudonimisering en anonimisering.

Cookies blijven in de e-privacyrichtlijn

De Commissie wilde de cookieregels naar de AVG verhuizen. De Raad houdt ze in artikel 5, lid 3, van de e-privacyrichtlijn en herschrijft dat artikel. Toestemming blijft de regel, met uitzonderingen waar het opslaan of uitlezen van informatie strikt noodzakelijk is, bijvoorbeeld om een communicatie te verzenden, om een dienst te leveren waar de gebruiker om vroeg, voor beveiliging, of voor anonieme, geaggregeerde bereiksmeting door of namens de aanbieder van de dienst.

Wordt om toestemming gevraagd, dan moeten gebruikers met één klik of een gelijkwaardig middel kunnen weigeren. Na een weigering mag hetzelfde verzoek ten minste vier maanden niet opnieuw worden gesteld; de Commissie had zes maanden voorgesteld. Lidstaten zouden 24 maanden na de vaststelling krijgen om deze wijzigingen om te zetten.

Andere punten in de AVG

Geautomatiseerde besluiten (artikel 22): de Raad houdt het als recht om niet onderworpen te worden aan uitsluitend geautomatiseerde besluiten, met de bestaande uitzonderingen en waarborgen, waaronder menselijke tussenkomst.
Inzageverzoeken (artikel 12, lid 5): een verwerkingsverantwoordelijke zou een vergoeding mogen vragen of een verzoek mogen weigeren als een misbruikbedoeling kan worden aangetoond; de bewijslast ligt bij de verwerkingsverantwoordelijke.
DPIA's (artikel 35): de EDPB zou Europese lijsten publiceren van verwerkingen die wel en geen DPIA vereisen.
AI: verwerking voor de ontwikkeling en het gebruik van AI-systemen en -modellen kan steunen op gerechtvaardigd belang (artikel 6, lid 1, onder f), en bijzondere persoonsgegevens die toevallig in trainingsdata terechtkomen moeten zonder onredelijke vertraging worden gewist, of beschermd als wissen technisch onmogelijk is.

Incidentmeldingen onder NIS2

In plaats van één Europees meldplatform zou ENISA een informatiepunt voor incidentmeldingen bouwen dat aangeeft welke meldplichten gelden en naar het juiste nationale meldpunt verwijst; het ontvangt zelf geen meldingen. Binnen zes maanden na de inwerkingtreding zou de Commissie rapporteren over de verschillen in definities, drempels en termijnen tussen NIS2, eIDAS, de AVG, DORA en de CER-richtlijn.

Wat je nu doet

Er verandert nog niets. Meld datalekken binnen 72 uur, laat je cookietoestemming zoals die is en volg de onderhandelingen: de definitieve tekst kan op elk punt hierboven nog verschuiven.

Bronnen

Ter informatie, geen juridisch advies. Laatst bijgewerkt op 29 oktober 2026.

Onderwerpen: AVG, ePrivacy, NIS2, Digital Omnibus, EU

Ook beschikbaar in: English, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål