Digital Omnibus: rådets ståndpunkt om GDPR och kakor

Publicerad 29 oktober 2026 · Av Dazr

Den 21 oktober 2026 enades EU:s ambassadörer om rådets mandat för Digital Omnibus: incidenter, personuppgifter, kakor och rapportering.

Den 21 oktober 2026 enades Ständiga representanternas kommitté (Coreper) om rådets mandat för förhandlingarna med Europaparlamentet om Digital Omnibus, kommissionens förslag från november 2025 om att förenkla EU:s digitala regler (förfarande 2025/0360(COD)). Texten publicerades den 22 oktober 2026 som rådets dokument 14756/26, där varje ändring jämfört med kommissionens förslag är markerad.

Det är rådets utgångspunkt för förhandlingarna, inte gällande rätt. Tills en slutlig förordning har antagits och offentliggjorts gäller GDPR, ePrivacy-direktivet och de nationella NIS2-lagarna som i dag.

Personuppgiftsincidenter

Rådet behåller kommissionens två viktigaste ändringar i artikel 33 i GDPR:

Bara incidenter med hög risk skulle behöva anmälas till tillsynsmyndigheten: incidenter som "sannolikt leder till en hög risk för fysiska personers rättigheter och friheter".
96 timmar i stället för 72: anmälan utan onödigt dröjsmål och om möjligt inom 96 timmar från det att man fått vetskap om incidenten, med skäl för en eventuell försening.

Anmälan skulle gå via en nationell ingångspunkt som varje medlemsstat inrättar, i stället för den gemensamma EU-ingångspunkt som kommissionen föreslog. Tills den finns anmäler personuppgiftsansvariga direkt till tillsynsmyndigheten. EDPB skulle publicera listor över situationer som sannolikt, och inte sannolikt, leder till hög risk.

Personuppgifter och pseudonymisering

Kommissionen föreslog att lägga till i definitionen av personuppgifter att information inte är personuppgifter för en aktör som inte kan identifiera personen. Rådet stryker den meningen och föreslår i stället en ny artikel 25a om pseudonymisering:

pseudonymiserade uppgifter är inte personuppgifter för en tredje part som inte kan identifiera personen;
lämnas de vidare till någon som kan identifiera personen är de åter personuppgifter;
för ett personuppgiftsbiträde förblir uppgifter som behandlas för den personuppgiftsansvariges räkning alltid personuppgifter;
EDPB skulle yttra sig om pseudonymisering och anonymisering.

Kakorna stannar i ePrivacy-direktivet

Kommissionen föreslog att flytta reglerna om kakor till GDPR. Rådet behåller dem i artikel 5.3 i ePrivacy-direktivet och skriver om den. Samtycke är fortsatt huvudregeln, med undantag där lagring eller läsning av information är absolut nödvändig, till exempel för att överföra ett meddelande, tillhandahålla en tjänst som användaren bett om, för säkerheten eller för anonym, aggregerad publikmätning av tjänsteleverantören eller för dennes räkning.

När samtycke efterfrågas ska användaren kunna tacka nej med ett klick eller motsvarande. Efter ett nej får samma förfrågan inte upprepas under minst fyra månader; kommissionen hade föreslagit sex. Medlemsstaterna skulle få 24 månader efter antagandet att genomföra ändringarna.

Automatiserade beslut (artikel 22): rådet behåller rätten att inte bli föremål för beslut som enbart grundas på automatiserad behandling, med nuvarande undantag och skyddsåtgärder, bland annat mänskligt ingripande.
Begäran om tillgång (artikel 12.5): den personuppgiftsansvarige skulle kunna ta ut en avgift eller vägra en begäran om ett missbruksavsikt kan visas; bevisbördan ligger på den personuppgiftsansvarige.
Konsekvensbedömningar (artikel 35): EDPB skulle publicera EU-gemensamma listor över behandlingar som kräver, och inte kräver, en konsekvensbedömning.
AI: behandling för utveckling och drift av AI-system och AI-modeller kan grundas på berättigat intresse enligt artikel 6.1 f, och känsliga personuppgifter som av en slump hamnat i träningsdata ska raderas utan onödigt dröjsmål eller skyddas om radering är tekniskt omöjlig.

Incidentrapportering enligt NIS2

I stället för en gemensam EU-plattform skulle ENISA bygga en informationspunkt för incidentrapportering som visar vilka rapporteringsskyldigheter som gäller och hänvisar till rätt nationell ingångspunkt; den tar inte själv emot rapporter. Inom sex månader från ikraftträdandet skulle kommissionen rapportera om skillnaderna i definitioner, tröskelvärden och tidsfrister mellan NIS2, eIDAS, GDPR, DORA och CER-direktivet.

Vad du gör nu

Ännu ändras ingenting. Fortsätt att anmäla incidenter inom 72 timmar, behåll din hantering av samtycke till kakor som den är och följ förhandlingarna: den slutliga texten kan fortfarande ändras på varje punkt ovan.

Källor

Endast för information, inte juridisk rådgivning. Senast uppdaterad 29 oktober 2026.

Ämnen: GDPR, ePrivacy, NIS2, Digital Omnibus, EU

Finns även på: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Norsk bokmål