Digital Omnibus en de AVG
Wat het Digital Omnibus-voorstel voor de AVG zou veranderen
Op 19 november 2025 stelde de Europese Commissie een pakket voor dat onder meer de AVG en de ePrivacy-regels wijzigt. Dit is een ander dossier dan de Digital Omnibus voor de AI Act, die als Verordening (EU) 2026/1744 is aangenomen. Deze pagina volgt het AVG-deel: wat is voorgesteld, wat de instellingen ervan vinden en wat er op de peildatum wel en niet vaststaat.
Peildatum van deze laag: 15 september 2026. Elk item is op zijn bron gecontroleerd; de datum per item staat erbij. Wat na de peildatum is gebeurd, staat hier nog niet.
Op de peildatum is voor dit dossier geen aangenomen tekst vastgesteld. Alles hieronder is een voorstel of een standpunt in de procedure. Uw verplichtingen onder de huidige AVG veranderen daardoor nog niet.
- in onderhandelingRaad van de Europese Unie, Iers voorzitterschapCM 3890/26 (voorlopige agenda Antici-groep vereenvoudiging, 11 september 2026); ST 12535/26 en WK 13065/26 (herziene compromistekst en toelichting, aangekondigd); ST 12955/26 (AOB-nota stand van zaken omnibuspakketten voor Raad Algemene Zaken 22 september 2026); 2025/0360(COD)
Raad: Iers voorzitterschap zet onderhandelingen voort met herzien compromis, Antici-groep 11 september 2026
Op de voorlopige agenda van 3 september 2026 (CM 3890/26) staat voor de Antici-groep (vereenvoudiging) van 11 september 2026 een gedachtewisseling over de herziene compromistekst van het voorzitterschap voor de Digital Omnibus. Die omnibus wijzigt onder meer de AVG (Verordening (EU) 2016/1679). De compromistekst ST 12535/26 en de toelichting WK 13065/26 moesten op dat moment nog worden uitgebracht. In een AOB-nota van 10 september 2026 (ST 12955/26) kondigt het voorzitterschap aan de Raad Algemene Zaken van 22 september 2026 te informeren over de stand van zaken van de omnibuspakketten. Het dossier 2025/0360(COD) staat daarbij vermeld. Uit deze documenten blijkt geen Raadsmandaat.
Wat dit betekent: De Raad onderhandelt nog. Verwacht in het najaar van 2026 nieuwe compromisteksten en mogelijk een mandaat, maar dat is niet zeker. Volg de Raadsagenda's van de Antici-groep en Coreper voor het moment waarop een mandaat wordt bevestigd.
Art. 4Art. 6Art. 9Art. 88Raad van de EU, register (CM 3890/26 en ST 12955/26)gecontroleerd op 15 september 2026 - in onderhandelingEuropees Parlement, commissies ITRE en LIBE (gezamenlijke commissie)Procedure 2025/0360(COD); COM(2025)0837; ontwerpverslag PE786.818; amendementen PE786.820, PE790.967, PE790.968, PE791.071, PE791.072, PE791.073, PE791.873, PE791.874, PE791.883
Europees Parlement: gezamenlijk ontwerpverslag ITRE-LIBE, amendementen ingediend, nog geen commissiestemming
Het Commissievoorstel COM(2025)0837 (Digital Omnibus) is op 19 november 2025 gepubliceerd; de verwijzing naar de commissies is op 19 januari 2026 in het Parlement aangekondigd. ITRE en LIBE behandelen het dossier gezamenlijk, met rapporteurs Aura Salla (ITRE, EVP) en Marina Kaljurand (LIBE, S&D), beiden benoemd op 25 februari 2026. IMCO (rapporteur Alex Agius Saliba) en JURI (rapporteur Brando Benifei) brengen advies uit. Het gezamenlijke ontwerpverslag PE786.818 dateert van 22 juni 2026; op 27 juli 2026 zijn negen amendementendocumenten ingediend. Op 15 september 2026 staat de procedure in OEIL op In afwachting van commissiebesluit: er is nog geen commissiestemming, geen plenaire stemming en geen standpunt van het Parlement.
Wat dit betekent: Het Parlement heeft nog geen standpunt en de trilogen met Raad en Commissie zijn nog niet begonnen. De voorgestelde AVG-wijzigingen, zoals die op de definitie van persoonsgegevens en artikel 22, zijn dus nog geen recht en kunnen nog flink veranderen. Blijf voorlopig werken volgens de huidige AVG. Omdat de commissiestemming, het plenaire standpunt en de trilogen nog moeten plaatsvinden, is een eindtekst op korte termijn niet te verwachten.
- in onderhandelingRaad van de Europese Unie, Antici-groep (vereenvoudiging) en CoreperST 10729/26 (nota aan Coreper, 22 juni 2026); ST 10677/26 (compromis 18 juni 2026); procedure 2025/0360(COD)
Raad: Cypriotisch voorzitterschap legt onderhandelingsmandaat voor, Coreper-stemming van 26 juni 2026 geannuleerd
De Antici-groep (vereenvoudiging) heeft het voorstel besproken op 16 januari, 13 februari, 27 februari, 24 april, 8 mei, 27 mei en 15 juni 2026; het voorzitterschap legde vijf compromisteksten voor. Coreper besprak het dossier op 8 juni 2026 en gaf richting over de bescherming van bedrijfsgeheimen onder de Data Act, het verplichte geautomatiseerde en gecentraliseerde cookie-toestemmingssignaal en het ontbreken van een effectbeoordeling daarvoor, en de flexibiliteit voor een nationaal meldpunt voor incidenten. Op 22 juni 2026 vroeg het voorzitterschap Coreper het onderhandelingsmandaat te bevestigen. Het compromis wijzigt veertien AVG-artikelen, schrapt artikel 88a en regelt cookies via artikel 5, lid 3 ePrivacy, voegt aan het voorgestelde artikel 29a over pseudonimisering een lid 2a toe, laat artikel 37 AVG ongewijzigd en wijzigt artikel 49 (met overweging 40a) voor doorgiften bij belastingsamenwerking. Volgens de EP legislative train is de voor 26 juni 2026 geplande Coreper-stemming geannuleerd. Op 15 september 2026 is er geen algemene oriëntatie of mandaat van de Raad.
Wat dit betekent: De Raad heeft nog geen standpunt, en de lidstaten verschillen vooral over pseudonimisering, AI-training en cookies. De Raadscompromissen laten zien dat de eindtekst waarschijnlijk anders wordt dan het Commissievoorstel; bouw uw compliance dus niet op de voorsteltekst.
- definitiefEuropees Comité van de Regio'sCOR-2025-04240 (CELEX 52025AR4240)
Comité van de Regio's neemt advies over de Digital Omnibus aan
Het Europees Comité van de Regio's heeft tijdens zijn 171e plenaire zitting op 6 en 7 mei 2026 één advies aangenomen over de Data Union-strategie (COM(2025) 835), de Digital Omnibus over AI (COM(2025) 836) en de Digital Omnibus (COM(2025) 837), die onder meer de AVG wijzigt. Rapporteur is Pehr Granfalk. Het Comité steunt vereenvoudiging, maar vraagt om evenredigheid voor kleinere overheden. Ook moet vereenvoudiging in lijn blijven met privacy en gegevensbescherming.
Wat dit betekent: Geen direct gevolg voor u. Het advies is niet bindend en is een procedurele stap in de wetgevingsprocedure, die op 15 september 2026 nog loopt.
EUR-Lex, procedurepagina 2025/0360(COD)gecontroleerd op 15 september 2026 - definitiefEuropees Economisch en Sociaal ComitéEESC-2025-03929 (CELEX 52025AE3929, PB C, C/2026/3225)
Europees Economisch en Sociaal Comité neemt advies over de Digital Omnibus aan
Het EESC heeft op 18 maart 2026 in plenaire zitting 604 unaniem (194 voor, 0 tegen, 0 onthoudingen) één advies aangenomen over beide Digital Omnibus voorstellen: COM(2025) 837 (onder meer wijziging van de AVG) en COM(2025) 836 (Digital Omnibus on AI). Rapporteur was Heiko Willems, corapporteur Angelo Pagliara. Het advies is op 2 juli 2026 gepubliceerd in het Publicatieblad (C/2026/3225). Het is een adviesstap in de gewone wetgevingsprocedure 2025/0360(COD), die nog loopt.
Wat dit betekent: Geen direct gevolg voor u. Het advies is niet bindend en de AVG blijft ongewijzigd zolang het voorstel niet is aangenomen.
EUR-Lex, EESC-advies CELEX 52025AE3929 en procedurepagina 2025/0360(COD)gecontroleerd op 15 september 2026 - definitiefEuropese Centrale BankCON/2026/9 (CELEX 52026AB0009)
Europese Centrale Bank brengt advies uit over de Digital Omnibus
De ECB heeft op 10 maart 2026 op verzoek van het Europees Parlement (9 december 2025) advies uitgebracht over het Digital Omnibus voorstel COM(2025)837. De ECB steunt het voorstel in grote lijnen. Wel vraagt zij om een duidelijkere definitie van 'noodsituatie' bij toegang tot private data. Daarnaast wil zij dat gezamenlijk verwerkingsverantwoordelijken een datalek via het nieuwe centrale meldpunt met één melding kunnen doen. Ook is zij tegen het opnemen van DORA-incidentmeldingen in dat centrale meldpunt.
Wat dit betekent: Voor u als verantwoordelijke of verwerker heeft dit advies geen direct rechtsgevolg. Het is een niet-bindende stap in de wetgevingsprocedure. Het ECB-voorstel voor één gezamenlijke datalekmelding door gezamenlijk verwerkingsverantwoordelijken kan wel doorwerken in de uiteindelijke tekst.
EUR-Lex, ECB-advies CON/2026/9 (CELEX 52026AB0009)gecontroleerd op 15 september 2026 - definitiefEuropean Data Protection Board en European Data Protection SupervisorEDPB-EDPS Joint Opinion 2/2026 (over COM(2025) 837)
EDPB en EDPS nemen Joint Opinion 2/2026 over de Digital Omnibus aan
De Joint Opinion is aangenomen op 10 februari 2026 en gepubliceerd op 11 februari 2026. De EDPB en EDPS steunen vereenvoudiging, maar dringen er met klem op aan de wijziging van de definitie van persoonsgegevens niet over te nemen. Ook vinden zij dat een uitvoeringshandeling niet mag bepalen wanneer gepseudonimiseerde gegevens geen persoonsgegevens meer zijn. Zij verwelkomen de onderzoeksdefinitie, de uitzondering voor biometrische authenticatie onder eigen controle van de betrokkene, de hogere meldingsdrempel en de langere termijn bij datalekken en gemeenschappelijke templates en DPIA-lijsten, mits de EDPB die zelf opstelt en vaststelt. Een aparte bepaling over gerechtvaardigd belang bij AI (artikel 88c) vinden zij niet nodig. Zij willen het principiële verbod van artikel 22 behouden en misbruik van het inzagerecht koppelen aan een kwade bedoeling. Bij cookies steunen zij het doel sterk en stellen zij een uitzondering voor contextuele reclame voor.
Wat dit betekent: De opinie is niet bindend, maar weegt zwaar in de wetgevingsonderhandelingen. Houd er rekening mee dat de definitiewijziging en de versoepeling van artikel 22 onzeker zijn, en dat de vereenvoudigingen bij datalekken en DPIA's op steun van de toezichthouders kunnen rekenen. Voor uw huidige verplichtingen verandert er niets.
- definitiefAutoriteit PersoonsgegevensPosition paper AP: Omnibus Digitaal en Omnibus AI (januari 2026)
Autoriteit Persoonsgegevens publiceert position paper over Omnibus Digitaal en Omnibus AI
De AP steunt vereenvoudiging, maar vindt dat de omnibusvoorstellen de balans met bescherming niet goed treffen, en roept de wetgever op er kritisch naar te kijken. De AP wil de definitie van persoonsgegevens houden zoals die is, omdat onduidelijkheid bescherming en toezicht verzwakt. Minder transparantie en verantwoording betekent minder effectief toezicht: de AP wil de huidige drempel voor het melden van datalekken behouden. De verplichting tot AI-geletterdheid moet bij organisaties blijven. Veel voorstellen, zoals de beperking van het inzagerecht bij buitensporige verzoeken en het expliciet noemen van gerechtvaardigd belang voor AI, zijn volgens de AP zo onduidelijk dat ze de problemen niet oplossen. Positief zijn onder meer Europese templates voor DPIA's en datalekmeldingen en geharmoniseerde cookieregels. De AP kondigt een gezamenlijke analyse met de andere Europese privacytoezichthouders aan.
Wat dit betekent: Dit is het standpunt van uw Nederlandse toezichthouder, geen nieuwe regel. De voorstellen zijn nog niet aangenomen, dus de huidige AVG blijft gelden: meld datalekken volgens de huidige drempel, behandel inzageverzoeken volgens de huidige regels en maak bij gerechtvaardigd belang voor AI nog steeds een eigen belangenafweging. Houd rekening met een strenge opstelling van de AP als de definitie van persoonsgegevens of de meldplicht toch wordt versoepeld.
- voorstelEuropese CommissieCOM(2025) 837 final, artikel 3, punt 1, onder a (wijziging artikel 4, punt 1 AVG); 2025/0360(COD); ST 15698/25
Voorstel: relatieve definitie van persoonsgegevens (artikel 4, punt 1 AVG)
Het voorstel voegt zinnen toe aan de definitie van persoonsgegevens. Informatie over een persoon is niet automatisch een persoonsgegeven voor elke partij, alleen omdat een andere partij die persoon kan herkennen. Informatie is voor een partij geen persoonsgegeven als die partij de persoon niet kan identificeren met middelen die zij redelijkerwijs zou gebruiken. Dat blijft zo, ook als een latere ontvanger die middelen wel heeft. De EDPB en EDPS raden de wetgever in Joint Opinion 2/2026 van 10 februari 2026 met klem af deze wijziging over te nemen.
Wat dit betekent: Als dit wordt aangenomen, hangt het van uw eigen middelen af of gepseudonimiseerde data voor u onder de AVG valt. Dat kan de last verlichten voor ontvangers van gepseudonimiseerde datasets. U moet dan wel kunnen aantonen welke middelen u redelijkerwijs zou gebruiken. Dit is nog een voorstel; er verandert vandaag niets.
Art. 4Raad van de EU, register (COM(2025) 837 final als ST 15698/25)gecontroleerd op 15 september 2026 - voorstelEuropese CommissieCOM(2025) 837 final, artikel 3, punt 10 (nieuw artikel 41a AVG); 2025/0360 (COD); ST 15698/25
Voorstel: uitvoeringshandelingen over wanneer gepseudonimiseerde data geen persoonsgegevens meer zijn (nieuw artikel 41a AVG)
De Commissie mag uitvoeringshandelingen vaststellen met middelen en criteria om te bepalen of data na pseudonimisering voor bepaalde partijen geen persoonsgegevens meer zijn. Daarvoor beoordeelt de Commissie de stand van de techniek. Ook werkt zij criteria of categorieën uit waarmee verwerkingsverantwoordelijken en ontvangers het risico op heridentificatie bij typische ontvangers kunnen inschatten. Wie die middelen en criteria toepast, mag dat gebruiken als element om aan te tonen dat de data niet tot heridentificatie leiden. De EDPB wordt nauw betrokken en krijgt acht weken voor een advies over het ontwerp. De handelingen worden vastgesteld via de onderzoeksprocedure van artikel 93, lid 3. In Joint Opinion 2/2026 stellen de EDPB en EDPS voor het artikel te schrappen. Volgens hen bepaalt zo'n uitvoeringshandeling in feite de reikwijdte van het gegevensbeschermingsrecht.
Wat dit betekent: Als dit wordt aangenomen, kunt u het volgen van de criteria uit een uitvoeringshandeling van de Commissie gebruiken als één element om aan te tonen dat uw gepseudonimiseerde data niet tot heridentificatie leiden. Doorslaggevend bewijs is het niet, dus u moet de toepassing blijven vastleggen. Zulke criteria bestaan nu nog niet. In het compromis van het Raadsvoorzitterschap van juni 2026 is deze bevoegdheid geschrapt.
Art. 4Art. 41Art. 93Raad van de EU, register (COM(2025) 837 final als ST 15698/25)gecontroleerd op 15 september 2026 - voorstelEuropese CommissieCOM(2025) 837 final, artikel 3, punt 15 (nieuw artikel 88c AVG); 2025/0360 (COD); ST 15698/25
Voorstel: gerechtvaardigd belang voor ontwikkeling en gebruik van AI (nieuw artikel 88c AVG)
Verwerking van persoonsgegevens die nodig is voor de belangen van de verwerkingsverantwoordelijke bij de ontwikkeling en het gebruik van een AI-systeem of AI-model mag, waar passend, worden gebaseerd op gerechtvaardigd belang (artikel 6, lid 1, onder f). Dat geldt niet als andere EU- of nationale wetten uitdrukkelijk toestemming eisen, en niet als de belangen of grondrechten van de betrokkene zwaarder wegen, vooral als de betrokkene een kind is. Er moeten passende organisatorische en technische maatregelen en waarborgen zijn, zoals dataminimalisatie bij de selectie van bronnen en bij training en testen, bescherming tegen het prijsgeven van data die in het systeem of model achterblijft, extra transparantie en een onvoorwaardelijk recht van bezwaar. De EDPB en EDPS vinden de bepaling niet nodig (Joint Opinion 2/2026, par. 39) en vragen om verduidelijking als ze blijft (par. 40 tot 45).
Wat dit betekent: Als dit wordt aangenomen, krijgt u een uitdrukkelijke wettelijke bevestiging dat u AI-ontwikkeling en -gebruik op gerechtvaardigd belang mag baseren. U moet nog steeds per geval de drie-stappentoets maken en vastleggen, betrokkenen een onvoorwaardelijk recht van bezwaar geven en dat technisch kunnen uitvoeren. Waar een wet toestemming eist, geldt de grondslag niet. Bij kinderen weegt hun belang in de afweging extra zwaar, maar is de grondslag niet automatisch uitgesloten.
Art. 6Art. 21Art. 88Raad van de EU, register (COM(2025) 837 final als ST 15698/25)gecontroleerd op 15 september 2026 - voorstelEuropese CommissieCOM(2025) 837 final, artikel 3, punt 3 (wijziging artikel 9 AVG); 2025/0360(COD); ST 15698/25
Voorstel: uitzondering voor incidentele bijzondere persoonsgegevens bij AI (artikel 9, lid 2, onder k, en lid 5 AVG)
Er komt een nieuwe uitzondering op het verbod op verwerking van bijzondere categorieën persoonsgegevens voor de ontwikkeling en het gebruik van een AI-systeem of AI-model. Voorwaarde is dat u technische en organisatorische maatregelen neemt om zulke data niet te verzamelen of anderszins te verwerken. Vindt u ze toch in trainings-, test- of validatiedata of in het AI-systeem of AI-model, dan moet u ze verwijderen. Kost dat onevenredig veel moeite, dan moet u ze zonder onnodige vertraging in elk geval effectief beschermen tegen gebruik voor uitvoer en tegen verstrekking aan derden. Volgens overweging 33 geldt de uitzondering niet als de bijzondere gegevens juist nodig zijn voor de verwerking; dan blijft u op artikel 9, lid 2, onder a tot en met j, aangewezen. De EDPB en EDPS willen dat de woorden incidenteel en residueel in de wettekst zelf komen (Joint Opinion 2/2026, punt 48).
Wat dit betekent: Als dit doorgaat, hoeft u bij AI-training niet meer op een van de bestaande uitzonderingen van artikel 9 terug te vallen voor bijzondere gegevens die per ongeluk in uw data zitten. U moet wel filtermaatregelen kunnen laten zien, een verwijderproces hebben en documenteren wanneer verwijderen onevenredig is en welke bescherming u dan toepast. Op 15 september 2026 is dit nog een voorstel: de Raad heeft geen algemene oriëntatie en het Parlement geen standpunt, dus reken er nog niet op.
Art. 9Raad van de EU, register (COM(2025) 837 final als ST 15698/25); EDPB-EDPS Joint Opinion 2/2026gecontroleerd op 15 september 2026 - voorstelEuropese CommissieCOM(2025) 837 final, artikel 3, punt 3, onder a (nieuw artikel 9, lid 2, onder l AVG), overweging 34; 2025/0360(COD); ST 15698/25
Voorstel: uitzondering voor biometrische verificatie onder eigen controle (artikel 9, lid 2, onder l AVG)
Het voorstel voegt een uitzondering toe op het verbod om biometrische gegevens te verwerken. Verwerking mag als die nodig is om de identiteit van een betrokkene te bevestigen (verificatie, een een-op-een vergelijking) en de biometrische gegevens of de middelen voor de verificatie onder de uitsluitende controle van de betrokkene staan. Volgens overweging 34 is dat bijvoorbeeld zo als de gegevens alleen bij de betrokkene zijn opgeslagen, of bij de verwerkingsverantwoordelijke versleuteld volgens de stand van de techniek terwijl alleen de betrokkene de sleutel heeft. Identificatie (een-op-veel zoeken in een database) valt er niet onder. De EDPB en EDPS verwelkomen de uitzondering in Joint Opinion 2/2026, maar vragen de eisen van noodzaak en proportionaliteit in de overweging op te nemen, de zin te schrappen dat zulke verwerking geen significant risico geeft, en voorbeelden van waarborgen toe te voegen.
Wat dit betekent: Als dit wordt aangenomen, kunt u biometrische verificatie (zoals inloggen met vingerafdruk of gezicht) aanbieden zonder uitdrukkelijke toestemming als uitzonderingsgrond onder artikel 9, mits de betrokkene de uitsluitende controle heeft: opslag op het eigen toestel, pasje of smartcard, of versleutelde opslag waarvan alleen de betrokkene de sleutel heeft. Bewaart u biometrische gegevens centraal onversleuteld of met een sleutel die u zelf beheert, dan valt u er niet onder. U hebt daarnaast nog steeds een grondslag onder artikel 6 nodig, moet toetsen of een minder ingrijpende methode volstaat en een risicobeoordeling maken.
Art. 6Art. 9Raad van de EU, register (COM(2025) 837 final als ST 15698/25); EDPB-EDPS Joint Opinion 2/2026gecontroleerd op 15 september 2026 - in onderhandelingEuropese CommissieCOM(2025) 837 final, artikel 3, punten 1(b), 2 en 6; 2025/0360 (COD); ST 15698/25
Voorstel: definitie wetenschappelijk onderzoek, doelbinding en informatieplicht bij onderzoek (artikel 4, punt 38, artikel 5, lid 1, onder b, en artikel 13, lid 5 AVG)
Het voorstel voegt een definitie van wetenschappelijk onderzoek toe. Die omvat ook onderzoek dat innovatie ondersteunt en onderzoek dat een commercieel belang dient. Verdere verwerking voor archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistiek geldt dan, in overeenstemming met artikel 89, lid 1, als verenigbaar met het oorspronkelijke doel. De voorwaarden van artikel 6, lid 4 spelen daarbij geen rol. Bij onderzoek hoeft u betrokkenen niet te informeren als dat onmogelijk is, onevenredig veel moeite kost of het onderzoek onmogelijk zou maken of ernstig zou belemmeren. U moet dan wel passende maatregelen nemen, waaronder het openbaar maken van de informatie. De EDPB en EDPS verwelkomen deze onderdelen en doen voorstellen om ze te verbeteren. Op 15 september 2026 is er nog over het voorstel onderhandeld; Parlement en Raad hebben nog geen standpunt vastgesteld.
Wat dit betekent: Als dit doorgaat, hoeft u bij hergebruik van data voor onderzoek geen aparte verenigbaarheidstoets meer te doen. De waarborgen van artikel 89, lid 1 blijven wel gelden. U kunt de individuele informatieplicht dan vervangen door passende maatregelen, zoals openbare informatie. De ruime definitie maakt dat commercieel onderzoek en ontwikkeling eerder als onderzoek in de zin van de AVG gelden. Voorlopig geldt de huidige AVG ongewijzigd.
- voorstelEuropese CommissieCOM(2025) 837 final, 2025/0360(COD), artikel 3, punt 4 (vervanging artikel 12, lid 5 AVG) en overweging 35; Raadsdocument ST 15698/25 van 20 november 2025; EDPB-EDPS Joint Opinion 2/2026, par. 53 t/m 59
Voorstel: weigeren van verzoeken bij misbruik van het inzagerecht (artikel 12, lid 5 AVG)
Het voorstel voegt iets toe aan de bestaande regel voor kennelijk ongegronde of buitensporige verzoeken. U mag een inzageverzoek onder artikel 15 weigeren of er een redelijke vergoeding voor vragen als de betrokkene de rechten uit de AVG misbruikt voor andere doelen dan de bescherming van zijn gegevens. De bewijslast blijft bij u. Voor kennelijk ongegronde verzoeken moet u dat aantonen. Voor buitensporige verzoeken volstaan redelijke gronden om dat aan te nemen. Overweging 35 geeft voorbeelden van misbruik. Iemand lokt een weigering uit om daarna schadevergoeding te eisen. Iemand doet verzoeken alleen om de verwerkingsverantwoordelijke schade te berokkenen. Of iemand biedt aan het verzoek in te trekken in ruil voor een voordeel. Volgens die overweging zijn te brede en ongedifferentieerde verzoeken ook buitensporig. De EDPB en EDPS willen in Joint Opinion 2/2026 dat misbruik wordt gekoppeld aan een misbruikintentie, zoals de duidelijke bedoeling om schade toe te brengen, en niet aan het doel van het verzoek. Het Hof van Justitie heeft namelijk bevestigd dat inzage ook voor andere doelen mag worden gevraagd. Ze willen daarnaast de lagere bewijsdrempel en de zin over te brede verzoeken schrappen.
Wat dit betekent: Als dit wordt aangenomen, krijgt u een uitdrukkelijke grond om inzageverzoeken te weigeren die niet dienen om uw gegevens te beschermen, zoals verzoeken die bedoeld zijn om een schadeclaim uit te lokken. Aan uw bewijs voor buitensporigheid worden dan lagere eisen gesteld. U moet het misbruik nog wel per geval onderbouwen en vastleggen. Voor de goedkeuring kunnen de bepalingen nog veranderen, vooral als de kritiek van de EDPB en EDPS wordt overgenomen. Tot dan geldt de huidige AVG zoals het Hof die uitlegt. Het doel van een verzoek maakt het in beginsel niet ongeldig (C-307/22). Sinds Brillen Rottler (C-526/24, 19 maart 2026) mag u een verzoek, ook een eerste, wel als buitensporig weigeren als u aantoont dat het alleen bedoeld was om kunstmatig een schadeclaim te creëren. Op 15 september 2026 heeft het Europees Parlement nog niet in de commissie gestemd. Het ontwerpverslag van ITRE en LIBE dateert van 22 juni 2026.
Art. 12Art. 15Raad van de EU, register (COM(2025) 837 final als ST 15698/25); EDPB-EDPS Joint Opinion 2/2026gecontroleerd op 15 september 2026 - voorstelEuropese CommissieCOM(2025) 837 final, artikel 3, punt 5 (wijziging artikel 13, lid 4 AVG); ST 15698/25; 2025/0360 (COD)
Voorstel: geen informatieplicht bij niet data-intensieve relaties (artikel 13, lid 4 AVG)
U hoeft de informatie van artikel 13 niet te geven als de gegevens zijn verzameld in een duidelijke en afgebakende relatie met een betrokkene, uw activiteit niet data-intensief is en er redelijke gronden zijn om aan te nemen dat de betrokkene de identiteit en contactgegevens van de verantwoordelijke en de doelen al kent. De uitzondering vervalt als u de gegevens doorgeeft aan andere ontvangers of naar een derde land, geautomatiseerde besluiten neemt (ook profilering) of de verwerking waarschijnlijk een hoog risico oplevert in de zin van artikel 35. Overweging 36 noemt als voorbeeld een ambachtsman en zijn klanten, en verenigingen en sportclubs. In Joint Opinion 2/2026 van 10 februari 2026 steunen de EDPB en EDPS de richting, maar willen ze de begrippen niet data-intensief en duidelijke en afgebakende relatie scherper, de woorden redelijke gronden om aan te nemen geschrapt en een recht op de volledige informatie op verzoek. Op 15 september 2026 is dit nog een voorstel: het Europees Parlement heeft nog niet in commissie gestemd en de Raad heeft nog geen standpunt.
Wat dit betekent: Als dit doorgaat, kunnen kleine dienstverleners zoals een ambachtsman of een loodgieter bij eenvoudige klantcontacten de privacyverklaring achterwege laten. Zodra u gegevens deelt met andere ontvangers, doorgeeft buiten de EU, profileert of risicovol verwerkt, moet u wel informeren. Uw inzageplicht onder artikel 15 blijft gelden. De grens van niet data-intensief is nog onduidelijk, en volgens overweging 36 valt de arbeidsrelatie er niet onder.
Art. 13Raad van de EU, register (COM(2025) 837 final als ST 15698/25); EDPB-EDPS Joint Opinion 2/2026, par. 60 tot 64gecontroleerd op 15 september 2026 - voorstelEuropese CommissieCOM(2025) 837 final, artikel 3, punt 7 (vervanging artikel 22, leden 1 en 2 AVG); 2025/0360(COD); ST 15698/25
Voorstel: herformulering van geautomatiseerde individuele besluitvorming (artikel 22 AVG)
Artikel 22 wordt niet langer geformuleerd als recht om niet aan een geautomatiseerd besluit te worden onderworpen. Het wordt een uitputtende lijst van gevallen waarin zo'n besluit mag: als het nodig is voor een overeenkomst (ongeacht of het besluit ook anders dan volledig geautomatiseerd had kunnen worden genomen), als het bij Unie- of lidstatelijk recht met passende waarborgen is toegestaan, of als het op uitdrukkelijke toestemming berust. Volgens overweging 38 staat het feit dat een mens het besluit had kunnen nemen niet in de weg, maar moet bij gelijk effectieve oplossingen de minst ingrijpende worden gekozen. De EDPB en EDPS (Joint Opinion 2/2026, par. 65 tot 72) willen de formulering als principieel verbod behouden, zoals het Hof van Justitie in SCHUFA (C-634/21) oordeelde. Zij steunen de verduidelijking over contracten, maar willen de zinsnede 'ongeacht of het besluit anders had kunnen worden genomen' alleen in de overweging en niet in de wettekst. Het Europees Parlement werkt aan zijn positie via een ontwerpverslag van ITRE en LIBE van 22 juni 2026; er is nog geen commissiestemming.
Wat dit betekent: Als het Commissievoorstel doorgaat, kunt u volledig geautomatiseerde besluiten bij contracten makkelijker rechtvaardigen, ook als een mens het besluit had kunnen nemen. De waarborgen van artikel 22, lid 3 (menselijke tussenkomst, eigen standpunt, betwisting) blijven bestaan. Ook de toezichthouders aanvaarden dat een mogelijk menselijk besluit op zich geen beletsel is. Zij vinden wel dat u het minst ingrijpende gelijk effectieve middel moet kiezen, en dat het verbod als uitgangspunt blijft. Het voorstel is nog in behandeling, dus pas uw besluitvorming hier nog niet op aan.
Art. 22Raad van de EU, register (COM(2025) 837 final als ST 15698/25); EDPB-EDPS Joint Opinion 2/2026gecontroleerd op 15 september 2026 - voorstelEuropese CommissieCOM(2025) 837 final, 2025/0360 (COD), artikel 3, punt 8 (wijziging artikel 33 AVG), artikel 3, punt 14 (nieuw punt (hc) in artikel 70, lid 1 AVG) en artikel 6, punt 1 (nieuw artikel 23a NIS2); Raadsdocument ST 15698/25
Voorstel: datalekmelding alleen bij hoog risico, binnen 96 uur, via één loket (artikel 33 AVG)
De meldplicht aan de toezichthouder geldt alleen nog voor datalekken die waarschijnlijk een hoog risico voor betrokkenen opleveren (nu: tenzij het onwaarschijnlijk is dat er een risico is). De termijn gaat van 72 naar 96 uur. Melden gebeurt via een Europees enkel loket bij ENISA onder de NIS2-richtlijn; tot dat loket bestaat, meldt u rechtstreeks bij de toezichthouder. De EDPB stelt een gemeenschappelijk meldformulier en een lijst van hoogrisico-omstandigheden voor, die de Commissie via een uitvoeringshandeling vaststelt en minstens elke drie jaar herziet. De EDPB en EDPS (gezamenlijk advies 2/2026 van 10 februari 2026) verwelkomen de hogere drempel, de langere termijn en het loket, maar willen dat de EDPB het formulier en de lijst zelf opstelt en vaststelt.
Wat dit betekent: Als dit wordt aangenomen, meldt u minder datalekken bij de toezichthouder en heeft u een dag extra. U moet dan wel goed kunnen onderbouwen waarom een lek geen hoog risico oplevert; de interne registratieplicht van artikel 33, lid 5 blijft. De meldplicht aan betrokkenen bij hoog risico (artikel 34) verandert niet. Vandaag gelden nog 72 uur en de lage drempel: op 15 september 2026 is dit nog een voorstel, zonder standpunt van Raad of Parlement en zonder triloog.
Art. 33Art. 34Art. 70Raad van de EU, register (COM(2025) 837 final als ST 15698/25)gecontroleerd op 15 september 2026 - voorstelEuropese CommissieCOM(2025) 837 final, artikel 3, punten 9 en 11 tot 14 (wijziging artikel 35, 57, 64 en 70 AVG); ST 15698/25; 2025/0360 (COD)
Voorstel: Europese DPIA-lijsten, sjabloon en methodiek (artikel 35, 57, 64 en 70 AVG)
De nationale lijsten van verwerkingen waarvoor wel of geen DPIA nodig is, worden vervangen door Europese lijsten. De EDPB stelt binnen negen maanden nadat de wijzigingsverordening van toepassing wordt een lijst, een gemeenschappelijk sjabloon en een methodiek voor. De Commissie stelt die vast via een uitvoeringshandeling en herziet ze minstens elke drie jaar. De bestaande nationale lijsten, zoals die van de AP, blijven geldig tot de uitvoeringshandeling er is. De bevoegdheid van nationale toezichthouders om lijsten vast te stellen (artikel 57, lid 1, onder k) en de bijbehorende consistentieprocedure (artikel 64, lid 1, onder a) vervallen.
Wat dit betekent: Als dit doorgaat, werkt u in alle lidstaten met dezelfde DPIA-lijst en hetzelfde sjabloon, wat het werk van internationale organisaties vereenvoudigt. Tot de uitvoeringshandeling er is, blijft de Nederlandse AP-lijst leidend. Uw eigen DPIA-methodiek moet u dan mogelijk aanpassen aan het Europese sjabloon.
Art. 35Art. 57Art. 64Art. 70Raad van de EU, register (COM(2025) 837 final als ST 15698/25)gecontroleerd op 15 september 2026 - in onderhandelingEuropese CommissieCOM(2025) 837 final, 2025/0360 (COD), artikel 3, punt 15 (nieuw artikel 88b AVG); ST 15698/25
Voorstel: toestemming en bezwaar via machineleesbare browsersignalen (nieuw artikel 88b AVG)
Verwerkingsverantwoordelijken moeten ervoor zorgen dat hun online-interfaces toestemming, weigering en bezwaar (artikel 21, lid 2) via geautomatiseerde, machineleesbare middelen kunnen ontvangen, en zij moeten die keuzes respecteren. Aanbieders van mediadiensten zijn uitgezonderd wanneer zij een mediadienst leveren. De Commissie vraagt Europese normalisatie-organisaties om normen; wie een geharmoniseerde norm volgt, wordt vermoed te voldoen. De verplichting voor verwerkingsverantwoordelijken zou 24 maanden na inwerkingtreding gelden; aanbieders van webbrowsers die geen mkb zijn, moeten de technische middelen na 48 maanden bieden. Het Coreper gaf op 8 juni 2026 richting voor verder werk juist bij dit gecentraliseerde toestemmingssignaal voor cookies en bij het ontbreken van een effectbeoordeling daarvoor.
Wat dit betekent: Als dit doorgaat, moet uw website of app binnen twee jaar na inwerkingtreding browsersignalen kunnen lezen en toepassen, en mag u een weigering via de browser niet negeren. Uw consent-management-tool moet daarop worden aangepast. Voor aanbieders van mediadiensten geldt een uitzondering. Dit onderdeel ligt in de Raad nog onder discussie, dus de uiteindelijke tekst kan afwijken.
Art. 7Art. 21Art. 88Raad van de EU, register (COM(2025) 837 final als ST 15698/25)gecontroleerd op 15 september 2026 - voorstelEuropese CommissieCOM(2025) 837 final; SWD(2025) 836 final; procedure 2025/0360(COD)
Commissie publiceert Digital Omnibus voorstel COM(2025) 837
Op 19 november 2025 heeft de Commissie het Digital Omnibus voorstel vastgesteld. Het wijzigt onder meer de AVG (Verordening (EU) 2016/679), de EUDPR (2018/1725), de Single Digital Gateway verordening (2018/1724), de Data Act (2023/2854), de ePrivacyrichtlijn (2002/58/EG), NIS2 en CER. Het trekt de Data Governance Act, de P2B-verordening, de verordening vrij verkeer van niet-persoonsgebonden gegevens en de Open Data richtlijn in. Het is een apart dossier naast de Digital Omnibus on AI (2025/0359(COD)). Die is aangenomen als Verordening (EU) 2026/1744 en wijzigt de AVG niet. In het Parlement werd de verwijzing naar de commissies ITRE en LIBE op 19 januari 2026 aangekondigd. Het dossier ligt daar nog in de commissiefase.
Wat dit betekent: Voor u verandert er door het voorstel zelf niets. Het markeert wel het begin van de wetgevingsprocedure, waarin de AVG-wijzigingen hierboven worden onderhandeld. Houd er rekening mee dat de uiteindelijke tekst sterk kan afwijken van dit voorstel.
Zoekt u de Digital Omnibus voor de AI Act? Naar de AI-omnibus (Verordening (EU) 2026/1744)