Richtsnoer
Autoriteit Persoonsgegevens publiceert position paper over Omnibus Digitaal en Omnibus AI
- Datum
- Status
- definitief
- Instantie
- Autoriteit Persoonsgegevens
- Kenmerk
- Position paper AP: Omnibus Digitaal en Omnibus AI (januari 2026)
Waar het over gaat
De AP steunt vereenvoudiging, maar vindt dat de omnibusvoorstellen de balans met bescherming niet goed treffen, en roept de wetgever op er kritisch naar te kijken. De AP wil de definitie van persoonsgegevens houden zoals die is, omdat onduidelijkheid bescherming en toezicht verzwakt. Minder transparantie en verantwoording betekent minder effectief toezicht: de AP wil de huidige drempel voor het melden van datalekken behouden. De verplichting tot AI-geletterdheid moet bij organisaties blijven. Veel voorstellen, zoals de beperking van het inzagerecht bij buitensporige verzoeken en het expliciet noemen van gerechtvaardigd belang voor AI, zijn volgens de AP zo onduidelijk dat ze de problemen niet oplossen. Positief zijn onder meer Europese templates voor DPIA's en datalekmeldingen en geharmoniseerde cookieregels. De AP kondigt een gezamenlijke analyse met de andere Europese privacytoezichthouders aan.
Wat dit betekent voor de praktijk
Dit is het standpunt van uw Nederlandse toezichthouder, geen nieuwe regel. De voorstellen zijn nog niet aangenomen, dus de huidige AVG blijft gelden: meld datalekken volgens de huidige drempel, behandel inzageverzoeken volgens de huidige regels en maak bij gerechtvaardigd belang voor AI nog steeds een eigen belangenafweging. Houd rekening met een strenge opstelling van de AP als de definitie van persoonsgegevens of de meldplicht toch wordt versoepeld.
De AVG-artikelen waar het om gaat
- Artikel 4: Definities
- Artikel 6: Rechtmatigheid van de verwerking
- Artikel 15: Recht van inzage van de betrokkene
- Artikel 33: Melding van een inbreuk in verband met persoonsgegevens aan de toezichthoudende autoriteit
- Artikel 34: Mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene
- Artikel 35: Gegevensbeschermingseffectbeoordeling
Bron: Autoriteit Persoonsgegevensgecontroleerd op 15 september 2026
Samenvatting en praktijkduiding door Praxikon. Geen juridisch advies; de bron gaat voor.
Samenhang
Wat samenhangt met deze ontwikkeling
Hoort bij het dossier
Thema’s waarin dit terugkomt
- Biometrie en emotieherkenning
- Datakwaliteit, minimalisatie en data governance
- Geautomatiseerde besluiten en menselijk toezicht
- Melden: datalekken en ernstige incidenten
- Rechten van mensen: inzage en uitleg bij besluiten
- Vooraf risico's beoordelen: DPIA en FRIA
- Wie is verantwoordelijk: rollen in beide wetten
De tegenhanger in de andere wet
- Artikel 3 AI Act: Definities
- Artikel 5 AI Act: Verboden AI-praktijken
- Artikel 6 AI Act: Classificatieregels voor AI-systemen met een hoog risico
- Artikel 9 AI Act: Systeem voor risicobeheer
- Artikel 10 AI Act: Data en datagovernance
- Artikel 14 AI Act: Menselijk toezicht
- Artikel 16 AI Act: Verplichtingen van aanbieders van AI-systemen met een hoog risico
- Artikel 25 AI Act: Verantwoordelijkheden in de AI-waardeketen
- Artikel 26 AI Act: Verplichtingen van gebruiksverantwoordelijken van AI-systemen met een hoog risico
- Artikel 27 AI Act: Beoordeling van de gevolgen voor de grondrechten van AI-systemen met een hoog risico
- Artikel 50 AI Act: Transparantieverplichtingen voor aanbieders en gebruiksverantwoordelijken van bepaalde AI-systemen
- Artikel 73 AI Act: Melding van ernstige incidenten
- Artikel 86 AI Act: Recht op uitleg bij individuele besluitvorming
Rechtspraak8 van 19
- Raad van State: boete van 600.000 euro voor wifi-tracking Enschede blijft van tafel
2026-07-29 · definitief, Raad van State, Afdeling bestuursrechtspraak
- Rechtbank Overijssel herroept AP-boete voor wifi-tracking Enschede
2024-02-02 · definitief, Rechtbank Overijssel
- Rechtbank Den Haag verlaagt AP-boete voor politie om mobiele camera-auto's zonder afgeronde GEB naar 30.000 euro
2024-10-08 · status niet vastgesteld, Rechtbank Den Haag
- Hof van Justitie EU over KNLTB: zuiver commercieel belang kan gerechtvaardigd belang zijn
2024-10-04 · definitief, Hof van Justitie van de Europese Unie
- Rechtbank Noord-Nederland houdt AP-boete voor dorpslivestream in stand, verlaagt naar 375 euro
2025-01-09 · status niet vastgesteld, Rechtbank Noord-Nederland
- IAB Europe: de TC String is een persoonsgegeven en de brancheorganisatie is gezamenlijk verantwoordelijke
2024-03-07 · definitief, Hof van Justitie van de EU (Vierde kamer), IAB Europe tegen Gegevensbeschermingsautoriteit (België)
- Brillen Rottler: een eerste inzageverzoek kan misbruik zijn als het alleen dient om schadevergoeding te claimen
2026-03-19 · definitief, Hof van Justitie van de EU (Vierde kamer), Brillen Rottler GmbH & Co. KG tegen TC
- EDPS tegen SRB: gepseudonimiseerde gegevens zijn niet voor iedereen altijd persoonsgegevens, maar de informatieplicht geldt vanaf het verzamelen
2025-09-04 · definitief, Hof van Justitie van de EU (Eerste kamer), Europese Toezichthouder voor gegevensbescherming (EDPS) tegen Gemeenschappelijke Afwikkelingsraad (SRB)
Richtsnoeren8 van 20
- EDPB sjabloon voor de melding van een datalek
2026-06-10 · aangenomen, European Data Protection Board (EDPB)
- Opinie 28/2024 over bepaalde gegevensbeschermingsaspecten van de verwerking van persoonsgegevens in het kader van AI-modellen
2024-12-17 · definitief, European Data Protection Board (EDPB)
- Richtsnoeren 01/2021 met voorbeelden over de melding van inbreuken in verband met persoonsgegevens
2021-12-14 · definitief, European Data Protection Board (EDPB)
- Richtsnoeren 9/2022 over de melding van inbreuken in verband met persoonsgegevens onder de AVG
2023-03-28 · definitief, European Data Protection Board (EDPB)
- Richtsnoeren inzake geautomatiseerde individuele besluitvorming en profilering
2018-05-25 · definitief, Article 29 Working Party, bekrachtigd door de European Data Protection Board (EDPB)
- Richtsnoeren 03/2026 over webscraping in het kader van generatieve AI
2026-07-07 · in consultatie, European Data Protection Board (EDPB)
- Richtsnoeren 05/2020 over toestemming onder Verordening 2016/679
2020-05-04 · definitief, European Data Protection Board (EDPB)
- Consultatie conceptlijst van verwerkingen waarvoor geen DPIA verplicht is (AP)
2026-06-24 · in consultatie, Autoriteit Persoonsgegevens (AP)
Handhaving en boetes8 van 11
- Coolblue krijgt in bezwaar boete van 40.000 euro voor cookies zonder toestemming
2024-12-23 · status niet vastgesteld, Autoriteit Persoonsgegevens
- Boete van 150.000 euro voor ICS wegens ontbrekende DPIA bij digitale identificatie
2023-12-18 · definitief, Autoriteit Persoonsgegevens
- AP en KNLTB beëindigen rechtszaak: boete verlaagd van 525.000 naar maximaal 250.000 euro
2025-10-18 · status niet vastgesteld, Autoriteit Persoonsgegevens
- Boete van 600.000 euro voor AS Watson (Kruidvat) om tracking cookies zonder toestemming
2024-05-02 · vernietigd, Autoriteit Persoonsgegevens
- Boete van 500 euro en last onder dwangsom voor Stichting Oud Lemmer om webcam-livestream
2021-07-09 · status niet vastgesteld, Autoriteit Persoonsgegevens
- AP verlaagt Kruidvat-boete in bezwaar naar 50.000 euro
2025-05-27 · status niet vastgesteld, Autoriteit Persoonsgegevens
- Tien gemeenten beboet (totaal 250.000 euro) voor illegale dossiers over islamitische inwoners
2026-02-03 · definitief, Autoriteit Persoonsgegevens
- Experian Nederland krijgt boete van 2,7 miljoen euro voor kredietscores zonder grondslag en zonder informatie
2025-10-16 · definitief, Autoriteit Persoonsgegevens
Wetgeving in beweging6 van 18
- Voorstel: datalekmelding alleen bij hoog risico, binnen 96 uur, via één loket (artikel 33 AVG)
2025-11-19 · voorstel, Europese Commissie
- Raad: Iers voorzitterschap zet onderhandelingen voort met herzien compromis, Antici-groep 11 september 2026
2026-09-11 · in onderhandeling, Raad van de Europese Unie, Iers voorzitterschap
- Voorstel: cookieregels van ePrivacy naar de AVG, met nieuwe uitzonderingen en zesmaandenregel (nieuw artikel 88a AVG en artikel 5, lid 3 ePrivacy)
2025-11-19 · in onderhandeling, Europese Commissie
- Voorstel: definitie wetenschappelijk onderzoek, doelbinding en informatieplicht bij onderzoek (artikel 4, punt 38, artikel 5, lid 1, onder b, en artikel 13, lid 5 AVG)
2025-11-19 · in onderhandeling, Europese Commissie
- Voorstel: relatieve definitie van persoonsgegevens (artikel 4, punt 1 AVG)
2025-11-19 · voorstel, Europese Commissie
- Europees Parlement: gezamenlijk ontwerpverslag ITRE-LIBE, amendementen ingediend, nog geen commissiestemming
2026-06-22 · in onderhandeling, Europees Parlement, commissies ITRE en LIBE (gezamenlijke commissie)
Analyses6 van 9
- DPIA voor AI-systemen: wanneer verplicht en hoe uit te voeren (2026)
2026-03-23
- Artikel 26 EU AI Act: gids voor deployer verplichtingen
2026-03-21
- FRIA vs DPIA: 5 cruciale verschillen plus gratis FRIA-template (2026)
2025-08-05
- AP-uitvraag over AI of algoritmes: welke documenten moet je kunnen laten zien?
2026-07-07
- De concept-richtsnoeren voor high-risk classificatie: de twee routes onder artikel 6 uitgelegd
2026-06-13
- Digital Omnibus en het uitstel van de high-risk verplichtingen naar december 2027: wat verandert en wat blijft gelden
2026-06-13