Sinds februari 2025 heeft de Europese Commissie twaalf voorstellen voor vereenvoudigingen gepresenteerd, de ‘Omnibus packages’. De Digitale Omnibus VII is gericht op regels voor databescherming, privacy en cybersecurity. Op de 11 andere voorstellen wordt in dit artikel niet inhoudelijk ingegaan [1].
De Omnibus VII bestaat uit twee separate voorstellen van de Europese Commissie: i) de digitale omnibus met betrekking tot regels voor data, cyberbeveiliging en privacy en ii) de digitale omnibus met betrekking tot AI.
Digitale Omnibus
Het eerste voorstel voor een digitale omnibusverordening is gepresenteerd op 19 november 2025 [2] om de regeldruk voor bedrijven, overheden en burgers te verminderen. Het voorstel moet ervoor zorgen dat naleving van de regels lagere kosten met zich meebrengt, dezelfde doelstellingen verwezenlijkt en een concurrentievoordeel oplevert.
De Digitale Omnibus bevat wijzigingen voor de AVG, waarvan een aantal opvallende wijzigingen hier kort worden vermeld. Ten eerste wordt een nieuwe bepaling over pseudonimisering en de identificeerbaarheid van een natuurlijk persoon geïntroduceerd. Er is geen sprake van persoonsgegevens als een bepaalde entiteit niet beschikt over de middelen die redelijkerwijs kunnen worden gebruikt om de natuurlijke persoon te identificeren. Dit is een codificering van het SRB-arrest van 4 september 2025 [3]. Ten tweede wordt bevestigd dat voor het verwerken van persoonsgegevens voor de ontwikkeling en het gebruik van AI-systemen en voor wetenschappelijk onderzoek een gerechtvaardigd belang kan bestaan. Ten derde wordt een afwijking van het verbod van artikel 9 AVG opgenomen voor het residueel aanwezig zijn van bijzondere categorieën van persoonsgegevens bij de ontwikkeling van AI-systemen en AI-modellen, mits te allen tijde maatregelen worden getroffen om dit zoveel mogelijk te voorkomen en zo nodig dergelijke gegevens worden verwijderd.
Ook de cookiebanners moeten geloven aan een vereenvoudiging vanwege ‘toestemmingsmoeheid’. De huidige regels voor cookies en andere tracking technologie uit de e-privacyrichtlijn blijven in stand en toestemming blijft in beginsel verplicht, maar er komt een kader met aanvullende doeleinden, waaronder beveiliging, statistieken en strikt noodzakelijke cookies, waarvoor geen toestemming nodig is.
Een belangrijke wijziging voor het melden van datalekken en cyberbeveiligingsincidenten is dat één centraal toegangspunt wordt geïntroduceerd voor verplichtingen inzake meldingen uit de NIS 2-richtlijn, de AVG, DORA, eIDAS en CER.
Digitale Omnibus inzake AI
Op 19 november 2025 heeft de Commissie het voorstel voor een digitale omnibusverordening inzake AI gepubliceerd [4]. Dit betreft een voorstel tot wijziging van de op 1 augustus 2024 in werking getreden AI-verordening, ook wel de ‘AI Act’ [5].
De AI-omnibus is op 27 juli 2026 in werking getreden. Daarmee zijn de tijdlijnen uitgebreid en de regels voor AI-systemen met een hoog risico in bijlage III van toepassing vanaf 2 december 2027 en voor AI in fysieke producten met een hoog risico (machines, speelgoed, liften, enz.) in bijlage I vanaf 2 augustus 2028. De AI-omnibus bevat ook materiële wijzigingen. Een deel daarvan richt zich op vermindering van administratieve lasten, bijvoorbeeld vereenvoudiging van de AI-geletterdheidsvereiste voor bedrijven en vereenvoudiging van de verplichting om vrijgestelde AI-systemen in de centrale EU-databank te registreren. Daarnaast is een officieel verbod geïntroduceerd op zogeheten ‘nudificatie’-apps. Het verbod treedt in werking op 2 december 2026. Hoewel dit een solide basis biedt tegen onlinemisbruik heeft de rechtbank Amsterdam in het vonnis in kort geding van 26 maart 2026 [6] een verbod op het genereren en verspreiden van seksueel beeldmateriaal toegewezen op grond van de AVG en artikel 6:162 BW toegewezen.
Waar staan we nu?
Op 21 oktober 2026 heeft de Raad van de Europese Unie haar standpunt gegeven over de Digital Omnibus VII [7]. Na de goedkeuring van de Raad en zodra ook het Europees Parlement haar laatste positie heeft vastgesteld zullen de onderhandelingen met het Europees Parlement starten. De doelstelling is om vóór eind 2027 de werkzaamheden voor alle Omnibus Packages af te ronden.
[1] Een samenvatting van alle Omnibus voorstellen is te raadplegen via: https://www.consilium.europa.eu/nl/policies/simplification/
[2] https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:52025PC0837
[3] HvJ EU 4 september 2025, C-413/23 P, ECLI:EU:C:2025:645.
[4] https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:52025PC0836
[5] Verordening (EU) 2024/1689
[6] Rechtbank Amsterdam 26 maart 2026, ECLI:NL:RBAMS:2026:3106
[7] Het persbericht is te raadplegen via: https://www.consilium.europa.eu/nl/press/press-releases/2026/10/21/digital-rulebook-council-agrees-position-to-simplify-data-protection-privacy-and-cyber-reporting-rules/