Juridisch medewerker
Isabella Mahieu
AVG, IT-recht, International Media Law
Op 19 november 2025 publiceerde de Europese Commissie een voorstel voor een “Digitale Omnibus Verordening”.
Het voorstel is een onderdeel van de versimpelingsagenda van Commissie von der Leyen II naar aanleiding van het Draghi rapport over Europees concurrentievermogen. Indien het voorstel wordt aangenomen door het Europees Parlement en de EU lidstaten wordt de Digitale Omnibus de éérste grote wetswijziging op het gebied van privacy & gegevensbeschermingsrecht sinds de invoering van de AVG op 25 mei 2018.
Op het moment van schrijven zijn nog steeds de huidige wettelijke verplichtingen uit de Algemene Verordening Gegevensbescherming (“AVG”) van toepassing. De Digitale Omnibus betreft een voorstel voor een aantal wetswijzigingen. Het kan nog niet met zekerheid worden voorspeld of iedere voorgestelde wetswijziging daadwerkelijk zal worden ingevoerd volgens de suggesties van de Europese Commissie. Ook kan niet worden voorspeld of er bijvoorbeeld nog meer nieuwe voorstellen in aanvulling op het huidige pakket zullen worden gedaan voor de versimpeling van regulering voor de digitale sector.
In onderstaand artikel zetten wij de meest opvallende voorgestelde wijzigingen onder elkaar.
In het voorstel wordt de subjectieve interpretatie van de definitie van ‘persoonsgegeven’ die volgt uit de jurisprudentie van het Hof van Justitie van de EU gecodificeerd. Deze relatieve interpretatie houdt in dat het afhankelijk is van de feitelijke vraag óf een specifieke entiteit met een bepaald gegeven een persoon zou kúnnen identificeren of dit gegeven voor díe specifieke entiteit een persoonsgegeven is of niet. Anders gezegd, niet alle informatie is voor alle personen en entiteiten in alle omstandigheden een persoonsgegeven.
Sinds de invoering van de AVG op 25 mei 2018 is met name door Commissie von der Leyen I een groot aantal nieuwe EU verordeningen geïntroduceerd en oudere EU richtlijnen geamendeerd in het kader van de ‘shaping Europe’s digital future’ agenda. Het voorstel voegt waar relevant verwijzingen naar meer actuele wet - en regelgeving toe in de wettekst voor de AVG.
Overigens schoont het huidige voorstel nog steeds niet alle inmiddels verouderde kruisverwijzingen op. Zo verwijst artikel 2 lid 4 AVG nog steeds naar de e-commerce richtlijn (2000/31/EC), terwijl de wettelijke bepalingen waarnaar wordt verwezen zijn verplaatst naar de Digital Services Act verordening (EU) 2022/2065.
Eerder schreven wij over die verplaatsing van de e-commerce richtlijn naar de DSA:
De nieuwe platformaansprakelijkheid DSA
In het voorstel voor de Digitale Omnibus verordening verklaart de Europese Commissie:
“For these reasons, the amendments focus on unlocking opportunities in the use of data, as a fundamental resource in the EU economy, not least in view of supporting the development and use of trustworthy artificial intelligence solutions in the EU market. Targeted amendments to the data protection and privacy rules support this objective and provide immediate simplification measures for businesses and individuals, strengthening their ability to exercise their rights.”
Het voorstel legt sterke nadruk op het toestaan van datagebruik voor wetenschap en AI.
In het voorstel wordt de verwerking van persoonsgegevens met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden expliciet niet even streng beperkt door het beginsel van doelbinding. Het beginsel van doelbinding is het principe dat persoonsgegevens in beginsel niet mogen worden gebruikt voor ander doeleinden dan waarvoor zij oorspronkelijk zijn verwerkt. Uitzonderingen die al bestonden voor wetenschap, historisch onderzoek of statistische doeleinden worden verruimd.
In het voorstel wordt een uitzondering op de uit het transparantiebeginsel voortvloeiende informatieverplichtingen en inzagerecht van het datasubject opgenomen wanneer de verwerking van persoonsgegevens voor wetenschappelijke doeleinden plaatsvindt:
“provision of information referred to under paragraphs 1, 2 and 3 proves impossible or would involve a disproportionate effort subject to the conditions and safeguards referred to in Article 89(1) […]
or in so far as the obligation referred to in paragraph 1 of this Article is likely to render impossible or seriously impair the achievement of the objectives of that processing […]
In such cases the controller shall take appropriate measures to protect the data subject's rights and freedoms and legitimate interests, including making the information publicly available”
Kort gezegd, wordt hier een significant milder regime binnen de AVG geïntroduceerd bij verwerking van persoonsgegevens voor wetenschappelijke doeleinden. Er bestonden al uitzonderingen voor archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden, maar hiermee zou ook een mildere versie van de transparantieverplichtingen van een verwerkingsverantwoordelijke jegens het datasubject omtrent de borging van diens rechten en vrijheden van toepassing zijn bij verwerking voor wetenschappelijke doeleinden.
2.3. Extra uitzonderingen voor AI en biometrische verificatie
In het voorstel worden uitzonderingen toegevoegd op het verbod om bijzondere categorieën van persoonsgegevens te verwerken. Bijzondere categorieën van persoonsgegevens zijn persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid. In beginsel is het verboden om bijzondere categorieën van persoonsgegevens te verwerken, tenzij een uitzondering van toepassing is.
In het voorstel zijn expliciete uitzonderingen op het verbod op verwerking voor bijzondere categorieën van persoonsgegevens voor AI systemen en biometrische identificatie/verificatie toegevoegd. Ook wordt voor de verwerking van bijzondere categorieën van persoonsgegevens door AI systemen een aparte bepaling opgenomen over passende technische en organisatorische maatregelen die genomen moeten worden om te voorkomen dat bijzondere categorieën van persoonsgegevens worden verwerkt in ‘datasets used for training, testing or validation or in the AI system or AI model’, verwijderen hoeft niet als dit ‘disproportionate effort’ zou kosten, als maar wel voorkomen wordt dat die bijzondere categorieën van persoonsgegevens geopenbaard worden aan derden in de output.
Een tekstuele verduidelijking die met name voor de ontwikkeling en gebruik van AI erg prettig zal zijn is dat in het voorstel het verbod op geautomatiseerde besluitvorming geheel geherformuleerd is van de enigszins moeilijk te interpreteren “het data subject zal het recht hebben om niet onderworpen te worden aan …” naar de duidelijker vanuit civiel – en bestuursrechtelijk perspectief leesbare “Een besluit met rechtsgevolgen voor een datasubject mag alleen indien…”. Opvallend aan de formulering is dat de huidige versie vanuit de rechten van de betrokkene en de voorgestelde nieuwe versie vanuit de voorwaarden aan het besluit in het licht van de grondrechten van de betrokkene is geformuleerd.
In de heersende rechtsopvatting was reeds de aanname dat deze wettelijke bepaling op deze manier moest worden geïnterpreteerd en toegepast. Echter, de Algemene Verordening Gegevensbescherming is doorgaans niet op deze wijze geformuleerd, maar legt nadruk op bescherming van mensenrechten, onder andere door toekenning van rechten. Voor de rechtspraktijk zou het ongetwijfeld prettig zijn als méér wettelijke bepalingen uit de AVG bij een vereenvoudigende wetswijziging op deze manier herschreven kunnen worden in plaats van de huidige abstracte formulering op basis van rechten en vrijheden, zonder de strekking en bescherming van het wettelijk voorschrift te hoeven veranderen.
In het voorstel wordt gebroken met een lijn uit de jurisprudentie van het Hof van Justitie van de EU en bepaalde lidstaten omtrent vermeend misbruik van inzageverzoeken. De lijn uit de jurisprudentie is namelijk dat niet te snel dient te worden aangenomen dat het inzagerecht is uitgeput, ook bij herhaaldelijke inzageverzoeken en ook dat het géén misbruik is om het inzagerecht te gebruiken voor een ander doel dan bescherming van persoonsgegevens, bijvoorbeeld om bewijs te vinden om in een civielrechtelijke procedure te gebruiken of voor journalistieke doeleinden.
De bewijslast voor een verwerkingsverantwoordelijke zou lichter worden en het weigeren van inzageverzoeken vaker toegestaan. In plaats van te moeten bewijzen dat verzoeken kennelijk ongegrond of buitensporig zijn zou het voldoende worden om aan te tonen dat “reasonable grounds to believe” bestaan dat een verzoek kennelijk ongegrond of buitensporig is, dat is een geobjectiveerde maatstaf en minder zware bewijslast dan de huidige wet.
In het voorstel wordt de bestaande uitzondering op transparantieverplichtingen verruimd en de bewijslast om een beroep te doen voor de verwerkingsverantwoordelijke verlaagd. Op dit moment is de verwerkingsverantwoordelijke niet verplicht informatie te verstrekken die het datasubject al heeft. In het voorstel zou dat opgerekt worden: “not apply where the personal data have been collected in the context of a clear and circumscribed relationship between data subjects and a controller exercising an activity that is not data-intensive and there are reasonable grounds to assume that the data subject already has the information”.
Kortom, inzage verstrekken hoeft niet voor een activiteit die ‘niet data- intensief is’ -, onduidelijk is wat ‘niet data- intensief’ betekent- en het zal voldoende zijn om aan te tonen dat er ‘redelijke gronden zijn om aan te nemen dat’ het datasubject de informatie over de verwerking van zijn of haar persoonsgegevens al heeft, ook hier een geobjectiveerde maatstaf, ditmaal om beroep te kunnen doen op een voor de verwerkingsverantwoordelijke gunstige uitzondering op het inzagerecht.
In Nederland is de Autoriteit Persoonsgegevens de bevoegde toezichthouder voor het melden van datalekken. In het voorstel wordt de grens voor meldplichtigheid van datalekken bij een bevoegde nationale toezichthouder, omhoog getrokken naar “personal data breach that is likely to result in a high risk to the rights and freedoms of natural persons”. Met andere woorden, slechts een ernstig datalek dat waarschijnlijk een hoog risico voor de rechten en vrijheden van natuurlijke personen tot gevolg heeft hoeft gemeld te worden bij de toezichthouder. Bijvoorbeeld een datalek waarbij bijzondere categorieën van persoonsgegevens zoals gezondheidsgegevens zijn geopenbaard aan onbevoegde derden.
In het voorstel zou de termijn voor de meldplicht verlengd worden van binnen 72 uur naar binnen 96 uur.
In het voorstel wordt in aanvulling op, artikel 23a Richtlijn (EU) 2022/2555 (“NIS 2 richtlijn”) één “single-entry point” voor meldingen van datalekken opgenomen, opdat niet voor hetzelfde beveiligingsincident meerdere keren een melding moet worden gedaan op basis van uiteenlopende privacy – en cybersecurity wet- en regelgeving met verschillende informatievereisten aan meerdere nationale en Europese toezichthouders.
De Europese Commissie zal een ‘common template’ voor meldingsformulier van datalekken publiceren en periodiek 3 – jaarlijks herzien. De European Data Protection Board zal een voorstel voorbereiden. Ook zal de European Data Protection Board een lijst opstellen van omstandigheden “likely to result in a high risk to the rights and freedoms of natural persons”, dat wil zeggen de nieuwe drempel voor meldingsplicht van datalekken in het voorstel voor de digitale omnibus concretiseren.
In het voorstel krijgt de European Data Protection Board (EDPB) in plaats van de nationale toezichthouders van de EU lidstaten de bevoegdheid om een voorstel te sturen naar de Europese Commissie voor het opstellen van een lijst verwerkingsactiviteiten waarvoor het verplicht is een Data Protection Impact Assessment (DPIA) uit te voeren, die iedere drie jaar zal worden herzien. De bevoegdheid en verplichting voor nationale toezichthouders om lijsten op te stellen wordt ingetrokken.
Een Data Protection Impact Assessment (DPIA) is een onderzoek dat duidelijk maakt of en waar grote privacyrisico's ontstaan bij een voorgenomen verwerking van persoonsgegevens met een hoog risico voor de rechten en vrijheden van natuurlijke personen. Een Data Protection Impact Assessment bevat aanbevelingen over welke maatregelen getroffen kunnen worden om de risico’s kleiner te maken of te voorkomen.
De EDPB wordt verplicht een voorstel aan de Europese Commissie sturen voor een “common template” en “common methodology” voor de uitvoering van Data Protection Impact assessments. De DPIA regels van nationale toezichthouders blijven geldig tot de Europese Commissie na te zijn geïnformeerd door de EDPB een “common template” en “common methodology” publiceert in een ‘implementing act’.
In het voorstel krijgt de Europese Commissie de bevoegdheid om in consultatie met de European Data Protection Board duidelijke criteria voor pseudonimisering op te stellen in een ‘implementing act’.
Pseudonimiseren is een beveiligingsmaatregel. Door persoonsgegevens te pseudonimiseren maakt de verwerkingsverantwoordelijke het moeilijker om deze gegevens later alsnog te herleiden naar natuurlijke personen. Pseudonimiseren is niet hetzelfde als anonimiseren, pseudonimiseren is een verwerking van persoonsgegevens. Bij gepseudonimiseerde gegevens is weliswaar niet direct duidelijk over welke personen de gegevens gaan, maar de gegevens kunnen alsnog herleidbaar zijn tot specifieke personen door aanvullende gegevens toe te voegen.
Over de EDPB Guidelines over anonimiseren en pseudonimiseren bestaat al jaren veel onduidelijkheid, omdat de lat zo hoog ligt dat de vraag rijst of het überhaupt mogelijk is om gegevens zodanig te anonimiseren en te gebruiken dat de AVG niet van toepassing is. Deze onzekerheid leidde tot vragen bijvoorbeeld over de uitvoerbaarheid van wetenschappelijk en statistiek onderzoek met grote hoeveelheden data waarin zich ook geanonimiseerde gegevens, dan wel gepseudonimiseerde persoonsgegevens waarop de AVG nog steeds van toepassing is, bevinden.
In het voorstel worden onderwerpen uit de e - privacyrichtlijn, onder andere bekend vanwege cookies en anti – spam regels, opgenomen in de hernieuwde AVG. Het oorspronkelijke voornemen van de Europese wetgever was lange tijd om de oude privacyrichtlijn (95/46/EC) en de e – privacyrichtlijn (2002/58/EC) ongeveer gelijktijdig te vervangen door de Algemene Verordening Gegevensbescherming en een voorgestelde e – Privacy verordening. Het is echter nog steeds niet gelukt om een e – Privacy verordening in te voeren, terwijl de Algemene Verordening Gegevensverordening nu ruim 7 jaar geleden de privacy richtlijn verving.
Natuurlijke personen controle te laten houden over de verwerking van hun persoonsgegevens aan andere partijen dan de exploitant van de website of app die hij of zij online bezoekt, is al jaren een probleem. Het heeft onder meer geleid tot de beklaagde ‘cookiebanner’ met steeds meer opties en toestemmingsverzoeken. In de praktijk lijkt dit vooral te leiden tot irritatie en niet zozeer tot de gewenste controle over de eigen online identiteit en blootstelling aan voor de website-bezoeker onzichtbare en ongrijpbare derden. Irritatie door aanhoudende verzoeken om toestemming wordt ook wel ‘consent fatigue’ genoemd en kan ertoe leiden dat iemand toestemming geeft zonder dat dit een wilsuiting is, maar vooral om er snel van af te zijn en niet omdat hij of zij er daadwerkelijk mee instemt dat zijn of haar online gegevens worden gedeeld met derden.
Het bieden van “Automated and machine-readable indications of data subject’s choices” wordt verplicht voor aanbieders van webbrowsers die géén midden – of kleinbedrijf zijn. Het toevoegen van meer uitzonderingen op de strengere Europese regelgeving voor midden – of kleinbedrijf zal de regeldruk verminderen, tegelijkertijd kan een opeenstapeling van uitzonderingen of gedeeltelijke vrijstellingen ook tot onduidelijkheid en rechtsonzekerheid leiden over welke wettelijke verplichting precies wel of niet van toepassing is op iedere verwerkingsactiviteit van een bedrijf of organisatie.
Ook signaleert onder andere de EDPB al enige tijd het risico van ‘dark patterns’, dat wil zeggen bepaalde ontwerpen bijvoorbeeld in instellingenmenu’s die opzettelijk zo ondoorzichtig & verwarrend zijn dat het data subject het te moeilijk wordt gemaakt om toestemming in te trekken, of waardoor hij of zij ertoe geleid wordt om méér privacy op te geven dan waar hij of zij daadwerkelijk toe bereid is toestemming te geven. Onder meer in de Digital Services Act verordening (“DSA”) is geprobeerd hier paal en perk aan te stellen.
Het voorstel zou deze in de praktijk toch al in sterke mate overlappende kaders, niet volledig doch wel méér, samenvoegen ín de Algemene Verordening Gegevensbescherming. Echter, in huidige vorm ontstaat in het voorstel mogelijk een tweedeling tussen de verwerking van persoonsgegevens waarvoor toestemming slechts één van de grondslagen is en e- Privacy regels waarin toestemming in beginsel het vereiste criterium is.
Over toestemming en gerechtvaardigd belang van commerciële aard als grondslag voor de verwerking van persoonsgegevens schreven wij eerder:
Wanneer voldoet toestemming niet als grondslag voor de verwerking van persoonsgegevens
en:
Commerciele belangen als AVG grondslag Hof van Justitie doet uitspraak
Ook zou voor de doeleinden van “development and operation of an AI system”, expliciet het gerechtvaardigde belang een toereikende grondslag zijn, waarmee zulks de enige verwerkingsactiviteit wordt waarvan dit met zekerheid kan worden gezegd.
In het voorstel voor formuleert de Europese wetgever het doel om uiteindelijk nog maar twee verordeningen te houden over datagebruik:
De versplintering in sectorspecifieke en productspecifieke wet- en regelgeving heeft, naast de overlappend regels over cybersecurity, ook plaatsgevonden in het regelgevend kader over gebruik van data, op dit moment zijn er namelijk vijf verordeningen en richtlijnen.
Van dit wetgevingsinitiatief is het streven om meer duidelijkheid te scheppen over welke data openbaar moet worden gemaakt voor innovatiedoeleinden voor overheden, de wetenschap en voor midden – en kleinbedrijf, maar voor grote bedrijven zogeheten Very Large Online Platforms ( “VLOP’s”) en poortwachters aangewezen onder de Digital Markets Act verordening (“DMA”) strenge regels en hogere vergoedingstarieven voor hergebruik van (overheids)data in stand te houden.
In het voorstel zou het uitgangspunt van technologie-neutrale wet- en regelgeving steeds meer worden losgelaten. De ‘algemene’ verordening gegevensbescherming krijgt zo méér karakteristieken van sectorspecifieke wet – en regelgeving, of productveiligheidsregulering. Het uitgangspunt technologieneutraliteit loslaten blijkt bijvoorbeeld uit de keuze om voor bepaalde verwerkingsactiviteiten in wetgeving expliciete voorschriften opleggen, onder andere door expliciet de voorwaarden waaronder verwerking van persoonsgegevens wél is toegestaan te verduidelijken, alleen voor AI systemen.
Het is de vraag of het toevoegen van meer uitzonderingen en technologie- specifieke voorschriften voor bepaalde verwerkingsactiviteiten waar de AVG minder streng zou worden ook een vereenvoudiging mee zal brengen. Het voorstel voor wijziging op de uit het transparantiebeginsel voortvloeiende informatieverplichtingen en inzagerecht van het datasubject illustreert dat een minder zware versie van een wettelijke bepaling niet perse ook vereenvoudiging meebrengt:
“Section 13 (4) GDPR (Huidig): Paragraphs 1, 2 and 3 shall not apply where and insofar as the data subject already has the information.”
Zou met het Digitale omnibus voorstel voortaan worden:
“Section 13 ( 4) (voorstel digitale omnibus): Paragraphs 1, 2 and 3 shall not apply where the personal data have been collected in the context of a clear and circumscribed relationship between data subjects and a controller exercising an activity that is not data-intensive and there are reasonable grounds to assume that the data subject already has the information referred to in points (a) and (c) of paragraph 1, unless the controller transmits the data to other recipients or categories of recipients, transfers the data to a third country, carries out automated decision-making, including profiling, referred to in Article 22(1), or the processing is likely to result in a high risk to the rights and freedoms of data subjects within the meaning of Article 35”
De voorgestelde wijziging zou de impact van inzageverzoeken voor verwerkingsverantwoordelijken aanzienlijk verzachten, maar -mogelijk door haast - heeft de duidelijkheid en leesbaarheid moeten inboeten. Het risico bestaat dat de voorspelbaarheid en rechtszekerheid er zo toch niet beter op wordt.
Na deze wetwijziging zullen bedrijven en organisaties per verwerkingsactiviteit tegen het licht moeten houden onder welk regime binnen de AVG deze valt, welke verplichtingen van toepassing zijn en welke versie van die verplichting – meer of minder zware bewijslast- van toepassing zijn.
Voor bepaalde verwerkingsactiviteiten, met name voor wetenschappelijk of historisch onderzoek of statistische doeleinden; biometrische identificatie/verificatie en AI systemen zou het voorstel de teugels van de AVG aanzienlijk laten vieren.
De meeste bedrijven en organisaties in Nederland hebben privacygerelateerde documentatie. De meest voorkomende voorbeelden hiervan zijn:
Intern zijn voorbeelden hiervan
Het is verstandig om er rekening mee te houden dat bij uw volgende update het toepasselijk wettelijk kader kan zijn veranderd als gevolg van de digitale omnibus. U kunt hier alvast op anticiperen door u te laten informeren.
Hebt u vragen over de digitale omnibus? Neem vandaag contact op met onze IT – en privacy juristen. Zij staan u graag te woord!
Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail direct even dan ontvangt u vrijblijvend de voorwaarden.
Meer weten? Bel of mail gerust:
T. +31(0)70-3819281
E. info@wisemen.nl
Voor de laatste ontwikkelingen schrijft u zich nu in voor de
Internationaal handelsrecht, Intellectuele Eigendom en IT-recht