Digital Omnibus — vereenvoudigingspakket dat de AVG, de cookieregel, de Dataverordening en de AI-verordening wijzigt

Op 19 november 2025 presenteerde de Europese Commissie een vereenvoudigingspakket dat vrijwel het hele digitale acquis raakt. Het bestaat uit twee wetgevingsvoorstellen: één over de AI-verordening en één over de rest — AVG, ePrivacy, Dataverordening, Datagovernanceverordening, Open Data, P2B, NIS2 en CER. Het AI-deel is inmiddels aangenomen en geldt als Verordening (EU) 2026/1744; het andere deel is nog steeds voorstel. Dat onderscheid is het belangrijkste aan dit dossier: alles wat over de AVG en over cookies wordt gezegd, is voorgesteld en niet geldend recht.

Waarvoor is dit bedoeld

De Commissie wil de administratieve last van het digitale regelgevingspakket terugbrengen door overlappende verplichtingen samen te voegen, meldingen via één loket te laten lopen en instrumenten in te trekken die zij door nieuwere regelgeving achterhaald acht. Het is geen inhoudelijke herziening van de AVG maar een bundeling van gerichte wijzigingen, verspreid over een groot aantal verordeningen tegelijk.

Voor wie

Iedereen die onder een van de geraakte instrumenten valt, wat in de praktijk neerkomt op vrijwel elke onderneming die persoonsgegevens verwerkt, een website exploiteert, data uit apparaten verzamelt of een clouddienst afneemt. Er zijn geen algemene omvangsdrempels. Wel richt een aantal voorgestelde verlichtingen zich uitdrukkelijk op kleine ondernemingen en op midcaps — bedrijven die net boven het mkb uitkomen — onder meer bij het overstappen tussen dataverwerkingsdiensten en bij de kwaliteitsbeheersystemen onder de AI-verordening.

Wat er niet onder valt

De Digitaledienstenverordening en de Digitalemarktenverordening worden niet gewijzigd. Adequaatheidsbesluiten en de regels over internationale doorgifte blijven buiten het pakket. En vooral: van het voorstel COM(2025) 837 is per 11 september 2026 nog geen letter van kracht. Verplichtingen die vandaag gelden — de meldtermijn van 72 uur uit artikel 33 AVG, de toestemming voor cookies uit artikel 11.7a Telecommunicatiewet, de registratieplicht voor databemiddelaars — gelden onverkort.

Wat je moet doen

Voor het aangenomen AI-deel gelden de nieuwe, verschoven data rechtstreeks. Voor de rest is er juridisch niets te doen; de betekenis van het dossier zit in de planning, omdat investeringen in toestemmingsbeheer, meldprocedures of registratie onder de Datagovernanceverordening kunnen achterhalen door wetgeving die er nog niet is.

Wat er al is aangenomen

Verordening (EU) 2026/1744 van het Europees Parlement en de Raad van 8 juli 2026 tot wijziging van de Verordeningen (EU) 2024/1689, (EU) 2018/1139 en (EU) 2023/1230 wat betreft vereenvoudiging van de uitvoering van geharmoniseerde regels betreffende artificiële intelligentie. Zij is bekendgemaakt in het Publicatieblad van 24 juli 2026 en treedt in werking op de derde dag na die bekendmaking.

Wat het AI-deel verandert

De verordening wijzigt artikel 113 van de AI-verordening en verschuift de toepassing van de hoofdstuk III-verplichtingen voor hoogrisicosystemen: voor systemen uit bijlage III van 2 augustus 2026 naar 2 december 2027, en voor AI in producten die onder bijlage I, afdeling A, vallen naar 2 augustus 2028. Daarnaast wordt de lijst van verboden praktijken uitgebreid, worden de registratieverplichtingen in de EU-databank verlicht, komen vereenvoudigde kwaliteitsbeheersystemen ook beschikbaar voor middelgrote ondernemingen, en krijgt het AI-bureau ruimere toezichtsbevoegdheden.

Wat het voorstel met de AVG wil

COM(2025) 837 wijzigt volgens zijn titel de Verordeningen (EU) 2016/679, (EU) 2018/1724, (EU) 2018/1725 en (EU) 2023/2854 en de Richtlijnen 2002/58/EG, (EU) 2022/2555 en (EU) 2022/2557. In de AVG gaat het onder meer om een relatieve uitleg van het begrip persoonsgegeven — informatie is geen persoonsgegeven voor wie redelijkerwijs niet over de middelen beschikt om de persoon te identificeren — om nieuwe uitzonderingen bij de bijzondere categorieën van artikel 9, waaronder verwerking voor de ontwikkeling en exploitatie van AI-systemen, om het mogen weigeren of beprijzen van buitensporige inzageverzoeken, en om een versoepeling van de informatieplicht wanneer de betrokkene de informatie redelijkerwijs al heeft.

Wat het voorstel met de meldplicht wil

De melding van een datalek aan de toezichthouder zou alleen nog verplicht zijn bij een waarschijnlijk hoog risico voor de betrokkene, en de termijn zou van 72 naar 96 uur gaan. De melding loopt dan via één centraal toegangspunt bij ENISA, dat ook meldingen onder NIS2, eIDAS, DORA en de CER-richtlijn opvangt, volgens het beginsel eenmaal melden en meervoudig delen.

Wat het voorstel met cookies wil

Artikel 5, lid 3, van de ePrivacyrichtlijn verhuist naar de AVG als nieuw artikel 88 bis. Een nieuw artikel 88 ter introduceert geautomatiseerde, machineleesbare weergaven van de keuze van de gebruiker — privacysignalen uit de browser — die websites en apps zouden moeten respecteren zodra daarvoor normen bestaan. De meldverplichtingen uit de ePrivacyrichtlijn vervallen ten gunste van het centrale meldpunt.

Wat het voorstel met de Dataverordening wil

De Dataverordening wordt de verzamelbak: naast aanpassingen aan de eigen bepalingen — een ruimere weigeringsgrond voor bedrijfsgeheimen bij landen met een zwakker rechtskader, één vereenvoudigde regeling voor overheidsverzoeken in noodsituaties in plaats van de huidige artikelen 14 en 15, lichtere overstapverplichtingen voor op maat gemaakte dataverwerkingsdiensten en voor kleine en midcap-aanbieders, en het schrappen van de essentiële eisen voor slimme contracten — krijgt zij nieuwe hoofdstukken die de databemiddeling en het data-altruïsme uit de Datagovernanceverordening, het verbod op datalokalisatie en het hergebruik van overheidsgegevens overnemen. De registratieplicht voor databemiddelaars zou daarbij vrijwillig worden.

Wat wordt ingetrokken

Vier instrumenten: Verordening (EU) 2018/1807 over het vrije verkeer van niet-persoonsgebonden gegevens, Verordening (EU) 2019/1150 over platform-tot-ondernemingrelaties (P2B), Verordening (EU) 2022/868 (Datagovernanceverordening) en Richtlijn (EU) 2019/1024 (Open Data). Voor P2B blijven kruisverwijzingen in andere regelgeving volgens het voorstel nog tot en met 31 december 2032 werken.

Waar het in het Parlement ligt

Het voorstel is op 19 januari 2026 naar de commissies verwezen en wordt gezamenlijk behandeld door ITRE en LIBE. Rapporteurs zijn Aura Salla (EPP) voor ITRE en Marina Kaljurand (S&D) voor LIBE, beiden benoemd op 25 februari 2026; IMCO en JURI brengen advies uit, met Alex Agius Saliba en Brando Benifei als rapporteurs. De status in het register van het Parlement is per 11 september 2026 nog altijd ‘awaiting committee decision’: er is geen commissiestemming en dus geen standpunt in eerste lezing.

Gevolg voor Nederlandse uitvoeringswetten

Nederland heeft de Datagovernanceverordening en de Dataverordening net van uitvoeringswetgeving voorzien en de Wet hergebruik van overheidsinformatie daarbij aangepast. Worden de Datagovernanceverordening en de Open Data-richtlijn daadwerkelijk ingetrokken, dan verliezen die uitvoeringsregels grotendeels hun grondslag en zal Nederland opnieuw moeten wetgeven.

Toezicht NL

Het pakket wijst geen nieuwe toezichthouders aan. Het toezicht blijft liggen bij de autoriteiten van de gewijzigde instrumenten: de Autoriteit Persoonsgegevens voor de AVG en de cookieregel, de Autoriteit Consument en Markt voor de Dataverordening, en voor de AI-verordening bij de autoriteiten die Nederland daarvoor aanwijst.

Boete

Het pakket introduceert geen eigen boetestelsel. De sancties blijven die van de gewijzigde verordeningen, waaronder artikel 83, lid 5, AVG met een maximum van twintig miljoen euro of vier procent van de wereldwijde jaaromzet, en de boetebepalingen van de AI-verordening.