EU-landen eens over aanpassing van AVG en cookieregels
De EU-landen bepaalden op 21 oktober hun standpunt over de Digital Omnibus, die onder meer de AVG en de cookieregels eenvoudiger moet maken. Nu is het Europees Parlement aan zet.
Wat er gebeurde
Op 21 oktober werden de ambassadeurs van de EU-landen het eens over hun inzet voor de Digital Omnibus, het pakket dat de AVG, de cookieregels en het melden van incidenten eenvoudiger moet maken. Daarmee kan de Raad van de EU onderhandelen met het Europees Parlement.
De Europese Commissie stelde het pakket in november 2025 voor. Het hoort bij een reeks van twaalf vereenvoudigingspakketten die de Commissie sinds februari 2025 presenteerde. Het deel over de AI-verordening werd op 29 juni al aangenomen. Over de rest duurde het langer: op 7 oktober kwam het volgens PPC Land nog niet tot een besluit, door onenigheid over de Data Act, de wet over het delen van data. Twee weken later lukte het het Ierse voorzitterschap wel.
De AVG blijft in het standpunt op hoofdpunten staan. De definitie van persoonsgegevens verandert niet, wel komt er een bepaling over pseudonimiseren: gegevens zo bewerken dat ze niet meer direct naar iemand wijzen. Een datalek mag je later melden dan binnen de 72 uur van nu. Duidelijk ongegronde of overdreven verzoeken van mensen over hun gegevens mag je makkelijker afhandelen, en bij weinig risico hoef je soms minder uit te leggen. Voor het gebruik van gevoelige gegevens bij biometrische controle en bij het bouwen en draaien van AI-systemen komen extra waarborgen.
De cookieregels blijven in de e-privacyrichtlijn staan, maar voor meer cookies is geen toestemming meer nodig: om een dienst te leveren, om bezoekers te meten of om een apparaat te beveiligen. Een incident meld je straks bij een loket in je eigen land, en er komt een Europees informatiepunt over het melden van incidenten.
Het Europees Parlement heeft nog geen standpunt. De Europese regeringsleiders willen dat alle vereenvoudigingspakketten eind 2026 rond zijn.
De onderhandelingen met het Europees Parlement beginnen pas als het Parlement zijn eigen standpunt heeft bepaald.
Het persbericht van de Raad van de EU van 22 oktober 2026, samengevat
De achtergrond
Wat de Commissie voorstelde
De Commissie wilde verder gaan. Gegevens zouden voor een bedrijf geen persoonsgegevens meer zijn als dat bedrijf de persoon erachter redelijkerwijs niet kan herkennen, in lijn met een uitspraak van het Europese Hof van september 2025. Persoonsgegevens gebruiken om AI te trainen zou mogen op grond van ‘gerechtvaardigd belang’, met een onvoorwaardelijk recht om bezwaar te maken. Een datalek zou je binnen 96 uur melden in plaats van 72, en alleen als het een hoog risico geeft. Eén Europees loket bij cyberagentschap ENISA zou meldingen voor de AVG, NIS2 en andere wetten ontvangen; volgens de Commissie halveert dat het meldwerk voor de meeste organisaties.
De cookieregels wilde de Commissie in de AVG zetten, met een knop om alles in één klik te weigeren, voorkeuren die via je browser gelden en een nee die minstens zes maanden blijft staan. Alleen dat zou bedrijven volgens de Commissie ruim 800 miljoen euro per jaar besparen.
Wat de lidstaten eruit haalden
De nieuwe definitie van persoonsgegevens kreeg veel kritiek. De Europese privacytoezichthouders schreven in februari dat die verandering veel verder gaat dan een technische aanpassing. In diezelfde maand schrapte het Cypriotische voorzitterschap haar al uit de tekst. Ook de voorkeur via de browser, waarmee je je keuze één keer voor alle sites had kunnen instellen, staat er volgens PPC Land niet meer in.
Hoeveel langer je krijgt voor een melding, staat niet in het persbericht. In een conceptversie van 2 oktober stonden volgens PPC Land nog de 96 uur en de drempel van een hoog risico; Duitsland wilde drie werkdagen.
De regels van nu
Nu meld je een datalek binnen 72 uur bij de toezichthouder, tenzij het waarschijnlijk geen risico geeft. De Autoriteit Persoonsgegevens kreeg in 2023 25.694 meldingen, zo’n 70 per dag. Met een drempel van een hoog risico hoeft lang niet elk lek meer naar de AP.
Voor cookies geldt in Nederland sinds juni 2012 dat je toestemming nodig hebt om iets op het apparaat van een bezoeker op te slaan of uit te lezen. Sinds maart 2015 is er een uitzondering voor analytische cookies met geen of weinig gevolgen voor de privacy.
Onze analyse
De grote ingreep in de AVG is van tafel, de cookiebanner blijft
In de berichtgeving klinkt het als een flinke versoepeling van de AVG. Maar de lidstaten haalden juist de grootste verandering eruit: de smallere definitie van persoonsgegevens, waar toezichthouders en privacyorganisaties tegen waren. Wat overblijft is praktisch: meer tijd voor een melding, minder vaak toestemming voor meten en minder uitleg bij weinig risico.
De cookiebanner verdwijnt ook niet. Zonder voorkeur via de browser blijft elke site die bezoekers volgt voor advertenties zelf om toestemming vragen. Voor een Nederlandse site die alleen bezoekers meet, verandert weinig: dat mag hier al sinds 2015 zonder toestemming, als het weinig gevolgen heeft voor de privacy. En het ene Europese meldloket, waarmee de Commissie het meldwerk wilde halveren, wordt een loket per land. Onze inschatting: voor een bedrijf dat in meerdere landen werkt, blijft een groot deel van dat werk bestaan.
Een hogere drempel voor het melden maakt het werk binnen je bedrijf niet kleiner. Je moet nog steeds snel kunnen beoordelen of een lek een hoog risico geeft, en dat lukt alleen als je weet welke gegevens waar staan. Wanneer de nieuwe regels ingaan, is nog onzeker. Onze inschatting: niet eerder dan 2027.
Wat opvalt
- Van één loket naar een loket per land De Commissie wilde één Europees meldpunt voor incidenten. De lidstaten kozen voor een loket in elk land, met een Europees informatiepunt erbij.
- Grote techbedrijven betalen meer voor overheidsdata Overheden mogen zeer grote bedrijven, zoals de poortwachters uit de Europese platformregels, andere voorwaarden stellen en hogere prijzen rekenen als die overheidsdata hergebruiken.
- AI is geen vrijbrief In de conceptversie van 2 oktober staat dat een AI-systeem bouwen of draaien op zich geen gerechtvaardigd belang is. Dat moet per geval worden afgewogen.
- Een nee blijft vier maanden staan Weigert een bezoeker cookies, dan mag een site volgens dezelfde conceptversie na vier maanden opnieuw vragen. De Commissie wilde zes maanden.
Wat het voor jou betekent
Voor jullie verandert er nu nog niets, maar de richting is duidelijk: minder vaak toestemming voor cookies en meer tijd voor een datalek.
- De huidige regels gelden nog De AVG en de cookieregels blijven zoals ze zijn. Pas als Raad en Parlement het eens zijn, ligt vast wat er verandert.
- Minder vaak toestemming voor cookies Voor bezoekersmetingen en beveiliging hoeft een site straks misschien niet meer om toestemming te vragen. Hoe ver dat gaat, hangt af van de onderhandelingen.
- Een datalek meld je nog steeds Volgens het standpunt krijg je er meer tijd voor, en meld je een incident in je eigen land. Je moet dan nog steeds snel weten om welke gegevens het ging.
Wat wij ermee kunnen · Advies
We zetten met je op een rij welke gegevens waar naartoe gaan
Brengen we in een Roadmap je processen in kaart, dan zie je ook welke gegevens naar welke dienst gaan. Met Doorlopende sturing bespreken we regelmatig wat er inmiddels mogelijk is, ook als de regels veranderen. Bouwen je collega’s zelf tools, dan toetst Ondersteuning die doorlopend aan de AVG.
Weet je welke klantgegevens er bij jullie waar naartoe gaan?
Vertel ons welke systemen en AI-tools jullie gebruiken. We denken met je mee en reageren altijd binnen één werkdag.
