---
title: "De bredere digitale omnibus: wat zou er veranderen aan de…"
description: "Het voorstel COM(2025) 837 van de Commissie zou de AVG, de cookieregel uit de e-privacyrichtlijn en de Data Act wijzigen, en de datagovernanceverordening in de…"
url: https://pitch.law/nl/academy/digital-omnibus-gdpr-cookies-data-act
---

[pitch](https://pitch.law/nl) [Academy](https://pitch.law/nl/academy) [Gegevensbescherming](https://pitch.law/nl/academy/topics/privacy)

# De bredere digitale omnibus: wat zou er veranderen aan de AVG, cookies en de Data Act

Het voorstel COM(2025) 837 van de Commissie zou de AVG, de cookieregel uit de e-privacyrichtlijn en de Data Act wijzigen, en de datagovernanceverordening in de Data Act onderbrengen. Wat het voorstel zegt, bepaling per bepaling, en hoe ver het staat.

- - Door [Bart Lieben](https://pitch.law/nl/team/bart-lieben), Advocaat
  - 13 november 2026

- Bijgewerkt

  13-11-2026

## Het juridisch kader

Op 19 november 2025 stelde de Commissie een verordening voor die bekendstaat als de digitale omnibus: [COM(2025) 837 final](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52025PC0837), procedure [2025/0360(COD)](https://oeil.secure.europarl.europa.eu/oeil/en/procedure-file?reference=2025/0360%28COD%29). Ze staat los van de digitale omnibus inzake AI, die al is aangenomen als [Verordening (EU) 2026/1744](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32026R1744).

**Stand van zaken.** Op 13 november 2026 vermeldt de Legislative Observatory van het Europees Parlement voor deze procedure de fase "Awaiting committee decision": het voorstel ligt bij de parlementaire commissie. Het werd op 19 januari 2026 naar de commissie verwezen, en op 22 juni en 27 juli 2026 werden amendementen ingediend. Het is geen wet. Alles hieronder beschrijft wat de Commissie voorstelde. De definitieve tekst kan anders uitvallen.

Het voorstel wijzigt onder meer:

- de AVG, [Verordening (EU) 2016/679](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679) (artikel 3 van het voorstel);
- de e-privacyrichtlijn, [Richtlijn 2002/58/EG](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32002L0058) (artikel 5);
- de Data Act, [Verordening (EU) 2023/2854](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32023R2854) (artikel 1);
- de NIS2-richtlijn, (EU) 2022/2555, met één centraal toegangspunt voor incidenten (artikel 6).

Het zou ook de datagovernanceverordening ([Verordening (EU) 2022/868](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32022R0868)), de verordening vrij verkeer van niet-persoonsgebonden gegevens ([Verordening (EU) 2018/1807](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32018R1807)) en de openbaredatarichtlijn ([Richtlijn (EU) 2019/1024](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32019L1024)) intrekken en hun regels onderbrengen in nieuwe hoofdstukken VIIa tot VIIc van de Data Act (artikelen 1 en 10, lid 3, van het voorstel). De platform-to-businessverordening (EU) 2019/1150 zou worden ingetrokken, waarbij enkele bepalingen tot 31 december 2032 blijven gelden (artikel 10, leden 1 en 2).

### AVG: de belangrijkste voorgestelde wijzigingen

- **Persoonsgegevens zijn relatief (artikel 4, punt 1).** Informatie "is voor een bepaalde entiteit niet persoonlijk indien die entiteit de natuurlijke persoon op wie de informatie betrekking heeft, niet kan identificeren", rekening houdend met de middelen die die entiteit redelijkerwijs kan gebruiken. Ze wordt niet persoonlijk voor die entiteit alleen omdat een latere ontvanger de persoon wel zou kunnen identificeren. Een nieuw artikel 41 bis zou de Commissie criteria laten vaststellen voor wanneer gepseudonimiseerde gegevens voor bepaalde entiteiten geen persoonsgegevens meer zijn.
- **Onderzoek.** Een definitie van "wetenschappelijk onderzoek" dat ook een commercieel belang mag dienen (artikel 4, punt 38), en verdere verwerking voor onderzoek die als verenigbaar met het oorspronkelijke doel geldt (artikel 5, lid 1, punt b)).
- **AI-ontwikkeling.** Een nieuw artikel 88 quater zou verwerking voor de ontwikkeling en werking van een AI-systeem of -model toelaten op basis van gerechtvaardigd belang (artikel 6, lid 1, punt f)), tenzij ander recht toestemming vereist en onder voorbehoud van een belangenafweging. De waarborgen omvatten minimale gegevensverwerking bij de selectie van bronnen, bescherming tegen openbaarmaking van residuele gegevens en "een onvoorwaardelijk recht" om bezwaar te maken. Een nieuwe uitzondering in artikel 9, lid 2, punt k), zou bijzondere persoonsgegevens dekken die in AI-datasets terechtkomen, met de plicht ze te verwijderen of, als dat onevenredig veel inspanning vraagt, te voorkomen dat ze in output worden gebruikt (artikel 9, lid 5).
- **Biometrische verificatie.** Artikel 9, lid 2, punt l), zou biometrische gegevens toelaten om iemands identiteit te bevestigen als de gegevens of het verificatiemiddel uitsluitend onder controle van die persoon staan.
- **Inzageverzoeken.** Een verwerkingsverantwoordelijke zou een inzageverzoek mogen weigeren of er een vergoeding voor vragen als de betrokkene het recht misbruikt voor andere doelen dan gegevensbescherming (artikel 12, lid 5).
- **Informatieplicht.** Geen informatieplicht onder artikel 13 binnen een "duidelijke en afgebakende relatie" met een verwerkingsverantwoordelijke die geen gegevensintensieve activiteit uitoefent, als je mag aannemen dat de betrokkene al weet wie verwerkt en waarom, tenzij de gegevens worden gedeeld of doorgegeven, voor geautomatiseerde besluiten worden gebruikt of waarschijnlijk een hoog risico meebrengen (artikel 13, lid 4).
- **Geautomatiseerde besluiten.** Artikel 22, lid 1, zou opsommen wanneer een uitsluitend geautomatiseerd besluit met rechtsgevolgen of vergelijkbare gevolgen mag: nodig voor een overeenkomst, toegestaan bij wet, of op basis van uitdrukkelijke toestemming.
- **Datalekken.** Melden aan de toezichthouder alleen als een lek waarschijnlijk een _hoog_ risico meebrengt, "indien mogelijk, uiterlijk 96 uur" nadat je het ontdekt, via een centraal toegangspunt onder NIS2 (artikel 33, lid 1). Tot dat toegangspunt bestaat, meld je rechtstreeks aan de toezichthouder (artikel 33, lid 1 bis).
- **Lijsten voor GEB's.** Europese lijsten van verwerkingen die wel en geen gegevensbeschermingseffectbeoordeling vragen, en een gemeenschappelijk sjabloon, voorbereid door het Europees Comité voor gegevensbescherming en vastgesteld door de Commissie (artikel 35, leden 4 tot 6 quater).

### Cookies: van e-privacy naar de AVG

Vandaag vereist artikel 5, lid 3, van de e-privacyrichtlijn toestemming voor het opslaan of uitlezen van informatie op een toestel van de gebruiker. De enige uitzonderingen zijn opslag of toegang voor het doorgeven van een communicatie, of wat strikt noodzakelijk is om een dienst te leveren waar de gebruiker uitdrukkelijk om vroeg. Het voorstel zou een zin toevoegen: dit lid "is niet van toepassing indien de abonnee of gebruiker een natuurlijke persoon is en de opgeslagen of geraadpleegde informatie de verwerking van persoonsgegevens vormt of tot gevolg heeft" (artikel 5, punt 2, van het voorstel). Voor die gevallen zou een nieuw artikel 88 bis van de AVG gelden:

- toestemming blijft de regel (artikel 88 bis, lid 1);
- geen toestemming nodig als opslag of toegang nodig is om een communicatie door te geven, om een dienst te leveren waar de betrokkene uitdrukkelijk om vroeg, voor geaggregeerde publieksmeting door de aanbieder voor eigen gebruik, of voor beveiliging (artikel 88 bis, lid 3);
- weigeren moet kunnen "met één klik op een knop of op gelijkwaardige wijze"; na toestemming geen nieuwe vraag voor hetzelfde doel zolang je op die toestemming mag steunen; na een weigering minstens zes maanden geen nieuwe vraag (artikel 88 bis, lid 4).

Een nieuw artikel 88 ter zou websites en apps verplichten om toestemming en weigering te aanvaarden via geautomatiseerde, machineleesbare signalen, 24 maanden na de inwerkingtreding, met een uitzondering voor aanbieders van mediadiensten. Webbrowsers die geen kmo zijn, zouden 48 maanden na de inwerkingtreding de technische middelen moeten bieden. Artikel 4 van de e-privacyrichtlijn, over datalekmeldingen door telecomaanbieders, zou verdwijnen.

### Data Act: de belangrijkste voorgestelde wijzigingen

- **Bedrijfsgeheimen (artikelen 4, lid 8, en 5, lid 11).** Een gegevenshouder zou toegang geval per geval mogen weigeren als openbaarmaking zeer waarschijnlijk ernstige economische schade veroorzaakt, of als er een hoog risico is op onrechtmatige verkrijging of gebruik door entiteiten in derde landen met een zwakkere bescherming. De weigering moet schriftelijk onderbouwd en aan de bevoegde autoriteit gemeld worden.
- **Verzoeken van de overheid (artikelen 14, 15 en 15 bis).** Verzoeken van bedrijf aan overheid zouden beperkt worden tot noodsituaties.
- **Overstappen tussen clouddiensten (artikel 31, leden 1 bis en 1 ter).** De meeste overstapplichten van hoofdstuk VI, behalve artikel 29 over overstapkosten, zouden niet gelden voor dataverwerkingsdiensten die grotendeels op maat van een klant zijn gemaakt, of voor diensten van kmo's en kleine midcaps, als het contract uiterlijk op 12 september 2025 werd gesloten. Evenredige vergoedingen bij vroegtijdige beëindiging zouden mogen in contracten van bepaalde duur.
- **Data-intermediairs en data-altruïsme** zouden verhuizen naar het nieuwe hoofdstuk VIIa: aanbieders en organisaties die aan de eisen voldoen, kunnen registratie in een Unieregister aanvragen en een EU-label gebruiken (artikelen 32 bis en 32 sexies).

### Wanneer het zou gelden

De verordening zou in werking treden op de derde dag na de bekendmaking. De cookiewijziging in de e-privacyrichtlijn zou zes maanden na de bekendmaking gelden (artikel 11). Artikel 88 bis zou zes maanden na de inwerkingtreding gelden. De wijzigingen aan de datalekmelding in artikel 33 van de AVG en het centrale toegangspunt onder NIS2 zouden 18 maanden na de inwerkingtreding gelden. Stelt de Commissie vast dat het toegangspunt niet goed werkt, dan zou de plicht om via dat toegangspunt te melden pas na 24 maanden ingaan (artikel 11).

## In de praktijk

**Een Belgische webwinkel** vraagt vandaag toestemming voor analytische cookies. Onder het voorstel zou hij zijn eigen publiek geaggregeerd mogen meten zonder toestemming (artikel 88 bis, lid 3, punt c)). Hij zou weigeren in één klik moeten aanbieden en na een weigering zes maanden niet opnieuw mogen vragen. Tot de tekst is aangenomen, houdt hij best zijn huidige banner.

**Een Leuvens softwarebedrijf** traint een model op supporttickets van klanten. Onder het voorstel zou het zich op gerechtvaardigd belang kunnen beroepen, als het de belangenafweging documenteert, gegevens minimaliseert en bezwaren zonder voorwaarden honoreert. Vandaag gelden de huidige AVG-regels, zonder artikel 88 quater.

**Een Hasseltse dienstverlener** heeft een klein datalek met een laag risico. Onder de huidige AVG moet hij binnen 72 uur melden, tenzij het lek waarschijnlijk geen risico meebrengt. Onder het voorstel zou hij alleen lekken met een hoog risico melden, indien mogelijk binnen 96 uur.

**Een Gentse cloudaanbieder** verkoopt maatwerkplatformen aan drie grote klanten, onder contracten uit 2024. Onder het voorstel zouden de meeste overstapplichten niet gelden voor die contracten.

### Praktische stappen

1. **Verander je compliance nog niet.** De AVG, de e-privacyregels en de Data Act gelden zoals ze nu zijn. Zie [cookies en toestemming](https://pitch.law/nl/academy/cookie-compliance-and-consent-management) en [de Europese Data Act](https://pitch.law/nl/academy/eu-data-act).
2. **Bereid je voor.** Ga na welke cookies onder de voorgestelde uitzonderingen zouden vallen, en of je toestemmingstool machineleesbare signalen kan lezen.
3. **Breng je AI-trainingsdata in kaart.** Leg bronnen, rechtsgrond en waarborgen vast in je [verwerkingsregister](https://pitch.law/nl/technologies/privacy-register). De waarborgen uit het voorstel zijn nu al een bruikbare checklist.
4. **Pas je datalekprocedure later aan.** Behoud het proces van 72 uur. Zie [reageren op een datalek](https://pitch.law/nl/academy/data-breach-response-the-72-hour-countdown).
5. **Bekijk je GEB's.** Gebruik de nationale lijsten tot er Europese zijn. Onze [tool voor gegevensbeschermingseffectbeoordelingen](https://pitch.law/nl/technologies/digital-data-protection-impact-assessment) structureert de beoordeling.
6. **Volg de procedure.** Hou de pagina in de Legislative Observatory in het oog voor het commissieverslag en de trilogen.

## Veelgestelde vragen

### Is de digitale omnibus wet?

De digitale omnibus inzake AI wel (Verordening (EU) 2026/1744). Deze bredere digitale omnibus is nog een voorstel, op 13 november 2026 in de commissiefase in het Parlement.

### Verdwijnen cookiebanners?

Niet onder het voorstel. Toestemming blijft de regel voor persoonsgegevens op toestellen. Sommige toepassingen zouden vrijgesteld worden, weigeren zou in één klik gaan, en browsers zouden geautomatiseerde signalen doorgeven.

### Wordt 72 uur 96 uur?

Onder het voorstel wel, en alleen voor lekken met een waarschijnlijk hoog risico. Tot de aanneming geldt 72 uur.

### Wijzigt dit voorstel de AI-verordening?

Nee. Dat gebeurde met Verordening (EU) 2026/1744. Dit voorstel wijzigt de AVG-regels die gelden als je AI traint of gebruikt met persoonsgegevens.

## Hoe dit samenhangt

Dit artikel hoort bij onze reeks over het Europese digitale regelboek. Zie [het EU-digitaal regelboek in 2026](https://pitch.law/nl/academy/eu-digital-rulebook-2026) voor het volledige overzicht en [de digitale omnibus inzake AI](https://pitch.law/nl/academy/digital-omnibus-on-ai-regulation-2026-1744) voor de aangenomen AI-wijzigingen. Voor de regels van vandaag lees je [cookies en toestemming](https://pitch.law/nl/academy/cookie-compliance-and-consent-management), [de Europese Data Act](https://pitch.law/nl/academy/eu-data-act) en [waar de AI Act de AVG raakt](https://pitch.law/nl/academy/ai-act-meets-gdpr-where-frameworks-overlap). De plichten uit de Data Act die nu al gelden voor nieuwe verbonden producten staan in [data uit verbonden producten](https://pitch.law/nl/academy/data-act-connected-products-design-duties), en de regels die het voorstel in de Data Act zou opnemen, lees je in [de datagovernanceverordening](https://pitch.law/nl/academy/data-governance-act-data-intermediaries-and-data-altruism).

Onze [externe functionaris voor gegevensbescherming](https://pitch.law/nl/solutions/dpo-as-a-service) volgt de procedure voor je op, en ons team [datalicenties en datadeling](https://pitch.law/nl/solutions/data-licensing-sharing) bereidt je contracten onder de Data Act voor.

**Aangehaalde bepalingen.** COM(2025) 837, artikelen 1, 3, 5, 6, 10 en 11. Voorgestelde AVG-artikelen 4, punten 1 en 38, 5, lid 1, punt b), 9, lid 2, punten k) en l), 9, lid 5, 12, lid 5, 13, lid 4, 22, lid 1, 33, leden 1 en 1 bis, 35, leden 4 tot 6 quater, 41 bis, 88 bis, 88 ter en 88 quater. Richtlijn 2002/58/EG, artikelen 4 en 5, lid 3. Voorgestelde artikelen 4, lid 8, 5, lid 11, 15 bis en 31, leden 1 bis en 1 ter, van de Data Act.

**Belangrijke data.** 19 november 2025: voorstel. 19 januari 2026: verwijzing naar de commissie. 22 juni en 27 juli 2026: amendementen ingediend. 13 november 2026: wacht op een beslissing van de commissie.

**Bronnen.** [COM(2025) 837](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:52025PC0837), [procedure 2025/0360(COD)](https://oeil.secure.europarl.europa.eu/oeil/en/procedure-file?reference=2025/0360%28COD%29), [AVG](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679), [e-privacyrichtlijn](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32002L0058) en [Data Act](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32023R2854).

## In het kort

- Een relatieve definitie van persoonsgegevens
- Cookietoestemming verhuist naar de AVG, met weigeren in één klik
- Gerechtvaardigd belang voor AI-ontwikkeling, met waarborgen
- Datalekmelding binnen 96 uur via één centraal toegangspunt
- Versoepelingen in de Data Act voor maatwerkclouddiensten en bedrijfsgeheimen
- Nog altijd een voorstel; er verandert niets tot het is aangenomen

## Hier helpen we mee

- [Oplossingen](https://pitch.law/nl/solutions/dpo-as-a-service)
  ### [Externe functionaris voor gegevensbescherming](https://pitch.law/nl/solutions/dpo-as-a-service)
  [Een externe functionaris voor gegevensbescherming die jouw AVG-naleving adviseert, opvolgt en vastlegt, met een register, kalender en portaal als hulpmiddel.](https://pitch.law/nl/solutions/dpo-as-a-service)
- [Oplossingen](https://pitch.law/nl/solutions/data-licensing-sharing)
  ### [Datalicenties en datadeling](https://pitch.law/nl/solutions/data-licensing-sharing)
  [Data delen of in licentie geven zonder meer weg te geven dan je van plan was. Met een duidelijke afbakening, afspraken over wie eigenaar is van wat eruit voortkomt, en de GDPR meteen mee geregeld.](https://pitch.law/nl/solutions/data-licensing-sharing)

## Onze eigen Legal Tech

- [Technologie](https://pitch.law/nl/technologies/privacy-register)
  ### [Verwerkingsregister en compliance-registers](https://pitch.law/nl/technologies/privacy-register)
  [Eén registermotor voor je AVG-verwerkingsregister en voor de registers onder de AI-verordening, NIS2 en DORA, met artikelverwijzingen, bewijsstukken en goedkeuring door de advocaat of DPO.](https://pitch.law/nl/technologies/privacy-register)
- [Technologie](https://pitch.law/nl/technologies/digital-data-protection-impact-assessment)
  ### [Effectbeoordeling gegevensbescherming](https://pitch.law/nl/technologies/digital-data-protection-impact-assessment)
  [Begeleide gegevensbeschermingseffectbeoordelingen (DPIA's) als werkdossier dat jij en je advocaat samen invullen in het klantenportaal.](https://pitch.law/nl/technologies/digital-data-protection-impact-assessment)

## Meer over Gegevensbescherming

- ### [AI onder Zwitsers recht en de GDPR: de verschillen](https://pitch.law/nl/academy/ai-under-swiss-fadp-and-gdpr)
  [Wat de herziene Zwitserse privacywet (FADP/DSG) en de GDPR betekenen voor bedrijven die AI-diensten bouwen of gebruiken: toepassingsgebied, grondslagen, DPIA's, doorgifte, sancties en de AI Act.](https://pitch.law/nl/academy/ai-under-swiss-fadp-and-gdpr)
- ### [Cookies en toestemming](https://pitch.law/nl/academy/cookie-compliance-and-consent-management)
  [Wanneer je een cookiebanner nodig hebt, hoe geldige toestemming eruitziet en hoe de ePrivacyregels en de AVG samenwerken.](https://pitch.law/nl/academy/cookie-compliance-and-consent-management)
- ### [Datalek melden onder de AVG: de 72-urenregel](https://pitch.law/nl/academy/data-breach-response-the-72-hour-countdown)
  [Artikel 33 AVG: meld een datalek binnen 72 uur nadat je ervan op de hoogte bent. Wanneer je meldt, hoe je de uren telt en wanneer je betrokkenen inlicht.](https://pitch.law/nl/academy/data-breach-response-the-72-hour-countdown)
- ### [Bewaartermijn persoonsgegevens: wat zegt de AVG?](https://pitch.law/nl/academy/data-retention-policies-how-long-should-you-keep-personal-data)
  [De AVG kent geen vaste bewaartermijn: artikel 5, lid 1, e) zegt niet langer dan nodig. Zo bepaal je bewaartermijnen, regel je back-ups en wis je echt.](https://pitch.law/nl/academy/data-retention-policies-how-long-should-you-keep-personal-data)
- ### [Inzageverzoek onder de AVG: zo haal je de termijn](https://pitch.law/nl/academy/data-subject-access-requests-dsars-practical-guide)
  [Beantwoord een inzageverzoek binnen een maand, verlengbaar met twee (artikelen 12 en 15 AVG): wat je bezorgt, wat je mag weigeren en hoe je op tijd blijft.](https://pitch.law/nl/academy/data-subject-access-requests-dsars-practical-guide)
- ### [Europese ruimte voor gezondheidsgegevens II: EPD-systemen en wellnessapps](https://pitch.law/nl/academy/european-health-data-space-health-record-systems-and-wellness-apps)
  [Wat hoofdstuk III van Verordening (EU) 2025/327 vraagt van fabrikanten, importeurs en distributeurs van systemen voor elektronische patiëntendossiers, hoe wellnessapps interoperabiliteit kunnen claimen, en waar de Verordening medische hulpmiddelen het overneemt.](https://pitch.law/nl/academy/european-health-data-space-health-record-systems-and-wellness-apps)

## Even sparren?

Vertel waar je mee bezig bent. We zetten de juiste persoon erop en je hoort binnen één werkdag van ons. Het eerste gesprek is gratis.

[Plan een gesprek](https://pitch.law/nl/schedule)