Digital Omnibus: vereenvoudiging of stille afbraak van digitale rechten?

Hoe een vereenvoudigingspakket onverwacht een debat over de kern van Europese digitale rechten ontketent

Wat is de Digital Omnibus precies?

De Digital Omnibus is een wetgevingspakket waarmee de Europese Commissie in één keer onderdelen van meerdere digitale wetten wil aanpassen. Het gaat om een breed scala aan regelgeving die de afgelopen jaren is aangenomen en die nu als versnipperd en overlappend wordt ervaren.

De belangrijkste wetten die op tafel liggen zijn de GDPR (Algemene Verordening Gegevensbescherming), de e-Privacyrichtlijn (communicatiegeheim en cookies), de Data Act (toegang tot en delen van data), de AI Act (risicogebaseerde regels voor AI) en aanpalende cybersecuritywetgeving zoals NIS-2. (Digitale Strategie EU)

Op 16 september 2025 opende de Commissie een zogeheten call for evidence om input te verzamelen over hoe deze regels vereenvoudigd kunnen worden. De officiële boodschap: bedrijven en overheden worstelen met overlappende verplichtingen, tegenstrijdige definities en hoge administratieve lasten. Executive Vice-President Henna Virkkunen verwoordde het doel als "minder papierwerk, minder overlappingen en minder complexe regels" - met als streefcijfer 25% reductie van administratieve lasten voor alle bedrijven en 35% voor het MKB. (Digitale Strategie EU)

Op zichzelf is dit een herkenbaar probleem. Wie serieus met GDPR, Data Act en AI Act werkt, ziet direct dat definities elkaar soms overlappen en soms langs elkaar heen lopen. Een systematische harmonisatie kan nuttig zijn. De kernvraag is echter waar vereenvoudiging eindigt en waar inhoudelijke verzwakking begint.

De noodklok: waarom maatschappelijke organisaties alarm slaan

Op 11 november 2025 publiceerden noyb (None of Your Business), European Digital Rights (EDRi) en de Irish Council for Civil Liberties (ICCL) een gezamenlijke open brief met als title "Digital omnibus brings deregulation, not simplification." (noyb.eu) De timing was niet toevallig: de organisaties hadden toegang gekregen tot interne ontwerpteksten en waren geschokt door wat ze lazen.

Hun kernboodschap: dit is geen neutrale technische opschoning, maar een fundamentele herziening van kernelementen van Europese digitale rechten. Max Schrems, voorzitter van noyb en architect van meerdere succesvolle rechtszaken tegen Big Tech, verwoordde het scherp: "De EU Commissie staat op het punt de kernprincipes van de GDPR te slopen." (noyb.eu)

De organisaties wijzen op drie fundamentele problemen met het proces:

1. Gebrek aan transparantie en democratische legitimiteit

De wijzigingen werden volgens de organisaties in stilte voorbereid zonder voorafgaande publieke consultatie over zulke ingrijpende hervormingen. Waar bij de oorspronkelijke GDPR jarenlange debatten en uitgebreide impact assessments plaatsvonden, wordt nu een fast-track procedure gebruikt die normaal is bedoeld voor technische aanpassingen. (noyb.eu)

2. Disproportionaliteit tussen vorm en inhoud

Het pakket heet "vereenvoudiging" maar de gelekte teksten tonen fundamentele wijzigingen in definities, rechtsgronden en beschermingsniveaus. De Irish Council for Civil Liberties spreekt van "deregulering vermomd als administratieve vereenvoudiging."

3. Botsing met het EU-Handvest van Grondrechten

De organisaties waarschuwen dat sommige voorgestelde wijzigingen mogelijk in strijd zijn met Artikel 8 (bescherming van persoonsgegevens) en Artikel 7 (eerbiediging van privéleven) van het Handvest. Als dat juridisch wordt vastgesteld, kunnen de wijzigingen door het Hof van Justitie worden vernietigd - maar pas na jarenlange onzekerheid. (noyb.eu)

Wat staat er in de gelekte conceptteksten?

Meerdere organisaties hebben een interne ontwerptekst geanalyseerd. Noyb publiceerde een gedetailleerde 13 pagina's tellende analyse van de voorgestelde GDPR-wijzigingen. (noyb.eu) Daaruit komen zorgwekkende patronen naar voren die verder gaan dan alleen harmonisatie.

1. Herdefiniëring van "persoonsgegevens" creëert massale uitzondering

De huidige GDPR hanteert een brede definitie: persoonsgegevens zijn alle gegevens over een identificeerbare persoon. Zelfs als een bedrijf iemand niet direct kan identificeren, maar dit technisch mogelijk is via combinatie met andere gegevens, geldt de GDPR.

De voorgestelde wijziging introduceert een criterium waarbij data alleen als persoonsgegeven telt als het bedrijf zelf de persoon kan identificeren met "redelijke middelen." Dit klinkt technisch, maar heeft verstrekkende gevolgen.

Concreet voorbeeld: Een advertentiebedrijf verzamelt data over "gebruiker_7384952" inclusief locatiegeschiedenis, surfgedrag en aankooppatronen. Onder de huidige GDPR is dit een persoonsgegeven omdat het gaat om een identificeerbare persoon, zelfs als het bedrijf niet weet dat het Jan Jansen uit Utrecht is. Onder de nieuwe definitie zou het bedrijf kunnen stellen dat het de persoon niet kan identificeren met "redelijke middelen" en dus buiten de GDPR valt.

2. Beperking van gebruikersrechten tot "gegevensbeschermingsdoeleinden"

De huidige GDPR kent heldere rechten: inzage, correctie, verwijdering, dataportabiliteit. Deze rechten gelden ongeacht waarom iemand ze uitoefent. Een werknemer die zijn personeelsdossier opvraagt omdat hij vermoedt dat er fouten in staan die zijn salaris beïnvloeden, heeft daar gewoon recht op.

De voorgestelde wijziging voegt een criterium toe: deze rechten gelden alleen voor "gegevensbeschermingsdoeleinden." Als de autoriteit of rechter oordeelt dat iemand het recht "misbruikt" voor andere doelen (bijvoorbeeld in een arbeidsgeschil of als journalist onderzoek doet), kan het worden geweigerd.

Wie dit treft:

• Journalisten die via inzageverzoeken onderzoek doen naar bedrijfspraktijken
• Werknemers die data opvragen in arbeidsconflicten over onbetaalde uren of discriminatie
• Onderzoekers die algoritmen of dataprocessen willen analyseren
• Consumenten die prijsdiscriminatie willen aantonen

3. AI-training krijgt vrijwel carte blanche via "gerechtvaardigd belang"

Een van de meest controversiële onderdelen is de expliciete uitbreiding van gerechtvaardigd belang als rechtsgrond voor AI-training. De huidige GDPR kent zes rechtsgrondslagen waarop je persoonsgegevens mag verwerken. Gerechtvaardigd belang is er één van, maar vereist een zorgvuldige afweging tussen het belang van het bedrijf en de rechten van de persoon.

De voorgestelde wijziging stelt expliciet dat AI-training, testing en validatie kunnen worden uitgevoerd op basis van gerechtvaardigd belang, mits er "waarborgen" zijn zoals dataminimalisatie, transparantie en een recht van bezwaar. (Tech Policy Press)

Dit lijkt redelijk, maar de praktijk is problematischer:

Dataminimalisatie bij AI-training: Grote taalmodellen vereisen juist massale hoeveelheden diverse data. Het concept "minimalisatie" is moeilijk toepasbaar wanneer de hele business case draait om schaal.

Transparantie: Bedrijven kunnen stellen dat ze transparant zijn door in algemene bewoordingen te melden dat ze data gebruiken voor "AI-verbetering." De betrokkene weet daarmee nog steeds niet welke specifieke teksten of foto's van hem zijn gebruikt.

Recht van bezwaar: Dit wordt gepresenteerd als waarborg, maar noyb wijst erop dat bezwaren in de praktijk vrijwel altijd kunnen worden afgewezen omdat het bedrijf "dwingende gerechtvaardigde gronden" kan aanvoeren. Bij AI-training is dat eenvoudig: "zonder deze data kunnen we ons model niet trainen." (noyb.eu)

4. Bijzondere categorieën persoonsgegevens verliezen bescherming

Artikel 9 GDPR biedt versterkte bescherming voor gevoelige gegevens: gezondheid, politieke overtuigingen, seksuele oriëntatie, biometrische data, et cetera. De verwerking hiervan is in principe verboden, tenzij er een expliciete uitzondering geldt.

De voorgestelde wijziging introduceert een onderscheid tussen direct geopenbaarde gevoelige data en afgeleide gevoelige data. Alleen de eerste categorie krijgt nog de sterke bescherming van Artikel 9.

De paradox in de praktijk:

Stel: een persoon schrijft op sociale media "Ik ben in verwachting!" - dit is direct geopenbaard en krijgt bescherming.

Diezelfde persoon zoekt naar zwangerschapsyoga, koopt prenatale vitamines online en past haar loopschema aan. AI kan hier met hoge zekerheid uit afleiden dat ze zwanger is. Maar omdat dit afgeleide informatie is, valt het buiten de speciale bescherming.

Het resultaat: juist de meest verfijnde en invasieve vormen van data-analyse - waarbij AI gevoelige eigenschappen afleidt uit ogenschijnlijk neutrale gedragsdata - ontsnappen aan bescherming. (noyb.eu)

5. Externe toegang tot apparaten zonder toestemming

De voorstellen zouden remote access tot persoonlijke data op smartphones en pc's mogelijk maken onder wel tien verschillende wettelijke grondslagen - zonder expliciete toestemming van de gebruiker. (noyb.eu)

Dit raakt direct aan een fundamenteel element van digitale autonomie: de controle over je eigen apparaat. De huidige e-Privacyrichtlijn vereist toestemming voor toegang tot informatie op eindapparatuur. De voorgestelde wijziging zou dit kunnen omzeilen door de verwerking te herframen onder GDPR-grondslagen.

Praktische impact: Apps en diensten kunnen data van je apparaat verzamelen - denk aan sensor-data, gebruik-patronen, lokaal opgeslagen informatie - en zich beroepen op gerechtvaardigd belang, contractuele noodzaak of andere grondslagen zonder dat je daar specifiek toestemming voor hebt gegeven.

De AI Act-dimensie: versoepeling onder tijdsdruk

Naast GDPR-wijzigingen bevat de Digital Omnibus ook aanpassingen aan de recent aangenomen AI Act. Reuters meldde op basis van gelekte documenten dat de Commissie overweegt om bepaalde verplichtingen te versoepelen of uit te stellen. (Reuters)

Grace period tot augustus 2027

De meest concrete voorgestelde wijziging is een verlenging van de handhavingsperiode. In plaats van dat nationale toezichthouders direct boetes kunnen opleggen bij non-compliance, zou er een grace period komen tot augustus 2027. Dit betekent dat bedrijven twee jaar extra krijgen voordat financiële sancties werkelijk kunnen worden opgelegd.

Voor organisaties die al fors investeren in AI Act-compliance voelt dit dubbel. Enerzijds geeft het meer tijd en zekerheid. Anderzijds beloont het bedrijven die hebben gewacht met investeren, terwijl early movers al kosten hebben gemaakt.

Uitzonderingen op registratieplicht

De AI Act vereist dat hoog-risico AI-systemen worden geregistreerd in een Europese database voordat ze op de markt komen. Dit creëert transparantie en stelt toezichthouders in staat om het landschap te overzien.

De gelekte concepten suggereren dat de Commissie overweegt om bepaalde systemen uit te zonderen van deze registratieplicht als ze alleen voor "beperkte" of puur procedurele taken worden gebruikt. Het probleem: de definitie van "beperkt" is vaag en kan ruim worden geïnterpreteerd. (Reuters)

Versoepeling van transparantieplichten voor generatieve AI

Een ander element is mogelijke versoepeling van de verplichting om AI-gegenereerde content te labelen. De AI Act stelt dat content die door AI is gegenereerd (tekst, beeld, video) herkenbaar moet worden gemaakt voor eindgebruikers. Dit om manipulatie en desinformatie tegen te gaan.

De voorgestelde wijziging zou deze verplichting kunnen uitstellen of beperken tot specifieke contexten. De redenering: het is technisch complex en kan innovatie belemmeren. Het contra-argument: zonder labeling kunnen burgers niet onderscheiden wat echt is en wat AI-gegenereerd, wat ernstige democratische risico's oplevert.

De officiële Commissie-positie: administratieve lasten verminderen

Het is belangrijk om ook de officiële redenering van de Commissie te begrijpen. In hun aankondiging van de call for evidence benadrukt de Commissie dat het doel is om "zakendoen in Europa te vergemakkelijken zonder onze hoge normen voor online rechtvaardigheid en veiligheid in gevaar te brengen." (Digitale Strategie EU)

Executive Vice-President Henna Virkkunen stelt dat bedrijven, met name het MKB, worstelen met:

• Overlappende rapportageplichten: Dezelfde informatie moet vaak in verschillende formaten aan verschillende autoriteiten worden gemeld
• Inconsistente definities: Wat "AI-systeem" betekent in de AI Act komt niet altijd overeen met hoe dit wordt gedefinieerd in sectorspecifieke wetgeving
• Complexe compliance-trajecten: De combinatie van GDPR, Data Act, AI Act, NIS-2 en sectorwetgeving creëert een administratieve last die vooral voor kleinere organisaties zwaar is

De Commissie presenteert concrete cijfers: 25% reductie van administratieve lasten voor alle bedrijven en 35% voor MKB. Dit past in de bredere Competitiveness Compass-agenda waarmee de EU haar concurrentiepositie ten opzichte van VS en China wil versterken.

De lobby-druk: wie beïnvloedt de koers?

Het zou naïef zijn om te denken dat de Digital Omnibus in een vacuüm tot stand komt. Er is intense lobby-activiteit van meerdere kanten.

Big Tech-coalitie: Bedrijven als Google, Meta, Microsoft, Amazon en OpenAI hebben substantiële lobbykracht in Brussel. Hun gezamenlijke argument: Europa loopt achter in de AI-race en te strikte regels verergeren dit. Ze wijzen naar de VS waar AI-bedrijven minder restricties hebben en naar China dat massaal investeert. (Tech Policy Press)

Europese industrie: Ook traditionele Europese bedrijven - automotive, manufacturing, finance - lobbyen voor soepelere regels. Hun argument verschilt: wij willen innoveren maar worden belemmerd door regeldruk. Het MKB heeft onze data nodig om AI-tools te ontwikkelen.

Privacy- en burgerrechtenorganisaties: Aan de andere kant lobbyen noyb, EDRi, ICCL, Access Now en tientallen andere organisaties juist voor behoud van bescherming. Hun argument: grondrechten zijn niet onderhandelbaar en mogen niet worden opgeofferd voor economische doelen.

Lidstaten: De posities van individuele lidstaten lopen uiteen. Enkele landen (zoals Frankrijk en Duitsland) pleiten voor balans tussen innovatie en bescherming. Andere (zoals Ierland, waar veel Big Tech-hoofdkantoren zijn gevestigd) neigen naar soepelere regels. Enkele (zoals Polen en Scandinavische landen) benadrukken het belang van grondrechten.

Wat dit betekent voor organisaties die al investeren in governance

Voor organisaties die serieus werk maken van GDPR-compliance, AI-governance en verantwoorde data-praktijken voelt de Digital Omnibus dubbel. Laten we de implicaties concreet doornemen.

Scenario 1: De wijzigingen gaan door zoals gelekt

Als de gelekte concepten grotendeels worden aangenomen, verandert het speelveld fundamenteel:

Voor AI-aanbieders en GPAI-spelers: Je concurrenten die tot nu toe conservatief omgingen met persoonsgegevens voor AI-training (bijvoorbeeld door sterke pseudonimisering of synthetische data) zien plotseling dat de lat lager komt. Bedrijven die al massaal web-scraping deden "op risico" krijgen achteraf gelijk. De vraag wordt: pas je je strategie aan of houd je vast aan een hoger intern niveau?

Voor deployers en gebruiksverantwoordelijken: Je hebt geïnvesteerd in DPIA's, vendor-assessments en contractuele waarborgen. Als je leveranciers nu ruimere wettelijke ruimte krijgen om data te gebruiken, moet je je contracten herzien. De vraag: blijf je eisen dat jouw data niet voor AI-training wordt gebruikt, of accepteer je dit als nieuwe norm?

Voor DPO's en juristen: Je werkterrein verschuift. Taken die nu duidelijk zijn (bijvoorbeeld: toetsing of gerechtvaardigd belang geldig is voor AI-training) worden complexer en grij zer. Je moet intern een positie innemen: interpreteren we de nieuwe regels minimaal of maximaal ruim? Hoe verhouden onze waarden zich tot de wettelijke ondergrens?

Scenario 2: De wijzigingen worden afgezwakt na publiek debat

Als het publieke debat en druk van het Europees Parlement leiden tot substantiële aanpassingen:

Reputatievoordeel voor early movers: Organisaties die ondanks onzekerheid investeerden in sterke governance kunnen dit communiceren als concurrentievoordeel. "Wij hanteerden al strenge normen voordat het verplicht werd" is een krachtige boodschap richting klanten en stakeholders.

Compliance-voorsprong: Als de uiteindelijke regels strikter blijven dan de gelekte concepten suggereren, hebben organisaties die doorinvesteerden een voorsprong op concurrenten die afwachtten.

Intern draagvlak: Het investeren in governance ondanks onduidelijkheid toont dat de organisatie principes boven korte termijn-opportunisme stelt. Dat versterkt interne cultuur en ethische waarden.

Scenario 3: Fragmentatie - verschillende lidstaten interpreteren anders

Een reëel risico is dat de Omnibus weliswaar uniformering beoogt, maar juist tot meer fragmentatie leidt doordat lidstaten de nieuwe ruimte verschillend interpreteren:

Toezichthouder-roulette: Als bijvoorbeeld de Franse CNIL streng blijft interpreteren dat AI-training alleen met toestemming mag, maar de Ierse DPC soepel omgaat met gerechtvaardigd belang, ontstaat regulatory arbitrage. Bedrijven kiezen dan hun vestigingsland op basis van waar de interpretatie het soepelst is.

Verhoogde compliance-kosten: In plaats van vereenvoudiging leidt dit tot hogere kosten: je moet meerdere interpretaties volgen afhankelijk van waar je opereert. Voor multinationals wordt dit een nachtmerrie.

De balans tussen innovatie en bescherming: is er een derde weg?

Het debat over de Digital Omnibus wordt vaak geframed als een zero-sum game: ofwel we kiezen voor innovatie en economische groei (soepelere regels), ofwel we kiezen voor grondrechten en bescherming (strikte regels). Deze framing is te simpel en mogelijk destructief.

Er zijn voorbeelden van hoe harmonisatie en vereenvoudiging kunnen werken zonder bescherming te verlagen:

Technische harmonisatie: Uniforme definities van "AI-systeem," "hoog-risico," "persoonsgegeven" over alle wetten heen zou enorm helpen zonder dat het beschermingsniveau verandert. Als de AI Act, Data Act en GDPR precies hetzelfde bedoelen met dezelfde term, wordt compliance eenvoudiger.

Procedurele efficiëntie: Eén gezamenlijke impact assessment in plaats van drie aparte (DPIA, FRIA, DSAIR) kan administratieve lasten verminderen zonder inhoudelijke bescherming te verlagen. De vraag is alleen: dekken alle aspecten en blijft het toetsbaar?

Geharmoniseerde rapportage: Als incident-melding onder NIS-2, AI Act en GDPR naar één centraal punt kan met gedeelde formats, scheelt dat enorm in overhead. De inhoudelijke plicht blijft hetzelfde.

Duidelijkere guidance: Veel compliance-kosten komen niet uit de wet zelf maar uit onduidelijkheid over interpretatie. Betere, bindende guidance van het EDPB en het AI Office kan helpen zonder de wet te verzwakken.

De vraag is of de Commissie deze derde weg kiest, of dat politieke druk leidt tot daadwerkelijke verzwakking van bescherming.

Conclusie: waar dit ons laat

De Digital Omnibus is meer dan een technisch wetgevingspakket. Het is een test van waar Europa voor staat in het digitale tijdperk. Willen we een regio zijn waar grondrechten sturend zijn en economie daarop aansluit? Of gaan we accepteren dat economische druk en Big Tech-lobby het beschermingsniveau naar beneden trekken?

De gelekte concepten laten zien dat dit geen academisch debat is. De voorgestelde wijzigingen raken de kern van de GDPR en AI Act - de wetgeving die Europa wereldwijd onderscheidde in zijn principiële positie over privacy en verantwoorde technologie.

Voor juristen, DPO's en AI-governance leads betekent dit:

Blijf alert op ontwikkelingen: De presentatie op 19 november is cruciaal, maar daarna volgt nog een lang politiek proces. Dit kan alle kanten op.

Neem intern positie in: Wacht niet tot de wet definitief is om te bepalen welk niveau van bescherming en ethiek je organisatie nastreeft. Dat gesprek kun je nu al voeren.

Bereid scenario's voor: Modelleer verschillende uitkomsten en werk uit wat elk scenario betekent voor je governance, contracten en praktijk.

Overweeg je stem te laten horen: Dit is een democratisch proces. Organisaties, burgers en professionals hebben het recht én de verantwoordelijkheid om hun perspectief in te brengen.

De komende maanden worden bepalend voor de toekomst van digitale rechten in Europa. De vraag is niet of er verandering komt - die komt er sowieso. De vraag is of we als samenleving en als professionals actief meebepalen hoe die verandering eruit ziet, of dat we toekijken terwijl anderen de koers bepalen.

De Digital Omnibus is vereenvoudiging als het goed gaat, en stille afbraak als het mis gaat. Het is aan ons allemaal om ervoor te zorgen dat het eerste gebeurt en niet het tweede.

Bronnen en verdere verdieping