Digital Omnibus: welke wijzigingen komen eraan voor AVG en Data Act?

Digital Omnibus: welke wijzigingen komen eraan voor AVG en Data Act?

Anders dan de AI Omnibus, die hierboven aan bod kwam, is het bredere ‘Digital Omnibus’-pakket met wijzigingen voor de AVG, de Data Act, de ePrivacyrichtlijn, NIS2 en DORA nog volop in onderhandeling. Waar de AI-tak van het pakket in juli 2026 al is aangenomen, ligt de tak met wijzigingen op AVG en Data Act nog bij het Europees Parlement en de Raad.

Stand van zaken

Het Digital Omnibus-voorstel bevindt zich nog in de Europese wetgevingsprocedure. Definitieve aanname wordt op zijn vroegst later dit jaar verwacht, met inwerkingtreding in 2027 of 2028.

De meest omstreden wijzigingen

Het voorstel wil het begrip persoonsgegeven verschuiven van een absolute naar een contextafhankelijke benadering: bepalend wordt of de specifieke partij die de gegevens verwerkt, de betrokkene redelijkerwijs kan identificeren, niet langer of enige partij dat zou kunnen. 

Verder krijgt de Commissie de bevoegdheid om uniforme criteria vast te stellen wanneer gepseudonimiseerde data niet langer als persoonsgegevens gelden. Datalekken zouden alleen nog gemeld hoeven worden bij een waarschijnlijk hoog risico, en er komt één centraal Europees meldloket voor incidenten onder AVG, NIS2, DORA en de Cyber Resilience Act. 

Gerechtvaardigd belang wordt expliciet erkend als rechtsgrondslag voor het trainen van AI-modellen met persoonsgegevens, en er komen nieuwe uitzonderingsgronden voor de verwerking van bijzondere persoonsgegevens bij de ontwikkeling van AI-systemen, waaronder ten behoeve van bias-toetsing. Voor de Data Act geldt een andere lijn: de Data Governance Act, de Open Data-richtlijn en de verordening vrij verkeer van niet-persoonsgebonden data worden geschrapt en opgenomen in de Data Act zelf, met minder risico op verlies van bedrijfsgeheimen en versoepelde deelplicht met derde landen.

Wat heeft u hieraan als ontwikkelaar (aanbieder) van een AI-systeem?

Traint u modellen met persoonsgegevens, dan is de voorgestelde expliciete erkenning van het gerechtvaardigd belang als grondslag voor AI-training waarschijnlijk de meest relevante wijziging. Die zou meer zekerheid bieden dan de huidige belangenafweging. Voorlopig verandert echter niets: de voorwaarden liggen nog open en de EDPB en EDPS menen bovendien dat de huidige AVG hiervoor al voldoende ruimte biedt. Ook de voorgestelde uitzondering voor het gebruik van bijzondere persoonsgegevens ten behoeve van bias-detectie is nog niet vastgesteld. Laat uw bestaande grondslagen en DPIA's daarom voorlopig ongewijzigd.

Wat heeft u hieraan als afnemer (gebruiker) van een AI-systeem?

Voor afnemers is vooral de voorgestelde contextafhankelijke benadering van het begrip persoonsgegevens relevant. Daardoor zouden bepaalde datasets in de toekomst mogelijk buiten de AVG kunnen vallen wanneer u betrokkenen zelf niet redelijkerwijs kunt identificeren. Dat voorstel is echter nog onzeker en stuit op kritiek. Voorlopig verandert er daarom niets: blijf uitgaan van de huidige AVG-definities, meldplichten en grondslagen en pas verwerkersovereenkomsten of DPIA's nog niet aan.