De Raad van de EU heeft zijn standpunt bepaald over de digitale omnibus, het voorstel dat de AVG, de cookieregels en de meldplicht voor cyberincidenten vereenvoudigt. Dat raakt gemeenten, provincies en waterschappen: zij beheren websites, verwerken persoonsgegevens en melden datalekken. Het Europees Parlement moet nog een standpunt innemen voordat de onderhandelingen over de eindtekst starten.
Wat is de digitale omnibus?
De Europese Commissie presenteerde eind 2025 de digitale omnibus: een pakket dat digitale wetgeving vereenvoudigt en administratieve lasten vermindert. Het pakket wijzigt onder meer de AVG, de cookiebepalingen uit de ePrivacyrichtlijn, de Dataverordening en de meldplichten uit de NIS2-richtlijn. Naast dit voorstel presenteerde de Commissie op dezelfde dag een afzonderlijk voorstel voor de AI-verordening, de AI-omnibus. Dat losse onderdeel van het pakket is inmiddels aangenomen en sinds de zomer van 2026 in werking. Op 21 oktober 2026 bepaalde de Raad zijn standpunt over het deel voor gegevensbescherming, privacy en cyberveiligheid. Wat er in het oorspronkelijke voorstel staat, leest u in de KED-serie over de digitale omnibus.
Minder cookiebanners en een aangepaste AVG
De Commissie wilde de definitie van persoonsgegevens versoepelen: informatie zou voor een organisatie geen persoonsgegeven meer zijn wanneer die organisatie de persoon met redelijke middelen niet kan identificeren. De Raad schrapt die aanpassing en houdt de huidige definitie in stand. Wel verduidelijkt het Raadsstandpunt wanneer gegevens gepseudonimiseerd zijn en wanneer iemand identificeerbaar is. Voor cookies blijft toestemming de hoofdregel, maar in meer situaties is die toestemming niet langer nodig. Dat geldt bijvoorbeeld voor cookies die nodig zijn om een gevraagde dienst te leveren, voor bezoekersstatistieken en voor de beveiliging van apparatuur. Websitebezoekers zien daardoor minder cookiebanners. De Raad laat deze regels in de ePrivacyrichtlijn staan en verplaatst ze niet naar de AVG, zoals de Commissie voorstelde. Daarmee blijven de cookieregels binnen het bestaande kader van de ePrivacyrichtlijn, in Nederland uitgewerkt in artikel 11.7a van de Telecommunicatiewet. De Commissie wilde juist af van de splitsing tussen de ePrivacyrichtlijn voor het plaatsen van cookies en de AVG voor de verdere verwerking van persoonsgegevens, omdat die splitsing volgens haar tot rechtsonzekerheid leidt. In het Raadsstandpunt blijft die splitsing bestaan, en de nieuwe uitzonderingen gelden voor Nederlandse websites pas nadat de wetgever de Telecommunicatiewet aanpast. Verder gaat de termijn voor het melden van een datalek van 72 naar 96 uur. Melden hoeft alleen nog als het lek waarschijnlijk een hoog risico voor betrokkenen oplevert. Ook komt er een EU-brede lijst van verwerkingen met een hoog risico, met gezamenlijke sjablonen voor de verantwoording.
Voor decentrale overheden is dit relevant omdat zij verwerkingsverantwoordelijke zijn onder de AVG. De cookieregels gelden ook voor hun eigen websites en apps. Soepelere regels voor bezoekersstatistieken en een langere meldtermijn bij datalekken verlichten de uitvoeringspraktijk.
Nationaal meldloket in plaats van één EU-portaal
De Commissie stelde één centraal EU-portaal voor waar organisaties cyberincidenten melden, het zogenoemde single entry point. De Raad vervangt dat door een nationaal meldloket per lidstaat, aangevuld met een Europees informatiepunt en een geharmoniseerd kader voor meldingen en grensoverschrijdende notificaties. Voor decentrale overheden blijft het doel gelijk: één melding in plaats van losse meldingen onder de NIS2-richtlijn, de CER-richtlijn en de AVG. Ook datalekmeldingen lopen in het Raadsstandpunt via dat nationale loket. De uitvoering komt daarmee dichter bij de nationale toezichthouders te liggen.
Hergebruik van overheidsdata
Het Raadsstandpunt regelt ook het hergebruik van overheidsinformatie. Publieke instanties mogen hogere tarieven of andere voorwaarden hanteren wanneer zeer grote ondernemingen, zoals aangewezen poortwachters, hun data hergebruiken. Dat geeft decentrale overheden meer ruimte om kosten door te berekenen bij datahergebruik door grote techbedrijven.
Bedrijfsdata opvragen bij noodsituaties
De digitale omnibus vervangt daarnaast de regeling in de Dataverordening waarmee overheden data bij bedrijven kunnen opvragen. Dat kan in het voorstel alleen nog bij een algemene noodsituatie, niet langer voor andere taken van algemeen belang. De Raad houdt die beperking in stand, maar verlaagt de drempel voor een verzoek: een overheid hoeft geen uitzonderlijke noodzaak meer aan te tonen, een noodzaak volstaat. Een verzoek kan dienen om op een noodsituatie te reageren of om het herstel daarna te ondersteunen. Voor gemeenten, provincies en waterschappen is dit de grondslag om bij bijvoorbeeld een overstroming of grootschalige uitval data van bedrijven te vorderen.
Hoe verder?
Het Raadsstandpunt is nog geen geldend recht. De Raad onderhandelt met het Europees Parlement zodra dat zijn positie heeft vastgesteld, met als doel de vereenvoudigingspakketten eind 2027 af te ronden. Decentrale overheden hoeven nu niets te doen, maar kunnen alvast in kaart brengen welke cookies hun websites gebruiken en hoe hun meldprocessen voor datalekken en cyberincidenten lopen. Zo kunnen zij de vereenvoudiging straks snel benutten. KED volgt de onderhandelingen en bericht over het resultaat.
Bron
Digital rulebook: Council agrees position to simplify data protection, privacy and cyber reporting rules, Raad van de Europese Unie
Onderhandelingsmandaat digitale omnibus, document 14756/26, Raad van de Europese Unie
Meer informatie
Digitale omnibus deel I: wat staat decentrale overheden te wachten?, Kenniscentrum Europa Decentraal
Digitale omnibus deel III: wat staat decentrale overheden te wachten?, Kenniscentrum Europa Decentraal