Het uitgelekte voorstel met AVG wijzigingen
Afgelopen vrijdag is een belangrijk voorstel van de Europese Commissie uitgelekt. Deze "Digital Omnibus" bevat concept-wijzigingen die de spelregels rond privacy en tracking flink zouden opschudden.
Als dit wordt aangenomen, verandert er veel aan hoe websites (en apps) met cookies en andere tracking omgaan. De officiële presentatie wordt op 19 november 2025 verwacht, maar de gelekte documenten staan al online. Waar dit in het buitenland al meer aandacht kreeg, was dat in Nederland nog niet het geval.
Wat staat er in het gelekte voorstel?
De Digital Omnibus bevat drie belangrijke wijzigingen die direct impact hebben op hoe websites moeten omgaan met cookies en tracking:
1. Browser consent-signals: één keer instellen in je browser
Wat verandert:
- Gebruikers moeten via hun browser of besturingsysteem één keer hun toestemming voor cookies kunnen instellen.
- Websites moeten dit signaal respecteren en mogen géén cookiebanner tonen om toch toestemming te vragen.
- Technisch is dit vergelijkbaar met bestaande browserfuncties als Global Privacy Control en Do Not Track, maar dan met een juridisch kader.
Belangrijk: Media service providers worden uitgezonderd van de plicht om het opt-out-signaal te respecteren. Dit betekent dat nieuwssites, streamingdiensten en andere media-platforms alsnog cookiebanners mogen tonen om het browser-consent te overrulen.
2. ePrivacy-regels verschuiven naar de AVG (nieuw artikel 88a)
De kern van de wijziging is dat het oude ePrivacy-artikel 5(3) (de "cookie-regel") feitelijk verplaatst wordt naar de AVG. Daardoor valt "verwerking van persoonsgegevens op of vanaf het apparaat" onder de AVG en niet langer onder een aparte toestemmingsplicht van ePrivacy.
Daarbij gelden een aantal nieuwe uitzonderingsgronden waarbij het plaatsen van cookies zonder toestemming zou worden toegestaan:
| Doeleinde | Toelichting |
|---|---|
| Transmissie/communicatie | Technisch noodzakelijk voor de overdracht |
| Expliciet gevraagde dienst | Door gebruiker direct aangevraagd |
| Geaggregeerde bereikmeting | First-party audience measurement |
| Beveiliging | Security van dienst of terminal-apparaat |
Voor alle andere doelen mag men zich beroepen op de gewone AVG-grondslagen (waaronder "gerechtvaardigd belang"), mits aan de AVG wordt voldaan. Dit verruimt de speelruimte voor tracking buiten "toestemming" om. Oftewel, het grijze gebied lijkt hiermee groter te worden.
3. "One-click" weigeren en minder banner-spam
Als een site tóch op toestemming leunt, dan moet je die in één klik kunnen weigeren. Websites mogen dezelfde toestemmingsvraag niet binnen 6 maanden opnieuw stellen.
Dit zou een einde moeten maken aan misleidende, meerlagige banners. Hoewel dat met de huidige regels van de Authoriteit Persoonsgegevens ook al ontmoedigd zou moeten worden.
Wat kan er concreet veranderen als dit doorgaat?
Minder cookiebanners Gebruikers kunnen consent één keer instellen, waarna websites dit signaal moeten respecteren. Dit zou in theorie tot veel minder cookiebanners moeten leiden. Wel is het afwachten wanneer en hoe browsers dit zullen implementeren. En hoe snel websites de techniek zullen adopteren.
Maar niet voor "media service providers": Het lijkt erop dat media-diensten hoeven zich niet te houden aan het door de gebruiker ingestelde consent binnen de browser (of OS). Het lijkt erop dat ze dit mogen overrulen met een eigen consent banner. In Nederland zou dit waarschijnlijk gaan om partijen als RTL, Talpa Network, NPO en Netflix.
Mogelijk meer ruimte voor tracking buiten consent om De verschuiving van de cookiewetgeving van ePrivacy naar AVG-grondslagen zou kunnen zorgen voor meer "grijs gebied". Websites kunnen creatief omgaan met de doeleinden voor tracking/cookies. Door dit te framen als transmissie/communicatie, noodzakelijk voor een gevraagde dienst, eigen analytics of security kan meer worden getracked met minder consent.
Timeline
| Datum | Gebeurtenis |
|---|---|
| 7 november 2025 | Netzpolitik.org publiceert gelekte documenten |
| 19 november 2025 | Verwachte officiële presentatie Digital Omnibus |
| 2026-2027 | Waarschijnlijke implementatieperiode (indien aangenomen) |
Context & bronnen
Primaire bronnen
Uitlek & analyse:
- Netzpolitik.org: Digitaler Omnibus – EU-Kommission strebt offenbar Kahlschlag beim Datenschutz an - Uitgebreide analyse van de gelekte documenten
- Gelekte concept-tekst (PDF) - De volledige gelekte voorstellen met toelichting
Privacy-organisaties:
- noyb: Say "NO" to cookies – yet see your privacy crumble? - Gedetailleerde analyse van de concept-artikelen (nieuwe art. 88a/88b/88c AVG, mediaservice-uitzondering, one-click weigeren)
Nederlandse handhaving
Autoriteit Persoonsgegevens:
- AP warns 50 organisations about misleading cookie banner - April 2025 enforcement actie
- Clear cookie banners - Guidelines - Officiële richtlijnen voor heldere cookiebanners
Internationale rapportage
- Heise Online: EU wants to weaken GDPR for AI and cookie banners
- Reuters: Critics call proposed changes to landmark EU privacy law 'death by a thousand cuts'
- TechPolicy.Press: EU Set the Global Standard on Privacy and AI. Now It's Pulling Back
Conclusie
Het aannemen van het Digital Omnibus-voorstel kan voor grote veranderingen in de Europese privacywetgeving zorgen. Hoewel het voorstel belooft een einde te maken aan vervelende cookiebanners, waarschuwen privacy-experts voor een fundamentele verzwakking van bescherming.
Voor website-eigenaren is het advies helder: blijf nu compliant met de huidige Nederlandse eisen (AP-richtlijnen), bereid je voor op browser-signalen, en misbruik straks geen verruimde rechtsgronden. Transparantie en respect voor gebruikerskeuzes blijven cruciaal, ongeacht de technische mogelijkheden.
De komende weken zal blijken of de Europese Commissie het voorstel op 19 november in (nagenoeg) deze vorm presenteert. Daarna volgt de gewone wetgevingsprocedure, waarin het Europees Parlement en de Raad van de EU het voorstel kunnen wijzigen.
Laatste update: 12 november 2025
Hulp nodig met cookiebanners? Neem contact op voor advies over jouw specifieke situatie, of start een gratis quickscan om te checken in hoeverre jouw website voldoet aan de huidige wetgeving.
Disclaimer
Dit artikel is gebaseerd op gelekte conceptdocumenten en berichtgeving van derden over het EU Digital Omnibus-pakket. De beschreven voorstellen zijn niet definitief en kunnen aanzienlijk wijzigen tijdens het wetgevingsproces. Dit artikel is bedoeld voor informatieve doeleinden en vormt geen juridisch advies.
NUMEO aanvaardt geen aansprakelijkheid voor de juistheid, volledigheid of actualiteit van de informatie in dit artikel, noch voor eventuele gevolgen voortvloeiend uit het gebruik ervan. Voor advies over uw specifieke situatie dient u een gekwalificeerd juridisch adviseur te raadplegen.
De uiteindelijke wetteksten en interpretatie daarvan kunnen substantieel afwijken van wat in dit artikel wordt beschreven.