Digital Omnibus; gevolgen voor de AVG?

De Digital Omnibus stelt een aantal aanpassingen voor van de AVG. Dit rondom het gebruik van AI. Welke zijn dit en wat zijn de mogelijke gevolgen? In dit artikel sta ik specifiek stil bij de mogelijke aanpassingen van de AVG.

Geschatte leestijd: 4 minuten

Nieuwe Europese richtlijnen: AI-modellen trainen met persoonsgegevens zonder toestemming?

De Europese Commissie anticipeert met het Digital Omnibus voorstel op de huidige AI-trend. Het gebruik van persoonsgegevens voor AI-training en AI-gebruik hoeft niet altijd te steunen op toestemming, mits er een zorgvuldig gerechtvaardigd belang en er voldoende beschermingsmaatregelen zijn. Deze ontwikkeling kan de juridische ruimte voor datagebruik verbreden, maar roept ook vragen op over de praktische bescherming van betrokkenen en de effectiviteit van bezwaar- en transparantiemaatregelen. Organisaties die AI ontwikkelen of AI inzetten doen er goed aan de voortgang van deze beoogde wetswijzigingen nauwgezet te volgen en hun AVG compliance daarop af te stemmen.

Digital Omnibus package

De Europese Commissie heeft op 19 november 2025 een Digital Omnibus Package voorgesteld dat ingrijpende gevolgen kan hebben voor de manier waarop organisaties persoonsgegevens verwerken voor het trainen en toepassen van kunstmatige intelligentie (AI). Deze wijzigingsvoorstellen bevinden zich nog in de wetgevingsprocedure, maar tonen een duidelijke koerswijziging in de Europese aanpak van digitale regulering.

In plaats van nieuwe regels te creëren, past het package bestaande regels aan. Deze wijzigingsvoorstellen kunnen invloed hebben op diverse wet en regelgeving waaronder de AVG, ePrivacy verordening, de AI Act, de Data Act en regels voor het melden van cyberincidenten in verschillende wetgeving zoals DORA en NIS2. In dit artikel sta ik specifiek stil bij de mogelijke aanpassingen binnen de AVG rondom het gebruik van AI.

Gerechtvaardigd belang als wettelijke grondslag voor AI-training

De AVG vereist een rechtsgrondslag zoals toestemming, gerechtvaardigd belang of uitvoering van een overeenkomst om persoonsgegevens te verwerken. Toestemming is in de context van AI-training vaak onpraktisch: het vragen van specifieke, geïnformeerde en vrij gegeven toestemming van elke betrokkene is vrijwel onhaalbaar bij grote datasets.

De Europese Commissie kiest nu voor de weg dat het trainen en gebruiken van AI-modellen op basis van het gerechtvaardigd belang mogelijk kan zijn, mits aan strikte voorwaarden wordt voldaan. Dit moet in een nieuw in te voegen artikel in de AVG worden vastgelegd. Organisaties moeten daarbij een zorgvuldige “balansafweging” gaan maken en documenteren dat hun belang zwaarder weegt dan de privacybelangen van betrokkenen. Ook moeten passende technische en organisatorische maatregelen worden genomen en moet een sterk recht van bezwaar worden gewaarborgd.

Aanpassing definitie persoonsgegevens: een contextafhankelijke benadering

Een andere belangrijke wijziging betreft de uitleg van het begrip persoonsgegevens. Onder de AVG valt informatie onder persoonsgegevens zodra iemand geïdentificeerd kan worden met “middelen die redelijkerwijs tot ieders beschikking staan”. De Commissie schuift echter naar een contextafhankelijke benadering: als een partij alleen toegang heeft tot gepseudonimiseerde data en niet beschikt over aanvullende identificatiemiddelen, valt deze data mogelijk niet onder de AVG. Hiermee zou de vraag naar een wettelijke grondslag voor verwerking minder relevant worden.

Uitzonderingen voor bijzondere persoonsgegevens

Zodra in datasets toch bijzondere categorieën van persoonsgegevens (zoals medische gegevens) voorkomen, introduceert het voorstel een beperkte uitzondering. Als deze gegevens onbedoeld in een AI-trainingsset voorkomen en het verwijderen ervan onevenredig veel inspanning vraagt, mogen ze onder voorwaarden worden verwerkt zonder toestemming. Wel is het verboden om deze bijzondere gegevens te gebruiken voor output of openbaar te maken.

Praktische gevolgen van het Digital Omnibus Package

Voor organisaties betekent het Digital Omnibus voorstel meer duidelijkheid, maar ook nieuwe verplichtingen:

Toestemming kan in veel gevallen achterwege blijven als op gerechtvaardigd belang wordt gesteund, wat de ontwikkelkosten en administratieve lasten kan verlagen.
Organisaties dienen duidelijke informatie te geven over hun gebruik van persoonsgegevens voor AI-training, bijvoorbeeld via privacyverklaringen.
Het absolute recht van bezwaar moet effectief kunnen worden uitgeoefend, maar in de praktijk blijft dit een uitdaging wanneer betrokkenen niet weten dat hun data wordt gebruikt.

De voorstellen in het Digital Omnibus-pakket lijken een verschuiving richting de versoepeling van privacybescherming in te houden. Anderzijds kan het worden gezien als een noodzakelijke modernisering om innovatie te bevorderen.

Wanneer kunnen we de wijzigingen uit het Digital Omnibus voorstel verwachten?

Het Digital Omnibus voorstel is op 19 november 2025 gepubliceerd. Goedkeuring wordt rond het einde van 2026 verwacht. Tot 11 maart 2026 is er de mogelijkheid van openbare raadpleging geopend; de Digital Fitness Check. Deze kan de definitieve tekst en timing nog beïnvloeden.