Max Schrems waarschuwt voor de Digitale Omnibus. Wat betekent dat voor jou?

Op 22 september waarschuwde Max Schrems, oprichter van de privacyorganisatie noyb, in een video voor een uitgelekte tekst van de Digitale Omnibus. Volgens hem vallen tracking-ID's en IP-adressen daardoor voor veel partijen buiten de AVG, en wordt elke verwerking die met AI te maken heeft een gerechtvaardigd belang. Voor je website verandert er voorlopig niets, want er is nog niets aangenomen. Ga er dus van uit dat cookie-ID's en IP-adressen persoonsgegevens blijven, en breng in kaart welke partijen ze via je website krijgen.

Voor dit artikel legden we zijn uitleg naast de uitgelekte tekst zelf en de standpunten van het kabinet en de Autoriteit Persoonsgegevens (AP).

\ 01Waarom waarschuwt Schrems juist nu?

De Europese Commissie stelde de Digitale Omnibus in november 2025 voor om digitale regels te vereenvoudigen, waaronder de AVG. Volgens Schrems gebruiken lidstaten het voorstel om de AVG op wezenlijke punten te veranderen, "een of twee stappen dieper in de wet", waar het minder opvalt.

Het Cypriotische voorzitterschap van de Raad had de nieuwe definitie van persoonsgegeven geschrapt en van het artikel over AI een overweging gemaakt. Ierland, sinds juli voorzitter en volgens Schrems de Europese thuisbasis van de grote Amerikaanse en steeds meer Chinese techbedrijven, haalde beide punten in een compromistekst van 3 september terug, de definitie als aparte regel over gepseudonimiseerde gegevens. Op 21 september publiceerde noyb die tekst, samen met een Duits voorstel dat nog verder gaat.

\ 02Wat verandert er aan het begrip persoonsgegeven?

De tekst van 3 september voegt een artikel 25a toe aan de AVG. Gepseudonimiseerde gegevens zijn daarin geen persoonsgegevens "voor een persoon" die de betrokkene niet kan identificeren. Dat klinkt privacyvriendelijk, zegt Schrems, tot je ziet wat er allemaal onder valt. Een tracking-ID is een pseudoniem, net als een gebruikers-ID, een IP-adres en zelfs een kenteken. Op zijn auto staat geen naam, en toch is hij via het kenteken te vinden.

Zijn grootste bezwaar is dat de definitie subjectief wordt. Een bedrijf beoordeelt zelf of het iemand kan identificeren, op basis van interne kennis die een toezichthouder of rechter niet ziet. Een gebruiker kan het alleen controleren met het inzagerecht, en dat vervalt juist als het bedrijf zegt dat de AVG niet geldt. Dat verweer kent noyb al van Xandr, het advertentiebedrijf van Microsoft. Een klager stuurde Xandr in 2024 de waarde van het Xandr-cookie op zijn apparaat, en kreeg als antwoord dat het bedrijf alleen pseudonieme gegevens had en hem niet kon identificeren.

Voor websites wijst Schrems op het Fashion ID-arrest uit 2019. Een webwinkel met de like-knop van Facebook was volgens het Hof van Justitie samen met Facebook verantwoordelijk voor het verzamelen en doorgeven van gegevens van bezoekers, zonder dat de winkel zelf toegang tot die gegevens hoefde te hebben. Op de meeste websites volgen andere partijen de bezoekers, zegt Schrems, via trackers die de website heeft ingebouwd. Met een subjectieve definitie zou die website vaak buiten de AVG vallen.

Hoe gewoon zulke trackers zijn, maten we begin oktober zelf. Op 56 procent van de bereikbare homepages van de 2.000 grootste .nl-domeinen ging er al verkeer naar een advertentie- of analysedienst voordat de bezoeker iets koos.

\ 03Wie in de keten valt nog onder de AVG?

In het voorbeeld van Schrems deelt organisatie A gegevens met B. B doet niets met IP-adressen, kan niemand identificeren en valt buiten de AVG, dus ook buiten de beveiligingseisen van artikel 32 en het inzagerecht. B geeft de gegevens door aan C, die ze aanvult met gegevens van een databroker en de mensen weer kan identificeren. Nu kun je er volgens Schrems van uitgaan dat iedereen in zo'n keten onder de AVG valt. Met een subjectieve definitie zou je elke schakel moeten toetsen, ook schakels die je niet eens kent, en dat noemt hij "pseudo-vereenvoudiging".

De tekst van september vangt een deel daarvan op. Een verwerker blijft onder de AVG vallen (lid 4), en wie gegevens doorgeeft aan een partij die de persoon wel kan identificeren, verwerkt persoonsgegevens (lid 5). Volgens het persbureau Agence Europe houdt een nieuwere versie van 21 september vast aan de relatieve regel, met als extra eis maatregelen die voorkomen dat anderen de betrokkene identificeren.

\ 04Wordt AI een gerechtvaardigd belang?

Het tweede punt is artikel 88c uit het voorstel van de Commissie, in de tekst van de Raad artikel 88 bis. Daarin mag de verwerking van persoonsgegevens "in de context van de ontwikkeling en werking" van een AI-systeem of AI-model plaatsvinden op grond van een gerechtvaardigd belang. De waarborgen die de Commissie erbij had gezet, zoals een onvoorwaardelijk recht van bezwaar, zijn doorgehaald.

Schrems noemt het de eerste keer dat de wet een hele technologie tot gerechtvaardigd belang maakt, los van het doel. Gepersonaliseerde advertenties zonder toestemming zouden met AI ineens kunnen, terwijl het Hof van Justitie in 2023 oordeelde dat Meta zich daarvoor niet op gerechtvaardigd belang kon beroepen. Formeel blijft de belangenafweging uit artikel 6 lid 1 sub f AVG bestaan, maar Schrems verwacht dat een rechter zelden anders beslist als de wetgever AI zelf een gerechtvaardigd belang noemt. Daarmee komen volgens hem de gegevens vrij die grote techbedrijven in dertig, veertig jaar in Europa verzamelden.

Het kabinet zag dat risico al in december 2025. Volgens de BNC-fiche leek het voorstel van de Commissie een gerechtvaardigd belang "per definitie" te geven, "zonder dat een noodzakelijkheidstoets en de bijbehorende belangenafweging moet plaatsvinden". De AP vond het artikel in januari overbodig, omdat gerechtvaardigd belang nu al een grondslag voor AI kan zijn als je een belangenafweging maakt. "Deze bepaling suggereert een verruiming die er niet is," schreef de AP.

Hij spreekt van een "omgekeerde Robin Hood". Er hebben vooral grote techbedrijven iets aan, want die hebben de gegevens al, en een gewoon bedrijf heeft je adres en e-mailadres nodig en weinig aan pseudoniemen.

\ 05Hoe gaat het verder?

Op 22 september hield Schrems rekening met een informeel akkoord tussen de lidstaten op vrijdag 25 september. Na die vergadering paste het Ierse voorzitterschap de tekst nog eens aan, en op 7 oktober lag hij bij de ambassadeurs van de lidstaten (Coreper), met als doel een onderhandelingsmandaat. Een besluit was die dag nog niet bekend. Pas met een mandaat kan de Raad onderhandelen met het Europees Parlement, dat nog geen standpunt heeft.

Schrems vraagt mensen hun ministerie en hun Europarlementariërs te benaderen. Hij acht de kans groot dat het Hof van Justitie een deel terugdraait, omdat gegevensbescherming een grondrecht is (artikel 8 van het Handvest van de EU).

\ 06Wat betekent dit voor jou als privacy officer?

Ons advies is om voor je website niet uit te gaan van een smallere definitie. Er is niets aangenomen, en wat er uitkomt, kan bij het Hof alsnog sneuvelen.

1. Behandel cookie-ID's en IP-adressen als persoonsgegevens. De AVG noemt ze in overweging 30 als online-identificatoren, en volgens de AP zijn alle gegevens waarmee burgers kunnen worden gevolgd en geprofileerd persoonsgegevens.
2. Vraag toestemming voor trackingcookies, wat een leverancier ook zegt over zijn ID's. Artikel 11.7a van de Telecommunicatiewet gaat over alle informatie die je op het apparaat van je bezoeker opslaat of uitleest, persoonsgegeven of niet, en dat blijft zo in de tekst van de Raad.
3. Ga na welke partijen gegevens van je website krijgen, en in welke rol. Een verwerker valt in elke versie onder de AVG. Bij een partij die de gegevens ook voor zichzelf gebruikt, zou je onder de nieuwe regel moeten nagaan wat die kan identificeren en aan wie hij doorgeeft. Hoe minder er naar zulke partijen gaat, hoe minder ze ook voor AI kunnen gebruiken.
4. Wil je organisatie zelf AI inzetten op grond van gerechtvaardigd belang, maak dan de belangenafweging, ook als artikel 88 bis er komt. Een overheidsorganisatie kan zich bij de uitvoering van haar taken sowieso niet op gerechtvaardigd belang beroepen (artikel 6 lid 1, slotzin AVG).

In de Websitetoets zoeken we voor meerdere pagina's van je website uit welke partijen gegevens als IP-adressen en surfgedrag krijgen, en of ze buiten de EU zitten. Welke rol die partijen hebben, beoordeel jij. Wil je eerst zien met welke partijen jouw website gegevens deelt voordat een bezoeker iets kiest, doe dan de gratis risicoanalyse.

Wat de Omnibus aan de cookieregels verandert, houden we bij in Verdwijnt de cookiebanner door de Digitale Omnibus?