Cookie-aanscherpingen (lijken) van tafel: een update over de Digital Omnibus ontwikkelingen voor marketing

Hoe zat het ook alweer?

Op 19 november 2025 presenteerde de Europese Commissie de Digital Omnibus: een pakket voorstellen om Europese digitale wetgeving eenvoudiger en beter uitvoerbaar te maken. Minder administratieve lasten, duidelijkere regels en meer ruimte voor innovatie zijn daarbij de belangrijkste doelen.

Voor de marketingsector sprongen vooral de wijzigingen aan de AVG en cookieregels eruit. De Commissie wilde de regels voor cookies en vergelijkbare technieken bij de verwerking van persoonsgegevens grotendeels verplaatsen van de ePrivacy-richtlijn naar de AVG. Daarnaast moesten websites privacyvoorkeuren uit browsers respecteren en mochten zij na een geweigerde toestemming minimaal zes maanden niet opnieuw dezelfde vraag stellen.

Ook de AVG zou veranderen. De Commissie stelde onder andere een andere afbakening van het begrip persoonsgegevens, eenvoudigere datalekmeldingen en meer duidelijkheid over het gebruik van persoonsgegevens voor AI-training voor.

In onze eerdere artikelen over de cookieregels en de AVG bespraken we deze voorstellen uitgebreid. Maar inmiddels is er het nodige veranderd.

Cookies: minder grote veranderingen, wel nieuwe mogelijkheden

De opvallendste koerswijziging gaat over cookies. Waar de Commissie de cookieregels grotendeels naar de AVG wilde verplaatsen, wil de Raad ze behouden in de ePrivacy-richtlijn. De huidige verdeling tussen de cookieregels en de AVG blijft daarmee grotendeels bestaan. Voor organisaties betekent dit vooral continuïteit: het bestaande systeem wordt niet volledig op de schop genomen.

Meer ruimte voor analytics en advertentiemetingen

Positief voor de marketingsector is dat de Raad meer duidelijkheid wil bieden over situaties waarin cookies zonder toestemming kunnen worden gebruikt. Zo bevat het voorstel uitzonderingen voor bepaalde geaggregeerde bezoekersstatistieken, bereikmetingen van media en het meten van de prestaties van contextuele advertenties. Dat laatste gaat om advertenties die aansluiten bij de inhoud van een pagina of een zoekopdracht, zonder gebruikers over verschillende websites te volgen.

Maar let op: dit betekent niet dat tracking voor gepersonaliseerde advertenties ineens zonder toestemming mag. Voor toepassingen zoals retargeting en het volgen van bezoekers over verschillende websites blijft toestemming in veel gevallen noodzakelijk.

Geen verplichte browsersignalen, wel minder herhaalde cookiebanners

Ook de voorgestelde verplichting om privacyvoorkeuren uit browsers te respecteren is door de Raad geschrapt. Als DDMA waren we kritisch op dit voorstel en hebben we onze standpunten onder andere via dit artikel gedeeld. We zijn dan ook blij dat dit onderdeel uit de voorgestelde wijzigingen lijkt te zijn geschrapt.

Verder verkort de Raad de periode waarin websites na een weigering niet opnieuw om toestemming mogen vragen: van zes naar vier maanden. In de wet wordt bovendien nu vastgelegd dat gebruikers toestemming met één klik of een vergelijkbaar eenvoudig middel moeten kunnen weigeren.

AVG: gerichte versoepelingen blijven overeind

Bij de AVG kiest de Raad eveneens voor een minder ingrijpende aanpak, hoewel een aantal belangrijke wijzigingen behouden blijft.

Persoonsgegevens en pseudonimisering

De Raad schrapt de voorgestelde wijziging van de definitie van persoonsgegevens. In plaats daarvan komt er een aparte bepaling over gepseudonimiseerde gegevens. Volgens het voorstel kunnen gegevens voor een ontvangende derde buiten de AVG vallen als die partij de betrokken persoon niet redelijkerwijs kan identificeren. Voor verwerkers die namens een andere organisatie handelen, blijven deze gegevens wel persoonsgegevens.

Meer duidelijkheid over AI en datalekken

Ook blijft het voorstel bestaan om expliciet te verduidelijken dat gerechtvaardigd belang een mogelijke grondslag kan zijn voor het ontwikkelen en gebruiken van AI-systemen. Dat kan interessant zijn voor organisaties die AI inzetten om diensten of modellen te verbeteren. Een zorgvuldige belangenafweging en passende bescherming van persoonsgegevens blijven verplicht. Daarnaast wil de Raad de termijn voor het melden van datalekken verlengen van 72 naar 96 uur en de meldplicht beperken tot datalekken met waarschijnlijk een hoog risico.

Hoe gaat dit aflopen?

Het is nog te vroeg om te zeggen welke voorstellen definitief worden aangenomen. Toch lijkt de koers van de Raad erop te wijzen dat Europa eerder kiest voor gerichte vereenvoudiging dan voor een volledige herziening van de privacyregels.

Wat betekent dit nu voor jou?
Voorlopig verandert er niets aan de regels waar organisaties aan moeten voldoen. Blijf dus werken volgens de huidige AVG en cookieregels, inclusief de bestaande verplichtingen voor toestemming en datalekmeldingen.

Bij DDMA blijven we de ontwikkelingen volgen en houden we je op de hoogte van wat de uiteindelijke wijzigingen betekenen voor jouw organisatie.

Vragen over de Digital Omnibus? Neem contact op met het DDMA Legal Team via legal@ddma.nl. DDMA leden ontvangen gratis advies.

Isa Nieuwstad

Legal Counsel