De Digital Omnibus AVG vereenvoudiging verwijst naar het pakket gerichte wetswijzigingen dat de Europese Commissie in 2025 presenteerde via COM(2025) 837 final, met als doel de administratieve lasten van de AVG (Verordening 2016/679) te verminderen voor kleinere organisaties en grensoverschrijdende verwerkingen. Voor compliance officers en IT-beslissers in gereguleerde sectoren betekent dit echter niet automatisch minder risico: de wijzigingen raken juist de instrumenten die dagelijks worden ingezet om gegevensbescherming te waarborgen.
Wat wijzigt de Digital Omnibus in de AVG?
De Digital Omnibus bundelt aanpassingen uit de Digital Fitness Check van de Europese Commissie en grijpt in op drie kerngebieden van de AVG: de reikwijdte van DPIA-verplichtingen, de definitie van persoonsgegevens in specifieke verwerkingscontexten, en de meldplicht bij datalekken.
Op DPIA-vlak stelt het voorstel hogere drempelwaarden voor, waardoor kleine en middelgrote ondernemingen niet langer bij elke risicovolle verwerking een volledige Data Protection Impact Assessment hoeven te voltooien. De Commissie baseert deze keuze deels op de bevinding uit de Digital Fitness Check dat DPIA’s door veel organisaties als disproportioneel worden ervaren. De besparing die de Commissie voorspiegelt is aanzienlijk.
Naast de DPIA-drempel introduceert het voorstel een verfijning van het begrip persoonsgegevens in de context van gepseudonimiseerde en geaggregeerde datasets. Hiermee beoogt de Commissie meer rechtzekerheid te geven aan organisaties die data-analysetoepassingen inzetten, maar de afbakening is technisch complex en nog niet volledig uitgewerkt in de wetgevingstekst.
Herdefinitie van persoonsgegevens: gevolgen voor cloudgebruik
Een gedeeltelijke herdefinitie van wanneer gepseudonimiseerde gegevens als persoonsgegevens gelden, heeft directe gevolgen voor de verwerkersovereenkomsten en beveiligingsmaatregelen die organisaties met cloudleveranciers afsluiten.
Voor organisaties die werken met Amerikaanse hyperscalers valt dit samen met de bestaande jurisdictionele spanning van de US CLOUD Act en de Patriot Act: zelfs als data technisch gepseudonimiseerd is, kan een ruimere definitie van persoonsgegevens onder de AVG botsen met de smalle interpretatie die een cloudaanbieder onder Amerikaans recht hanteert. Soevereine dataopslag in Zwitserland of on-premise omgevingen biedt hier structureel meer rechtszekerheid, omdat de rechtsmacht van Amerikaanse wetgeving er niet geldt.
De Data Act (Verordening 2023/2854) is hierbij ook relevant: die legt cloudaanbieders verplichtingen op rond dataportabiliteit en switching. De Digital Omnibus raakt de Data Act indirect door de grondslag voor gegevensverwerking te verschuiven, wat de contractuele verhoudingen met aanbieders opnieuw vraagt om juridische toetsing.
Risico’s van vereenvoudigde DPIA-drempels bij migratie
Organisaties die midden in een migratie zitten van bijvoorbeeld Microsoft 365 naar een soevereine Nextcloud-omgeving of een on-premise infrastructuur, bevinden zich in een bijzondere positie. De overgangsperiode van de Digital Omnibus biedt enerzijds ruimte om bestaande DPIA’s te herzien, maar anderzijds vergroot het tijdelijk de complexiteit.
| Scenario | DPIA-verplichting (huidig) | DPIA-verplichting (Digital Omnibus voorstel) | Aandachtspunt voor migratie |
|---|---|---|---|
| Verwerking op US-cloudplatform (hyperscaler) | Verplicht bij hoog risico | Drempel verhoogd voor mkb | Restrisico van CLOUD Act-blootstelling blijft ongewijzigd |
| Migratie naar Zwitserse hosting | Verplicht als sprake van nieuw hoog risico | Mogelijk vrijgesteld voor kleinere verwerkingen | Aanbevolen vrijwillige DPIA om overstap te documenteren |
| On-premise soevereine infrastructuur | Verplicht bij gevoelige categorieën | Ongewijzigd voor gevoelige categorieën | Technische maatregelen en logging moeten aantoonbaar zijn |
Het weglaten van een DPIA op basis van de nieuwe drempel ontslaat een organisatie niet van de algemene verantwoordingsplicht (artikel 5 lid 2 AVG). Bij een migratie naar soevereine infrastructuur is een gedocumenteerde risicobeoordeling, ook al heet die geen DPIA, juridisch sterk aanbevolen. Dit geldt des te meer voor overheidsorganisaties en juridische dienstverleners die met bijzondere persoonsgegevens werken.
‘Report once, share many’ en de relatie met NIS-2
Het ‘report once, share many’-principe uit de Digital Omnibus beoogt de situatie te beëindigen waarbij een organisatie na een datalek afzonderlijk moet melden bij de Autoriteit Persoonsgegevens en tegelijkertijd een incidentmelding moet doen bij de bevoegde NIS-2-autoriteit. In theorie volstaat dan één melding, waarna toezichthouders onderling informatie uitwisselen.
De praktijk is complexer. De NIS-2-richtlijn (2022/2555) kent eigen termijnen: een eerste melding binnen 24 uur, een gedetailleerde melding binnen 72 uur, en een eindrapport binnen een maand. De AVG-meldplicht hanteert 72 uur als standaard. Deze termijnen zijn niet volledig geharmoniseerd in het huidige Omnibus-voorstel, waardoor organisaties tijdens de overgangsperiode rekening moeten houden met parallelle verplichtingen.
Uit onderzoek van ENISA blijkt dat 69% van de significante incidenten die in de EU werden gerapporteerd onder NIS-2 betrekking had op cloud- of hostingdiensten (ENISA, NIS Investments Report 2024). Dit onderstreept dat het meldproces voor cloud-gerelateerde incidenten extra aandacht verdient, ongeacht welke vereenvoudiging de Omnibus uiteindelijk doorvoert.
Bezwaren van EDPB en EDPS
Zowel de EDPB (European Data Protection Board) als de EDPS (Europese Toezichthouder voor gegevensbescherming) hebben formele bezwaren geuit. De EDPB legde haar standpunt vast in EDPB Joint Opinion 2/2026.
De EDPB stelde daarin: “We are deeply concerned that raising DPIA thresholds and introducing broad exemptions will weaken the risk-based approach that is fundamental to the GDPR’s effectiveness.”
De EDPS formuleerde soortgelijke zorgen: “The proposed changes risk creating significant loopholes in the protection of personal data, particularly for large-scale data processing in cloud environments.”
Als de wetgever deze bezwaren overneemt, zijn twee uitkomsten denkbaar. Ten eerste: aanscherping van de DPIA-drempelomschrijving, zodat sectoren als overheid en gezondheidszorg expliciet worden uitgesloten van de verlichting. Ten tweede: een herstel van de definitie van persoonsgegevens naar de huidige brede formulering. Beide aanpassingen zouden de uiteindelijke wetgevingstekst dichter bij de huidige AVG brengen, wat de planningshorizon voor IT-migraties verlengt.
Ter referentie: de EDPB ontving via de nationale toezichthouders in 2023 meer dan 130.000 klachten en meldingen op grond van de AVG (EDPB, Annual Report 2023). Dit volume illustreert dat toezichthouders de huidige instrumenten actief inzetten en niet geneigd zijn hun bevoegdheden te laten uithollen.
De overgangsperiode als strategisch venster
Voor gereguleerde organisaties die nadenken over soevereine IT-architectuur, biedt de overgangsperiode van de Digital Omnibus een helder strategisch argument: de juridische context verandert, maar de technische en operationele richting staat vast. Ongeacht of de Omnibus in zijn huidige vorm wordt aangenomen, blijven de volgende risico’s structureel aanwezig zolang organisaties op Amerikaanse cloudplatforms draaien:
- Extraterritoriale toegangsverzoeken op basis van de US CLOUD Act.
- Verwerking buiten de EU zonder adequaatbesluithoudende rechtsbasis na eventuele politieke verschuivingen in het Privacy Shield-equivalent (EU-US Data Privacy Framework).
- Gebrek aan controle over AI-modellen die trainen op bedrijfs- en klantgegevens binnen hyperscalerdiensten.
De migratie naar een soevereine Nextcloud-werkruimte, gecombineerd met kwantumveilige versleuteling en een privé, lokaal gehoste AI-omgeving die geen klantdata gebruikt voor modeltraining, geeft organisaties een architectuur die onder zowel de huidige als de toekomstige AVG-variant robuust is. De overgangsperiode biedt bovendien ruimte om bestaande verwerkingsregisters (artikel 30 AVG) bij te werken en datastromen naar niet-EU-jurisdicties te inventariseren, wat ongeacht de Omnibus-uitkomst verplicht blijft.
Een praktisch stappenplan voor de overgangsperiode omvat: het in kaart brengen welke verwerkingen momenteel plaatsvinden op US-cloudinfrastructuur, het beoordelen welke DPIA’s formeel zijn vereist onder huidig recht (en die niet uitstellen), het opzetten van een testomgeving voor soevereine alternatieven zodat migratierisico’s worden beperkt, en het afstemmen van het incidentmeldingsproces op zowel de AVG- als de NIS-2-termijnen.
FAQ
Wat is de Digital Omnibus en waarom is het relevant voor de AVG?
De Digital Omnibus (COM(2025) 837 final) is een voorstel van de Europese Commissie dat meerdere digitale verordeningen tegelijk wijzigt, waaronder de AVG (Verordening 2016/679). Het doel is administratieve vereenvoudiging, maar de wijzigingen raken ook kernverplichtingen zoals DPIA’s, meldplichten en de definitie van persoonsgegevens.
Worden DPIA’s minder verplicht onder de Digital Omnibus?
De Digital Omnibus stelt hogere drempels voor voordat een DPIA verplicht is, met name voor mkb-organisaties. Voor gereguleerde sectoren zoals overheid en juridische dienstverlening blijven bredere risicobeoordelingen aangewezen, ook als de formele verplichting wegvalt.
Wat houdt ‘report once, share many’ in en hoe verhoudt dit zich tot NIS-2?
Het principe betekent dat organisaties een incident slechts eenmaal hoeven te melden, waarna toezichthouders onderling informatie delen. NIS-2 kent eigen termijnen en drempels die hier niet automatisch mee worden gesynchroniseerd, waardoor dubbele naleving tijdelijk mogelijk blijft.
Biedt migratie naar Zwitserse of on-premise hosting voordelen onder de nieuwe regels?
Organisaties die verwerking buiten de jurisdictie van de US CLOUD Act houden en soevereine infrastructuur inzetten, verkleinen hun blootstelling aan extraterritoriale toegangsverzoeken. De Digital Omnibus verandert dit principe niet; soevereine opslag blijft een solide strategie ongeacht de uitkomst van de wetgevingsprocedure.
Wat zijn de voornaamste bezwaren van de EDPB en EDPS?
Zowel de EDPB (Joint Opinion 2/2026) als de EDPS waarschuwen dat hogere DPIA-drempels en brede vrijstellingen de risicogebaseerde aanpak van de AVG uithollen. Zij vrezen specifiek dat grootschalige cloudverwerking minder transparant en minder controleerbaar wordt als gevolg van de vereenvoudigingen.
