Vers van de bakplaat: Digital Omnibus en cookies

25/06/2026: Elke onderneming die werkt met cookies en vergelijkbare technieken heeft te maken met zowel de AVG als de ePrivacyrichtlijn en alle nationale implementaties daarvan. De Digital Omnibus stelt voor om cookies en vergelijkbare technieken waarbij persoonsgegevens worden verwerkt, uitsluitend onder de AVG te brengen. De Digital Omnibus, geïntroduceerd door de Europese Commissie op 19 november 2025, is een breed wetgevingspakket dat verschillende digitale EU-wetten zou wijzigen, waaronder de AVG, de ePrivacyrichtlijn, de Dataverordening en de NIS2-richtlijn. Het doel is om het steeds complexere digitale regelgevingskader van de EU te vereenvoudigen. 

Deze blog maakt deel uit van een reeks over de voorstellen uit het Digital Omnibus-pakket van de Europese Commissie. In een eerdere blog bespraken we de visie van de Omnibus op één centraal portaal voor incidentmeldingen. In deze blog richten we ons op het voorstel om alle cookies en vergelijkbare trackingtechnologieën waarbij persoonsgegevens worden verwerkt onder het uniforme kader van de AVG te brengen, inclusief de introductie van geautomatiseerde, machine-readable mechanismen voor het vastleggen en communiceren van voorkeuren van betrokkenen. 

Het voorstel van de Europese Commissie 

Sinds mei 2018 zijn cookietoestemmingsbanners een voortdurende bron van frustratie geworden voor internetgebruikers. Als je tegenwoordig een website wil bezoeken, betekent dat elke keer een pop-up doorlopen, door verschillende keuzelagen klikken en dit proces bij elk volgend bezoek herhalen. Gebruikers zijn vermoeid, bedrijven dragen aanzienlijke nalevingskosten en de privacykeuzes die worden aangeboden zijn vaak allesbehalve betekenisvol. Uiteindelijk hebben maar weinig mensen de tijd of de behoefte om de uitgebreide juridische teksten te lezen die doorgaans bij deze banners horen.  

De Europese Commissie heeft dit probleem gezien en erkend en wil het aanpakken door de regels voor cookies en vergelijkbare trackingtechnologieën te wijzigen. De voorgestelde veranderingen moeten minder ingrijpende vormen van tracking stimuleren, het verzamelen van first-party data vooropstellen en strikte toestemmingsvereisten reserveren voor meer ingrijpende trackingpraktijken. In de praktijk zou dit moeten leiden tot een aanzienlijke vermindering van onnodige cookiebanners, terwijl gebruikers eenvoudiger en betekenisvoller controle krijgen over hun privacy. 

Dit past duidelijk binnen een bredere verschuiving in het EU-beleid: van persoonlijke tracking naar dataminimalisatie en van profilering naar contextuele inzichten. 

Het gezamenlijke advies van de EDPB en EDPS ondersteunt in grote lijnen het doel van vereenvoudiging en harmonisatie tussen de AVG en de ePrivacyrichtlijn. Zij hebben echter zorgen dat vereenvoudiging kan leiden tot een lager beschermingsniveau van fundamentele rechten. De ePrivacyrichtlijn is verbonden met de fundamentele rechten op de bescherming van iemands persoonlijke levenssfeer en vertrouwelijkheid van communicatie. De AVG heeft een beperktere reikwijdte en richt zich uitsluitend op persoonsgegevens. Dit betekent dat de ePrivacyrichtlijn niet alleen persoonsgegevens beschermt, maar ook de apparatuur van de gebruiker en de privésfeer. Door de regulering van cookies naar de AVG te verplaatsen, kan het risico ontstaan dat deze bredere beschermingslogica verloren gaat. 

Zij stellen voor om de reikwijdte van de voorgestelde wijzigingen te behouden voor zowel cookies als vergelijkbare technieken, zodat de cookieregels breed toepasbaar blijven. Ook maken zij zich zorgen dat de voorgestelde wijzigingen de toestemmingsvereisten voor tracking kunnen verzwakken, ook al is vereenvoudiging het doel. 

Kort gezegd stellen de EDPB en EDPS dat het vereenvoudigen van de regels rond cookies en tracking waar nodig een goed idee is, maar dat vereenvoudiging niet mag worden gebruikt om toestemming te verzwakken, de reikwijdte te beperken of de fundamentele privacybescherming van het ePrivacy-kader uit te hollen. 

Praktische voorgestelde wijzigingen 

De Europese Commissie stelt twee belangrijke wijzigingen voor: 

1. Minder overlappende regels 
   1. Cookies en vergelijkbare technieken met een persoonsgegevensaspect worden uitsluitend onder de AVG behandeld. 
2. De manier waarop toestemming wordt gegeven 
   1. Voorkeuren op browser- en apparaat niveau 
      1. Dit betekent dat je je voorkeuren slechts één keer in je browser en/of apparaat hoeft in te stellen en dat websites deze respecteren. 
3. Machinereadable signalen 
   1. Voorkeuren worden automatisch met websites gedeeld, waardoor je niet meerdere keren hoeft te klikken. 
4. Minder frequente toestemmingsverzoeken 
   1. Als je ‘nee’ zegt, mag de website zes maanden lang niet opnieuw om toestemming vragen. 

Met het bovenstaande voorstel zullen cookiebanners niet volledig verdwijnen, maar wel aanzienlijk afnemen.  

Daarnaast worden de categorieën cookies en vergelijkbare technieken die je zonder toestemming kunt gebruiken uitgebreid: 

• Functionele cookies blijven toegestaan 
• Beveiligingsfuncties 
• Basisanalyses met first-party analytics voor publieksmeting zijn mogelijk, als: 
  • het uitsluitend first-party is 
    • hoeveel mensen een pagina hebben bezocht 
    • welke pagina’s populair zijn 
    • hoe lang gebruikers blijven globale verkeersbronnen  
      • de data geaggregeerd is
      • de data alleen intern wordt gebruikt 
      • er geen tracking over verschillende diensten heen plaatsvindt 

Voor advertentietracking, cross-site tracking en gepersonaliseerde profilering moet nog steeds toestemming worden gevraagd. Voor die doeleinden blijven cookiebanners dus bestaan. 

Vooruitblik 

Omdat de meeste EU-organen vinden dat er iets moet veranderen, lijkt toekomstige verandering onvermijdelijk. Maar wat kun je als organisatie nu al doen om je voor te bereiden? 

• Denk na over je analytics-instellingen: kun je de data nu al aggregeren of anonimiseren? 

• Kijk naar de derde partijen die je gebruikt en bepaal of je daarmee wilt doorgaan of dat je kunt overstappen op first-party informatie. 

• Zijn je analytics verweven met advertising? Begin dan met het scheiden daarvan. 

• Bepaal welk type tracking voldoende is voor je bedrijf. Heb je gedetailleerde tracking op persoonsniveau nodig, of kun je volstaan met minder ingrijpende publieksmeting? 

Bij Considerati volgen we het wetgevingsproces nauwgezet en delen we updates zodra er ontwikkelingen zijn. Als je vragen hebt over hoe de Digital Omnibus invloed kan hebben op het cookiebeleid van jouw organisatie, of over het pakket in bredere zin, plannen we graag een kennismakingsgesprek.