Met de Digitale Omnibus wil de Europese Commissie digitale regels eenvoudiger maken en de administratieve lasten voor bedrijven en organisaties verlagen. Het raakt ook overheidsorganisaties raakt: zij beheren immers websites, verwerken persoonsgegevens en melden datalekken. Op 21 oktober stelden de lidstaten hun onderhandelingspositie vast. Het Europees Parlement bepaalt naar verwachting in maart zijn standpunt. Daarna kunnen de trilogen beginnen.
Kabinet stemt in met Europees compromis over Digitale Omnibus
Het kabinet steunt het compromis van de EU-lidstaten over de Omnibus Digitaal. Dat Europese pakket moet onder meer de AVG, de cookieregels en de meldplicht voor cyberincidenten vereenvoudigen. Volgens staatssecretarissen Aerdts (EZK) en Van Bruggen (JenV) is het compromis "voldoende in lijn" met de Nederlandse inzet. Ook zouden de doelen van de wetgeving en de bescherming van grondrechten overeind blijven.
AI en privacy
Nederland was vooral kritisch op de voorgestellen wijzigingen in de AVG. Een deel van die bezwaren is binnengehaald. De nieuwe, ruimere definitie van persoonsgegevens is geschrapt. Ook mag de Commissie niet zelf gaan bepalen wanneer iets een persoonsgegeven is.
Nederland wilde ook artikel 88bis schrappen, maar daarvoor was te weinig steun. Daarin staat dat organisaties persoonsgegevens mogen gebruiken voor AI op basis van "gerechtvaardigd belang", dus zonder toestemming van betrokkenen. Het artikel is wel aangescherpt. De gewone driestappentoets blijft volledig gelden. AI ontwikkelen is op zichzelf geen gerechtvaardigd belang; elk geval moet apart worden beoordeeld. Zo voert het kabinet volgens eigen zeggen de motie-Kathmann/Dassen uit. Eén Nederlandse wens kwam er niet in: dat lidstaten toestemming kunnen eisen, staat alleen in de toelichting en niet in het artikel zelf.
De driestappentoets
Een organisatie mag zich alleen op gerechtvaardigd belang beroepen als ze drie vragen met ja kan beantwoorden:
- Belang: heeft de organisatie een rechtmatig, concreet en actueel belang?
- Noodzaak: is het verwerken van persoonsgegevens echt nodig voor dat belang, of kan het ook met minder of zonder persoonsgegevens?
- Belangenafweging: weegt dat belang zwaarder dan de privacy en grondrechten van de mensen om wie het gaat?
Gevoelige gegevens
Ook een andere AI-regel blijft. Komen gevoelige gegevens, zoals gegevens over gezondheid, geloof of seksuele geaardheid, per ongeluk in trainingsdata terecht, dan is een bedrijf niet meteen in overtreding. Nederland wilde deze regel schrappen, maar kreeg daarvoor te weinig steun. De voorwaarden zijn wel strenger geworden. Het moet gaan om toevallige en onbedoelde verwerking. Bedrijven moeten zulke gegevens zo veel mogelijk wegfilteren. Bewaren mag alleen als verwijderen "duidelijk onevenredig veel moeite" kost.
Overige AVG-punten
Ook op andere punten is het compromis meer in lijn gebracht met de kabinetsinzet, schrijft de staatssecretaris.
- Geautomatiseerde besluitvorming: het recht van burgers om niet alleen door een computer beoordeeld te worden blijft overeind.
- Inzageverzoeken: een verzoek mag alleen worden geweigerd bij een "abusive intention", dus alleen als iemand het inzagerecht bewust misbruikt.
- Wetenschappelijk onderzoek: de definitie is aangescherpt met objectieve criteria, zoals methodologie, ethiek en onafhankelijkheid.
- Pseudonimisering: het nieuwe artikel blijft, maar sluit nu aan bij de rechtspraak van het Hof van Justitie.
Eén klik tegen tracking
Websites moeten het mogelijk maken om tracking met één klik goed te keuren of te weigeren. Daarna mogen ze vier maanden niet opnieuw om toestemming vragen. Dat betekent minder cookiebanners en geen misleidende keuzeschermen. Automatisch weigeren via de browser, wat Nederland steunde, haalde het niet. Wel komen er meer uitzonderingen op de toestemmingsplicht, onder meer voor anonieme bezoekersmetingen en contextuele advertenties.
Melden blijft nationaal
Er komt geen Europees meldpunt voor cyberincidenten, zoals de Commissie wilde, maar een Europees informatiepunt. Organisaties blijven incidenten melden in hun eigen land. Wel moet elke lidstaat een nationaal centraal meldpunt inrichten. Landen mogen zelf bepalen hoe ze dat doen, zodat het aansluit bij hun bestaande systeem. Het kabinet, dat zorgen had over een Europees meldpunt, is tevreden met deze uitkomst.
Data en platforms
De bescherming van bedrijfsgeheimen in de Dataverordening wordt sterker, vooral tegen lekken naar landen buiten de EU. De P2B-verordening, die ondernemers op online platforms beschermt, wordt niet helemaal geschrapt; de belangrijkste onderdelen blijven.
Hoe verder?
Het Raadsstandpunt is nog geen geldend recht. De Raad onderhandelt met het Europees Parlement zodra dat zijn positie heeft vastgesteld, met als doel de vereenvoudigingspakketten eind 2027 af te ronden. Het is wel verstandig om nu alvast in kaart te brengen welke cookies de websites gebruiken en hoe de meldprocessen voor datalekken en cyberincidenten lopen.
Bron: Europa Decentraal
Plaats een reactie
U moet ingelogd zijn om een reactie te kunnen plaatsen.