EU-Kommissionen vil lempe GDPR for første gang siden reglerne trådte i kraft i 2018. Forslaget hedder Digital Omnibus, blev fremlagt den 20. november 2025, og rammer især to ting danskerne møder hver dag: cookie-bannere og virksomheders oplysningspligt. Ifølge Kommissionens egne tal vil 50 procent af private hjemmesider og 80 procent af offentlige hjemmesider kunne droppe samtykke-bannerne helt. Men forslaget møder hård modstand fra privatlivsorganisationen noyb, som kalder det et forsøg på at “ødelægge kerneprincipperne i GDPR”.
For danske virksomheder, techfolk og almindelige brugere er dette den største ændring af databeskyttelsesreglerne siden GDPR’s indførelse. Vi gennemgår, hvad der faktisk står i forslaget, hvem der vinder og taber, og hvorfor Max Schrems og EU’s egne tilsynsmyndigheder advarer mod dele af pakken.
Hvad er EU’s Digital Omnibus?
Digital Omnibus er en samlet lovpakke, som ændrer flere digitale regelsæt på én gang: GDPR, ePrivacy-direktivet, Data Act og dele af AI-forordningen. Kommissionen fremlagde pakken den 20. november 2025 som led i en bredere indsats for at forenkle EU’s digitale regulering, især for små og mellemstore virksomheder. Det officielle mål er at reducere det, Kommissionen kalder “cookie-banner-træthed”, og at skabe bedre sammenhæng mellem GDPR og AI-forordningen, som i stigende grad overlapper hinanden i praksis.
Reformen er ikke en ny forordning fra bunden. Den ændrer i stedet konkrete artikler i den eksisterende GDPR-tekst. Det centrale greb er en ny artikel 88a, som flytter cookie-samtykke fra ePrivacy-direktivet ind i selve GDPR. Det lyder som en teknisk detalje, men betyder i praksis, at reglerne for sporing på nettet fremover styres af databeskyttelsesloven frem for den ældre og mere fragmenterede ePrivacy-ramme, som EU-landene har fortolket forskelligt siden 2002.
Tidslinjen: Fra forslag til lov
Digital Omnibus følger EU’s almindelige lovgivningsprocedure, hvor Rådet og Europa-Parlamentet skal forhandle forslaget igennem, før det bliver til lov. Datatilsynet i Danmark fulgte allerede sagen den 11. juni 2025, hvor myndigheden refererede til, at EDPB og EDPS var i gang med at forberede en fælles udtalelse om Kommissionens reformplaner. Selve forslaget kom som nævnt den 20. november 2025, og allerede to dage senere, den 22. november, offentliggjorde noyb sin første juridiske analyse af teksten.
I februar 2026 fulgte det næste store skridt: EDPB og EDPS udsendte deres fælles udtalelse, kaldet Joint Opinion 2/2026, hvor de to tilsynsorganer pegede på flere svagheder i teksten. Forhandlingerne i Rådet og Parlamentet er i skrivende stund i gang, og ifølge juridiske analyser fra blandt andet advokatfirmaet Taylor Wessing forventes selve vedtagelsen tidligst sent i 2026 eller i 2027. Når reglerne først er vedtaget, får virksomhederne dog ikke lov at vente længe: de nye cookie-regler i artikel 88a skal træde i kraft senest seks måneder efter, at forordningen formelt gælder.
Cookie-reglerne lægges om med ny artikel 88a
Den mest mærkbare ændring for almindelige brugere handler om cookie-bannere. I dag reguleres cookies af ePrivacy-direktivets artikel 5(3), som kræver aktivt samtykke, før en hjemmeside må gemme eller læse data på en brugers enhed, medmindre cookien er strengt nødvendig for tjenesten. Med Digital Omnibus flyttes denne regulering ind i GDPR som en ny artikel 88a, der dækker “behandling af personoplysninger på eller fra terminaludstyr”.
Advokatfirmaet Taylor Wessing beskrev i sin analyse fra den 19. november 2025, at artikel 88a dækker databehandling, der er nødvendig for overførsel af data, en tjeneste brugeren udtrykkeligt har bedt om, førstepartsmåling af publikum, eller sikkerheden for tjenesten og terminaludstyret. Alt andet kræver fortsat samtykke. Forskellen fra i dag er, at listen over undtagelser bliver bredere, og at kravene til, hvordan samtykke indhentes, strammes samtidig med, at flere formål undtages helt.
Ét klik til at sige nej: sådan ændres samtykke
Kommissionen vil gøre det lige så let at afvise cookies, som det er at acceptere dem. Forslaget kræver, at brugere kan sige nej til alle cookies med “ét klik”, og at hjemmesider skal respektere det valg i mindst seks måneder, før de må spørge igen om samme formål. I dag oplever mange brugere det modsatte: et stort, farverigt “Accepter alle”-felt og et lille, gråt “Administrer indstillinger”-link, der kræver flere klik at navigere igennem.
Et andet element i forslaget er centrale, brugerstyrede indstillinger. I stedet for at tage stilling til cookies på hver enkelt hjemmeside skal brugere kunne sætte deres præferencer ét sted, for eksempel i browseren eller styresystemet, og lade de indstillinger gælde på tværs af nettet. Det minder om browserbaserede signaler som Global Privacy Control, som allerede er lovpligtige flere steder i USA, men indtil nu ikke har haft samme juridiske vægt i EU.
50 procent af hjemmesider slipper for cookie-bannere
Kommissionens eget skøn er, at halvdelen af private hjemmesider og fire ud af fem offentlige hjemmesider ikke længere skal vise et cookie-banner overhovedet, fordi deres databehandling falder ind under de nye undtagelser eller den indsnævrede definition af personoplysninger. Tallet stammer fra Kommissionens egen konsekvensanalyse og er gengivet i flere uafhængige analyser, blandt andet fra tænketanken Bruegel.
Tabellen nedenfor viser de vigtigste ændringer fra det nuværende regelsæt til Digital Omnibus-forslaget.
| Aspekt | Nuværende regler | Digital Omnibus-forslag |
|---|---|---|
| Retsgrundlag | ePrivacy-direktivet, artikel 5(3) | Ny GDPR-artikel 88a |
| Afvisning af cookies | Ofte flere klik og undermenuer | Ét klik, ligestillet med at acceptere |
| Gyldighed af afvisning | Ikke fastsat i lov | Mindst 6 måneder |
| Undtagne formål | Kun strengt nødvendige cookies | + sikkerhed, førstepartsmåling, ønsket tjeneste |
| Centrale præferencer | Ikke reguleret på EU-niveau | Browser-/systemniveau indføres som mulighed |
| Medieudbydere | Omfattet af samme regler som andre | Undtaget fra pligten til at respektere automatiske signaler |
| Ikrafttræden | Gældende siden 2002 (ePrivacy) / 2018 (GDPR) | 6 måneder efter vedtagelse, ventet 2026-2027 |
Undtagelsen medierne fik: hvorfor dit nyhedssite stadig spørger
Der er én gruppe, der ikke behøver følge de nye centrale samtykke-signaler: medieudbydere. Ifølge en analyse fra Bruegel er nyheds- og medieudbydere friholdt fra pligten til at respektere automatiske, browserbaserede afvisninger og kan fortsat bruge deres egne, traditionelle bannere. Bruegel peger på, at denne brede undtagelse underminerer hele hensigten med reformen, nemlig at skabe et ensartet og brugercentreret samtykkesystem.
Begrundelsen fra Kommissionens side handler om annoncefinansierede mediers indtægter, som i høj grad afhænger af adfærdsbaseret annoncering. Men resultatet er, at brugere fortsat vil møde separate bannere på netaviser og nyhedssider, mens resten af nettet i teorien bliver renere for pop-ups. Det skaber en todelt oplevelse, hvor reformens gevinst for den enkelte bruger bliver mindre konsekvent, end tallene på 50 og 80 procent umiddelbart antyder.
SMV-lempelser: fra 250 til 750 ansatte
Den anden store ændring handler ikke om cookies, men om virksomheders administrative byrde. I dag er kun virksomheder med under 250 ansatte delvist fritaget for kravet om at føre fortegnelser over deres databehandling (artikel 30). Digital Omnibus udvider den grænse markant: fritagelsen skal fremover gælde såkaldte “small mid-caps” med op til 750 ansatte.
Det danske Datatilsynet bekræftede i sin opsummering fra den 11. juni 2025, at grænsen hæves til virksomheder med under 750 ansatte. Samtidig indfører forslaget en ny undtagelse fra artikel 13’s oplysningspligt: virksomheder, der ikke driver “datatung” forretning og har en klar, afgrænset relation til deres brugere, kan i visse tilfælde undgå at give fuld information om databehandlingen, hvis der er rimelig grund til at antage, at brugeren allerede kender de centrale oplysninger.
Kunstig intelligens og GDPR: nye undtagelser til AI-udvikling
Et af de mest omdiskuterede elementer i pakken handler om AI-udvikling. Forslaget tilføjer to nye undtagelser fra forbuddet mod at behandle særlige kategorier af personoplysninger, som blandt andet dækker biometriske og helbredsrelaterede data. Den ene undtagelse gælder biometrisk data brugt til at bekræfte identitet, når data og verifikationsmidler forbliver under brugerens egen kontrol. Den anden gælder “residual” behandling af følsomme data i forbindelse med udvikling og drift af AI-systemer, forudsat at virksomheden har passende tekniske og organisatoriske foranstaltninger til at undgå at indsamle særlige kategorier af data og til at fjerne dem, hvis de alligevel indsamles.
Michael McGrath, EU-kommissær for demokrati, retfærdighed, retsstaten og forbrugerbeskyttelse, har forklaret hensigten bag ændringen. Ifølge McGrath foreslår Kommissionen “at præcisere i GDPR, at organisationer kan basere sig på legitime interesser for at behandle personoplysninger til AI-relaterede formål, forudsat at de fuldt ud overholder alle eksisterende GDPR-sikkerhedsforanstaltninger” (iapp.org). Formålet er at gøre det lettere for europæiske AI-selskaber at træne modeller uden at bryde GDPR hver gang træningsdata indeholder følsomme oplysninger.
noyb og Max Schrems: “et tab-tab-forslag”
Den østrigske privatlivsorganisation noyb, grundlagt af Max Schrems, har været den skarpeste kritiker af reformen siden dag ét. I sin analyse fra den 19. november 2025 skrev noyb, at Kommissionen vil “ødelægge kerneprincipperne i GDPR”, og at de foreslåede lempelser primært gavner amerikanske techgiganter frem for de europæiske små og mellemstore virksomheder, reformen angiveligt er lavet for.
Max Schrems har selv formuleret kritikken direkte: “The Omnibus is not just on the wrong track for users, but also for most businesses. In many ways we have a ‘loose-loose’ proposal” (ppc.land). Schrems har desuden anfægtet Kommissionens egen fremstilling af forslaget og skrevet: “Contrary to the Commission’s official press release, these changes are not ‘maintaining the highest level of personal data protection’, but massively lower protections for Europeans” (noyb.eu).
Den europæiske forbrugerorganisation BEUC har i sin egen briefing peget på, at de reducerede oplysningskrav for SMV’er risikerer at udhule forbrugernes ret til at forstå, hvordan deres data bliver brugt. Kritikken går altså ikke kun på principper, men på konkrete, målbare rettigheder, som brugere i dag kan påberåbe sig.
EDPB og EDPS’s fælles advarsel
Kritikken kommer ikke kun fra civilsamfundet. I februar 2026 offentliggjorde Det Europæiske Databeskyttelsesråd (EDPB) og Den Europæiske Tilsynsførende for Databeskyttelse (EDPS) deres fælles udtalelse, Joint Opinion 2/2026. De to organer, som normalt vejleder Kommissionen frem for at modarbejde den, udtrykte bekymring for, at flere af de nye undtagelser går for vidt.
Konkret anbefalede EDPB og EDPS, at “the proposed amendments to the concept of personal data are removed from the Proposal” (sealmetrics.com). Samtidig understregede de to myndigheder, at de grundlæggende bakker op om selve ideen med reformen: “The EDPB and the EDPS strongly support the objective of providing for a regulatory solution to address consent fatigue and the proliferation of cookie banners” (sealmetrics.com). Det er en vigtig nuance: EU’s egne tilsynsmyndigheder er ikke imod forenkling som sådan, men mener, at den konkrete udformning af den indsnævrede definition af personoplysninger går for langt.
Dansk og nordisk reaktion: Datatilsynet følger med
Herhjemme har Datatilsynet fulgt processen tæt, men uden endnu at offentliggøre en selvstændig dansk holdning ud over de fælles EU-udtalelser. Myndighedens internationale nyhedsnotat fra den 11. juni 2025 opsummerede kernen i forslaget, herunder udvidelsen af undtagelsen for journalføringspligten til virksomheder med under 750 ansatte, og henviste til det forestående arbejde i EDPB og EDPS.
Den nordiske reaktion har generelt fulgt samme mønster: de nationale tilsynsmyndigheder deltager i EDPB’s fælles arbejde frem for at melde selvstændigt ud. Det betyder, at danske og nordiske virksomheder indtil videre må orientere sig efter de fælleseuropæiske signaler, herunder EDPB og EDPS’s advarsler om den indsnævrede definition af personoplysninger, frem for en klar national linje. For danske SMV’er med mellem 250 og 750 ansatte er det værd at holde øje med, fordi netop denne gruppe potentielt slipper for en del af den nuværende journalføringsbyrde, hvis forslaget vedtages i sin nuværende form.
Historisk kontekst: GDPR’s udvikling fra 2018 til 2026
GDPR trådte i kraft den 25. maj 2018 og blev dengang fremstillet som verdens strengeste databeskyttelseslov. I de otte år siden har forordningen ført til tusindvis af bøder på tværs af EU, fra mindre lokale sager til milliardbøder mod globale techselskaber. Reglerne har samtidig aldrig gennemgået en større revision, kun mindre justeringer og et voksende bjerg af vejledninger fra EDPB.
Digital Omnibus er derfor den første egentlige revision af selve lovteksten siden 2018. Det gør reformen historisk uanset udfaldet, fordi den sætter præcedens for, at GDPR kan og vil blive ændret igen i takt med, at ny teknologi som AI presser på. Tabellen nedenfor sætter reformen i perspektiv i forhold til andre centrale milepæle i GDPR’s historie.
| Dato | Begivenhed | Betydning |
|---|---|---|
| 25. maj 2018 | GDPR træder i kraft | Fælles EU-regelsæt for databeskyttelse erstatter nationale love |
| 2018-2025 | Løbende håndhævelse og bøder | Ingen ændringer i selve lovteksten, kun vejledninger og domme |
| 11. juni 2025 | Datatilsynet omtaler kommende reform | Første danske signal om Digital Omnibus |
| 20. november 2025 | Kommissionen fremlægger Digital Omnibus | Første store revision af GDPR-teksten siden 2018 |
| 19.-22. november 2025 | noyb offentliggør kritik og juridisk analyse | Civilsamfundet mobiliserer modstand |
| Februar 2026 | EDPB/EDPS Joint Opinion 2/2026 | EU’s egne tilsynsmyndigheder anbefaler ændringer |
| 2026-2027 (ventet) | Vedtagelse efter trilog-forhandlinger | Cookie-regler træder i kraft 6 måneder efter |
Markedspåvirkning: hvad betyder det for techindustrien
For virksomheder, der bygger på annoncefinansierede forretningsmodeller, er reformen på papiret gode nyheder. Færre cookie-bannere kan betyde højere konverteringsrater, fordi brugere ikke forlader sider midt i en samtykke-dialog. Analytics- og martech-selskaber, der i dag bruger store ressourcer på samtykke-styring, kan potentielt spare compliance-omkostninger, hvis deres databehandling falder inden for de nye undtagelser for sikkerhed og førstepartsmåling.
Omvendt rammer reformen brancher, der lever af at sælge samtykke-styringsværktøjer (CMP-udbydere), fordi markedet for komplekse bannerløsninger kan skrumpe, hvis færre sider overhovedet skal vise dem. AI-selskaber står til at vinde mest på de nye undtagelser for særlige kategorier af data, fordi det bliver lettere at retfærdiggøre brug af følsomme træningsdata under kontrollerede vilkår. Samtidig advarer noyb om, at netop denne fleksibilitet primært vil blive udnyttet af store, ressourcestærke amerikanske AI-selskaber, som har juridiske afdelinger til at navigere i undtagelserne, mens mindre europæiske startups fortsat kæmper med usikkerhed om, hvornår de rent faktisk er omfattet.
Konkurrerende syn: forenkling versus rettighedstab
Debatten om Digital Omnibus koger i bund og grund ned til en interessekonflikt mellem to legitime mål: at reducere administrativ byrde og bevare stærk databeskyttelse. Kommissionen argumenterer for, at nuværende regler rammer skævt, fordi de pålægger små virksomheder næsten samme byrde som store koncerner, mens brugerne samtidig drukner i bannere, de ikke reelt forstår eller læser.
noyb, BEUC og dele af EDPB/EDPS peger til gengæld på, at “forenkling” i praksis betyder færre rettigheder, fordi den indsnævrede definition af personoplysninger og de bredere undtagelser flytter magtbalancen væk fra brugeren. Bruegel har i sin analyse fra 2026 spurgt, om de projekterede 50 og 80 procent reelt vil give brugerne mere kontrol, eller om det blot flytter sporing over i kategorier, der ikke længere kræver samtykke, hvilket i praksis kan betyde mere “stille” sporing frem for mindre sporing.
Fem forudsigelser for GDPR-reformens fremtid
På baggrund af tidslinjen og de involverede parters positioner er der nogle sandsynlige udviklinger at holde øje med i de kommende måneder:
- Trilog-forhandlingerne trækker ud. Med EDPB og EDPS’s kritiske udtalelse fra februar 2026 og noyb’s vedvarende pres er det sandsynligt, at Parlamentet kræver ændringer til definitionen af personoplysninger, før teksten kan vedtages.
- Medieundtagelsen bliver et forhandlingskort. Den brede undtagelse for medieudbydere vil sandsynligvis blive et af de mest omstridte punkter i de videre forhandlinger, fordi den skaber en ulige spilleplade mellem medier og andre brancher.
- SMV-grænsen på 750 ansatte kan blive justeret. Kritikken af, at grænsen reelt gavner større selskaber, kan føre til en lavere grænse eller strammere kriterier for, hvad der tæller som “ikke-datatung” virksomhed.
- AI-undtagelserne bliver testet i retten. Når reglerne først er vedtaget, er det sandsynligt, at de nye undtagelser for AI-træningsdata bliver genstand for de første retssager, særligt fra organisationer som noyb, der allerede har en stærk track record med GDPR-klager.
- Vedtagelse tidligst i 2027. Givet kompleksiteten og antallet af berørte artikler er det mere realistisk, at den endelige tekst først er på plads i løbet af 2027, med ikrafttræden for cookie-reglerne et halvt år senere.
Hvad bør danske virksomheder gøre nu?
Selvom reformen endnu ikke er vedtaget, er der god grund til at følge processen tæt allerede nu. Virksomheder med mellem 250 og 750 ansatte bør holde øje med, om de fremtidigt kan lette deres journalføring, men bør ikke ændre nuværende compliance-praksis, før reglerne rent faktisk træder i kraft. Selskaber, der bruger tredjeparts-cookies til annoncering, bør følge forhandlingerne om artikel 88a nøje, fordi den endelige liste over undtagne formål kan ændre sig markant fra det nuværende udkast.
For AI-selskaber, der behandler følsomme data i træningsøjemed, er det værd at dokumentere allerede nu, hvilke tekniske og organisatoriske foranstaltninger man har på plads for at undgå og fjerne særlige kategorier af data, da det bliver en forudsætning for at kunne bruge den kommende undtagelse. Datatilsynet opdaterer løbende sin internationale nyhedsside med status på forhandlingerne, og det er her, danske virksomheder bedst kan følge udviklingen mellem de store EU-udtalelser.
Ofte stillede spørgsmål om Digital Omnibus og GDPR-reformen
Hvad er EU’s Digital Omnibus?
Digital Omnibus er en lovpakke fra Europa-Kommissionen, fremlagt den 20. november 2025, som ændrer GDPR, ePrivacy-direktivet, Data Act og dele af AI-forordningen for at forenkle reglerne, især for små og mellemstore virksomheder.
Hvornår træder de nye GDPR-regler i kraft?
Forslaget skal først vedtages gennem trilog-forhandlinger mellem Kommissionen, Rådet og Parlamentet. Juridiske analyser peger på en vedtagelse sent i 2026 eller i 2027, hvorefter cookie-reglerne i artikel 88a træder i kraft seks måneder senere.
Forsvinder cookie-bannere helt?
Nej. Kommissionen skønner, at 50 procent af private og 80 procent af offentlige hjemmesider slipper for bannere, fordi deres databehandling falder ind under de nye undtagelser. Medieudbydere er specifikt undtaget fra reglen om automatiske samtykke-signaler og kan fortsætte med egne bannere.
Hvilke virksomheder får lempet deres GDPR-krav?
Virksomheder med op til 750 ansatte, kaldet “small mid-caps” i forslaget, får en udvidet fritagelse fra kravet om at føre fortegnelser over databehandling. I dag gælder fritagelsen kun virksomheder med under 250 ansatte.
Hvorfor kritiserer noyb og Max Schrems forslaget?
noyb mener, at de udvidede undtagelser primært gavner store, ressourcestærke selskaber, herunder amerikanske techgiganter, mens de svækker almindelige brugeres kontrol over egne data. Organisationen har kaldt dele af forslaget et forsøg på at underminere GDPR’s kerneprincipper.
Hvad siger EU’s egne tilsynsmyndigheder?
EDPB og EDPS støtter i deres fælles udtalelse fra februar 2026 målet om at reducere samtykke-træthed, men anbefaler samtidig, at de foreslåede ændringer til definitionen af personoplysninger fjernes fra forslaget, fordi de vurderes at gå for vidt.
Hvad betyder reformen for AI-selskaber?
Forslaget indfører to nye undtagelser fra forbuddet mod at behandle særlige kategorier af data: én for biometrisk identitetsbekræftelse under brugerens egen kontrol, og én for begrænset brug af følsomme data i udvikling og drift af AI-systemer, forudsat at der er tekniske og organisatoriske sikkerhedsforanstaltninger på plads.
Hvad siger det danske Datatilsynet om forslaget?
Datatilsynet har fulgt processen siden juni 2025 og opsummeret de centrale ændringer, herunder den udvidede SMV-fritagelse, men har endnu ikke offentliggjort en selvstændig national holdning ud over de fælleseuropæiske udtalelser fra EDPB og EDPS.
