Digital Omnibus: hva betyr Rådets mandat for KI-trening, cookies og avviksmelding?

De faste representanters komité i Rådet (Coreper) avtalte 21. oktober 2026 Rådets forhandlingsmandat for Kommisjonens forslag til Digital Omnibus, COM(2025) 837 av 19. november 2025. Mandatteksten er gjengitt i rådsdokument ST 14756/26 av 22. oktober 2026 og endrer blant annet personvernforordningen (GDPR), e-personverndirektivet og NIS2-direktivet. På flere punkter går Rådet bort fra Kommisjonens forslag, særlig om definisjonen av personopplysninger og om hvor reglene om informasjonskapsler skal stå. Artikkelen gjør rede for hva mandatet innebærer, hvor Rådet skiller lag med Kommisjonen, hvordan prosessen videre ser ut, og hva norske virksomheter bør gjøre i mellomtiden.

Hva er Rådets mandat for Digital Omnibus, og er noe vedtatt?

Mandatet er Rådets utgangspunkt for forhandlingene med Europaparlamentet og er ikke vedtatt lov. Det ble avtalt av medlemsstatenes faste representanter og ikke av et ministerråd, og det binder ingen virksomheter. Ifølge Legislative Observatory har Europaparlamentet ennå ikke vedtatt sin posisjon. Per 24. oktober 2026 er verken komitéavstemning i ITRE og LIBE eller plenumsvedtak registrert. Rådets pressemelding opplyser at formannskapet starter trilogforhandlinger når Parlamentet har vedtatt sin posisjon.

Det endelige regelverket kan derfor avvike både fra Kommisjonens forslag og fra Rådets mandat. Det er heller ikke avklart om, og i tilfelle hvordan, endringene skal innlemmes i EØS-avtalen. Gjeldende personvernforordning, personopplysningsloven og ekomloven gjelder fullt ut i Norge inntil videre.

Hvor avviker Rådet fra Kommisjonens forslag?

Tabellen sammenfatter hovedpunktene. Henvisningene til Rådets tekst gjelder mandatet i ST 14756/26.

Beholdes definisjonen av personopplysninger?

Rådet har strøket hele Kommisjonens tillegg til GDPR art. 4 nr. 1. Kommisjonen foreslo at opplysninger ikke skulle være personopplysninger for en aktør som ikke kan identifisere personen med midler som med rimelighet kan tas i bruk, selv om en annen aktør kan det. Rådet beholder dagens definisjon og har også strøket det tilhørende fortalepunktet. Datatilsynet sluttet seg 12. februar 2026 til EDPBs og EDPS’ felles uttalelse om forslaget og uttrykte bekymring nettopp for en innskrenking av personopplysningsbegrepet.

Rådet regulerer i stedet spørsmålet i en ny GDPR art. 25a om pseudonymisering. Etter nr. 2 skal pseudonymiserte data ikke anses som personopplysninger for en tredjepart som ikke kan identifisere den registrerte. Videreformidles dataene til en tredjepart som har eller kan skaffe seg midler til identifikasjon, er det behandling av personopplysninger både for avsender og mottaker (nr. 3). For databehandleren er dataene alltid personopplysninger (nr. 4). EDPB skal avgi uttalelse om pseudonymisering og anonymisering, og Kommisjonens gjennomføringsakter er strøket.

Resultatet ligger etter vår vurdering nær den relative vurderingen EU-domstolen allerede har gitt anvisning på, men forankret i en egen bestemmelse og ikke i selve definisjonen. Interesseorganisasjonen noyb vurderer art. 25a annerledes og mener at medlemsstatene i realiteten innsnevrer definisjonen gjennom reglene om pseudonymer. Det er en partsvurdering. Hvordan anonymisering skal vurderes etter gjeldende rett, er omtalt i artikkelen om EDPBs retningslinjer om anonymisering.

Kan KI-trening bygge på berettiget interesse etter Digital Omnibus?

Rådet beholder Kommisjonens bestemmelse om KI, men i omarbeidet form som GDPR art. 88 bis. Etter nr. 1 kan behandling av personopplysninger ved utvikling og drift av et KI-system eller en KI-modell skje for en berettiget interesse hos den behandlingsansvarlige eller en tredjepart i samsvar med GDPR art. 6 nr. 1 bokstav f. Nr. 2 presiserer at bestemmelsen ikke endrer plikten til å velge riktig behandlingsgrunnlag, og nr. 3 krever tekniske og organisatoriske tiltak og garantier, herunder innsigelsesretten etter GDPR art. 21. Kommisjonens liste over særlige garantier og den ubetingede innsigelsesretten er strøket.

Etter vår vurdering endrer art. 88 bis ikke kravene til nødvendighet og interesseavveining, fordi bestemmelsen viser til art. 6 nr. 1 bokstav f og dermed til vilkårene der. Bestemmelsen avklarer at KI-utvikling kan være en berettiget interesse, noe EDPB allerede har lagt til grunn i Opinion 28/2024. noyb omtaler bestemmelsen som en «digital ekspropriasjon» av europeere til fordel for KI-selskaper. Også dette er en partsvurdering, og noybs påstand om at Rådet har lagt inn en henvisning til art. 24, har vi ikke funnet igjen ved artikkelnummer i mandatteksten.

For særlige kategorier av personopplysninger har Rådet snevret inn Kommisjonens nye unntak i GDPR art. 9 nr. 2 bokstav k. Unntaket gjelder bare tilfeldig behandling av restdata som den behandlingsansvarlige ikke har tilsiktet. Etter ny art. 9 nr. 5 skal slike data slettes uten ugrunnet opphold når de oppdages, og dersom sletting er teknisk umulig eller krever uforholdsmessig innsats, skal de beskyttes mot videre bruk, bruk i output og utlevering. Kravene til tilbydere av allmenne KI-modeller følger fortsatt av KI-forordningen, se allmenne KI-modeller. Spørsmålet om hvilket grunnlag som gjelder for treningsdata som skifter eier, er behandlet i artikkelen om treningsdata ved konkurs.

Hva endres for avviksmelding og DPIA?

Rådet støtter at bare brudd som sannsynligvis medfører høy risiko, skal meldes til tilsynsmyndigheten, og at fristen utvides fra 72 til 96 timer i GDPR art. 33 nr. 1. Meldingen skal skje med støtte fra et nasjonalt meldepunkt etter en ny art. 23b i NIS2-direktivet, og ikke gjennom det felles EU-meldepunktet Kommisjonen foreslo. Til meldepunktet er etablert, meldes det direkte til tilsynsmyndigheten. EDPB skal innen ni måneder fra anvendelsesdatoen offentliggjøre lister over når et brudd sannsynligvis medfører høy risiko og når det ikke gjør det. Endringene i art. 33 skal etter mandatet gjelde 18 måneder etter ikrafttredelse, og plikten til å melde via nasjonalt meldepunkt etter 30 måneder.

Dagens regler er omtalt i artikkelen om brudd på personopplysningssikkerheten. En høyere meldeterskel fjerner ikke plikten til å dokumentere alle brudd etter GDPR art. 33 nr. 5, som ikke er foreslått endret på dette punktet.

For vurderinger av personvernkonsekvenser (DPIA) skal EDPB selv fastsette og offentliggjøre felles EU-lister over behandlinger som krever og ikke krever DPIA, jf. Rådets GDPR art. 35 nr. 4 og 5. Kommisjonen skal vedta felles mal og metodikk etter forslag fra EDPB, og de nasjonale listene gjelder til EDPBs lister foreligger. Hvordan DPIA gjøres i dag, er beskrevet i artikkelen om DPIA for KI-verktøy.

Hva skjer med informasjonskapsler etter Rådets mandat?

Rådet har strøket Kommisjonens forslag om å flytte reglene om informasjonskapsler til GDPR art. 88a og 88b, og dermed også plikten for nettleserleverandører til å støtte maskinlesbare signaler for samtykke og avslag. Reglene skal fortsatt stå i e-personverndirektivet art. 5 nr. 3, som Rådet skriver om i sin helhet. Hovedregelen er fortsatt samtykke etter GDPR-standarden.

Samtykke kreves ikke når lagring eller tilgang utelukkende gjelder og er strengt nødvendig for et av seks formål. Formålene er overføring av kommunikasjon, en tjeneste brukeren uttrykkelig har bedt om, anonym og aggregert publikumsmåling av egen tjeneste, publikumsmåling etter medieforordningen art. 24, teknisk sikkerhet og måling av kontekstuell annonsering uten profilering og uten behandling av personopplysninger. Brukeren skal kunne avslå med én knapp eller tilsvarende, og etter et avslag kan ny forespørsel tidligst stilles etter fire måneder. Medlemsstatene skal utpeke GDPR-tilsynsmyndigheten som tilsyn for bestemmelsen.

Fordi reglene blir stående i et direktiv, må de gjennomføres i nasjonal rett innen 24 måneder etter vedtakelsen. I Norge vil det etter vår vurdering skje ved endring av ekomloven § 3-15, forutsatt at endringene innlemmes i EØS-avtalen. Gjeldende krav er omtalt i artikkelen om informasjonskapsler og samtykke.

Hva foreslår Rådet om innsyn, informasjonsplikt og automatiserte avgjørelser?

Rådet strammer inn Kommisjonens forslag om å kunne avvise innsynskrav som misbrukes. Etter Rådets GDPR art. 12 nr. 5 kan et krav etter art. 15 avvises eller gebyrbelegges bare når det kan påvises en misbrukshensikt hos den registrerte. Den behandlingsansvarlige har bevisbyrden, avslaget skal begrunnes, og gebyret skal stå i forhold til de administrative kostnadene.

Unntaket fra informasjonsplikten i ny GDPR art. 13 nr. 5 er snevrere enn i Kommisjonens forslag. Det gjelder bare der det er rimelig grunn til å tro at den registrerte allerede kjenner den behandlingsansvarliges identitet og formålet, og behandlingen sannsynligvis ikke medfører høy risiko. For automatiserte avgjørelser gjeninnfører Rådet formuleringen i GDPR art. 22 som en rett for den registrerte, og beholder kravene om menneskelig inngripen og retten til å bestride avgjørelsen.

Når kan endringene tre i kraft?

Ingen av endringene kan tre i kraft før Parlamentet og Rådet er enige om en felles tekst og forordningen og direktivendringene er formelt vedtatt. Rådet viser til veikartet «One Europe, One Market» av 24. april 2026, som har som mål å avslutte alle forenklingspakkene innen utgangen av 2027. Den delen av Omnibus VII som gjelder KI-forordningen, ble vedtatt 29. juni 2026 og er en separat rettsakt.

Etter Rådets mandat trer forordningen i kraft tredje dag etter kunngjøring i EU-tidende. Endringene i art. 33 skal gjelde etter 18 måneder, meldepunktsplikten etter 30 måneder, og e-personverndirektivets nye art. 5 nr. 3 må gjennomføres nasjonalt innen 24 måneder. Med et vedtak tidligst i 2027 vil de praktisk viktigste endringene derfor neppe få virkning før i 2028 eller senere.

Gjelder Digital Omnibus i Norge?

Digital Omnibus gjelder ikke i Norge før endringene eventuelt er innlemmet i EØS-avtalen og gjennomført i norsk rett. Kommisjonens forslag er ikke merket som EØS-relevant. Stortingets EU/EØS-nytt påpeker likevel at flere av rettsaktene som endres, herunder GDPR, allerede er innlemmet i avtalen. Etter vår vurdering er det lite sannsynlig at Norge vil stå utenfor endringer i GDPR når forordningen selv er en del av EØS-avtalen, men spørsmålet er ikke avklart. Vi har ikke funnet at regjeringen har gitt uttrykk for en posisjon til Rådets mandat. Gjeldende rett er samlet på pilarsiden om personvern.

Hva bør norske virksomheter gjøre nå?

Mandatet gir ikke grunnlag for å endre etterlevelsen i dag. Det viser likevel hvilke endringer som er mest sannsynlige, og enkelte forberedelser er derfor fornuftige allerede nå.

1. Behold 72-timersfristen og dagens meldeterskel i avviksrutinene, og dokumenter fortsatt alle brudd.
2. Gjennomgå behandlingsgrunnlaget for KI-utvikling og KI-drift etter gjeldende GDPR art. 6 nr. 1 bokstav f og EDPBs Opinion 28/2024, med skriftlig interesseavveining.
3. Kartlegg om treningsdata kan inneholde særlige kategorier av personopplysninger, og etabler rutiner for å oppdage og slette dem.
4. Gjennomgå hvordan pseudonymiserte datasett deles med leverandører og andre mottakere, og hvem som kan identifisere de registrerte.
5. Sørg for at cookie-løsningen oppfyller ekomloven § 3-15 i dag, og vurder om avslag allerede kan gis like enkelt som samtykke.
6. Følg Parlamentets posisjon og trilogforhandlingene, og planlegg en ny gjennomgang av rutinene når den endelige teksten foreligger.

Spørsmål og svar

Neste faglige kontroll: 1. mars 2027