Pr. 5. november 2026 er GDPR ikke ændret. Digital Omnibus er et lovforslag fra Kommissionen, og Rådet har vedtaget et forhandlingsmandat, mens Europa-Parlamentet endnu ikke har en stilling. Parlamentets procedurefil viste samme dag status som “Awaiting committee decision”. Virksomhederne skal derfor fortsat følge de gældende regler. Brud anmeldes om muligt inden for 72 timer, og undtagelsen gælder kun, hvor en risiko er usandsynlig. Artiklen viser, hvad der er foreslået, og hvad I kan bruge det til. Alt, der følger her om forslag, kan ændre sig under forhandlingerne.
Hvor langt er forslaget?
Sagen har nummeret 2025/0360(COD) og behandles i Parlamentets udvalg ITRE og LIBE. Udkastet til betænkning kom 22. juni 2026 og ændringsforslagene 27. juli 2026. Rådets mandat, ST 14756/26, er dateret 22. oktober 2026 og blev godkendt i Coreper dagen før. Når Parlamentet har fundet sin stilling, skal de to institutioner forhandle teksten på plads.
Beskrivelsen nedenfor bygger på Rådets mandat, som viser ændringerne i forhold til Kommissionens forslag. Det endelige resultat kan se anderledes ud.
Brud på persondatasikkerheden
Gælder i dag: art. 33, stk. 1, sætter grænsen ved 72 timer, om muligt, og anmeldelsen skal ske uden unødig forsinkelse. Brud uden sandsynlig risiko er undtaget.
Foreslået i Rådets mandat: anmeldelse kun ved sandsynlig høj risiko og om muligt senest 96 timer, med støtte fra et nationalt indgangspunkt. Kommissionen havde et fælles EU-indgangspunkt. EDPB skal lave lister over situationer med og uden høj risiko og et forslag til en fælles skabelon. Brudreglerne skal efter mandatet først gælde 18 måneder efter ikrafttræden, og pligten til at bruge indgangspunktet 30 måneder efter.
Dokumentationspligten i art. 33, stk. 5, ændres ikke i teksten, så I skal stadig føre en log over alle brud. Brudloggen og jeres procedure bliver altså ikke overflødige, selv hvis forslaget vedtages.
Definitionen og pseudonymiserede data
Gælder i dag: art. 4, nr. 1, og EU-Domstolens praksis, herunder C-413/23 P om pseudonymiserede oplysninger.
Foreslået: Kommissionen ville ændre definitionen af personoplysninger. Den tilføjelse er streget i Rådets mandat, og Rådet har i stedet betragtningerne 27a og 27b om pseudonymisering i lyset af retspraksis. EDPB og EDPS opfordrede i deres fælles udtalelse 2/2026 indtrængende til ikke at ændre definitionen. Se personoplysninger og følsomme oplysninger.
AI
Gælder i dag: de almindelige regler. AI-behandling skal have et grundlag i art. 6, og følsomme oplysninger skal også rummes af art. 9.
Foreslået: en ny art. 88 bis. Den, der udvikler eller driver AI, skal efter teksten kunne bruge litra f i art. 6, stk. 1, om legitim interesse, og kan stadig vælge et andet grundlag. Til gengæld kræves passende foranstaltninger, og personen skal kunne gøre indsigelse efter art. 21. Mandatet har desuden en regel om tilfældige restdata i art. 9, stk. 2, litra k. Se behandlingsgrundlag for AI.
Konsekvensanalyser
Gælder i dag: art. 35 og Datatilsynets danske liste.
Foreslået: EDPB laver fælles lister inden for ni måneder, og de nationale lister gælder, til EDPB’s foreligger. Skabelon og metode skal fastsættes som gennemførelsesretsakt. Se skal vi lave en DPIA?.
Andre punkter i mandatet
- Indsigt · art. 12, stk. 5, kan lade misbrugshensigt indgå, når det kan godtgøres, og den dataansvarlige har bevisbyrden. EU-Domstolens dom C-526/24 om misbrug gælder allerede.
- Oplysningspligt · en ny undtagelse i art. 13, stk. 5, når der er rimelig grund til at tro, at personen allerede har oplysningerne, og behandlingen ikke er højrisiko. Den gælder ikke komplekse behandlinger, store mængder eller art. 9 og 10.
- Automatiske afgørelser · Rådet bevarer formuleringen som en ret til ikke at blive underlagt en afgørelse. Se automatiske afgørelser.
- Cookies · Kommissionens art. 88a og 88b er streget i de dele af mandatet, vi har læst.
- DPO’en · art. 37 til 39 ændres ikke i mandatets art. 3.
Omnibus IV er en anden sag
Forslaget om fortegnelser ligger i en særskilt sag, 2025/0130(COD). Her er der en foreløbig aftale fra 26. juni 2026 om art. 30, stk. 5, med en grænse på 1000 personer. Sagen afventer Parlamentets stilling, og plenarmødet er vejledende sat til 23. november 2026. Den er forklaret i GDPR i en mindre virksomhed.
Det gør I nu
Ret ingen procedurer på baggrund af forslagene. Skriv i stedet ned, hvilke af jeres dokumenter der nævner 72 timer, risiko og fortegnelser, så I hurtigt kan finde dem, hvis noget vedtages. Bed DPO’en eller jeres rådgiver om at følge sagen og sige til, når Parlamentet har fundet sin stilling. Køb ikke løsninger, der er bygget på, at forslagene bliver til lov. Hvordan en foreslået regel vil gælde for jer, kan først vurderes, når teksten er endelig. Den konkrete vurdering er da et spørgsmål til advokat.
Det skal I lade være med
- At skrive 96 timer ind i jeres procedure · 72 timer gælder, til andet er vedtaget.
- At stoppe med at logge små brud · pligten til at dokumentere alle brud står urørt i forslaget.
- At læse artikler om forslaget som gældende ret · tjek altid datoen og kilden.
Det skal I kræve af den eksterne
- ☐ Klar adskillelse af gældende ret og forslag.
- ☐ Dato og kilde ved alt om forslagene.
- ☐ Besked, når status ændrer sig, med hvad det betyder for jer.
- ☐ Ingen ændringer i procedurer, før reglerne er vedtaget.
Kilder
- Digital Omnibus, 2025/0360(COD), procedurefil: status læst 5. november 2026.
- Rådets mandat, ST 14756/26 af 22. oktober 2026: forslag, ikke vedtaget.
- EDPB og EDPS: Fælles udtalelse 2/2026 af 10. februar 2026.
- Omnibus IV, 2025/0130(COD), procedurefil: status læst 5. november 2026.
- Databeskyttelsesforordningen (EU) 2016/679 på dansk: art. 4, 33 og 35.
- EU-Domstolen, C-526/24 af 19. marts 2026: misbrug af indsigt.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvad er GDPR? · Brud på persondatasikkerheden
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
