Digital Omnibus – Europas stora regelbok får ordning och reda

När EU:s så kallade digital omnibus-förslag släpptes i november 2025 blev det snabbt föremål för livlig debatt och rörde om i grytan i det digitala regelträsket. Enligt EU-kommissionen kommer företagen, från stora fabriker till små startups, att behöva lägga mindre tid på administration och regelefterlevnad, och istället kunna lägga mer kraft på det de faktiskt vill göra: innovation, tillväxt och utveckling. Samtidigt menar kritiker att förslaget riskerar att urholka skyddet för personuppgifter och därmed försvaga den integritetsnivå som dagens regelverk syftar till att garantera. Så vad handlar den digitala omnibusen egentligen om?  

Digital Decade, EU:s program med mål för fortsatt digitalisering och innovation, har för många organisationer känts som att få en ny verktygslåda som någon redan fyllt med QR-koder, EU-förordningar, dashboards och en och annan obligatorisk e-learning. Det som förut kallades administration har i många organisationer blivit en sorts digital hinderbana, där varje hopp över en paragraf åtföljs av en push-notis: ”Glöm inte att signera policyn du nyss godkände!”.  

I takt med att regelpaketet växt, med initiativ inom dataskydd, cybersäkerhet, interoperabilitet, digital identitet, AI-regelverk och mycket mer, har det blivit svårare att skilja mellan vad som är ett krav, vad som är en rekommendation, och vad som är … bara förvirrande. Men kanske är det just därför Digital Decade behövde bli mer än bara en expansion av regelverk och ambitioner. För i sitt försök att strukturera och säkra Europas digitala framtid, har EU-kommissionen även skapat ett regelkomplex så omfattande att det blivit en utmaning i sig. Det är i den smärtpunkten som behovet av förenkling, tydlighet och samling blir tydlig, något som många nu hoppas att ett digitalt omnibus-paket kan leverera.  

Med omnibus-paketet vill EU-kommissionen ta fram lösningar som förenklar, förtydligar och stärker effekten av de digitala regelverken och deras efterlevnad. Detta kan innebära allt från regulatoriska justeringar, förbättrat samarbete mellan myndigheter och ett främjande av digitala lösningar som gör compliance enklare redan från start, till andra kompletterande åtgärder som stöttar helheten. 

Vad är det som skulle kunna göra omnibus-paketet till en gamechanger? 

1. Minskad regelbörda och tydligare samspel mellan olika regelverk

Omnibus-paketet föreslår riktade ändringar i flera lagar i syfte att förenkla, förtydliga och stödja organisationernas regelefterlevnad. En central idé är att regelefterlevnad inte längre ska vara en belastning, utan en konkurrensfördel för organisationer som gör rätt.  

Paketet ämnar även samordna hur olika delar av de digitala regelverken, dataskydd, AI, dataåtkomst och cybersäkerhet samverkar, så att det skapas färre dubbelregleringar och färre juridiska gråzoner. Syftet är attorganisationer lättare ska kunna navigera lagen med tydligare kompass och att compliance ska bli mer överskådligt.  
 

2. Uppfräschning av GDPR

Efter snart ett decennium börjar även GDPR få lite växtvärk. Omnibus-paketet kommer därför in som en slags regelverksfysioterapeut som ger systemet bättre rörelsefrihet.  

Förslaget innebär bland annat ett förtydligande av vad som faktiskt räknas som personuppgifter. Med hänvisning till beslutet i EDPS vs. SRB  (CJEU, Case C-413/23 P EDPS v SRB) föreslås ett förtydligande av i vilka fall uppgifter inte ska anses vara personuppgifter när innehavaren av uppgifterna inte kan identifiera en individ. Därutöver bidrar paketet till tydlighet kring hur data får användas, särskilt i gränslandet mot AI, genom en ny artikel (88c) som uttryckligen anger att behandling av personuppgifter för ”utveckling och drift av ett AI-system … kan ske inom ramen för artikel 6.1(f) (berättigat intresse)”.  

Sammantaget innebär förslaget en modernisering av GDPR. Vetenskaplig forskning får en tydligare och mer praktisk definition, och nya undantag i artikel 9 gör det möjligt att hantera känsliga personuppgifter till exempel vid AI-utveckling eller biometrisk identifiering under individens egen kontroll. Samtidigt skärps spelreglerna för rättighetsbegäranden från registrerade, så att organisationer slipper hantera uppenbart ogrundade eller repetitiva förfrågningar. Informationskraven blir dessutom mindre tunga i situationer där relationen till den registrerade redan är tydlig och riskerna låga. För automatiserat beslutsfattande klargörs att även ett maskinellt beslut kan vara nödvändigt för att fullgöra ett avtal, vilket bättre speglar hur dagens digitala tjänster fungerar.  

Slutligen kan nämnas att tidsfristen inom vilken en personuppgiftsincident ska rapporteras ändras från 72 till 96 timmar, och en kommande gemensam EU-portal ska minska fragmenteringen ytterligare. Samtidigt får EDPB i uppdrag att ta fram gemensamma mallar och en EU-gemensam DPIA-lista, vilket motverkar nationella skillnader. 

3. Mer innovationsvänliga AI-regler 

Förslaget till ändringar i AI-förordningen innebär bland annat att tillämpningen av vissa krav för högrisk-AI (t.ex. dokumentation, registrering, efterlevnad) knyts till att harmoniserade standarder, vägledningar eller verktyg finns tillgängliga, i stället för en strikt fast deadline.  

I och med förslaget öppnas även en viktig dörr för att upptäcka och åtgärda bias. Alla AI-system, inte bara högriskmodeller, får nu behandla känsliga personuppgifter för detta ändamål, så länge lämpliga skyddsåtgärder finns. 

Det införs också möjligheter för mer flexibla processer med AI-sandlådor på EU-nivå och stärkt samordning över gränser, vilket gör det enklare att testa och utveckla AI utan att drabbas av omedelbar tung reglering. Små och medelstora företag, och även så kallade små midcap-bolag, föreslås få lättnader i dokumentationskrav. 

4. En samlad ingång för incidentrapportering – mindre fragmentering, bättre översikt

Omnibus-paketet innehåller förslag på att skapa en gemensam punkt för incidentrapportering, så att en och samma incident inte behöver rapporteras flera gånger enligt olika regelverk. Det minskar redundans och avlastar både företag och myndigheter.  

5. Smartare och enklare datatillgång som driver innovation

Data är en nyckelfaktor för konkurrenskraft i den digitala ekonomin. Tillgång till och tillgänglighet av data är avgörande för innovation, utveckling av nya teknologier, analys av trender samt identifiering av luckor och brister för att öka effektiviteten inom industrin och i alla sektorer.  

Ändringarna i Data Act syftar till att göra EU:s dataregelverk betydligt mer överskådligt och innovationsvänligt. Kärnan är att skapa ett sammanhållet, tydligt ramverk för den europeiska dataekonomin, där rättsakter nu samlas under samma tak. Free Flow of Non-Personal Data Regulation, Data Governance Act och Open Data-direktivet bakas ihop till en gemensam struktur, vilket ger organisationer färre regelverk att hålla reda på och enklare vägval i vardagen. 

För företag innebär förslaget dessutom viktiga praktiska lättnader, så som starkare skydd för företagshemligheter, lättnader vid molnbyte, inte bara för SME utan även för små mid-cap-bolag, en stor fördel för organisationer som vill växla leverantör utan juridiskt trassel. 

Ambitionen är att göra Data Act till en mer praktisk, förutsägbar och konkurrensstärkande lag, en viktig pusselbit i omnibus-paketets ambition att förena EU:s digitala regelverk i en sammanhängande helhet. 

6. Modernare cookie-regler 

Reglerna för cookies får en ordentlig uppdatering i och med förslaget. Användare kan spara sina inställningar direkt i webbläsaren, vilket betyder färre pop-ups, färre avbrott och en betydligt smidigare digital användarupplevelse. 

Efter år av snabb digital utveckling och ett lapptäcke av regelverk, där många organisationer kämpat med att få helheten att gå ihop, kommer omnibus-paketet som EU:s försök att göra regelkartan både tydligare och mer användbar. Genom att förenkla, samordna och modernisera allt från GDPR till AI-regler och incidentrapportering, är visionen att skapa en digital samlingsförordning – en ”omnibus”. Men medan EU-kommissionen ser ett mer lättnavigerat regelverk framför sig, menar kritiker som exempelvis nyob, att förslaget innebär att grundprinciper i GDPR riskerar att skäras ner, vilket kan få långtgående konsekvenser för individers rättigheter. Hur utfallet än blir står det klart att den fortsatta processen kommer att forma Europas digitala landskap under lång tid framöver.