Van Digital Omnibus tot de Indiase privacywet: mondiale datagovernance schakelt synchroon over, de compliancekostenstructuur van de platformeconomie wordt herschreven

Inleiding

In november 2025 vorderde de wereldwijde governance van data en cyberveiligheid gelijktijdig langs vijf hoofdlijnen. Op 19 november publiceerde de Europese Commissie het regelgevingsvoorstel "Digital Omnibus" (digitale omnibus), dat de GDPR, de ePrivacy-richtlijn, de Dataverordening, de Datagovernanceverordening, de NIS2-richtlijn en de AI-verordening synchroon wil wijzigen. Doel is bestaande wetgeving te vereenvoudigen, ruimte voor innovatie vrij te maken en tegelijkertijd een hoog beschermingsniveau te handhaven. In het Verenigd Koninkrijk traden de bepalingen van de tweede fase van de Data (Use and Access) Act 2025 (DUAA) geleidelijk in werking en gingen de digitale verificatiediensten als eerste van start, terwijl een groot aantal kernwijzigingen op het gebied van gegevensbescherming naar verwachting begin januari 2026 van kracht wordt. Op 13 november kondigde India officieel de Digital Personal Data Protection Rules 2025 aan, waarmee de gefaseerde implementatie van zijn eerste alomvattende digitale privacywet werd gestart. In dezelfde periode werd het Britse wetsvoorstel Cyber Security and Resilience (Network and Information Systems) bij het parlement ingediend; de herziene Chinese Cyberveiligheidswet treedt op 1 januari 2026 in werking, en de Beheermaatregelen voor de rapportage van cyberveiligheidsincidenten zijn al op 1 november in werking getreden.

Dit is geen versnipperd compliance-nieuws. Voor elke onderneming die afhankelijk is van grensoverschrijdende datastromen, AI-trainingscorpora en de schaal van haar platformgebruikers, is dit een algehele omschakeling van het regelgevende fundament.

Achtergrond: vijf regulatorische hoofdlijnen in één maand

EU: Digital Omnibus wil snoeien in de GDPR en de AI-verordening

De Europese Commissie publiceerde op 19 november het Digital Omnibus-pakket, dat wetgeving op het gebied van data, AI en cyberveiligheid bestrijkt. Het voorstel bevat substantiële wijzigingen van de GDPR, de ePrivacy-richtlijn, de Dataverordening, de Datagovernanceverordening, de NIS2-richtlijn en de AI-verordening. De kernlogica is om complianceprocessen te vereenvoudigen, de lasten voor bedrijven te verlagen en innovatie sneller te laten landen, zonder de beschermingsnormen te verlagen.

Benadrukt moet worden: alle details moeten nog via een triloog tussen de EU-instellingen worden onderhandeld voordat ze van kracht kunnen worden. Dit betekent dat de EU-regels voor data en AI de komende 12 tot 24 maanden in een staat van "veranderen tijdens de onderhandelingen" zullen verkeren, en dat de compliance-roadmap van ondernemingen ruimte voor bijstelling moet inbouwen.

Verenigd Koninkrijk: tweede fase van DUAA van start, digitale identiteit voorop

DUAA wordt in vier fasen uitgerold. Op 17 november traden de artikelen 89 en 90 in werking, die betrekking hebben op gezamenlijke verwerking van persoonsgegevens voor rechtshandhavingsdoeleinden en tussen inlichtingendiensten. Op 19 november werd de Data (Use and Access) Act 2025 (Commencement No. 4) Regulations vastgesteld, waardoor deel 2 van DUAA (digitale verificatiediensten) met ingang van 1 december in werking treedt, met uitzondering van de artikelen 45 tot en met 48 (het delen van informatie door overheidsinstanties met geregistreerde aanbieders van digitale verificatiediensten).Het draait om het tempo: toezichthouders verwachten dat de belangrijkste wijzigingen van de DUAA op het gebied van gegevensbescherming begin januari 2026 gebundeld in werking treden. Dit betekent dat het Verenigd Koninkrijk, terwijl de EU haar wijzigingen doorvoert, zelfstandig zijn eigen traject van institutionele upgrades aflegt.

India: eerste digitale privacywet ingevoerd, overgangsperiode van 18 maanden

Op 13 november heeft India officieel kennisgegeven van de Digital Personal Data Protection Rules 2025, om de Digital Personal Data Protection Act 2023 te operationaliseren. Dit is India's eerste wet die de verwerking van digitale persoonsgegevens alomvattend reguleert; de wet is principesgebaseerd en wordt gefaseerd uitgevoerd:

• De Data Protection Board (DPB) en haar operationele procedures treden onmiddellijk in werking;
• Toestemmingsbeheerders (Consent Managers): de verplichtingen gaan na 12 maanden in; dit soort gereguleerde intermediairs helpt individuen bij het geven, beheren, herzien en intrekken van toestemming, moet zich bij de DPB registreren, onafhankelijk opereren en over beveiligingswaarborgen beschikken;
• Kernverplichtingen voor naleving (toestemmingsmeldingen, beveiligingswaarborgen, gegevensbewaring, gegevens van kinderen, verwerkingsbeperkingen) treden na 18 maanden in werking, dat wil zeggen op 13 mei 2027.

Andere belangrijke punten zijn: verplichte minimale beveiligingsnormen, encryptie en toegangscontrole; voor datalekken geldt een rapportagemechanisme in twee fasen, waarbij zowel de getroffen personen als de DPB moeten worden geïnformeerd en binnen 72 uur na kennisname een gedetailleerde follow-up moet worden ingediend; grote platforms moeten gebruikersgegevens verwijderen nadat deze drie jaar inactief zijn geweest, terwijl alle datafiduciairen (Data Fiduciaries) ten minste een deel van de gegevens een jaar moeten bewaren; voor het verwerken van gegevens van kinderen is ouderlijke toestemming vereist, met beperkte uitzonderingen op het gebied van gezondheidszorg en onderwijs; de overheid kan 'belangrijke datafiduciairen' (Significant Data Fiduciaries, SDF) aanwijzen, jaarlijkse impactbeoordelings- en auditverplichtingen opleggen en bepaalde grensoverschrijdende gegevensoverdrachten beperken. Voor ernstige overtredingen bedraagt de maximale boete 250 miljoen Indiase roepie (ongeveer 30 miljoen Amerikaanse dollar).

De reikwijdte is noemenswaardig: deze omvat niet alleen gegevens die in India worden verwerkt, maar ook verwerking buiten India die verband houdt met het aanbieden van goederen of diensten aan personen in India.

Brits cyberbeveiligingswetsvoorstel: upgrade van het NIS-mechanisme

Op 12 november heeft het Britse ministerie van Wetenschap, Innovatie en Technologie het wetsvoorstel Cyberbeveiliging en weerbaarheid (netwerk- en informatiesystemen) aan het parlement voorgelegd. De achtergrond is een aanzienlijke toename van cyberbeveiligingsdreigingen: in het voorgaande boekjaar werden meer dan 600.000 Britse bedrijven getroffen door cyberaanvallen, en meerdere grote incidenten hadden een impact op de nationale economie.

Het wetsvoorstel actualiseert en breidt de Network and Information Systems Regulations 2018 uit, introduceert nieuwe verplichtingen voor het identificeren en beheren van cyberrisico's, verplichte incidentrapportage aan toezichthouders en getroffen klanten, en versterkt de onderzoeks- en handhavingsbevoegdheden van toezichthouders. Het maximumboetebedrag wordt verhoogd tot 17 miljoen Britse pond of 4% van de wereldwijde omzet. De reikwijdte bestrijkt organisaties die relevante diensten in het Verenigd Koninkrijk aanbieden, ongeacht waar zij zijn gevestigd: exploitanten van essentiële diensten in sectoren zoals energie, vervoer, gezondheidszorg en water, aanbieders van datacenters, digitale dienstverleners zoals cloudcomputing, online marktplaatsen en zoekmachines, managed serviceproviders, en essentiële leveranciers in de bovengenoemde sectoren.Het is vermeldenswaard dat de EU haar eigen NIS-upgrade heeft voltooid en zo NIS 2 heeft gevormd. Het VK en de EU hebben zich sindsdien op het gebied van cyberveiligheid afzonderlijk verder ontwikkeld.

China: wetgevende herziening en incidentrapportage worden op twee sporen aangescherpt

In november kwamen in China twee parallelle ontwikkelingen naar voren. Ten eerste treedt de herziene Cyberveiligheidswet op 1 januari 2026 in werking, waardoor de boetes voor overtredingen aanzienlijk worden verhoogd; de maximale boete voor overtredingen met betrekking tot kritieke informatie-infrastructuur stijgt tot 10 miljoen yuan (RMB) (ongeveer £1.074.000), en de compliance- en handhavingsrisico's nemen daarmee toe. Ten tweede zijn de Maatregelen voor het beheer van de rapportage van nationale cyberbeveiligingsincidenten op 1 november 2025 in werking getreden.

Handhaving en rechtszaken: twee uitspraken met signaalwaarde

Het Europees Hof van Justitie (ECJ) heeft geoordeeld dat in het kader van direct marketing de ePrivacy-richtlijn voorrang heeft op de GDPR. Dit heeft direct gevolgen voor de marketingtechnologieketen die afhankelijk is van e-mail, sms en programmatische outreach. Anderzijds heeft de Britse Financial Conduct Authority (FCA) een medewerker die klantpersoonsgegevens verkocht strafrechtelijk vervolgd, wat erop wijst dat het toezicht zich uitbreidt van "het beboeten van instellingen" naar "het vervolgen van individuen".

Analyse van de digitale economie: wat betekent de omschakeling van regels?

Ten eerste: compliance verandert van een kostenpost in een architectuurvariabele. Wanneer de EU vereenvoudiging bespreekt, het VK digitale verificatiediensten doorzet en India een stelsel van toestemmingsbeheerders invoert, is de focus van het toezicht verschoven van "of gegevens rechtmatig worden verzameld" naar "hoe gegevens gedurende hun hele levenscyclus worden bestuurd". Dit bepaalt direct de ontwerpgrenzen van de data-architectuur van ondernemingen.

Ten tweede: regels voor gegevensbewaring en -verwijdering krijgen een financiële dimensie. India verplicht grote platforms om gegevens van drie jaar inactieve gebruikers te verwijderen en verlangt tegelijk dat datafiduciairen ten minste een deel van de gegevens een jaar bewaren. Deze combinatie van "bovengrens + ondergrens" plaatst in feite opslagkosten, beschikbaarheid van trainingscorpora en het vermogen om gebruikers terug te winnen tegelijkertijd binnen het regelgevingskader. Voor systemen die aanbevelingen en advertenties aansturen op basis van historische gedragsgegevens is dit een structurele beperking.

Ten derde: grensoverschrijdende gegevensstromen komen in een fase van gedifferentieerde prijsstelling. India legt beperkingen op aan grensoverschrijdende doorgifte door belangrijke datafiduciairen, de EU herziet de Data Act en de Data Governance Act, het VK bouwt een zelfstandig regime op en China blijft cyberveiligheid en incidentrapportage versterken. Het model van multinationals van "eenmalige compliance, wereldwijd hergebruik" werkt niet meer; in plaats daarvan moeten zij per rechtsgebied schakelbare gegevensverwerkingsketens opbouwen.

Ten vierde: boetes en persoonlijke aansprakelijkheid gaan gelijk op. Het Britse wetsvoorstel verhoogt het boetemaximum tot 4% van de wereldwijde omzet, op hetzelfde niveau als de GDPR; China verhoogt het boetemaximum; de FCA houdt individuen aansprakelijk. Compliance-risico's reiken van de financiële overzichten van de onderneming tot persoonlijke risico's voor het management en sleutelfuncties.

Observatie van het businessmodel: compliance wordt een product

In deze ronde van regelgevingshervorming is het meest opvallende commerciële signaal: regelgevingsverplichtingen zelf brengen nieuwe productvormen voort.Deel 2 van de Britse DUAA institutionaliseert "digitale verificatiediensten", wat betekent dat identiteitsverificatie verandert van een interne bedrijfscapaciteit in een gereguleerde dienstenmarkt met toelatingsvereisten. Voor cloudaanbieders, identiteitstechnologiebedrijven en betaalinstellingen is dit een compliance-infrastructuurlaag die kan worden ingebed.

De Indiase regeling voor "consentbeheerders" is directer: de regelgeving verplicht uitdrukkelijk tot het opzetten van gereguleerde, onafhankelijke tussenpersonen die verantwoordelijk zijn voor het geven, beheren, beoordelen en intrekken van toestemming. Dit voegt tussen individuen en verwerkingsverantwoordelijken een nieuwe marktrol in die zich moet registreren en onafhankelijk moet opereren. Deze kan uitgroeien tot een consentlaaginfrastructuur op een schaal van honderden miljoenen gebruikers—de waarde ervan ligt niet in de technologie, maar in de door de regelgeving verleende kwalificatie en vertrouwenspositie.

Tegelijkertijd kan de vereenvoudigingskoers van de EU de administratieve lasten voor sommige bedrijven verlagen, maar zal zij de materiële eisen voor hoogrisicosituaties versterken. Dit betekent dat "compliancepakketten" verschuiven van auditrapporten naar continu operationele engineeringcapaciteiten: datamapping, uitvoering van bewaarbeleid, beheer van termijnen voor incidentrespons en controle op grensoverschrijdende doorgifte. Voor SaaS- en cloudaanbieders is dit een kansenvenster om van toolleverancier naar compliance-operatiepartner te promoveren.

Op het vlak van AI-commercialisering laat de opname van de AI-verordening in het wijzigingsbereik van de Digital Omnibus zien dat de EU probeert te herkalibreren tussen "innovatie bevorderen" en "risicoclassificatie". Voor bedrijven die voor het trainen en inzetten van modellen afhankelijk zijn van de EU-markt, vormt regelgevingsonzekerheid op zichzelf een risico voor de productroadmap—de iteratiecycli van modellen zijn doorgaans korter dan wetgevingscycli.

Marktconcurrentieanalyse: wie profiteert, wie staat onder druk

Er zijn ruwweg drie categorieën begunstigden.

Ten eerste: aanbieders van compliance-infrastructuur: identiteitsverificatie, consentbeheer, datamapping, incidentrapportage en cyberbeveiligingsdiensten. Wanneer regelgevingseisen veranderen van "principes" in "verifieerbare processen", kent de vraag naar dergelijke capaciteiten een rigide karakter.

Ten tweede: grote cloud- en platformbedrijven met compliancecapaciteiten op schaal. De Britse cyberbeveiligingswet brengt datacenters, cloudcomputing, online marktplaatsen, zoekmachines en managed serviceproviders onder toezicht; op korte termijn is dat een last, op lange termijn vormt het een toetredingsdrempel—kleinere en middelgrote concurrenten moeten dezelfde verplichtingen dragen maar beschikken niet over amortisatievermogen.

Ten derde: multinationals die als eerste hun architectuur hebben aangepast. Terwijl concurrenten nog datastromen in kaart brengen, kunnen ondernemingen die hun datastrategie per rechtsgebied kunnen omschakelen, sneller diensten in nieuwe markten lanceren.

De partijen die onder druk staan, zijn eveneens duidelijk.

Advertentie- en aanbevelingssystemen die afhankelijk zijn van de accumulatie van historische data, krijgen te maken met directe beperkingen door retentieplafonds; ondernemingen die voor gecentraliseerde gegevensverwerking afhankelijk zijn van grensoverschrijdende doorgifte moeten hun regionale architectuur herbouwen; buitenlandse dienstverleners die in India geen compliancekader hebben opgezet, kunnen al onder het toepassingsgebied vallen zodra zij goederen of diensten aan personen in India aanbieden.Vanuit het perspectief van platformconcurrentie lopen de EU-herziening en de Britse onafhankelijke koers parallel, waardoor in feite twee elkaar wederzijds refererende maar niet volledig compatibele compliancekaders zijn ontstaan; tel daarbij de eigen paden van India en China op, en de wereldwijde digitale economie verschuift van een ‘dividend van uniforme regels’ naar ‘concurrentie op multi-regelarbitrage en aanpassingsvermogen’. Wie een modularere architectuur heeft, heeft lagere marginale compliancekosten.

Impact op data en regelgeving: drie structurele veranderingen

Verandering 1: toestemming verandert van een interactieontwerpprobleem in een institutioneel infrastructuurprobleem. India laat deze functie dragen door toestemmingsbeheerders onder een registratiestelsel; de impact daarvan kan verder reiken dan India zelf—als andere opkomende markten dit model overnemen, kunnen in de mondiale toestemmingslaag regionale standaarden ontstaan.

Verandering 2: termijnen voor incidentrespons worden een harde beperking. India verlangt binnen 72 uur een gedetailleerde follow-up, de Britse wet verplicht tot melding aan toezichthouders en getroffen klanten, en China voert beheermaatregelen in voor het melden van cybersecurity-incidenten. Alle drie komen uit op één conclusie: beheer van beveiligingsincidenten moet een continu operationeel vermogen zijn, niet een document met noodplannen.

Verandering 3: de prioriteit bij de toepassing van wetgeving wordt opnieuw bevestigd. Het Europees Hof van Justitie oordeelde dat in directmarketingcontext de ePrivacy-richtlijn voorrang heeft op de GDPR. Dat herinnert bedrijven eraan dat compliancebeoordeling niet alleen naar de hoofdregelgeving mag kijken; specifieke regels voor bepaalde situaties kunnen voorrang hebben. Dergelijke uitspraken zullen het complianceontwerp van marketingtechnologiestacks hervormen.

Observatie van mondiale trends: digitale soevereiniteit komt in de fase van ‘institutionele concurrentie’

Als je de vijf sporen samen bekijkt, kun je een langetermijnconclusie trekken: mondiale datagovernance is van de fase van ‘regelconvergentie’ overgegaan naar de fase van ‘institutionele concurrentie’.

De EU probeert via de Digital Omnibus een nieuw evenwicht te vinden tussen bescherming en innovatie, terwijl ze haar positie als regelgever behoudt; het VK bouwt na Brexit zelfstandig een data- en cyberveiligheidsregime op, met inbegrip van digitale verificatiediensten en een vernieuwde NIS; India vestigt met zijn eerste digitale privacywet een eigen governanceraamwerk en creëert via toestemmingsbeheerders en het regime voor belangrijke datafiduciarissen aangrijpingspunten voor toezicht; China vergroot via een tweesporenbenadering van wetswijzigingen en incidentrapportage de bindende kracht van cybersecurity.

Dit zijn geen kortetermijngebeurtenissen, maar de onderliggende parameters van de digitale economie voor de komende vijf tot tien jaar. Ze bepalen niet alleen of bedrijven compliant kunnen zijn, maar ook waar data worden opgeslagen, waar AI-modellen worden getraind en in welke vorm platformdiensten grensoverschrijdend worden geleverd.

De praktische implicatie voor bedrijven is: het budget voor datagovernance moet opnieuw worden geclassificeerd van ‘juridische kosten’ naar ‘infrastructuurinvesteringen’.

DigitalEcoNews Insight

De belangrijkste economische betekenis van deze reeks regelgevende acties in november 2025 is niet hoeveel nieuwe verplichtingen er zijn toegevoegd, maar dat het ‘besturingssysteem’ van mondiale datagovernance opnieuw wordt geschreven—en dan door meerdere rechtsgebieden tegelijk.Ten eerste: de status van data als activum wordt opnieuw afgebakend. India verlangt dat grote platforms gegevens van drie jaar inactieve gebruikers verwijderen en dat datafiduciairs die gegevens ten minste één jaar bewaren. Deze combinatie van "verwijderbaar + verplicht te bewaren" schrijft voor het eerst de tijdswaarde van data in dwingende regels. Voor platforms die met langetermijngegevens over gebruikersgedrag aanbevelings- en advertentiemodellen bouwen, zal het opbouwbare datavolume niet langer een curve van onbeperkte groei zijn, maar een beperkte hulpbron waarvan de regulator de helling bepaalt. Dit verandert de kernvariabele van platformconcurrentie: van "wie heeft meer historische data" naar "wie kan data efficiënter gebruiken binnen het compliancevenster".

Ten tweede: compliancecapaciteit wordt een product, en niet alleen een kostenpost. De Britse markt voor onafhankelijke digitale verificatiediensten en de geregistreerde toestemmingsbeheerders in India zijn marktrollen die rechtstreeks door regelgeving zijn gecreëerd. De commerciële waarde van dergelijke rollen komt voort uit vertrouwenskwalificatie, niet uit technologische voorsprong; zodra ze schaal bereiken, kunnen ze uitgroeien tot een nieuwe infrastructuurlaag in de digitale economie. Voor investeringsinstellingen is dit een door institutionele vraag beschermd marktsegment.

Ten derde: het naast elkaar bestaan van meerdere rechtsgebieden betekent dat architectuur het concurrentievermogen bepaalt. De EU vereenvoudigt, het VK bouwt zelfstandig, India implementeert gefaseerd, China scherpt de regels aan; de compatibiliteitskosten van de vier systemen lopen op. De cruciale capaciteit van ondernemingen in de toekomst is niet het "begrijpen van een bepaalde wet", maar het "per rechtsgebied omschakelbaar maken van de dataverwerkingsarchitectuur". De mate van modulariteit vertaalt zich direct in een voordeel bij marginale compliancekosten.

Samenvattende beoordeling: deze ronde van herstructurering van regelgeving eindigt niet in 2026, maar zal voortduren tot het einde van dit decennium. Op korte termijn verhoogt deze de compliance-drempel en verlaagt deze de marginale opbrengsten van datagedreven activiteiten; op middellange termijn herverdeelt deze de marktaandelen in de platformeconomie door deelnemers uit te schakelen die niet over architectuurflexibiliteit en compliance-engineeringcapaciteiten beschikken. Wat echt de aandacht verdient, is niet welk bedrijf vandaag wordt beboet, maar welk bedrijf compliancecapaciteit al tot een product en toetredingsbarrière heeft gemaakt.