Cookiebanner: wanneer verplicht en wat mag?
Wanneer je een cookiebanner nodig hebt, welke cookies toestemming vragen, wat wel en niet mag en waarom weigeren even makkelijk moet zijn als accepteren.
In dit artikel
Bijna elke website heeft er een: de balk of pop-up die om toestemming vraagt voor cookies. En bijna elke ondernemer twijfelt: moet dat echt, en doe ik het goed? De regels zijn niet ingewikkeld, maar in de praktijk gaat het vaak mis, en de Autoriteit Persoonsgegevens heeft aangekondigd actief te controleren op misleidende cookiebanners.
Dit artikel is praktische uitleg, geen juridisch advies. Voor je eigen situatie kun je terecht bij je branchevereniging of een jurist.
Wat zijn cookies eigenlijk?
Cookies zijn kleine bestandjes die een website op het apparaat van je bezoeker opslaat. De regels gelden ook voor vergelijkbare technieken, zoals pixels, lokale opslag en fingerprinting. Waar het om gaat: alles wat informatie op het apparaat van de bezoeker plaatst of uitleest.
Welke cookies vragen toestemming?
De Telecommunicatiewet maakt onderscheid naar het doel:
| Soort | Voorbeeld | Toestemming nodig? |
|---|---|---|
| Functioneel | Winkelmandje, taalkeuze, inlogsessie, de keuze in de cookiebanner zelf | Nee, wel informeren |
| Analytisch met weinig impact | Bezoekersstatistieken die niet worden gedeeld, met ingekorte IP-adressen | Onder voorwaarden nee, wel informeren |
| Analytisch met meer impact | Analysetools die gegevens delen of voor andere doelen gebruiken | Ja |
| Marketing en tracking | Advertentiepixels van Meta, Google Ads, LinkedIn, remarketing | Ja |
| Ingesloten inhoud van derden | YouTube-video, Google Maps, social-media-feeds | Vaak ja, afhankelijk van wat die dienst plaatst |
Die laatste rij wordt vaak vergeten. Een ingesloten YouTube-video of Google Maps-kaart kan cookies van derden plaatsen zodra de pagina laadt. Laat zulke onderdelen pas laden na toestemming, of na een klik van de bezoeker.
Wat een goede cookiebanner doet
- Er gebeurt niets vóór toestemming. Marketing- en trackingcookies worden pas geplaatst als de bezoeker akkoord geeft. Een banner die toestemming vraagt terwijl de pixels al geladen zijn, is erger dan geen banner: hij belooft iets wat niet klopt.
- Weigeren is net zo makkelijk als accepteren. Een knop “Weigeren” of “Alleen noodzakelijke” op dezelfde plek en even zichtbaar als “Accepteren”.
- Geen vooraf aangevinkte vakjes. Toestemming moet een actieve keuze zijn.
- Duidelijke uitleg. Welke soorten cookies, van wie, waarvoor, en een link naar de cookieverklaring.
- Toestemming intrekken kan altijd. Bijvoorbeeld via een link in de voet van elke pagina.
- Geen cookiewall. Bezoekers moeten de site kunnen gebruiken als ze weigeren.
Wat een banner niet mag
Deze trucs zien we vaak, en ze zijn precies waar de toezichthouder op let:
- een felle knop “Alles accepteren” en een grijs linkje “Meer opties” waarachter je pas kunt weigeren;
- “Door verder te surfen ga je akkoord met cookies”;
- een kruisje dat de banner sluit en dat als toestemming wordt geteld;
- na weigeren bij elk paginabezoek opnieuw de banner tonen tot iemand toch accepteert;
- teksten als “We gebruiken cookies om je ervaring te verbeteren” terwijl het om advertentietracking gaat.
Informeren moet altijd
Ook als je site geen toestemming hoeft te vragen, moet je bezoekers vertellen welke cookies je gebruikt en waarvoor. Dat doe je in een cookieverklaring, vindbaar vanaf elke pagina. Die verklaring moet kloppen met wat je site echt doet. Een gekopieerde tekst die cookies noemt die je niet gebruikt, of er juist mist, helpt niemand.
Zo controleer je je eigen website
- Open je site in een privévenster van je browser.
- Open de ontwikkelaarstools (F12) en kijk bij “Toepassing” of “Opslag” welke cookies er zijn vóórdat je iets aanklikt.
- Staan daar al cookies van Google Ads, Meta of andere advertentiediensten? Dan laadt je site tracking vóór toestemming.
- Weiger alles, laad de pagina opnieuw en kijk of die cookies echt wegblijven.
- Controleer of weigeren even makkelijk gaat als accepteren.
Welke andere wettelijke eisen er voor je website gelden, lees je in wat moet er verplicht op je website staan. De privacyverklaring hoort erbij: zie privacyverklaring opstellen.
En je advertenties dan?
Meet je conversies voor Google Ads of Meta, dan heb je die pixels nodig, en dus toestemming. Met de toestemmingsmodi van Google en Meta kun je rekening houden met bezoekers die weigeren, zonder dat je meting helemaal wegvalt. Hoe je meten goed inricht, lees je in conversiemeting: meten voor je gaat adverteren.
Hoe SEBA Connect hierbij helpt
Bij een nieuwe website of webshop stellen we de cookiebanner zo in dat scripts pas laden na toestemming, weigeren even makkelijk is als accepteren en de cookieverklaring klopt met wat de site doet. Dat controleren we vóór livegang in de browser, niet alleen in de instellingen. Stel je vraag.
Veelgestelde vragen
Heb ik toestemming nodig voor Google Analytics?
Dat hangt af van de instellingen. Voor analytische cookies met weinig impact op privacy geldt onder voorwaarden een uitzondering, bijvoorbeeld als gegevens niet met anderen worden gedeeld en IP-adressen worden ingekort. Bij Google Analytics is dat niet vanzelfsprekend; vraag bij twijfel toestemming.