Cookiebanner en cookies: wat is verplicht op jouw website?

Een cookiebanner is verplicht zodra je website cookies plaatst die niet strikt nodig zijn om die website te laten werken. Kort door de bocht komt het op drie soorten neer. Functionele cookies, zoals een inlogsessie, een winkelmandje of een onthouden taalkeuze, mag je zonder toestemming plaatsen. Beperkt analytische cookies mogen ook zonder toestemming, maar alleen als ze geen of geringe gevolgen hebben voor de privacy van je bezoeker. Tracking- en marketingcookies mag je pas plaatsen nadat iemand daar vooraf actief ja op heeft gezegd. Draait er op jouw site helemaal niets uit die laatste categorie, dan heb je waarschijnlijk geen cookiemelding nodig.

Daar zit meteen een verschil dat veel mensen missen: niet de banner is verplicht, de toestemming is verplicht. Een cookiebanner is gewoon de manier waarop je die vraagt. Heb je niets te vragen, dan hoeft er ook niets in beeld te komen.

Bestaat “de cookiewet” eigenlijk wel?

Niet als losse wet, nee. “Cookiewet” en “cookiewetgeving” zijn spreektaal voor twee regels die naast elkaar staan.

De eerste is artikel 11.7a van de Telecommunicatiewet. Dat artikel gaat verder dan alleen cookies: het verbiedt “het opslaan van of toegang verkrijgen tot informatie in de randapparatuur van een gebruiker” zonder duidelijke informatie vooraf én toestemming. Randapparatuur is de laptop of telefoon van je bezoeker. Dat je een cookie zet is dus niet het punt, het punt is dat je iets op andermans apparaat schrijft of eraf leest. Een trackingpixel, localStorage of een fingerprinting-script vallen daar net zo goed onder.

De tweede is de AVG. Zodra er via die cookies persoonsgegevens verwerkt worden, en bij tracking is dat vrijwel altijd zo, gelden daarnaast alle eisen die de AVG aan toestemming stelt: vrij gegeven, specifiek, geïnformeerd en ondubbelzinnig. De Telecommunicatiewet gaat daar zelf van uit, want die zegt letterlijk dat gegevens combineren over verschillende diensten heen “zodat de betrokken gebruiker of abonnee anders behandeld kan worden” vermoed wordt een verwerking van persoonsgegevens te zijn.

Twee regels, één eindresultaat: zonder een actieve ja vooraf geen niet-noodzakelijke cookie. Wat er onder de AVG verder van je verwacht wordt staat in AVG voor zzp’ers en kleine bedrijven.

Welke cookies mag je zonder toestemming plaatsen?

De Autoriteit Persoonsgegevens (AP) deelt cookies in drie groepen in. Die indeling is de kortste route naar het antwoord voor jouw site.

Functionele cookies zorgen dat de site werkt: inloggegevens, taalvoorkeur, producten in het winkelmandje. Daar heb je geen toestemming voor nodig, schrijft de AP, maar je moet er wel over vertellen, bijvoorbeeld in je privacyverklaring.

Beperkt analytische cookies tellen bezoekers en laten zien welke pagina’s het meest bekeken worden. Ook die mogen zonder toestemming, maar alleen als ze “geen of geringe gevolgen” hebben voor de privacy. Dat is geen marketingterm maar de letterlijke uitzondering uit artikel 11.7a, voor het verkrijgen van informatie over de kwaliteit of effectiviteit van je dienst. Verwerk je met die cookies persoonsgegevens, dan heb je onder de AVG nog steeds een grondslag nodig en moet het in je privacyverklaring staan.

Overige cookies, waaronder tracking cookies, volgen je bezoeker over meerdere websites en apps en bouwen daar profielen mee. Die mogen pas nadat de bezoeker geïnformeerd is en toestemming heeft gegeven. Hier is geen uitzondering op.

De grens tussen groep twee en drie is waar het spannend wordt, en dat brengt ons bij de tool die de meeste kleine sites draaien.

Moet je voor Google Analytics toestemming vragen?

Het eerlijke antwoord: ga er niet zomaar van uit dat je onder de uitzondering valt.

Die uitzondering voor beperkt analytische cookies is smal. De AP koppelt hem aan cookies die geen of geringe gevolgen hebben voor de privacy van je bezoeker. Google Analytics stuurt data naar een advertentiebedrijf, en zodra die gegevens gecombineerd kunnen worden met advertentiediensten zit je in de categorie waarvoor je wél toestemming nodig hebt. De AP noemt Google Analytics dan ook nergens als voorbeeld van een tool die zonder toestemming mag draaien. Wat ze wel doet, op haar pagina over een goed cookiebeleid, is alternatieven noemen voor “indringende analytische toepassingen”: Matomo, Apache Superset, Plausible Analytics en OpenPanel, met nadrukkelijk erbij “mits goed ingesteld”.

Praktisch heb je twee verdedigbare routes. Of je zet Google Analytics achter de cookiebanner en laat het pas laden nadat iemand accepteert, en neemt voor lief dat je een deel van je bezoekers mist. Of je stapt over op een analysetool die zo weinig verzamelt dat de uitzondering wél opgaat, en dan kun je de banner vaak helemaal weglaten. Die tweede route is voor een kleine bedrijfssite beter dan mensen denken.

Wanneer telt een cookiebanner niet als geldige toestemming?

Hier gaat het bij veel websites mis, en zelden expres. De AP heeft negen vuistregels voor heldere cookiebanners gepubliceerd, met voorbeelden erbij. De kern in gewone taal:

• Weigeren moet net zo makkelijk zijn als accepteren. Een grote gekleurde accepteerknop naast een klein grijs linkje voldoet niet.
• Zet vinkjes niet automatisch aan. Ook niet in een tweede laag achter “instellingen”. Standaard aangevinkt is geen toestemming.
• Zet de keuzes op één laag en verstop ze niet. Iemand mag niet extra hoeven klikken om te weigeren, en de weigeroptie mag geen onopvallende link in een lap tekst zijn.
• Vertel vooraf waarvoor je de gegevens gebruikt, en als je met derden deelt, met hoeveel partijen.
• Doorscrollen is geen toestemming. De AP noemt dat expliciet als ongeldige toestemming.
• Intrekken moet net zo makkelijk zijn als geven. Dus een blijvende manier om terug te komen op je keuze, bijvoorbeeld een link “Cookievoorkeuren” in de footer.

En dan de cookiewall, waarbij je zonder akkoord de site niet in komt. Daar is de AP kort over: je moet een website normaal kunnen gebruiken ook als je geen toestemming geeft, en dit soort cookiewalls zijn onder de AVG verboden. Voor overheidsdiensten staat datzelfde verbod trouwens in de Telecommunicatiewet zelf. Bouw er dus geen.

Waarom is “pas laden na toestemming” het punt waar het misgaat?

Dit is de technische valkuil, en die zit ook in sites met een banner die er verder keurig uitziet. Veel sites zetten het analytics- of advertentiescript gewoon in de header van elke pagina, en regelen pas daarna dat de rapportage rekening houdt met een afmelding. Het probleem: op het moment dat dat script laadt, wordt het uitgevoerd. Er wordt al iets op het apparaat van je bezoeker gezet en er gaat al data weg, voordat iemand op de banner heeft geklikt. De overtreding zit niet in wat je later met de data doet, die zit in het opslaan zelf. Precies wat artikel 11.7a verbiedt.

De juiste volgorde is: banner tonen, alles standaard op weigeren, scripts pas activeren nadat iemand echt op accepteren heeft geklikt. Wil je één ding aan je site controleren, controleer dan dit.

Heeft jouw website eigenlijk wel een cookiebanner nodig?

Misschien niet. Loop dit lijstje langs voor je een banner laat bouwen.

1. Heb je statistieken draaien (Google Analytics, Hotjar, Clarity, een heatmaptool)?
2. Staat er een Meta-pixel, LinkedIn Insight Tag, Google Ads-conversietag of iets vergelijkbaars op?
3. Zijn er embeds van derden: een YouTube-video, een Google Maps-kaart, een Instagram-feed, een chatwidget?
4. Draait er een plugin die zelf verbinding maakt met een externe dienst, bijvoorbeeld voor reviews of lettertypen?

Is het antwoord overal nee, en slaat je site alleen een sessiecookie op, dan heb je geen toestemmingsbanner nodig. Vertel wel in je privacyverklaring welke cookies er staan. Dat geldt voor meer brochuresites dan je zou verwachten: tekst, foto’s, een contactformulier en verder niets kan prima zonder cookiemelding.

De AP zegt dat zelf ook, vrij plat: stop je met het verzamelen van persoonsgegevens van je bezoekers, dan hoef je geen toestemming meer te vragen en kun je de cookiebanner weghalen.

Hoe implementeer je een cookiebanner die klopt?

De volgorde die werkt:

1. Inventariseer eerst. Open je site in een privévenster, ga naar de devtools van je browser en kijk onder Application of Opslag wat er wordt gezet voordat je iets aanklikt. Vaak schrik je. De AP wijst voor zo’n controle op de gratis website-audittool van de European Data Protection Board.
2. Gooi weg wat je niet gebruikt. Elke tool die je niet echt uitleest is risico en vertraging zonder opbrengst.
3. Kies je aanpak: helemaal geen niet-noodzakelijke cookies (dan ben je klaar), of een banner met echte blokkering erachter.
4. Zorg dat die blokkering echt blokkeert. Een banner die alleen een keuze opslaat is schijnzekerheid. Daarom komt een los plug-in’tje er vaak niet: het toont een balk, maar je thema laadt de scripts al.
5. Test opnieuw met dezelfde devtools: weigeren, verversen, kijken of er echt niets meer wordt gezet.
6. Zet een link naar je cookievoorkeuren in de footer, zodat intrekken net zo makkelijk is als geven.

Ook met een kant-en-klaar consentplatform blijf jij verantwoordelijk voor wat je banner doet. De AP zegt dat er met zoveel woorden bij.

Op bouwman.io werkt het zo, en je kunt het zelf nakijken: alles staat standaard op weigeren, “accepteren” en “weigeren” staan even groot naast elkaar, en onderin elke pagina zit een link “Cookievoorkeuren” om later van gedachten te veranderen.

Wat gebeurt er als je het niet goed hebt geregeld?

Zonder paniekverhaal: de AP controleert sinds 2024 strenger op cookies en heeft daar een hulpmiddel voor gemaakt dat snel checkt of een cookiebanner aan de eisen voldoet. Voldoe je niet, dan volgt eerst een waarschuwingsbrief met het verzoek je banner aan te passen. Bij ernstige overtredingen, of als een organisatie weigert iets te veranderen, is de kans groot dat de AP handhaaft met boetes of andere sancties. De boetes tot nu toe gingen over grote sites met stevige tracking, niet over eenpitters met een contactformulier.

Wie er precies over gaat is rommelig, handig om te weten als je gaat zoeken. In het samenwerkingsprotocol tussen ACM en AP staat het zo: de ACM is aangewezen als toezichthouder op artikel 11.7a van de Telecommunicatiewet, de AP ziet toe op de verwerking van persoonsgegevens onder de AVG. Worden er met cookies persoonsgegevens verwerkt, dan kun je door allebei worden aangesproken. In de praktijk is het de AP die de afgelopen jaren op cookiebanners heeft gehandhaafd.

Tot slot

Dit artikel is praktische uitleg met bronnen, geen juridisch advies. Twijfel je over een specifieke situatie, bijvoorbeeld een webshop met veel derde partijen of een plugin waarvan je niet doorziet wat hij laadt, laat dat dan door een jurist beoordelen.

Bij bouwman.io bouwen we dit standaard goed in elke website die we opleveren, als onderdeel van privacy en cyberbeveiliging. Geen los plug-in’tje erbovenop, maar een site die eerst niets laadt en pas iets doet als je bezoeker daar ja op heeft gezegd.