Cookiebeleid en cookiebanner: wat de wet echt eist
Belangrijkste conclusies
- Een cookiebanner is niet zomaar een pop-up "voor de vorm": in België en de EU gelden concrete wettelijke eisen over hoe toestemming gevraagd en vastgelegd moet worden.
- De meeste veelgemaakte fouten zitten niet in de banner zelf, maar in wat er technisch achter gebeurt: cookies die al geplaatst zijn vóór er toestemming is gegeven.
- Een correcte cookiebanner is geen alternatief voor een volledige privacyverklaring, maar een aanvulling erop.
Vrijwel elke website gebruikt tegenwoordig een cookiebanner, maar lang niet elke banner voldoet aan de wettelijke vereisten. In België en de rest van de EU gelden concrete regels over hoe toestemming voor cookies gevraagd, vastgelegd en beheerd moet worden, afkomstig uit de combinatie van de AVG (GDPR) en de ePrivacy-regelgeving. Wie hier slordig mee omgaat, loopt niet alleen juridisch risico, maar tast ook het vertrouwen van bezoekers aan.
Het wettelijk kader in het kort
Voor niet-noodzakelijke cookies, zoals analytische, marketing- of trackingcookies, is voorafgaande, actieve toestemming van de bezoeker verplicht. Dat betekent dat deze cookies pas geplaatst mogen worden nadat de bezoeker daar expliciet mee heeft ingestemd, niet automatisch bij het laden van de pagina. Alleen strikt noodzakelijke cookies, zoals een cookie die onthoudt dat een winkelmandje gevuld is, mogen zonder toestemming actief zijn. In België houdt de Gegevensbeschermingsautoriteit (GBA) hier toezicht op, in lijn met de bredere Europese ePrivacy-richtlijn.
Wat een cookiebanner wettelijk moet doen
- Toestemming vragen vóór plaatsing. Niet-noodzakelijke cookies mogen pas actief worden nadat de bezoeker toestemming heeft gegeven, niet ervoor.
- Weigeren even makkelijk maken als accepteren. Een banner met een grote "Accepteren"-knop en een weggemoffelde weigeroptie voldoet niet. Beide keuzes moeten even zichtbaar en even makkelijk te bereiken zijn.
- Geen vooraf aangevinkte vakjes. Toestemming moet een actieve handeling zijn. Categorieën die standaard al aangevinkt staan, zijn geen geldige toestemming.
- Granulaire keuzes bieden. Bezoekers moeten per categorie (bijvoorbeeld analytisch versus marketing) kunnen kiezen, niet enkel een alles-of-niets-keuze.
- Toestemming makkelijk kunnen intrekken. Een bezoeker moet zijn voorkeuren later opnieuw kunnen aanpassen, bijvoorbeeld via een permanent bereikbare cookie-instellingenlink.
Veelgemaakte fouten met consent-tools
Zelfs met een professionele consent-tool (zoals Cookiebot, Complianz of Osano) gaat het in de praktijk regelmatig mis:
- Cookies worden al geplaatst vóór er toestemming is. Veel websites laden Google Analytics, advertentiepixels of embedded video's standaard bij het openen van de pagina, en de banner functioneert dan enkel als mededeling in plaats van als echte toestemmingsvraag. De tool moet technisch afdwingen dat scripts pas laden ná een positieve keuze.
- Categorieën zijn verkeerd ingedeeld. Een marketingcookie die per ongeluk onder "noodzakelijk" is geplaatst, ondermijnt de hele opzet van de banner.
- Er wordt geen bewijs van toestemming bijgehouden. Bij een controle moet je kunnen aantonen wélke toestemming een bezoeker gaf en wanneer. Veel tools loggen dit automatisch, maar niet elke implementatie is correct geconfigureerd om dat bewijs daadwerkelijk te bewaren.
- De banner blokkeert de site niet echt technisch. Sommige implementaties tonen wel een banner, maar scripts van derde partijen laden ondertussen gewoon door via een andere route, bijvoorbeeld via een tag manager die niet aan de consent-status gekoppeld is.
- De cookieverklaring wordt niet automatisch bijgewerkt. Voeg je een nieuwe tool of pixel toe, dan moet de lijst met gebruikte cookies mee opgeschoven worden. Een verouderde cookieverklaring is een veelgemaakte, onopgemerkte fout.
Veelgestelde vragen
Moet ik een cookiebanner hebben als ik geen tracking gebruik?
Als je website uitsluitend functioneel noodzakelijke cookies gebruikt (bijvoorbeeld voor een winkelmandje of een taalvoorkeur), is een uitgebreide banner met toestemmingsopties niet verplicht. Zodra je ook maar één analytische, marketing- of social-mediacookie gebruikt, zoals een standaardinstallatie van Google Analytics, is een banner met opt-in wél verplicht.
Volstaat Google Analytics zonder toestemming, omdat het "anoniem" is?
Nee. Standaard Google Analytics wordt beschouwd als een niet-strikt-noodzakelijke, trackende cookie en vereist voorafgaande toestemming. Alleen bepaalde, zeer beperkte, geanonimiseerde analytische implementaties vallen soms buiten de toestemmingsplicht, en dat is eerder uitzondering dan regel.
Is een cookiebanner hetzelfde als een privacyverklaring?
Nee. De cookiebanner regelt de toestemming voor het plaatsen van cookies op het moment zelf. De privacyverklaring is een uitgebreider, permanent beschikbaar document dat uitlegt welke gegevens je verzamelt, waarom, hoe lang je ze bewaart en welke rechten bezoekers hebben. Beide zijn nodig, en ze moeten onderling consistent zijn.
Wat gebeurt er als mijn cookiebanner niet voldoet aan de regels?
De Gegevensbeschermingsautoriteit kan boetes opleggen bij overtredingen, en die kunnen aanzienlijk oplopen bij herhaalde of grove inbreuken. Los van het juridische risico beschadigt een niet-compliant banner ook het vertrouwen van bezoekers, zeker wanneer dat zichtbaar wordt via browserextensies die trackers blootleggen.
Moet ik mijn cookiebanner controleren na een redesign of migratie?
Ja. Bij een redesign of een technische wijziging van je website worden consent-tools soms per ongeluk uitgeschakeld of verkeerd opnieuw geconfigureerd. Dit hoort standaard op je launch checklist te staan vlak voor je de vernieuwde website live zet.
Compliance als basis, niet als bijzaak
Een correcte cookiebanner is geen kwestie van een plugin installeren en vergeten. Het vraagt om een juiste technische implementatie, correcte categorisering en regelmatige controle. Voor de volledige juridische basis waarop ons eigen cookiebeleid rust, lees je ons volledige privacybeleid.
Twijfel je of jouw cookiebanner voldoet aan de regels?