Cookiebanner en AVG: wat is verplicht op je website?
Moet je een cookiebanner hebben? Wat mag zonder toestemming, wat niet, en wat moet er in je privacyverklaring? De regels rond cookies en AVG, helder uitgelegd.
Een cookiebanner is alleen verplicht als je cookies of vergelijkbare technieken gebruikt die persoonsgegevens verwerken of de bezoeker volgen (denk aan tracking, advertenties en de meeste analytics). Puur functionele cookies (die nodig zijn om de site te laten werken) mogen zonder toestemming. Zodra je wél volgt, moet je vooraf toestemming vragen, en die toestemming moet een vrije, actieve keuze zijn: weigeren moet net zo makkelijk zijn als accepteren.
“Moet ik zo’n irritante cookiemelding hebben?” is een van de meestgestelde vragen bij een nieuwe site. Het antwoord: dat hangt af van wat je site doet. Hieronder de regels zonder juridisch jargon.
Welke cookies mag je zónder toestemming plaatsen?
Twee categorieën mogen zonder dat de bezoeker iets hoeft te klikken:
- Functionele cookies: strikt noodzakelijk om de site te laten werken, zoals je winkelmandje onthouden, ingelogd blijven en je taalkeuze bewaren.
- Analytische cookies met geringe impact: mits privacyvriendelijk ingesteld (geanonimiseerd, geen gegevens delen met derden voor eigen doeleinden). De lat hiervoor ligt hoger dan veel mensen denken, en de meeste standaard-analytics vallen er buiten.
Voor deze categorieën heb je geen toestemmingsbanner nodig. Wel moet je ze netjes benoemen in je privacyverklaring.
Wanneer heb je wél een cookiebanner nodig?
Zodra je cookies of scripts inzet die bezoekers volgen of persoonsgegevens verwerken voor andere doelen dan de site laten werken. In de praktijk:
- Tracking- en advertentiecookies (bijvoorbeeld voor retargeting)
- Social-media-embeds die meekijken
- De meeste marketing-analytics, waaronder de standaardinstelling van Google Analytics
Voor die cookies geldt: eerst toestemming, dan pas plaatsen. De banner mag de trackers dus niet al laden vóór de bezoeker “akkoord” klikt.
Waar moet een geldige toestemming aan voldoen?
De AVG stelt eisen aan toestemming: die moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Vertaald naar je banner betekent dat:
- Actieve keuze. Geen vooraf aangevinkte vakjes; de bezoeker moet zelf akkoord geven.
- Weigeren = even makkelijk als accepteren. Een grote “Accepteren”-knop met een verstopte weigeroptie mag niet. De Autoriteit Persoonsgegevens is hier duidelijk over.
- Vrije keuze. Je mag toegang tot je site in de regel niet afdwingen met een “cookiewall” die accepteren verplicht.
- Intrekbaar. De bezoeker moet zijn keuze later kunnen wijzigen.
Wat moet er in je privacyverklaring?
Los van de banner heb je een privacyverklaring nodig die uitlegt: welke gegevens je verwerkt, waarom, hoe lang je ze bewaart, met wie je ze deelt, en welke rechten de bezoeker heeft (inzage, correctie, verwijdering). Gebruik je een externe partij voor bijvoorbeeld hosting of e-mail, dan horen daar verwerkersafspraken bij.
Wat betekent dit voor jou?
De meeste sites hebben een simpele keuze: óf je houdt het puur functioneel en hebt geen banner nodig, óf je gebruikt tracking en regelt een correcte toestemming. Het foute midden (trackers laden vóór toestemming) is precies waar het misgaat. Wij zorgen dat je site technisch én juridisch netjes staat; dat hoort bij goed onderhoud en beheer. Vraag een voorstel als je het in één keer goed wilt hebben.