Bijna elke website toont tegenwoordig een cookiebanner, en veel ondernemers denken daarom dat het altijd moet. Dat is niet zo. Tegelijk voldoen veel banners die er wel staan niet aan de regels. In dit artikel lees je wanneer je toestemming moet vragen en hoe je dat goed doet.
Let op: dit is een uitleg van de hoofdlijnen, geen juridisch advies voor jouw situatie. Twijfel je, kijk dan op de site van de Autoriteit Persoonsgegevens of vraag het een jurist.
Wat zijn cookies ook alweer?
Een cookie is een klein bestandje dat een website op het apparaat van de bezoeker zet. Daarmee kan de site iets onthouden, zoals de inhoud van een winkelmandje of de taal die de bezoeker koos. Cookies worden ook gebruikt om bezoekers te volgen over verschillende websites heen, bijvoorbeeld voor advertenties.
De regels gaan niet alleen over cookies in strikte zin, maar over alle technieken die informatie op het apparaat van de bezoeker opslaan of uitlezen.
De regel: eerst toestemming, met uitzonderingen
In Nederland staat de regel in artikel 11.7a van de Telecommunicatiewet. Daarin staat dat je toestemming nodig hebt voor het plaatsen en uitlezen van cookies, met twee uitzonderingen:
- Functionele cookies. Cookies die nodig zijn om de site te laten werken zoals de bezoeker verwacht: een winkelmandje, een inlogsessie, het onthouden van een cookiekeuze.
- Analytische cookies met weinig of geen gevolgen voor de privacy. Cookies waarmee je bezoekersaantallen meet, mits de gegevens niet worden gebruikt om bezoekers te volgen of te profileren en niet met anderen worden gedeeld voor hun eigen doeleinden.
Gebruik je alleen zulke cookies, dan hoef je geen toestemming te vragen. Je moet bezoekers wel informeren, bijvoorbeeld in je privacyverklaring of een cookieverklaring.
Wanneer je wel toestemming nodig hebt
Alle andere cookies vragen vooraf toestemming. In de praktijk gaat het bij kleine sites vaak om:
- advertentie- en trackingcodes, zoals de Meta-pixel of remarketing van Google Ads;
- analysediensten die niet privacyvriendelijk zijn ingesteld;
- ingesloten video’s van YouTube of Vimeo, die zelf cookies zetten;
- ingesloten kaarten, social-media-feeds en sommige chatknoppen.
Die laatste groep wordt vaak vergeten. Je denkt dat je geen tracking gebruikt, maar de ingesloten YouTube-video op je homepage doet het wel. Laat zulke onderdelen pas laden als de bezoeker toestemming heeft gegeven, of gebruik een variant die geen cookies zet zolang de bezoeker niet op afspelen klikt.
Waar een goede cookiebanner aan voldoet
Moet je toestemming vragen, dan stelt de wet eisen aan hoe. De Autoriteit Persoonsgegevens heeft daar duidelijke uitleg over gegeven. De belangrijkste punten:
- Vooraf. Cookies waarvoor toestemming nodig is, mogen pas worden geplaatst nadat de bezoeker ja heeft gezegd. Een banner die meldt dat er al cookies zijn geplaatst, is te laat.
- Weigeren moet net zo makkelijk als accepteren. Een grote knop “Alles accepteren” naast een klein linkje “instellingen” waar je drie keer moet klikken om te weigeren, voldoet niet.
- Geen vooraf aangevinkte vakjes. Stilzwijgen of doorscrollen is geen toestemming.
- Duidelijk en specifiek. De bezoeker moet kunnen zien waarvoor hij toestemming geeft.
- Geen cookiewall. Een site die alleen te bekijken is als je alle cookies accepteert, is volgens de Autoriteit Persoonsgegevens niet toegestaan.
- Intrekken moet kunnen. De bezoeker moet zijn keuze later kunnen wijzigen, bijvoorbeeld via een link in de footer.
Google Analytics
Google Analytics is de meest gebruikte analysedienst, en de vraag of je er toestemming voor nodig hebt komt vaak terug. Het hangt af van hoe je het instelt. Deel je gegevens met Google voor andere doeleinden, of koppel je Analytics aan advertenties, dan heb je toestemming nodig. Wil je het zonder toestemming gebruiken, dan moet je het zo instellen dat het onder de uitzondering voor analytische cookies valt. De Autoriteit Persoonsgegevens beschrijft op haar site waar je dan op moet letten.
Twijfel je, vraag dan gewoon toestemming. Dat is altijd veilig.
Wat er in je cookieverklaring staat
Ook als je geen toestemming hoeft te vragen, moet je bezoekers vertellen welke cookies je gebruikt. Dat kan in een aparte cookieverklaring of als onderdeel van je privacyverklaring. Zet daarin per soort cookie:
- welke cookie het is en van wie, van jezelf of van een andere partij zoals Google;
- waarvoor hij wordt gebruikt;
- hoe lang hij bewaard blijft;
- of er gegevens naar een andere partij gaan.
Houd die lijst bij. Voeg je later een chatknop of een ingesloten video toe, dan verandert er iets aan je cookies, en dan moet je verklaring mee.
Wat je vandaag kunt controleren
- Open je website in een privévenster en kijk welke cookies er worden geplaatst voor je iets hebt aangeklikt. In de ontwikkelaarstools van je browser zie je dat onder “Opslag” of “Application”.
- Zoek uit van wie die cookies zijn. Herken je ze niet, zoek dan de naam op.
- Kijk of je banner een weigerknop heeft die net zo zichtbaar is als de accepteerknop.
- Controleer of je privacyverklaring vermeldt welke cookies je gebruikt.
Bij PureDigi
Websites die met PureDigi gebouwd zijn, hebben een ingebouwde cookiebanner die je in de instellingen aanzet. Je kiest welke categorieën cookies je gebruikt, en de bezoeker kan per categorie toestemming geven of weigeren. Bekijk op de functiepagina wat er verder in het platform zit.