Cookiebanner en AVG: waar let de Autoriteit Persoonsgegevens op?

Voor cookies en trackers die niet strikt nodig zijn, zoals advertentie- en de meeste marketingcookies, heeft u vooraf toestemming van de bezoeker nodig. Een eerlijke cookiebanner maakt weigeren even eenvoudig als accepteren, zet geen vinkjes vooraf aan en voert de keuze ook technisch uit. De Autoriteit Persoonsgegevens (AP) controleert sinds 2024 actief of cookiebanners aan die eisen voldoen.

Welke regels gelden?

Twee wetten bepalen samen wat mag:

• De Telecommunicatiewet (artikel 11.7a) vraagt toestemming voor het plaatsen of uitlezen van gegevens op het apparaat van de bezoeker, zoals cookies. Uitgezonderd zijn cookies die nodig zijn voor de werking van de website, en analytische cookies met weinig gevolgen voor de privacy.
• De AVG stelt eisen aan die toestemming wanneer er persoonsgegevens worden verwerkt: vrij gegeven, specifiek, geïnformeerd en ondubbelzinnig. Intrekken moet even eenvoudig zijn als toestemming geven.

Wanneer is toestemming nodig?

• Geen toestemming nodig: een sessiecookie voor de winkelwagen, een cookie die uw cookiekeuze onthoudt, beveiligingscookies.
• Meestal geen toestemming nodig: statistieken die privacyvriendelijk zijn ingesteld, zonder delen met derden voor eigen doeleinden en zonder volgen over websites heen. Statistieken zonder cookies maken een banner voor dit doel helemaal overbodig.
• Wel toestemming nodig: advertentie- en retargetingcookies, socialmediapixels, en diensten van derden die bezoekers over websites heen volgen. Ook ingesloten video's en kaarten van externe partijen plaatsen vaak trackers.

Wat maakt een cookiebanner eerlijk?

• Weigeren is even eenvoudig als accepteren: beide knoppen staan op hetzelfde niveau, zonder extra klik.
• Er staan geen vinkjes vooraf aan.
• De knoppen zijn even duidelijk; weigeren is niet verstopt in een grijze link.
• De bezoeker leest in begrijpelijke taal waarvoor de cookies dienen en met welke partijen gegevens worden gedeeld.
• De bezoeker kan de keuze later eenvoudig herzien.

De banner is maar de helft: wat doet de website echt?

Een banner kan er keurig uitzien terwijl de website de keuze niet uitvoert. Veelvoorkomende oorzaken:

• Een tagmanager laadt marketingscripts al vóórdat de bezoeker kiest.
• Na weigeren blijven scripts van derden toch actief, bijvoorbeeld via een plug-in die buiten de cookiebanner om werkt.
• Een ingesloten video, kaart of chatwidget legt direct contact met een externe partij.
• Tracking loopt via een subdomein van uw eigen website (CNAME-cloaking), zodat het lijkt alsof het om eigen cookies gaat.

Dit ziet u alleen door te meten wat de website in de browser doet. De Website Auditor doet dat in drie situaties: vóór een keuze, na weigeren en na accepteren. Per situatie ziet u welke cookies en verzoeken er zijn, van welke partij en op welk moment.

Zo controleert u het zelf

1. Open uw website in een privévenster.
2. Open de ontwikkelaarshulpmiddelen van de browser (F12) en kies het tabblad Netwerk.
3. Maak nog geen keuze in de banner en kijk welke externe domeinen worden aangesproken.
4. Klik op weigeren, ververs de pagina en kijk opnieuw. Advertentie- en analysediensten van derden horen nu weg te blijven.
5. Controleer onder het tabblad Opslag welke cookies er staan.

Het eenvoudigste alternatief

Hoe minder diensten van derden uw website gebruikt, hoe kleiner de banner en hoe kleiner het risico. Statistieken zonder cookies, zelf gehoste lettertypen en video's die pas na een klik laden, maken een banner vaak overbodig. Deze website werkt zo: hij meet bezoek zonder cookies en heeft geen banner nodig.