In het kort
Voor functionele cookies en analytische cookies met weinig impact op privacy heb je in Nederland geen toestemming nodig, wel moet je bezoekers erover informeren. Voor tracking- en advertentiecookies vraag je vooraf toestemming, en weigeren moet net zo makkelijk zijn als accepteren. Daarnaast heb je een privacyverklaring nodig en verwerkersovereenkomsten met partijen die persoonsgegevens voor je verwerken.
Cookiebanners zijn misschien wel het meest geërgerde onderdeel van het internet. Toch kun je er als ondernemer niet omheen, en de regels worden steeds actiever gehandhaafd. Het goede nieuws: met een paar slimme keuzes heb je vaak minder nodig dan je denkt. In dit artikel lees je wat er geldt voor een gewone bedrijfswebsite of webshop.
Let op: dit artikel is algemene informatie en geen juridisch advies. Twijfel je over je eigen situatie, vraag dan advies aan een jurist.
Welke regels gelden er?
Er spelen twee wetten:
- De Telecommunicatiewet (de "cookiewet") regelt wanneer je cookies en vergelijkbare technieken mag plaatsen of uitlezen, en wanneer je daar toestemming voor nodig hebt.
- De AVG regelt hoe je met persoonsgegevens omgaat. Denk aan de gegevens uit je contactformulier, maar ook aan IP-adressen en profielen die met cookies worden opgebouwd.
De Autoriteit Persoonsgegevens (AP) houdt toezicht. Ze controleert actief op misleidende cookiebanners en heeft al boetes opgelegd.
Drie soorten cookies
| Soort | Voorbeeld | Toestemming nodig? |
|---|---|---|
| Functioneel | Winkelwagen, inloggen, taalkeuze, de keuze in je cookiebanner | Nee, wel informeren |
| Analytisch, privacyvriendelijk | Bezoekersstatistieken zonder delen met derden en zonder profielen | Nee, wel informeren |
| Tracking en marketing | Advertentiepixels, retargeting, de meeste social-media-insluitingen | Ja, vooraf |
Het verschil zit dus niet in het woord "cookie", maar in wat je ermee doet. Zodra gegevens worden gebruikt om bezoekers te volgen of profielen op te bouwen, heb je toestemming nodig.
Hoe ziet een eerlijke cookiebanner eruit?
- Geen tracking vóór toestemming. Pixels en marketingcookies mogen pas laden nadat iemand op "accepteren" klikt.
- Weigeren is net zo makkelijk als accepteren. Een duidelijke knop "Weigeren" op hetzelfde niveau als "Accepteren", niet verstopt achter "Instellingen".
- Geen vooraf aangevinkte vakjes. Toestemming moet een actieve keuze zijn.
- Geen misleidende kleuren of teksten die bezoekers naar "accepteren" duwen.
- Duidelijke uitleg over welke cookies je gebruikt en waarvoor.
- Toestemming intrekken moet later net zo eenvoudig zijn, bijvoorbeeld via een link onderaan elke pagina.
Een cookiewall, waarbij je de site alleen kunt gebruiken als je alles accepteert, is volgens de AP niet toegestaan.
Statistieken bijhouden zonder cookiebanner
Wil je alleen weten hoeveel bezoekers je hebt en welke pagina's populair zijn? Dan kun je vaak toe zonder toestemmingsbanner, door een privacyvriendelijke statistiekentool te gebruiken of je bestaande tool zo in te stellen dat gegevens niet met derden worden gedeeld en IP-adressen worden ingekort. Google Analytics vraagt met de standaardinstellingen vrijwel altijd om toestemming. Kies je bewust voor een lichte tool, dan scheelt dat je bezoekers een banner en je site wat laadtijd.
Pas op met video's, kaarten en social media
Een ingesloten YouTube-video, Google Maps-kaart of Facebook-feed plaatst vaak cookies van die partij, ook als niemand erop klikt. Oplossingen:
- Laad de video of kaart pas als de bezoeker erop klikt (een "klik om te laden"-blok).
- Gebruik de privacyvriendelijkere variant van YouTube-insluitingen.
- Toon een statische afbeelding van de kaart met een link naar Google Maps.
Privacyverklaring en verwerkersovereenkomsten
Elke website die persoonsgegevens verwerkt, en dat doet vrijwel elke website met een contactformulier, heeft een privacyverklaring nodig. Daarin staat welke gegevens je verzamelt, waarom, hoe lang je ze bewaart, met wie je ze deelt en welke rechten bezoekers hebben. Sluit daarnaast een verwerkersovereenkomst af met partijen die gegevens voor je verwerken, zoals je hostingpartij, je nieuwsbriefdienst en je boekhoudpakket. Kies waar mogelijk voor partijen met servers in de EU; daar lees je meer over in webhosting kiezen.
Checklist voor je website
- Breng in kaart welke cookies en externe scripts je website laadt.
- Schrap wat je niet echt gebruikt. Elke oude pixel is een risico én vertraagt je site.
- Kies voor statistieken een privacyvriendelijke instelling of tool.
- Gebruik je marketingcookies, zorg dan voor een eerlijke banner die vooraf blokkeert.
- Zet een actuele privacy- en cookieverklaring online.
- Leg verwerkersovereenkomsten vast.
- Zorg dat je hele website via https loopt, zodat formuliergegevens versleuteld worden verstuurd.
Bij websites die Websmaak bouwt, kiezen we standaard voor zo min mogelijk externe scripts. Dat is goed voor de privacy van je bezoekers én voor de snelheid van je site.