Cookiemelding op je website: wat de wet verplicht en wat niet

Een cookiemelding, ook cookiebanner genoemd, is het blokje tekst dat verschijnt zodra iemand je website voor het eerst bezoekt, waarin je vraagt of vertelt dat je cookies gebruikt. Een cookie is een klein bestandje dat op het apparaat van je bezoeker wordt gezet, bijvoorbeeld om te onthouden dat iemand is ingelogd, wat er in een winkelwagentje ligt, of om bij te houden welke pagina's iemand bezoekt.

De regel komt niet uit de AVG, maar uit de Telecommunicatiewet. Volgens Ondernemersplein, het officiële overheidsportaal voor ondernemers, moet je bezoekers altijd informeren als je cookies gebruikt, en moet je in veel gevallen ook toestemming vragen voordat je ze plaatst.

Dit speelt voor elke website met een vorm van tracking, statistieken, advertenties of een inlog: een webshop, een boekingssysteem, een website met een contactformulier dat gegevens doorstuurt naar een ander systeem, of een site die bezoekersstatistieken bijhoudt om te zien welke pagina's werken. Heb je alleen een paar statische pagina's zonder enige meting, dan speelt dit nauwelijks.

Niet elke cookie heeft dezelfde regel. Ondernemersplein maakt het onderscheid helder: voor cookies die privacygevoelige informatie verzamelen, en dan vooral trackingcookies die iemands gedrag over meerdere websites volgen, moet je altijd eerst toestemming vragen aan je bezoeker. Dat geldt ook voor de meeste advertentiecookies en voor uitgebreide trackingscripts van derde partijen.

Functionele cookies en analytische cookies met weinig impact op de privacy van je bezoeker zijn daarvan uitgezonderd: daarvoor hoef je geen toestemming te vragen. Denk aan een cookie die onthoudt wat er in een winkelwagentje ligt, een cookie die een taalkeuze bewaart, of een inlogcookie. Ook basisstatistieken over hoeveel bezoekers je site krijgt, zonder dat individuele bezoekers herkenbaar worden gevolgd, vallen vaak onder deze uitzondering. Dat betekent niet dat je ze stilzwijgend mag gebruiken: je moet bezoekers er nog steeds over informeren, bijvoorbeeld in je privacyverklaring, al hoeft dat niet in een pop-up met een akkoordknop.

De ACM, die toezicht houdt op het plaatsen van cookies, bevestigt dit onderscheid: functionele cookies mag je plaatsen zonder toestemming zolang je daarover open bent, terwijl trackingcookies en privacygevoelige analytische cookies, net als technieken zoals JavaScript-trackers en web beacons, wel expliciete toestemming vereisen voordat je ze inzet.

Een cookiemelding die alleen zegt 'deze website gebruikt cookies' met een knop 'OK' is niet genoeg. Volgens de ACM moet je bezoeker duidelijk te horen krijgen welke informatie je verzamelt, hoe je dat doet (via cookies, scripts of beacons) en waarvoor je die informatie gebruikt. Ondernemersplein voegt daar nog de bewaartermijn van de gegevens, welke derde partijen de gegevens ontvangen, en hoe iemand zijn toestemming weer kan intrekken aan toe.

Een paar dingen die volgens de ACM niet mogen: een vakje dat al is aangevinkt waar de bezoeker alleen het vinkje weg hoeft te halen om te weigeren (dat is geen actieve toestemming), en toestemming die verstopt is in je algemene voorwaarden of privacyverklaring in plaats van een duidelijke eigen keuze. De bezoeker moet een reële, actieve keuze hebben om te accepteren of te weigeren, en het weigeren moet ongeveer even makkelijk zijn als het accepteren.

In de praktijk betekent dit dat een banner met alleen een grote 'Accepteren'-knop en een piepklein linkje naar 'instellingen' waar je pas na drie klikken alles kunt uitzetten, niet aan de regels voldoet. Een banner met twee gelijkwaardige knoppen, 'Accepteren' en 'Weigeren', is de veiligere basis.

Het toezicht op het gebruik van cookies ligt volgens Ondernemersplein bij de Autoriteit Persoonsgegevens. Die kan optreden als bedrijven cookies plaatsen zonder geldige toestemming, of als de gegevens die via cookies worden verzameld niet zorgvuldig worden verwerkt.

Het risico van een cookiebanner die niet klopt, zit niet alleen in een eventuele boete. Gegevens die je hebt verzameld zonder geldige toestemming, mag je in de praktijk niet gebruiken, ook niet achteraf als je de banner later verbetert. Voor een webshop die op basis van trackingcookies advertenties uitstuurt, kan dat betekenen dat een deel van je marketingdata eigenlijk niet rechtmatig verzameld is, met alle gedoe dat dat geeft zodra je dat wilt gebruiken of delen met een adverteerder.

Omdat de bewijslast bij jou als websitebeheerder ligt, is het verstandig om vast te leggen wanneer en hoe iemand toestemming heeft gegeven, bijvoorbeeld via de instellingen van het cookiebanner-systeem dat je gebruikt. De meeste gangbare cookiebanner-tools houden dit automatisch bij, maar check bij de instellingen of die registratie daadwerkelijk aanstaat.

Niet elke website heeft een pop-up met toestemmingsknoppen nodig. Gebruik je alleen functionele cookies, zoals een winkelwagentje of een inlogsysteem, en eventueel een privacyvriendelijke statistiekentool zonder individuele tracking, dan val je onder de uitzondering en hoef je geen actieve toestemming te vragen. Een vermelding in je privacyverklaring is dan voldoende.

Dat is bijvoorbeeld het geval bij een eenvoudige brochurewebsite zonder advertenties, zonder social-mediaknoppen die zelf cookies plaatsen, en zonder trackingscripts van derde partijen. Zodra je wel een 'deel deze pagina'-knop van Facebook of LinkedIn insluit, een advertentienetwerk gebruikt, of een ingesloten YouTube-video toont, komt er alsnog een trackingcookie van die derde partij bij, en dan heb je toch een banner nodig.

De praktische vraag is dus niet 'moet ik een cookiebanner hebben', maar 'welke scripts en knoppen zet ik op mijn site, en welke daarvan zijn van een derde partij'. Een site zonder trackingscripts van derden en zonder privacygevoelige statistieken kan het zonder banner af. Zet je er later een advertentiepixel of een social-share-knop bij, dan verandert die situatie.