U ziet ze op vrijwel elke website: de balk of het venster dat vraagt of u cookies accepteert. Veel ondernemers hebben er een op hun eigen site gezet omdat “iedereen dat doet”, zonder precies te weten waarom. Anderen hebben er juist geen, en vragen zich af of ze daarmee een risico lopen. Beide groepen stellen ons dezelfde vraag: is een cookiemelding verplicht, of is het vooral een gewoonte geworden?
Het eerlijke antwoord is: dat hangt af van wat uw website doet. Een eenvoudige bedrijfssite met alleen een contactformulier heeft vaak helemaal geen toestemmingsvenster nodig. Een site met Google Ads-conversiemeting, een Facebook-pixel of een ingesloten YouTube-video daarentegen wel. In dit artikel leggen we uit hoe u dat voor uw eigen site bepaalt en wat u vervolgens regelt.
Wat de wet zegt over cookies
De regels staan niet in de AVG zelf, maar in de Telecommunicatiewet (artikel 11.7a). Die zegt, kort samengevat, dat u toestemming nodig heeft voordat u informatie op het apparaat van een bezoeker plaatst of uitleest, tenzij dat strikt noodzakelijk is voor de dienst die de bezoeker vraagt. De AVG komt er vervolgens bij zodra u met die cookies persoonsgegevens verwerkt, en dat is bij tracking bijna altijd het geval.
De Autoriteit Persoonsgegevens (AP) en de Autoriteit Consument en Markt (ACM) houden hier toezicht op. De AP heeft de afgelopen jaren duidelijk gemaakt dat ze cookiebanners actief controleert, vooral op websites die “weigeren” moeilijker maken dan “accepteren”.
Belangrijk om te weten: de term “cookies” is in de praktijk breder dan het koekje zelf. Ook scripts die een apparaat herkennen via local storage of fingerprinting vallen onder dezelfde regel.
Drie soorten cookies, drie verschillende regels
Het helpt om cookies in drie groepen te verdelen. Voor elke groep gelden andere eisen.
1. Functionele cookies: geen toestemming nodig
Dit zijn cookies die de site nodig heeft om te werken. Denk aan het onthouden van een winkelwagen, een ingelogde sessie, een taalkeuze of de instelling dat iemand de cookiebanner al heeft gezien. WordPress zelf plaatst bij gewone bezoekers geen cookies; pas bij inloggen of reageren gebeurt dat. WooCommerce plaatst sessiecookies voor de winkelwagen. Allemaal functioneel, allemaal zonder melding toegestaan.
2. Analytische cookies: meestal zonder toestemming, onder voorwaarden
Statistieken bijhouden mag zonder toestemming, zolang de impact op de privacy gering is. De AP heeft daarvoor een handleiding gepubliceerd voor het privacyvriendelijk instellen van Google Analytics. In grote lijnen komt het neer op: een verwerkersovereenkomst met Google, het IP-adres maskeren, gegevens niet delen met andere Google-diensten en geen advertentiefuncties inschakelen. Met Google Analytics 4 is een deel van die instellingen veranderd en is het lastiger geworden om aan alle voorwaarden te voldoen. Privacyvriendelijke alternatieven zoals Matomo (zelf gehost), Plausible of Fathom zijn daarom bij veel Nederlandse bedrijven in trek: ze werken zonder cookies of met cookies die geen toestemming vereisen.
3. Tracking- en marketingcookies: altijd toestemming vooraf
Alles wat bezoekers volgt over meerdere websites of profielen opbouwt voor advertenties valt hieronder. De Facebook-pixel, Google Ads-remarketing, LinkedIn Insight Tag, Hotjar-opnames en ook ingesloten video’s van YouTube (die plaatsen cookies zodra de pagina laadt, niet pas bij afspelen). Deze mogen pas worden gezet nadat de bezoeker actief “ja” heeft gezegd. Doorscrollen of de banner negeren telt niet als toestemming.
Wanneer is een cookiemelding verplicht voor uw site?
Loop deze vragen langs. Zodra u ergens “ja” antwoordt, heeft u een toestemmingsvenster nodig dat de betreffende scripts tegenhoudt tot de bezoeker akkoord gaat.
- Gebruikt u Google Ads, Meta-advertenties of een andere advertentiekoppeling die conversies meet op uw site?
- Staat er een Facebook-pixel, LinkedIn-tag of vergelijkbaar script in uw thema, in Google Tag Manager of in een plugin?
- Gebruikt u Hotjar, Microsoft Clarity of een andere tool die muisbewegingen en sessies opneemt?
- Zijn er YouTube- of Vimeo-video’s ingesloten zonder “privacy-enhanced mode” of zonder een klik-om-te-laden-oplossing?
- Gebruikt u Google Analytics zonder de privacyvriendelijke instellingen, of met “Google Signals” ingeschakeld?
- Staan er social-mediaknoppen op de site die rechtstreeks door Facebook, X of Instagram worden geladen?
Antwoordt u overal “nee”? Dan heeft u strikt genomen geen banner nodig. Wel moet u in uw privacyverklaring vermelden welke cookies u plaatst en waarom. Veel ondernemers kiezen dan voor een klein, niet-blokkerend berichtje (“Wij gebruiken alleen functionele en anonieme statistiekcookies”) als service naar de bezoeker. Dat is netjes, maar geen wettelijke eis.
Waar het in de praktijk misgaat
In onze ervaring zijn er drie fouten die we bij Nederlandse websites steeds terugzien.
De banner is er wel, maar blokkeert niets. Dit is verreweg de meest voorkomende. Een plugin toont een mooi venster, maar de tracking-scripts laden gewoon door, ongeacht wat de bezoeker kiest. U kunt dit zelf controleren: open uw site in een privévenster, klik niets aan in de banner, en bekijk via de ontwikkelaarstools van uw browser (tabblad Application of Opslag) welke cookies er al staan. Ziet u _fbp, _gcl_au of iets van doubleclick.net? Dan houdt uw banner niets tegen.
Weigeren is verstopt. Een grote groene knop “Accepteren” en een grijs linkje “Instellingen” waarachter u drie keer moet klikken om te weigeren. De AP heeft hierover meerdere keren gewaarschuwd: weigeren moet net zo makkelijk zijn als accepteren.
Een cookiewall. De site is niet te gebruiken zonder akkoord. Volgens de AP is dat geen vrije toestemming en dus niet toegestaan.
Een voorbeeld uit de praktijk: een installatiebedrijf in Apeldoorn had een cookiebanner van een gratis plugin. Bij een controle bleek dat Google Tag Manager al bij het laden van de pagina de Ads-conversietag activeerde. De banner was puur decoratie. De oplossing was niet ingewikkeld, maar vroeg wel om de juiste koppeling tussen de consent-tool en Tag Manager, en een test in een schone browser.
Zo regelt u het netjes in WordPress
- Inventariseer. Maak een lijst van alle scripts en plugins die iets van derden laden. Vergeet Tag Manager niet; daar zit vaak meer in dan u denkt.
- Verwijder wat u niet gebruikt. Een Facebook-pixel van een campagne uit 2021 die nooit is opgeruimd, is een verplichting zonder opbrengst.
- Kies een consent-oplossing die echt blokkeert. Complianz is populair onder Nederlandse sites en biedt een Nederlandse configuratie; CookieYes en Cookiebot werken ook. Let op de koppeling met Google Consent Mode v2 als u Google Ads gebruikt.
- Stel de categorieën in. Functioneel altijd aan, statistieken afhankelijk van uw instellingen, marketing standaard uit.
- Test in een schone browser. Eerst zonder klikken, dan na weigeren, dan na accepteren. Bij elke stap controleert u welke cookies er staan.
- Werk uw privacyverklaring bij. De cookielijst hoort daarin, met bewaartermijnen. Een goed opgezette privacyverklaring vermeldt ook hoe bezoekers hun keuze later kunnen aanpassen.
Een cookiebanner is bovendien geen eenmalige klus. Elke nieuwe plugin, elke marketingcampagne en elke thema-update kan ongemerkt een nieuw script toevoegen. Wie de site laat onderhouden, doet er goed aan af te spreken dat dit bij het periodieke werk hoort. Bij een beveiligingscontrole kijken wij bijvoorbeeld standaard ook naar externe scripts, omdat een ongewenste tracker en een kwaadaardig script technisch op dezelfde manier worden ontdekt.
Cookies zijn één onderdeel van een groter geheel
Een correcte cookiemelding is nuttig, maar het is slechts één van de punten waarop uw website aan de privacyregels moet voldoen. Formulieren, bewaartermijnen, een verwerkersovereenkomst met uw hostingpartij en een beveiligde verbinding horen daar net zo goed bij. Wilt u het hele plaatje langslopen, gebruik dan onze AVG-checklist met twaalf punten.
De concrete volgende stap voor vandaag: open uw website in een privévenster, negeer de banner en kijk welke cookies er al staan. Dat kost vijf minuten en geeft direct antwoord op de vraag of uw huidige oplossing doet wat u denkt dat ze doet. Komt u er niet uit, dan kan een specialist het meestal in een uur voor u in kaart brengen.
