Heb je een cookiebanner nodig? Toestemmingsregels per regio

Doorloop deze stappen met de ontwikkelaarstools van je browser geopend in een nieuw, privévenster:

1. Maak een lijst van elke cookie en elk opslagitem dat je site plaatst, en van elk verzoek aan derden dat de site doet voordat je ergens op klikt.
2. Deel elk item in: strikt noodzakelijk, voorkeuren, analytics, advertenties of ingesloten content.
3. Kijk waar je bezoekers vandaan komen. Heb je bezoekers uit de EU of het VK, dan gelden toestemmingsregels voor de niet-vrijgestelde items. Bedien je alleen de VS, richt je dan op opt-outrechten en informatie.
4. Pas de uitzonderingen eerlijk toe. Controleer in het VK de voorwaarden voor statistiek en weergave. Controleer in EU-landen de nationale richtlijnen over analytics.
5. Beslis. Blijft er voor bezoekers uit de EU of het VK iets over dat niet is vrijgesteld, dan heb je een toestemmingsbanner nodig die het blokkeert totdat mensen akkoord gaan.
6. Werk het privacybeleid bij zodat het de cookies, het toestemmingsgedrag en de manier om keuzes te wijzigen beschrijft.

Is de lijst kort, overweeg dan om tools te verwijderen in plaats van een banner toe te voegen. Zelf gehoste lettertypen, embeds die pas na een klik laden en het schrappen van ongebruikte pixels kunnen ervoor zorgen dat je alleen essentiële cookies overhoudt. Voor het beleid zelf, zie hoe je een privacybeleid voor een website maakt.

De uitzondering voor strikt noodzakelijke cookies is smaller dan veel banners beweren. Vraag je af of de dienst waar de gebruiker om vroeg zonder de cookie niet zou werken, vanuit het perspectief van de gebruiker en niet van het bedrijf.

Meestal vrijgesteld:

• Sessiecookies die iemand ingelogd houden of een winkelwagen onthouden.
• Beveiligingscookies die fraude voorkomen of inlogformulieren beschermen.
• Load-balancingcookies die verzoeken routeren.
• Een cookie die de toestemmingskeuze van de bezoeker onthoudt.
• Voorkeuren die de gebruiker zelf voor de huidige dienst heeft ingesteld, zoals taal, volgens de lezing van sommige toezichthouders.

Meestal niet vrijgesteld:

• Advertentie-, retargeting- en socialemediapixels.
• De meeste analytics van derden.
• Ingesloten video's en socialemediaposts die hun eigen cookies plaatsen.
• Tools voor A/B-tests en personalisatie.

Sommige toezichthouders erkennen een smalle tussenzone. De Franse CNIL accepteert bijvoorbeeld dat bezoekersmeting vrijgesteld kan zijn als die strikt beperkt blijft tot het meten van de site voor de uitgever, anonieme statistieken oplevert en mensen niet over sites heen volgt, met voorwaarden voor de levensduur van cookies en de bewaring van gegevens. Controleer de richtlijnen in elk land waarop je je richt voordat je op zo'n uitzondering vertrouwt.

Heb je toestemming nodig, dan moet de banner die op de juiste manier verzamelen. Europese toezichthouders zijn duidelijk over de veelvoorkomende fouten. Het rapport van de Cookie Banner Taskforce van het Europees Comité voor gegevensbescherming stelde vast dat de meeste autoriteiten een banner zonder weigeroptie op dezelfde laag als de accepteeroptie als een inbreuk beschouwen, en het bekritiseerde misleidende knopontwerpen en cookies die ten onrechte als essentieel worden aangeduid.

Een praktische checklist:

• Blokkeer vóór toestemming: niet-essentiële cookies en scripts mogen niet laden totdat de bezoeker akkoord gaat.
• Weigeren even makkelijk als accepteren: bied op de eerste laag een knop om te weigeren naast de knop om te accepteren.
• Geen vooraf aangevinkte vakjes: categorieën staan standaard uit.
• Gedetailleerde keuzes: laat mensen analytics accepteren zonder advertenties te accepteren.
• Duidelijke informatie: noem de doelen en de betrokken derden, en link naar je privacybeleid.
• Eenvoudig intrekken: een permanente link zoals Cookie-instellingen laat mensen even makkelijk van gedachten veranderen als ze toestemming gaven.
• Vastlegging: bewaar bewijs van toestemming waar je erop steunt.

Volgens Europese richtlijnen leveren cookiewalls, die de toegang blokkeren tenzij mensen accepteren, doorgaans ook geen geldige toestemming op. Een banner die alleen zegt “door deze site te gebruiken accepteer je cookies” faalt op bijna elk punt van deze lijst.

De Europese regel komt uit artikel 5, lid 3, van de e-privacyrichtlijn, niet uit de AVG zelf. Die bepaalt dat het opslaan van informatie op het apparaat van een gebruiker, of toegang krijgen tot informatie die daar al is opgeslagen, alleen is toegestaan als de gebruiker toestemming heeft gegeven na duidelijke en volledige informatie te hebben gekregen. Elk EU-land zet de richtlijn om in eigen wetgeving, dus de details verschillen een beetje.

Er zijn twee uitzonderingen:

1. Opslag of toegang met als enig doel de verzending van een communicatie via een netwerk uit te voeren.
2. Opslag of toegang die strikt noodzakelijk is voor de aanbieder om een dienst te leveren waar de gebruiker uitdrukkelijk om heeft gevraagd.

Drie punten verrassen veel site-eigenaren:

• Het gaat niet alleen om cookies. Local storage, pixels, SDK's en technieken voor device fingerprinting kunnen allemaal onder de regel vallen.
• Het geldt ongeacht of de gegevens persoonsgegevens zijn. De trigger is de toegang tot het apparaat.
• Toestemming volgt de AVG-norm. Die moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn en gegeven worden door een duidelijke actieve handeling. In de zaak Planet49 oordeelde het Hof van Justitie van de EU dat een vooraf aangevinkt vakje geen geldige toestemming oplevert.

Vaak wel, maar de Britse regels zijn veranderd. De Britse tegenhanger van de e-privacyregel is regulation 6 van de Privacy and Electronic Communications Regulations. De Data (Use and Access) Act 2025 heeft die gewijzigd, en de relevante bepalingen zijn op 5 februari 2026 in werking getreden.

De richtlijnen van de ICO beschrijven nu vijf uitzonderingen op de toestemmingsplicht:

1. Communicatie: uitsluitend om een communicatie te verzenden.
2. Strikt noodzakelijk: essentieel om de dienst te leveren waar de gebruiker om vraagt.
3. Statistische doeleinden: uitsluitend om statistische informatie te verzamelen over hoe je dienst wordt gebruikt, met het oog op verbetering ervan.
4. Weergave: uitsluitend om de weergave of functionaliteit van de dienst aan te passen aan de voorkeuren van de gebruiker.
5. Noodhulp: uitsluitend om een apparaat te lokaliseren om noodhulp te bieden.

Aan de uitzonderingen voor statistiek en weergave zijn voorwaarden verbonden. Je moet duidelijke en volledige informatie geven en een eenvoudige, kosteloze manier om bezwaar te maken. Voor analytics zegt de ICO dat gegevens geaggregeerd moeten zijn, niet gebruikt mogen worden om mensen te volgen of te profileren of voor advertenties, en dat een externe aanbieder alleen namens jou mag handelen en de gegevens niet voor eigen doeleinden mag gebruiken. Onlineadvertenties komen nooit in aanmerking. Een Britse site die alleen first-party, geaggregeerde analytics gebruikt, kan een toestemmingsvraag dus mogelijk vermijden, maar de meeste advertentie-opstellingen hebben er nog steeds een nodig.

Er is geen algemene Amerikaanse wet die opt-intoestemming vereist voordat je cookies plaatst. Het Amerikaanse model draait om informatie en opt-out, dus een banner in Europese stijl is vaak niet wettelijk verplicht, al gebruiken veel Amerikaanse bedrijven er een om keuzes te beheren.

Wat Amerikaanse wetten wel verwachten:

• CCPA in Californië: bedrijven die de drempels halen en persoonsgegevens verkopen of delen, ook voor cross-context behavioral advertising, moeten een opt-out bieden, meestal een link Do Not Sell or Share My Personal Information, en moeten opt-outvoorkeursignalen zoals Global Privacy Control respecteren.
• Andere privacywetten van staten: veel daarvan geven consumenten het recht zich af te melden voor gerichte reclame, en verschillende verplichten bedrijven om universele opt-outmechanismen te respecteren. Sommige vereisen opt-intoestemming voor gevoelige gegevens.
• CalOPPA: vereist dat je privacybeleid vermeldt hoe je reageert op Do Not Track-signalen en of derden informatie mogen verzamelen over de onlineactiviteiten van bezoekers op verschillende sites in de loop van de tijd.
• COPPA: sites die op kinderen jonger dan 13 zijn gericht, hebben doorgaans verifieerbare ouderlijke toestemming nodig voordat ze persistente identificatoren voor gedragsgerichte advertenties verzamelen.

Zie het overzicht van Amerikaanse privacywetten per staat voor welke staten van toepassing zijn en hoe hun opt-outregels verschillen.

Google voegt contractuele eisen toe bovenop de wet. Het EU-beleid voor toestemming van gebruikers van Google geldt voor eindgebruikers in de Europese Economische Ruimte, het VK en Zwitserland. Gebruik je Google-producten zoals Google Analytics, Google Ads of AdSense, dan moet je rechtsgeldige toestemming verkrijgen voor cookies of andere lokale opslag waar de wet dat vereist, en voor het verzamelen, delen en gebruiken van persoonsgegevens voor gepersonaliseerde advertenties. Je moet ook toestemmingen vastleggen, duidelijke instructies geven om toestemming in te trekken en elke partij noemen die persoonsgegevens kan verzamelen, ontvangen of gebruiken.

Twee praktische gevolgen:

• Uitgevers: Google verplicht uitgevers die AdSense, Ad Manager of AdMob gebruiken om een door Google gecertificeerd consent management platform te gebruiken wanneer ze advertenties tonen aan gebruikers in de EER en het VK.
• Adverteerders en gebruikers van analytics: met de toestemmingsmodus van Google (consent mode) geeft je banner de toestemmingsstatus voor opslag, advertentiegebruikersgegevens en gepersonaliseerde advertenties door aan Google-tags, die hun gedrag daarop aanpassen.

Beschrijf in je privacybeleid wat je ook implementeert. De gids over het privacybeleid voor Google Analytics en de privacyinformatie over analytics leggen de bijbehorende formuleringen uit.

Ja, in de meeste gevallen, omdat ze verschillende taken hebben. De banner verzamelt of registreert keuzes op het moment dat iemand binnenkomt. Het privacybeleid legt je verwerking volledig uit: wat elke tool verzamelt, waarom, wie het ontvangt, hoe lang het wordt bewaard en hoe mensen van gedachten kunnen veranderen.

De twee moeten met elkaar overeenkomen. Staat in je beleid dat analytics pas na toestemming draaien, dan moet de banner ze tot dat moment ook echt blokkeren. Gaan tags af voordat er een keuze is gemaakt, dan mag je beleid niet het tegendeel beweren.

Legal Policy Generator schrijft de kant van het beleid, niet de banner. Hij levert geen cookiebanner of tool voor toestemmingsbeheer. De vragenlijst vraagt welke trackingtechnologieën je gebruikt, of niet-essentiële tracking pas na toestemming start of al daarvoor met een opt-out, en hoe mensen hun voorkeuren kunnen wijzigen, en kiest daarna passende clausules voor de regio's die je bedient. Je kunt beginnen met de Privacybeleid Generator en het resultaat combineren met een toestemmingstool naar keuze.

Wil je ook een apart cookiedocument, lees dan privacybeleid vs. cookiebeleid om te bepalen of dat voor je site iets toevoegt.