Moet je een cookiebanner op je website hebben?

Je ziet op bijna elke site een cookiemelding en vraagt je af of die van jou er ook een moet hebben. Dat hangt niet af van je branche, maar van welke cookies je site plaatst. Hieronder staat welke dat zijn, wat een geldige toestemming is en wat je bijhoudt. Ik baseer me op de pagina's van de Nederlandse overheid die ik onderaan noem. Het is geen juridisch advies en regels kunnen veranderen, dus lees de bronnen na als er veel van afhangt.

Welke cookies vragen toestemming en welke niet?

Een cookie is een klein bestand dat je site in de browser van een bezoeker zet. De regels staan in de Telecommunicatiewet, en gaat het om persoonsgegevens, dan geldt ook de AVG. Ondernemersplein noemt beide als wettelijke basis. Of je toestemming nodig hebt, hangt af van wat het cookie doet. De overheid maakt dit onderscheid:

Tracking cookies zijn de cookies die het gedrag van een bezoeker op een site volgen en daar een profiel van maken. Rijksoverheid.nl noemt gerichte advertenties als voorbeeld. Een pixel van Meta Ads of remarketing met Google Ads valt daar in de praktijk onder.

Wanneer heb je een cookiebanner nodig?

Zodra je site een cookie plaatst waarvoor toestemming nodig is. Gebruik je alleen functionele cookies en analytische cookies met weinig gevolgen, dan hoef je geen toestemming te vragen. Je moet bezoekers dan wel vertellen dat je cookies plaatst, bijvoorbeeld in je privacyverklaring.

Bij de meeste bedrijfssites die adverteren of meten komt die toestemming er wel bij. Dit zijn de gangbare situaties:

De rij over Google Analytics is bewust vaag. Of een meetprogramma onder de uitzondering voor analytische cookies valt, is aan jou om te kunnen onderbouwen. Ik kies daarom de rustige weg: op mijn eigen site laadt Google Analytics alleen als een bezoeker daar via de banner toestemming voor geeft. Een voorbeeld van wat wel onder de uitzondering kan vallen geeft de ACM op haar eigen site. Zij schrijft dat ze geen tracking cookies gebruikt, de laatste twee groepen cijfers van elk IP-adres weghaalt en de gegevens niet aan derden geeft.

Wat is een geldige toestemming?

Toestemming is geldig als de bezoeker er actief en met een echte keuze voor gekozen heeft. De overheidspagina's noemen deze eisen:

• Een bezoeker moet actief toestemming geven.
• Hij moet een duidelijke keuze hebben om toestemming te geven of te weigeren.
• Je moet vooraf duidelijk zeggen welke gegevens je verzamelt, waarvoor je ze gebruikt, hoe lang je ze bewaart en welke bedrijven ze krijgen.
• Intrekken moet net zo makkelijk zijn als geven.
• Je moet kunnen aantonen dat je toestemming kreeg.
• Een bezoeker die toestemming intrekt, houdt toegang tot je site.

Wat niet telt als toestemming, vind je in deze vergelijking:

De pagina's die ik las zeggen dat de keuze om te accepteren of te weigeren duidelijk zichtbaar moet zijn. Mijn advies is daarom twee knoppen die even opvallen, op dezelfde plek, zodat niemand zich een weg naar weigeren hoeft te zoeken.

Wat moet je vermelden en bijhouden?

Je vertelt bezoekers welke cookies je plaatst, waarom, hoe lang het cookie blijft staan en wie de gegevens ontvangt. Dat zet je in je privacyverklaring of in een aparte cookieverklaring. Ook als je geen toestemming nodig hebt, vermeld je dat je cookies plaatst. Wat er verder op een bedrijfssite hoort te staan, lees je in wat er op een zakelijke website moet staan.

Daarnaast moet je kunnen aantonen dat bezoekers toestemming gaven. De meeste banners bewaren de keuze van elke bezoeker. Vraag aan de leverancier van je banner hoe dat bij jou werkt en of je het kunt terugzien.

Wat doet een banner met je cijfers?

Zegt een bezoeker nee, dan mist hij in je meetgegevens. Google biedt Consent Mode als instelling om de keuze van de bezoeker door te geven aan zijn meetcodes. Hoe dat werkt en wat het met je advertenties doet, leg ik uit in Consent Mode uitgelegd. Wat het betekent voor het tellen van je aanvragen, staat in aanvragen en bestellingen meten.

Reken er dus op dat je cijfers lager uitvallen dan de werkelijkheid, zeker als je banner een echte keuze biedt. Dat is het gevolg van een keuze die de bezoeker mocht maken.

Cookies van externe diensten op je site

Veel sites bouwen iets van een andere partij in: een video, een kaart, een chatvenster of een boekingstool. Zo'n onderdeel kan zelf cookies plaatsen, ook als jij er niets van merkt. Jij blijft de eigenaar van de site en vertelt bezoekers welke bedrijven gegevens ontvangen. Kijk daarom bij elk ingebouwd onderdeel welke cookies het meebrengt. Brengt het cookies mee waarvoor toestemming nodig is, laad het dan pas nadat de bezoeker ja zei en toon tot die tijd een rustige plaatsvervanger.

Zo controleer je je eigen banner

Test hem zoals een bezoeker. Open je site in een privévenster en kijk in de instellingen van je browser welke cookies er staan voordat je ergens op klikt. Staan er al cookies van advertentiepartijen, dan is er geen toestemming gevraagd. Klik daarna op weigeren en kijk of de site blijft werken en er geen nieuwe cookies bijkomen. Controleer tot slot of je de keuze later kunt wijzigen.

Doe dit na elke wijziging aan je site. Een nieuwe meetcode, een ingesloten video of een nieuwe plug-in kan cookies toevoegen waar je banner niets van weet.

Wanneer ik je hierbij help

Op mijn eigen site laden meetcodes pas na toestemming en krijgt de bezoeker een echte keuze. Heb je al een site, dan loop ik na welke cookies er staan en wat je banner doet. Dat is extra werk tegen €80 per uur, exclusief btw, waarvan ik het aantal uren vooraf met je afspreek. Meer over de bedragen staat op Prijzen. Voor de juridische kant raadpleeg je iemand die daarvoor is opgeleid.