Cookiewet in Nederland: wat mag zonder toestemming?

Wat zegt de cookiewet?

De cookiewet is artikel 11.7a van de Telecommunicatiewet: je mag alleen informatie op het apparaat van een bezoeker opslaan of uitlezen als je hem vooraf duidelijk informeert en hij toestemming geeft. Uitgezonderd zijn functionele cookies en beperkt analytische cookies met geen of geringe gevolgen voor de privacy. Voor trackingcookies heb je dus altijd toestemming nodig.

Naast de cookiewet geldt de Algemene verordening gegevensbescherming (AVG). Zodra je met cookies, pixels of scripts persoonsgegevens verwerkt, en dat is bij trackingcookies vrijwel altijd zo, moet die verwerking ook aan de AVG voldoen. De toestemming moet dan vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Een vinkje dat al aanstaat of de tekst dat je akkoord gaat door verder te surfen, telt niet als toestemming.

De regel gaat niet alleen over cookies in de strikte zin. Ook vergelijkbare technieken vallen eronder, zoals pixels, local storage en scripts die gegevens van het apparaat lezen. Voor een marketeer betekent dat: Google Analytics 4 (GA4), de Meta Pixel, de Google Ads-conversietag en de LinkedIn Insight Tag horen allemaal achter een keuze van de bezoeker, tenzij een uitzondering echt van toepassing is. Dit artikel is geen juridisch advies.

Welke cookies mogen zonder toestemming?

De Autoriteit Persoonsgegevens (AP) onderscheidt drie soorten cookies: functionele cookies, beperkt analytische cookies en overige cookies. Alleen de eerste twee mogen zonder toestemming, en ook dan moet je bezoekers vertellen dat je ze gebruikt.

De lastige categorie is de middelste. Een analysetool valt alleen onder de uitzondering als de gevolgen voor de privacy echt gering zijn. Deel je gegevens met een advertentieplatform, koppel je ze aan advertentieprofielen of volg je bezoekers over meerdere websites, dan is het geen beperkt analytische cookie meer. Twijfel je, behandel de cookie dan als een cookie waarvoor toestemming nodig is.

→ Cookiebanner met Consent Mode v2: compliant, zonder maandelijkse licentie

Wie houdt toezicht: de AP of de ACM?

Twee toezichthouders zijn betrokken bij cookies. De Autoriteit Consument & Markt (ACM) legt op haar website uit welke cookies bedrijven zonder toestemming mogen plaatsen en wijst erop dat vooraf aangevinkte keuzes niet zijn toegestaan. De AP houdt toezicht op de verwerking van persoonsgegevens onder de AVG. Omdat trackingcookies bijna altijd persoonsgegevens verwerken, krijg je in de praktijk vooral met de AP te maken.

De AP schrijft dat zij sinds 2024 strenger controleert op het gebruik van cookies. Zij scant cookiebanners van websites automatisch om na te gaan of ze aan de eisen voldoen, en organisaties die de regels niet volgen, krijgen eerst een waarschuwing en de kans om hun banner aan te passen. Bij ernstige overtredingen of als een organisatie weigert haar banner aan te passen, kan een boete volgen. In juli 2024 legde de AP het bedrijf achter Kruidvat.nl een boete op van € 600.000 voor trackingcookies zonder geldige toestemming.

Wat eist de AP van een cookiebanner?

De AP heeft vuistregels gepubliceerd voor een heldere cookiebanner. Ze komen erop neer dat weigeren net zo makkelijk moet zijn als accepteren en dat de bezoeker vooraf weet waarvoor hij kiest. De belangrijkste punten voor de meeste websites:

• Vertel vóór de keuze voor welke doelen je cookies gebruikt en welke gegevens je verwerkt.
• Zet vinkjes en schuifjes niet automatisch aan, ook niet in een tweede laag.
• Zet de knoppen voor accepteren en weigeren op dezelfde laag, even goed zichtbaar.
• Laat weigeren niet meer klikken kosten dan accepteren en verstop de weigeroptie niet in een link in de tekst.
• Maak toestemming intrekken net zo makkelijk als toestemming geven, bijvoorbeeld met een vast icoon op elke pagina.

Een cookiewall, waarbij je de website niet kunt gebruiken als je trackingcookies weigert, is volgens de AP onder de AVG niet toegestaan. Bezoekers moeten de site normaal kunnen gebruiken, ook zonder toestemming.

→ Google Consent Mode v2 correct instellen: geen waarschuwing in Tag Assistant

Hoe zet je de cookiewet om in Google Tag Manager?

Google Tag Manager is de plek waar de keuze uit de cookiebanner werkelijk wordt uitgevoerd. Een nette cookiebanner helpt niet als de tags al laden voordat de bezoeker iets heeft gekozen. Met Google Consent Mode v2 geef je de status van de toestemming door aan alle Google-tags.

Zet bij het laden van de pagina de standaardwaarden voor analytics_storage, ad_storage, ad_user_data en ad_personalization op “denied”. Zodra de bezoeker in de banner kiest, werkt de banner deze waarden bij. Tags van andere platforms, zoals de Meta Pixel of de LinkedIn Insight Tag, laat je pas afgaan met een trigger die op de toestemming wacht. Test daarna in de voorbeeldmodus van Google Tag Manager drie situaties: geen keuze gemaakt, alles geweigerd en alles geaccepteerd.

Voorbeeld: installatiebedrijf met offerteformulier

Een installatiebedrijf uit Utrecht adverteert met Google Ads en meet offerteaanvragen in GA4. Na een aanpassing van de website laadt de Google Ads-conversietag al bij het openen van de pagina, nog voordat de cookiebanner zichtbaar is. Op papier klopt alles: de banner heeft een knop “Weigeren” op de eerste laag. In werkelijkheid worden de advertentiecookies al geplaatst vóór de keuze.

De oplossing is klein. De tag krijgt de juiste instellingen voor toestemming, de standaardwaarden staan op “denied” en de conversie wordt pas gemeten als de bezoeker toestemming heeft gegeven. Wie weigert, kan het formulier gewoon versturen. Google Ads krijgt via Consent Mode alleen de signalen die zonder toestemming zijn toegestaan.

Hoe controleer je of je website de cookiewet volgt?

Open je website in een privévenster, open de ontwikkelaarstools van je browser en kijk bij Application of Opslag welke cookies er staan voordat je iets kiest. Kijk in het tabblad Netwerk of er al verzoeken naar Google Ads, Meta of andere advertentieplatforms gaan. Herhaal dat na “Weigeren” en na “Accepteren”. Na “Weigeren” mogen er geen trackingcookies verschijnen.

Wil je dat niet handmatig doen, gebruik dan de gratis check van Trackum op trackum.app/check. Een echte browser opent je startpagina drie keer, zonder keuze, na weigeren en na accepteren, plus twee subpagina's, en laat zien welke tags en cookies daarbij laden. De check is gratis, zonder aanmelding en duurt ongeveer twee minuten. Vindt hij fouten, dan kan Trackum ze voor een vaste prijs van € 79 (excl. btw) in je bestaande Google Tag Manager oplossen en testen.