Cookiewetgeving België: wat de GBA vraagt voor tracking

Welke cookiewetgeving geldt in België?

In België regelt artikel 10/2 van de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens het plaatsen en lezen van cookies. Je hebt vooraf toestemming nodig voor elke cookie die niet strikt noodzakelijk is. Dat geldt ook voor analytische cookies, en daarin verschilt België van Nederland.

Dit artikel is de Belgische uitwerking van de Europese e-privacyrichtlijn. Zodra cookies persoonsgegevens bevatten, wat volgens de Gegevensbeschermingsautoriteit (GBA) bijna altijd het geval is, geldt daarnaast de AVG. De GBA is de Belgische toezichthouder voor gegevensbescherming. Ze gebruikt de term cookies ruim: ook pixels, local storage en andere technieken die informatie op het toestel van de gebruiker opslaan of uitlezen vallen eronder. Dit artikel is geen juridisch advies.

Welke cookies mogen in België zonder toestemming?

De GBA kent maar twee situaties waarin je geen toestemming nodig hebt, samen de strikt noodzakelijke cookies:

• Strikt noodzakelijke functionele cookies, nodig voor een dienst waar de gebruiker uitdrukkelijk om vraagt, zoals het winkelmandje, de taalkeuze of de bewaarde cookievoorkeur.
• Strikt noodzakelijke technische cookies, nodig om een bericht over een elektronisch communicatienetwerk te verzenden, zoals sessiecookies voor load balancing.

Alles daarbuiten vraagt toestemming. De GBA schrijft uitdrukkelijk dat een cookie voor analytische doeleinden in principe niet aan deze voorwaarden voldoet, omdat hij niet nodig is om de gevraagde dienst te leveren maar alleen statistieken oplevert voor de aanbieder van de website.

→ Cookiebanner met Consent Mode v2: compliant, zonder maandelijkse licentie

Wat is het verschil tussen België en Nederland?

Voor websites die zowel Nederland als Vlaanderen bedienen, is het verschil bij statistiek het belangrijkste punt. In Nederland mogen beperkt analytische cookies met geen of geringe gevolgen voor de privacy zonder toestemming. In België bestaat die uitzondering niet.

De praktische conclusie: richt je website zich ook op Belgische bezoekers, vraag dan voor GA4 en andere statistiektools gewoon toestemming. Eén banner en één instelling voor beide landen is eenvoudiger dan twee varianten. Een aparte instelling per land klinkt nauwkeurig, maar de herkomst van een bezoeker is niet altijd zeker: iemand uit Antwerpen die via een Nederlandse provider surft of een Nederlander op vakantie in de Ardennen valt al snel in de verkeerde groep. De strengste regel voor iedereen toepassen voorkomt die fouten en maakt het testen eenvoudiger.

Wat staat er in de cookie checklist van de GBA?

De GBA heeft een cookie checklist gepubliceerd die helpt om de eigen website na te lopen. De GBA benadrukt dat het een hulpmiddel is en geen nieuwe verplichtingen schept. De toestemming moet volgens de GBA voorafgaand, vrij, specifiek, geïnformeerd, actief en ondubbelzinnig zijn, en bovendien intrekbaar. Concreet betekent dat:

• Geen enkele niet strikt noodzakelijke cookie wordt geplaatst of gelezen voordat de gebruiker toestemming geeft.
• Vooraf aangevinkte vakjes, verder surfen of het aanvaarden van de gebruiksvoorwaarden gelden niet als toestemming.
• De gebruiker krijgt vooraf informatie over de verantwoordelijke, de doeleinden, de verzamelde gegevens en de levensduur van de cookies.
• Toestemming intrekken is even eenvoudig als toestemming geven.
• Doeleinden worden apart gevraagd, bijvoorbeeld eigen reclame, reclame van derden en sociale media.
• Naast een knop “Alles accepteren” staat op dezelfde laag een knop om alle niet strikt noodzakelijke cookies te weigeren.

De GBA vraagt ook dat de informatie in eenvoudige taal staat en in de taal van het doelpubliek. Een Belgische webshop voor Vlaamse en Waalse klanten heeft dus een banner in het Nederlands en het Frans nodig.

→ Google Consent Mode v2 correct instellen: geen waarschuwing in Tag Assistant

Hoe toon je aan dat je toestemming hebt gekregen?

Onder de AVG moet je kunnen aantonen dat een bezoeker toestemming gaf. Voor cookies betekent dat: je bewaart per keuze wanneer die is gemaakt, voor welke doeleinden en met welke versie van de banner. Dat laatste wordt vaak vergeten. Pas je de tekst of de doeleinden van je banner aan, dan moet je later nog kunnen laten zien welke tekst een bezoeker op het moment van zijn keuze zag. De cookie checklist van de GBA noemt daarom ook het bijhouden van de wijzigingen aan het toestemmingsmechanisme.

Bewaar daarbij niet meer dan nodig. Een willekeurige identificatie, het tijdstip, de gekozen doeleinden en de versie van de banner zijn genoeg om de toestemming aan te tonen. De cookie die de keuze van de bezoeker onthoudt, mag volgens de GBA maar beperkt worden bewaard; zes maanden vindt de GBA in beginsel redelijk. Verandert je website ingrijpend, bijvoorbeeld omdat je een nieuw advertentieplatform toevoegt, vraag dan opnieuw toestemming. Een eerdere toestemming geldt immers alleen voor de doeleinden die de bezoeker toen kende.

Hoe zet je dit om in Google Tag Manager?

Google Tag Manager moet de keuze uit de banner precies volgen. Met Google Consent Mode v2 zet je bij het laden de standaardwaarden van analytics_storage, ad_storage, ad_user_data en ad_personalization op “denied”. Pas na een keuze in de banner worden de gekozen waarden op “granted” gezet. Tags van Meta, LinkedIn en andere platforms laden alleen met een trigger die op de toestemming voor marketing wacht.

Voor België is één punt extra belangrijk: GA4 hoort onder statistiek en mag dus niet als noodzakelijk worden ingesteld. Test daarna in de voorbeeldmodus drie situaties: geen keuze, alles geweigerd en alles geaccepteerd. Na weigeren mogen er geen cookies van GA4 of advertentieplatforms staan.

Voorbeeld: webshop in Gent met klanten in beide landen

Een webshop voor fietsonderdelen uit Gent verkoopt in Vlaanderen en Nederland. GA4 was als noodzakelijke dienst ingesteld, op basis van uitleg die voor Nederland was geschreven. Na de aanpassing staat GA4 onder statistiek, de banner is beschikbaar in het Nederlands en het Frans en de keuzes per doel staan niet vooraf aan. De webshop ziet in GA4 minder sessies, maar de aankopen worden daarnaast in het eigen shopsysteem geteld, zodat de omzetcijfers betrouwbaar blijven.

Wil je weten wat je eigen website laadt vóór en na de keuze in de banner? De gratis check van Trackum op trackum.app/check opent je startpagina drie keer in een echte browser, zonder keuze, na weigeren en na accepteren, plus twee subpagina's, en toont welke tags en cookies er laden. Trackum kan gevonden fouten daarna voor € 79 (excl. btw) in je bestaande Google Tag Manager oplossen en testen.