Een cookiebanner is verplicht zodra je website cookies of andere trackers plaatst die niet strikt noodzakelijk zijn: statistieken, advertentiepixels, marketingtools. Gebruik je enkel technisch noodzakelijke cookies, dan heb je geen toestemming nodig.
Hieronder lees je wat de Gegevensbeschermingsautoriteit van je banner verwacht, wat Google Consent Mode v2 met je cijfers doet en welke fouten we het vaakst zien. KNEET is geen advocaat: bij twijfel over jouw situatie vraag je best advies aan een jurist of privacyspecialist.
TL;DR
Wat: Voor elke cookie of tracker die niet strikt noodzakelijk is, heb je vooraf de toestemming van je bezoeker nodig. Dat geldt ook voor Google Analytics en de Meta-pixel.
Hoe: Alles weigeren moet even makkelijk zijn als alles aanvaarden, op dezelfde laag. Geen vooraf aangevinkte vakjes, keuze per doel, en je bewaart wat je bezoeker koos.
Conclusie: Een correcte banner kost je data. Consent Mode v2 vult een deel aan met modellen, maar je cijfers zullen lager liggen dan voorheen. Dat is normaal.
1) Is een cookiebanner in België verplicht?
Ja, zodra je iets plaatst of uitleest op het toestel van je bezoeker dat niet strikt noodzakelijk is om je site te laten werken. Dan heb je vooraf zijn toestemming nodig, en een cookiebanner is de manier om die te vragen.
In België staat die regel in artikel 10/2 van de wet van 30 juli 2018 over de bescherming van persoonsgegevens. De Gegevensbeschermingsautoriteit (GBA) ziet erop toe. De voorwaarden voor geldige toestemming komen uit de GDPR.
Gaat het enkel over cookies?
Nee. De GBA zegt in haar cookie-checklist uitdrukkelijk dat ook pixels, local storage, device fingerprinting en tracking in apps eronder vallen. De Meta-pixel, de tag van Google Ads, LinkedIn Insight, TikTok, Hotjar: allemaal toestemming nodig.
En Google Analytics?
Ook. Hier verschillen de landen. Sommige Europese toezichthouders laten eenvoudige bezoekersstatistieken onder strikte voorwaarden toe zonder toestemming. De Belgische GBA doet dat niet: volgens haar checklist valt het tellen van bezoekers in principe niet onder de strikt noodzakelijke cookies. Wie GA4 gebruikt, vraagt dus toestemming.
Een banner is dus niet verplicht als je site geen enkele niet-noodzakelijke tracker gebruikt. Dat komt minder vaak voor dan je denkt: een ingesloten YouTube-video, een Google Maps-kaartje of een chatwidget plaatst vaak zelf cookies.
2) Welke cookies mag je plaatsen zonder toestemming?
Enkel de cookies die strikt noodzakelijk zijn. De GBA onderscheidt er twee soorten:
- Technisch noodzakelijke cookies, die nodig zijn om een communicatie over het netwerk te laten verlopen. Denk aan load balancing.
- Functioneel noodzakelijke cookies, die nodig zijn om een dienst te leveren waar je bezoeker zelf uitdrukkelijk om vraagt. De voorbeelden van de GBA: je taalkeuze, je cookievoorkeuren en de inhoud van je winkelmandje.
Strikt is hier het sleutelwoord. "Handig voor ons" of "nodig voor onze marketing" is niet hetzelfde als strikt noodzakelijk. Een cookie die je winkelmandje onthoudt, mag. Een cookie die onthoudt welke producten iemand bekeek om hem later een advertentie te tonen, mag niet zonder toestemming.
Hoe weet je welke cookies je site plaatst?
Open je site in een privévenster, open de ontwikkelaarstools van je browser en kijk onder "Opslag" of "Application" welke cookies er staan voor je iets aanklikt. Staat daar al een cookie van Google Analytics, Meta of een andere marketingdienst, dan loopt er iets fout. Een goede cookietool scant je site ook automatisch en zet elke cookie in een categorie. Controleer die indeling wel zelf: scanners vergissen zich.
3) Wat vraagt de GBA van je cookiebanner?
Dat de toestemming voorafgaand, vrij, specifiek, geïnformeerd en ondubbelzinnig is, en dat je ze kan aantonen. De cookie-checklist van de GBA vertaalt dat in concrete punten. De GBA noemt het zelf een hulpmiddel en geen volledige lijst, maar het is wel de beste aanwijzing van wat ze bij een controle verwacht.
Voor je iets plaatst
- Je plaatst geen enkele niet-noodzakelijke cookie voor je bezoeker toestemming gaf. Dus ook niet "al even" tot hij kiest.
Weigeren even makkelijk als aanvaarden
- Naast een knop Alles aanvaarden staat op dezelfde laag een knop Alles weigeren. Een knop "Instellingen" naast "Alles aanvaarden" volstaat volgens de GBA niet.
- Geen cookiewall: je site blijft bruikbaar voor wie weigert.
- Geen misleidend ontwerp, zoals een felgekleurde aanvaardknop naast een grijze weigerknop. De GBA geeft als goed voorbeeld twee knoppen die er hetzelfde uitzien.
Keuze per doel
- Uiterlijk op een tweede laag kan je bezoeker per doel kiezen: statistieken, eigen advertenties, advertenties van derden, sociale media.
- Geen vooraf aangevinkte vakjes, op geen enkele laag.
- Verder surfen, de banner wegklikken of niets doen is geen toestemming.
- Toestemming koppel je niet aan het aanvaarden van je algemene voorwaarden of je privacyverklaring.
Duidelijke informatie
- De eerste laag zegt kort waarvoor je toestemming vraagt, wie de cookies plaatst, wat er gebeurt als je weigert en hoe je je keuze later wijzigt.
- Een volgende laag bevat de volledige lijst van cookies, per categorie, met doel, bewaartermijn en ontvanger.
Bewijs en intrekking
- Je bewaart de keuze van je bezoeker niet onbeperkt. De GBA vindt 6 maanden in principe redelijk, daarna vraag je opnieuw.
- Je houdt bij hoe je banner en je cookiebeleid doorheen de tijd veranderden, met een datum en versienummer.
- Toestemming intrekken is even eenvoudig als ze geven, bijvoorbeeld via een link of knopje dat altijd zichtbaar is. En intrekken moet ook echt werken.
Dat de GBA dit ernstig neemt, blijkt uit haar beslissingen. In een beslissing uit 2024 rekende ze een bedrijf onder meer aan dat er geen weigeroptie op de eerste laag van de banner stond, en dat weigeren een link naar een andere pagina was terwijl aanvaarden een gewone knop was.
4) Wat doet Google Consent Mode v2 met je cijfers?
Het geeft de keuze van je bezoeker door aan Google, zodat de tags van Analytics en Google Ads zich daaraan aanpassen. Consent Mode is zelf geen banner. Je hebt nog altijd een cookiebanner nodig die de keuze vraagt.
Versie 2 voegde in november 2023 twee signalen toe: ad_user_data, of je gegevens van de gebruiker naar Google mag sturen voor advertenties, en ad_personalization, of je die mag gebruiken voor gepersonaliseerde advertenties en remarketing. Sinds maart 2024 verwacht Google voor bezoekers uit de Europese Economische Ruimte dat adverteerders die signalen doorgeven. Doe je dat niet, dan verlies je functies zoals remarketing en de opbouw van doelgroepen in Google Ads.
Basis of geavanceerd?
- Basis: de Google-tags laden pas nadat je bezoeker koos. Weigert hij, dan gaat er niets naar Google.
- Geavanceerd: de tags laden meteen, maar sturen bij weigering enkel zogenaamde pings zonder cookies. Google gebruikt die om ontbrekende conversies en bezoeken te modelleren.
Google zegt zelf dat de geavanceerde variant een gedetailleerder model oplevert. Of die variant voor jou juridisch aanvaardbaar is, is een vraag voor je jurist of privacyverantwoordelijke: ook een ping zonder cookies vertrekt van het toestel van je bezoeker. Wij kiezen per klant, na overleg.
Wat merk je in je rapporten?
Minder data. Wie weigert, verschijnt niet of enkel gemodelleerd in je cijfers. Modellering werkt bovendien pas boven een minimum aan verkeer, dus voor een kleinere site vult ze weinig aan. Verwacht dat je bezoekers en conversies in GA4 lager liggen dan voor je banner correct werkte. Dat betekent niet dat je minder verkoopt. Het betekent dat je minder ziet.
Daarom kijken we naast GA4 altijd naar wat je zelf weet: bestellingen in je webshop, aanvragen in je mailbox, telefoontjes. Wil je het onderste uit de kan voor je advertenties, bekijk dan ook server-side tracking. Ook daar blijft toestemming de basis.
5) Welke cookietool kies je?
Een tool die doet wat de GBA vraagt, Consent Mode v2 ondersteunt en je cookies automatisch blokkeert tot er toestemming is. Zo'n tool heet een consent management platform, of CMP.
Waar je op let:
- Alles weigeren op de eerste laag, met dezelfde vormgeving als alles aanvaarden. Sommige tools zetten dat standaard niet aan. Kijk dat na.
- Automatisch blokkeren van scripts voor de toestemming. Een banner die enkel een melding toont terwijl de pixel al afgevuurd is, doet niets.
- Consent Mode v2 ingebouwd, en bij voorkeur een CMP die Google zelf als partner vermeldt als je Google Ads gebruikt.
- Registratie van toestemmingen, zodat je kan aantonen wie wanneer wat koos.
- Nederlands en Frans, als je een Belgisch publiek hebt.
- Een cookiescanner die je lijst up-to-date houdt.
Bekende namen zijn Cookiebot, CookieYes, Usercentrics en, voor WordPress, Complianz. Wij zeggen niet dat één ervan de beste is. Elke tool kan correct of fout ingesteld worden, en dat laatste zien we vaker dan een slechte tool. Prijzen hangen af van het aantal pagina's en bezoekers en veranderen geregeld, dus bekijk ze op de site van de aanbieder.
Laat je je cookietool samen met de rest van je tracking installeren, test dan na afloop zelf: privévenster, alles weigeren, en kijken of er nog marketingcookies verschijnen. Bij een Meta-pixel of Conversions API geldt dezelfde regel: geen toestemming, geen marketingdata.
6) Welke fouten zien we het vaakst?
De meeste banners die we tegenkomen, zien er correct uit maar werken niet correct. Dit zijn de klassiekers.
- Tracking die vuurt voor de keuze. De pixel of Analytics staat hard in het thema of in een plugin, buiten de cookietool om. De banner verschijnt, maar de data is al vertrokken.
- Geen weigerknop op de eerste laag. Enkel "Aanvaarden" en "Instellingen". Precies wat de GBA afkeurt.
- Een opvallende ja en een verstopte nee. Een groene knop naast een grijs linkje.
- Weigeren werkt niet. Je klikt alles weigeren en de marketingcookies verschijnen toch. Altijd testen.
- Geen manier om je keuze te wijzigen. Eens weggeklikt, vind je de banner nooit meer terug.
- Een cookielijst van drie jaar geleden. Intussen kwam er een chatwidget, een nieuwe pixel en een ingesloten video bij.
- Toestemming in de algemene voorwaarden. "Door deze site te gebruiken, aanvaard je cookies" is geen toestemming.
Een banner staat ook niet los van de rest van je privacy. Je privacyverklaring legt uit welke gegevens je verwerkt en waarom, en wie zich inschrijft op je nieuwsbrief geeft daar een aparte toestemming voor. Daarover lees je meer in GDPR en je mailinglijst.
En vergeet je bezoekers met een beperking niet. Een banner die je niet met het toetsenbord kan sluiten, blokkeert je volledige site. Ook dat telt sinds de European Accessibility Act voor webshops.
Samenvattend
Gebruik je statistieken, advertentiepixels of andere trackers die niet strikt noodzakelijk zijn, dan heb je in België vooraf toestemming nodig, en dus een cookiebanner. De GBA verwacht een weigerknop naast de aanvaardknop op dezelfde laag, geen vooraf aangevinkte vakjes, een keuze per doel, een makkelijke manier om je keuze te wijzigen en een spoor van wat je bezoeker koos. Consent Mode v2 geeft die keuze door aan Google en vult een deel van je cijfers aan met modellen, maar je zal minder zien dan voorheen.
Twijfel je over de juridische kant, vraag dan advies aan een jurist of privacyspecialist. Wil je weten of je banner en je tracking technisch doen wat ze beloven? Vraag een gratis audit aan, dan kijken we het vrijblijvend na.
Dit artikel werd geschreven door KNEET.
Wij zijn een Belgisch marketingbureau met een sterke focus op online marketing via kanalen zoals Facebook, Instagram, nieuwsbrieven en Google Ads. Daarnaast bouwen en optimaliseren we converterende websites en webshops.
Sinds 2016 kenden we al 100+ tevreden klanten in tal van sectoren.
Maken we binnenkort eens vrijblijvend kennis?