Kort antwoord: om cookies legaal te gebruiken heb je voorafgaande, geïnformeerde, vrije en ondubbelzinnige toestemming nodig voor elke niet-noodzakelijke cookie (statistiek, advertenties, personalisatie). In de praktijk: een banner die niet-noodzakelijke cookies blokkeert tot de bezoeker kiest, een «Weigeren»-knop even zichtbaar als «Accepteren», geen vooraangevinkte vakjes, bewijs van toestemming en intrekken net zo makkelijk als geven. Strikt noodzakelijke cookies (login, winkelmand, beveiliging) hoeven geen toestemming maar moeten wel worden vermeld.
Het kader: AVG en art. 11.7a Telecommunicatiewet
Twee regels stapelen. De ePrivacy-richtlijn vereist toestemming vóór het plaatsen van cookies; de AVG definieert «vrije, specifieke, geïnformeerde en ondubbelzinnige» toestemming. In Nederland geldt art. 11.7a Telecommunicatiewet, gehandhaafd door de Autoriteit Persoonsgegevens (AP); tracking walls zijn doorgaans niet toegestaan. Het HvJEU (Planet49, C-673/17) oordeelde dat een vooraangevinkt vakje geen geldige toestemming is.
«Persoonsgegevens zijn de nieuwe olie van het internet en de nieuwe munt van de digitale wereld.»
— Meglena Kuneva, Europees Commissaris voor Consumentenzaken (2009)
Vijf eisen aan een conforme cookiebanner
- Eerst blokkeren. Geen tracker vóór toestemming.
- Granulair. Keuze per doel (noodzakelijk, voorkeuren, statistiek, marketing).
- Weigeren even makkelijk als accepteren. Beide knoppen op de eerste laag — eis van de AP.
- Geen dark patterns. Geen vooraangevinkte vakjes of kleurtrucs.
- Intrekbaar en vastgelegd. Een vaste link «Cookie-instellingen» en een toestemmingslog.
Google Consent Mode v2 — verplicht sinds maart 2024
Sinds maart 2024 moet elke site die EER- of VK-data naar Google Ads, GA4 of remarketing stuurt Consent Mode v2 gebruiken, dat de keuze via vier signalen doorgeeft (ad_storage, analytics_storage, ad_user_data, ad_personalization). Zonder juiste koppeling met de banner stopt conversiemeting voor Europese bezoekers. Een gecertificeerde CMP met TCF v2.2 verbindt banner en tags.
Noodzakelijk vs. toestemmingsplichtig
| Type | Voorbeelden | Toestemming? |
|---|---|---|
| Strikt noodzakelijk | Login, winkelmand, beveiliging | Nee (wel vermelden) |
| Statistiek | Google Analytics 4, Matomo | Ja |
| Marketing | Meta Pixel, Google Ads, LinkedIn | Ja — altijd |
Wat niet-naleving kost
De AVG staat boetes toe tot 20 mln € of 4% van de wereldwijde omzet. De Franse CNIL beboette Google met 150 mln € omdat weigeren meer klikken kostte dan accepteren; ook de AP treedt op tegen cookiebanners. Ongeldige toestemming maakt elke daaropvolgende verwerking onrechtmatig.
Veelgestelde vragen
Heb ik een banner nodig met alleen Google Analytics?
Ja. GA4 plaatst cookies en verwerkt persoonsgegevens; voorafgaande toestemming is vereist.
Is alleen «Accepteren» toegestaan?
Nee. Zonder gelijkwaardig «Weigeren» is de toestemming niet vrij.
Hoelang is toestemming geldig?
Geen vast getal; 6–12 maanden geldt als gangbaar maximum.
Bronnen
- HvJEU — Planet49 (C-673/17).
- AP — cookies en art. 11.7a Telecommunicatiewet.
- Google for Developers — Consent Mode v2.
- IAB Europe — TCF v2.2.
Nodig: een conforme, converterende website?
WiseGuyXL bouwt en audit AVG-conforme, goed presterende websites in heel Europa — webdesign & ontwikkeling. We realiseerden 341% organische groei over 30+ projecten in 9+ markten.