Wanneer heb je toestemming nodig voor cookies?

Een cookie is een klein bestand dat een website op het apparaat van een bezoeker zet, bijvoorbeeld om te onthouden dat iemand is ingelogd. Andere technieken die informatie op een apparaat opslaan of uitlezen, zoals bepaalde scripts en pixels, vallen onder dezelfde regels.

De regels staan in artikel 11.7a van de Telecommunicatiewet. Kort gezegd: je vertelt bezoekers welke cookies je plaatst en vraagt in veel gevallen eerst toestemming. De ACM (opent in een nieuw tabblad)¹ en de Autoriteit Persoonsgegevens (opent in een nieuw tabblad)² leggen allebei uit hoe dat werkt. Gaat het om cookies waarmee je persoonsgegevens verwerkt, zoals bij tracking, dan geldt ook de AVG. Lees daarover Privacy en de AVG.

De regels gelden voor je website en ook voor je web-app. Een gevibecodede app is vaak beide tegelijk.

Volgens de ACM (opent in een nieuw tabblad)¹ zijn er twee soorten cookies waarvoor je vooraf geen toestemming nodig hebt:

• Functionele cookies. Cookies die nodig zijn om je site te laten werken, zoals het onthouden van een login, een winkelmandje of een taalkeuze.
• Analytische cookies met weinig gevolgen voor de privacy. Cookies waarmee je bijvoorbeeld bezoekers telt, zonder dat je mensen volgt of hun gegevens voor andere doelen gebruikt.

Ook voor deze cookies geldt: vertel bezoekers welke cookies je plaatst, voordat je ze gebruikt. Dat kan in een cookieverklaring of in je privacyverklaring.

Voor alle andere cookies vraag je eerst toestemming. Denk aan trackingcookies, die het gedrag van bezoekers over meerdere sites volgen, cookies voor advertenties en analytische cookies die wel privacygevoelig zijn. Of jouw analytics onder de uitzondering vallen, hangt af van het pakket en hoe het is ingesteld. De Autoriteit Persoonsgegevens (opent in een nieuw tabblad)² legt uit waar dat van afhangt. Ga er dus niet zomaar van uit dat het mag.

Vibecode-tools voegen makkelijk diensten toe die cookies plaatsen of gegevens van bezoekers naar een ander sturen. Je ziet het niet, omdat het in de code zit en niet op het scherm. Veelvoorkomende voorbeelden:

• een analytics-script dat de AI toevoegde toen je om ‘statistieken’ vroeg;
• een ingesloten video of kaart van een externe dienst;
• een chatwidget of een feedbackknop;
• een advertentiepixel van een sociaal netwerk;
• lettertypen die van een externe server worden geladen.

Bij die laatste gaat het niet altijd om een cookie, maar wel om het IP-adres van je bezoeker dat naar een ander bedrijf gaat. Dat valt onder de AVG en hoort in je privacyverklaring, zeker als dat bedrijf buiten de EU zit.

Welke diensten er in jouw project zitten, zie je alleen in de code en in wat je browser op de achtergrond laadt. Dat zoeken we voor je uit: we maken een lijst van alle cookies en externe diensten en bepalen per dienst of er toestemming voor nodig is.

Een cookiebanner is de melding waarmee je bezoekers informeert en om toestemming vraagt. De AP (opent in een nieuw tabblad)³ controleert actief op misleidende banners. Volgens de AP moet een banner onder meer:

• weigeren en accepteren op dezelfde laag aanbieden, zonder extra klikken om te weigeren;
• geen vooraf aangevinkte vakjes gebruiken;
• duidelijke tekst gebruiken en geen keuzes verstoppen;
• het intrekken van toestemming net zo makkelijk maken als het geven.

Belangrijk, en vaak fout in gegenereerde code: cookies waarvoor toestemming nodig is, mogen pas geplaatst worden nádat iemand op accepteren klikt. Een banner die er mooi uitziet terwijl de trackingscripts al bij het laden van de pagina starten, voldoet niet. Of dat goed gaat, zie je niet aan de banner zelf. Wat de AP verwacht, lees je bij de AP (opent in een nieuw tabblad)⁴. Wij richten de banner zo in dat scripts pas starten na toestemming, en controleren dat.

De eenvoudigste oplossing is vaak: geen cookies plaatsen waar toestemming voor nodig is. Dan heb je ook geen banner met keuzes nodig, alleen een korte uitleg.

Wil je weten hoeveel mensen je site bezoeken en welke pagina's ze lezen, dan zijn er analytics-diensten die zonder trackingcookies werken of die je zo kunt instellen dat ze weinig gevolgen voor de privacy hebben. Een dienst die gegevens in Europa opslaat, heeft de voorkeur. Doe je dat niet, dan geldt het verhaal over doorgifte buiten de EU uit Privacy en de AVG.

De vraag is wat je echt wilt weten. Voor een nieuw project is het aantal bezoekers en aanmeldingen meestal genoeg. Gedetailleerde gegevens over elke klik zijn later nog toe te voegen, met een banner die klopt. We helpen je kiezen en stellen het voor je in. Hoe je je eerste gebruikers vindt en volgt, lees je in Je eerste gebruikers.

Een cookieverklaring is de tekst waarin je per cookie of dienst uitlegt wat die doet. Hij kan apart staan of deel zijn van je privacyverklaring. Per cookie of dienst staat erin:

• de naam en van wie hij is, jijzelf of een andere partij;
• waarvoor hij dient, bijvoorbeeld inloggen, bezoekers tellen of advertenties;
• hoe lang hij blijft staan;
• of er gegevens naar een ander bedrijf gaan, en in welk land dat zit.

Een link naar de verklaring hoort in je banner en onderaan elke pagina, en bezoekers moeten vanaf daar hun keuze kunnen wijzigen. De lijst moet kloppen zolang je project verandert: een nieuwe functie die de AI bouwde, kan zomaar een nieuwe dienst meebrengen. Wij stellen de verklaring voor je op en zetten hem in je project.

Ook de banner zelf moet bruikbaar zijn voor iedereen. Een banner die je niet met een toetsenbord kunt sluiten, blokkeert je hele site. Lees daarover Toegankelijkheid.