Wanneer heb ik een cookiemelding/cookielijst nodig? En hoe zorg ik voor een goede cookieverklaring?

Niet altijd, het hangt af van welke cookies je website plaatst. Gebruik je uitsluitend functionele cookies die strikt nodig zijn om je website te laten werken, dan heb je geen toestemming en dus geen cookiemelding met keuze nodig. Zodra je echter cookies plaatst die verder gaan, zoals tracking-, marketing- of niet-geanonimiseerde analytische cookies, ben je verplicht vooraf toestemming te vragen via een cookiemelding. En omdat de meeste websites tegenwoordig minstens analytische of marketingtools gebruiken, heeft het overgrote deel er wel degelijk een nodig. De cookiemelding moet de bezoeker een echte keuze geven: accepteren of weigeren, zonder dat de niet-noodzakelijke cookies al vooraf zijn geplaatst. Ga dus niet zomaar uit van wel of niet verplicht, maar kijk concreet welke cookies jouw site laadt. Bij twijfel is het verstandig dat even te laten controleren.

In de meeste gevallen wel. Google Analytics plaatst analytische cookies, en of je daarvoor toestemming nodig hebt, hangt af van hoe je de tool hebt ingesteld. Heb je de verwerking volledig privacyvriendelijk geconfigureerd, bijvoorbeeld met anonimisering en de juiste instellingen, dan kun je onder voorwaarden zonder voorafgaande toestemming werken. Maar zodra Analytics gegevens deelt of niet volledig is geanonimiseerd, valt het onder de categorie waarvoor je wél toestemming moet vragen via een cookiemelding. Omdat de exacte eisen rond Analytics regelmatig veranderen en gevoelig liggen, is de veilige route om toestemming te vragen of de tool aantoonbaar privacyvriendelijk in te richten. Laat bij twijfel controleren hoe jouw Analytics precies is ingesteld, zodat je zeker weet of een cookiemelding met keuze voor jou verplicht is.

Nee, dat mag niet. Toestemming voor niet-noodzakelijke cookies moet vrij, specifiek en actief gegeven worden. Een vooraf aangevinkt hokje telt daarom niet als geldige toestemming, want de bezoeker heeft dan geen bewuste keuze gemaakt. Hij moet zelf de handeling verrichten om cookies te accepteren. Dat betekent ook dat de niet-noodzakelijke cookies pas geplaatst mogen worden nádat de bezoeker actief akkoord is gegaan, niet al bij het laden van de pagina. Bovendien moet weigeren net zo makkelijk zijn als accepteren; een opvallende "accepteer alles"-knop naast een verstopte weigeroptie is niet toegestaan. De kern is dus: geen vooraf ingevulde vinkjes, geen cookies vooraf plaatsen, en een gelijkwaardige keuze tussen ja en nee. Zo zorg je dat de toestemming die je verzamelt ook daadwerkelijk geldig is.

Een cookiemelding is de melding of banner die verschijnt zodra je de website bezoekt, waarin je om toestemming wordt gevraagd voor het plaatsen van cookies. Een cookielijst (of cookieverklaring) is het achterliggende overzicht waarin precies staat welke cookies je website gebruikt, wat ze doen, wie ze plaatst en hoelang ze bewaard blijven. De melding is dus het interactieve keuzemoment, de lijst is de gedetailleerde documentatie. Ze horen bij elkaar: in of vanuit de cookiemelding verwijs je doorgaans naar de volledige cookielijst, zodat een bezoeker die dat wil precies kan nalezen waar hij ja of nee tegen zegt. Voor een correcte, transparante website heb je beide nodig. De melding regelt de toestemming, de lijst zorgt voor de volledige uitleg. Samen vormen ze de basis van een cookieproof website.

Ja, transparantie blijft belangrijk, ook als je alleen functionele cookies plaatst waarvoor geen toestemming vereist is. Je hoeft dan geen keuzemelding te tonen, maar je informeert bezoekers wel het beste over de cookies die je gebruikt, bijvoorbeeld via een korte mededeling en een cookielijst in je privacy- of cookieverklaring. Zo weten bezoekers waar ze aan toe zijn en laat je zien dat je zorgvuldig met hun gegevens omgaat. Het is bovendien verstandig om zeker te weten dat je écht alleen functionele cookies plaatst; veel websites laden zonder het te beseffen toch analytische of marketingscripts mee, bijvoorbeeld via een ingesloten video of een socialmedia-widget. Controleer daarom goed wat je site werkelijk laadt. Ben je zeker dat alles functioneel is, dan volstaat heldere informatie zonder verplichte toestemmingsvraag.

Meestal niet. Een cookieplugin of consent-tool is een handig hulpmiddel, maar hij doet zijn werk alleen goed als je hem correct instelt en onderhoudt. Veel plugins plaatsen standaard alsnog cookies vóór toestemming, tonen geen echte weigeroptie of houden de cookielijst niet actueel. Daarmee voldoe je alsnog niet aan de regels. Het is dus geen kwestie van installeren en klaar. Je moet controleren of niet-noodzakelijke cookies pas na toestemming worden geplaatst, of weigeren net zo makkelijk is als accepteren, en of de gekoppelde cookielijst klopt met wat je site werkelijk laadt. Werk de instellingen bij wanneer je nieuwe tools toevoegt. Een plugin neemt je dus een deel van het werk uit handen, maar de verantwoordelijkheid om het geheel kloppend te houden, blijft bij jou liggen.

Door alleen cookies te gebruiken die strikt noodzakelijk zijn om je website te laten werken, de zogenoemde functionele cookies. Voor die categorie heb je namelijk geen toestemming en dus geen keuzemelding nodig. In de praktijk betekent dit dat je terughoudend moet zijn met tracking- en marketingtools, en dat je analytische software zo privacyvriendelijk mogelijk inricht of vervangt door een privacyvriendelijk alternatief. Ook ingesloten content, zoals een YouTube-video of een socialmedia-widget, plaatst vaak ongemerkt cookies; die kun je vervangen door privacyvriendelijke varianten of pas laden na toestemming. Zo houd je je cookiegebruik minimaal en voorkom je de noodzaak van een uitgebreide melding. Bedenk wel dat je dan bepaalde inzichten of functionaliteiten mist. Weeg dus af wat je echt nodig hebt tegen het gemak van geen toestemmingsvraag.

Dan plaats je mogelijk cookies zonder de vereiste toestemming, en daarmee overtreed je de regels. Je loopt risico op klachten en op handhaving door de Autoriteit Persoonsgegevens, die onderzoek kan doen en bij overtredingen kan optreden. Naast dat juridische risico speelt vertrouwen mee: bezoekers zijn zich steeds bewuster van privacy en haken af bij een website die ongevraagd trackt of een rommelige, misleidende cookiemelding toont. Een correcte melding is dus niet alleen een verplichting, maar ook een teken van professionaliteit. Bovendien is het relatief eenvoudig om goed te regelen ten opzichte van de gevolgen als het misgaat. Zorg daarom dat je melding een echte keuze biedt, dat cookies pas na toestemming laden en dat je cookielijst actueel is. Bij twijfel laat je het beste even controleren of alles klopt.

Ja, toestemming is niet voor eeuwig geldig. Het is gangbaar en verstandig om de toestemming periodiek opnieuw te vragen, bijvoorbeeld na een bepaalde periode of wanneer je iets wijzigt in de cookies die je plaatst. Voeg je nieuwe tracking- of marketingtools toe, dan dekt de eerder gegeven toestemming die niet, en moet je opnieuw vragen. Ook is het belangrijk dat bezoekers hun keuze altijd kunnen intrekken of aanpassen, bijvoorbeeld via een instellingenlink op je website. Zo houd je de toestemming actueel en geldig. Leg bovendien vast wanneer en waarvoor iemand toestemming gaf, zodat je dit desgevraagd kunt aantonen. Toestemming is dus geen eenmalig afvinkmoment, maar iets wat je bijhoudt en vernieuwt. Een goede consent-tool helpt je hierbij, mits je die correct instelt en up-to-date houdt.

Ja. De regels rond cookies maken geen uitzondering op basis van de grootte of het type website. Ook een kleine bedrijfssite, een persoonlijke blog of een eenvoudige portfolio moet zich eraan houden zodra er niet-noodzakelijke cookies worden geplaatst. En dat gebeurt sneller dan je denkt: een ingesloten YouTube-video, een socialmedia-widget, een reactieveld of een analysetool laadt vaak ongemerkt tracking- of marketingcookies mee. Ga er dus niet vanuit dat je als kleine site vrijgesteld bent. Wel is het zo dat de oplossing voor een kleine website doorgaans eenvoudig is: gebruik weinig externe tools, richt je analytics privacyvriendelijk in en toon waar nodig een nette cookiemelding met een echte keuze. Controleer bij twijfel welke cookies je site werkelijk laadt, want juist bij kleine sites wordt dat vaak over het hoofd gezien.