Waarom de meeste cookiebanners niet écht GDPR-conform zijn

Een cookiebanner is zichtbaar bewijs dat een website "iets met privacy doet". Maar een banner die er goed uitziet, is nog geen banner die werkt. De meest voorkomende fouten zijn technisch én ontwerpmatig:

  • Analytics- of marketingscripts laden al voordat de bezoeker iets gekozen heeft.
  • Er is wel een knop "Alles accepteren", maar geen "Alles weigeren" op hetzelfde niveau.
  • De acceptatieknop is felgekleurd, de weigeroptie verstopt in grijze tekst.
  • Vakjes in de instellingen staan standaard aangevinkt.
  • Doorscrollen of de banner sluiten wordt behandeld als toestemming.

Dit zijn geen details: de Gegevensbeschermingsautoriteit (GBA) benoemt precies deze punten in haar cookiechecklist. Het is ook het onderdeel van uw GDPR-aanpak dat bezoekers het eerst zien. Het grotere plaatje vindt u in onze GDPR-checklist voor KMO-websites.

Een cookiebanner die bezoekers misleidt of wegjaagt, is geen GDPR-oplossing — het is een juridisch én commercieel risico.

Wat GDPR daadwerkelijk vereist: opt-in, niet opt-out

Volgens de GBA mogen cookies die niet strikt noodzakelijk zijn pas geplaatst worden nadat de bezoeker geldig toestemming gaf. Concreet:

  • Voorafgaande toestemming: geen niet-essentiële cookies vóór de keuze, ook geen "alvast" laden.
  • Actieve, ondubbelzinnige keuze: doorsurfen, de banner sluiten of niets doen is geen toestemming.
  • Geen voorgeaarde vakjes, op geen enkel niveau.
  • Niet koppelen aan andere akkoorden: toestemming voor cookies mag niet gebundeld worden met het aanvaarden van de algemene voorwaarden of het privacybeleid.
  • Geen cookiemuur: toegang tot de site mag niet afhangen van het aanvaarden van cookies.

Wat wél vrijgesteld is: strikt noodzakelijke technische cookies en functionele cookies voor iets wat de bezoeker uitdrukkelijk vroeg, zoals taalkeuze, de cookievoorkeur zelf of een winkelmandje. Let op: bezoekersstatistieken vallen volgens de GBA in principe niet onder die vrijstelling.

Granulaire toestemming: categorieën per doel

De GBA verwacht een eerste laag met een korte, duidelijke keuze en een tweede laag waarin bezoekers per doel kunnen kiezen. De categorieën moeten helder en afgebakend zijn. Gebruikelijk zijn:

  • Noodzakelijk: altijd actief, geen toestemming nodig.
  • Analytisch: meten hoe de site gebruikt wordt.
  • Marketing: advertenties en remarketing.

Houd twee scheidingen aan die de GBA expliciet vermeldt: eigen reclame/profilering en reclame/profilering door derden zijn verschillende doelen, en sociale media-integraties (delen, liken, tracking) zijn iets anders dan advertentiepersonalisatie. Eén cookie mag bovendien niet voor meerdere doelen dienen.

Design-principes voor een cookiebanner die niet irriteert

Een conforme banner hoeft niet opdringerig te zijn. Wat de regels in de praktijk betekenen voor het ontwerp:

  1. Gelijke knoppen. "Alles accepteren" en "Alles weigeren" staan op dezelfde laag en zien er hetzelfde uit. Een knop "Instellingen" naast "Alles accepteren" volstaat niet.
  2. Geen kleurmanipulatie. Kleur, grootte of contrast mogen de ene keuze niet bevoordelen.
  3. Beknopte eerste laag. Vermeld de doelen, wie verantwoordelijk is, hoe u accepteert of weigert, wat de gevolgen zijn en dat toestemming altijd ingetrokken kan worden.
  4. Intrekken in één klik. Een duidelijk zichtbare link of knop (bijvoorbeeld in de footer) om de keuze te wijzigen. Intrekken moet even makkelijk zijn als toestemming geven, en moet effectief werken.
  5. Niets blokkeren. Laat de inhoud bereikbaar, ook bij weigeren.
  6. Technisch licht. Een banner die de pagina laat verspringen schaadt de ervaring en uw Core Web Vitals. Reserveer ruimte of plaats de banner zo dat de lay-out niet verschuift.
Eerlijk over conversie: een conforme banner betekent dat u minder bezoekers kunt meten en minder kunt retargeten. Dat is een gevolg van de wet, geen ontwerpfout. De hefboom ligt elders: een heldere banner die vertrouwen wekt, meetmethodes die minder afhankelijk zijn van cookies en formulieren die zelf de leads registreren. Wij beloven hier geen percentage; meet het op uw eigen site.

Google Consent Mode v2: wat het is en waarom het relevant is

Gebruikt u Google Ads, remarketing of Google Analytics, dan komt u Consent Mode tegen. Het is de manier waarop uw site de keuze van de bezoeker doorgeeft aan Google-tags. Versie 2 voegde twee parameters toe aan de bestaande ad_storage en analytics_storage: ad_user_data (gebruikersgegevens voor advertenties delen met Google) en ad_personalization (gepersonaliseerde advertenties). Google paste dit toe in het kader van zijn beleid voor toestemming van EER-gebruikers; wie meet- en advertentiepersonalisatiefuncties wil blijven gebruiken, moet toestemming verzamelen.

Hoe het technisch werkt, volgens de documentatie van Google:

  • U stelt een standaardwaarde in (bijvoorbeeld "geweigerd") vóór de tags laden, op elke pagina. Staat die code in de verkeerde volgorde, dan werken de standaardwaarden niet.
  • Zodra de bezoeker kiest, stuurt de banner een update met de nieuwe waarden.
  • Consent Mode onthoudt de keuze zelf niet: uw banner moet die bewaren en op volgende pagina's opnieuw toepassen.

Belangrijk: Consent Mode is een technisch kanaal, geen juridisch keurmerk. Het geeft een signaal door, maar de keuze zelf moet geldig verkregen zijn via een banner die aan bovenstaande regels voldoet. Google onderscheidt bovendien een basis- en een geavanceerde implementatie; welke past bij uw situatie bespreekt u best met uw privacyadviseur.

De cookiebeleid-pagina: wat erin moet staan

De banner geeft de korte versie, het cookiebeleid de volledige. Volgens de GBA hoort in de tweede laag de volledige lijst van cookies per categorie, met doel, bewaartermijn en ontvangers. Daarnaast verwacht de GBA verantwoording:

  • Geef het beleid een datum en versienummer en bewaar eerdere versies.
  • Hou bij hoe uw banner in de tijd veranderd is.
  • Bewaar de cookie die de voorkeur onthoudt beperkt in de tijd; de GBA beschouwt zes maanden in principe als redelijk.

Vergeet niet dat het cookiebeleid moet kloppen met wat de site effectief laadt. Elke nieuwe tool (een chatwidget, een ingebedde video, een pixel) verandert dat. Daarom hoort een cookie-controle bij regelmatig website-onderhoud.

Zo pakken we het aan bij Code Design

Onze werkwijze bij een nieuwe of bestaande website, in vijf stappen:

  1. Inventaris: we kijken in de browser welke cookies en verzoeken de site effectief maakt, met alles geweigerd.
  2. Opkuisen: wat niet nodig is, verdwijnt.
  3. Indelen: wat overblijft, krijgt een categorie en een doel.
  4. Pas laden na keuze: niet-essentiële scripts starten pas na toestemming, met Consent Mode waar Google-tags in het spel zijn.
  5. Testen en documenteren: we controleren weigeren, accepteren en intrekken, en leggen het beleid vast met datum.

Veelgestelde vragen

Heb ik een cookiebanner nodig als ik alleen noodzakelijke cookies gebruik?

Voor strikt noodzakelijke cookies is geen toestemming vereist, dus ook geen toestemmingsbanner. U moet wel informeren in uw cookiebeleid. Zodra u analytics, marketing of ingebedde diensten toevoegt die cookies plaatsen, is toestemming nodig.

Mag de knop "Accepteren" groter of feller zijn dan "Weigeren"?

Nee. De GBA vraagt dat beide opties op dezelfde laag staan en op dezelfde manier worden getoond, en waarschuwt voor sturen via kleurkeuze.

Zijn bezoekersstatistieken vrijgesteld van toestemming?

Volgens de GBA valt bezoekerstelling in principe niet onder de vrijstelling voor noodzakelijke cookies. Reken dus op toestemming, tenzij uw jurist of privacyadviseur voor uw specifieke situatie anders oordeelt.

Maakt Consent Mode v2 mijn website GDPR-conform?

Nee. Het geeft de keuze van de bezoeker door aan Google-tags. Of die keuze geldig is, hangt af van uw banner en van de rest van uw GDPR-aanpak.

Wat als er een datalek is?

Dat is een afzonderlijke verplichting met een termijn van 72 uur. Lees hoe u dan handelt in ons stappenplan als uw website gehackt wordt.

Bronnen

Conclusie: een goede cookiebanner is eerlijk, gelijkwaardig in keuze en technisch correct: niets laden voor de keuze, weigeren even makkelijk als accepteren en een beleid dat klopt. Dit is algemene informatie en geen juridisch advies. Wilt u uw banner laten nakijken? Vraag een gratis technische audit aan of bekijk onze onderhoudspakketten.