Cookiewetgeving in België: toestemming en cookiebanner

Een website met analytische of marketingcookies? Voor alle niet-noodzakelijke cookies heb je vooraf de vrije, specifieke en geïnformeerde toestemming van je bezoeker nodig, en die toestemming moet je kunnen aantonen. Strikt noodzakelijke cookies mag je zonder toestemming plaatsen. Een conforme cookiebanner plaatst dus pas cookies na een actieve klik en maakt weigeren even eenvoudig als aanvaarden.

In dit artikel lees je welke regels in België gelden, hoe een correcte cookiebanner eruitziet en waarop de toezichthouder let.

Welke regels gelden er voor cookies in België?

Cookies vallen onder een combinatie van twee kaders. Enerzijds gelden de ePrivacy-regels (in België omgezet in de wetgeving rond elektronische communicatie), die bepalen dat je informatie pas op het toestel van een gebruiker mag plaatsen of uitlezen na toestemming. Anderzijds geldt de AVG (GDPR), die de voorwaarden voor geldige toestemming en de bescherming van persoonsgegevens vastlegt.

Concreet betekent dit dat je voor cookies die persoonsgegevens verwerken of het surfgedrag volgen, een geldige toestemming nodig hebt die voldoet aan de AVG-vereisten. De Gegevensbeschermingsautoriteit (GBA) houdt hierop toezicht.

Voor welke cookies heb ik toestemming nodig?

Niet alle cookies zijn gelijk. Het onderscheid bepaalt of je toestemming nodig hebt:

• Strikt noodzakelijke cookies: nodig om de website of een uitdrukkelijk gevraagde dienst te laten werken (bijvoorbeeld een winkelmandje, een taalkeuze of een inlogsessie). Hiervoor heb je geen toestemming nodig.
• Analytische cookies: meten het gebruik van je site. Afhankelijk van de manier waarop ze worden ingezet, is meestal toestemming vereist.
• Marketing- en trackingcookies: volgen surfgedrag, vaak over meerdere sites, voor advertenties. Hiervoor heb je altijd toestemming nodig.
• Cookies van derde partijen: geplaatst door externe diensten zoals sociale media of advertentienetwerken. Ook hiervoor is in de regel toestemming vereist.

De juiste indeling van je cookies is niet altijd evident en hangt af van je concrete situatie. Een advocaat ICT-recht kan je cookies in kaart helpen brengen.

Wat is geldige toestemming?

Toestemming onder de AVG moet aan strikte voorwaarden voldoen. Ze moet:

• Vrij zijn: de bezoeker mag niet onder druk worden gezet en moet ook kunnen weigeren zonder nadeel.
• Specifiek zijn: per doel of categorie cookies, niet één globaal akkoord voor alles.
• Geïnformeerd zijn: de bezoeker weet welke cookies hij aanvaardt en waarom.
• Ondubbelzinnig zijn: gegeven door een actieve handeling, zoals een klik.

Dat betekent dat vooraf aangevinkte vakjes, een banner die enkel “OK” toont of cookies plaatsen bij het verderscrollen geen geldige toestemming opleveren. Je moet de toestemming bovendien kunnen bewijzen en de bezoeker moet ze even gemakkelijk kunnen intrekken als geven.

Hoe ziet een conforme cookiebanner eruit?

Een correcte cookiebanner vertaalt die principes naar de praktijk. In grote lijnen:

1. Plaats niet-noodzakelijke cookies pas na een actieve klik. Bij het openen van de site staan enkel de strikt noodzakelijke cookies actief.
2. Bied een gelijkwaardige weiger-knop. “Alles weigeren” moet even zichtbaar en eenvoudig zijn als “Alles aanvaarden”.
3. Werk met categorieën. Laat de bezoeker per soort cookie kiezen via een instellingen- of voorkeurenscherm.
4. Verwijs naar je cookiebeleid. Een duidelijke link naar meer uitleg hoort erbij.
5. Maak intrekken mogelijk. Voorzie een manier om de keuze later aan te passen, bijvoorbeeld via een vaste link of icoon.

Een banner die je dwingt om te aanvaarden of die weigeren verstopt achter extra klikken, voldoet niet. De precieze vormgeving hangt af van de cookies die je gebruikt.

Wat moet er in mijn cookiebeleid staan?

Naast de banner heb je een cookiebeleid nodig: een aparte tekst die in duidelijke taal uitlegt hoe je met cookies omgaat. Een goed cookiebeleid vermeldt onder meer:

• Welke cookies je gebruikt en met welk doel.
• Hoelang de cookies bewaard blijven.
• Of er derde partijen betrokken zijn en wie dat zijn.
• Hoe de bezoeker zijn toestemming kan wijzigen of intrekken.
• Hoe de bezoeker zijn privacyrechten kan uitoefenen.

Dat sluit aan bij de ruimere informatieplicht onder de AVG. Wil je begrijpen welke rechten je bezoekers precies hebben, lees dan ook ons artikel over GDPR-privacyrechten.

Wat riskeer ik bij niet-naleving?

De GBA kan de naleving van de cookieregels controleren, zowel na klachten als op eigen initiatief. Stelt ze inbreuken vast, dan kan ze maatregelen opleggen, van een waarschuwing of bevel tot aanpassing tot een geldboete. De omvang van een eventuele sanctie hangt af van de ernst, de duur en de mate van nalatigheid.

Naast het sanctierisico is er ook een vertrouwenskwestie: bezoekers verwachten een transparante omgang met hun gegevens. Twijfel je of je website conform is? Bekijk de specialisten privacy en ICT-recht in onze gids of laat je via een gratis match koppelen aan een advocaat die je cookiebeleid en banner kan nakijken.