Cookiebanner op je website: heb je er wel een nodig?

Je opent een website en voordat je iets ziet, schuift er een blok over je scherm met drie knoppen en een uitklapmenu. Veel ondernemers hebben er ook zo een, omdat "dat nu eenmaal moet". Maar moet het echt?

Het korte antwoord: je hebt alleen een cookiebanner nodig als je cookies of vergelijkbare technieken gebruikt waarvoor toestemming verplicht is. Denk aan trackingcookies, advertentiepixels en sommige ingesloten diensten. Gebruik je alleen functionele cookies en privacyvriendelijke statistieken, dan hoef je geen toestemming te vragen. Je moet bezoekers dan wel vertellen wat je gebruikt.

Hieronder leg ik uit hoe dat zit, wat er niet mag en hoe je de banner vaak helemaal kwijt kunt.

Drie soorten cookies, drie regels

De Autoriteit Persoonsgegevens deelt cookies in drie groepen in. Die indeling is het hele verhaal, dus ik loop ze een voor een langs.

Functionele cookies: geen toestemming nodig

Dit zijn de cookies die je site laten werken. Ze onthouden bijvoorbeeld een inlog, een taalkeuze of wat er in een winkelmandje zit.

Daarvoor hoef je geen toestemming te vragen. Je moet bezoekers wel vertellen dat je ze plaatst, bijvoorbeeld in je privacyverklaring. De ACM zegt het ook zo: functionele cookies mag je ongevraagd plaatsen, zolang je dat vertelt, en ze mogen geen gevolgen hebben voor de privacy van bezoekers.

Beperkt analytische cookies: meestal geen toestemming nodig

Dit zijn cookies die bijhouden hoeveel bezoekers je hebt en welke pagina's het meest bekeken worden. Handig om je site te verbeteren.

Hebben die cookies geen of geringe gevolgen voor de privacy, dan heb je geen toestemming nodig. Dat staat in de Telecommunicatiewet, artikel 11.7a. Ook hier geldt: vermelden in je privacyverklaring.

Het woord dat ertoe doet is "beperkt". Een teller die bijhoudt dat er gisteren 34 mensen op je pagina over badkamerrenovatie in Assen waren, is iets heel anders dan een tool die bezoekers volgt, profielen opbouwt en gegevens doorgeeft aan een advertentienetwerk. Voor die tweede soort is toestemming wel verplicht. De ACM noemt dat privacygevoelige analytische cookies.

Overige cookies: altijd eerst toestemming

Alles wat niet in de eerste twee groepen past. Het bekendste voorbeeld zijn trackingcookies: die volgen bezoekers over meerdere websites en apps heen, zodat advertentiebedrijven gerichte advertenties kunnen tonen.

Daarvoor moet je vooraf toestemming vragen. Pas als iemand op accepteren drukt, mogen ze geplaatst worden. Niet eerder.

Wanneer heb jij dus een banner nodig?

Voor de meeste vakmensen en zzp'ers is het simpeler dan het lijkt. Kijk eerlijk wat er op je site draait.

Herken je niets uit dit lijstje? Dan is de kans groot dat je geen toestemming hoeft te vragen, en dus ook geen banner nodig hebt. Wel een duidelijke uitleg in je privacyverklaring.

Twijfel je wat er eigenlijk op je site draait? De AP verwijst zelf naar een gratis website-audittool van de Europese privacytoezichthouders, die laat zien welke cookies je site plaatst en of er gegevens worden doorgestuurd. Die is in het Engels en vraagt wat technisch gepuzzel. Je websitebouwer kan het ook voor je nakijken.

Wat mag niet bij een cookiebanner?

Heb je wel een banner nodig, dan moet hij goed zijn. De AP heeft vuistregels voor heldere cookiebanners opgesteld. Dit zijn de fouten die ik het vaakst zie:

Vooraf aangevinkte vakjes. Vinkjes of schuifjes moeten uit staan, ook in een tweede laag van de banner. De ACM noemt keuzes vooraf aanvinken ook letterlijk verboden.

Weigeren verstoppen. De knop voor weigeren moet op dezelfde laag staan als accepteren, net zo goed zichtbaar zijn en niet meer klikken kosten. Een grote oranje knop "Alles accepteren" en een grijs linkje "instellingen" voldoet daar niet aan.

Doorscrollen als toestemming tellen. "Door verder te gaan op deze site ga je akkoord" mag niet. Scrollen is geen actieve keuze, schrijft de AP.

Een cookiewall. Bezoekers buitensluiten of de site onbruikbaar maken als ze weigeren, mag niet. Je site moet normaal werken, ook zonder toestemming.

Vage teksten. De bezoeker moet weten waarvoor hij toestemming geeft. "We gebruiken cookies voor een betere ervaring" is te vaag als je eigenlijk advertentieprofielen bouwt.

Geen weg terug. Toestemming intrekken moet net zo makkelijk zijn als toestemming geven, en ook buiten de banner om te vinden zijn. Bijvoorbeeld met een vaste knop of bovenaan je cookiepagina.

Gebruik je een kant-en-klare cookietool? Let dan op. De AP schrijft dat de standaardinstellingen van zulke tools in de praktijk vaak niet aan de AVG voldoen, en dat je zelf verantwoordelijk blijft. Even de instellingen nalopen is dus geen overbodige luxe.

De beste banner is geen banner

Dit is mijn eerlijke mening, en de AP zegt het eigenlijk ook: als je geen persoonsgegevens van bezoekers verzamelt, hoef je ook geen toestemming te vragen en kun je de banner weghalen. Dat staat letterlijk op hun pagina voor organisaties.

Waarom zou je dat willen?

• Je eerste indruk is je werk, niet een pop-up. Een bezoeker op zijn telefoon ziet bij jou meteen je foto's en je telefoonnummer.
• Je meet completer. Statistieken waarvoor toestemming nodig is, missen iedereen die op weigeren drukt. Een teller waarvoor geen toestemming nodig is, hoeft niet op die knop te wachten.
• Minder risico. Wat je niet verzamelt, kan ook niet lekken. De AP wijst erop dat je verantwoordelijk bent voor schade als gegevens van bezoekers bij een hack of datalek betrokken raken.

Een stukadoor uit Emmen die niet met remarketing adverteert, heeft aan die hele banner alleen maar nadelen.

Wat dan wel: privacyvriendelijke statistieken

Je wilt natuurlijk wel weten of mensen je site vinden en welke pagina's aanvragen opleveren. Dat kan zonder bezoekers te volgen.

De AP noemt zelf een paar voorbeelden van diensten die statistieken bijhouden zonder bezoekers over het hele internet te volgen of profielen te maken: Matomo, Apache Superset, Plausible Analytics en OpenPanel. Let op de toevoeging die de AP erbij zet: mits goed ingesteld.

Er zijn ook tools die helemaal zonder cookies werken. Dat klinkt als de perfecte oplossing, en vaak is het dat ook. Maar cookieloos is niet automatisch vrij van regels. Zoals hierboven staat, gaan de regels over alles wat iets opslaat op of uitleest van het apparaat van de bezoeker, inclusief fingerprinting. Vraag de leverancier dus hoe de tool precies werkt, en zet hem in je privacyverklaring.

Zelf bouw ik sites bij voorkeur zonder trackingcookies en met eenvoudige, privacyvriendelijke statistieken. Dan ziet een klant precies wat hij nodig heeft: hoeveel mensen er kwamen, waar ze vandaan kwamen en welke pagina's werken. Wat je daar vervolgens mee doet, lees je in Google Search Console voor ondernemers.

Ingesloten video's en kaarten

Een stille boosdoener. Je hebt zelf geen enkele trackingcookie, maar op je contactpagina staat een ingesloten kaart en op je homepage een video van een optreden of een klus. Sommige van die ingesloten diensten plaatsen bij het laden al cookies van de aanbieder.

Er zijn twee nette oplossingen:

1. Klik om te laden. Toon eerst een plaatje met een knop. Pas als de bezoeker erop klikt, wordt de video of kaart geladen. Dan kiest hij zelf.
2. Linken in plaats van insluiten. Een knop "Route plannen" die naar de kaart linkt, werkt voor een vakman vaak net zo goed als een ingesloten kaart.

Voor artiesten met een video op elke pagina is dit extra belangrijk; zie ook een website voor zangers en bands.

Zo pak je het aan

Vergeet daarna je privacyverklaring niet. Daar staat wat je wel gebruikt, ook als dat alleen functionele cookies en een eenvoudige teller zijn. Wat er verder wettelijk op je site moet, staat in wat moet er wettelijk op je website staan.

Kort samengevat

Een cookiebanner is alleen nodig als je cookies of vergelijkbare technieken gebruikt waarvoor toestemming verplicht is, zoals trackingcookies en advertentiepixels. Functionele cookies en beperkt analytische cookies met weinig gevolgen voor de privacy mogen zonder toestemming, maar je vermeldt ze wel. Heb je wel een banner, dan geen vooraf aangevinkte vakjes, weigeren net zo makkelijk als accepteren en geen cookiewall.

De simpelste route voor de meeste ondernemers: geen trackingcookies, privacyvriendelijke statistieken en dus geen banner. Wil je weten wat er nu op jouw site draait? Doe de gratis websitecheck, of vraag het me gewoon. Bij een PageRocket-website is dit standaard zo ingericht.