Cookiebanner en GDPR/AVG: wat is verplicht in België en Nederland? (incl. Consent Mode v2)

Je mag zonder toestemming alleen cookies plaatsen die strikt nodig zijn om je website te laten werken, zoals een winkelmandje of een taalkeuze. Voor alle andere cookies en trackers, zoals advertentiepixels, heb je vooraf een actieve, vrije toestemming nodig, en weigeren moet even makkelijk zijn als accepteren.

België en Nederland volgen dezelfde Europese basis, maar verschillen op één belangrijk punt: analytische cookies. In België vraagt de Gegevensbeschermingsautoriteit (GBA) daar in principe toestemming voor. In Nederland mogen beperkt analytische cookies met weinig impact op de privacy zonder toestemming.

Toezichthouders in beide landen controleren actief op misleidende cookiebanners. En wie via Google adverteert, moet ook nog aan Googles eigen eisen voldoen, met Consent Mode v2. Dit artikel zet alles op een rij.

#Welke wetten gelden voor cookies?

Cookies vallen onder twee sets regels: de ePrivacy-regels, die bepalen wanneer je iets op het toestel van een bezoeker mag plaatsen of uitlezen, en de AVG (in het Engels GDPR), die geldt zodra je daarbij persoonsgegevens verwerkt. In de praktijk is dat bijna altijd het geval bij marketing- en trackingcookies.

"Cookies" is daarbij ruim bedoeld. De GBA benadrukt in haar checklist dat ook trackingpixels, local storage en device fingerprinting (een toestel herkennen aan zijn technische kenmerken) onder dezelfde regel vallen.

#Welke cookies hebben toestemming nodig?

Alles wat niet strikt noodzakelijk is om de dienst te leveren waar de bezoeker zelf om vraagt, heeft vooraf toestemming nodig. Dat onderscheid bepaalt hoe je banner eruitziet.

Geen toestemming nodig (wel informeren):

• sessiecookies voor het winkelmandje of het afrekenproces;
• een cookie die de taalkeuze of de cookievoorkeur onthoudt;
• technische cookies voor load balancing of beveiliging;
• in Nederland: beperkt analytische cookies met geen of geringe gevolgen voor de privacy.

Wel toestemming nodig:

• advertentie- en remarketingcookies (Google Ads, Meta-pixel, LinkedIn Insight Tag en vergelijkbare);
• trackingcookies die bezoekers over meerdere websites volgen;
• ingesloten video's en sociale knoppen die bij het laden al cookies van derden plaatsen;
• in België: analytische cookies, ook die voor eenvoudige bezoekersstatistieken.

#Analytische cookies: het grootste verschil tussen België en Nederland

In België vraag je voor analytische cookies toestemming, in Nederland soms niet. Dat is het punt waar de meeste Belgische en Nederlandse websites van elkaar verschillen.

Wat telt als "beperkt"? Denk aan statistieken die je alleen voor je eigen site gebruikt, zonder profielen op te bouwen en zonder gegevens te delen met partijen die ze voor eigen doeleinden gebruiken. De AP noemt Matomo, Plausible Analytics, Apache Superset en OpenPanel als privacyvriendelijkere alternatieven, mits goed ingesteld.

Heb je één website voor Belgische en Nederlandse klanten, kies dan de strengste lijn: vraag voor analytics ook toestemming. Dan zit je in beide landen goed.

#Wat moet er in je cookiebanner staan?

In de eerste laag van je banner, het venster dat bezoekers meteen zien, moet een bezoeker kort en duidelijk begrijpen waarvoor je toestemming vraagt. Het volstaat niet om alleen te verwijzen naar je privacyverklaring of algemene voorwaarden.

De GBA en de AP verwachten in de eerste laag minstens:

1. de doelen waarvoor je cookies gebruikt (bijvoorbeeld statistiek, advertenties, sociale media);
2. wie de cookies plaatst, en of je gegevens deelt met derden, met het aantal partijen;
3. hoe je cookies accepteert of weigert, en wat de gevolgen zijn;
4. dat de bezoeker zijn toestemming altijd kan intrekken, en hoe.

In een tweede laag geef je keuzes per doel, en de volledige lijst van cookies per categorie met hun doel, bewaartermijn en ontvangers. Houd de categorieën eng: eigen advertenties en die van derden zijn aparte doelen, net als sociale media en gepersonaliseerde advertenties.

#Weigeren moet even makkelijk zijn als accepteren

Staat er een knop "Alles accepteren", dan moet er op dezelfde laag een even zichtbare knop "Alles weigeren" staan. Een link "Instellingen" naast "Alles accepteren" volstaat niet, zegt de GBA uitdrukkelijk.

De AP formuleert negen vuistregels voor heldere cookiebanners (opent in een nieuw venster). De belangrijkste:

• geen vooraf aangevinkte vakjes, ook niet in een tweede laag;
• weigeren en accepteren op één laag, zonder extra klik of bevestiging om te weigeren;
• geen verstopte weigerknop, bijvoorbeeld als link in de tekst of in een kleur die nauwelijks afsteekt van de achtergrond;
• duidelijke woorden zoals "accepteren" en "weigeren", geen vage of sturende teksten;
• intrekken even makkelijk als geven, bijvoorbeeld via een vaste link in je footer.

Toestemming afleiden uit verder scrollen, het sluiten van de banner of de browserinstellingen mag in geen van beide landen. Een cookiewall, waarbij je de site alleen kunt gebruiken als je tracking accepteert, evenmin.

#Google Consent Mode v2: wat adverteerders in de EER moeten doen

Gebruik je Google Ads, Google Analytics of andere Google-tags voor bezoekers uit de Europese Economische Ruimte (EER), dan moet je toestemming verzamelen en die keuze aan Google doorgeven. Google doet dat via Consent Mode, en sinds maart 2024 met versie 2.

Consent Mode is geen wet, maar een eis uit Googles EU-toestemmingsbeleid (opent in een nieuw venster). De tweede versie voegde twee signalen toe aan de bestaande ad_storage en analytics_storage:

• ad_user_data: toestemming om gebruikersgegevens voor advertentiedoeleinden naar Google te sturen;
• ad_personalization: toestemming voor gepersonaliseerde advertenties en remarketing.

Zie de uitleg van Google Ads (opent in een nieuw venster) voor de details. Zonder die signalen kan Google voor die bezoekers geen remarketinglijsten en gepersonaliseerde advertenties opbouwen.

Er zijn twee manieren om het in te bouwen:

De technische handleiding van Google (opent in een nieuw venster) legt beide varianten uit. Consent Mode vervangt je cookiebanner niet: het geeft alleen door wat de bezoeker in je banner koos. Bij de geavanceerde variant worden er al gegevens naar Google gestuurd voordat iemand gekozen heeft. Twijfel je of dat past bij de strenge Belgische lijn, kies dan de basisvariant of vraag advies.

#Toezicht en boetes: GBA, AP en ACM

In België is de GBA bevoegd. In Nederland ligt het toezicht bij twee instanties: de ACM houdt toezicht op artikel 11.7a van de Telecommunicatiewet, de AP op het verwerken van persoonsgegevens via cookies. De AP heeft in 2025 voorgesteld (opent in een nieuw venster) om het toezicht op artikel 11.7a over te nemen.

De AP controleert sinds 2024 strenger (opent in een nieuw venster) en gebruikt daarvoor een hulpmiddel dat cookiebanners snel toetst. Wie niet voldoet, krijgt eerst een waarschuwingsbrief. Bij ernstige overtredingen of weigering volgen boetes of andere sancties. De eerste Nederlandse cookieboete, 600.000 euro, ging naar het bedrijf achter Kruidvat.nl voor tracking cookies zonder geldige toestemming.

Onder de AVG kunnen boetes oplopen tot 20 miljoen euro of 4 procent van de wereldwijde jaaromzet. Voor een kmo of mkb-bedrijf is het risico vaak eerder een klacht van een bezoeker, een brief van de toezichthouder en de tijd die je kwijt bent om alles recht te zetten.

#Checklist: is jouw cookiebanner in orde?

Loop deze punten na. Begin met een scan via onze gratis cookiecheck: die toont welke cookies je site plaatst voordat een bezoeker iets kiest.

• Er worden geen niet-noodzakelijke cookies of pixels geladen vóór de keuze.
• "Alles accepteren" en "Alles weigeren" staan op dezelfde laag, met dezelfde vorm en kleur.
• Geen vakjes of schuifjes staan standaard aan.
• De eerste laag noemt de doelen, de partijen en het recht om in te trekken.
• Bezoekers kunnen per doel kiezen, ten laatste in een tweede laag.
• Na "weigeren" worden trackers echt niet geladen, ook niet na een paginawissel.
• Er is een vaste link om de keuze later te wijzigen.
• De keuze wordt beperkt bewaard (de GBA vindt 6 maanden in beginsel redelijk).
• Je cookiebeleid heeft een datum en versienummer, en je bewaart oudere versies.
• Consent Mode v2 staat correct ingesteld als je Google-advertenties gebruikt.
• De banner werkt met het toetsenbord en is leesbaar voor schermlezers.

#De meest voorkomende fouten

De meeste fouten zitten niet in de tekst van de banner, maar in wat er technisch achter gebeurt. Een mooie banner die scripts al laadt voor de klik, is nog altijd in overtreding.

• Tags die meteen vuren: een Meta-pixel of Google-tag rechtstreeks in de code, buiten de cookietool om.
• Standaardinstellingen van een plug-in: de AP wijst erop dat je ook bij een standaardbanner via een consent management platform (CMP), een tool die toestemming beheert, zelf verantwoordelijk bent voor de instellingen.
• Weigeren dat niets doet: de keuze wordt opgeslagen, maar cookies die al geplaatst waren blijven actief.
• Verouderde cookielijst: er komt een nieuwe marketingtool bij, maar de banner en het cookiebeleid worden niet aangepast.
• Eén banner voor beide landen met de Nederlandse regels: analytics zonder toestemming kan in Nederland, maar niet voor je Belgische bezoekers.

Laat je een nieuwe webshop bouwen, neem de cookietool dan op in de planning, samen met alle marketingkoppelingen. Achteraf alles opnieuw inregelen kost meer tijd. Bij Brisk bouwen we sites op maat en hosten we op Europese servers; in een onderhoudsplan hoort ook het bijhouden van je cookie-instellingen wanneer je tools toevoegt.

#Verandert er binnenkort iets aan de cookieregels?

Misschien, maar nog niet. De Europese Commissie stelde in november 2025 in het zogenaamde Digital Omnibus-pakket voor om de cookieregels naar de AVG te verhuizen en keuzes via automatische browsersignalen mogelijk te maken. Dat is een voorstel, geen wet: tot er een nieuwe tekst is aangenomen en van kracht wordt, gelden de regels uit dit artikel.

Volg de berichten van de GBA en de AP, en plan één keer per jaar een controle van je banner en je cookielijst. Dat is de eenvoudigste manier om bij te blijven.