Cookiebanner en GDPR voor een kleine zaak

In België hebt u de toestemming van de bezoeker nodig voor elke cookie die niet strikt noodzakelijk is, en dat geldt voor de meeste analytics. Vraagt u toestemming, dan moet weigeren even gemakkelijk zijn als aanvaarden. Zo beschrijft de Belgische gegevensbeschermingsautoriteit (GBA, in het Frans APD) het. Dit is geen juridisch advies: vraag voor uw geval raad aan een jurist.

Heb ik een cookiebanner nodig op mijn website in België?

Alleen als de site iets op het toestel van de bezoeker plaatst of leest dat niet strikt noodzakelijk is. De Belgische regel is artikel 10/2 van de wet van 30 juli 2018. De GBA past hem toe op meer dan cookies: pixels, device fingerprinting en lokale opslag tellen ook mee. Een site zonder dit alles heeft geen banner nodig.

Welke cookies mag ik gebruiken zonder te vragen?

Twee soorten, volgens de GBA:

Technische cookies die strikt noodzakelijk zijn, zoals sessiecookies voor load balancing.
Functionele cookies die strikt nodig zijn voor een dienst die de bezoeker gevraagd heeft, zoals een taalkeuze, de cookievoorkeuren zelf of de inhoud van een winkelmandje.

Voor al de rest is eerst toestemming nodig.

Heeft analytics toestemming nodig?

In principe wel. De GBA zegt dat een analytische cookie doorgaans niet voldoet aan de twee voorwaarden voor de vrijstelling, omdat ze de statistieken van de site-eigenaar dient en niet een dienst die de bezoeker gevraagd heeft. Haar checklist voegt eraan toe dat het tellen van bezoekers in principe niet vrijgesteld is, en merkt op dat sommige toezichthouders in andere lidstaten onder strikte voorwaarden een beperkte vrijstelling toestaan. De Belgische GBA past er in haar checklist geen toe.

De website van de GBA zelf gebruikt een analysetool die Plausible heet, en zegt dat de gegevens alleen gebruikt worden als u toestemming geeft. Ik vond geen uitspraak van de GBA dat een tool zonder cookies geen toestemming nodig heeft, dus eerst vragen is de voorzichtige weg.

Op de sites die ik bouw laadt het analytics-script pas nadat de bezoeker op aanvaarden drukt. Voor die keuze laadt er niets optioneels.

Hoe ziet een geldige cookiebanner eruit?

De GBA publiceert een cookiechecklist. Ze noemt die een hulpmiddel, geen lijst met nieuwe verplichtingen. De belangrijkste punten:

Vereiste	In de praktijk
Niets niet-essentieels vóór toestemming	Geen optionele cookie geplaatst of gelezen vóór een geldig ja
Weigeren op dezelfde laag als aanvaarden	Een knop “instellingen beheren” naast “alles aanvaarden” volstaat niet
Geen misleidend ontwerp	Bijvoorbeeld geen kleuren die richting aanvaarden duwen
Toestemming per doel	Uiterlijk op een tweede laag
Duidelijke informatie op de eerste laag	Wie de cookies plaatst, hoe u aanvaardt of weigert, wat er volgt en het recht om in te trekken
Alleen actieve toestemming	Geen toestemming door te scrollen, de banner te sluiten of vooraf aangevinkte vakjes
Geen cookiemuur	Toegang mag niet afhangen van aanvaarden
Gemakkelijk intrekken	Een duidelijk zichtbare link of knop, één klik, en het moet echt effect hebben

Op mijn sites kunnen bezoekers hun toestemming intrekken via de footer en via de cookiepagina.

Hoe lang mag ik de keuze onthouden, en wat moet ik bijhouden?

De GBA zegt dat cookies die de keuzes van een bezoeker onthouden voor een beperkte tijd bewaard moeten worden, en dat ze 6 maanden in principe redelijk vindt. Op mijn sites vervalt de keuze daarom na zes maanden, en dan vraagt de banner het opnieuw. De GBA vraagt u ook om bewijs bij te houden van hoe uw banner in de loop van de tijd veranderd is, vorige versies van uw cookiebeleid te bewaren en het beleid een datum en een versienummer te geven.

Wat moet er in mijn privacybeleid staan?

Wanneer u gegevens rechtstreeks bij mensen verzamelt, somt de gids van de GBA voor kleine bedrijven op wat u hen moet vertellen. Voor een kleine site betekent dat:

wie u bent en hoe ze u bereiken
waarom u de gegevens gebruikt en op welke rechtsgrond
wie ze ontvangt, zoals een webontwikkelaar
of ze de Europese Economische Ruimte verlaten, en met welke waarborgen
hoe lang u ze bewaart, of volgens welke criteria
de rechten van de bezoeker, inclusief toestemming intrekken en klacht indienen bij een toezichthoudende autoriteit

De tips van de GBA: link het beleid vanaf de hoofdpagina en elke andere pagina, maak het beschikbaar in alle talen van de site, geef het een datum en bewaar vorige versies.

Welke contracten heb ik nodig met mijn host en e-mailprovider?

De gids van de GBA zegt dat een bedrijf dat een verwerker aanstelt, met die verwerker een verwerkersovereenkomst moet sluiten. Haar voorbeeld is een bedrijf dat klantgegevens bewaart bij een hostingprovider: de host treedt op als verwerker. De gids over domeinnaam, hosting en e-mail legt uit wie wat beheert.

Wat als er een datalek is?

De Europese Raad voor gegevensbescherming (EDPB) zegt dat u de gegevensbeschermingsautoriteit binnen 72 uur moet verwittigen nadat u het lek ontdekt hebt, tenzij het onwaarschijnlijk is dat het een risico voor personen inhoudt. U mag in fasen melden, maar u moet elke vertraging verantwoorden. Breng de getroffen mensen zonder onnodige vertraging op de hoogte wanneer het risico hoog is. Registreer elk lek, ook de lekken die u niet meldt.

Wat moet er wettelijk op mijn website staan?

De FOD Economie somt op wat een bedrijfswebsite of pagina op sociale media moet tonen: uw naam, uw adres, contactgegevens met een e-mailadres, uw ondernemingsnummer en uw btw-nummer als uw activiteit btw-plichtig is. Een telefoonnummer is ook verplicht als u op afstand overeenkomsten met consumenten kunt sluiten. De regel geldt ook voor zelfstandigen.

Bij haar controles van 2024 op 2.158 websites en webpagina’s stelde de FOD Economie vast dat bij 47,7% de identificatiegegevens ontbraken en bij 45,7% het ondernemingsnummer.

Is er in België al iemand beboet voor cookies?

Ja. In beslissing 85/2022 van 25 mei 2022 legde de Geschillenkamer van de GBA Roularta Media Group, uitgever van Knack en Le Vif, een boete van 50.000 euro op. De vaststellingen betroffen statistische cookies die zonder toestemming geplaatst werden, vooraf aangevinkte vakjes voor partners en een intrekking van toestemming die niet werkte. Ze legde het bedrijf ook op om zich binnen drie maanden in regel te stellen.

Waar past Ovrick in?

Ik bouw sites zo dat er niets optioneels laadt vóór een keuze, waardoor de banner kort blijft of overbodig wordt. Op mijn sites is de Google-kaart een plaatsvervanger met het adres en een knop “Toon de kaart”, en bereikt er niets Google vóór de klik. Zo werkt elke site die ik bouw, zonder meerprijs: de prijspagina toont wat erin zit. Voor een vraag over uw eigen situatie vraagt u raad aan een jurist.

Cookiebanner en GDPR voor een kleine zaak in België