Cookiebanner verplicht? Wat de Belgische regels zeggen

Ja, zodra je site iets op het toestel van je bezoeker zet of uitleest dat niet strikt nodig is: de cookies van Google Analytics, een advertentiepixel van Meta, een video van YouTube of een kaart van Google Maps. Voor cookies die strikt nodig zijn, zoals een winkelmandje, een aanmelding of de taalkeuze, hoef je volgens de Gegevensbeschermingsautoriteit (GBA, de Belgische privacywaakhond) geen toestemming te vragen, maar leg je wel uit wat ze doen. En statistieken zonder cookies? Die helpen veel, maar de GBA heeft niet gezegd dat ze altijd zonder toestemming mogen.

Wat zegt de regel?

Je mag enkel iets op het toestel van een bezoeker opslaan of uitlezen als je hem eerst duidelijk zegt waarvoor, en hij daarna toestemming geeft. Er zijn twee uitzonderingen: als het enkel dient om een bericht over het internet te versturen, of als het strikt nodig is voor iets waar de bezoeker zelf om vraagt. De regel komt uit Europa en staat in de Belgische privacywet van 30 juli 2018, artikel 10/2 (kaderwet). Tot 2022 stond ze in de wet op de elektronische communicatie; oudere teksten verwijzen nog daarnaar.

Het gaat niet enkel over cookies. Volgens de GBA geldt de regel ook voor andere technieken die iets op het toestel bewaren of herkennen, zoals pixels (GBA). De Europese privacytoezichthouders samen (het EDPB) rekenen er ook scripts toe die de browser gegevens laten doorsturen, en soms zelfs het volgen van bezoekers via hun IP-adres (EDPB).

Wanneer is geen toestemming nodig?

Voor cookies die strikt nodig zijn voor iets waar de bezoeker zelf om vraagt, of om je site te laten werken (GBA):

• zijn winkelmandje, of een formulier over meerdere pagina's;

• zijn aanmelding, bijvoorbeeld op je klantenportaal;

• het tijdelijk bewaren van zijn taalkeuze;

• zijn keuze in de cookiebanner, volgens de GBA in beginsel hoogstens zes maanden.

Ook voor die cookies leg je uit wat ze doen. De GBA vraagt een cookieverklaring met onder meer de lijst van je cookies, hun doel en hun duur. Je bezoeker moet die verklaring makkelijk vinden, bijvoorbeeld via een link. Of dat een aparte pagina is of een hoofdstuk van je privacyverklaring, zegt de GBA niet.

Heb je voor statistiek- en reclamecookies altijd toestemming nodig?

In België wel. Voor cookies die bezoekers tellen is er volgens de GBA "geen vrijstelling", "zelfs niet als het gaat om eerstepartij cookies" (cookies van je eigen site). Bezoekers tellen is immers geen dienst waar je bezoeker om vroeg (GBA).

Let op als je Franse sites leest: de Franse toezichthouder CNIL stelt sommige cookies om bezoekers te tellen onder voorwaarden vrij (CNIL). Die uitzondering geldt niet in België.

Hoe kijk je na wat je site laadt?

Vraag het aan je webbouwer: "Geef me een lijst van alle cookies op mijn site, en van alle diensten van andere bedrijven die mijn site laadt." Of kijk zelf, in Chrome:

1. Open je site in een incognitovenster en klik niets aan in de banner.

2. Klik rechts op de pagina en kies Inspecteren. In het tabblad Application, onder Cookies, zie je wat je site al zette (Chrome).

3. Open het tabblad Network en herlaad de pagina. Je ziet van welke adressen je site iets laadt (Chrome). Staan daar namen als google-analytics.com, youtube.com of facebook.net, dan laadt je site iets van een ander bedrijf.

Zie je al cookies die niet strikt nodig zijn, terwijl je nog niets aanklikte, dan is er werk.

Wat doe je met een kaart, een video of lettertypes?

• Een kaart van Google Maps op je contactpagina vraagt toestemming. Een afbeelding van de kaart met een link "Bekijk op Google Maps" niet.

• Een video van YouTube: laat ze pas laden als de bezoeker erop klikt, met een zin erbij dat YouTube dan cookies kan zetten. Tot die klik komt er niets van YouTube op je site.

• Lettertypes van Google: daarbij maakt de browser van je bezoeker contact met Google. Laat ze op je eigen server zetten.

• LinkedIn: een gewone link naar je bedrijfspagina laadt niets; een ingebouwde knop of feed van LinkedIn wel.

• Een formulier met reCAPTCHA laadt een script van Google. Vraag je webbouwer naar een bescherming tegen spam die niets van een ander bedrijf laadt.

• De aanmelding op je klantenportaal is strikt nodig: geen toestemming.

Heb je Google Analytics? Dan heb je drie keuzes: een banner die de checklist hieronder volgt, overstappen op statistieken zonder cookies, of Google Analytics weghalen als je de cijfers toch niet bekijkt.

Wat moet een goede cookiebanner doen?

De GBA publiceerde in oktober 2023 een checklist (GBA). De belangrijkste punten:

• Eerst vragen, dan laden. Cookies die niet strikt nodig zijn, laad je pas na de toestemming.

• Weigeren even makkelijk als aanvaarden. Een knop "Alles weigeren" naast "Alles aanvaarden", in de banner zelf. Een knop "Instellingen" naast "Alles aanvaarden" volstaat niet.

• Geen trucs. Geen vooraf aangevinkte vakjes, geen knop die door kleur opvalt, geen toestemming omdat iemand verder surft of de banner sluit.

• Geen cookiemuur. Wie weigert, moet je site gewoon kunnen gebruiken.

• Kiezen per doel (statistieken, reclame, sociale media), ten laatste in het venster achter "Instellingen".

• In de banner zelf leg je uit wie de cookies zet, hoe de bezoeker aanvaardt of weigert, wat de gevolgen zijn, en dat hij zijn toestemming kan intrekken.

• Intrekken even makkelijk als geven, bijvoorbeeld met een link onderaan elke pagina.

• Bewaar de vroegere versies van je banner en je cookieverklaring, met datum.

• In de taal van je bezoeker: in het Frans en het Nederlands als je site zich tot beide richt.

Je webbouwer plaatst de banner, of je gebruikt een kant-en-klare dienst die deze punten volgt.

Wat veranderen statistieken zonder cookies?

Tools zoals Plausible tellen bezoekers zonder cookies. Dat verandert veel: er komt geen cookie op het toestel, er gaan geen gegevens naar een reclamenetwerk, en je cijfers zijn vollediger. Maar niet alles:

• De regel gaat over meer dan cookies. Volgens het EDPB kan ook een script dat gegevens van het toestel doorstuurt eronder vallen, en soms zelfs het volgen van bezoekers via hun IP-adres.

• De GBA heeft geen standpunt gepubliceerd over statistieken zonder cookies; wij vonden er alvast geen. Plausible schrijft zelf dat je met zijn tool geen cookiebanner nodig hebt (Plausible): dat is de mening van de leverancier, niet die van de GBA.

• De GDPR (in het Nederlands AVG) blijft gelden. Ook zonder cookies verwerk je persoonsgegevens, zoals IP-adressen en wat bezoekers in je formulieren typen. Je privacyverklaring zegt wat je verwerkt en waarom (GDPR, art. 13).

Wat riskeer je?

Een bezoeker kan klacht indienen bij de GBA (GBA). De GBA kan je dan bevelen om in orde te komen, of je een boete geven: in 2022 kreeg de uitgever van Knack en Le Vif 50.000 euro boete voor de cookies op die twee sites (GBA, beslissing 85/2022).

Verandert de regel binnenkort?

Europa werkt aan soepelere regels, onder meer om bezoekers zonder toestemming te mogen tellen (Europese Commissie, Journal du Net). Op 4 november 2026 is dat nog geen wet.

Dus: heb je een cookiebanner nodig?

• Ja, als je Google Analytics, advertentiepixels, knoppen of feeds van sociale media, ingesloten video's of kaarten, of een chat van een ander bedrijf gebruikt.

• Geen toestemming, wel uitleg, als je enkel strikt noodzakelijke cookies gebruikt.

• Telt je site zonder cookies en laadt ze niets van anderen, dan valt de meest voorkomende reden voor een banner weg. Of dat volstaat, heeft de GBA niet uitdrukkelijk gezegd.

• Altijd een privacyverklaring.

Kintsu-sites zetten zelf geen cookies en laden geen trackers van anderen, en tonen daarom geen cookiebanner. Ze tellen bezoekers op de server, telkens als iemand een pagina opvraagt: er draait geen script en er komt niets op het toestel. Om een bezoeker één keer per dag te tellen, maakt de server een code uit het IP-adres en het type browser, die na die dag verdwijnt; enkel de aantallen blijven. Wij menen dat er voor die telling daarom geen toestemming nodig is. De GBA heeft dat niet bevestigd. Voeg je iets toe dat cookies zet, zoals Google Analytics of Google Maps, dan verschijnt een banner met een knop om te weigeren naast die om te aanvaarden. Meer in Privacy en hosting in de EU.

Dit artikel is algemene informatie, geen juridisch advies. Het geeft weer wat de wet en de GBA zeggen op 4 november 2026. Twijfel je over je eigen site, vraag het aan een jurist.

Bronnen

Alle bronnen geraadpleegd op 4 november 2026.

• Gegevensbeschermingsautoriteit, Cookies en andere traceringsmiddelen, bijgewerkt op 17 november 2023

• Gegevensbeschermingsautoriteit, Cookie checklist, oktober 2023

• Gegevensbeschermingsautoriteit, Klacht indienen

• Gegevensbeschermingsautoriteit, Beslissing ten gronde 85/2022, 25 mei 2022

• Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, art. 10/2, in werking sinds 10 januari 2022

• Wet van 13 juni 2005 betreffende de elektronische communicatie, art. 129, opgeheven op 10 januari 2022

• EDPB, Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, versie 2.0 van 7 oktober 2024

• CNIL, Cookies : solutions pour les outils de mesure d'audience

• Chrome for Developers, View, add, edit, and delete cookies en Inspect network activity

• Plausible, Data policy

• GDPR (AVG), art. 13

• Europese Commissie, Voorstel voor een digitale omnibusverordening, 19 november 2025

• Journal du Net, Digital Omnibus : ce que change le mandat du Conseil de l'UE du 21 octobre 2026, 29 oktober 2026