Een cookieverklaring helpt bezoekers begrijpen welke informatie uw website op hun apparaat plaatst of uitleest, waarom dat gebeurt en welke keuze zij hebben. Artikel 11.7a Telecommunicatiewet verlangt duidelijke en volledige informatie voordat u toestemming vraagt voor niet-uitgezonderde technieken. Verwerkt u daarbij persoonsgegevens, dan gelden daarnaast de informatieplichten en grondslagen van de AVG. De wet schrijft geen afzonderlijk document met de titel ‘cookieverklaring’ of verplichte cookietabel voor. Een goed vindbare pagina met een actuele inventaris is wel een bruikbare manier om de uitleg toegankelijk te maken. Dit model laat zien welke vragen u vóór publicatie moet beantwoorden; de voorbeeldwaarden moet u vervangen door uw werkelijke configuratie.
Belangrijkste punten
- Maak eerst een inventaris van cookies en vergelijkbare technieken, waaronder pixels, lokale opslag en scripts die apparaatinfo uitlezen. De naam van de techniek beslist niet of artikel 11.7a geldt.
- Functionele technieken en beperkte analytische technieken met geen of geringe privacygevolgen kunnen onder de wettelijke toestemmingsuitzondering vallen. Beoordeel dit per concrete toepassing; ‘analytics’ is geen vrijbrief.
- Voor tracking en veel andere niet-uitgezonderde technieken is voorafgaande, geldige toestemming nodig. Houd de bijbehorende persoonsgegevensverwerking en AVG-grondslag apart in beeld.
- Laat de informatie vóór de keuze zien, geef weigeren een even toegankelijke plaats als accepteren en maak intrekken eenvoudig.
- Een ingevulde pagina werkt alleen als zij overeenkomt met wat op de site werkelijk wordt geladen, ook na nieuwe plug-ins en campagne-tags. Controleer bovendien of de taal van de verklaring voor de beoogde bezoekers begrijpelijk is. Een technisch juiste tabel met onbekende leverancierscodes helpt een bezoeker niet beslissen. Laat daarom iemand buiten het webteam de eerste laag en de detailpagina lezen, de keuze maken en in eigen woorden uitleggen wat er gebeurt. Dat is een eenvoudige inhoudelijke proef naast de technische scan.
Begin met een inventaris, niet met een standaardtekst
Open uw website met een schone browser zonder eerder opgeslagen keuze. Noteer wat vóór en na toestemming wordt geladen, en herhaal dat voor weigeren. Kijk niet alleen naar de startpagina: een video-embed op een artikel, een reserveringsmodule en een betaalpagina kunnen andere scripts activeren. Controleer mobiele en desktopweergave, talen en subdomeinen. Een leverancierstabel uit de documentatie is een startpunt, geen bewijs van wat bezoekers werkelijk ontvangen. Leg bij elk item vast wie het plaatst, welke gegevens worden gelezen, waarheen ze gaan en hoe lang de toegang of opslag duurt.
Onderscheid de levensduur van het browserbestand van de bewaartermijn van serverlogs en profielen. Een sessiecookie kan na sluiten van de browser verdwijnen terwijl een accountlog langer bestaat. De verklaring moet dat verschil niet verbergen achter één getal. Bij een platform van derden kan ook de partij die de gegevens ontvangt eigen bewaartermijnen en doelen hebben. Controleer contract en productinstellingen, en verwijs voor die verwerking waar nodig naar de informatie van de derde. Voor een bredere inventaris van verwerkingen gebruikt u het verwerkingsregister; deze cookiepagina vervangt dat interne dossier niet.
Werkblad voor de feitelijke cookie-inventaris
| Te controleren veld | Wat u zelf invult |
|---|---|
| Techniek en naam | Cookie, pixel, lokale opslag of andere uitlezing; exacte naam of herkenbare groep |
| Plaatsende en ontvangende partij | Eigen domein en eventuele derde partij met naam |
| Doel en gegevens | Functie, meting of reclame; identificeerbare gegevens en koppelingen |
| Geldigheidsduur | Opslag op apparaat en, waar relevant, bewaartermijn van verzamelde gegevens |
| Toestemmingsroute | Uitzondering met motivering of voorafgaande toestemming |
| Intrekken of bezwaar | Concrete knop, instellingenpagina en contactroute |
Dit is een redactioneel werkblad, geen wettelijk voorgeschreven formulier. Een fictieve rij zoals voorbeeld_sessie met ‘winkelwagen, alleen sessie’ laat de vorm zien maar zegt niets over uw eigen cookies. Kopieer geen bekende namen of standaardtermijnen: instellingen en leveranciers kunnen veranderen. Kunt u een veld niet verifiëren, schakel de betrokken niet-noodzakelijke techniek uit totdat de inventaris klopt. De gids over toestemming voor cookies behandelt vervolgens de keuze per categorie.
Welke technieken vragen toestemming?
Artikel 11.7a ziet op opslag van of toegang tot informatie in de randapparatuur van een gebruiker. De uitzondering voor een techniek die uitsluitend nodig is voor de communicatie of strikt noodzakelijk is voor een uitdrukkelijk gevraagde dienst, moet u functioneel beoordelen. Een sessie-id voor een ingelogd account kan noodzakelijk zijn; een advertentieprofiel op dezelfde pagina niet. De Autoriteit Persoonsgegevens noemt daarnaast beperkte analytische cookies zonder of met geringe gevolgen voor de privacy. Onderzoek onder meer of identificatie, koppeling tussen sites en doorgifte voor andere doelen zijn uitgesloten. ‘IP-adres ingekort’ alleen bewijst die uitkomst niet.
Voor trackingcookies is de toestemming vooraf nodig. De bezoeker moet vrij, specifiek, geïnformeerd en ondubbelzinnig kiezen. Een standaard aangevinkt vakje, verder scrollen of stilte zijn geen toestemming. Een cookiemuur zonder redelijk alternatief ondermijnt de vrije keuze. De AP benadrukt dat weigeren even makkelijk moet zijn als accepteren. De mogelijke AVG-grondslag voor persoonsgegevens is een aanvullende vraag: toestemming volgens de Telecommunicatiewet is op zichzelf nog geen volledige AVG-beoordeling. Voor noodzakelijke en beperkt analytische cookies die persoonsgegevens verwerken, kan een andere AVG-grondslag toepasselijk zijn, mits de voorwaarden ervan echt vervuld zijn; de AP bespreekt bijvoorbeeld gerechtvaardigd belang met een aantoonbare belangenafweging.
Maak bij een wijziging een nieuwe beoordeling. Als een privacyvriendelijke statistiekfunctie later wordt gekoppeld aan reclameprofielen, is het eerdere oordeel over de uitzondering niet langer voldoende. Het overzicht van de Nederlandse cookiewet geeft het wettelijke kader; uw eigen configuratie bepaalt de concrete uitkomst. Schrijf in de verklaring dus niet ‘alle analytische cookies zijn vrijgesteld’ of ‘alle analytische cookies vereisen toestemming’.
Van banner naar begrijpelijke uitleg
De eerste laag van de banner moet de bezoeker vóór plaatsing van niet-uitgezonderde technieken wezenlijke informatie en een werkelijke keuze geven. Een link naar een langere verklaring kan details tonen, maar een link naar algemene voorwaarden alleen is onvoldoende. Beschrijf in heldere taal welke categorieën worden gebruikt, welke partijen betrokken zijn, wat weigeren betekent en hoe de keuze later kan worden herzien. De AP geeft voorbeelden van heldere en misleidende cookiebanners. Controleer de daadwerkelijke interface: op een smalle telefoon kan een ogenschijnlijk gelijkwaardige weigerknop toch verstopt zijn.
Laat de technische blokkering aansluiten op de woorden. Open netwerkverkeer en browseropslag terwijl nog geen keuze is gemaakt. Test daarna weigeren, accepteren, een deelkeuze en intrekken. Een marketingtag die vóór de klik al gegevens verzendt, wordt niet gerepareerd doordat de tekst zegt dat toestemming vereist is. Herhaal de test na een wijziging van de consent management inrichting, een video-widget of een advertentiecampagne. Noteer testdatum, pagina, apparaat en uitkomst; zo is een fout later te herleiden.
Een bezoeker die toestemming intrekt, mag daarna niet opnieuw via dezelfde trackingroute worden gevolgd. Een permanente instellingstoegang in de footer of een goed zichtbare privacykeuze is een praktische oplossing. Leg uit wat intrekken doet: toekomstige opslag en uitlezing stoppen; bestaande browsercookies kan de bezoeker mogelijk ook zelf verwijderen. Het intrekken maakt eerdere rechtmatige verwerking niet automatisch onrechtmatig, maar vraagt wel passende vervolgacties voor lopende verwerking. Meer over de AVG-regel leest u bij toestemming intrekken.
De inhoud van de gepubliceerde verklaring
Noem de organisatie die verantwoordelijk is voor de website en een bereikbaar privacycontact. Leg in gewone taal de doelen uit: authenticatie, voorkeursinstellingen, meting of reclame. Vermeld per relevante techniek of groep de duur, ontvangers en eventuele koppeling tussen bezoeken of websites. Beschrijf de keuze, intrekking en de gevolgen van weigering. Als persoonsgegevens worden verwerkt, moet de samenhangende privacyinformatie voldoen aan artikel 13 of 14 AVG, waaronder de passende grondslag, bewaartermijn of criteria, rechten en waar toepasselijk internationale doorgifte. Dat kan in deze pagina of via een duidelijke gekoppelde privacyverklaring voor de website, zolang de informatie vóór de relevante keuze toegankelijk is.
Een tabel helpt bezoekers vergelijken, maar voorkom een onleesbare dump van tientallen technische identifiers zonder doel. Groepeer alleen wanneer doel, partij, duur en keuze werkelijk gelijk zijn. Zet afwijkende advertentiepartners niet weg als ‘overige’. Een externe embed kan pas na een klik worden geactiveerd; beschrijf dan wat die klik doet en of een derde al bij het tonen van de placeholder gegevens ontvangt. Voor een meertalige site moeten de teksten en instellingen per taal dezelfde feitelijke techniek beschrijven, niet alleen dezelfde vertaalde categorieën.
Voorbeeld van een invulbare passage
Wij gebruiken [naam techniek] van [partij] voor [concreet doel]. Daarbij wordt [soort informatie] opgeslagen of uitgelezen. De opslag op uw apparaat duurt [geverifieerde duur]; de verzamelde persoonsgegevens worden [duur of criteria] bewaard. [Deze techniek is noodzakelijk voor de door u gevraagde functie / wij vragen eerst uw toestemming]. U kunt uw keuze wijzigen via [werkende route].
Vul elk haakje met gecontroleerde gegevens. Als het doel meerdere rechtsgronden of partijen omvat, splits de passage. Het voorbeeld belooft geen juridische volledigheid en is geen toestemmingstekst op zichzelf. Besteed ook aandacht aan de data achter de cookie: een identificatienummer kan via een server aan een profiel worden gekoppeld. Alleen ‘wij plaatsen een cookie’ vertelt de gebruiker dan te weinig.
Derden en doorgifte buiten de EER
Een derde kan een zelfstandige verwerkingsverantwoordelijke, gezamenlijke verantwoordelijke of verwerker zijn. De term ‘cookie van derden’ beslist de AVG-rol niet. Vraag wat de partij zelf met gegevens doet, welke instructies zij volgt en welke informatie zij aan bezoekers geeft. Voor een verwerker is een passende regeling onder artikel 28 AVG nodig; bij zelfstandige doelen zijn heldere rol- en informatieafspraken minstens zo belangrijk. Een advertentieplatform hoeft niet enkel doordat het via uw site geladen wordt uw subverwerker te zijn.
Als persoonsgegevens buiten de Europese Economische Ruimte worden doorgegeven, beoordeel dan hoofdstuk V AVG. Een adequaatheidsbesluit, geschikte waarborgen of een specifieke uitzondering kan toepasselijk zijn; een leverancier met een Amerikaans moederbedrijf is niet automatisch bewijs van een concrete doorgifte. Onderzoek werkelijke toegang, opslag en ondersteuning. Bij standaardcontractbepalingen zijn de omstandigheden van de doorgifte en mogelijk aanvullende maatregelen relevant. Houd die analyse in uw interne dossier; geef bezoekers begrijpelijke informatie over de doorgifteroute. Een algemene zin ‘wij gebruiken veilige servers’ is hiervoor te vaag. De praktische route staat in de gids internationale doorgifte.
Onderhoud en eigenaarschap
Wijs één eigenaar aan voor de verklaring, maar laat product, marketing en techniek wijzigingen melden. Vergelijk na een nieuwe plug-in de cookielijst met de pagina en banner. Leg vast wie de wijziging goedkeurde, wanneer de toestemmingstekst is aangepast en welke test liet zien dat geweigerde tags uitblijven. Een jaarlijks reviewmoment kan nuttig zijn, maar is onvoldoende als campagnes maandelijks veranderen. Voor organisaties die hun cookie-inventaris met andere privacyprocessen verbinden, biedt de neutrale gids voor AVG-compliance software selectievragen; zo’n hulpmiddel vervangt de feitelijke scanaudit niet. Versioneer wijzigingen zodat u kunt uitleggen welke informatie een bezoeker op een bepaalde datum kon zien.
Kijk ook naar bewaartermijnen van toestemmingsbewijzen. U moet toestemming kunnen aantonen, maar hoeft niet méér keuzehistorie te bewaren dan daarvoor nodig is. Stel een gemotiveerde termijn vast en beperk toegang. Als de bezoeker een inzage- of verwijderverzoek doet, moet u kunnen uitleggen welke gegevens de cookietechnieken hebben opgeleverd. Koppel daarom deze inventaris aan uw bewaartermijnenbeleid en uw AVG-basisbeginselen.
Een wijziging behandelen als een kleine release
Wanneer marketing een nieuwe campagne start, kan één script tegelijk advertentiecookies, een conversiepixel en een koppeling met een extern klantenbestand activeren. Laat de aanvrager daarom niet alleen de naam van de leverancier doorgeven. Vraag welke pagina’s geraakt zijn, wanneer de techniek laadt, welke identifiers worden gebruikt, of de partner gegevens voor eigen doelen inzet en welke keuze de bezoeker krijgt. De eigenaar van de website beslist daarna of de bestaande uitzondering of toestemming nog past. Pas vóór livegang de banner, verklaring, blokkering en privacyinformatie aan; bewaar de uitkomst van de test bij de release. Zo wordt de verklaring geen jaarlijkse tekstcontrole, maar een controlepunt bij elke feitelijke wijziging.
Onderzoek ook het scenario waarin een bezoeker eerder toestemming gaf en de verwerking wezenlijk verandert. Die oude keuze hoeft het nieuwe doel of de nieuwe ontvanger niet te dekken. Vraag zo nodig nieuwe toestemming voordat de nieuwe tag wordt geladen. Houd bij wie de wijziging heeft beoordeeld en welke versie van de informatie zichtbaar was. Een korte interne changelog voorkomt discussies achteraf over een cookie die al maanden actief was voordat iemand haar in de tabel opnam.
FAQ
Is een aparte cookieverklaring verplicht?
Nee, niet als afzonderlijk document met die naam. Voor niet-uitgezonderde technieken moet u vooraf duidelijk en volledig informeren en toestemming verkrijgen; bij persoonsgegevens gelden daarnaast de AVG-informatieplichten. Een aparte, vindbare pagina met een actuele inventaris is vaak de meest bruikbare vorm. De banner kan de kern tonen en naar de verdieping verwijzen, maar een pagina mag een ontoereikende eerste laag niet maskeren.
Mag ik analytische cookies zonder toestemming plaatsen?
Soms. De uitzondering voor beperkte analytische technieken vergt geen of geringe gevolgen voor de privacy. Beoordeel de concrete configuratie, koppeling en ontvangers. Een bekend pakket of ingekort IP-adres is op zichzelf geen doorslaggevend bewijs. Zodra de techniek voor tracking of advertentieprofielen wordt gebruikt, is de uitzonderingsredenering doorgaans niet passend.
Hoe verhouden cookieverklaring en privacyverklaring zich?
De cookie-uitleg gaat over opslag en uitlezing op het apparaat en de daarop volgende gegevensstroom. De privacyverklaring bestrijkt ook andere verwerkingen, zoals een account, bestelling of sollicitatie. U kunt informatie combineren zolang zij tijdig, begrijpelijk en volledig is. Houd de route van banner naar relevante uitleg kort en werk beide teksten bij wanneer de praktijk verandert.
Moet elke cookie een vaste bewaartermijn in de tabel krijgen?
Geef een controleerbare duur of criteria die overeenkomen met de techniek. Onderscheid apparaatopslag en bewaartermijn van gekoppelde persoonsgegevens. De wet schrijft geen universele cookielevensduur voor. Een voorbeeldwaarde uit een standaardmodel moet dus niet ongetoetst op uw site blijven staan.
Primaire bronnen: artikel 11.7a Telecommunicatiewet, AVG op EUR-Lex, AP over cookies en AP over heldere banners.