Voor cookies geldt de Telecommunicatiewet, voor persoonsgegevens de AVG. Zo ziet u het verschil en waarom u met beide te maken hebt. Geen juridisch advies.
Bij cookies denkt iedereen aan de AVG, maar de cookieregels komen eigenlijk uit een andere wet.
Kort antwoord
Of u een cookie mag plaatsen, regelt in Nederland de Telecommunicatiewet (de cookiewet). Wat u daarna doet met de gegevens die u via cookies verzamelt, valt onder de AVG als het om persoonsgegevens gaat. De cookieregel geldt ook voor cookies zonder persoonsgegevens; de AVG geldt ook voor gegevens die niets met cookies te maken hebben. U hebt dus vaak met allebei te maken. Dit is algemene uitleg, geen juridisch advies.
De Telecommunicatiewet: mag de cookie erop?
De cookieregel gaat over het plaatsen of uitlezen van informatie op het apparaat van een bezoeker. Dat zijn niet alleen cookies, maar ook vergelijkbare technieken zoals local storage, pixels en fingerprinting. Kort samengevat:
Functionele cookies die strikt nodig zijn voor de werking van de site, zoals een winkelwagen of het onthouden van een cookiekeuze, mogen zonder toestemming.
Analytische cookies met weinig of geen gevolgen voor de privacy mogen ook zonder toestemming, mits u ze privacyvriendelijk instelt.
Overige cookies, zoals tracking en advertentiecookies, vragen vooraf toestemming en goede informatie.
Deze regel geldt ongeacht of er persoonsgegevens in de cookie zitten. Hoe u in de banner functionele en trackingcookies scheidt, leest u in "Cookiebanner: functioneel vs tracking".
De AVG: wat doet u met de gegevens?
Zodra via cookies persoonsgegevens worden verzameld, geldt ook de AVG. En dat gebeurt sneller dan u denkt: een uniek cookie-ID, een IP-adres of een profiel van surfgedrag kan al een persoonsgegeven zijn. Dan moet u onder de AVG onder meer:
Een grondslag hebben voor de verwerking. Voor trackingcookies is dat in de praktijk de toestemming die u al voor de cookie vroeg.
Bezoekers informeren in uw privacyverklaring.
Afspraken maken met partijen die de gegevens voor u verwerken.
Opletten bij doorgifte van gegevens buiten de EU.
Gegevens niet langer bewaren dan nodig.
Waarom het verschil ertoe doet
Een paar situaties waarin het verschil uitmaakt:
Cookie zonder persoonsgegevens, wel tracking: dan geldt de cookiewet wel, de AVG mogelijk niet. Toestemming blijft nodig.
Persoonsgegevens zonder cookies: een contactformulier of een cookieloos statistiekpakket valt niet onder de cookieregel, maar wel onder de AVG. U noemt het dus in uw privacyverklaring, ook zonder banner.
Toestemming voor de cookie dekt niet alles: dat iemand op "accepteren" klikte, betekent niet dat u de gegevens daarna voor elk doel mag gebruiken. Het doel moet vooraf duidelijk zijn.
Wie houdt toezicht?
Toezicht is verdeeld. De Autoriteit Persoonsgegevens houdt toezicht op de AVG en heeft de laatste jaren veel aandacht voor cookiebanners en tracking. Voor de cookieregel speelt ook de Autoriteit Consument & Markt een rol. Voor u als ondernemer maakt het weinig uit wie toezicht houdt: beide regels gelden.
Wat u praktisch regelt
Breng in kaart welke cookies en scripts op uw site draaien. Een scan in uw browser of met een cookietool laat het zien.
Haal weg wat u niet gebruikt. Een oude pixel of een vergeten chatwidget plaatst ook cookies.
Laat niet-noodzakelijke scripts pas na toestemming laden.
Beschrijf cookies en de verwerking in een cookieverklaring en privacyverklaring.
Controleer na elke wijziging aan uw site of er nieuwe cookies bij zijn gekomen.
Veelgestelde vragen
Heb ik een cookiebanner nodig als ik alleen functionele cookies gebruik?
Nee, voor strikt noodzakelijke cookies is geen toestemming nodig. Informeer bezoekers er wel over, bijvoorbeeld in uw privacy- of cookieverklaring.
Is een ingesloten YouTube-video ook een cookie-onderwerp?
Ja. Een gewone YouTube-embed plaatst cookies van Google. Gebruik de privacyvriendelijkere variant of laad de video pas na een klik of toestemming.
Geldt dit ook voor een zakelijke site voor andere bedrijven?
Ja. Bezoekers van een B2B-site zijn ook mensen; de regels gelden hetzelfde.
Hulp nodig?
Wilt u weten welke cookies uw site echt plaatst en dat netjes geregeld hebben? Ik controleer het als onderdeel van hosting en onderhoud.
