Cookiebanner en AVG in 2026: wat een Belgische website echt moet doen

Cookies die strikt nodig zijn voor de werking van de site, zoals de sessie van een winkelmandje of de taalvoorkeur, vereisen geen toestemming. De banner wordt verplicht zodra een cookie of tracker iets anders doet: externe bezoekersmeting, reclame, ingebedde video’s, deelknoppen.

Een presentatiesite zonder externe meettool, zonder ingebedde YouTube-video en zonder advertentiepixel kan wettelijk zonder banner. Dat is het eenvoudigste geval, en het komt vaker voor dan men denkt.

De typische inbreuken: cookies geplaatst vóór de keuze van de gebruiker, een ontbrekende of achter een link verborgen weigerknop, vooraf aangevinkte vakjes, en de onmogelijkheid om toestemming even eenvoudig in te trekken als ze werd gegeven.

De Belgische autoriteit heeft al sites beboet voor een banner waar weigeren minder zichtbaar was dan aanvaarden. Het principe is eenvoudig: aanvaarden en weigeren moeten evenveel moeite kosten.

Twee even zware knoppen op het eerste niveau, aanvaarden en weigeren, plus toegang tot instellingen per doel. Niets wordt geplaatst vóór de klik. Een permanente link in de voettekst laat toe de keuze te wijzigen. De tekst zegt wat wordt verzameld, door wie en waarom.

De banner mag het lezen van de pagina niet blokkeren of het laden vertragen. Oplossingen die een zwaar extern script laden nog vóór de inhoud verschijnt, creëren een prestatieprobleem bovenop het juridische.

Privacyvriendelijke meettools, zonder cookie of individuele identificator, tonen paginaweergaven en verkeersbronnen zonder banner. Ze geven minder detail dan Google Analytics, maar volstaan voor de meeste kleine bedrijven.

Voor advertentiecampagnes blijft toestemming onvermijdelijk. Dan moet je aanvaarden dat een deel van de bezoekers weigert en dat de cijfers onvolledig zijn.

De AVG dekt ook formulieren, nieuwsbrieven en klantaccounts: duidelijke informatie bij de verzameling, een precies doel, bewaartermijn, en een privacybeleid dat beschrijft wat de site werkelijk doet, geen gekopieerd sjabloon.

Een eenvoudig verwerkingsregister en een overeenkomst met elke verwerker, hoster inbegrepen, vervolledigen het geheel. Voor een klein bedrijf past dat op enkele pagina’s.