--- title: "Cookies en toestemming | Pitch, Europees advocatenkantoor" description: "Wanneer je een cookiebanner nodig hebt, hoe geldige toestemming eruitziet en hoe de ePrivacyregels en de AVG samenwerken." url: https://pitch.law/nl/academy/cookie-compliance-and-consent-management --- [pitch](https://pitch.law/nl) [Academy](https://pitch.law/nl/academy) [Privacy & gegevensbescherming](https://pitch.law/nl/academy/topics/privacy) # Cookies en toestemming Wanneer je een cookiebanner nodig hebt, hoe geldige toestemming eruitziet en hoe de ePrivacyregels en de AVG samenwerken. - - Door [Bart Lieben](https://pitch.law/nl/team/bart-lieben), Advocaat - 25 februari 2026 - Bijgewerkt 30-10-2026 ## Het juridisch kader Voor cookies gelden twee sets regels. De ePrivacyrichtlijn 2002/58/EG ([artikel 5, lid 3](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:02002L0058-20091219#art_5)) regelt het opslaan van informatie op, of het verkrijgen van toegang tot informatie op, het toestel van een gebruiker. Elke lidstaat zet ze om in eigen recht (in België sinds 2022 in [artikel 10/2 van de wet van 30 juli 2018](https://www.ejustice.just.fgov.be/eli/wet/2018/07/30/2018040581/justel), de Belgische gegevensbeschermingswet), dus de details en de handhaving verschillen per land. De AVG regelt de verwerking van de persoonsgegevens die daarop volgt. De regels gelden voor cookies, pixels, lokale opslag, software development kits in apps en vergelijkbare technologieën. De ePrivacyregel is: eerst toestemming vragen, met één uitzondering. Cookies die strikt noodzakelijk zijn om een dienst te leveren die de gebruiker uitdrukkelijk heeft gevraagd, of die alleen dienen om een communicatie te verzenden, mogen zonder. Denk aan een sessiecookie voor een winkelmandje, een inlogcookie of een cookie voor load balancing. Voor analyse, advertenties, plug-ins van sociale media, A/B-testen en personalisering heb je meestal wel toestemming nodig. De uitzondering "strikt noodzakelijk" wordt eng uitgelegd. ### Wat toestemming betekent De AVG-definitie geldt ([artikelen 4, punt 11](https://eur-lex.europa.eu/eli/reg/2016/679/oj/nld#art_4) en [7](https://eur-lex.europa.eu/eli/reg/2016/679/oj/nld#art_7)): vrij, specifiek, geïnformeerd en ondubbelzinnig, gegeven door een duidelijke actieve handeling. Het Hof van Justitie oordeelde in _Planet49_ ([zaak C-673/17](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:62017CJ0673)) dat vooraf aangevinkte vakjes geen geldige toestemming zijn. Dat betekent: - geen niet-essentiële cookie voordat de gebruiker heeft gekozen; - geen toestemming door te scrollen, verder te surfen of niks te doen; - aanvaarden en weigeren moeten even makkelijk zijn, dus in de praktijk staan beide opties op het eerste niveau van de banner; - toestemming per doel, met de mogelijkheid om apart te geven of te weigeren; - de toegang tot de site niet afhankelijk maken van het aanvaarden van tracking ("cookie wall") als dat de gebruiker een vrije keuze ontneemt; - intrekken moet even makkelijk zijn als toestemming geven, meestal via een permanente link naar de instellingen; - de gebruiker moet weten wie de derde partijen zijn en wat elk doel is. Nationale autoriteiten publiceren richtsnoeren in die geest, en de Europese Raad voor gegevensbescherming heeft [richtsnoeren over toestemming](https://www.edpb.europa.eu/documents/guideline/guidelines-052020-on-consent-under-regulation-2016679_nl) uitgebracht. De Belgische Gegevensbeschermingsautoriteit (GBA) heeft bijvoorbeeld een [cookiechecklist](https://www.gegevensbeschermingsautoriteit.be/publications/cookie-checklist.pdf) voor website-uitbaters. Ze zegt zelf dat de lijst niet exhaustief is en geen nieuwe verplichtingen schept, maar ze toont wat een autoriteit verwacht, waaronder de weigeroptie op het eerste niveau. Check de actuele richtsnoeren van het land dat je target voordat je erop bouwt. ### Informatie en bewijs Cookies die persoonsgegevens verzamelen, brengen ook de informatieplichten uit artikelen 13 en 14 mee. Je moet kunnen aantonen waarmee de gebruiker wanneer instemde, dus bewaar de toestemmingen. Kinderen zijn een apart geval: volgens [artikel 8 AVG](https://eur-lex.europa.eu/eli/reg/2016/679/oj/nld#art_8) is 16 jaar de standaardleeftijd voor toestemming bij diensten van de informatiemaatschappij. Lidstaten mogen die leeftijd verlagen, maar niet onder 13 jaar. In België is dat bijvoorbeeld [13 jaar](https://www.ejustice.just.fgov.be/eli/wet/2018/07/30/2018040581/justel). ## In de praktijk Een meubelhandelaar heeft een banner met een grote knop "Alles aanvaarden" en een kleine grijze link "Voorkeuren beheren". Scripts voor analyse en advertenties starten zodra de pagina laadt, vóór enige klik. Een scan toont 23 cookies, waarvan er maar zes strikt noodzakelijk zijn. Volgens de regels hierboven heeft de handelaar twee problemen: de niet-essentiële cookies worden zonder toestemming geplaatst, en weigeren kost meerdere klikken terwijl aanvaarden er één kost. De oplossing is evengoed technisch als juridisch. Blokkeer tags tot er toestemming is, geef de banner een gelijkwaardige knop "Alles weigeren", zorg dat de categorieën kloppen en zet een link naar de instellingen in de voettekst. De privacyverklaring moet de cookies en hun bewaartermijn opsommen. Na de aanpassingen checkt de handelaar opnieuw, want een nieuwe marketingtool die het bureau toevoegt, kan het werk in een week ongedaan maken. [Technologie-audits van websites](https://pitch.law/nl/academy/website-technology-audits-and-gdpr) beschrijven hoe die controle werkt. ### Voorbij de banner Analyse met een identificator die over sites heen werkt, advertentienetwerken en tools voor sessieweergave brengen gezamenlijke verwerkingsverantwoordelijkheid, doorgiften en soms een DPIA mee. Gebruik het [verwerkingsregister](https://pitch.law/nl/technologies/privacy-register) om elke tool, haar doel en haar rechtsgrond op te lijsten. ## Veelgestelde vragen ### Hebben we een banner nodig als we alleen analyse gebruiken? Slaat de analysetool informatie op het toestel op of leest ze die, dan wel: dan heb je vooraf toestemming nodig, tenzij de tool onder de enge uitzondering valt. Een meting aan de serverkant die het toestel niet raakt, wordt alleen onder de AVG beoordeeld. ### Is "gerechtvaardigd belang" een alternatief voor toestemming bij cookies? Niet voor het opslaan en lezen van informatie op het toestel. Die stap vraagt toestemming onder de ePrivacyregels, tenzij de cookie strikt noodzakelijk is. ### Hoelang geldt een cookiekeuze? Daar is geen vaste wettelijke termijn voor. Kies een redelijke termijn, vraag opnieuw als je cookies of doeleinden veranderen en laat de keuze altijd herroepbaar. ### Wie is verantwoordelijk als een script van een derde cookies plaatst? De uitbater van de website is verantwoordelijk voor wat zijn website doet. Voor de gegevens die het script verzamelt, kan hij samen met de derde gezamenlijk verantwoordelijk zijn. ## Hoe dit samenhangt Cookiecompliance is een vast onderdeel van [DPO as a Service](https://pitch.law/nl/solutions/dpo-as-a-service). Het [register](https://pitch.law/nl/technologies/privacy-register) legt de betrokken tools vast, en een [DPIA](https://pitch.law/nl/technologies/digital-data-protection-impact-assessment) is nodig als de tracking uitgebreid is. In het [klantenportaal](https://pitch.law/nl/technologies/client-portal) werken jouw team en de DPO deze punten af. ## In het kort - Voorafgaande toestemming voor niet-essentiële cookies - Aanvaarden en weigeren even gemakkelijk - ePrivacyrichtlijn plus nationale regels ## Hier helpen we mee - [Oplossingen](https://pitch.law/nl/solutions/dpo-as-a-service) ### [Externe functionaris voor gegevensbescherming](https://pitch.law/nl/solutions/dpo-as-a-service) [Een externe functionaris voor gegevensbescherming die jouw AVG-naleving adviseert, opvolgt en vastlegt, met een register, kalender en portaal als hulpmiddel.](https://pitch.law/nl/solutions/dpo-as-a-service) ## Tech die we gebruiken - [Technologie](https://pitch.law/nl/technologies/privacy-register) ### [Verwerkingsregister en compliance-registers](https://pitch.law/nl/technologies/privacy-register) [Eén registermotor voor je AVG-verwerkingsregister en voor de registers onder de AI-verordening, NIS2 en DORA, met artikelverwijzingen, bewijsstukken en goedkeuring door de advocaat of DPO.](https://pitch.law/nl/technologies/privacy-register) - [Technologie](https://pitch.law/nl/technologies/digital-data-protection-impact-assessment) ### [Effectbeoordeling gegevensbescherming](https://pitch.law/nl/technologies/digital-data-protection-impact-assessment) [Begeleide gegevensbeschermingseffectbeoordelingen (DPIA's) als werkdossier dat jij en je advocaat samen invullen in het klantenportaal.](https://pitch.law/nl/technologies/digital-data-protection-impact-assessment) - [Technologie](https://pitch.law/nl/technologies/client-portal) ### [Klantenportaal](https://pitch.law/nl/technologies/client-portal) [Een beveiligde plek waar je je dossiers volgt, ons instructies geeft over termijnen, samen met ons aan registers werkt en je IP-portefeuille bekijkt, in dezelfde omgeving als ons werk.](https://pitch.law/nl/technologies/client-portal) ## Meer over Privacy & gegevensbescherming - ### [AI onder Zwitsers recht en de GDPR: de verschillen](https://pitch.law/nl/academy/ai-under-swiss-fadp-and-gdpr) [Wat de herziene Zwitserse privacywet (FADP/DSG) en de GDPR betekenen voor bedrijven die AI-diensten bouwen of gebruiken: toepassingsgebied, grondslagen, DPIA's, doorgifte, sancties en de AI Act.](https://pitch.law/nl/academy/ai-under-swiss-fadp-and-gdpr) - ### [Datalek melden onder de AVG: de 72-urenregel](https://pitch.law/nl/academy/data-breach-response-the-72-hour-countdown) [Artikel 33 AVG: meld een datalek binnen 72 uur nadat je ervan op de hoogte bent. Wanneer je meldt, hoe je de uren telt en wanneer je betrokkenen inlicht.](https://pitch.law/nl/academy/data-breach-response-the-72-hour-countdown) - ### [Bewaartermijn persoonsgegevens: wat zegt de AVG?](https://pitch.law/nl/academy/data-retention-policies-how-long-should-you-keep-personal-data) [De AVG kent geen vaste bewaartermijn: artikel 5, lid 1, e) zegt niet langer dan nodig. Zo bepaal je bewaartermijnen, regel je back-ups en wis je echt.](https://pitch.law/nl/academy/data-retention-policies-how-long-should-you-keep-personal-data) - ### [Inzageverzoek onder de AVG: zo haal je de termijn](https://pitch.law/nl/academy/data-subject-access-requests-dsars-practical-guide) [Beantwoord een inzageverzoek binnen een maand, verlengbaar met twee (artikelen 12 en 15 AVG): wat je bezorgt, wat je mag weigeren en hoe je op tijd blijft.](https://pitch.law/nl/academy/data-subject-access-requests-dsars-practical-guide) - ### [Het verwerkingsregister (RoPA)](https://pitch.law/nl/academy/gdpr-records-of-processing-activities-ropa-what-you-need-to-know) [Wat artikel 30 AVG je verplicht vast te leggen, wie een register moet bijhouden en hoe je het bruikbaar houdt.](https://pitch.law/nl/academy/gdpr-records-of-processing-activities-ropa-what-you-need-to-know) - ### [Gegevens doorgeven buiten de EU](https://pitch.law/nl/academy/international-data-transfers-post-schrems-ii) [Hoe hoofdstuk V AVG werkt na Schrems II: adequaatheidsbesluiten, het EU-VS Data Privacy Framework, modelcontractbepalingen en de beoordeling die erbij hoort.](https://pitch.law/nl/academy/international-data-transfers-post-schrems-ii) ## Even sparren? Vertel waar je mee bezig bent. We zetten de juiste persoon erop en je hoort binnen één werkdag van ons. Het eerste gesprek is gratis. [Plan een gesprek](https://pitch.law/nl/schedule)