Cookiebeleid en cookiemelding voor je webshop: wat de wet vereist

Een cookiebanner is voor de meeste bezoekers een vervelend scherm dat ze wegklikken — maar voor jou als webshopeigenaar is het een wettelijke verplichting met een eigen regelgeving, los van de AVG. Wie alleen een privacyverklaring heeft en denkt dat cookies daarmee gedekt zijn, mist een stuk. Hieronder de kern: welke cookies vrij mogen, wanneer je toestemming nodig hebt, hoe die cookiemelding er wettelijk uit moet zien, en wat er misgaat als je het verkeerd doet.

Twee wetten, één cookiebanner

Cookies vallen niet (alleen) onder de AVG. De basis is de ePrivacy-richtlijn, in Nederland omgezet in artikel 11.7a van de Telecommunicatiewet — vaak kortweg de "cookiewet" genoemd. Zodra een cookie persoonsgegevens verwerkt (bijvoorbeeld een analytics-cookie die bezoekers herkent), komt de AVG er bovenop. In de praktijk merk je daar weinig van: de regels voor de banner zelf komen uit de Telecommunicatiewet, de regels voor wat je met de verzamelde data mag doen komen uit de AVG.

Welke cookies zonder toestemming mogen

Niet elke cookie heeft een banner nodig. De wet maakt onderscheid:

• Functioneel/strikt noodzakelijk — een sessie-cookie die onthoudt dat je bent ingelogd, of een winkelwagen die niet leegloopt bij elke pagina. Deze mag je altijd plaatsen, zonder toestemming en zonder vermelding in een banner (wel in je cookiebeleid, ter transparantie).
• Analytische cookies met minimale impact — sommige privacy-vriendelijk geconfigureerde analytics (geen IP-opslag, geen deling met derden, geen profilering) vallen onder een uitzondering en mogen zonder toestemming. De meeste standaardinstallaties van Google Analytics voldoen hier niet aan.
• Alles daarboven — reguliere analytics, advertentiecookies, social-media-embeds (een YouTube- of Instagram-widget zet vaak zelf cookies) en trackingpixels vereisen voorafgaande, actieve toestemming.

Wat een geldige cookiemelding moet doen

De Autoriteit Consument & Markt (ACM) houdt hier toezicht op, samen met de Autoriteit Persoonsgegevens waar het persoonsgegevens betreft. Een cookiebanner die de toets doorstaat:

• Legt vooraf uit welke categorieën cookies worden geplaatst en waarvoor — geen vage tekst als "we gebruiken cookies om je ervaring te verbeteren".
• Biedt een weigerknop die even makkelijk is als de accepteerknop — dezelfde grootte, hetzelfde niveau, niet weggestopt achter "instellingen" of een grijze link.
• Plaatst geen niet-noodzakelijke cookies voordat er toestemming is gegeven.
• Laat de keuze intrekbaar zijn — bijvoorbeeld via een link in de footer naar de cookie-instellingen.
• Verwijst door naar een volledig cookiebeleid met per cookie: naam, doel, bewaartermijn en of het een eigen of een cookie van een derde partij is (denk aan een payment-provider, een chatwidget of een advertentienetwerk).

Wat een overtreding kost

De ACM kan bij overtreding van de cookiewet boetes opleggen die kunnen oplopen tot boetes vergelijkbaar met AVG-sancties, afhankelijk van de aard en duur van de overtreding — en publiceert opgelegde boetes ook. Naast het financiële risico is er een reputatierisico: een bezoeker die ziet dat een site cookies zet zonder geldige toestemming, twijfelt aan de rest van de site ook. Bij een klacht is de bewijslast voor "we hebben geldige toestemming gekregen" aan jou — log dus wanneer en hoe iemand heeft gekozen.

Praktische checklist voor je webshop

1. Inventariseer welke cookies je website daadwerkelijk zet — inclusief die van ingesloten widgets, betaalproviders en advertentienetwerken. Dit is vaak meer dan je denkt.
2. Categoriseer: functioneel versus toestemmingsplichtig.
3. Bouw of installeer een banner die niet-noodzakelijke cookies blokkeert tot na een klik op "accepteren", met een gelijkwaardige weigerknop.
4. Schrijf een cookiebeleid dat die inventarisatie letterlijk weergeeft — geen generieke tekst die tools noemt die je niet gebruikt.
5. Herhaal de inventarisatie na elke wijziging aan je site: een nieuwe widget of pixel betekent vaak een nieuwe cookie.

Hoe TrustBedrijf hiernaar kijkt

Bij certificering toetsen we of er een werkende cookieverklaring op je site staat — onderdeel van onze toetsingscriteria, naast de eisen aan je privacyverklaring. We geven geen juridisch advies over de exacte inrichting van je banner; dat blijft jouw verantwoordelijkheid. Wat we wél doen: controleren of de basis er is en klopt met wat je site daadwerkelijk doet — precies het soort transparantie waar bezoekers op letten bij het herkennen van een betrouwbare webshop.