De cookiebanner is je eerste contact met gebruikers over privacy. Een banner die aan de regels voldoet is duidelijk, uitdrukkelijk en behandelt keuzes gelijk. Veel banners zijn ontworpen om gebruikers te misleiden tot toestemming ("dark patterns"). Toezichthouders pakken dit hard aan. Een goede banner is niet alleen juridisch veilig. Hij bouwt ook vertrouwen op. Gebruikers waarderen openheid, en open cookiebanners converteren beter dan misleidende.
Wat een cookiebanner conform de regels maakt
De banner moet verschijnen vóór tracking
Dit is de eerste regel. Voordat je analytics-cookies plaatst, moet de gebruiker je toestemmingsbanner zien en actief akkoord gaan. Volg je eerst en vraag je later, dan overtreed je de regels. De banner moet verschijnen bij het laden van de pagina, voordat je analytics-script afvuurt.
De banner moet duidelijk en specifiek zijn
Je banner moet uitleggen welke cookies je plaatst en waarom. Vage taal werkt niet ("we gebruiken cookies om je ervaring te verbeteren"). Specifieke taal wel: "We gebruiken analytics-cookies om paginabezoeken en gedrag van gebruikers te meten. We gebruiken marketingcookies om je advertenties op andere sites te tonen." Gebruikers moeten begrijpen waarmee ze instemmen.
De banner moet toestemming optioneel maken
Je kunt gebruikers niet dwingen toestemming te geven. Noodzakelijke cookies mag je zonder toestemming plaatsen, maar voor analytics- en marketingcookies is optionele toestemming nodig. Dat betekent: er moet een duidelijke knop "Weigeren" naast "Accepteren" staan. Is er geen weigeroptie, dan voldoet de banner niet.
Accepteren en weigeren moeten even makkelijk zijn
Een veelvoorkomend dark pattern: "Accepteren" is een grote knop en "Weigeren" is kleine tekst die je moet zoeken. Banners die aan de regels voldoen, maken beide opties even goed te vinden. Is "Accepteren" groot, dan moet "Weigeren" even opvallend zijn. Beter: knoppen "Alles accepteren" en "Alles weigeren" van gelijke grootte, of een optie "Voorkeuren beheren" waarmee gebruikers per onderdeel kiezen.
De standaard moet geen tracking zijn
Vooraf aangevinkte vakjes (waarbij toestemming wordt aangenomen tenzij de gebruiker het vinkje weghaalt) voldoen niet. De standaard moet uitgevinkt zijn. Gebruikers moeten zelf vakjes aanvinken om toestemming te geven. Gebruik je een interface met één knop, laat die dan standaard op "Weigeren" staan totdat de gebruiker op "Accepteren" klikt.
Beste werkwijze voor het ontwerp van een cookiebanner
Optie 1: eenvoudig accepteren of weigeren
Toon je banner met twee even grote knoppen: "Alles accepteren" en "Alles weigeren". Voeg een link naar je volledige privacyverklaring toe. Dit is de eenvoudigste aanpak en werkt goed voor veel sites. Het nadeel: gebruikers kunnen niet per onderdeel kiezen welke cookies ze accepteren.
Optie 2: eenvoudig accepteren met weigeren per onderdeel
Toon "Alles accepteren" en "Voorkeuren beheren". Voorkeuren beheren opent een venster waarin gebruikers kiezen welke categorieën cookies ze accepteren. Dat geeft gebruikers keuze en houdt de eerste banner eenvoudig.
Optie 3: volledig per onderdeel
Toon schakelaars voor elk soort cookie (noodzakelijk, analytics, marketing, voorkeuren) op de banner zelf. Gebruikers kunnen elke schakelaar apart aan of uit zetten. Dit is ingewikkelder, maar geeft gebruikers de meeste controle. Werkt goed als je maar 3 of 4 categorieën cookies hebt.
Wat het beste werkt
Onderzoek laat zien dat optie 2 (eenvoudig accepteren of weigeren met beheer per onderdeel) de beste balans geeft tussen naleving en gebruiksgemak. Gebruikers waarderen de eenvoud van de eerste banner, maar wie controle wil, kan erbij. De conversie is goed omdat de eerste drempel laag is.
Taal en boodschap van de cookiebanner
Je banner moet vermelden: welke cookies je gebruikt, waarom je ze gebruikt, hoe lang ze worden bewaard en hoe gebruikers ze kunnen beheren (in instellingen of privacyvoorkeuren). Die openheid bouwt vertrouwen op. Gebruikers geven eerder toestemming als ze begrijpen wat er gebeurt.
Vermijd dark patterns
Dark patterns in banners zijn onder meer: een kleine of verborgen weigerknop, vooraf aangevinkte vakjes voor toestemming, weigeren dat meerdere klikken kost terwijl accepteren één klik is, verwarrende taal over wat cookies doen of de afmeldoptie diep in instellingen verstoppen.
Toezichthouders richten zich actief op dark patterns. De EDPB (Europees Comité voor gegevensbescherming) heeft specifieke richtlijnen gegeven: weigeren en accepteren moeten even makkelijk zijn. Gebruik je dark patterns, dan volgen boetes.
Toestemming bewaren en wijzigen
Zodra een gebruiker een keuze maakt over toestemming, onthoud die dan. Sla de keuze op (in een cookie) zodat de banner niet bij elke pagina terugkomt. Gebruikelijke bewaartermijn: 12 tot 24 maanden. Daarna vraag je opnieuw.
Verander je je cookiepraktijken (nieuwe tracking, nieuwe leveranciers), dan moet je mogelijk opnieuw om toestemming vragen. In sommige rechtsgebieden is bij wezenlijke wijzigingen nieuwe toestemming verplicht. Heb een plan om gebruikers te informeren en nieuwe toestemming te vragen als je praktijken veranderen.
Toestemmingsbeheerders van derden
Platforms voor toestemmingsbeheer regelen cookiebanners, opslag van toestemming en koppelingen met analytics-platformen. Een betrouwbare beheerder van een andere partij kan naleving simpeler maken. Ze regelen de juridische details, blijven aan de regels voldoen als wetten veranderen en koppelen automatisch met je analytics-tools.
Wanneer je een beheerder van derden gebruikt
Ben je niet zeker van de details van naleving, of bedien je meerdere rechtsgebieden met verschillende eisen, dan is een beheerder van derden de kosten waard. Ze blijven bij als wetten veranderen. Zelf een banner bouwen is goedkoper, maar riskanter.
Welke ontwerpoptie (eenvoudig, beheerd, volledig per onderdeel) presteert in de praktijk het best?
Optie 2 (eenvoudig accepteren of weigeren met een venster voor voorkeuren) presteert het best: het hoogste percentage toestemming omdat de eerste drempel laag is, en gebruikers die controle willen hebben die optie. Eenvoudig accepteren of weigeren converteert 60 tot 75%, volledig per onderdeel 40 tot 50% (te veel keuzes), optie 2 65 tot 80%. Begin met optie 2.
Hoe maak ik de knoppen voor accepteren en weigeren echt even makkelijk te vinden?
Dezelfde hoogte, hetzelfde lettergewicht, dezelfde kleurverzadiging. Veelgemaakte fout: accepteren is felgroen, weigeren is grijze tekst. Gebruik voor accepteren en weigeren kleuren met gelijke visuele nadruk (allebei knoppen, niet een knop tegenover tekst). Zet de weigerknop direct naast de acceptatieknop, niet eronder of verborgen. Test met gebruikers: meet de tijd tot klikken op weigeren tegenover de tijd tot klikken op accepteren. Die moeten gelijk zijn.
Wat telt precies als een wezenlijke wijziging waarvoor nieuwe toestemming nodig is?
Wezenlijk = de gebruiker zou redelijkerwijs verwachten opnieuw toestemming te geven. Voorbeelden: een nieuwe leverancier van derden, nieuw gebruik van data (bijvoorbeeld analytics voor marketingdoelen), een langere bewaartermijn. Niet wezenlijk: de taal van de privacyverklaring bijschaven, interne tools wijzigen die gebruikers niet zien. Twijfel je, vraag dan opnieuw toestemming. De meeste rechtsgebieden geven de voorkeur aan te veel toestemming boven te weinig.
Welke toestemmingsbeheerders werken het best met Google Analytics en GTM?
De meeste grote toestemmingsbeheerders hebben ingebouwde GTM-koppelingen. Ze werken GTM-variabelen voor toestemming automatisch bij als gebruikers accepteren of weigeren. Er zijn ook minder gangbare opties. Voor kleinere sites bieden tools uit het middensegment een goede prijs voor wat je krijgt. Lees de documentatie van de leverancier over de koppeling met jouw analytics-platform voordat je kiest.
Is een vooraf aangevinkt vakje voor toestemming echt een overtreding van de AVG of alleen een aanbeveling?
Een overtreding van de AVG. Vooraf aangevinkt neemt toestemming aan, de gebruiker moet het vinkje weghalen. De AVG eist een bevestigende handeling (actief aanvinken). Europese toezichthouders hebben specifieke richtlijnen gegeven. Boetes volgen. Europese toezichthouders legden grote webwinkels miljoenen op, deels vanwege vooraf aangevinkte vakjes. Dit is niet theoretisch: kies altijd voor uitgevinkt als standaard.
Als een gebruiker toestemming eerst weigert, mag ik het later opnieuw vragen?
Ja, maar niet opdringerig. Je kunt na 12 maanden opnieuw vragen als de toestemming verloopt. Gebruikers elke week lastigvallen met verzoeken om toestemming schendt de eis dat toestemming "vrij gegeven" is. Sommige toezichthouders zeggen dat verzoeken om nieuwe toestemming zeldzaam moeten zijn. Respecteer de keuze van de gebruiker: weigert die, wacht dan minstens 12 maanden voor je opnieuw vraagt.