Dit artikel beschrijft de regels zoals de wet en de Autoriteit Persoonsgegevens (AP) ze formuleren; het is geen juridisch advies. De kern staat in de zogenoemde cookiewet, artikel 11.7a van de Telecommunicatiewet (Tw): voor het opslaan van of toegang krijgen tot informatie op de randapparatuur van een gebruiker is toestemming nodig, tenzij een uitzondering geldt. Dat geldt ook voor technieken als localStorage en fingerprinting, niet alleen voor cookies. Achtergrond over de technische kant van AVG-naleving staat in technische uitleg over gegevensverzameling en de AVG.
De hoofdregel: artikel 11.7a Tw
Lid 1 stelt twee voorwaarden. De gebruiker krijgt duidelijke en volledige informatie conform de AVG, ook over de doeleinden, en geeft toestemming. Lid 2 zegt dat dit ook geldt voor andere manieren om hetzelfde te bereiken. De toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn.
De uitzonderingen in lid 3
Lid 3 noemt twee uitzonderingen op lid 1: onder a en onder b. Onder b staan twee gevallen, dus in de praktijk zie je drie situaties:
- lid 3 onder a: opslag of toegang met als uitsluitend doel de communicatie over een elektronisch communicatienetwerk uit te voeren;
- lid 3 onder b, eerste geval: opslag of toegang die strikt noodzakelijk is om de door de gebruiker gevraagde dienst van de informatiemaatschappij te leveren;
- lid 3 onder b, tweede geval: opslag of toegang om informatie te verkrijgen over de kwaliteit of effectiviteit van een geleverde dienst, mits dit geen of geringe gevolgen heeft voor de persoonlijke levenssfeer van de betrokken gebruiker.
De AP vertaalt dit naar drie categorieën:
| Categorie | Toestemming nodig? | Voorbeeld |
|---|---|---|
| Functioneel | Nee, wel informeren | Inloggegevens, taalvoorkeur, winkelmandje |
| Beperkt analytisch | Nee, mits geen of geringe gevolgen voor de privacy | Aantal bezoekers, meest bezochte pagina's |
| Overig (tracking) | Ja | Profielen voor gerichte advertenties |
Functionele cookies
Functionele cookies voor het leveren van de gevraagde dienst vereisen geen toestemming. Je moet er wel over informeren, bijvoorbeeld in de privacyverklaring. Een cookie is niet functioneel omdat jij hem nodig vindt: het criterium is strikt noodzakelijk, dus zonder dit cookie kan de dienst die de bezoeker zelf vraagt (inloggen, een winkelmandje vullen) niet worden geleverd.
Analytische cookies zonder toestemming
De AP stelt dat beperkt analytische cookies zonder toestemming mogen als ze geen of geringe gevolgen hebben voor de privacy. Verwerken ze persoonsgegevens, dan heb je een grondslag onder de AVG nodig en moet je die in de privacyverklaring vermelden. Voor niet-functionele cookies die persoonsgegevens verwerken, komt volgens de AP alleen toestemming als grondslag in aanmerking (Normuitleg intrekken van toestemming bij cookiebanners, maart 2024, voetnoot 8). Dat is geen oordeel over GA4.
Een ander punt uit lid 4: acties waarbij gegevens over het gebruik van verschillende diensten worden verzameld, gecombineerd of geanalyseerd om de gebruiker anders te behandelen, worden vermoed persoonsgegevens te verwerken. Daarvoor gelden dus de AVG-regels.
Voor Google Analytics 4 is dit niet vastgesteld. Ik heb geen standpunt van de AP gevonden dat GA4 onder de uitzondering voor beperkt analytische cookies valt, en secundaire bronnen zijn verdeeld. Ga er dus niet van uit dat GA4 zonder toestemming mag. Voor de technische werking van de GA4-cookies: _ga en _ga_<container-id> zijn first-party cookies met een standaardlevensduur van twee jaar, in te stellen tot 25 maanden. Let bij de levensduur ook op de AP-opmerking dat een bewaartermijn van een half jaar of langer "snel te lang" is voor tracking.
Tracking en overige cookies
Voor trackingcookies geldt volgens de AP en de wet:
- Toestemming is vooraf nodig: plaats geen cookies voordat de bezoeker toestemming heeft gegeven.
- Cookiewalls zijn meestal niet toegestaan: de AP noemt een cookiewall op grond van de AVG "meestal niet toegestaan".
- Anonimiseren blijft verwerken.
- Publiekrechtelijke instanties mogen toegang niet afhankelijk maken van toestemming (lid 5 van art. 11.7a Tw).
Technisch betekent dat: laad tags voor advertentie- en marketingdoeleinden pas na toestemming, of gebruik consent mode zodat opslag standaard uit staat. Zie instellingen voor Google Consent Mode. Consent mode is een technisch hulpmiddel en zegt niets over de juridische vraag of jouw meting toestemming nodig heeft.
Toezicht
Het toezicht op artikel 11.7a Tw ligt bij de Autoriteit Consument en Markt (ACM), op grond van artikel 15.1, lid 3, Tw. De AP houdt toezicht op de AVG en, volgens lid 2 van datzelfde artikel, op de artikelen 11.3a en 11.5b Tw.
Praktisch stappenplan
- Inventariseer alle cookies en opslagvormen (bijvoorbeeld via DevTools → Application → Cookies) en noteer doel, levensduur en eigenaar.
- Deel ze in per categorie volgens de AP.
- Zet alles wat niet functioneel is achter toestemming, tenzij je juridisch onderbouwd hebt dat een uitzondering geldt.
- Leg de keuze vast en houd de privacyverklaring bij.
Laat de uitkomst voor jouw situatie door een jurist toetsen.
Bronnen:
https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/tracking-cookies
https://autoriteitpersoonsgegevens.nl/uploads/2024-03/Normuitleg%20AP%20intrekken%20toestemming%20cookiebanners.pdf
https://support.google.com/analytics/answer/11397207?hl=nl
https://wetten.overheid.nl/BWBR0009950
Klaar voor actie?
Wil je dit toepassen op jouw website?
Ik help je de keuzes uit dit artikel om te zetten in een werkende setup, meetbaar en zonder technische ruis.