Cookies, koppelingen en toestemming

Module 7: Privacy en regels · Leestijd: 11 minuten

Leerdoel: Na deze les kun je uitleggen wanneer je voor cookies en meetcode toestemming nodig hebt, de cookiebanner van je AI Builder-site instellen, meetdiensten koppelen zodat ze pas na toestemming laden, en met je browser controleren dat er vóór de keuze van een bezoeker niets wordt gemeten.

Kernbegrippen: cookie, randapparatuur, toestemming, noodzakelijke cookies, beperkt analytische cookies, trackingcookies, cookiebanner, koppeling, meet-id, eigen code, Cookie-instellingen

Deze les legt de regels uit zoals ze op 10 november 2026 gelden. Het is geen juridisch advies. Twijfel je over jouw situatie, vraag het dan aan een jurist of je brancheorganisatie.

Wat de regel zegt

Een cookie is een klein bestandje dat een website in de browser van de bezoeker zet. De regel geldt ook voor andere opslag in de browser, pixels en scripts die een apparaat herkennen.

In de EU staat de basis in de ePrivacy-richtlijn (2002/58/EG), artikel 5 lid 3: informatie opslaan op het apparaat van een gebruiker, of daar informatie uitlezen, mag alleen als die gebruiker duidelijke en volledige informatie kreeg en toestemming gaf. Er is een uitzondering voor wat technisch nodig is om de communicatie te verzorgen, of strikt noodzakelijk is voor de dienst die de bezoeker zelf vraagt.

Elk EU-land heeft die regel in een eigen wet gezet. In Nederland is dat artikel 11.7a van de Telecommunicatiewet. Nederland heeft er een extra uitzondering bij: ook voor cookies die informatie verzamelen over de kwaliteit of effectiviteit van je site is geen toestemming nodig, mits ze geen of geringe gevolgen hebben voor de privacy. De AP noemt dat beperkt analytische cookies: bezoekers en populaire pagina's tellen, zonder bezoekers over sites heen te volgen of profielen te maken. Let op twee dingen:

• Ook zonder toestemmingsplicht verwerk je vaak persoonsgegevens (een IP-adres). Dan geldt de AVG: je hebt een grondslag nodig en je noemt het in je privacyverklaring (les 7.1).
• Andere landen zijn soms strenger; kijk bij veel buitenlandse bezoekers wat de toezichthouder daar zegt.

Trackingcookies en alles wat bezoekers volgt, profielen maakt of voor advertenties wordt gebruikt, vragen altijd vooraf toestemming. Die toestemming moet vrij en specifiek zijn: niets doen of doorklikken is geen toestemming. De AP geeft vier vuistregels voor een heldere banner: vertel waarvoor je cookies gebruikt, maak weigeren net zo makkelijk als accepteren, maak een keuze later veranderen net zo makkelijk, en houd toestemming en bezwaar gescheiden.

Hoe de AI Builder het regelt

De bouwer deelt alles wat op je site van andere partijen draait in vier soorten in, met de uitleg die ook je bezoekers zien:

Draait er iets dat geen Noodzakelijk is, dan zet de bouwer de cookiebanner vanzelf aan. In de instellingen zie je dan Cookiebanner staat vanzelf aan, met de diensten die erom vragen, en de schakelaar kan niet uit zolang die diensten draaien. Alles buiten Noodzakelijk laadt pas als de bezoeker toestemming geeft voor die soort:

• Een koppeling (zoals Google Analytics) staat in de pagina als een script dat niet draait. Pas na toestemming voor Statistieken zet de site het aan.
• Een widget (kaart, afsprakenplanner, video) toont eerst een vak met "Dit onderdeel komt van Google Maps en laadt pas als je Functioneel toestaat." en een knop Toestaan en tonen. Een YouTube-video gebruikt de variant zonder cookies tot hij afspeelt; ook die wacht op toestemming.
• Trekt een bezoeker zijn toestemming in, dan wist de site de bekende cookies van die soort. Komt er later een dienst bij, dan vraagt de banner het opnieuw.

Onderaan elke pagina staat dan de knop Cookie-instellingen, waarmee een bezoeker zijn keuze altijd aanpast.

Instellingen > Cookies en toestemming

Bovenaan zie je de stand: welke diensten draaien en in welke soort. Daaronder stel je in:

• Cookiebanner tonen: aan of uit. Draait er niets van een andere partij, dan zegt de bouwer "Geen cookies van andere partijen" en is een banner niet verplicht.
• Weergave: Balk onderaan of Kaartje rechtsonder. Je ziet de banner meteen in het voorbeeld.
• Bezoeker mag per soort kiezen: aan geeft de bezoeker naast Alles accepteren en Alleen noodzakelijk ook Zelf kiezen wat je toestaat. Uit laat alleen de twee knoppen zien. Gebruik je diensten in meer soorten (een kaart en Google Analytics), zet dit dan aan: de AP vraagt een keuze per doel.
• Tekst in de banner: leeg is de standaardtekst. Schrijf je een eigen tekst, noem dan echt waarvoor je cookies gebruikt.
• Knop accepteren en Knop weigeren: de teksten op de knoppen. Houd de weigerknop duidelijk. "Alleen noodzakelijk" of "Weigeren" is goed; "Later" of "Misschien" niet, want dan weet de bezoeker niet wat hij kiest.
• Privacypagina: de pagina waar Meer over privacy naartoe linkt (les 7.1).

Een valkuil bij de opmaak: in de banner heeft de accepteerknop de stijl van een hoofdknop en de weigerknop een rustiger stijl. Kijk op je telefoon en je computer of de weigerknop even goed te zien en te raken is. Vind je van niet, zet dan een duidelijke tekst op de knop.

Instellingen > Koppelingen

Bij Koppelingen vul je alleen het nummer of de code in die je bij de dienst krijgt; de bouwer zet de rest erbij. De lijst is in drie groepen verdeeld: Statistieken, Zonder cookies en Marketing en advertenties.

Verder kun je LinkedIn Insight Tag, Hotjar en Microsoft Clarity koppelen. Na Koppel toont de bouwer "Deze dienst plaatst cookies, dus de cookiebanner staat nu aan." Op het gratis adres werken Google Analytics 4, Google Ads, de Meta-pixel, LinkedIn, Clarity en Plausible; Google Tag Manager, Hotjar en eigen code komen pas mee op een site met pakket.

Waarom staat Plausible onder Noodzakelijk? Plausible meet zonder cookies en zonder iets op het apparaat op te slaan, dus de cookieregel geldt niet en de bouwer laadt het zonder banner. De AVG blijft gelden: noem het in je privacyverklaring. Google Analytics 4 behandelt de bouwer altijd als Statistieken met toestemming, ook al kort hij het IP-adres in. Dat is de veilige keuze: of Analytics zonder toestemming kan, hangt van veel instellingen af.

Drie valkuilen:

1. Meetcode in de chat of een widget plakken. De bouwer verwijst je dan naar Instellingen, Koppelingen: alleen daar weet de banner ervan.
2. Eigen code op noodzakelijk zetten. Onder Koppelingen staat onderaan Eigen code. Scripts van bekende diensten houdt de banner daar tegen. Met de schakelaar Deze code is noodzakelijk laadt de code meteen, ook zonder toestemming. Kies dat alleen voor code die je site nodig heeft en die niemand volgt. Meldt de bouwer adressen die hij niet herkent, zet hem dan niet op noodzakelijk.
3. Tag Manager als doos. De bouwer laadt de container pas na toestemming voor Marketing, maar wat erin zit, ziet hij niet. Voor elke tag erin ben jij verantwoordelijk.

Zelf testen

Controleer het na elke nieuwe koppeling, en werk ook je privacyverklaring bij (les 7.1):

1. Open je echte site (niet het voorbeeld in de bouwer) in een privévenster.
2. Open de ontwikkelhulpmiddelen van je browser (vaak F12) en kies het tabblad Netwerk. Herlaad de pagina.
3. Zoek naar verzoeken naar diensten als google-analytics.com, googletagmanager.com of facebook.net. Vóór je keuze mag daar niets staan.
4. Klik op Alles accepteren en kijk opnieuw: nu verschijnen ze.
5. Klik onderaan op Cookie-instellingen, kies Alleen noodzakelijk en controleer in het tabblad met de opslag en cookies van je site (in Chrome Application, in Firefox Opslag) of de cookies _ga weg zijn.

Samenvatting

• De ePrivacy-richtlijn (in Nederland artikel 11.7a Telecommunicatiewet) vraagt toestemming voor cookies en vergelijkbare technieken, behalve voor wat strikt noodzakelijk is; Nederland zondert ook beperkt analytische cookies uit.
• Weigeren moet net zo makkelijk zijn als accepteren, en een keuze later aanpassen ook.
• De AI Builder zet de banner vanzelf aan zodra iets toestemming vraagt en laadt koppelingen, widgets en video's pas na toestemming voor hun soort.
• Vul meetdiensten in bij Instellingen > Koppelingen, niet in de chat of een widget; zet eigen code alleen op noodzakelijk als die niemand volgt.
• Test na elke nieuwe koppeling in een privévenster met het tabblad Netwerk.

Quiz

Opdracht

Opdracht A7.2: Geen meetcode zonder toestemming. Koppel als je dat wilt een meetdienst via Instellingen > Koppelingen, zet je site opnieuw online en vul het webadres van je AI Builder-site in. Het programma opent je pagina's zoals een nieuwe bezoeker die nog niets koos, zonder cookies en zonder JavaScript uit te voeren. Het controleert of er een meet- of advertentiescript (zoals Google Analytics, Tag Manager, Google Ads of de Meta-pixel) direct laadt in plaats van te wachten op toestemming, of er cookies van zulke diensten worden gezet, en of er een cookiebanner op de pagina staat als je site diensten van andere partijen gebruikt. Gebruik je geen diensten van anderen of alleen Plausible, dan is dat ook goed.

Verder lezen

• Vuistregels heldere cookiebanners (Autoriteit Persoonsgegevens): https://autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/vuistregels-heldere-cookiebanners
• Cookies (Autoriteit Persoonsgegevens): https://autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Bezoekers meten zonder cookiebanner
• Telecommunicatiewet, artikel 11.7a (wetten.overheid.nl): https://wetten.overheid.nl/BWBR0009950/
• Gratis cursus Online gevonden worden 8.1: Meten met een privacyvriendelijke analyse