Cookiebanner vereisten België: GBA-regels 2026

Uw Belgische bezoekers verwachten een cookiebanner zodra ze landen. Doet u het verkeerd, dan bent u niet enkel vervelend. U breekt de wet. De Belgische Gegevensbeschermingsautoriteit (GBA) handhaaft cookieregels actief en heeft bedrijven beboet die hun weigerknop verbergen of dark patterns gebruiken om toestemming af te dwingen. Deze gids beschrijft exact wat uw cookiebanner moet doen in België. Doe een gratis check op uw site om te zien of uw banner al voldoet.

Deze gids is de praktische how-to. Voor de achtergrond bij specifieke handhavingscases (Mediahuis, Roularta) leest u onze GBA cookie-handhaving deep dive. Voor de juridische achtergrond van dark patterns specifiek leest u onze analyse van cookie dark patterns.

Waarom Belgische cookieregels strenger zijn dan u denkt

België volgt niet enkel de algemene AVG-regels. De GBA staat bekend om strenge handhaving. In 2022 oordeelde de Geschillenkamer dat het IAB Europe Transparency and Consent Framework de AVG schond. Die uitspraak voelde heel Europa, maar België als eerste en het hardst.

De GBA heeft meerdere bedrijven beboet voor cookie dark patterns. Voorbeelden: de weigerknop kleiner maken dan de accepteerknop, de weigeroptie volledig verbergen of het moeilijker maken om te weigeren dan om toe te stemmen. De toezichthouder pakte ook vooraf aangevinkte vakjes aan en toestemmingsmuren die bezoekers verplichten alle cookies te aanvaarden om de site binnen te komen.

De juridische basis is recht voor de raap:

• Wet van 13 juni 2005 betreffende de elektronische communicatie (Belgische omzetting van de EU ePrivacy-richtlijn 2002/58/EG)
• GBA Aanbeveling 01/2020 over cookies en andere trackingtools (zie GBA-publicaties)
• Artikel 4(11) AVG over geldige toestemming (zie volledige AVG-tekst)
• Artikel 7(4) AVG over heldere toestemming vóór verwerking
• GBA Cookie-checklist (oktober 2023) (volledig pdf)

De basisregel: gelijke prominentie, geen dark patterns

De belangrijkste GBA-regel is eenvoudig. Uw weigerknop moet even prominent zijn als uw accepteerknop. Dit is niet onderhandelbaar.

Wat "even prominent" betekent:

• Gelijke fontgrootte
• Gelijk kleurcontrast
• Gelijke knopgrootte
• Gelijke positie (bijvoorbeeld beide op dezelfde rij of beide even zichtbaar in een verticale stack)
• Gelijk aantal klikken om de actie uit te voeren

Toont uw banner "Alles aanvaarden" in het groen en "Aanpassen" in piepklein grijs met drie extra klikken om effectief te weigeren? Dan zal de GBA u beboeten. Vinkt uw website alle categorieën standaard aan behalve één? Dat is dark pattern-gedrag.

De weigerknop moet bestaan

U kunt niet steunen op een sluitknop (X) als weigerknop. Veel Belgische sites probeerden dit. Ze plaatsten een klein kruisje in de hoek en beweerden dat bezoekers de banner konden sluiten. De GBA zei: niet aanvaardbaar. Bezoekers moeten alle cookies kunnen weigeren met één duidelijke, prominente actie, net zoals ze alles kunnen aanvaarden.

Welke taal moet uw banner gebruiken?

België is verdeeld over drie officiële talen. Een Belgische website moet plannen voor Nederlands, Frans of Duits afhankelijk van waar uw bezoekers wonen.

De GBA merkte op dat taalbarrières geïnformeerde toestemming kunnen verhinderen. Bezoekt een Waalse Franstalige uw Nederlandstalige cookiebanner, dan heeft die bezoeker geen geïnformeerde toestemming gegeven in zijn taal. Automatische vertalingen vervangen geen correct gelokaliseerde banner.

Wat uw banner moet bevatten

1. Heldere uitleg: welke cookies gebruikt u en waarom

Voor u toestemming vraagt, vertelt u uw bezoekers welke cookies u op hun toestel plaatst en wat u met de data doet.

Verplichte informatie:

• De naam van elke cookie of cookiecategorie
• Het doel (bijvoorbeeld "Analytics om paginabezoek te meten" of "Marketing om advertenties van onze producten te tonen")
• De bewaartermijn (hoelang de cookie op het toestel blijft)
• Of de data naar derden gaat en waar (bijvoorbeeld "Google Analytics verwerkt in de VS")

U hoeft niet elke individuele cookie op te sommen als ze hetzelfde doel dienen, maar u mag niet vaag zijn. "Diverse cookies voor analyse" volstaat niet. Schrijf "Google Analytics, dat paginaweergaves en gebruikersgedrag meet. De data wordt verwerkt door Google in de VS."

2. Onderscheid tussen noodzakelijke en optionele cookies

Noodzakelijke cookies (sessiecookies en beveiligingstokens bijvoorbeeld) vereisen geen toestemming onder de AVG. Optionele cookies (analytics, marketing, voorkeuren) wel.

Structureer uw banner zo dat bezoekers kunnen:

• Alles aanvaarden (toestemming voor noodzakelijke plus optionele cookies)
• Alles weigeren wat optioneel is (de noodzakelijke worden automatisch aanvaard)
• Aanpassen en zelf categorieën kiezen (bijvoorbeeld "Analytics ja, Marketing nee")

De GBA verwacht deze granulaire keuze. Dwingt uw banner een alles-of-niets-beslissing af, dan creëert u een toestemmingsmuur. Dat is verboden.

3. Geen vooraf aangevinkte vakjes

Actieve toestemming alleen. Laadt uw banner met "Noodzakelijk", "Analytics" en "Marketing" al aangevinkt, dan is dat onwettig. De bezoeker heeft niet effectief toegestemd. De cookiebanner heeft beslist in zijn plaats.

U mag en moet "Noodzakelijke" cookies wel vooraf aanvinken als ze echt noodzakelijk zijn voor de site (login, beveiliging, taalvoorkeur). Al het optionele moet standaard uitgevinkt zijn. Het Hof van Justitie van de EU bevestigde dit in de Planet49 (C-673/17) uitspraak, die rechtstreeks van toepassing is in België.

4. Eenvoudig in te trekken toestemming

De AVG vereist dat toestemming even makkelijk in te trekken is als ze te geven is. Concreet:

• Een instellingenmenu of voorkeurscentrum dat vanaf elke pagina bereikbaar is (meestal in de footer of header)
• Een manier voor bezoekers om van mening te veranderen na het sluiten van de initiële banner
• Geen verplichting om opnieuw alles te aanvaarden om voorkeuren aan te passen

Verschijnt uw banner maar één keer en is hij daarna niet meer bereikbaar, dan zal de GBA dit aanstippen.

Checklist voor de implementatie

Toestemmings-UI: doen en niet doen

Wel doen

• Plaats "Alles weigeren" en "Alles aanvaarden" naast elkaar met hetzelfde visuele gewicht.
• Laat optionele categorieën uitgevinkt bij eerste lading.
• Toon een permanente "Cookie-instellingen" link in de footer.
• Match de bannertaal met de paginataal.

Niet doen

• Een groene "Aanvaarden" naast een minuscule grijze "Weigeren" link plaatsen.
• Analytics of marketingcategorieën vooraf aanvinken.
• Steunen op het sluitkruisje (X) als weigerkeuze.
• Inhoud blokkeren tot cookies zijn aanvaard.

Doorgifte naar de VS en andere derde landen

Gebruikt u Google Analytics, Google Ads of een ander hulpmiddel dat data naar de VS stuurt, dan moet u dat helder vermelden. De GBA hecht belang aan dataoverdrachten omdat de AVG enkel doorgifte toestaat naar landen met een adequaatheidsbesluit. De VS heeft via het EU-US Data Privacy Framework een voorwaardelijke status, en in andere gevallen vereist doorgifte specifieke waarborgen zoals Standard Contractual Clauses.

In uw banner bent u expliciet:

• "Google Analytics verwerkt data in de Verenigde Staten. Google heeft Standard Contractual Clauses aanvaard om uw data te beschermen."
• Link naar de gegevensverwerkingsvoorwaarden of DPA van Google
• Pas dezelfde transparantie toe op andere VS-tools

Stappen om te voldoen

Stap 1: audit uw huidige banner

Heeft u er al een, controleer dan:

• Is de weigerknop dezelfde grootte en kleur als aanvaarden?
• Kunnen bezoekers weigeren zonder meerdere klikken?
• Zijn de doelen helder uitgelegd, niet vaag?
• Kunnen bezoekers individuele categorieën aanpassen?
• Bestaat er een voorkeurmenu dat later bereikbaar is?
• Zijn vakjes vooraf aangevinkt? (Mag niet, behalve "Noodzakelijk")
• Wordt doorgifte naar bijvoorbeeld de VS uitgelegd?

U kunt ook onze gratis scanner gebruiken om de meest voorkomende issues automatisch op te sporen.

Stap 2: kies een conform cookie-toestemmingsplatform

Niet alle cookie consent managers werken even goed in België. De GBA heeft meerdere populaire tools bekritiseerd omdat ze dark patterns mogelijk maken. Zoek platformen die:

• Gelijke prominentie tussen knoppen afdwingen
• Vooraf aangevinkte optionele categorieën blokkeren
• Een permanent voorkeurscentrum aanbieden
• Heldere uitlegtemplates bieden
• Vertalingen voor Nederlands, Frans en Duits inbouwen

Voorbeelden waard om te bekijken: Cookiebot, OneTrust, Osano en Complianz. Lees hun AVG-documentatie specifiek voor België.

Stap 3: stel heldere cookiecategorieën op

Maak eenvoudige, niet-technische beschrijvingen:

• Noodzakelijk: "Deze cookies houden u ingelogd, onthouden uw taalvoorkeur en beschermen tegen beveiligingsbedreigingen."
• Analytics: "Deze helpen ons begrijpen welke pagina's u bezoekt en hoelang u blijft, zodat we onze website kunnen verbeteren."
• Marketing: "Deze tonen u advertenties van onze producten op andere websites op basis van wat u hier bekeken heeft."
• Voorkeuren: "Deze onthouden uw keuzes zoals tijdzone of valuta, zodat u ze niet opnieuw moet ingeven."

Stap 4: documenteer uw datastromen

Breng in kaart:

• Welke tools u gebruikt (Google Analytics, Meta Pixel, e-mailmarketingplatform)
• Waar elke tool data verwerkt
• Hoelang data wordt bewaard
• Welke rechtsgrond u gebruikt (toestemming, gerechtvaardigd belang, contract)

Dit helpt u correcte cookie-uitleg te schrijven. Het bereidt u ook voor wanneer de GBA vragen stelt. Onze Belgische AVG-checklist en onze website-audit gids lopen het bredere compliance-plaatje door.

Stap 5: bouw een permanent voorkeurscentrum

Voeg een "Cookie-instellingen" of "Privacy-instellingen" link toe aan uw footer. Op die pagina moet de bezoeker:

• Alle cookiecategorieën en hun doelen opnieuw kunnen zien
• Toestemming kunnen aanpassen
• Toestemming volledig kunnen intrekken
• Een kopie van de voorkeuren kunnen downloaden

Veelvoorkomende fouten om te vermijden

1. "Aanvaarden" in het groen, "Weigeren" in het grijs. Zelfs een licht kleurverschil signaleert manipulatie. Maak ze echt gelijk.
2. De instellingenlink verstoppen. Moeten bezoekers uw voorkeurscentrum zoeken, dan is het niet eenvoudig toegankelijk.
3. Veronderstellen dat youtube-nocookie.com volstaat. De no-cookie embed van YouTube vereist nog steeds toestemming als u analytics verzamelt over interactie van bezoekers.
4. Slordig vertalen. Een slecht vertaalde banner verwart anderstalige bezoekers, wat de GBA als toestemmingsprobleem ziet.
5. "Gerechtvaardigd belang" als vangnet gebruiken. De GBA is sceptisch over marketingcookies op gerechtvaardigd belang. Toestemming is veiliger.

Boetes als het misloopt

De GBA is bevoegd om bedrijven onder de AVG te beboeten tot 20 miljoen euro of 4% van de wereldwijde omzet, het hoogste van die twee. Voor administratieve geldboetes onder de Wet van 13 juni 2005 gelden afzonderlijke bedragen.

De Belgische handhaving is concreet. De Geschillenkamer legde Roularta Media Group 50.000 euro op in Beslissing 85/2022 voor cookies geplaatst vóór toestemming en vooraf aangevinkte vakjes van derden op Knack en Le Vif. De IAB Europe-zaak van februari 2022 leidde tot een geldboete van 250.000 euro en hervormde hoe AdTech in heel Europa omgaat met toestemming. Onze GBA cookie-handhaving deep dive bevat het casusdetail.

De GBA aanvaardt ook klachten van individuele bezoekers. Eén goed gedocumenteerde klacht over uw cookiebanner kan een onderzoek triggeren.

Samenvatting en checklist

Voor u uw cookiebanner lanceert, bevestigt u:

• Weigerknop is gelijk in prominentie aan aanvaarden
• Geen vooraf aangevinkte vakjes voor optionele cookies
• Heldere uitleg van elke cookiecategorie en doel
• Granulaire keuze in plaats van alles-of-niets
• Datadoorgifte uitgelegd (vooral voor VS-tools)
• Voorkeurscentrum bereikbaar vanaf elke pagina
• Banner beschikbaar in Nederlands, Frans en Duits indien relevant
• Eenvoudige intrekking van toestemming
• Geen taalbarrière voor het begrijpen van toestemming

De GBA verwacht geen perfectie. Ze verwacht respect voor bezoekerskeuze en transparantie. Een banner die weigeren even eenvoudig maakt als aanvaarden, helder uitlegt wat u met data doet en bezoekers later van mening laat veranderen, voldoet aan de norm. Houd het rechttoe rechtaan, vermijd designtrucs en u blijft conform.

Voor specifieke begeleiding raadpleegt u de Gegevensbeschermingsautoriteit (GBA) of de Autorité de protection des données (APD) via www.gegevensbeschermingsautoriteit.be. Ze publiceren beslissingssamenvattingen ook in het Engels.