YouTube embed en AVG: regels voor Belgische websites

U heeft een YouTube-video ingesloten op uw productpagina. Uw bezoekers hoeven niet eens op afspelen te klikken, de video staat er gewoon, soms met een autoplay-miniatuur. Wat u misschien niet beseft: YouTube verzamelt al gegevens over uw bezoekers voordat ze één seconde hebben gekeken. Zonder toestemming is dat een AVG-overtreding. De positie van de Belgische toezichthouder is duidelijk: ingesloten YouTube-video's vereisen eerst toestemming.

Waarom YouTube embeds toestemming vereisen

Wanneer u een YouTube-video op uw website insluit, draait het JavaScript van YouTube automatisch op uw pagina. Zelfs als de video niet afspeelt, verzamelt YouTube:

• Apparaatinformatie (browser, OS, schermresolutie)
• IP-adres
• Cookies (zelfs als de bezoeker nog nooit op YouTube is geweest)
• Referrer (waar de bezoeker vandaan kwam)
• Of en wanneer de bezoeker uw ingesloten video bekijkt
• Hoe ver de bezoeker de video bekijkt
• Hoe vaak de bezoeker de video opnieuw bekijkt

Dit gebeurt op het moment dat uw pagina laadt. De bezoeker hoeft nergens mee te interageren. YouTube volgt hem hoe dan ook.

In AVG-termen is dit verwerking van persoonsgegevens. Uw website is daarvoor verantwoordelijk omdat u YouTube heeft ingesloten. U heeft een rechtsgrond nodig onder artikel 6 AVG. Toestemming is de veiligste rechtsgrond.

De positie van de Belgische toezichthouder: de GBA

De Gegevensbeschermingsautoriteit (GBA) hanteert strikte regels rond toestemming. Ze heeft zelfs een striktere lijn gekozen dan andere toezichthouders, want ze verwierp het standaard toestemmingskader van de sector (IAB TCF) als niet-conform.

De positie van de GBA:

• Ingesloten tracking vereist voorafgaande toestemming
• Toestemming moet granulair zijn (geen algemeen "alles accepteren")
• Gerechtvaardigd belang is onvoldoende voor marketing- en analyticstracking
• De weigerknop moet even prominent zijn als de accepteerknop

Voor de volledige GBA-eisen voor banners, zie de cookiebanner-vereisten in België.

De mythe van youtube-nocookie.com

U heeft waarschijnlijk gehoord dat het gebruik van youtube-nocookie.com in plaats van youtube.com het trackingprobleem oplost. Dat is fout.

Het nocookie-domein doet één ding: het plaatst de advertentiecookies van YouTube pas wanneer de bezoeker met de video interageert. Maar het blijft:

• Het IP-adres van de bezoeker registreren
• Niet-advertentiecookies plaatsen voor afspelen en analytics
• Gegevens naar de servers van YouTube sturen
• Persoonsgegevens verwerken zoals gedefinieerd in de AVG

De GBA aanvaardt youtube-nocookie niet als omweg naar conformiteit. Zowel embeds via youtube.com als via youtube-nocookie.com vereisen toestemming.

Een supportdocument van YouTube kan beweren dat nocookie een AVG-oplossing is. Dat is marketing. De toezichthouders zijn het daar niet mee eens.

Drie conforme aanpakken

Optie 1: Click-to-load (aanbevolen)

Vervang de YouTube embed door een statische afbeelding of placeholder. Wanneer bezoekers klikken, laadt u dan pas de echte video, maar alleen nadat ze hebben toegestemd.

Hoe het werkt:

1. Toon een miniatuurafbeelding van de video (of een generieke afspeelknop)
2. Toon een boodschap: "Deze video gebruikt YouTube, dat kijkgedrag volgt. Klik om af te spelen en toe te stemmen, of sla over."
3. Pas wanneer de bezoeker klikt, laadt u het YouTube-iframe

Dit is conform omdat:

• Er gebeurt geen automatische YouTube-tracking
• Bezoekers maken een actieve keuze
• U heeft de inhoud (afbeelding) gescheiden van de tracker (iframe)
• Bezoekers kunnen ervoor kiezen helemaal niet te kijken

<div id="video-container" style="position: relative; cursor: pointer;">
  <img src="video-thumbnail.jpg" alt="Watch: How to use our product" 
       style="width: 100%; max-width: 600px;" />
  <div style="position: absolute; top: 50%; left: 50%; transform: translate(-50%, -50%); 
              background: rgba(0,0,0,0.7); color: white; padding: 20px; border-radius: 5px; text-align: center;">
    <p style="margin: 0;">Click to play (YouTube tracking enabled)</p>
    <p style="margin: 10px 0 0 0; font-size: 12px;">See our <a href="/privacy" style="color: #0ff;">privacy policy</a></p>
  </div>
</div>

<script>
document.getElementById('video-container').addEventListener('click', function() {
  if (hasUserConsentedToMarketing) {
    this.innerHTML = '<iframe width="100%" height="400" src="https://www.youtube.com/embed/dQw4w9WgXcQ" ' +
                     'title="YouTube video player" frameborder="0" allowfullscreen></iframe>';
  } else {
    alert('Please consent to marketing cookies to watch this video.');
  }
});
</script>

Voordelen:

• Volledig conform
• Minimale frictie (één klik)
• Verbetert de laadsnelheid van de pagina (geen automatisch geladen iframe)
• Gebruikers zien uw inhoud nog steeds

Nadelen:

• Iets minder vlot dan een automatisch ingesloten video
• Vereist JavaScript
• Mogelijk klikken minder gebruikers door om te kijken

Optie 2: Verwijder YouTube, gebruik Vimeo

Vimeo biedt een AVG-vriendelijke optie. U kunt Vimeo-video's insluiten zonder trackingcookies via de privacymodus van Vimeo.

Met de privacymodus van Vimeo plaatst Vimeo geen cookies en volgt het geen kijkers tenzij de kijker op afspelen klikt. Na de klik gebruikt Vimeo cookies voor afspelen en analytics.

Embedcode:

<iframe src="https://player.vimeo.com/video/123456?dnt=1" 
        width="100%" height="400" 
        frameborder="0" allow="autoplay; fullscreen" allowfullscreen></iframe>

De parameter dnt=1 betekent "Do Not Track". Vimeo plaatst geen cookies totdat de bezoeker interageert.

Let wel: Vimeo verwerkt nog steeds bepaalde gegevens (IP-adres, interactiegegevens). Het is minder agressief dan YouTube, maar u moet het nog steeds vermelden. Sommige toezichthouders beschouwen Vimeo met dnt=1 als aanvaardbaar zonder voorafgaande toestemming, maar de veiligste aanpak blijft om toestemming te vragen.

Voordelen:

• Minder invasieve tracking dan YouTube
• Directe embed mogelijk zonder click-to-load
• Betere videokwaliteit dan YouTube
• Ondersteunt een privacymodus

Nadelen:

• Vereist een Vimeo-account en upload
• Minder alomtegenwoordig dan YouTube
• Voor brandingopties kan een betaald Vimeo-abonnement nodig zijn

Optie 3: Statische afbeelding met een link

De eenvoudigste optie: toon een videominiatuur en link naar de YouTube-video.

<div style="text-align: center;">
  <img src="thumbnail.jpg" alt="Product demo video" style="max-width: 100%; cursor: pointer;" 
       onclick="window.open('https://www.youtube.com/watch?v=dQw4w9WgXcQ', '_blank')" />
  <p><a href="https://www.youtube.com/watch?v=dQw4w9WgXcQ" target="_blank">
    Watch on YouTube (opens in new tab)</a></p>
</div>

Voordelen:

• Geen tracking op uw site
• Eenvoudig te implementeren
• Het privacybeleid van YouTube dekt hun site
• Geen toestemming nodig

Nadelen:

• Gebruikers verlaten uw site
• Minder betrokkenheid
• Werkt slecht bij meerdere video's
• Onderbreekt de paginaflow

Hoe voegt u YouTube toe aan uw cookiebanner?

Als u ervoor kiest YouTube ingesloten te houden en toestemming te vereisen:

Stap 1: Voeg een cookiecategorie toe

Werk uw cookiebanner bij om YouTube expliciet te vermelden:

Video-inhoud: wij sluiten YouTube-video's in om productdemo's 
en educatieve content te tonen. YouTube plaatst cookies om het 
bekijken van video's te volgen, betrokkenheid te meten en 
gepersonaliseerde advertenties te tonen. YouTube verwerkt 
gegevens in de Verenigde Staten op basis van 
standaardcontractbepalingen. U kunt deze toestemming op elk 
moment intrekken in onze cookie-instellingen.

Wees expliciet: vermeld dat YouTube een Amerikaans bedrijf is dat gegevens buiten de EU verwerkt.

Stap 2: Laad niet vóór toestemming

Schrijf een script dat de toestemming controleert voordat de embed laadt:

// Simple example
function loadYouTube(videoId) {
  var hasMarketing = localStorage.getItem('consent_marketing') === 'true';
  var hasFunctional = localStorage.getItem('consent_functional') === 'true';
  
  if (hasMarketing || hasFunctional) {
    document.getElementById('video-' + videoId).innerHTML = 
      '<iframe width="100%" height="400" src="https://www.youtube.com/embed/' + videoId + 
      '" frameborder="0" allowfullscreen></iframe>';
  } else {
    document.getElementById('video-' + videoId).innerHTML = 
      '<p>Please consent to marketing cookies to watch this video. ' +
      '<a href="/cookie-settings">Manage cookie settings</a></p>';
  }
}

Stap 3: Werk uw privacybeleid bij

Vermeld de gegevensverwerking door YouTube:

• YouTube is een dochteronderneming van Google
• Gegevens worden verwerkt in de VS en andere landen
• U gebruikt standaardcontractbepalingen
• Bezoekers kunnen YouTube contacteren voor hun rechten (artikelen 15 tot 22 AVG)

Stap 4: Documenteer de toestemming

Houd een logboek bij van wanneer bezoekers toestemming gaven voor YouTube. De AVG vereist dit niet formeel, maar het is een goede praktijk als de GBA vragen stelt.

Praktische stappen voor Belgische websites

1. Audit: controleer alle YouTube embeds op uw site
2. Kies: click-to-load, Vimeo of alleen een link
3. Werk de banner bij: voeg een categorie "Video-inhoud" toe met YouTube-vermelding
4. Zorg dat de weigerknop gelijk is aan de accepteerknop in grootte en kleur
5. Voorzie de YouTube-vermelding in het Nederlands en het Frans
6. Maak het voorkeurencentrum toegankelijk om de videotoestemming later te wijzigen
7. Test met de developer tools om te bevestigen dat geen YouTube-pixels vuren vóór toestemming
8. Documenteer de Amerikaanse gegevensverwerking door YouTube in uw privacybeleid

Veelgemaakte fouten

1. "Ik gebruik youtube-nocookie, dus ik heb geen toestemming nodig." Fout. Ook het nocookie-domein vereist toestemming.
2. "Analytics" vooraf aanvinken met YouTube erin. Als YouTube vooraf is aangevinkt, is de toestemming ongeldig.
3. Autoplay zonder toestemming. Bijzonder problematisch. U dwingt tracking af bij gebruikers die dat niet willen.
4. Aannemen dat een affiliate-vermelding toestemming vervangt. Sommige makers linken YouTube-video's met affiliate-disclaimers. Dat is geen AVG-toestemming.
5. "De bezoeker klikte op afspelen, dus hij stemde toe." Op afspelen klikken is niet hetzelfde als toestemmen met gegevensverwerking. U heeft vooraf expliciete toestemming nodig.

Sancties bij niet-naleving

België: de GBA kan boetes opleggen tot €1,2 miljoen of 2% van de omzet (4% bij herhaalde overtredingen).

Waarschijnlijker dan een ambtshalve boete: een bezoeker dient een klacht in bij de GBA. Er volgt een onderzoek. Als uw YouTube embed draait zonder toestemming, bent u in overtreding. De Belgische toezichthouder heeft getoond dat ze dit soort zaken vervolgt. Hetzelfde datatransferprobleem speelt bij Google Analytics en de AVG in België.

Samenvatting en checklist

Bevestig vóór uw YouTube-video live gaat:

• Ik heb gekozen voor click-to-load, Vimeo of alleen een link
• Het YouTube-iframe laadt niet automatisch (als ik blijf insluiten)
• De cookiebanner vermeldt YouTube-tracking en de Amerikaanse gegevensverwerking
• Toestemming is niet vooraf aangevinkt
• De weigerknop is even prominent als de accepteerknop
• Het privacybeleid legt de gegevensverwerking door YouTube uit
• Het voorkeurencentrum laat toe de videotoestemming later in te trekken
• De site is getest met developer tools om te verifiëren dat er geen tracking is vóór toestemming

Voor Belgische bedrijven wordt YouTube insluiten zonder toestemming steeds riskanter. De eenvoudigste weg naar conformiteit is click-to-load: toon een miniatuur, laat bezoekers kiezen om te kijken en laad het tracking-iframe pas na toestemming. Dat voldoet aan de GBA-eisen terwijl uw inhoud toegankelijk blijft.

Voor officiële informatie: Gegevensbeschermingsautoriteit (GBA) op www.gegevensbeschermingsautoriteit.be.

Wilt u weten welke scripts op uw site laden vóór toestemming?

Start de gratis scan →

Bronnen

• Verordening (EU) 2016/679 (AVG) (eur-lex.europa.eu)
• ePrivacy-richtlijn 2002/58/EG (eur-lex.europa.eu)
• HvJ-EU, zaak Planet49 C-673/17 (curia.europa.eu)
• HvJ-EU, zaak Schrems II C-311/18 (curia.europa.eu)
• GBA, Cookies en andere traceringsmiddelen (professionelen)
• GBA Cookie-checklist (PDF)
• Europees Comité voor gegevensbescherming (edpb.europa.eu)
• Wet van 30 juli 2018 - Belgische gegevensbeschermingswet (ejustice.just.fgov.be)

---

Dit is een technische analyse, geen juridisch advies. Raadpleeg een advocaat voor specifiek juridisch advies.