Gepubliceerd op 11 oktober 2025 · Laatst bijgewerkt op 10 oktober 2026
U mag zonder toestemming alleen cookies plaatsen die technisch noodzakelijk zijn, of analytische cookies met weinig gevolgen voor de privacy (artikel 11.7a Telecommunicatiewet). Voor tracking- en marketingcookies heeft u vooraf actieve toestemming nodig, en zodra u via cookies persoonsgegevens verwerkt, gelden ook de regels van de AVG-wetgeving.
Inhoudsopgave
Wat zijn persoonsgegevens en klantdata onder de AVG?
De Algemene Verordening Gegevensbescherming heeft vrij strikte regels over wat persoonsgegevens zijn en hoe bedrijven die mogen gebruiken. Alles wat een persoon kan identificeren valt onder stevige bescherming.Wat valt onder persoonsgegevens?
Persoonsgegevens zijn alle informatie die direct of indirect naar iemand verwijst. De AVG hanteert een brede definitie, dus veel soorten gegevens vallen eronder.Iemand moet uit de gegevens te herleiden zijn. Dat kan direct via naam of adres, maar ook indirect door een slimme combinatie van gegevens.Directe identificatie gebeurt met:- Naam en voornaam
- Adres en woonplaats
- Telefoonnummer
- E-mailadres
- IP-adressen
- Cookie-identificaties
- Locatiegegevens
- Online gedrag
Welke klantdata verzamelen bedrijven?
Meestal gaat het om contactgegevens, financiële gegevens, gedragsgegevens en communicatiegegevens.Bedrijven verzamelen allerlei soorten klantgegevens tijdens hun dagelijkse werk. Die gegevens zijn handig voor service en marketing, maar er zitten vaak privacy-haken en ogen aan.Contactgegevens zoals naam, adres en telefoonnummer zijn het meest standaard. Bedrijven gebruiken deze voor leveringen en contact.Financiële gegevens bevatten bankrekeningen en betalingsgeschiedenis. Die zijn extra gevoelig en vragen om extra zorg.Gedragsgegevens komen van websites en apps. Ze laten zien wat klanten doen en waar ze in geïnteresseerd zijn.Communicatiegegevens zijn bijvoorbeeld e-mails of chatberichten tussen klant en bedrijf. Ook telefoongesprekken en notities vallen hieronder.Op welke manieren verzamelt u gegevens via uw website?
Vooral via websitebezoek en via functionele, analytische en trackingcookies; voor elke methode gelden eigen regels.Moderne bedrijven verzamelen data op verschillende manieren. Elke methode kent eigen regels onder de AVG.Websitegegevens komen van bezoeken aan de site. Denk aan bezochte pagina’s, tijd op de site, downloads en ingevulde formulieren.Tracking cookies volgen gedrag over meerdere websites. Ze maken profielen van interesses en voorkeuren. Hiervoor hebt u altijd toestemming nodig.Functionele cookies zijn nodig voor de werking van de site. Ze onthouden bijvoorbeeld inloggegevens of uw winkelwagentje. Voor deze cookies hoeft u geen toestemming te vragen.Analytische gegevens meten bezoekersaantallen en populaire pagina’s. Blijft het beperkt, dan is toestemming niet nodig. Bij uitgebreidere analyse wel.Wanneer vallen cookies onder de AVG?
Cookies vallen onder de AVG zodra u er persoonsgegevens mee verwerkt, zoals een IP-adres of een unieke identificatiecode. Of u voor het plaatsen van de cookie toestemming nodig heeft, regelt artikel 11.7a Telecommunicatiewet.
Hoe verzamelen cookies persoonsgegevens?
Cookies verzamelen automatisch allerlei persoonsgegevens als iemand een website bezoekt. IP-adressen worden altijd opgeslagen, net als info over bezochte pagina’s en tijdstippen.In de cookie zelf zit vaak een unieke identificatiecode. Daarmee kunt u bezoekersgedrag volgen over verschillende websites en sessies.Referrer-URL’s laten zien vanaf welke site de bezoeker komt. Cookies verzamelen ook gegevens over het apparaat en browserinstellingen.Ook zonder naam of adres zijn deze gegevens persoonsgegevens onder de AVG. U kunt er immers individuen mee volgen of identificeren. Tracking cookies zijn daar zelfs op gemaakt.Indirecte herleidbaarheid is hier belangrijk. Misschien kan de website-eigenaar zelf geen naam koppelen, maar andere partijen soms wel.Voor welke cookies heeft u toestemming nodig?
Voor functionele cookies en analytische cookies met weinig privacy-impact niet. Voor marketing-, tracking- en socialmediacookies wel.Er zijn verschillende categorieën cookies, elk met hun eigen AVG-vereisten:Functionele cookies zijn nodig voor de werking van de site. U hoeft hiervoor geen expliciete toestemming te vragen, want ze zijn technisch noodzakelijk.Analytische cookies meten websitestatistieken en gedrag. Voor deze cookies hebt u toestemming nodig, behalve als de gegevens volledig geanonimiseerd zijn.Marketing en tracking cookies volgen gebruikers voor advertenties. Ze vallen altijd onder de Algemene Verordening Gegevensbescherming en vereisen expliciete toestemming.Social media cookies worden geplaatst door platforms als Facebook of Twitter. Ook daarvoor geldt de toestemmingsplicht.| Cookie Type | Toestemming Vereist | Doel |
|---|---|---|
| Functioneel | Nee | Website functionaliteit |
| Analytisch | Ja* | Statistieken |
| Marketing | Ja | Advertenties |
| Social Media | Ja | Delen en tracking |
Welke rechtsgrond heeft u nodig voor klantdata via cookies?
Bedrijven moeten een geldige rechtsgrond hebben voordat ze cookies plaatsen die persoonsgegevens verwerken. De AVG noemt zes rechtsgronden, maar voor cookies zijn toestemming en gerechtvaardigd belang het meest gebruikelijk.Aan welke eisen moet toestemming voldoen?
Toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn en blijken uit een actieve handeling (artikel 4 punt 11 AVG).Toestemming is de meest gebruikte rechtsgrond voor cookies die persoonsgegevens verwerken. De AVG stelt daar strenge eisen aan.Toestemming moet aan vier voorwaarden voldoen:- Vrijelijk gegeven – de gebruiker mag niet onder druk staan of nadeel ondervinden bij weigering
- Specifiek – voor elk doel apart toestemming vragen
- Geïnformeerd – duidelijk maken wat u doet met de data
- Ondubbelzinnig – een duidelijke, actieve handeling is nodig
Wanneer kunt u gerechtvaardigd belang gebruiken?
Alleen als u een legitiem belang heeft, de verwerking echt nodig is en de privacy van de bezoeker niet zwaarder weegt (artikel 6 lid 1 sub f AVG).Gerechtvaardigd belang kan soms een alternatief zijn voor bepaalde cookies. U hebt hiervoor geen toestemming nodig, maar u moet wel goed afwegen wat u doet.Voor gerechtvaardigd belang moet een bedrijf drie stappen doorlopen:- Legitiem belang bewijzen – bijvoorbeeld beveiliging van de website of prestatie-analyse.
- Noodzaak aantonen – de verwerking moet echt nodig zijn voor het doel.
- Belangenafweging maken – bedrijfsbelang afwegen tegen de privacy van gebruikers.
Wat moet u klanten vertellen over cookies?
U vertelt welke cookies u plaatst, met welk doel, hoe lang u gegevens bewaart en hoe bezoekers hun toestemming intrekken.Bedrijven moeten klanten duidelijk vertellen hoe ze cookies en persoonsgegevens gebruiken. Deze transparantie helpt vertrouwen op te bouwen en kan problemen met de Autoriteit Persoonsgegevens voorkomen.Waarom is transparantie verplicht?
De AVG schrijft in de artikelen 12 en 13 voor dat organisaties open zijn over welke gegevens ze verzamelen en waarvoor. Klanten moeten weten wat er met hun informatie gebeurt.Wettelijke vereisten voor transparantie:- Informatie moet in begrijpelijke taal staan.
- Gegevens moeten makkelijk te vinden zijn.
- Uitleg moet kort en duidelijk zijn.
- Gebruik waar mogelijk visuele hulpmiddelen.
Wat hoort in uw privacy- en cookieverklaring?
Elke website hoort een privacyverklaring en een cookieverklaring te hebben. Hierin staat hoe persoonsgegevens verwerkt worden en welke cookies u inzet.Vereiste onderdelen in een cookieverklaring:- Welke cookies u gebruikt
- Het doel van elke cookie
- Hoe lang u gegevens bewaart
- Hoe klanten hun toestemming kunnen intrekken
- Gebruik eenvoudige taal en vermijd juridisch jargon.
- Update documenten regelmatig.
- Maak het visueel aantrekkelijk met kopjes en lijstjes.
- Test of klanten de informatie echt snappen.
Hoe zet u cookies AVG-proof in?
Bedrijven moeten echt stappen zetten om hun cookie-gebruik AVG-proof te maken. Vraag altijd duidelijke toestemming aan bezoekers en verzamel alleen wat u nodig hebt.Waar moet uw cookiebanner aan voldoen?
Een duidelijke cookiebanner is de basis als u AVG-compliant wilt werken. Vertel bezoekers vooraf welke cookies u plaatst en waarom.Wat moet er in de banner?- Welke persoonsgegevens u verzamelt
- Waarvoor u de cookies gebruikt
- Of u gegevens deelt met derden
Hoe beperkt u de gegevens die u verzamelt?
Dataminimalisatie geldt ook voor cookies. Gebruik alleen cookies die u echt nodig hebt.De drie hoofdsoorten cookies:- Functionele cookies: Nodig voor de werking van de site.
- Analytische cookies: Voor simpele analyse, zonder uitgebreide profielen.
- Tracking cookies: Voor marketing en het volgen van bezoekers.
Welke rechten hebben klanten en wie houdt toezicht?
De Algemene Verordening Gegevensbescherming geeft klanten duidelijke rechten over hun persoonsgegevens. De Autoriteit Persoonsgegevens houdt toezicht op deze regels.Welke privacyrechten hebben uw klanten?
Klanten hebben onder meer recht op informatie, inzage, correctie, verwijdering, beperking en dataportabiliteit (artikelen 13 tot en met 20 AVG).Klanten hebben verschillende privacy-rechten onder de AVG als bedrijven hun gegevens verwerken via cookies.Het recht op informatie betekent dat klanten moeten weten welke gegevens u verzamelt en waarom. Organisaties horen daar open over te zijn.Klanten mogen inzage vragen in hun opgeslagen gegevens. Ze kunnen ook correctie eisen als de informatie niet klopt.Het recht op vergetelheid geeft klanten de mogelijkheid om hun gegevens te laten wissen. Dit geldt vooral als de gegevens niet meer nodig zijn.Dataportabiliteit maakt het mogelijk om gegevens mee te nemen naar een andere aanbieder. Met het recht op beperking kunnen klanten verwerking tijdelijk laten stoppen.Welke sancties kan de Autoriteit Persoonsgegevens opleggen?
De Autoriteit Persoonsgegevens is de onafhankelijke toezichthouder voor de AVG in Nederland.Deze instantie kan verschillende maatregelen nemen als u de regels overtreedt. Soms krijgt u een waarschuwing, soms een aanwijzing.Boetes kunnen flink oplopen, tot 20 miljoen euro of 4% van de wereldwijde omzet. De ernst van de overtreding bepaalt het bedrag.De autoriteit kan ook verwerkingsverboden opleggen. Dan moet u (tijdelijk of permanent) stoppen met bepaalde gegevensverwerking.Klanten kunnen een klacht indienen bij de Autoriteit Persoonsgegevens via hun website. Ze kunnen ook naar de rechter stappen voor schadevergoeding.Wat kunnen wij voor u doen bij AVG en cookies?
Onze advocaat privacyrecht helpt u uw cookiegebruik en de verwerking van klantdata juridisch op orde te brengen.- Wij brengen in kaart welke cookies uw website plaatst en toetsen per cookie of toestemming nodig is (artikel 11.7a Telecommunicatiewet).
- Wij beoordelen op welke rechtsgrond uit artikel 6 AVG u klantdata verwerkt en leggen een belangenafweging vast als u op gerechtvaardigd belang steunt.
- Wij controleren uw cookiebanner op vooraf aangevinkte vakjes, een gelijkwaardige weigerknop en een eenvoudige manier om toestemming in te trekken.
- Wij stellen uw privacyverklaring en cookieverklaring op of passen ze aan volgens de artikelen 12 en 13 AVG.
- Wij staan u bij als de Autoriteit Persoonsgegevens vragen stelt of een handhavingstraject start.
Samengevat
- Functionele cookies en analytische cookies met weinig privacy-impact mag u zonder toestemming plaatsen; voor tracking- en marketingcookies heeft u vooraf toestemming nodig.
- Toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn; vooraf aangevinkte vakjes zijn niet toegestaan.
- Intrekken van toestemming moet net zo makkelijk zijn als het geven ervan.
- Klanten hebben onder meer recht op inzage, correctie en verwijdering van hun gegevens.
- De Autoriteit Persoonsgegevens kan boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet.
Veelgestelde vragen
Wat zijn de wettelijke grenzen voor het gebruik van cookies bij het verzamelen van klantgegevens?
Volgens de AVG mag u alleen essentiële cookies plaatsen zonder toestemming. Die zijn nodig voor de werking van de website.
Voor alle andere cookies hebt u expliciete toestemming van de gebruiker nodig. Dit geldt voor analytische, marketing en tracking cookies.
Vertel duidelijk welke gegevens u verzamelt en waarom. Bewaar gegevens niet langer dan nodig is voor het doel.
Hoe kunnen bedrijven AVG-compliant blijven bij het tracken van gebruikersgedrag op hun websites?
Bedrijven moeten eerst alle cookies op hun website in kaart brengen. Ze moeten precies weten welke cookies ze gebruiken en welke derde partijen daarbij betrokken zijn.
Een Consent Management Platform kan helpen bij het beheren van toestemmingen. Met deze tools kunt u zorgen dat alleen goedgekeurde cookies geplaatst worden.
Google Tag Manager vraagt om extra aandacht. U mag tags die niet-essentiële cookies plaatsen pas activeren als de gebruiker toestemming geeft.
Welke stappen moeten ondernemers nemen om toestemming van gebruikers te verkrijgen voor het gebruik van cookies?
Laat bij het eerste bezoek een duidelijke cookiebanner zien. Die banner moet uitleggen welke cookies er zijn en waarom u ze gebruikt.
Gebruikers moeten zelf actief hun toestemming geven. U mag dus niks vooraf aanvinken in de instellingen.
De banner moet opties bieden zoals “Accepteer alle cookies”, “Alleen noodzakelijke cookies” en “Beheer voorkeuren”. Gebruikers moeten hun keuze later kunnen aanpassen als ze dat willen.
Wat zijn de gevolgen voor bedrijven die de AVG-regelgeving met betrekking tot cookies niet naleven?
Bedrijven die de AVG negeren kunnen forse boetes krijgen. Die boetes kunnen oplopen tot 4% van de wereldwijde jaaromzet of €20 miljoen.
Toezichthouders mogen ook andere maatregelen nemen. Ze kunnen bedrijven verbieden om persoonsgegevens te verwerken.
Niet-naleving kan leiden tot flinke reputatieschade. Klanten verliezen hun vertrouwen als ze merken dat hun privacy niet serieus wordt genomen.
Hoe moeten cookies worden geclassificeerd volgens de AVG richtlijnen?
Essentiële cookies zijn nodig om de website te laten werken. Voor deze cookies hoeft u geen toestemming te vragen.
Analytische cookies verzamelen gegevens over het gebruik van de website. U hebt hiervoor toestemming nodig, behalve als u ze volledig anonimiseert.
Marketing cookies en tracking cookies vragen altijd om expliciete toestemming. Die cookies volgen gebruikers voor advertentiedoeleinden, en dat ligt gevoelig.
Welke informatie moet verstrekt worden aan gebruikers wanneer zij voor het eerst een website bezoeken die cookies gebruikt?
Gebruikers moeten weten welke soorten cookies de website gebruikt.
De uitleg hoort in eenvoudige taal te staan.
Het doel van elke cookie moet duidelijk zijn.
Gebruikers willen tenslotte weten waarom hun gegevens worden verzameld, toch?
De website moet een link naar het cookiebeleid tonen.
In dat beleid staat meer informatie over alle gebruikte cookies en betrokken derde partijen.
Meer over hoe Law & More u hierbij helpt, leest u op de pagina ICT-recht advocaat.
