Je Google Analytics laat zien dat zo’n 12 procent van je bezoekers uit België komt, maar je cookiebanner is alleen in het Nederlands en je analytics-cookies worden ingeladen zodra iemand je site opent. In Nederland kom je daar vaak mee weg, in België niet. De cookiewetgeving in beide landen stoelt op dezelfde Europese basis, maar op een paar concrete punten wijkt de Belgische aanpak merkbaar af van de Nederlandse.

Dezelfde Europese basis, twee toezichthouders met een eigen stijl

Zowel Nederland als België werken vanuit de AVG en de Europese ePrivacyrichtlijn. Maar de nationale invulling verschilt, en dat begint al bij de toezichthouder. In Nederland is dat de Autoriteit Persoonsgegevens (AP), in België de Gegevensbeschermingsautoriteit (GBA). Beide handhaven, maar de GBA is de afgelopen jaren opvallend actief geweest met concrete cookiebeslissingen en boetes. Dat is geen toeval: België heeft in de nationale implementatie van de ePrivacyrichtlijn een aantal keuzes gemaakt die strikter uitpakken dan de Nederlandse Telecommunicatiewet.

Wat de Belgische e-Privacywet concreet anders maakt

De Belgische wet van 13 juni 2005 betreffende de elektronische communicatie (de Belgische e-Privacywet) stelt expliciet dat toestemming voor niet-functionele cookies actief moet zijn. Dat klinkt vanzelfsprekend, maar de Belgische regelgever heeft dit aangevuld met eisen rond de zichtbaarheid van de banner, de begrijpelijkheid van de tekst en, belangrijk voor jou als Nederlandse beheerder: de taal.

Taalverplichting in je cookiebanner

Dit is het punt dat de meeste Nederlandse websitebeheerders missen. België heeft twee grote taalgroepen: Nederlandstalig (Vlaanderen) en Franstalig (Wallonië en Brussel). De GBA heeft in meerdere beslissingen benadrukt dat een cookiebanner begrijpelijk moet zijn voor de gebruiker. Een Engelstalige banner, of een banner die alleen in het Nederlands beschikbaar is terwijl je ook actief Frans verkeer trekt, levert juridisch risico op.

Wat moet je minimaal regelen? Als je campagnes richt op Franstalig België of als je analytics laten zien dat je bezoekers uit Wallonië of Brussel hebt, voeg je een Franse versie van je cookiebanner toe. De meeste Consent Management Platforms (CMPs) detecteren de browsertaal en kunnen automatisch de juiste taalversie tonen. Dat is de makkelijkste technische oplossing.

Analytics-cookies: wat mag zonder opt-in per land

Hier zit een praktisch verschil dat je in een overzicht ziet:

Situatie Nederland (AP) België (GBA)
Analytics-cookies (bijv. Google Analytics) zonder anonimisering Toestemming vereist Toestemming vereist
Geanonimiseerde analytics, alleen eigen gebruik, geen koppeling aan andere data Beperkte uitzondering mogelijk onder strikte voorwaarden Geen expliciete uitzondering; GBA hanteert een strikte opt-in-lijn
Functionele cookies (sessie, winkelwagen) Geen toestemming nodig Geen toestemming nodig
Marketing- en trackingcookies Toestemming vereist Toestemming vereist

Praktisch betekent dit: als je vertrouwt op de smalle Nederlandse uitzondering voor geanonimiseerde analytics, weet dan dat de GBA die ruimte niet op dezelfde manier erkent. Voor Belgisch verkeer is de veiligste keuze: gewoon toestemming vragen voor analytics.

Een cookie wall (ook wel cookiemuur) is een blokkade waarbij je de inhoud van een site pas te zien krijgt als je cookies accepteert. De GBA heeft zich hier meerdere keren expliciet over uitgelaten en stelt dat een echte cookie wall zonder volwaardig alternatief in strijd is met het vrijwilligheidscriterium van toestemming. De AP deelt deze lijn, maar de GBA is er in concrete beslissingen duidelijker over geweest.

Heb je een paywall of een inlog-gate op je site? Dan geldt een ander regime. Een betaald abonnement als alternatief voor het accepteren van trackingcookies bevindt zich in een juridische grijze zone, zowel in Nederland als in België. De GBA kijkt kritisch naar de vraag of het betaalbedrag proportioneel is en of de keuze echt vrij is.

Wat er extra in je privacyverklaring moet als je Belgische gebruikers hebt

Je privacyverklaring hoeft niet volledig te worden herschreven, maar een aantal elementen mag niet ontbreken als je bewust Belgisch publiek bedient:

  • De vermelding dat Belgische gebruikers het recht hebben een klacht in te dienen bij de GBA, met het adres: Gegevensbeschermingsautoriteit, Drukpersstraat 35, 1000 Brussel, of via de website van de GBA.
  • De verwerkingsgrondslag voor elke categorie cookies, duidelijk omschreven.
  • Contactgegevens van je eigen organisatie of functionaris gegevensbescherming, indien van toepassing.

Dit is niet alleen een Belgische eis: de AVG verplicht je hier sowieso toe. Maar in de praktijk vergeten veel Nederlandse beheerders de GBA als klachtinstantie te noemen in de verklaring.

Vijf technische aanpassingen in je CMP vóór je Belgisch verkeer opstart

Stap 1: Voeg een Franse taalversie toe aan je banner. Stel in je CMP in dat Frans automatisch wordt getoond op basis van browsertaal of geolocatie voor Belgisch verkeer.

Stap 2: Controleer je opt-in-drempel. Zorg dat geen enkele niet-functionele cookie wordt geladen vóór actieve toestemming, ook voor analytics. Controleer dit met een netwerkinspectietool.

Stap 3: Maak weigeren minstens even makkelijk als accepteren. De GBA heeft dit expliciet beoordeeld in klachtprocedures. Een grote groene ‘Accepteer alles’-knop met een kleine grijze link voor weigeren is niet voldoende.

Stap 4: Voeg de GBA toe als toezichthouder in je privacyverklaring. Koppel dit aan de sectie over klachtrechten.

Stap 5: Test je banner op mobiel en in meerdere browsers. De GBA heeft in enkele beslissingen ook de toegankelijkheid op mobiele apparaten meegewogen bij de beoordeling van geldigheid van toestemming.

Wanneer heb je een aparte Belgische banner nodig?

De praktische vraag is: moet je twee aparte cookiebanners bouwen, of volstaat één gelaagde banner? Dat hangt af van je situatie:

  • Heb je een meertalige site, of richt je actief campagnes op België? Dan wil je taalsplitsing in je CMP en idealiter aparte consent-logs per regio.
  • Heb je een Nederlandstalige site met wat organisch Belgisch verkeer en geen actieve Belgische marketing? Dan volstaat één goed gebouwde, meertalige banner die de GBA-eisen respecteert, inclusief een Franstalige versie voor Franstalige bezoekers.
  • Heb je een.be-domein of een aparte Belgische landingspagina? Dan bouw je die eenvoudigweg op met een eigen bannerinstellingen in je CMP.

Handhavingsrisico: GBA-boetes versus AP-sancties

De GBA is de afgelopen jaren actief geweest. Bekende beslissingen betroffen onder meer grote nieuwssites die cookie walls hanteerden, advertentienetwerken die toestemming omzeilden en websites die weigerknopjes verstopten. Boetes liepen uiteen van enkele duizenden euro’s tot bedragen boven de honderdduizend euro voor grotere partijen.

De AP heeft ook opgetreden, maar richt zich in cookiekwesties vaker op de grotere spelers en platforms. Voor een gemiddelde Nederlandse webshop of blog is het risico op een AP-boete voor een suboptimale banner kleiner dan het risico op een GBA-klacht als je actief Belgisch verkeer trekt en je banner niet op orde is. De GBA behandelt ook klachten van individuele gebruikers, en dat laagdrempelige klachtrecht maakt de Belgische handhaving in de praktijk toegankelijker.

Als je Belgische bezoekers hebt, zijn er vier punten die je echt moet aanpakken: een Franstalige bannertekst, een strikte opt-in voor analytics-cookies, een duidelijk zichtbare weigeroptie en een vermelding van de GBA als klachtinstantie in je privacyverklaring. Dat zijn geen grote ingrepen, maar ze maken het verschil tussen compliant en niet. Gebruik de generator op deze site als startpunt en pas de tekst daarna aan op basis van de stappen hierboven.