Functionele cookies: wanneer is toestemming nodig?

Kort antwoord: functionele cookies zijn cookies die nodig zijn om je website te laten werken, of om iets te doen waar de bezoeker zelf om vraagt. Denk aan een winkelwagen die onthoudt wat erin zit, of een inlogsessie. Daarvoor heb je geen toestemming nodig. Voor analytische cookies geldt dat alleen als ze privacyvriendelijk zijn ingesteld, en voor marketing- en trackingcookies heb je altijd vooraf toestemming nodig.

Wat zegt de wet over functionele cookies?

De regels voor cookies staan in artikel 11.7a van de Telecommunicatiewet, in de volksmond de cookiewet. Die zegt dat je toestemming nodig hebt om informatie op iemands apparaat op te slaan of uit te lezen. Er zijn uitzonderingen voor cookies die:

• nodig zijn om communicatie over het internet mogelijk te maken, of
• strikt noodzakelijk zijn om een dienst te leveren waar de bezoeker uitdrukkelijk om vraagt.

Dat zijn de functionele cookies. Sinds 2015 geldt er ook een uitzondering voor analytische cookies die weinig of geen gevolgen hebben voor de privacy. Daarover hieronder meer, want daar gaat het in de praktijk vaak mis.

Voorbeelden van functionele cookies

• Winkelwagen: onthouden welke producten iemand in zijn mandje legt.
• Inlogsessie: ingelogd blijven terwijl je van pagina naar pagina gaat.
• Taal- of regiokeuze: de site in de taal tonen die de bezoeker koos.
• Cookiekeuze: onthouden wat iemand in de cookiebanner koos, zodat de banner niet bij elke pagina terugkomt.
• Beveiliging: cookies die formulieren beschermen tegen misbruik of die een load balancer nodig heeft om je verzoek bij de juiste server te krijgen.
• Formulier-voortgang: onthouden wat iemand al invulde in een formulier met meerdere stappen.

Wat is géén functionele cookie?

Hier zit de valkuil. Een cookie is niet functioneel omdat hij "handig" is voor jou als eigenaar. De toets is: heeft de bezoeker deze cookie nodig voor wat hij op je site komt doen?

• Google Analytics en andere statistieken: analytisch, niet functioneel. Zie de volgende paragraaf.
• Advertentiepixels (Meta Pixel, Google Ads, TikTok, LinkedIn): marketingcookies, altijd toestemming nodig.
• Ingesloten YouTube-video's en social-media-knoppen: die plaatsen vaak cookies van de aanbieder zelf. Gebruik de privacyvriendelijke modus of laad ze pas na toestemming.
• Heatmaps en sessie-opnames (Hotjar, Microsoft Clarity): analytisch, en omdat ze gedrag in detail vastleggen, bijna altijd toestemming nodig.
• A/B-testen en personalisatie: ook als het je site beter maakt, is het geen dienst waar de bezoeker om vroeg.

En analytische cookies?

Analytische cookies meten hoe bezoekers je site gebruiken. Ze vallen alleen buiten de toestemmingsplicht als ze weinig of geen gevolgen voor de privacy hebben. De Autoriteit Persoonsgegevens heeft beschreven wanneer dat zo is: onder meer met een verwerkersovereenkomst, ingekorte IP-adressen, en zonder dat de gegevens worden gedeeld of gebruikt voor andere diensten van de aanbieder.

Een standaardinstallatie van Google Analytics voldoet daar meestal niet aan, zeker niet als je hem koppelt aan Google Ads. Daarom vragen de meeste sites er gewoon toestemming voor. Met Google Consent Mode v2 meet je dan zonder cookies door als iemand weigert, zodat je niet al je data kwijt bent.

Moeten functionele cookies in je cookiebeleid?

Ja, vermeld ze wel. Je bent verplicht bezoekers te informeren over de cookies die je gebruikt, en een complete lijst maakt je beleid geloofwaardiger. Met de gratis cookiebeleid-generator staan functionele cookies er standaard in, met doel en bewaartermijn.

In je cookiebanner: niet uit te zetten

In een cookiebanner staan functionele cookies meestal als categorie "Noodzakelijk" of "Functioneel", zonder schakelaar of met een schakelaar die vast aan staat. Dat is correct: je vraagt er geen toestemming voor, je laat alleen zien dat ze er zijn. Analytische en marketingcookies staan standaard uit tot de bezoeker ze aanzet.

Twijfel je wat er op je site allemaal geplaatst wordt? Doe de gratis cookie checker: die laat zien welke advertentiepixels en analytics er laden, en of dat al gebeurt voordat iemand toestemming gaf.