Privacy, GDPR en cookies: wat moet je in orde hebben?.

Details

• Bron (Gegevensbeschermingsautoriteit – Cookies en andere traceringsmiddelen): https://www.gegevensbeschermingsautoriteit.be/professioneel/thema-s/cookies — laatste update bronpagina: 17 november 2023
• Bron (UNIZO – Privacy en GDPR): https://www.unizo.be/ondernemersgids/juridisch/privacy-gdpr/privacy-en-gdpr — laatste update bronpagina: 13 juli 2026

Voor wie is dit?

Voor elke onderneming die persoonsgegevens verwerkt — en dat is zowat elke onderneming: klantenbestand, nieuwsbrief, leveranciers, personeel, een website met analytics. Deze pagina bundelt wat je minimaal in orde moet hebben rond GDPR en cookies, met de Belgische regels en de officiële checklists.

Deel 1 — GDPR: vier dingen die je zeker moet regelen

1) Een verwerkingsregister bijhouden

Iedere onderneming moet een verwerkingsregister bijhouden. Daarin noteer je minstens:

• Welke gegevens je verwerkt (van klanten, leveranciers, personeel, websitebezoekers, …)
• Voor welk doel én op welke rechtsgrond. Toestemming is maar één van de mogelijke gronden. Gegevens die noodzakelijk zijn om een overeenkomst uit te voeren, of waarvoor je een gerechtvaardigd belang hebt, mag je op die grond verwerken.
• Hoe lang je de gegevens bijhoudt. Nooit langer dan strikt nodig voor het doel dat je hierboven bepaalde.
• Aan wie je de gegevens doorgeeft.

De Gegevensbeschermingsautoriteit stelt hiervoor gratis Excel-modellen ter beschikking, vrij te downloaden en zonder lidmaatschap:

• Model register — eenvoudige versie (verwerkingsverantwoordelijke, .xlsx) — begin hier als je zelf bepaalt waarom en hoe je gegevens verwerkt (het normale geval voor een eigen onderneming).
• Model register — eenvoudige versie (verwerker, .xlsx) — als je gegevens verwerkt in opdracht van een klant (bv. een freelance developer, een virtuele assistent).
• Model register — uitgebreide versie (.xlsx) — meer kolommen, voor wie veel of gevoelige verwerkingen heeft.

Het register moet schriftelijk zijn (elektronisch mag), maar niet tegelijk op papier én elektronisch. Werk het bij wanneer je activiteiten veranderen, en bewaar het best tot 5 jaar na het stopzetten van een verwerking — de GBA kan het ook achteraf nog opvragen.

2) De rechten van betrokkenen kunnen uitvoeren

Wie jouw gegevens verwerkt ziet, moet zijn rechten vlot kunnen uitoefenen: inzage, verbetering, wissing, bezwaar, intrekking van toestemming. Zorg dat er een duidelijk aanspreekpunt is en dat je intern weet waar welke gegevens zitten. Het overzicht van die rechten staat op de site van de Gegevensbeschermingsautoriteit (GBA).

3) Een privacyverklaring publiceren

Alle info over welke gegevens je verwerkt, de rechtsgronden en de bewaartermijnen hoort in een privacyverklaring die:

• beknopt is
• transparant is over wat er met de gegevens gebeurt
• begrijpelijk is (duidelijke, eenvoudige taal — zeker als de info voor kinderen bestemd is)
• gemakkelijk toegankelijk is

Je mag gelaagd werken: een korte verklaring die doorlinkt naar een uitgebreider privacybeleid op je website.

4) Verwerkersovereenkomsten afsluiten

Verwerkt een derde partij gegevens in jouw opdracht — IT-partner, boekhouder, sociaal secretariaat, mailingtool — dan heb je een verwerkersovereenkomst nodig.

Deel 2 — Cookies en trackers

Waarover gaat de cookiewetgeving precies?

Niet alleen over cookies. De regels slaan op het opslaan van informatie of het verkrijgen van toegang tot informatie die al op het toestel van de gebruiker staat. Ook local storage, session storage, pixels, beacons en andere trackers vallen eronder.

Cookies worden onderscheiden op drie manieren:

• Naar doel: technisch/inlog, analytisch (publieksmeting), marketing & profilering, authenticatie, beveiliging, load balancing, personalisatie van de interface, mediaspeler.
• Naar domein: eerstepartij (door jouw eigen domein geplaatst) versus derdepartij (door een ander domein — social plugins, advertenties, embeds). Derdepartijcookies laten die derden toe gedrag over verschillende websites heen te volgen en profielen op te bouwen.
• Naar levensduur: sessiecookies (weg bij het sluiten van de browser) versus persistente cookies (blijven tot een vervaldatum).

Wanneer heb je toestemming nodig?

Altijd — behalve voor strikt noodzakelijke cookies. Dat zijn er twee soorten:

1. Strikt noodzakelijke functionele cookies, nodig om een dienst te leveren die de gebruiker uitdrukkelijk vroeg (taalkeuze, cookievoorkeuren, inhoud van het winkelmandje, beveiliging van een bankapplicatie).
2. Strikt noodzakelijke technische cookies, nodig om een bericht te verzenden via een elektronisch communicatienetwerk (bv. sessiecookies voor load balancing).

Concrete voorbeelden die de GBA als vrijgesteld opsomt: cookies voor meerstappenformulieren of winkelmandje, authenticatiecookies voor de duur van een sessie, gebruikersgerichte beveiligingscookies, sessiecookies van een mediaspeler, load-balancing sessiecookies, cookies die de cookievoorkeuren onthouden (in beginsel max. 6 maanden), en cookies voor taalvoorkeur (duur van een sessie of iets langer).

Ook voor deze vrijgestelde cookies moet je de gebruiker duidelijk en nauwkeurig informeren.

Let op — analytics is géén uitzondering. De GBA is uitdrukkelijk: ook cookies voor publieksmeting (statistische of analytische cookies) hebben toestemming nodig, ook als het eerstepartijcookies zijn. Bezoekers tellen is geen dienst die de bezoeker zelf vroeg. Sommige toezichthouders in andere lidstaten zijn soepeler, maar in België geldt deze lijn. Wie Google Analytics of een vergelijkbare tool gebruikt, moet die dus achter de cookiebanner zetten.

Wanneer is je toestemming geldig?

De toestemming moet voldoen aan de AVG-voorwaarden: voorafgaand, vrij, specifiek, geïnformeerd, actief en ondubbelzinnig — en intrekbaar.

Voorafgaand. Geen enkele niet strikt noodzakelijke cookie mag geplaatst of gelezen worden vóór de toestemming.

Actief en ondubbelzinnig. Een positieve handeling: klikken op een knop of link. Niet geldig zijn:

• een vooraf aangevinkt vakje dat de gebruiker moet uitvinken (opt-out)
• verder surfen op de site
• het aanvaarden van de algemene gebruiksvoorwaarden
• de browserinstellingen van de gebruiker

Geïnformeerd. Vóór de toestemming geef je precieze info over de verwerkingsverantwoordelijke, de doeleinden, de verzamelde gegevens en de levensduur van de cookies, plus over eventuele geautomatiseerde besluitvorming en de rechten van de betrokkene (inclusief intrekking). In eenvoudige taal, in de taal van je doelpubliek.

Werk gelaagd:

• Eerste laag (de banner): de doeleinden kort en duidelijk; de identiteit van wie de cookies plaatst (met, indien van toepassing, het aantal partners en een link naar de volledige lijst per categorie); hoe aanvaarden of weigeren; de gevolgen van elke keuze; het recht om in te trekken en hoe.
• Lagere laag: de volledige lijst van gebruikte cookies per categorie, met hun specifiek doel, duurtijd en ontvangers.

Vrij. De gebruiker moet kunnen weigeren zonder beperking, druk of invloed, en moet daarna gewoon verder van de dienst kunnen genieten. Daarom zijn cookiewalls niet toegelaten. Ook de vormgeving van je banner kan het vrije karakter aantasten:

• een knop “alles aanvaarden” zonder op dezelfde laag een knop “alle niet strikt noodzakelijke cookies weigeren”
• misleidend ontwerp (dark patterns) via kleur, lettergrootte of plaatsing

Specifiek. Toestemming geldt per welomschreven verwerking. “Alles of niets” volstaat niet. In de praktijk: eerste laag met de categorieën plus “alles aanvaarden” én “alles weigeren”, en een duidelijke link naar een tweede laag met granulaire keuze per categorie en, waar van toepassing, per partner. De GBA acht het opportuun om in een volgende laag ook een keuze per cookie aan te bieden — wat veronderstelt dat elke cookie maar één doeleinde dient.

Intrekbaar. Intrekken moet even eenvoudig zijn als geven, en de gebruiker moet daarvan op de hoogte zijn op het moment van de toestemming. Voorzie bijvoorbeeld een zwevende knop of een link in de footer van elke pagina die terugbrengt naar de cookie-instellingen. De intrekking moet ook écht effect hebben: cookies wissen of neutraliseren (bv. een Set-Cookie met hetzelfde path en domain en een negatieve levensduur).

Levensduur van cookies

Cookies en de erin opgeslagen informatie mogen niet langer bewaard worden dan nodig voor het doel. Een onbepaalde bewaartermijn kan dus niet. Is tijdig verwijderen niet mogelijk, dan legt je cookiebeleid uit hoe de bezoeker ze zelf kan wissen.

Een vrijgestelde cookie moet een levensduur hebben die rechtstreeks met zijn doel samenhangt en vervalt zodra hij niet meer nodig is — vaak dus aan het einde van de browsersessie, soms iets langer (een winkelmandje mag bv. enkele uren blijven staan). Voor cookies die de cookievoorkeuren onthouden vindt de GBA een levensduur van 6 maanden in beginsel redelijk.

Je cookiebeleid

Als je cookies of trackers plaatst of leest, moet je een cookiebeleid publiceren op je website of app. Dat document bevat minstens:

• identiteit en contactgegevens van de verwerkingsverantwoordelijke (en in voorkomend geval van je DPO)
• identificatie van de gebruikte (soorten) cookies: naam, domein en path
• het doel of de doeleinden van elke (soort) cookie
• de werkingsduur van de cookies
• of derden toegang hebben, wie die ontvangers zijn, en info over eventuele doorgifte naar derde landen (inclusief de genomen maatregelen en hoe de betrokkene een kopie kan krijgen)
• hoe de betrokkene geplaatste cookies kan wissen
• de rechtsgrond (art. 6 AVG): toestemming voor niet strikt noodzakelijke cookies; voor strikt noodzakelijke cookies kan een andere grond gelden, zoals gerechtvaardigd belang
• de bewaartermijn van de via de cookies verzamelde gegevens
• de rechten van de betrokkenen, inclusief het recht om toestemming in te trekken

Verantwoordingsplicht

Je moet kúnnen aantonen dat je de toestemming rechtsgeldig verkreeg. Daarvoor:

• hou bij hoe je toestemmingsmechanisme (de banner) doorheen de tijd werd aangepast
• bewaar vorige versies van je cookiebeleid
• geef je cookiebeleid een datum en een versienummer

Dit is geen theorie: de GBA legde al een boete van 15.000 euro op aan een website waarvan het cookiebeleid niet in orde was, onder meer omdat er geen toestemming werd gevraagd.

Deel 3 — Aanverwante situaties

Reclame per mail

Algemene reclamemailings zijn in principe verboden zonder voorafgaande toestemming van de bestemmeling. Uitzondering: bestaande klanten. Dan mag het zonder voorafgaande toestemming, op voorwaarde dat:

• de reclame gaat over gelijkaardige producten als wat die klant eerder afnam
• je in elke mailing een uitschrijfmogelijkheid voorziet

Zuiver informatieve mails (bv. een handleiding naar wie dat product kocht) vallen niet onder deze strenge regels.

E-mailadressen kopen bij een direct-marketingbureau

• Zorg dat het bureau de nodige toestemmingen verzamelde, en zet dat expliciet in de aankoopovereenkomst.
• Omdat je de gegevens niet rechtstreeks van de betrokkene kreeg, moet je hem/haar bij het eerste contact informeren: waar je de gegevens vandaan hebt, welke gegevens, met welk doel, hoe lang je ze bijhoudt en welke rechten er zijn.
• Bij doorgifte aan derden is een dubbele opt-in vereist: na de inschrijving volgt een bevestigingsmail die duidelijk maakt dat de gegevens worden overgedragen en waarvoor.
• Documentatieplicht: bewaar de inhoud van de toestemmingsverklaring, het registratietijdstip en IP-adres, de inhoud van de bevestigingsmail en het tijdstip van bevestiging.
• Een oude opt-in blijft geldig als hij aan de huidige vereisten voldoet; zo niet moet je de toestemming opnieuw vragen.

Klanten naar hun identiteitskaart vragen

Mag alleen als het noodzakelijk is, én je er wettelijk toe verplicht bent of de klant er vrij toestemming voor geeft. Vrij betekent dat de klant de dienst ook moet kunnen afnemen als hij weigert. Volstaat een visuele controle, dan mag je geen kopie nemen of de kaart elektronisch uitlezen.

Bewakingscamera's in je zaak

Een handelszaak is een “voor het publiek toegankelijke besloten plaats”. Drie verplichtingen:

1. Aangifte bij de politie via www.aangiftecamera.be (een oude aangifte bij de vroegere Privacycommissie moest opnieuw gebeuren).
2. Het wettelijke pictogram goed zichtbaar plaatsen, vóór de ingang.
3. Een register van beeldverwerkingsactiviteiten bijhouden, beschikbaar op vraag van de GBA en de politie.

De camera mag niet op de openbare weg gericht zijn. Heimelijk cameragebruik is verboden. Beelden van (vermoedelijke) winkeldieven mag je niet verspreiden — bezorg ze aan de politie. Film je ook werknemers met het oog op veiligheid, bescherming van goederen of controle van het werk, dan geldt daarnaast cao nr. 68.

Checklist: ben je in orde?

Tools & templates

Gratis en publiek (Gegevensbeschermingsautoriteit)

• GBA Toolbox — verzamelpagina met alle onderstaande modellen
• Model register van verwerkingsactiviteiten — eenvoudige versie, verwerkingsverantwoordelijke (.xlsx)
• Model register — eenvoudige versie, verwerker (.xlsx)
• Model register — uitgebreide versie (.xlsx)
• 13 stappenplan (pdf) — wat je als organisatie stap voor stap in orde brengt
• FAQ-brochure voor kmo's (pdf)
• Cookie checklist (pdf)

Enkel voor UNIZO-leden

De UNIZO GDPR-tool en modellen (model privacyverklaring beknopt en uitgebreid NL/EN, model disclaimer en privacy statement voor website, model verwerkersovereenkomst, template register verwerkingsactiviteiten, modelantwoord op recht van inzage, model kennisgeving opt-out e-mails, model toelating gebruik afbeelding) zitten achter een login en zijn alleen beschikbaar voor UNIZO-leden. Ben je geen lid, gebruik dan de GBA-modellen hierboven.

Overige

• Kinderopvang: specifieke tools (privacyverklaring, verwerkingsregister, toestemmingsformulier beeldmateriaal, verwerkingsovereenkomst) via Opgroeien.

Bronnen

• Gegevensbeschermingsautoriteit – Cookies en andere traceringsmiddelen: https://www.gegevensbeschermingsautoriteit.be/professioneel/thema-s/cookies
• UNIZO Ondernemersgids – Privacy en GDPR: https://www.unizo.be/ondernemersgids/juridisch/privacy-gdpr/privacy-en-gdpr