De belofte van “geen banner nodig”

Privacygerichte analysetools presenteren zichzelf vaak als cookieloos, en sommige gaan verder en suggereren dat je geen toestemmingsbanner meer nodig hebt. Voor een uitgever met een slanke stack is dat een aantrekkelijk idee. De werkelijkheid is genuanceerder. Of toestemming nodig is, hangt af van wat de tool werkelijk op het apparaat doet, welke gegevens hij verwerkt, waar je gebruikers zijn en wat er verder op je pagina's draait.

Dit artikel legt de vragen uit die je moet stellen voordat je analytics uit je toestemmingsopzet haalt. Het is algemene begeleiding, geen juridisch advies.

Cookies zijn niet de enige trigger

In de EU komt de toestemmingsregel voor apparaten uit artikel 5, lid 3 van de ePrivacyrichtlijn. Die gaat over het opslaan van informatie op, of het verkrijgen van toegang tot informatie van, het apparaat van een gebruiker — niet alleen cookies. Lokale opslag, sessieopslag, pixels die ervoor zorgen dat informatie wordt gelezen en technieken die identificatoren afleiden uit apparaatkenmerken kunnen er allemaal onder vallen. De Europese Raad voor gegevensbescherming heeft deze brede lezing uiteengezet in zijn Richtlijnen 2/2023 over de technische reikwijdte van artikel 5, lid 3.

“Wij plaatsen geen cookies” is dus het begin van de analyse, niet het einde. Je moet weten of de tool überhaupt iets op het apparaat opslaat of leest.

Vier vragen over elke analysetool

1. Slaat hij iets op het apparaat op of leest hij iets?

Controleer na het laden van een pagina de opslagpanelen van de browser: cookies, lokale opslag, sessieopslag, IndexedDB. Controleer het script op code die apparaatkenmerken verzamelt om een identificator te vormen. Als er voor analysedoeleinden iets wordt opgeslagen of gelezen, is de ePrivacyregel van toepassing tenzij een uitzondering geldt.

2. Verwerkt hij persoonsgegevens?

Ook zonder opslag op het apparaat verwerkt analytics meestal IP-adressen, user agents en pagina-URL's. Onder de AVG kunnen dit persoonsgegevens zijn. Dat vereist een rechtsgrond — die gerechtvaardigd belang kan zijn in plaats van toestemming — plus transparantie in je privacyverklaring, gegevensminimalisatie en passende bewaartermijnen. “Geen banner” betekent nooit “geen verplichtingen”.

3. Geldt er een uitzondering in de landen van je gebruikers?

Sommige toezichthouders erkennen dat beperkte publieksmeting van toestemming kan worden vrijgesteld als aan strikte voorwaarden is voldaan. De Franse CNIL heeft voorwaarden gepubliceerd voor het vrijstellen van trackers voor publieksmeting en houdt een programma bij dat tools identificeert die kunnen worden geconfigureerd om eraan te voldoen. Voorwaarden omvatten doorgaans uitsluitend first-party gebruik, alleen geaggregeerde statistieken, geen cross-sitetracking en beperkte bewaartermijnen. De Britse Data (Use and Access) Act 2025 voerde nieuwe uitzonderingen in op de toestemmingseis van PECR, onder meer voor bepaalde statistische doeleinden, onder voorwaarden zoals duidelijke informatie en een mogelijkheid tot bezwaar. Niet elk land denkt er hetzelfde over, dus controleer de situatie in elke markt die je bedient en welke bepalingen van kracht zijn.

4. Worden de gegevens met anderen gedeeld?

Als de tool gegevens stuurt naar een vendor die ze voor eigen doeleinden gebruikt of over klanten heen combineert, vervallen uitzonderingen in het algemeen. Lees de verwerkingsvoorwaarden, niet alleen de marketingpagina.

Wat meestal nog wel toestemming vraagt

• Advertentietags. Door advertenties gefinancierde uitgevers hebben toestemming nodig voor gepersonaliseerde advertenties en voor opslag op het apparaat door advertentievendors, wat hun analysetool ook doet.
• Tools met identificatoren over sessies heen. Blijvende bezoekers-ID's, zelfs first-party, brengen een tool doorgaans buiten de meeste uitzonderingen.
• Sessie-opnames en heatmaps. Deze leggen gedetailleerd gedrag vast en worden zelden als vrijgestelde meting behandeld.
• Ingesloten inhoud en social widgets. Deze plaatsen eigen cookies en identificatoren.
• Conversie- en remarketingpixels. Deze bestaan om gedrag aan advertenties te koppelen.

Voor de meeste door advertenties gefinancierde sites is de banner hoe dan ook nodig voor de advertentiestack. De echte vraag is of analytics een van de afgeschermde categorieën moet zijn of onafhankelijk kan draaien onder een nauwe uitzondering.

Een praktische manier om te beslissen

1. Som elk analysescript op en wat het opslaat, leest en verzendt.
2. Bepaal de landen waar de meeste van je gebruikers zijn.
3. Controleer per tool of zijn configuratie voldoet aan een in die landen erkende uitzondering.
4. Configureer de tool op de strengste versie die je nodig hebt: IP-afkapping, geen blijvende ID's, korte bewaartermijn, geen gegevensdeling.
5. Documenteer de redenering en houd de analysetool hoe dan ook vermeld in je cookiebeleid en privacyverklaring.
6. Controleer opnieuw wanneer de vendor zijn product wijzigt of je markten veranderen.

Vrijgestelde analytics naast een CMP draaien

Als je besluit dat een tool in aanmerking komt, vermeld hem dan in je CMP als strikt noodzakelijk of vrijgesteld, zodat hij wordt bekendgemaakt maar niet wordt afgeschermd, en zorg dat zijn configuratie binnen de uitzondering blijft. Veel uitgevers houden daarnaast een van toestemming afhankelijke analysesetup aan voor rijkere meting en gebruiken Google Consent Mode v2 of vergelijkbare signalen om die aan te passen op basis van de keuze van de gebruiker. FlexyConsent ondersteunt Google Consent Mode v2 naast IAB TCF 2.4 en IAB GPP v1.1.

Belangrijkste punten

• “Cookieloos” betekent niet automatisch “geen toestemming nodig”; artikel 5, lid 3 dekt elke opslag op of toegang tot het apparaat.
• Analytics zonder opslag op het apparaat kan nog steeds persoonsgegevens verwerken en vraagt een rechtsgrond en transparantie.
• Uitzonderingen voor publieksmeting bestaan in sommige landen maar gaan gepaard met strikte voorwaarden.
• Advertentie-, sessie-opname- en remarketingtags hebben nog steeds toestemming nodig.
• Documenteer waarom een tool als vrijgesteld wordt behandeld en controleer dat regelmatig opnieuw.