CNIL-cookies: wat je site voor Franse bezoekers moet doen

De cookieregels van de CNIL komen voor elke site met bezoekers in Frankrijk neer op drie regels: geen tracker die toestemming vraagt, mag draaien voor de bezoeker kiest, weigeren moet even makkelijk zijn als aanvaarden, en de bezoeker moet zijn keuze later even makkelijk kunnen wijzigen. Bezoekersmeting is de enige nuttige uitzondering: die mag zonder toestemming draaien als de tool aan de voorwaarden van de CNIL voldoet.

De CNIL (Commission nationale de l'informatique et des libertés) is de Franse gegevensbeschermingsautoriteit. Ze handhaaft artikel 82 van de Franse privacywet (loi Informatique et Libertés), dat artikel 5, lid 3 van de Europese ePrivacyrichtlijn omzet. Omdat artikel 82 Frans recht is en niet de GDPR, kan de CNIL optreden tegen elk bedrijf waarvan de trackers op toestellen in Frankrijk draaien, zonder de zaak door te geven aan een autoriteit in een ander EU-land. Daarom zijn de grootste cookieboetes van Europa Frans, en daarom treffen ze bedrijven met een zetel in Ierland, de VS en Singapore.

Deze gids is er voor een bedrijf buiten Frankrijk met Franse klanten: een Vlaamse webshop die naar Frankrijk levert, een SaaS met Franse gebruikers, een Belgisch bedrijf met een Franstalige site die ook in Frankrijk gelezen wordt. Hij zet de richtlijnen uiteen, de vrijstelling voor statistieken, waarvoor de boetes waren, en hoe een banner eruitziet die in Frankrijk standhoudt.

De richtlijnen en de aanbeveling

De CNIL nam op 17 september 2020 twee teksten aan en publiceerde ze op 1 oktober 2020: richtlijnen die zeggen wat de wet vraagt, en een aanbeveling met praktische manieren om in orde te zijn. Ze gaf sites tot 31 maart 2021 om zich aan te passen, en handhaaft ze sindsdien.

De informatie moet leesbaar zijn voor een Franse consument, wat in de praktijk Frans betekent. De loi Toubon eist Frans in informatie voor consumenten in Frankrijk; een vertaling naast een andere taal mag, een banner alleen in het Engels of Nederlands voor Franse klanten is een risico op zich.

Statistieken zonder toestemming: de vrijstelling van de CNIL

Frankrijk is op de meeste punten strenger dan zijn buren, en op een punt soepeler: bezoekersmeting. De CNIL stelt trackers die alleen het bereik van een site of app meten vrij van toestemming, onder voorwaarden die ze in haar richtlijnen en in haar praktische fiche over statistieken opsomt:

• het doel blijft beperkt tot het meten van het bereik van de site of app, voor eigen gebruik: bezoeken, pagina's, prestaties, A/B-tests van de site zelf;
• de gegevens worden niet met andere verwerkingen gecombineerd en niet aan derden doorgegeven voor hun eigen gebruik;
• de tracker werkt op een site of app, niet over sites heen;
• het IP-adres wordt ingekort of niet verzameld, zodat het de bezoeker niet preciezer dan de stad kan lokaliseren;
• de tracker leeft hooguit 13 maanden, en zijn levensduur verlengt niet bij elk bezoek; de gegevens worden hooguit 25 maanden bewaard;
• bezoekers worden geïnformeerd en kunnen bezwaar maken, bijvoorbeeld met een schakelaar in de cookie-instellingen.

Sommige tools zijn hiervoor in te stellen; de CNIL somt producten op die aan de voorwaarden kunnen voldoen als ze juist ingesteld zijn, en zegt duidelijk dat ze geen enkel product certificeert. De standaardinstelling van het meest gebruikte statistiekenpakket, met gegevens die de leverancier gebruikt en aan advertenties gekoppeld, voldoet niet.

Het VK ging in februari 2026 een gelijkaardige richting uit, met eigen voorwaarden; zie de cookiewet in het VK. De meeste andere EU-autoriteiten, ook de Belgische en de Duitse, eisen nog toestemming voor statistieken. De digital omnibus over cookies kan dat voor de hele EU veranderen, maar nog niet nu.

Wat de CNIL beboette, en voor hoeveel

De beslissing over Shein woog de schaal mee: ongeveer 12 miljoen bezoekers per maand uit Frankrijk. Beide bedrijven zeiden dat ze hun beslissingen van 2025 zouden aanvechten. Google kreeg ook het bevel om binnen zes maanden te veranderen, op straffe van 100.000 euro per dag.

Dat zijn reuzen, maar de patronen zijn dezelfde op kleine sites: een tagmanager die afgaat voor de banner antwoord heeft, een weigeroptie verstopt in een tweede laag, een weigering die de site negeert. De CNIL controleert ook kleinere sites en stuurt een ingebrekestelling voor ze beboet; de meeste zaken eindigen daar, met een termijn om de banner recht te zetten.

Een banner voor Frankrijk, België en de rest

Een site voor Franse bezoekers bedient meestal ook andere markten. Bouwen volgens de norm van de CNIL is de veiligste basis voor de hele EU, omdat de CNIL de strengste is op de vorm en haar regels overeenkomen met de Europese richtlijn die iedereen deelt.

Voor een site in het Frans en het Nederlands voor België, of in het Frans voor Frankrijk en België, kan een banner beide dekken: Weigeren en Aanvaarden op de eerste laag, doelen per categorie, en de categorie statistieken standaard uit voor Belgische bezoekers. Hoe we sites in meerdere talen bouwen, staat bij meertalige website, en wat België van een site in twee talen vraagt in een meertalige website maken.

Je eigen site nakijken voor Frankrijk

1. Open de site in een privévenster met de browser op Frans, en de ontwikkelaarstools op het tabblad Opslag. Raak de banner niet aan.
2. Bekijk de cookies en de lokale opslag. Alleen je eigen sessie-, winkelmand- of taalcookie hoort er te staan, en een vrijgestelde meetcookie als je tool aan de voorwaarden voldoet.
3. Bekijk het tabblad Netwerk. Er hoort nog geen aanvraag naar een advertentieplatform te gaan.
4. Klik op Weigeren. Herlaad. Dezelfde lijst hoort er te staan als ervoor.
5. Zoek de link die de keuze opnieuw opent, op een andere pagina dan de homepage.
6. Lees de banner zoals een Franse bezoeker hem leest: is elk doel in het Frans genoemd, en staan de partners erbij?

Verschijnt er bij stap 2 een advertentiecookie, dan gaan je tags af voor de toestemming; dat was de kern van de vaststellingen bij Amazon, Google en Shein. Voor de Europese basis achter dit alles, zie is een cookiebanner verplicht; voor de Meta-pixel in het bijzonder, zie wat is de Meta-pixel. Onze cookie scanner toont welke cookies je site plaatst.