Op deze pagina
Minder vragen om toestemming, ooit. Vandaag nog niet.
Nieuwe wetgeving over cookies komt dichterbij. Op 21 oktober 2026 legde de Raad van de EU zijn positie vast over de Digital Omnibus, het pakket waarmee de Europese Commissie op 19 november 2025 de digitale regels wilde vereenvoudigen. De lidstaten willen meer doelen toelaten waarvoor je geen toestemming hoeft te vragen, zoals publieksmeting en de beveiliging van een toestel. De cookieregels blijven wel in de ePrivacy-richtlijn en verhuizen niet naar de GDPR, zoals de Commissie voorstelde.
Het is geen wet. Het Europees Parlement heeft nog geen positie, en daarna moeten Parlement, Raad en Commissie het eens worden. Tot dan gelden de regels van vandaag, in België met de strenge lezing van de Gegevensbeschermingsautoriteit. Wat je eigen site vandaag laadt voor toestemming, zie je met de cookie scanner.
- Waar de cookieregels staanVandaag in BelgiëIn de ePrivacy-richtlijn, omgezet in Belgisch rechtPositie van de Raad (nog geen wet)Blijven in de ePrivacy-richtlijn
- Cookies voor publieksmetingVandaag in BelgiëToestemming nodig, ook op je eigen domeinPositie van de Raad (nog geen wet)Op de lijst van doelen zonder toestemming
- Cookies voor de beveiliging van het toestelVandaag in BelgiëAlleen onder de strikte uitzonderingPositie van de Raad (nog geen wet)Op de lijst van doelen zonder toestemming
- Wat persoonsgegevens zijnVandaag in BelgiëDefinitie van de GDPRPositie van de Raad (nog geen wet)Blijft dezelfde
- Termijn om een datalek te meldenVandaag in België72 uurPositie van de Raad (nog geen wet)Langer, de Commissie stelde 96 uur voor
- Waar je een incident meldtVandaag in BelgiëPer regel een eigen kanaalPositie van de Raad (nog geen wet)Een nationaal meldpunt per lidstaat
Advertentiecookies, zoals een Meta-pixel, vragen in beide kolommen toestemming. Tot er een wet is, geldt de linkerkolom.
Waar Commissie en Raad uit elkaar gaan
De Raad volgt de Commissie niet overal. Op drie punten koos hij een andere weg, en dat bepaalt waarover het Parlement straks onderhandelt:
| Punt | Voorstel van de Commissie, november 2025 | Positie van de Raad, oktober 2026 |
|---|---|---|
| Waar de cookieregels komen | In de GDPR, een nieuw artikel 88a | Blijven in de ePrivacy-richtlijn, met een langere lijst doelen zonder toestemming |
| Wat persoonsgegevens zijn | De definitie verfijnen | De huidige definitie houden, met een nieuwe bepaling over pseudonimisering |
| Een incident melden | Een meldpunt op Europees niveau | Een nationaal meldpunt per lidstaat, plus een informatiepunt op EU-niveau |
Over het datalek zelf zijn ze het eens: de termijn moet langer. De Commissie stelde ook voor om een lek alleen nog te melden als het waarschijnlijk een hoog risico voor mensen inhoudt. De Europese privacytoezichthouders vonden de uitzonderingen voor cookies in het voorstel al breder dan de huidige regels. Wat er in een verwerkersovereenkomst over datalekken staat, blijft dus voorlopig gewoon gelden.
Het Parlement is aan zet
In het Europees Parlement behandelen twee commissies het dossier samen: ITRE (industrie) en LIBE (burgerlijke vrijheden), met als rapporteurs Aura Salla en Marina Kaljurand. Er ligt een ontwerpverslag sinds juni 2026 en in juli werden de amendementen ingediend, maar een stemming in de commissies is er nog niet. Pas na een stemming in de commissie en in de plenaire vergadering start de triloog. De drie instellingen spraken in april 2026 af om alle vereenvoudigingspakketten tegen eind 2027 af te ronden. Voor een cookiebanner betekent dat: reken niet op een nieuwe regel in 2027, en zeker niet op een die al geldt.
Van voorstel tot een regel die geldt
- Positie van het ParlementITRE en LIBE stemmen over hun tekst, daarna de plenaire vergadering.
- TriloogParlement, Raad en Commissie onderhandelen over een gezamenlijke tekst.
- Goedkeuring en publicatieBeide instellingen keuren het akkoord goed, het verschijnt in het Publicatieblad.
- ToepassingDe regel geldt pas na de overgangstermijn uit de tekst. Tot dan geldt de huidige.
Wat de GBA vandaag vraagt
De Gegevensbeschermingsautoriteit leest de huidige regels streng. Naast "alles aanvaarden" hoort een even zichtbare knop om alles te weigeren wat niet strikt nodig is, op dezelfde laag. Kleur, lettergrootte of plaatsing die naar ja duwen, gelden als misleidend ontwerp. Een cookiemuur, die je site blokkeert voor wie weigert, mag niet. Ook analytische cookies vragen toestemming, ook die van je eigen domein: anders dan sommige toezichthouders in andere lidstaten aanvaardt de GBA daar geen uitzondering. Een keuze zes maanden onthouden noemt ze in beginsel redelijk, en intrekken moet even makkelijk zijn als toestemmen. Of je een banner nodig hebt, lees je in cookiebanner verplicht; wat er in je privacyverklaring hoort, in privacyverklaring verplicht.
Je banner, gelezen zoals de GBA hem leest
- Een weigerknop op de eerste laag, even zichtbaar als alles aanvaarden.
- Geen cookies, ook niet voor analyse, voor de bezoeker koos.
- Geen cookiemuur: je site werkt ook na een weigering.
- Een korte, eerlijke uitleg per soort cookie, en een link naar je privacyverklaring.
- De keuze later even makkelijk te wijzigen, bijvoorbeeld met een link in de footer.
Meten zonder cookies kan vandaag al
Een meting die geen cookies plaatst en geen persoonsgegevens bewaart, valt buiten de toestemmingsvraag, met of zonder omnibus. Voor Business Centrum bouwden we zo'n meting op AWS, met een Lambda en een database, die bezoeken en bronnen telt zonder cookie. Je ziet wat binnenkomt zonder banner voor analyse. Wie campagnes meet met een UTM-code in de link, leest de bron af zonder iets op het toestel van de bezoeker te bewaren.
Advertenties blijven aan je banner hangen
Advertentiecookies staan niet op de lijst van de Raad. Een Meta-pixel, remarketing en conversiemeting voor Google Ads blijven dus toestemming vragen, ook als de Raad zijn zin krijgt. Hoe Google omgaat met een bezoeker die weigert, lees je in consent mode in Google Analytics; hoe Meta conversies telt na een klik, in de nieuwe attributie van Meta. Een webshop die op advertenties draait, verdient het meest aan een vraag die bezoekers begrijpen en dus vaker met ja beantwoorden.
Ook in hetzelfde pakket: AI en datalekken
De Digital Omnibus is breder dan cookies. Het deel over AI is al wet: de Raad keurde het op 29 juni 2026 goed en het stelde de regels voor hoog-risico-AI uit, lees het uitstel van de AI-verordening. Het deel over gegevensbescherming en cyberincidenten ligt nog op tafel. Wie software of een platform beheert, volgt het samen met de meldplicht van de Cyber Resilience Act en de NIS2-deadline.