Cookiebanner zonder weigerknop verjaard en rechtgezet, oordeelt GBA
Een klacht uit 2020 over automatisch geplaatste trackingcookies leidde na zes jaar niet tot een boete. De GBA seponeert het dossier wegens verjaring en spontaan herstel.
Foto: Patryk Rejdych (opent in nieuw tabblad) op Unsplash (opent in nieuw tabblad)
Korte samenvatting
De Gegevensbeschermingsautoriteit seponeert een klacht over een website die cookies plaatste zodra een bezoeker verder navigeerde. De oorspronkelijke feiten uit 2020 zijn verjaard door het verstrijken van de vijfjarige verjaringstermijn zonder stuitende onderzoeks- of vervolgingsdaden sinds september 2021. Een latere versie van de cookiebanner bevatte weliswaar op het eerste niveau enkel een knop om cookies te accepteren, wat strijdig is met de AVG, maar de onderneming paste dit intussen vrijwillig aan met een volwaardige weigerknop.
Bron: GBA 19 oktober 2026, 285/2026. (opent in nieuw tabblad)
Wie een website bezoekt, moet niet-noodzakelijke cookies even gemakkelijk kunnen weigeren als aanvaarden op het allereerste informatieniveau. Dat bevestigt de Geschillenkamer in een dossier over een webwinkel die pas na een klacht uit 2020 haar cookiebeleid stapsgewijs in overeenstemming bracht met de regels.
De klager stapte in mei 2020 naar de privacytoezichthouder omdat een website cookies plaatste zodra een bezoeker verder scrolde of doorklikte. De websitebeheerder paste het systeem in september 2020 aan, maar bood op het eerste scherm enkel een knop om alles te accepteren. Om cookies te weigeren, moesten gebruikers doorklikken naar een tweede informatieniveau.
De verweerder voerde aan dat de initiële inbreuk al jaren geleden was stopgezet en dat de websitebezoeker steeds via de browserinstellingen cookies kon blokkeren.
Vijfjarige verjaringstermijn
De Geschillenkamer van de Gegevensbeschermingsautoriteit (GBA) stelt vast dat de oorspronkelijke feiten dateren van vóór september 2020. Aangezien de laatste daad van vervolging plaatsvond in september 2021, trad na vijf jaar de verjaring in op grond van artikel 105 van de oprichtingswet van de toezichthouder. Een loutere vraag aan de klager begin 2025 om te bevestigen of hij de klacht handhaafde, stuitte die verjaringstermijn niet.
Daarnaast bevestigt de GBA haar vaste lijn over geldige toestemming onder de Algemene Verordening Gegevensbescherming (AVG). Een cookiebanner die op het eerste niveau wel een acceptatieknop heeft maar geen weigerknop, ontneemt de gebruiker een vrije keuze.
Toch legt de toezichthouder geen sanctie op voor die latere inbreuk. Uit een controle in oktober 2026 blijkt immers dat de website inmiddels over een volwaardige weigerknop op het eerste scherm beschikt. Omdat de onderneming de inbreuk zelf herstelde, is verdere handhaving volgens de GBA niet opportuun.
Websitebeheerders moeten ervoor zorgen dat weigeren op het eerste scherm net zo makkelijk is als accepteren. Wie zijn cookiebanner intussen conform de richtsnoeren heeft ingericht, kan aan sancties ontsnappen wanneer historische inbreuken tijdig zijn hersteld of door tijdsverloop zijn verjaard.
Dit artikel is gegenereerd met behulp van kunstmatige intelligentie, op basis van het originele brondocument: GBA 19 oktober 2026, 285/2026. (opent in nieuw tabblad) Lees meer over hoe we bij Ex Ante werken met kunstmatige intelligentie.