Vereenvoudiging van cookietoestemming: impact op bedrijven en adviseurs?

Sinds 2009 verplicht de Europese ePrivacy-richtlijn websites om een expliciete toestemming te verkrijgen alvorens cookies te plaatsen, behalve voor cookies die als “strikt noodzakelijk” worden beschouwd (artikel 5, § 3 van Richtlijn 2002/58/EG).

Het oorspronkelijke doel was duidelijk: gebruikers terug controle geven over hun persoonsgegevens. Maar in de praktijk is het mechanisme uitgemond in een routine van quasi-automatische klikken, tegenwoordig bekend als “toestemmingsmoeheid”.

Gezien deze afwijking stelt de Europese Commissie een hervorming voor die de procedures voor zowel gebruikers als bedrijven wil vereenvoudigen, terwijl het fundamentele recht op gegevensbescherming wordt gehandhaafd (artikel 8 van het Handvest van de grondrechten van de EU en AVG).

1. Het huidige systeem: tussen goede bedoelingen en praktische bezwaren

Het huidige kader is afgeleid van de ePrivacy-richtlijn uit 2002, gewijzigd in 2009, en de Algemene Verordening Gegevensbescherming (AVG).

Concreet vereist elke cookie die niet “strikt noodzakelijk” is (bijvoorbeeld voor statistische analyse of gerichte reclame) een voorafgaande, vrije, geïnformeerde en specifieke toestemming.

Dit regime heeft geleid tot een wildgroei aan banners, met verschillende gevolgen:

• een verslechterde gebruikerservaring, gekenmerkt door herhaalde klikken;
• een juridisch risico in geval van onvolledige implementatie (mogelijke boetes op basis van artikelen 5 en 6 AVG en artikel 82 ePrivacy);
• een belangrijke administratieve last, vooral voor KMO's, die hun tools voor toestemmingsbeheer moeten bijwerken.

2. Het hervormingsproject: naar een gecentraliseerde toestemming

In een mededeling van 16 september 2025 schetst de Europese Commissie een gecentraliseerd mechanisme:

• De gebruiker zou eenmalig zijn voorkeuren registreren, bijvoorbeeld in zijn browser of een geïntegreerde manager.
• Deze keuzes zouden automatisch in aanmerking worden genomen bij elk bezoek aan een website.

Het beoogde doel is tweeledig:

Deze hervorming maakt deel uit van het “Digital Omnibus”-programma, verwacht in december 2025, en beoogt een vermindering van 25% van de administratieve lasten in Europa, zelfs 35% voor KMO's.

3. Een delicate balans: vereenvoudiging versus gegevensbescherming

Hoewel de vereenvoudiging de digitale sector aanspreekt, maken verschillende ngo's gespecialiseerd in de bescherming van de privacy zich zorgen.

Volgens European Digital Rights (EDRi) zou het verbreden van het begrip “essentiële” cookies een opening kunnen creëren voor gerichte reclame, door de expliciete toestemming die door de AVG wordt vereist te verzwakken (artikel 7).

De uitdaging is dus om de categorieën cookies die zouden kunnen worden vrijgesteld voorzichtig te herdefiniëren, waarbij ervoor wordt gezorgd dat het doel “strikt noodzakelijk” niet te ruim wordt geïnterpreteerd.

4. Praktische gevolgen voor bedrijven en adviseurs

Voor bedrijven, inclusief accountantskantoren, zijn de implicaties meervoudig:

• Audit van cookies en trackers: identificatie van cookies die onder de strikte noodzaak vallen en diegenen die een expliciete toestemming vereisen.
• Herziening van de privacybeleid en de AVG-documentatie, inclusief de registers van verwerkingen (art. 30 AVG).
• Opvolging van technische ontwikkelingen: voorbereiding op de adoptie van tools of browsers die de gecentraliseerde toestemmingsbeheer integreren.

Voor accountants biedt dit project de mogelijkheid:

• klanten te begeleiden bij de beoordeling van de AVG-risico's;
• de aanpassingen te budgetteren op technisch of organisatorisch vlak;
• toe te zien op de juridische conformiteit, door de eventuele nationale verplichtingen te anticiperen (bijvoorbeeld, de rol van de Gegevensbeschermingsautoriteit in België).

5. Samenvattingstabel

6. Aanbevelingen voor de leden van de OECCBB

1. Klanten informeren: uitleggen dat de hervorming geen opheffing van de verplichtingen inhoudt, maar een evolutie in de uitvoering ervan.
2. De transitie anticiperen: een inventaris van cookies en de huidige tools voor toestemmingsbeheer opstellen.
3. De openbare raadpleging volgen (open tot 14 oktober 2025) om eventueel sectorale adviezen in te dienen, met name namens klanten die betrokken zijn bij reclame of e-commerce.
4. De privacybeleid en de registers van verwerkingen updaten zodra de definitieve teksten zijn gepubliceerd.

7. Samengevat

De aangekondigde Europese hervorming beoogt de behandeling van de toestemming voor cookies te vereenvoudigen, de administratieve last te verminderen en de gebruikerservaring te verbeteren. Het vereist echter wel juridische waakzaamheid, zodat de bescherming van persoonsgegevens, gegarandeerd door de AVG en het Handvest van de grondrechten van de EU, niet wordt verzwakt.

Voor accountants is de uitdaging tweeledig: bedrijven begeleiden bij de aanpassing van hun werkwijzen en aandacht blijven besteden aan de balans tussen vereenvoudiging en juridische conformiteit.

Wettelijke referenties en bronnen

• Richtlijn 2002/58/EG (ePrivacy), art. 5, §3.
• Verordening (EU) 2016/679 (AVG), art. 6 en 7 (toestemming) en art. 30 (register van verwerkingen).
• Mededeling van de Europese Commissie van 16 september 2025 over de vereenvoudiging van cookies, in het kader van het Digital Omnibus-project.
• Bijdragen en analyses aangehaald door Politico en European Digital Rights (EDRi).