Het korte antwoord
De cookieregel gaat over meer dan cookies. Hij geldt voor alle informatie die een website op het apparaat van een bezoeker zet of eruit leest: cookies, maar ook lokale opslag (localStorage), sessieopslag (sessionStorage) en fingerprinting. Of het om persoonsgegevens gaat, maakt niet uit. Dat besliste het Hof van Justitie van de EU in 2019 in de zaak Planet49.
Opslaan of uitlezen mag alleen met toestemming, op twee uitzonderingen na. Voor een chatwidget telt vooral de tweede: wat strikt noodzakelijk is om een dienst te leveren waar de bezoeker zelf om vroeg. Toezichthouders in Frankrijk, Duitsland en Ierland schrijven alle drie dat een bezoeker om de chat vraagt als hij die opent of gebruikt, niet als de pagina laadt. In de praktijk komt dat neer op drie regels:
- Zolang de bezoeker de chat niet opent, hoort de widget niets op zijn apparaat te zetten, tenzij hij toestemming gaf.
- Opent of gebruikt hij de chat, dan mag de widget doorgaans zonder toestemming bewaren wat het gesprek nodig heeft. Het Europese advies over deze uitzondering (Advies 04/2012) gaat ervan uit dat zulke waarden uiterlijk aan het einde van de sessie verdwijnen.
- Al het andere, zoals advertenties of een bezoeker herkennen die volgende week terugkomt, vraagt toestemming, op welk moment ook. Voor statistieken maakt Nederland een uitzondering als de meting geen of geringe gevolgen voor de privacy heeft; België kent die uitzondering niet.
Toestemming is maar één plicht. Je vertelt bezoekers daarnaast wat de widget bewaart, ook als daar geen toestemming voor nodig is: dat vragen de AP, de ACM en de GBA. En een chat verwerkt vaak persoonsgegevens, bijvoorbeeld om het gesprek bij te houden, zoals de Franse toezichthouder CNIL opmerkt. Dan geldt de AVG (GDPR): volgens de AP heb je een grondslag nodig en informeer je bezoekers goed. Hoe je dat opschrijft, lees je in onze voorbeeldtekst voor een privacyverklaring. Het grotere plaatje staat op onze pagina over de AVG, en waar de gesprekken bewaard worden is een vraag apart.
De regel: artikel 11.7a Telecommunicatiewet, en artikel 10/2 in België
In Nederland staat de cookieregel in artikel 11.7a van de Telecommunicatiewet. Informatie opslaan in de randapparatuur van een gebruiker, of toegang krijgen tot informatie die daar al staat, mag alleen als die gebruiker duidelijke en volledige informatie kreeg en toestemming gaf (lid 1). Lid 3 maakt twee uitzonderingen: voor opslag of toegang die alleen dient om de communicatie uit te voeren, en voor wat "strikt noodzakelijk is om de door de abonnee of gebruiker gevraagde dienst van de informatiemaatschappij te leveren". De Europese regel, artikel 5, lid 3 van de e-privacyrichtlijn, zegt in de kern hetzelfde.
Nederland heeft één uitzondering die de richtlijn niet kent. Ook opslag of toegang om "informatie te verkrijgen over de kwaliteit of effectiviteit" van een dienst mag zonder toestemming, "mits dit geen of geringe gevolgen heeft voor de persoonlijke levenssfeer". Daarop rusten de "beperkt analytische cookies" van de AP.
Twee toezichthouders kijken mee. De Autoriteit Consument & Markt (ACM) houdt toezicht op de cookieregel zelf (artikel 15.1, derde lid, van de Telecommunicatiewet). De Autoriteit Persoonsgegevens (AP) kijkt naar wat je met cookies aan persoonsgegevens verwerkt, onder de AVG. De AP deelt cookies in drie soorten in: functionele, beperkt analytische en overige, zoals trackingcookies. Alleen de eerste twee mogen zonder toestemming, en ook dan vertel je bezoekers dat ze er zijn. Verwerk je met zulke cookies persoonsgegevens, dan kun je je volgens de AP baseren op gerechtvaardigd belang, maar dan moet je een belangenafweging kunnen aantonen en moeten bezoekers er makkelijk bezwaar tegen kunnen maken.
In België staat dezelfde regel sinds 10 januari 2022 in artikel 10/2 van de wet van 30 juli 2018, de kaderwet. De Gegevensbeschermingsautoriteit (GBA) leest die ruim: ook een pixel, fingerprinting en local storage vallen eronder. Een Belgische uitzondering voor statistieken bestaat niet. Volgens de GBA vraagt publieksmeting toestemming, ook met eigen cookies (eerstepartijcookies). Wie een site voor Nederland en België heeft, houdt dus rekening met twee regels.
Wat als opslag telt, legt het Europees Comité voor gegevensbescherming (EDPB) uit in zijn richtsnoeren 2/2023 (versie 2.0, aangenomen op 7 oktober 2024):
- De regel gaat ook over "vergelijkbare technieken", niet alleen over cookies (§1).
- Er is geen ondergrens voor hoe lang informatie moet blijven staan om als opgeslagen te tellen (§37). Ook een waarde die verdwijnt als het tabblad sluit, is opgeslagen.
- JavaScript dat de browser informatie van het apparaat naar een server laat sturen, kan "toegang verkrijgen" zijn (§33).
- Informatie die een script alleen in de browser gebruikt, zonder dat ze het apparaat verlaat, is geen toegang (§44).
- Dat de regel van toepassing is, betekent nog niet automatisch dat je toestemming nodig hebt (§56).
De AP trekt het door naar de praktijk: haar vuistregels voor cookiebanners gelden ook voor niet-essentiële gegevens die je via local storage op het apparaat zet.
Opmerking. De regels kunnen veranderen. De Europese Commissie stelde op 19 november 2025 in haar 'Digital Omnibus' (COM(2025) 837) voor om de regel voor persoonsgegevens over te brengen naar een nieuw artikel 88 bis van de AVG: nog steeds met toestemming, met een uitzondering voor een dienst waar de betrokkene uitdrukkelijk om vroeg, weigeren met één klik en keuzes die de browser machineleesbaar kan doorgeven (artikel 88 ter). Op 25 oktober 2026 wacht het voorstel volgens het dossier van het Europees Parlement nog op een besluit in een parlementaire commissie. Het is geen wet, en dit artikel gaat uit van de regels die nu gelden.
Wat toezichthouders over chatwidgets zeggen
De AP en de GBA schrijven op hun cookiepagina's (gelezen op 25 oktober 2026) niets specifiek over chatfuncties. Drie andere toezichthouders doen dat wel, en ze zijn het eens over het moment dat telt: de bezoeker vraagt om de chat door iets te doen, niet door de pagina te laden.
| Toezichthouder | Waar | Wat er staat |
|---|---|---|
| CNIL (Frankrijk) | Advies over chatbots, 19 februari 2021 | Twee mogelijkheden. Wil je een cookie zetten voordat de chat geactiveerd is, dan vraag je eerst toestemming. Of je zet de cookie pas als de gebruiker de chatbot activeert, bijvoorbeeld met een klik op het chatvenster of op een knop die de chat opent. Dan is hij strikt noodzakelijk en is geen toestemming nodig, maar alleen als hij uitsluitend voor de chat dient. Elk ander doel vraagt toestemming. |
| DSK (Duitsland) | Handreiking voor aanbieders van digitale diensten, versie 1.2, november 2024, randnummer 76 | Een chat is, net als een contactformulier of een kaart, niet gewenst alleen omdat iemand de pagina opende. Bezoekers willen zo'n functie pas als ze haar gebruiken, bijvoorbeeld door op een chatbot te klikken. |
| DPC (Ierland) | Handleiding over cookies, april 2020, voorbeeld 3 | Cookies voor een chatfunctie mogen pas geplaatst worden als de bezoeker uitdrukkelijk vraagt om de chatbot te gebruiken. De zin erna zegt dat zulke cookies niet onder de uitzondering voor strikt noodzakelijke cookies vallen. Dat leest strenger dan de CNIL, of in elk geval minder duidelijk. |
Het Europese advies over deze uitzondering, Advies 04/2012 van de Artikel 29-werkgroep (toen het onafhankelijke Europese adviesorgaan voor gegevensbescherming), noemt chat niet. Het beschrijft wel waarden die bijhouden wat een gebruiker invoert in een reeks berichten met een dienstverlener, gezet door een handeling van de gebruiker en uiterlijk weg aan het einde van de sessie. Die zijn vrijgesteld. Bij een eenvoudige lezing past een chatgesprek daar goed in. Hetzelfde advies zegt dat je strikte noodzaak beoordeelt vanuit de gebruiker, niet vanuit de aanbieder, en dat een waarde met meer doelen alleen vrijgesteld is als elk doel dat is.
Ook de GBA noemt een verwant voorbeeld van vrijgestelde cookies: cookies die de gebruiker zelf activeerde, voor de duur van een sessie, om bij te houden wat hij invulde in een formulier van meerdere pagina's.
Beslistabel: welk gedrag van een widget toestemming vraagt
Dit zijn gangbare lezingen van de regels en richtsnoeren hierboven, met de verschillen tussen Nederland en België. Gebruik ze als begin van je eigen beoordeling, en laat je adviseur meekijken waar het ertoe doet.
| Wat de widget doet | Toestemming nodig? (gangbare lezing) | Wat je doet |
|---|---|---|
| Laadt bij het openen van de pagina een script van de leverancier dat cookies of andere opslag zet | Ja, voor alles wat bewaard wordt voordat de bezoeker om de chat vroeg (CNIL, DSK, DPC) | Laad de widget pas na toestemming, of pas na een klik op een eigen knop die de plaats van de chatknop inneemt |
| Zet een cookie of opslagwaarde als de bezoeker de chat opent of gebruikt, alleen voor de chat | Doorgaans niet, als die niet langer blijft dan de chat nodig heeft. Het voorbeeld van de Ierse DPC leest strenger, of in elk geval minder duidelijk | Noem hem in je cookie- of privacyverklaring, met hoe lang hij blijft |
| Houdt het gesprek na het eerste bericht bij in de sessieopslag | Doorgaans niet, om dezelfde reden. Sessieopslag telt als opslag, hoe kort ook | Vermeld het, en controleer of het weg is als het tabblad sluit |
| Stuurt chatgebeurtenissen naar statistiek- of advertentietools | Ja, in de regel. Nederland maakt een uitzondering voor meting met geen of geringe gevolgen voor de privacy (artikel 11.7a, lid 3); België niet | Zet het onder statistieken of marketing in je cookiebanner |
| Herkent een terugkerende bezoeker volgende week, met een blijvend id in een cookie of local storage | In de regel wel. Vrijgestelde waarden horen met de sessie te eindigen, of kort daarna. Een duidelijke keuze van de bezoeker, zoals een vinkje bij "onthoud dit gesprek", kan die toestemming zijn | Begin elk bezoek een nieuw gesprek, of maak onthouden een keuze van de bezoeker |
| Kiest het moment voor een proactief bericht door pagina's of tijd op de site te tellen, bewaard tussen pagina's | In de regel wel: de waarde dient om jouw bericht op het goede moment te tonen, niet iets waar de bezoeker om vroeg | Koppel het aan een toestemmingscategorie. Zonder toestemming toon je alleen wat de pagina zelf kan bepalen |
| Haalt script en instellingen van de server van de leverancier, zonder iets op te slaan | Niet uitgemaakt. De EDPB leest "toegang verkrijgen" ruim: een script dat de browser informatie van het apparaat laat versturen (§33), en soms het IP-adres (§55). Dat betekent volgens de EDPB niet automatisch dat toestemming nodig is (§56) | Noem de leverancier in je privacyverklaring en sluit een verwerkersovereenkomst met hem |
Elke chatwidget in vijf minuten controleren
Wat een leverancier op zijn helppagina schrijft, is wat hij bedoelt. De browser laat zien wat er gebeurt. In Chrome gaat het zo, en andere browsers hebben vergelijkbare tools. De namen hieronder zijn die van de Engelstalige versie.
- Open een incognitovenster en druk op F12 (op een Mac Cmd+Option+I) om de ontwikkelaarstools te openen. Vink in het paneel Network het vakje Preserve log aan, zodat verzoeken in de lijst blijven als de pagina wisselt.
- Laad een pagina met de widget en raak niets aan. Open onder Application en dan Storage de onderdelen Cookies, Local Storage en Session Storage, en klik elk domein aan dat er staat. Vergeet dat van de widget niet: een chat die in een frame draait, bewaart zijn opslag onder zijn eigen domein.
- Kies in het paneel Network voor More filters en dan 3rd-party requests. Noteer elk domein waarmee de pagina contact maakte voordat je iets deed.
- Open de chat zonder te typen en kijk opnieuw.
- Stuur één bericht en kijk weer.
- Sluit het tabblad, open de pagina opnieuw en kijk wat er overbleef. Een waarde in local storage, of een cookie die pas over maanden verloopt, overleeft het bezoek.
- Herhaal de stappen in een gewoon venster nadat je de gegevens van de site hebt gewist. Chrome blokkeert in een incognitovenster standaard cookies van derden, dus daar kan een widget er netter uitzien dan in een gewoon venster.
Noteer per gevonden item:
| Naam | Waar | Domein | Verschenen bij | Verloopt | Doel (vraag het de leverancier) |
|---|---|---|---|---|---|
| Voorbeeld: een bezoekersnummer | Sessieopslag | Het domein van de widget | Eerste bericht | Als het tabblad sluit | Houdt de berichten van één bezoek bij elkaar |
Wat bij het laden van de pagina verschijnt, hoort niets te zijn, of gedekt door toestemming. Wat later verschijnt, hoort alleen de chat te dienen. Wil je verder gaan, dan wijst de AP op het gratis programma voor website-audits van de EDPB: open source, voor de EDPB gemaakt door externe experts, en bedoeld om ook je eigen site mee te controleren.
Zo werkt de widget van ChatterLab
Dit doet de code van de widget op 25 oktober 2026. Controleer het met de test hierboven, in plaats van ons op ons woord te geloven.
- Voordat iemand klikt, tekent het script de chatknop en vraagt het de server van ChatterLab om de instellingen van de knop, zoals kleur en teksten, en om de afbeelding op je knop als je die gebruikt. Het verzoek om de instellingen gaat zonder cookies, en de widget plaatst er geen. Staat er geen
data-localeop je scripttag, dan stuurt dat verzoek ook de voorkeurstalen van de browser mee, beperkt tot de talen die de widget zelf spreekt (je ziet ze alshl=in het adres), zodat de knop de juiste taal spreekt. Volgens de ruime lezing van "toegang verkrijgen" door de EDPB kan dat al meetellen; metdata-localeop de tag gaat het niet mee. Er wordt dan niets in de browser van de bezoeker bewaard, tenzij je site de toestemming van je bezoekers doorgeeft en de begroeting of het tweede bericht aan staat (zie verder). - De chat zelf wordt pas geladen als een bezoeker hem voor het eerst opent, en het openen bewaart nog niets. Met het iframe-snippet, dat de chat in de pagina zelf zet, laadt de chat met de pagina mee, en ook dan wordt niets bewaard tot de bezoeker iets doet.
- De begroeting, een optioneel bericht naast de knop, werkt zonder toestemmingssignaal van je site. Ze verschijnt dan alleen op een pagina waar de bezoeker vanaf een andere site kwam. De widget kijkt dat na in de browser zelf, en er wordt niets voor verstuurd of bewaard.
- Het tweede bericht, een optionele uitnodiging later in het bezoek, moet pagina's of tijd tellen van de ene pagina naar de volgende. Daarom verschijnt het alleen als je site de toestemming van je bezoekers doorgeeft. Met die toestemming, en zolang een van beide berichten aan staat, bewaart de knop één waarde in de sessieopslag onder het adres van je eigen site,
chatterlab-visit-gevolgd door het id van je agent, tot het tabblad sluit. Onder welke categorie dat valt, beslis je zelf. Onze documentatie zegt dat het dichter bij marketing ligt dan bij iets waar de bezoeker om vroeg. - IP-adressen worden niet bewaard. Voor de berichtenlimiet houden we 24 uur een vingerafdruk van het adres bij, gemaakt met een sleutel die elke dag wisselt.
- Een boekingspagina van Calendly, als je die koppelt, opent pas in de chat als de bezoeker klikt om te boeken. Het is een pagina van Calendly zelf: neem die ook mee in je test.
Doet de bezoeker meer dan de chat openen, dan bewaart de chat waarden in de sessieopslag onder zijn eigen adres (het adres waar de chat vandaan komt, niet dat van je site). <id> is het id van je agent:
| Sleutel | Verschijnt als | Wat erin staat |
|---|---|---|
cl-visitor-<id> | Het eerste bericht, bestand of contactformulier verstuurd wordt | Een willekeurig bezoekersnummer, zodat de berichten en bestanden van één bezoek bij elkaar blijven |
cl-conversation-<id> | Het eerste antwoord binnenkomt | Het nummer van het gesprek, zodat het doorloopt na opnieuw laden of op een andere pagina |
cl-conversation-<id>-visitor | Samen met de vorige | Een lege waarde of, als je site bezoekers laat inloggen en hun token doorgeeft, jouw eigen id voor die bezoeker, zodat een gedeeld tabblad nooit het gesprek van iemand anders toont |
cl-lead-<id> | Je contactformulier, als dat vóór het eerste bericht komt, verstuurd of overgeslagen wordt | sent: met het id van de lead, of skipped, zodat het formulier niet opnieuw komt |
cl-ticket-<id> | Een ticket verstuurd wordt voordat het gesprek een nummer heeft | Het nummer van het ticket |
Ze verdwijnen allemaal als het tabblad sluit, dus een bezoeker die de volgende dag terugkomt, begint een nieuw gesprek. Dat is bewust zo. Blokkeert een browser deze opslag, dan werkt de chat toch; alleen het geheugen tussen pagina's gaat verloren.
Wat ChatterLab niet doet: het is geen cookiebanner of CMP, het kiest je categorieën niet, en het maakt je site niet vanzelf AVG-conform. Voor de gesprekken van je bezoekers ben jij de verwerkingsverantwoordelijke en zijn wij je verwerker. Gegevens en privacy zegt wat er over bezoekers bewaard wordt, waar en hoe lang; De widget installeren en Begroeting en tweede bericht leggen de tag en het toestemmingssignaal uit. Om de test op een eigen widget te doen, volstaat het gratis abonnement.
De widget pas na toestemming laden
Zet een widget toch iets voordat de bezoeker hem gebruikt, of wil je hem zo behandelen, dan kun je hem op twee manieren tegenhouden.
- Via je cookiebanner of CMP. Een Consent Management Platform (CMP) biedt vaak aan om gegevensverzameling te blokkeren tot er toestemming is, schrijft de AP. Zet de widget onder de categorie die past bij wat hij echt bewaart, en doe daarna de test van vijf minuten opnieuw. De AP waarschuwt ook dat de standaardinstellingen van een CMP in de praktijk vaak niet aan de AVG voldoen, en dat jij verantwoordelijk blijft.
- Achter een klik. Toon een eigen knop die eruitziet als een chatknop en die het script van de leverancier pas laadt als iemand erop klikt. De AP beschrijft hetzelfde idee voor social-mediaknoppen: niet-actieve, grijze knoppen waarop bezoekers bewust klikken om de plug-in aan te zetten. Bij een chat is die klik ook het moment waarop de CNIL en de DSK zeggen dat de bezoeker om de chat vraagt. Wat het script daarna voor andere doelen zet, vraagt nog steeds toestemming.
De eerste manier heeft een prijs: wie weigert of de banner negeert, ziet de chat nooit. De AP zegt dat weigeren geen nadelige gevolgen voor de bezoeker mag hebben, en de GBA dat een bezoeker geen diensten of voordelen geweigerd mogen worden omdat hij niet-functionele cookies weigerde. Dat pleit ertegen om de chat afhankelijk te maken van "alles accepteren". De tweede manier houdt de chat voor iedereen bereikbaar, zolang het geladen script niets zet wat de chat niet nodig heeft. En een widget die pas iets bewaart als de chat geopend is, en dan alleen wat het gesprek nodig heeft, hoef je misschien helemaal niet tegen te houden.
Vraag je wel toestemming, vermeld dan hoe lang elk item blijft en of derden erbij kunnen: dat eiste het Hof van Justitie in Planet49. Bij ChatterLab zet een site die elk script pas na toestemming laadt data-consent="true" op de scripttag. Een cookiebanner kan de keuze van de bezoeker op elk moment doorgeven met ChatterLab("consent", true) of false. Begroeting en tweede bericht geeft de details, met een voorbeeld voor Cookiebot.
Veelgemaakte fouten
- Sessieopslag vrijgesteld noemen omdat ze kort leeft. De EDPB kent geen minimale duur. Of een waarde vrijgesteld is, hangt af van waarvoor ze dient, met een levensduur die daarbij past; kort leven alleen is niet genoeg.
- De hele widget "strikt noodzakelijk" noemen. De bezoeker vraagt om de chat als hij die gebruikt, dus wat de chat bij het laden van de pagina zet, vraagt in de regel toestemming.
- Eén id voor twee taken. Een bezoekersnummer dat ook je statistieken voedt, is alleen vrijgesteld als elk doel dat is.
- Waarden die nooit verlopen. De Ierse DPC schrijft dat een sessiecookie die "voor altijd" blijft, niet in verhouding staat tot zijn functie.
- Op de standaardinstellingen vertrouwen. De AP schrijft dat de standaardinstellingen van een CMP vaak niet aan de AVG voldoen. Dat een leverancier zijn eigen cookie "functioneel" noemt, is een etiket, geen beoordeling.
- Toestemming die geen toestemming is. Vooraf aangevinkte vakjes (Planet49) en gewoon doorsurfen of doorscrollen (AP, GBA) zijn geen geldige toestemming. Op 16 juli 2024 maakte de AP een boete van 600.000 euro bekend voor het bedrijf achter Kruidvat.nl: de vakjes voor trackingcookies stonden standaard aangevinkt, en weigeren kostte veel stappen. Het bedrijf heeft bezwaar gemaakt tegen het besluit. Sinds april 2025 controleert de AP structureel; op 11 november 2025 meldde ze dat ze meer dan 200 websites had gewaarschuwd en dat ongeveer driekwart de cookiebanner had aangepast.
- Vrijgestelde opslag uit je verklaring weglaten. Geen toestemming betekent niet: geen informatie. De AP, de ACM en de GBA willen dat je bezoekers er ook over vertelt.
Vragen die website-eigenaren stellen
Heb ik alleen voor een chatbot een cookiebanner nodig?
Niet per se. Bewaart de widget niets voordat de bezoeker hem opent, en daarna alleen wat het gesprek nodig heeft, dan geldt die opslag in de richtsnoeren van toezichthouders doorgaans als vrijgesteld. Vermeld haar wel in je cookie- of privacyverklaring. Toestemming, en dus een manier om die te vragen, heb je in de regel nodig zodra de widget eerder iets bewaart, of opslag gebruikt voor advertenties, het herkennen van terugkerende bezoekers of statistieken die verder gaan dan een beperkte meting. Controleer het met de test van vijf minuten.
Valt sessionStorage onder de cookieregels?
Ja. De regel geldt voor alle informatie die op het apparaat wordt opgeslagen, en de EDPB kent geen minimale tijd dat die er moet staan. De Duitse toezichthouders noemen sessieopslag uitdrukkelijk, de AP en de GBA noemen local storage. Of je toestemming nodig hebt, hangt af van het doel. Een waarde die alleen een gesprek bij elkaar houdt nadat de bezoeker de chat opende, is doorgaans vrijgesteld. Dezelfde opslag om het moment van marketingberichten te kiezen, of voor statistieken die verder gaan dan een beperkte meting, is dat niet.
En de bezoeker die de chat nooit opent?
Voor die bezoeker bewaart een goed gebouwde widget niets op het apparaat, dus is er geen opslag om toestemming voor te vragen. Het script dat de knop tekent, komt wel van de server van de leverancier, en die ontvangt het IP-adres van de bezoeker, dat een persoonsgegeven kan zijn. Of dat verzoek op zich onder de toestemmingsregel valt, is niet uitgemaakt. Noem de leverancier hoe dan ook in je privacyverklaring en sluit een verwerkersovereenkomst.
Heeft de AI-melding toestemming nodig?
Nee. De toestemmingsregel gaat over opslaan op of uitlezen van het apparaat van de bezoeker, en een regel tekst die zegt dat hij met een AI praat, doet geen van beide. De melding komt uit een andere plicht: artikel 50 van de AI-verordening eist dat AI-systemen die met mensen praten zo gebouwd zijn dat mensen weten dat ze met een AI te maken hebben, tenzij dat duidelijk is. Voorbeeldteksten vind je in ons artikel over de AI-melding.
Mag ik de widget laden vóór de toestemming?
Doorgaans wel, als hij niets bewaart tot de bezoeker hem gebruikt. De adviezen van de CNIL, de DSK en de DPC over chat gaan over wat er gezet wordt voordat de bezoeker om de chat vraagt, en dan is dat niets. Zet de widget bij het laden van de pagina cookies of andere opslag, laad hem dan pas na toestemming, of pas na een klik op een eigen knop. Het verzoek aan de server van de leverancier zelf blijft een open vraag, die de EDPB per geval laat beoordelen.
Mag een chatbot me zonder toestemming herkennen bij een volgend bezoek?
In de regel niet. Vrijgestelde opslag mag niet langer blijven dan haar doel, en toezichthouders verwachten dat waarden die een gesprek bij elkaar houden met de sessie eindigen, of kort daarna. Een blijvend id waarmee een bezoeker volgende week herkend wordt, gaat verder dan waar die om vroeg, en vraagt dus toestemming. Een duidelijke eigen keuze van de bezoeker, zoals een vinkje bij "onthoud dit gesprek", kan die toestemming zijn. Zo schreef Advies 04/2012 het ook over vakjes als "onthoud mij".
Bronnen
- Telecommunicatiewet (BWBR0009950), artikelen 11.7a en 15.1, wetten.overheid.nl, gelezen op 25 oktober 2026.
- Cookies, Autoriteit Persoonsgegevens, gelezen op 25 oktober 2026.
- Cookies en uw organisatie: zorg voor een goed beleid, Autoriteit Persoonsgegevens, gelezen op 25 oktober 2026.
- Heldere cookiebanners, Autoriteit Persoonsgegevens, gelezen op 25 oktober 2026.
- Trackingcookies, Autoriteit Persoonsgegevens, gelezen op 25 oktober 2026.
- Boete van 600.000 euro voor tracking cookies op Kruidvat.nl, Autoriteit Persoonsgegevens, gelezen op 25 oktober 2026.
- AP: driekwart websites past misleidende cookiebanner aan na waarschuwing, onderzoek gestart naar weigeraars, Autoriteit Persoonsgegevens, gelezen op 25 oktober 2026.
- Cookies plaatsen, Autoriteit Consument & Markt, gelezen op 25 oktober 2026.
- Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, artikel 10/2, FOD Justitie (Justel), gelezen op 25 oktober 2026.
- Cookies en andere traceringsmiddelen, Gegevensbeschermingsautoriteit, gelezen op 25 oktober 2026.
- Cookie checklist, Gegevensbeschermingsautoriteit, gelezen op 25 oktober 2026.
- Richtlijn 2002/58/EG betreffende privacy en elektronische communicatie, geconsolideerde tekst van 19 december 2009, Publicatiebureau van de Europese Unie, gelezen op 25 oktober 2026.
- Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, versie 2.0, Europees Comité voor gegevensbescherming, gelezen op 25 oktober 2026.
- Opinion 04/2012 on Cookie Consent Exemption (WP 194), Artikel 29-werkgroep, gelezen op 25 oktober 2026.
- Arrest in zaak C-673/17, Planet49, 1 oktober 2019, Hof van Justitie van de Europese Unie, gelezen op 25 oktober 2026.
- Verordening (EU) 2024/1689 (AI-verordening), artikel 50, Publicatiebureau van de Europese Unie, gelezen op 25 oktober 2026.
- Chatbots : les conseils de la CNIL pour respecter les droits des personnes, CNIL, gelezen op 25 oktober 2026.
- Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten, versie 1.2, Datenschutzkonferenz, gelezen op 25 oktober 2026.
- Guidance note on cookies and other tracking technologies, april 2020, Data Protection Commission, gelezen op 25 oktober 2026.
- Voorstel voor een digitale-omnibusverordening, COM(2025) 837 final, voorgestelde artikelen 88 bis en 88 ter AVG, Europese Commissie, gelezen op 25 oktober 2026.
- Procedure file 2025/0360(COD), Digital Omnibus, Wetgevingsobservatorium, Europees Parlement, gelezen op 25 oktober 2026.
- EDPB website auditing tool, Europees Comité voor gegevensbescherming, gelezen op 25 oktober 2026.
- Open Chrome DevTools, Chrome for Developers, gelezen op 25 oktober 2026.
- View, add, edit, and delete cookies, Chrome for Developers, gelezen op 25 oktober 2026.
- View and edit local storage, Chrome for Developers, gelezen op 25 oktober 2026.
- View and edit session storage, Chrome for Developers, gelezen op 25 oktober 2026.
- Network features reference, Chrome for Developers, gelezen op 25 oktober 2026.
- Browse in Incognito mode, Google Chrome Help, gelezen op 25 oktober 2026.
- Window: sessionStorage property, MDN Web Docs, gelezen op 25 oktober 2026.
Zo is dit gemaakt: opgesteld met AI en daarna gecontroleerd tegen hoe ChatterLab echt werkt en tegen de bronnen die in het artikel staan. Een fout gezien? Mail naar management@sri-group.eu.