Het argument waar de toezichthouder naar greep

De Belgische Gegevensbeschermingsautoriteit probeerde als leidende toezichthoudende autoriteit een cookieklacht af te sluiten zonder de cookiebanner ooit te bekijken. Haar voorstel was de zaak af te wijzen als rechtsmisbruik op grond van de artikelen 77 en 80, lid 1, AVG. De klacht betrof de toestemmingsbanner van de Vlaamse Radio- en Televisieomroeporganisatie, de Vlaamse publieke omroep, en kwam van noyb, de privacyorganisatie die op grote schaal klachten indient via de vertegenwoordigingsroute van artikel 80, lid 1, AVG.

De Oostenrijkse gegevensbeschermingsautoriteit maakte bezwaar. Dat bezwaar haalde het dossier uit België en bracht het in het coherentiemechanisme, en daarom besliste uiteindelijk het Europees Comité voor gegevensbescherming op grond van artikel 65, lid 1, onder a), AVG in plaats van dat de Belgische autoriteit de zaak gewoon afsloot.

Het resultaat is Bindend besluit 1/2026. Het werd op 28 mei 2026 vastgesteld en op 14 juli 2026 gepubliceerd. De vaststelling is de oudere gebeurtenis. De publicatie op 14 juli is wat de redenering onder ogen bracht van iedereen die in de Europese Unie een banner voert.

Wat het Comité op 28 mei besliste

Het Europees Comité voor gegevensbescherming zag geen rechtsmisbruik, en het oordeelde dat geen van beide elementen die zo'n vaststelling vereist, aanwezig was. Onder toepassing van de maatstaven van het Hof van Justitie van de Europese Unie oordeelde het dat noch het objectieve element noch het subjectieve element vervuld was.

Vervolgens droeg het de leidende toezichthoudende autoriteit op de klacht ten gronde te beoordelen en op grond van artikel 60, lid 3, AVG een nieuw ontwerpbesluit in te dienen. Voor dat nieuwe ontwerp is geen termijn genoemd.

Zorgvuldig gelezen is dit een procedurele uitspraak en niets meer. Zij schept geen regel over het ontwerp van banners. Zij stelt geen fout van de omroep vast. Er is inhoudelijk niets beslist, er is geen sanctie bepaald, en de vraag of de banner rechtmatig was, staat precies waar zij in 2021 stond, wachtend op een antwoord.

Volume maakt een mandaat niet verdacht

Er is zojuist een procedurele nooduitgang dichtgegaan, en het was juist die waar de meeste exploitanten stilletjes op rekenden. Het argument had een voor de hand liggende aantrekkingskracht. Deze klacht is er een uit duizenden van een activistische organisatie, dus behandel je de indiening zelf als het gebrek en wijs je af. Een nationale toezichthouder heeft dat argument als leidende autoriteit werkelijk gevoerd. Het Comité verwierp het in een bindend besluit.

Het principe luidt volgens de berichtgeving dat een geldig mandaat op grond van artikel 80, lid 1, AVG niet verdacht wordt louter omdat de vertegenwoordigende organisatie op grote schaal opereert. Die formulering komt uit de berichtgeving over het besluit en niet uit de tekst van het besluit, en verdient om die reden voorzichtigheid. Aan de uitkomst zelf bestaat geen twijfel.

Het gevolg voor een ondernemer is direct. Uw blootstelling op een toestemmingsbanner wordt beslist door het ontwerp van de banner, niet door wie erover klaagde of hoeveel klachten die partij indiende. Elke verdediging die op de identiteit of de doorvoer van de klager is gebouwd, is nu een verdediging waarmee een leidende autoriteit het heeft geprobeerd en verloren.

Vijf jaar in de wachtrij, en nog steeds levend

De klacht werd op 10 augustus 2021 ingediend. Pas nu, bijna vijf jaar later, gaat zij terug voor een inhoudelijk besluit. Zij lag in een wachtrij, en dat liggen veranderde niets aan haar status.

De les die wij eruit trekken is dat een sluimerende klacht haar volle kracht behoudt. Een banner die u in 2023 heeft hersteld, ruimt de klacht niet op die iemand indiende tegen de versie die u in 2021 voerde. Ga ervan uit dat de versie die u jaren geleden uitrolde nog steeds beoordeelbaar is, want in deze zaak is zij dat.

Wat dit verandert op uw site

Werk vanuit de aanname dat de banner die u jaren geleden voerde nog steeds beoordeelbaar is, en niet vanuit de ouderdom van uw archief. Als u de toestemmingsinterface niet kunt tonen zoals die er in 2021 of 2022 uitzag, kunt u niet laten zien wat een toezichthouder feitelijk zou beoordelen, en discussieert u over een scherm dat u niet meer heeft.

Houd daarom geversioneerde vastleggingen bij van de banner zelf. De formulering, de hiërarchie van de knoppen, de standaardinstellingen, de laag waarop weigering werd aangeboden. Dat zijn de dingen waar een inhoudelijke beoordeling naar kijkt, en dat zijn de dingen die in stilte veranderen zodra een toestemmingsplatform een update uitrolt.

En stop met het lezen van een aantal ingediende klachten als risicosignaal. Hoeveel klachten een organisatie indient, zegt u niets over de vraag of die tegen u wordt behandeld. Bindend besluit 1/2026 wijst erop dat dat gebeurt.

Lees hierna: De EU herschrijft de AVG  |  Een eerste inzageverzoek kan al misbruik zijn