Joris DeeneJa. Artikel 105 van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit bepaalt dat de feiten verjaren vijf jaar na het plegen ervan, en dat enkel een daad van onderzoek of vervolging die termijn stuit. Een klacht die bij de Geschillenkamer blijft liggen, verdwijnt dus na vijf jaar, ook wanneer de cookiebanner op dat ogenblik nog altijd niet in orde is. In haar beslissing van 19 oktober 2026 seponeerde de Geschillenkamer om die reden een klacht uit mei 2020 tegen een webwinkel die cookies plaatste zodra de bezoeker verder surfte. Zij stelde wel vast dat de banner die daarna kwam, met enkel een knop “alles accepteren” en geen knop “alles weigeren”, evenmin voldeed, maar liet ook dat zonder gevolg omdat de website intussen was aangepast.
In het kort:
- De Geschillenkamer van de Gegevensbeschermingsautoriteit seponeerde op 19 oktober 2026 een cookieklacht van 11 mei 2020, omdat de feiten van vóór 7 september 2020 verjaard waren en de laatste daad van vervolging dateerde van september 2021.
- Een cookiebanner die op het eerste niveau enkel “alles accepteren” aanbiedt en geen “alles weigeren”, levert volgens de Geschillenkamer geen vrije toestemming op in de zin van de artikelen 4, 11), 6, lid 1, a) en 7 van de Algemene Verordening Gegevensbescherming (AVG) en artikel 5, lid 3 van de e-privacyrichtlijn.
- Wie zijn banner aanpast vóór de beslissing valt, met een zichtbare weigerknop en een even eenvoudige intrekking, kan rekenen op een seponering zonder sanctie, maar de vastgestelde inbreuk blijft in de beslissing staan.
De feiten
Op 11 mei 2020 diende een particulier een klacht in bij de Gegevensbeschermingsautoriteit tegen een onderneming met een webwinkel. Hij had de onderneming al op 11 februari 2020 en nogmaals op 11 mei 2020 gewezen op haar cookiebeleid, zonder inhoudelijk antwoord te krijgen. Zijn grief was dubbel: de website bood bezoekers geen mogelijkheid om cookies te aanvaarden of te weigeren, laat staan per categorie, en het cookiebeleid zei dat cookies automatisch werden geplaatst zodra de bezoeker na de landingspagina verder navigeerde.
De onderneming betwistte de feiten niet. Haar banner uit 2020 luidde dat de website functionele, analytische en trackingcookies gebruikte, ook van derde partijen voor gepersonaliseerde advertenties, en dat wie de website verder gebruikte daarmee akkoord ging. Volgens de onderneming was dat een uitdrukkelijke toestemming: bij het eerste bezoek en bij het klikken op de link “meer informatie” werden nog geen marketing- of trackingcookies geplaatst, en de bezoeker kon de site verlaten of zijn browser zo instellen dat cookies werden geblokkeerd.
Op 7 september 2020, vier maanden na de klacht, wijzigde de onderneming haar werkwijze. Sindsdien worden marketing- en trackingcookies pas geplaatst nadat de bezoeker daarvoor uitdrukkelijk toestemming heeft gegeven, en blijven zij achterwege zolang hij geen keuze maakt. De nieuwe banner bevatte op het eerste niveau een knop “alles accepteren” en een link “meer uitleg” die naar het tweede niveau leidde, waar de bezoeker zijn voorkeuren kon instellen.
De procedure verliep traag. De Eerstelijnsdienst verklaarde de klacht op 12 mei 2020 ontvankelijk; de Geschillenkamer besliste op 29 september 2021 dat het dossier klaar was voor behandeling ten gronde en legde de conclusietermijnen vast. De laatste conclusie van de onderneming kwam binnen op 22 december 2021. Daarna gebeurde er meer dan drie jaar niets. Pas op 5 februari 2025 vroeg de Geschillenkamer de klager of hij zijn klacht wilde handhaven. Dat wilde hij: volgens hem werden zijn cookievoorkeuren niet correct opgeslagen wanneer hij ze probeerde te wijzigen.
De beslissing
De Geschillenkamer sprak zich op 19 oktober 2026 uit, meer dan zes jaar na de klacht (GBA 19 oktober 2026, beslissing ten gronde nr. 285/2026). Zij behandelde twee vragen afzonderlijk: de feiten waarover de klacht ging, en de banner die de onderneming daarna invoerde.
De verjaring van de cookiepraktijk van vóór 7 september 2020
De Geschillenkamer stelde vooraf vast dat de gewraakte feiten dateren van vóór 7 september 2020 en dus meer dan zes jaar vóór de beslissing zijn beëindigd. Zij paste de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit toe in de versie van vóór 1 juni 2024, omdat het dossier vóór die datum was aangevat. Artikel 105 van die wet bepaalt dat de feiten verjaren vijf jaar na het plegen ervan en dat de verjaring uitsluitend wordt gestuit door daden van onderzoek of vervolging.
De laatste daad van vervolging dateerde volgens de Geschillenkamer van september 2021, toen zij het dossier gereed verklaarde en de partijen de conclusietermijnen meedeelde. De brief van 5 februari 2025 aan de klager, met de vraag of hij zijn klacht handhaafde, is volgens haar geen daad van onderzoek of vervolging en stuit de verjaring dus niet. De termijn was bijgevolg verstreken, en de Geschillenkamer seponeerde de grieven op grond van artikel 100, § 1, 1° van de wet, met verwijzing naar sepotgrond A.2 van haar sepotbeleid.
De cookiebanner zonder weigerknop na 7 september 2020
De Geschillenkamer liet het daar niet bij. Uit de conclusie van de onderneming van 10 november 2021 leidde zij af dat de banner na 7 september 2020 op het eerste informatieniveau enkel een knop “alles accepteren” bevatte, en geen knop “alles weigeren”. De bezoeker kon zijn voorkeuren pas instellen via de link “meer uitleg”, op het tweede niveau.
Voor het plaatsen van niet-strikt noodzakelijke cookies is een vrije, specifieke, geïnformeerde en ondubbelzinnige toestemming vereist, zo herinnerde de Geschillenkamer, op grond van de artikelen 4, 11), 6, lid 1, a) en 7 van de Algemene Verordening Gegevensbescherming (AVG/GDPR). Een banner die op het eerste niveau wel alles laat aanvaarden maar niet alles laat weigeren, voldoet daar volgens haar niet aan, omdat de keuze van de bezoeker dan niet vrij is. Zij steunde daarvoor op het verslag van de Cookie Banner Taskforce van het Europees Comité voor gegevensbescherming van 17 januari 2023. Diezelfde handelwijze schendt volgens haar ook artikel 5, lid 3 van de e-privacyrichtlijn, omdat het begrip toestemming in die richtlijn hetzelfde betekent als in de AVG, zoals de richtsnoeren 05/2020 over toestemming van het Europees Comité voor gegevensbescherming van 4 mei 2020 uiteenzetten.
Toch volgde geen sanctie. De Geschillenkamer raadpleegde de website op 6 oktober 2026 en stelde vast dat de banner intussen op het eerste niveau zowel een duidelijk zichtbare knop “accepteren” als een knop “weigeren” bevat, en dat de cookieverklaring een zichtbare mogelijkheid biedt om de voorkeuren aan te passen, zodat de toestemming even eenvoudig kan worden ingetrokken als gegeven, zoals artikel 7, lid 3 AVG vereist. Zij zag geen reden om te twijfelen dat de voorkeuren van de bezoeker nu correct worden opgeslagen, waarmee ook de resterende grief van de klager uit februari 2025 wegviel. Sancties of corrigerende maatregelen vond zij niet langer noodzakelijk of opportuun. Ook die historische inbreuk seponeerde zij op grond van artikel 100, § 1, 1° van de wet, ditmaal met verwijzing naar sepotgrond B.6 van haar sepotbeleid. De beslissing wordt gepubliceerd zonder de namen van de partijen.
Juridische analyse en duiding
Een stilstand van drie jaar bij de GBA zelf doet de klacht verjaren
Tussen de laatste conclusie van 22 december 2021 en de brief van 5 februari 2025 deed de Geschillenkamer niets in dit dossier. Die stilstand is niet aan de klager of aan de onderneming te wijten, en toch is het de klager die zijn klacht verliest. Artikel 105 van de wet van 3 december 2017 maakt daarin geen onderscheid: de termijn loopt vanaf de feiten, en alleen een daad van onderzoek of vervolging kan hem stuiten. De Geschillenkamer rekent haar eigen beslissing van 29 september 2021, waarmee zij het dossier gereed verklaarde, als zo’n daad, maar niet haar brief van februari 2025.
De tegenstem ligt voor de hand: de brief van 5 februari 2025 was wel degelijk een handeling in de procedure, uitgaande van het orgaan dat de zaak behandelt. Een ruime lezing van “daad van vervolging” zou die brief daaronder kunnen brengen, zodat een nieuwe termijn van vijf jaar begon te lopen en de beslissing van oktober 2026 ruim op tijd kwam. Die lezing houdt moeilijk stand. De brief richtte zich tot de klager en niet tot de onderneming, vroeg enkel of de klacht bleef bestaan, en bracht het dossier geen stap dichter bij een beslissing. De verjaring in artikel 105 is geleend uit het strafrecht, waar een daad van vervolging een handeling is die de zaak voor het vonnisgerecht brengt of daarop vooruitloopt. Een rappel aan de klager hoort daar niet bij. De Geschillenkamer koos dus voor de strikte lezing, en de huidige tekst van artikel 105 bevestigt haar: sinds de hervorming van 1 juni 2024 staat er uitdrukkelijk bij dat een stuitingsdaad een nieuwe termijn van dezelfde duur doet ingaan, wat de regel eerder verscherpt dan verzacht.
De les voor wie klaagt, is dat de klok niet stopt bij het indienen van de klacht. In dit dossier vielen de feiten in het voorjaar van 2020, de laatste stuiting in september 2021, en het einde van de termijn dus in september 2026. Had de Geschillenkamer haar beslissing enkele weken vroeger genomen, dan was de uitkomst anders geweest. Op het trage tempo van de Geschillenkamer heeft een klager geen vat, maar hij kan haar wel schriftelijk om een daad van onderzoek vragen wanneer het dossier stilvalt, en hij kan parallel de burgerlijke rechter aanspreken, want die weg staat naast de klacht open.
De weigerknop: de GBA stelt de inbreuk vast maar bestraft hem opnieuw niet
Na 7 september 2020 had de onderneming een banner met “alles accepteren” op het eerste niveau en een link naar de instellingen op het tweede. Dat is de meest voorkomende vorm van een gebrekkige cookiebanner, en de Geschillenkamer noemt hem hier zonder omwegen een inbreuk op de AVG en op de e-privacyrichtlijn. Een weigerknop is een knop waarmee de bezoeker op hetzelfde scherm en met dezelfde inspanning alle niet-noodzakelijke cookies kan afwijzen als waarmee hij ze kan aanvaarden. Het verslag van de Cookie Banner Taskforce van 17 januari 2023 noemt het ontbreken ervan in de punten 6 tot 8 een praktijk die geen vrije toestemming oplevert.
Opvallend is dat de Geschillenkamer die inbreuk opnieuw vaststelt zonder haar te bestraffen. Zij deed dat al in haar beslissing van 21 februari 2023 (GBA 21 februari 2023, beslissing ten gronde nr. 15/2023), waarin zij de aangepaste banner van de verweerder een stap in de goede richting noemde, maar de ontbrekende weigerknop enkel als aanbeveling meegaf omdat het verslag van de Taskforce pas na het sluiten van de debatten was verschenen. In 2025 volgde de beslissing tegen RTL Belgium, die wij eerder bespraken in onze blog over de ingetrokken cookieklacht: ook daar een seponering na aanpassing (GBA 1 september 2025, beslissing ten gronde nr. 138/2025). De beslissing van 19 oktober 2026 is de derde in die rij.
Dat patroon verdient een kanttekening. Wie de beslissingen leest als een signaal dat een ontbrekende weigerknop zonder gevolg blijft, leest ze verkeerd. In alle drie de zaken was de banner aangepast vóór de beslissing, en in de twee recentste ging de Geschillenkamer dat zelf na op de website. Sepotgrond B.6 van het sepotbeleid, die de Geschillenkamer hier toepast, is precies de grond voor een inbreuk die intussen is rechtgezet. De omgekeerde situatie, een website die op de dag van de beslissing nog altijd geen weigerknop heeft, is in die beslissingen niet aan de orde, en de redenering die de Geschillenkamer telkens herhaalt laat voor die situatie weinig ruimte. Dat de inbreuk in de motivering blijft staan, met naam en artikelnummers, is bovendien niet zonder belang: een latere klacht over dezelfde website begint niet van nul.
Doorsurfen is al sinds 2019 geen toestemming meer
Over de oorspronkelijke praktijk van de webwinkel, cookies plaatsen zodra de bezoeker na de landingspagina verder klikt, heeft de Geschillenkamer zich door de verjaring niet uitgesproken. Het verweer van de onderneming, dat het verder gebruik van de website een uitdrukkelijke toestemming was omdat bij het eerste bezoek nog niets werd geplaatst en de bezoeker de site kon verlaten, is daardoor onbeoordeeld gebleven. Het is nuttig te weten dat dit verweer elders al is verworpen.
Het Hof van Justitie oordeelde in het arrest Planet49 (HvJ 1 oktober 2019, C-673/17) dat een vooraf aangevinkt vakje geen geldige toestemming voor cookies oplevert, omdat de gebruiker een actieve handeling moet stellen. De richtsnoeren 05/2020 van het Europees Comité voor gegevensbescherming trekken dat door naar het scrollen of navigeren op een website: dat voldoet in geen geval aan de eis van een duidelijke actieve handeling. De Geschillenkamer zelf verwierp de “doorsurfen is akkoord”-banner in de zaak tegen Telenet (GBA 12 februari 2021, beslissing ten gronde nr. 19/2021) en in de zaak tegen de persgroep Rossel (GBA 16 juni 2022, beslissing ten gronde nr. 103/2022), telkens omdat uit één handeling van de bezoeker twee toestemmingen werden afgeleid, voor het gebruik van de site en voor de cookies, zodat de toestemming niet specifiek was. In België is de cookieregel sinds 10 januari 2022 bovendien in de wet zelf geschreven: artikel 10/2 van de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens laat het plaatsen van informatie op de eindapparatuur van een gebruiker enkel toe na duidelijke informatie en na toestemming, met als enige uitzondering de strikt noodzakelijke technische opslag.
Ook de aangekondigde Europese vereenvoudiging verandert daar niets aan. De Raad van de Europese Unie legde op 21 oktober 2026 zijn onderhandelingspositie over het voorstel van digitale omnibusverordening vast en behield daarin de cookieregels van de e-privacyrichtlijn, met enkel bijkomende doeleinden waarvoor geen toestemming nodig is, zoals audiencemeting en de beveiliging van het toestel, zo blijkt uit het persbericht van de Raad. Wat dat voorstel eerder beoogde, bespraken wij in onze blog over het einde van de cookiebanner. Het Europees Parlement moet zijn standpunt nog bepalen; tot de nieuwe tekst is aangenomen en omgezet, blijft de weigerknop verplicht.
Wat betekent dit concreet?
Voor wie een website of webshop uitbaat. De maatstaf is duidelijk en wordt door de Geschillenkamer nu voor de derde keer herhaald: op het eerste scherm van de cookiebanner staan een knop om alle niet-noodzakelijke cookies te aanvaarden en een even zichtbare knop om ze te weigeren, zonder omweg via “instellingen” of “meer uitleg”. Een knop “doorgaan” of “oké” die enkel aanvaardt, voldoet niet, en een banner die verdwijnt wanneer de bezoeker verder scrolt, evenmin. Daarnaast moet de bezoeker zijn keuze later even eenvoudig kunnen intrekken als hij ze gaf, bijvoorbeeld via een vaste link in de cookieverklaring of in de voettekst, en moet die keuze ook echt worden opgeslagen. Toets uw website dus niet alleen op de tekst van de verklaring, maar op wat de banner technisch doet; de eisen die het gegevensbeschermingsrecht aan toestemming stelt, vindt u op onze overzichtspagina.
Komt er toch een klacht, dan loont het om de banner meteen aan te passen en de Geschillenkamer daarvan in de conclusies te laten weten. In deze zaak, in de zaak RTL en in de zaak van 2023 volstond dat voor een seponering zonder boete. Reken daar evenwel niet blind op: de Geschillenkamer stelt de inbreuk wel vast, en bij een aanhoudende of herhaalde inbreuk heeft zij het volledige arsenaal van artikel 100 van de wet van 3 december 2017, van een berisping tot een administratieve geldboete. Twijfelt u of uw banner en uw cookieverklaring de toets doorstaan, dan is die technische en juridische doorlichting het eerste wat wij voor u nagaan; wie een klacht of een vraag van de Geschillenkamer ontvangt, laat zich best meteen bijstaan door een advocaat gespecialiseerd in GDPR.
Voor wie klaagt bij de GBA. Een klacht indienen is gratis en eenvoudig, maar de klager heeft daarna weinig greep op het tempo. In dit dossier verstreken ruim zes jaar tussen de klacht en de beslissing, en die traagheid kostte de klager zijn zaak. Wie het belangrijk vindt dat de inbreuk ook formeel wordt vastgesteld, bewaart zelf het bewijs van de gewraakte praktijk (schermafbeeldingen met datum, de tekst van de banner en van de cookieverklaring, het resultaat van een cookiescan), herinnert de Geschillenkamer schriftelijk aan het dossier wanneer het stilvalt, en overweegt een vordering voor de burgerlijke rechter, die naast de klacht kan lopen.
Veelgestelde vragen (FAQ)
Hoelang kan de GBA een klacht over cookies behandelen voor ze verjaart?
Vijf jaar na de feiten, volgens artikel 105 van de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit. Enkel een daad van onderzoek of vervolging stuit die termijn en doet een nieuwe termijn van vijf jaar lopen. Het indienen van de klacht, de conclusies van de partijen of een brief aan de klager volstaan daarvoor niet. Is de cookiepraktijk stopgezet en zijn er daarna vijf jaar zonder stuiting verstreken, dan seponeert de Geschillenkamer de klacht wegens verjaring.
Is een weigerknop verplicht op een cookiebanner?
Ja. Voor niet-strikt noodzakelijke cookies is een vrije toestemming nodig, en die ontbreekt wanneer de bezoeker op het eerste scherm wel alles kan aanvaarden maar niet alles kan weigeren. De Geschillenkamer van de Gegevensbeschermingsautoriteit noemde dat op 19 oktober 2026 opnieuw een inbreuk op de AVG en op de e-privacyrichtlijn, op basis van het verslag van de Cookie Banner Taskforce van het Europees Comité voor gegevensbescherming. De knoppen “accepteren” en “weigeren” horen dus naast elkaar op het eerste niveau.
Mijn cookiebanner zegt dat verder surfen geldt als toestemming. Mag dat?
Nee. Toestemming vereist een duidelijke actieve handeling van de bezoeker, zo besliste het Hof van Justitie in het arrest Planet49 van 1 oktober 2019 voor vooraf aangevinkte vakjes, en zo zeggen de richtsnoeren 05/2020 van het Europees Comité voor gegevensbescherming uitdrukkelijk over scrollen en navigeren. De Belgische Geschillenkamer verwierp die banner in de zaken Telenet (2021) en Rossel (2022) omdat uit één klik twee toestemmingen werden afgeleid. Vervang zo’n banner door een echte keuze.
Ontsnap ik aan een boete als ik mijn cookiebanner aanpas nadat er een klacht is ingediend?
Vaak wel, maar niet gegarandeerd. In de beslissingen van 2023, 2025 en 2026 seponeerde de Geschillenkamer telkens zonder sanctie omdat de banner vóór de beslissing was aangepast, op grond van sepotgrond B.6 van haar sepotbeleid. De inbreuk blijft echter in de beslissing vastgesteld, en artikel 100 van de wet van 3 december 2017 laat de Geschillenkamer toe om een berisping, een bevel of een geldboete op te leggen wanneer zij dat noodzakelijk of opportuun acht. Pas uw banner dus aan vóór er een klacht komt, niet erna.
Conclusie
De beslissing van 19 oktober 2026 leert twee dingen tegelijk. Een klacht bij de Gegevensbeschermingsautoriteit verjaart in België vijf jaar na de feiten, ook wanneer de vertraging volledig bij de Geschillenkamer ligt, zodat een klager die de inbreuk wil laten vaststellen zelf alert moet blijven. En een cookiebanner zonder weigerknop op het eerste scherm is een inbreuk op de AVG en op de e-privacyrichtlijn, die de Geschillenkamer voor de derde keer vaststelt zonder haar te bestraffen, telkens omdat de website vóór de beslissing in orde was gebracht. Wie zijn banner vandaag aanpast, koopt daarmee geen vrijstelling, maar wel een sterke uitgangspositie.
ICT Rechtswijzer is het kennisplatform van het departement intellectuele eigendom, IT-recht, AI-recht, gegevensbescherming en mediarecht van Everest Advocaten, onder leiding van mr. Joris Deene. Onze advocaten begeleiden website-uitbaters bij de doorlichting en de aanpassing van hun cookiebanner en cookieverklaring, en staan ondernemingen en betrokkenen bij in klachtprocedures voor de Geschillenkamer van de Gegevensbeschermingsautoriteit.
Dutch 
English