E-commerce-compliance

WooCommerce: je cookies zijn aangebrand

Je hebt een banner geïnstalleerd, in gedachten het vakje "conform" aangevinkt, en bent weer gaan verkopen. Het probleem is dat die banner bij de meeste winkels die we auditen net zoveel nut heeft als een op de muur geschilderde brandblusser: het stelt gerust, het redt niets.

Fred Gaveau17 juni 2026~11 min leestijd

Je hebt het gedaan zoals iedereen. Het punt is dat "iedereen" het mis heeft. Goed nieuws toch: het is bijna nooit de schuld van WooCommerce. En het is te repareren.

De waarheid in twee zinnen

Kaal WooCommerce staat niet buiten de wet vanwege zijn cookies: winkelwagen en sessie zijn doorgaans te verdedigen als "strikt noodzakelijk". De ellende begint zodra je daar analytics, advertentiepixels, retargeting, heatmaps en winkelwagenherinneringen bovenop stapelt — en al dat speelgoed afgaat voordat de bezoeker ja heeft gezegd.

Vertaling: de boosdoener is niet de kassa, het zijn de bespieders die eraan zijn vastgeplakt.

De "eerlijke" WooCommerce-cookies

WooCommerce plaatst functionele cookies — woocommerce_cart_hash, woocommerce_items_in_cart, wp_woocommerce_session_ — om de winkelwagen te volgen en server-side terug te vinden. Ze bevatten niet rechtstreeks persoonsgegevens.

En dáár loop je tegen de lamp: "geen persoonsgegevens in de cookie" betekent niet "buiten de AVG". Een unieke identificator die achter de schermen aan een winkelwagen, een account of een bestelling is gekoppeld, draagt bij aan de identificatie van een persoon. De AVG schaart online identificatoren, cookies inbegrepen, trouwens onder wat iemand identificeerbaar maakt. De cookie speelt de onschuldige; de server weet heel goed wie je bent.

Kortom:

• cart_hash, items_in_cart, wp_woocommerce_session_ → strikt noodzakelijk, zonder opt-in, zolang ze niet stiekem voor marketing worden gebruikt.
• woocommerce_recently_viewed → bij voorbaat verdacht. Voedt hij aanbevelingen, retargeting of een tool van derden, behandel hem dan als niet-essentieel.

Aan WordPress-kant geldt dezelfde logica: authenticatiecookies (noodzakelijk), maar commentaarcookies (comment_author_*) die bijna een jaar bewaard blijven en volkomen nutteloos zijn voor een aankoop. Te vermelden, of beter nog te ontslaan.

De Europese spelregels: twee sloten, één sleutel volstaat niet

In Europa controleer je geen één deur, maar twee:

1. Het plaatsen of lezen van de tracker valt onder ePrivacy (in Frankrijk artikel 82 van de wet Informatique et Libertés) — zelfs als de cookie geen enkel persoonsgegeven bevat.
2. Wat je met de verzamelde gegevens doet valt onder de AVG.

Het fundament is niet veranderd, en het is genadeloos voor slimmeriken: doorklikken geldt niet als toestemming; er is een duidelijke positieve handeling nodig; en elke draai anders dan een onomwonden "ja" — de banner sluiten bijvoorbeeld — telt als een weigering. Vooral: weigeren moet net zo eenvoudig zijn als aanvaarden. De truc met een knalgroene "Accepteren"-knop en een "Weigeren" verstopt drie submenu's lager is uitgewerkt.

Sommige trackers zijn vrijgesteld (winkelwagen, authenticatie, beveiliging, en een sterk ingekaderde publieksmeting). Maar — een detail dat velen vergeten — vrijgesteld betekent niet onzichtbaar: je moet de internetgebruiker er nog steeds over informeren.

De 7 plagen van het niet-conforme WooCommerce

1. Alles "noodzakelijk" dopen. De winkelwagen, prima. Google Analytics, Meta Pixel, TikTok Pixel, Hotjar, Criteo, Google Ads en affiliatie, zeker niet. "Noodzakelijk" is geen synoniem van "handig voor mijn marketing".
2. De geniepige banner. "Alles accepteren" in het groot, weigeren in het piepklein, voorafgevinkte vakjes, en geen enkel bewijs van toestemming. Design dat we beleefd dark pattern noemen, en onbeleefd oplichterij.
3. Schieten vóór het startschot. De grote klassieker: Tag Manager, Meta Pixel en de analytics gaan af vóór de klik. De banner komt dan aan als de brandweer na de brand.
4. Het retargeting. Verlaten winkelwagen, gedragsgestuurde herinnering, advertentiedoelgroepen, conversiepixels → toestemming verplicht. Een klant door het web achtervolgen met de schoenen die hij gisteren bekeek, vraag je beleefd.
5. De "grijze" analytics. Publieksmeting kan vrijgesteld zijn, maar onder strakke voorwaarden (beperkt doel, geen tracking tussen sites, geen kruising, geen doorverkoop). Veel GA4-configuraties missen dit en weten het.
6. De gulzige CAPTCHA. Noodzakelijk voor de beveiliging, kan hij vrijgesteld zijn; maar als de leverancier zich onderweg bedient voor zijn eigen zaken, komt de toestemming weer op tafel.
7. De valse "first-party". Een tracker van derden via een eigen subdomein laten lopen maakt hem niet eerlijk — het vermomt de tracker, het vrijwaart hem niet, en het voegt er bovendien een beveiligingsrisico aan toe.

Voorbij de banner: privacy voor het echie

Drie dure dode hoeken:

• Sessiebeveiliging: HTTPS, de attributen Secure, HttpOnly, SameSite goed ingesteld, extensies up-to-date. Een slecht beveiligde sessiecookie is een sleutel onder de deurmat.
• De cache: Winkelwagen, Mijn account en Bestellen buiten de cache, punt. Anders riskeer je de winkelwagen — of erger, de gegevens — van de ene klant aan de andere te serveren. WooCommerce herhaalt het luid genoeg.
• De extensies: betaling, verzending, CRM, nieuwsbrief, reviews, fraudebestrijding… elk kan derden besproeien met gegevens. Eén voor één te auditen.

Verkoop je in het buitenland? Welkom in de regelgevende toren van Babel

Zodra je de grens oversteekt, speel je niet meer met één regel maar met vier — en ze vragen niet hetzelfde op hetzelfde moment. De nuance die pijn doet: in orde zijn in Parijs beschermt je noch in Sacramento, noch in Montreal.

🇪🇺 Europese Unie — de strengste sheriff

Opt-in-model: niets niet-essentieels vóór een duidelijke toestemming, en een weigering net zo eenvoudig als een "ja". Het is het referentieregime, dat waar de anderen naar kijken — vaak door de kopie te kopiëren. Als je hier kraakhelder bent, heb je het zwaarste al achter de rug.

🇩🇪 Duitsland — Europa, dubbel slot en perfectionistische versie

Ook opt-in, maar Duitsland doet nooit iets half: twee teksten parallel, de TDDDG (ex-TTDSG, § 25, voor het plaatsen van de cookie) en de DSGVO (de lokale AVG, voor het gebruik van de gegevens). Rechtsgrond dus in tweevoud.

De banner moet Accepteren en Weigeren gelijkwaardig tonen vanaf het eerste scherm (richtsnoer van de DSK). En de rekening prikt: tot 300.000 € per overtreding op grond van de TDDDG, bovenop de AVG-plafonds.

Lokale noviteit, de EinwV (van kracht sinds 1 april 2025) creëert erkende toestemmingsdiensten — de gebruiker stelt zijn voorkeuren één keer in, de deelnemende sites respecteren ze. Het idee is de zondvloed aan banners droog te leggen. Het is facultatief: niemand wordt gedwongen zich erop aan te sluiten.

🇺🇸 Californië (CCPA/CPRA) — het schaap met vijf poten: opt-out

Compleet andere logica. Californië eist geen voorafgaande opt-in: het werkt op "we waarschuwen, jij verzet je". Concreet:

• een link "Do Not Sell or Share My Personal Information";
• het in aanmerking nemen van het browsersignaal Global Privacy Control (GPC) als verzet.

Nieuw in 2026: nieuwe regels van de CPPA zijn op 1 januari van kracht geworden. Zich verzetten mag niet meer stappen vergen dan accepteren (de jacht op dark patterns is de Atlantische Oceaan overgestoken), en het bedrijf moet bevestigen dat het verzet wel degelijk is verwerkt, GPC inbegrepen. Het geheel richt zich op bedrijven boven ~$26,6 M omzet, of die 100.000+ Californiërs verwerken, of die 50 %+ van hun inkomsten halen uit de doorverkoop van gegevens.

🇨🇦 Quebec (Wet 25 (Quebec)) — Europa spreekt ook Frans

De Wet 25 (Quebec) eist een uitdrukkelijke, duidelijke en geïnformeerde toestemming vóór elke niet-essentiële cookie — analytics, pixels, scripts van derden inbegrepen. De puur informatieve banner en het "als je doorgaat, accepteer je" worden afgewezen. Er is bovendien privacy by default nodig (niet-essentiële tracking standaard uit) en het bewaren van het bewijs van de toestemming. Gepeperde nota bij een misstap: tot 25 M CA$ of 4 % van de wereldwijde omzet.

Het memo om boven het scherm te plakken

Moraal: een CMP "alleen Europa" laat je in Californië in je hemd staan, en een aanpak "opt-out op z'n Amerikaans" zet je buitenspel in Europa én in Quebec. Je hebt een geo-adaptieve CMP nodig: opt-in voor de EU, Duitsland en Quebec; opt-out + GPC voor Californië. Een regelgeving met variabele geometrie verdient een banner met variabele geometrie.

De checklist die je in de browser controleert (niet op je woord)

Compliance lees je niet in het cookiebeleid — je stelt het vast in de console (F12 → Application → Cookies, en het tabblad Netwerk). De rest is literatuur.

Vóór elke klik:

• Alleen strikt noodzakelijke cookies zijn geplaatst (winkelwagen, sessie, beveiliging).
• Geen GA4, Meta Pixel, Tag Manager, Hotjar of advertentiepixel is gestart.

Na "Alles weigeren":

• Geen enkele niet-vrijgestelde marketing-/analyticstracker gaat af. De weigering blokkeert de scripts; ze veegt niet alleen de banner onder het tapijt.

Na "Alles accepteren":

• Alleen de aangekondigde trackers worden actief. Geen verstekelingen.

CMP-instellingen:

• "Alles accepteren" en "Alles weigeren" gelijkwaardig, granulaire keuzes, blokkering vóór toestemming, bewijs bewaard, intrekken net zo eenvoudig als aanvaarden.
• Geo-adaptatie: opt-in (EU / Duitsland / Quebec) vs opt-out + GPC (Californië).
• Google Consent Mode v2 actief als je GA4 gebruikt.
• WordPress Consent API benut door je plugins (nuttig — maar ze doet het werk niet helemaal alleen).

Eerlijk papierwerk:

• Cookiebeleid = je echte cookies (naam, domein, doel, duur, categorie, verantwoordelijke, derden, rechtsgrond, doorgifte buiten de EU, intrekking) — geen kopie-plak uit een generator.
• Privacybeleid dat de echte WooCommerce-verwerkingen dekt (account, bestelling, verzending, betaling, facturatie, support, reviews, marketing, fraudebestrijding, bewaartermijnen).
• Winkelwagen / Mijn account / Bestellen uitgesloten van de cache.
• Lijst van verwerkers en doorgiften buiten de EU up-to-date gehouden.

De koningsfout van 2026 blijft het generieke privacybeleid dat een generator uitbraakt, dat noch je verwerkers, noch je doorgiften buiten de EU, noch je echte bewaartermijnen kent. Bij een klacht is dat het eerste stuk dat men omdraait — en het meest bezwarende.

Aan de kassa

Helemaal kaal WooCommerce komt prima weg qua cookies. Aangekleed WooCommerce — premium-thema, Tag Manager, pixels, analytics, CAPTCHA, reviews, chat, winkelwagenherinnering — kantelt snel in de illegaliteit als niets wordt geauditeerd of geblokkeerd vóór toestemming. En zodra je de grenzen oversteekt, jongleer je met meerdere regimes die elkaar beleefd tegenspreken.

Niemand kan een site certificeren zonder zijn echte cookies, zijn echte netwerkverzoeken, zijn extensies en zijn CMP te inspecteren. Dat is precies wat een privacyvriendelijke analyticstool je zou moeten toestaan: je bezoekers tellen zonder je mee te tellen onder de overtreders.

Bijgewerkt in juni 2026. Dit artikel informeert; het vervangt noch een audit noch een advocaat — twee dingen die geen enkele cookiebanner ooit heeft vervangen. Belangrijkste bronnen: CNIL (richtsnoeren en cookieaanbeveling, FAQ april 2026), WooCommerce-documentatie, TDDDG / DSGVO en EinwV (Duitsland), CCPA/CPRA en CPPA-regels 2026 (Californië), Wet 25 (Quebec). De punten met een voorbehoud moeten door een jurist van de betrokken jurisdictie worden gevalideerd voordat je een beslissing neemt.