Waarom gratis toestemmingsbanners falen: TCF en Toestemmingsmodus v2

Een banner is niet hetzelfde als compliant zijn

Conzent voert een geautomatiseerde controle uit op bedrijfswebsites voordat we contact met hen opnemen. Het laadt gewoon de site en kijkt wat er gebeurt, niets opdringerigs. In een recente batch van sites die al een cookie-banner hadden geïnstalleerd, stelde ongeveer een derde van hen nog steeds cookies in voordat de bezoeker een keuze maakte.

Dat is geen kritiek op die bedrijven. Elk van hen installeerde een banner omdat ze compliant wilden zijn. Ze hebben alleen geen manier om te controleren of het daadwerkelijk werkt, omdat de fout niet op het scherm verschijnt. De banner verschijnt nog steeds, zegt nog steeds de juiste dingen en doet stilletjes niets achter de schermen.

Dit is de kloof die een gratis tool bijna nooit sluit: het kan je een banner tonen, maar het kan niet bewijzen aan Google, aan advertentienetwerken of aan een toezichthouder dat de keuze daadwerkelijk werd gerespecteerd.

Wat "werkelijk compliant" vereist

Een goed compliant systeem doet twee dingen tegelijk. Ten eerste spreekt het de gedeelde taal van de advertentie-industrie, genaamd het IAB Transparency and Consent Framework, of TCF. Beschouw TCF als een regelboek waar elke advertentiebedrijf mee heeft ingestemd: wanneer een bezoeker ja of nee zegt, registreert TCF die keuze in een formaat dat elk van die bedrijven kan lezen, zodat niemand hoeft te gissen.

Tweede, het vertelt Google specifiek wat de bezoeker heeft gekozen, via Google Consent Mode v2. Dit is apart van TCF: het is Google's eigen kanaal naar zijn eigen tools, zoals Google Ads en Analytics. Zonder dit worden je advertentie- en analysecijfers na verloop van tijd slechter, omdat Google niets nuttigs kan doen met een signaal dat het niet begrijpt.

Een gratis banner doet meestal geen van deze dingen goed. Het onthoudt een klik op je eigen site en stopt daar. Niets vertelt de advertentiebedrijven, en niets vertelt Google. Zo eindig je met een banner die er goed uitziet terwijl je gegevens stilletjes kapot gaan.

Waarom dit blijft veranderen, en waarom dat het echte werk is

Beide standaarden bewegen, en iemand moet bijhouden. TCF is in 2025 overgestapt naar versie 2.3, en de advertentie-industrie is al weer overgestapt naar versie 2.4, die verplicht wordt voor web-banners op 23 oktober 2026. Google heeft in juni 2026 weer veranderd hoe Consent Mode werkt. Dit is geen eenmalige setup. Het is de werkelijke reden waarom gratis tools achterblijven: niemand houdt elke wijziging bij en verzendt de update voor de deadline.

Conzent draait vandaag al op TCF v2.4. Voor zover we hebben kunnen controleren, zijn we hiermee vooruit op de markt: de grote namen in deze ruimte, waaronder Cookiebot en Usercentrics, tonen nog steeds alleen de oudere 2.2 of 2.3 standaard in hun openbare materiaal. Dat is precies het soort dingen dat je niet zelf zou moeten bijhouden, en met Conzent hoef je dat niet.

Wat het kost om dit verkeerd te doen

Dit is niet hypothetisch. In september 2025 boette de Franse gegevensbeschermingsautoriteit Shein 150 miljoen euro en Google 325 miljoen euro, op dezelfde dag, voor dezelfde fundamentele fout: cookies die werden geactiveerd voordat bezoekers toestemming gaven, en die bleven afgaan nadat ze nee zeiden. Shein had een banner. Het deed alleen niet wat het beweerde.

Als je bezoekers in de VS hebt, ziet het risico er anders uit, maar het is net zo reëel. Twintig staten hebben nu hun eigen privacywetten, en elf daarvan vereisen dat je automatisch een browser-niveau opt-out signaal genaamd Global Privacy Control respecteert. Een banner die alleen een klik op je eigen site onthoudt, kan dat ook niet afhandelen.

Waarom we Conzent op deze manier hebben gebouwd

Conzent is IAB TCF en Google gecertificeerd, en we houden het actueel naarmate die standaarden veranderen, inclusief de TCF v2.4-update waar de meeste van de markt nog niet op is ingesprongen. Het is gebouwd op open source, zodat je nooit vastzit aan een platform waar je niet vanaf kunt, en je kunt binnen enkele minuten een volledig compliant banner live hebben, zonder dat er een ontwikkelaar nodig is.

Als je momenteel op Cookiebot, Usercentrics, CookieYes of iets dergelijks zit, is de vraag die je moet stellen niet of je een banner hebt. Het is of je kunt bewijzen dat het doet wat het zegt. Als je het niet zeker weet, is het de moeite waard om dit te controleren voordat een toezichthouder of een advertentieplatform dit voor je controleert.

Een banner die niet werkt is erger dan geen banner

Hier is het deel waar ik sterk over voel. Een site zonder banner kan beschuldigd worden van niet beter weten. Een site met een banner die niet werkt, heeft bewezen dat het wist dat toestemming vereist was, erom vroeg en vervolgens het antwoord toch negeerde. Elke "afwijzen" klik die je eigen banner registreerde terwijl cookies bleven afgaan, is een record dat tegen je werkt, niet voor je.

Een cookie-banner is een belofte aan je bezoekers. Als je site die belofte bij elke paginaweergave verbreekt, heb je geen compliance opgebouwd. Je hebt bewijs opgebouwd.

De meeste van de sites in onze controle zijn niet opzettelijk zorgeloos. Ze installeerden een banner, zagen deze verschijnen en gingen er redelijk van uit dat het werk gedaan was. Dat is precies het probleem: de fout is onzichtbaar voor jou en volledig zichtbaar voor iedereen, inclusief de automatische controles van een toezichthouder.