Winkelwagen, betaalprovider, Analytics, Meta Pixel en Google Ads: welke cookies van een webshop vallen onder de functionele uitzondering en welke vragen toestemming? Met praktische regels voor WooCommerce en Shopify.

Een webshop plaatst meer cookies dan een gewone website: winkelwagen, sessie, betaalprovider, reviews, Analytics, pixels van Meta, Google en TikTok, e-mailmarketing. Een deel daarvan mag zonder toestemming, een deel niet. Wie het verschil niet kent, blokkeert te veel (en breekt de checkout) of te weinig (en overtreedt de cookiewet). Dit artikel zet de categorieën op een rij, met voorbeelden uit WooCommerce en Shopify.

De functionele uitzondering

De cookiewet (artikel 11.7a Telecommunicatiewet) maakt een uitzondering voor cookies die strikt noodzakelijk zijn om een dienst te leveren waar de bezoeker uitdrukkelijk om vraagt. Voor een webshop vallen daar in elk geval onder:

  • Winkelwagen en sessie: in WooCommerce woocommerce_cart_hash, woocommerce_items_in_cart en wp_woocommerce_session_*; in Shopify cart, cart_sig, cart_ts en _secure_session_id.
  • Inloggen en account: de inlogcookie en de beveiligingstoken.
  • Betalen: cookies van Mollie, Adyen, PayPal of Stripe tijdens de betaling, inclusief fraudepreventie die voor de transactie nodig is.
  • Taal, land en valuta: bijvoorbeeld localization in Shopify.
  • De cookievoorkeur zelf: de cookie waarin de keuze van de bezoeker staat.
  • Loadbalancing en beveiliging: cookies van je hosting of CDN die nodig zijn om de shop te laten werken.

Deze cookies worden nooit geblokkeerd en staan in de cookieverklaring onder functioneel of noodzakelijk.

Statistiek: het hangt van de instelling af

Shopify’s eigen analytics (_shopify_y, _shopify_s) en WooCommerce-orderattributie (sbjs_*) meten bezoek en herkomst. Google Analytics 4 meet veel meer en deelt standaard gegevens met Google. In Nederland mag statistiek met geringe privacygevolgen zonder toestemming, mits privacyvriendelijk ingesteld. Voor GA4 betekent dat: verwerkersovereenkomst, IP-adressen maskeren, gegevens delen met Google uit, geen koppeling met Google Ads. Zodra je GA4 koppelt aan Ads of remarketing gebruikt, is het marketing en vraag je toestemming. De veilige keuze voor een webshop die adverteert: statistiek als aparte categorie in de banner, met toestemming.

Marketing: altijd toestemming

  • Meta Pixel (_fbp, fr): remarketing en conversiemeting op Facebook en Instagram.
  • Google Ads (_gcl_au, IDE): conversiemeting en remarketing.
  • TikTok Pixel (_ttp), Pinterest, Microsoft Ads.
  • E-mailmarketing met tracking, zoals Klaviyo (__kla_id) of Mailchimp.
  • Affiliate-tracking van netwerken als Awin, Daisycon of TradeTracker.
  • Personalisatie en reviews die profielen opbouwen over meerdere sites.

Deze scripts moeten wachten tot de bezoeker marketing accepteert. Een banner alleen is niet genoeg: zonder scriptblokkering vuren pixels bij het laden van de pagina.

Conversiedata behouden

De angst van iedere webshop: minder toestemming betekent minder meetbare conversies. Twee maatregelen dempen dat:

  1. Google Consent Mode v2. Bij weigering stuurt Google Ads cookieloze signalen en modelleert het de ontbrekende conversies. Je campagnes blijven stuurbaar.
  2. Server-side meten met respect voor de keuze. De Conversions API van Meta en server-side tagging kunnen bestellingen doorgeven zonder browsercookies, maar alleen als de klant toestemming gaf voor marketing. Koppel de consentstatus dus ook aan je server-side events.

De checkout

De banner geldt in de hele shop, maar op de checkout moet hij klein en terughoudend zijn: nooit over de bestelknop, geen volledig scherm. Een bezoeker die al koos, ziet hem niet opnieuw. Bij Shopify draait de checkout in de omgeving van Shopify; daar bepalen de instellingen van Shopify Customer Privacy het gedrag, dus stem die af op je banner. Bij WooCommerce staat de checkout gewoon op je eigen domein en gelden je eigen instellingen.

Checklist voor webshops

  • Scan de shop inclusief winkelwagen, checkout en bedankpagina; daar staan de meeste pixels.
  • Functionele cookies van winkelwagen en betaling nooit blokkeren; wel vermelden.
  • Statistiek als aparte categorie; GA4 privacyvriendelijk instellen of onder toestemming plaatsen.
  • Alle pixels en e-mailmarketingscripts onder marketing, geblokkeerd tot akkoord.
  • Google Consent Mode v2 aan voor Google Ads en Analytics.
  • Consentstatus doorgeven aan server-side tagging en de Conversions API.
  • Cookieverklaring met per cookie naam, aanbieder, doel en bewaartermijn; automatisch bijgewerkt na iedere scan.

Hoe je dit per platform inricht, staat op de pagina’s cookiebanner voor WooCommerce en cookiebanner voor Shopify.

Veelgestelde vragen

Mag ik de winkelwagencookie plaatsen zonder toestemming?

Ja. Cookies die nodig zijn om een dienst te leveren waar de bezoeker zelf om vraagt, zoals een winkelwagen of een betaling, vallen onder de functionele uitzondering. Vermeld ze wel in je cookieverklaring.

Mag ik een bestelling meten in Google Ads zonder toestemming?

Conversiemeting met cookies vraagt toestemming. Met Google Consent Mode v2 krijgt Google Ads bij weigering cookieloze signalen en modelleert het de ontbrekende conversies, zodat je toch een beeld houdt.

Geldt de banner ook op de checkout?

Ja, de toestemming geldt voor de hele shop. Een bezoeker die al koos, ziet de banner niet opnieuw. Zorg dat de banner op de checkout nooit de bestelknop afdekt.