Heb ik een cookiebanner nodig met Nvivio?

Kort gezegd. In de cookiemodus heb je toestemming nodig, in beide landen. In de privacymodus (standaard) bewaart Nvivio niets op het toestel van je bezoeker. In Nederland heeft de wet een uitzondering voor analytics met geen of weinig gevolgen voor de privacy, en de privacymodus van Nvivio is gebouwd om daarin te passen. In België bestaat zo’n uitzondering niet, en de toezichthouder vraagt toestemming voor analytics, zelfs voor zijn eigen cookieloze tool. Of de cookieregel daar überhaupt geldt voor meten zonder cookies, is niet uitgeklaard. Deze pagina helpt je beslissen; ze is geen juridisch advies, en de toezichthouders hieronder hebben het laatste woord.

Twee soorten regels

Bezoeken meten raakt aan twee soorten regels. Ze gelden naast elkaar.

1. De cookieregel. Informatie op het toestel van een bezoeker bewaren, of toegang krijgen tot informatie die er al op staat, vraagt de toestemming van de bezoeker, tenzij het strikt noodzakelijk is voor een dienst waarom de bezoeker vroeg. Dat komt uit artikel 5, lid 3, van de e-privacyrichtlijn. In België is dat artikel 10/2 van de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (tot 2022 artikel 129 van de wet betreffende de elektronische communicatie); in Nederland artikel 11.7a van de Telecommunicatiewet. Het geldt voor elke techniek, niet alleen voor cookies. In zijn richtsnoeren 2/2023 over de technische reikwijdte van artikel 5, lid 3 (definitieve versie van 7 oktober 2024) leest het Europees Comité voor gegevensbescherming (EDPB) het ruim: een script dat de browser informatie over het toestel laat versturen, kan ook “toegang krijgen” zijn.

2. De AVG. Verwerk je persoonsgegevens, zoals een gepseudonimiseerde bezoekerscode, dan heb je een rechtsgrond nodig (artikel 6) en moet je je bezoekers informeren (artikels 13 en 14). Voor eenvoudige statistieken over je eigen website is die grond meestal je gerechtvaardigd belang (artikel 6, lid 1, f)), na een afweging tegen de belangen van je bezoekers en met een manier om bezwaar te maken (artikel 21).

Wat Nvivio doet in privacymodus

Dit zijn de feiten die jij of je adviseur kunnen afwegen:

• Geen cookies, geen local storage, niets bewaard op het toestel. Het script leest alleen of de bezoeker bezwaar maakte (de cookie _nvivio_sid=0, die er alleen is als de bezoeker die zelf zette door het vakje uit te vinken).
• Het script leest het adres en de titel van de pagina, de verwijzende pagina, de breedte van het scherm en de taal van de browser, en stuurt die met het verzoek naar nviv.io.
• Het IP-adres en de browser worden in het geheugen gebruikt, samen met een sleutel die elke dag verandert, om een bezoeker maar één dag te herkennen. Het IP-adres wordt nooit bewaard; de dagsleutel wordt na 26 uur verwijderd. Niemand wordt over dagen of websites heen gevolgd.
• Adressen worden opgeschoond: onbekende parameters vallen weg, e-mailadressen in paden worden vervangen.
• De data wordt in de EU bewaard, alleen voor jou verwerkt onder onze verwerkersovereenkomst, en nooit met derden gedeeld voor hun eigen doeleinden.
• Browsers die Global Privacy Control sturen, worden niet gemeten. Bezoekers kunnen bezwaar maken met één vakje op je privacypagina.

Nederland

Artikel 11.7a, lid 3, onder b, van de Telecommunicatiewet stelt cookies en vergelijkbare technieken vrij van toestemming als ze nodig zijn om informatie te krijgen over de kwaliteit of de effectiviteit van een website, zolang ze geen of weinig gevolgen hebben voor de privacy van bezoekers. De Rijksoverheid geeft analytics als voorbeeld. De Autoriteit Consument & Markt (ACM) houdt toezicht op de cookieregel; de Autoriteit Persoonsgegevens (AP) op de AVG.

Onze kijk: de privacymodus van Nvivio is gebouwd om in deze uitzondering te passen: hij bewaart niets op het toestel, identificeert geen bezoekers, volgt ze niet over dagen of websites heen, houdt het IP-adres uit de opslag en deelt niets met anderen. Je moet je bezoekers wel informeren en een rechtsgrond hebben onder de AVG (zie Wat je in elk geval doet).

België

Het Belgische recht heeft geen uitzondering voor analytics. De Gegevensbeschermingsautoriteit (GBA) houdt toezicht op zowel de cookieregel als de AVG. Haar cookie-checklist en haar beslissingen (zoals beslissing 85/2022 van de Geschillenkamer) behandelen analytische cookies als cookies die voorafgaande toestemming vragen. Op haar eigen website gebruikt de GBA een cookieloze analysetool pas nadat bezoekers toestemming gaven.

Voor zover we weten, heeft de GBA geen beslissing gepubliceerd over meten zonder cookies zoals de privacymodus van Nvivio. Er zijn twee lezingen:

• Eng: de cookieregel gaat over informatie op het toestel bewaren of uitlezen wat daar bewaard is. De privacymodus van Nvivio doet geen van beide (behalve het bezwaar dat de bezoeker zelf zette), dus alleen de AVG geldt, en gerechtvaardigd belang kan de grond zijn.
• Ruim, in lijn met de richtsnoeren van het EDPB: een script dat de browser de schermbreedte en de taal laat versturen, krijgt toegang tot informatie op het toestel. Zonder uitzondering in het Belgische recht heb je dan toestemming nodig.

Onze kijk: we kunnen je niet zeggen welke lezing de GBA of een rechter zou volgen. Richt je website zich vooral op bezoekers in België en wil je geen enkel risico, laad Nvivio dan pas nadat je bezoekers toestemming gaven (je cookiebanner laadt dan het script), of vraag het aan je eigen adviseur. Meet je zonder toestemming, baseer dat dan op je eigen afweging, leg die vast, en doe alles uit het volgende deel.

In cookiemodus

De cookiemodus bewaart een cookie met een code op het toestel, ongeveer 13 maanden, om bezoekers over dagen heen te herkennen. Daarvoor is toestemming nodig volgens de cookieregel, in beide landen.

• Roep nvivio.consent() aan in je cookiebanner zodra een bezoeker toestemming geeft. Tot dan telt Nvivio de bezoeker zoals in privacymodus, zonder de cookie.
• Gebruik data-consent="none" niet waar toestemming nodig is.
• Maak weigeren even makkelijk als aanvaarden, en laat bezoekers hun toestemming op elk moment intrekken.

Wat je in elk geval doet

1. Vermeld Nvivio in je privacyverklaring. Bijvoorbeeld:

   We gebruiken Nvivio, een dienst voor webanalyse van Monto Bleu BV (België), om bezoeken aan onze website te tellen en te zien hoe ze gebruikt wordt. Nvivio gebruikt geen cookies, bewaart je IP-adres niet en volgt je niet over dagen of andere websites heen. De gegevens worden in de Europese Unie bewaard en alleen in onze opdracht verwerkt. We doen dit op basis van ons gerechtvaardigd belang om onze website te begrijpen en te verbeteren. Bezoeken worden [termijn van je plan] bewaard. Je kunt hieronder bezwaar maken.

   In cookiemodus zeg je in plaats daarvan dat Nvivio één cookie gebruikt om je bij latere bezoeken te herkennen, alleen na je toestemming, voor ongeveer 13 maanden.

2. Zet het bezwaarvakje op je privacypagina: <script defer src="https://nviv.io/optout.js"></script>. Zie de documentatie (in het Engels).

3. Houd je register bij. Zet Nvivio in je register van verwerkingsactiviteiten (artikel 30 AVG). Onze verwerkersovereenkomst geldt automatisch; haar bijlagen beschrijven de verwerking en de beveiligingsmaatregelen.

4. Leg je afweging vast als je op gerechtvaardigd belang steunt, of op de Nederlandse uitzondering.

5. Kijk af en toe de pagina’s van de toezichthouders na; over de regels wordt op Europees niveau gesproken. In november 2025 stelde de Europese Commissie wijzigingen voor (de “Digital Omnibus”); tot een wijziging aangenomen en in werking is, gelden de regels hierboven.

De toezichthouders

• België: Gegevensbeschermingsautoriteit, cookie-checklist en gegevensbeschermingsautoriteit.be.
• Nederland: Autoriteit Persoonsgegevens, ACM en het antwoord van de Rijksoverheid op mag een website ongevraagd cookies plaatsen?
• EU: Europees Comité voor gegevensbescherming, richtsnoeren 2/2023 over de technische reikwijdte van artikel 5, lid 3, van de e-privacyrichtlijn (in het Engels).

We keken deze bronnen na op 25 oktober 2026. Deze pagina legt de regels uit zoals wij ze begrijpen; ze is geen juridisch advies en vervangt geen advies voor jouw situatie. We zijn niet aansprakelijk voor beslissingen die je erop baseert.

Versies

• 1.0, 25 oktober 2026: eerste versie.