Cookiebanner: wanneer verplicht, en hoe het goed moet.

01Wanneer je een cookiebanner nodig hebt

De regel staat in artikel 11.7a van de Telecommunicatiewet. Wil je iets opslaan op het apparaat van je bezoeker, of daar iets uitlezen, dan moet je hem eerst duidelijk informeren en moet hij toestemming geven. Dat geldt voor cookies, en volgens de AP ook voor local storage, trackingpixels, web beacons en fingerprinting.

Voor een website tellen vooral twee uitzonderingen: wat strikt noodzakelijk is voor de dienst waar je bezoeker om vraagt, zoals een winkelmand, en het meten van de kwaliteit of effectiviteit van je site, zolang dat geen of geringe gevolgen heeft voor de privacy.

Gebruik je alleen functionele cookies, dan heb je volgens de AP geen banner nodig. Volg je bezoekers over andere websites, dan vraag je altijd eerst toestemming.

02De regels voor geldige toestemming

Toestemming telt volgens de AP alleen als je bezoeker vrij, specifiek, geïnformeerd en ondubbelzinnig kiest, met een actieve klik. Een bezoek aan je site is geen toestemming. In de praktijk komt dat neer op acht regels:

• Eerst informeren. Op de eerste laag staat wie de gegevens verwerkt en waarvoor. De rest mag een laag dieper.
• Per doel. Vraag apart toestemming voor elk doel, zoals statistieken of advertenties.
• Actief. Vooraf aangevinkte vakjes en doorscrollen tellen niet.
• Weigeren net zo makkelijk als accepteren. Op dezelfde laag, even zichtbaar en zonder extra klikken.
• Vrij. Een cookiewall mag volgens de AP niet. Wie weigert, mag er geen nadeel van hebben.
• Niets vooraf. Trackingcookies en -scripts laden pas na een ja, en na een nee niet.
• Intrekken net zo makkelijk als geven. Op elk moment, gratis en zonder nadelen. Vertel vóór de keuze hoe het werkt.
• Aantoonbaar. Je moet kunnen laten zien dat iemand toestemming gaf.

Een verwijzing naar je voorwaarden of privacyverklaring is geen toestemming. Die verklaring vult je banner wel aan: daar leg je uit welke cookies je gebruikt, welke gegevens je verzamelt, met wie je ze deelt en hoe lang je ze bewaart.

03Goed en fout: zo ziet een banner eruit

Hieronder zie je ontwerpen die vaak voorkomen, met het oordeel van de AP of van de Cookie Banner Taskforce van de Europese privacytoezichthouders (januari 2023). De punten verwijzen naar het rapport van die taskforce.

04Wat de Autoriteit Persoonsgegevens controleert

Het toezicht is verdeeld. De ACM legt de cookieregel uit en is het loket voor algemene vragen en klachten over cookies. Over trackingcookies en persoonsgegevens gaat de Autoriteit Persoonsgegevens, en die controleert cookiebanners steeds vaker.

In 2024 onderzocht de AP vijf veelbezochte sites, uit sectoren zoals de financiële sector, de media en de horeca. Alle vijf overtraden de regels: een verstopte weigerknop, vakjes die al aan stonden, of cookies vóór de keuze of na een nee. Na het ingrijpen van de AP pasten ze hun banner aan.

Nu scant de AP automatisch de banners van 10.000 Nederlandse websites. Bij een overtreding krijg je eerst een waarschuwing. De AP wil er 500 per jaar versturen; de eerste gingen onder meer naar webwinkels, media en verzekeraars. Je hebt dan drie maanden om je banner te herstellen of te stoppen met volgen. Doe je niets, dan volgt een onderzoek en is de kans op een boete groot.

De drie fouten uit de eerste waarschuwingen: cookies vóór de toestemming, een vakje voor trackingcookies dat al aangevinkt stond, en een weigeroptie die pas na doorklikken naar een ander venster te zien was.

Twijfel je of jouw situatie onder een uitzondering valt? Lees de uitleg van de AP of vraag het een privacyjurist. Deze gids is algemene informatie, geen juridisch advies.

05Zo check je je eigen site

Met deze zes stappen zie je zelf of je banner doet wat hij belooft.

1. 01

   Open je site in een privévenster

   Zonder cookies en zonder eerdere keuze zie je je site zoals een nieuwe bezoeker. Klik nog nergens op.

   Helpt bij een eerlijke testZelf te doen

2. 02

   Kijk wat er laadt voordat je kiest

   Open de ontwikkelaarstools van je browser. Bekijk welke cookies er al staan en met welke diensten je pagina verbinding maakt. Zie je al advertentie- of analysediensten, dan laad je te vroeg.

   Helpt bij niets vooraf ladenZelf te doen

3. 03

   Klik op Weigeren en kijk opnieuw

   Herlaad de pagina en controleer nog een keer. Na een nee mogen er geen trackingcookies bijkomen. Juist dat ging mis bij een deel van de sites die de AP in 2024 onderzocht.

   Helpt bij weigerenZelf te doen

4. 04

   Tel de klikken

   Kost weigeren meer klikken dan accepteren, of moet je ervoor scrollen of doorklikken? Dan voldoet je banner niet aan de vuistregels van de AP.

   Helpt bij een eerlijke keuzeZelf te doen

5. 05

   Test het intrekken

   Geef toestemming, trek die in via de vaste link of het icoon, en controleer of er daarna geen trackingcookies meer bijkomen.

   Helpt bij intrekkenZelf te doen

6. 06

   Vraag je bouwer wat je niet herkent

   Zie je een script of cookie die je niet kent? Vraag je bouwer waarvoor hij is en of hij vóór de keuze mag laden.

   Helpt bij onbekende scriptsMet je bouwer

06Een tool of plug-in kiezen

Een banner bouw je zelf, of je gebruikt een consenttool (CMP). Op WordPress is dat een plug-in. Die maakt je banner niet vanzelf goed: jij kiest de instellingen en jij bent verantwoordelijk. Let op:

• een knop Weigeren op de eerste laag, net zo zichtbaar als Accepteren;
• alle keuzes standaard uit, per doel aan te zetten;
• het blokkeren van scripts tot er een keuze is, ook van scripts die je thema of andere plug-ins laden;
• een vaste link of icoon om je keuze te wijzigen of in te trekken;
• een vastlegging van gegeven toestemmingen;
• teksten die je zelf in gewone taal kunt aanpassen.

Test na het installeren zelf, met de stappen hierboven. En houd de plug-in bij zoals je andere plug-ins: zelf, of bijvoorbeeld met Site Care.

Adverteer je met Google? Dan ook consent mode

Gebruik je Google Ads, of Analytics-gegevens in Google Ads, voor bezoekers uit de Europese Economische Ruimte? Dan vraagt Google je hun keuze door te geven via consent mode, met de signalen ad_user_data en ad_personalization. Volgens de hulppagina van Google Ads (oktober 2026) heb je die nodig om met Google-tags te blijven meten en personaliseren. Consent mode vervangt je banner niet: het geeft de keuze door. Adverteer je niet via Google, sla dit dan over.

Let op de snelheid

Volgens web.dev zijn cookiemeldingen een veelvoorkomende oorzaak van verspringen (CLS). De klik op Accepteren geeft vaak een trage reactie (INP), omdat er dan veel scripts tegelijk laden. Laad het script van je banner asynchroon en houd er ruimte voor vrij, of toon hem als balk of venster over de pagina. Meer in Website sneller maken.

07Checklist voor je cookiebanner

Loop deze lijst na als je je banner instelt of laat bouwen, en stuur hem gerust door naar je bouwer.

CHECKLIST COOKIEBANNER

Nodig?
[ ] Ik weet welke cookies, pixels en scripts mijn site gebruikt.
[ ] Functionele cookies en beperkte statistieken: wel vermelden.
[ ] Tracking- of marketingcookies: vooraf toestemming vragen.

De banner
[ ] Eerste laag: wie de gegevens verwerkt en waarvoor.
[ ] Accepteren en Weigeren op dezelfde laag, even zichtbaar.
[ ] Weigeren kost niet meer klikken dan accepteren.
[ ] Geen vakjes of schuifjes die al aan staan.
[ ] Een keuze per doel, in gewone taal.
[ ] Geen cookiewall: de site werkt ook na een nee.

De techniek
[ ] Geen tracking vóór de keuze, en niet na een nee.
[ ] Intrekken kan altijd, via een vaste link of icoon.
[ ] Ik kan aantonen wie wanneer toestemming gaf.
[ ] Google Ads voor de EER? Dan staat consent mode aan.

De uitleg
[ ] Cookieverklaring met doel, bewaartermijn en ontvangers.
[ ] Na elke wijziging test ik opnieuw in een privévenster.

Ben je toch met je site bezig? Kijk dan ook of de toegankelijkheidswet voor jouw website geldt.