Klopt je cookiebanner? Zo controleer je het zelf.

Open je eigen website eens in een privévenster. Grote kans dat er onderin een balk verschijnt: "Wij gebruiken cookies om je de beste ervaring te geven." Daaronder een opvallende knop met Akkoord. En weigeren? Dat zit achter Instellingen, of in een grijs linkje dat je bijna over het hoofd ziet.

Zo'n cookiebanner zie je overal. Hij klopt alleen niet. Sinds april 2025 zoekt de Autoriteit Persoonsgegevens (AP) actief naar precies dit soort banners. In dit artikel lees je welke regels er gelden, welke cookies wel zonder toestemming mogen en hoe je je eigen site in een paar minuten nakijkt. Ik ben webdesigner en geen jurist, dus zie dit als uitleg en niet als juridisch advies.

Waarom de AP nu naar cookiebanners kijkt

De AP scant automatisch de cookiebanners van zo'n 10.000 Nederlandse websites. Daaruit kiest ze de organisaties die waarschijnlijk de regels overtreden, met als doel 500 waarschuwingen per jaar. De eerste brieven gingen in april 2025 naar onder meer webwinkels, mediabedrijven en verzekeraars.

Wie zo'n brief krijgt, heeft drie maanden om de banner aan te passen of te stoppen met tracken. De brief zelf is nog geen boete. Maar wie niets doet, kan een onderzoek verwachten en daarna misschien wel een boete. In november 2025 had de AP ruim tweehonderd organisaties gewaarschuwd. Ongeveer driekwart had de banner toen al verbeterd.

Heb je een kleine website, dan is de kans op zo'n brief niet groot. De regels gelden wel voor iedereen. En je bezoekers merken een misleidende banner ook zonder brief.

Welke cookies mogen zonder toestemming?

Niet elke cookie vraagt om een banner. Het helpt om ze in drie soorten te verdelen.

Functionele cookies heb je nodig om je site te laten werken. Denk aan een winkelmandje dat onthoudt wat erin zit, een inlog of de beveiliging van een formulier. Daar hoef je niet om te vragen.

Analytische cookies tellen bezoekers en laten zien welke pagina's goed lopen. Die mogen zonder toestemming, maar alleen in een beperkte vorm die weinig gevolgen heeft voor de privacy van je bezoeker. Daar kom ik zo op terug.

Trackingcookies volgen iemand over meerdere websites of bouwen een profiel op, bijvoorbeeld voor advertenties. Daarvoor heb je altijd eerst toestemming nodig. Ze komen vaak binnen via dingen die je zelf niet als tracking ziet, zoals een advertentiepixel, een like-knop of een ingesloten YouTube-video.

De regel gaat trouwens niet alleen over cookies. Ook pixels en andere technieken die iets op het apparaat van je bezoeker opslaan of uitlezen, vallen eronder.

Wat de AP fout vindt aan een cookiebanner

De AP heeft negen vuistregels voor een heldere cookiebanner gepubliceerd. Deze fouten zie je op veel sites terug.

Cookies voordat iemand kiest. Trackingcookies mogen pas na een ja. Laadt je site al scripts van Google, Meta of een advertentiepartij terwijl de banner nog openstaat, dan ben je te vroeg. Dat geldt ook voor wat er via een ingesloten video of kaart binnenkomt. En na een nee hoort er niets meer bij te komen.

Vinkjes die al aanstaan. Een vooraf aangevinkt vakje of een schuifje dat al aanstaat, telt niet als toestemming. Ook niet als het op de tweede laag van je banner staat.

Weigeren is verstopt. Staat Accepteren op de eerste laag, dan hoort Weigeren daar ook te staan. Even goed zichtbaar, niet als linkje in een stuk tekst en niet in een kleur die bijna wegvalt tegen de achtergrond. Weigeren mag ook niet meer klikken kosten, dus geen extra vraag of iemand het zeker weet.

Vage knoppen. Met "Prima" of "Ik snap het" is niet duidelijk dat iemand toestemming geeft. Het kan ook betekenen dat diegene de tekst heeft gelezen. De AP noemt woorden als accepteren, akkoord en weigeren.

Je keuze niet meer kunnen wijzigen. Toestemming intrekken moet net zo makkelijk gaan als geven. Zet daarom op elke pagina een link of knop naar je cookie-instellingen, bijvoorbeeld in de footer.

Gebruik je een kant-en-klare cookietool? Kijk dan extra goed. De AP schrijft zelf dat de standaardinstellingen van zulke tools in de praktijk vaak niet aan de AVG voldoen. En ook als een tool je banner regelt, blijf jij verantwoordelijk.

Google Analytics: mag dat zonder cookiebanner?

Dan de vraag waar veel ondernemers mee zitten. Het eerlijke antwoord is dat het niet zeker is.

De AP had vroeger een handleiding om het oude Google Analytics zo in te stellen dat je geen toestemming nodig had. Die handleiding is van haar site gehaald. Over de huidige versie, GA4, heeft de AP nog geen officieel standpunt ingenomen. Volgens advocatenkantoor Turing is GA4 zonder toestemming daarmee niet per definitie verboden, maar dan wel in de meest uitgeklede vorm, zonder advertentiefuncties.

Wil je op zeker spelen, dan heb je twee routes. Vraag toestemming voor Google Analytics, net als voor andere tracking. Of kies een eenvoudige bezoekersteller die geen profielen bouwt en geen gegevens met andere partijen deelt. De AP wijst in haar waarschuwingsbrieven zelf ook op alternatieven voor analytics.

Meet je zonder toestemming, leg dan in je privacyverklaring uit wat je meet en waarom. Dat hoort er hoe dan ook bij.

Heb je wel een cookiebanner nodig?

Volgens de AP is er een simpele manier om bezoekers vrij te laten kiezen: helemaal geen trackingsoftware gebruiken. Dan heb je ook geen banner nodig.

Dat klinkt streng, maar het is vaak goed te doen. Kijk maar naar deze site. Webdesign Nederland heeft geen cookiebanner, omdat we geen trackingcookies plaatsen en geen analytics gebruiken. Het enige wat de site op je apparaat bewaart, is of je hem licht of donker wilt zien. Die keuze maak je zelf, en daarvoor is geen toestemming nodig.

Zoek dus eerst uit welke scripts er op je site draaien. Een pixel van een advertentiecampagne die al jaren niet meer loopt. Een chatwidget die je nooit gebruikt. Een koppeling met een tool die je allang hebt opgezegd. Elk script dat je weghaalt, is een regel minder in je banner. Je site wordt er ook nog sneller van.

Verdwijnt de cookiebanner binnenkort?

Misschien heb je gelezen dat Europa van de cookiebanner af wil. Dat klopt maar half. De Europese Commissie stelde in november 2025 nieuwe regels voor, als onderdeel van een groot pakket dat de Digital Omnibus heet. Een van de ideeën was dat je browser je keuze automatisch doorgeeft, zodat je niet op elke site opnieuw hoeft te klikken.

De Europese lidstaten bepaalden op 21 oktober 2026 hun standpunt, en dat browsersignaal zit er niet meer in. Wat wel blijft: weigeren moet met één klik kunnen, na een nee mag een site je vier maanden lang niet opnieuw vragen en voor het meten van bezoekers komt een ruimere uitzondering.

Het Europees Parlement moet zijn standpunt nog bepalen. Daarna gaan de partijen onderhandelen, en volgens de tekst van de lidstaten krijgen landen vervolgens nog twee jaar om de regels in hun eigen wet op te nemen. Het duurt dus nog jaren. Tot die tijd gelden gewoon de huidige regels.

Je volgende stap

Open je website in een privévenster en klik nog nergens op. Druk op F12, ga naar het tabblad Application en kijk onder Cookies wat er al staat. Zie je cookies van Google Analytics (die beginnen met _ga), van Meta (_fbp) of van een advertentiepartij, terwijl je nog niets hebt gekozen? Dan weet je waar je moet beginnen.

Klik daarna op Weigeren. Ging dat net zo snel als accepteren? Ververs de pagina en kijk of er na je nee niets bij is gekomen. Zoek tot slot onderaan de pagina de link waarmee je je keuze kunt wijzigen. Drie controles, vijf minuten werk. Beheert iemand anders je site of gebruik je een cookietool, stuur dit lijstje dan door.

Wil je je hele site eens met frisse ogen bekijken? De checklist met de vijftien kenmerken van een goede website helpt je daarbij, ook bij de punten over vertrouwen en techniek.