Cookiebanner verplicht? Zo zit het in 2026

Een cookiebanner is verplicht zodra je website cookies of vergelijkbare technieken gebruikt die niet functioneel of beperkt analytisch zijn. Denk aan de Meta Pixel, remarketingtags en advertentiecookies van Google. Gebruik je alleen functionele cookies en privacyvriendelijke statistieken, dan hoef je geen toestemming te vragen, maar moet je bezoekers wel informeren. De Autoriteit Persoonsgegevens controleert sinds 2025 structureel.

Is een cookiebanner verplicht? Het korte antwoord

Een cookiebanner is verplicht als je website iets op het apparaat van je bezoeker opslaat of uitleest dat niet nodig is om je website te laten werken, en dat ook geen beperkte statistiek is. Dat geldt voor tracking cookies, maar ook voor vergelijkbare technieken zoals pixels, local storage en fingerprinting. Gebruik je de Meta Pixel, remarketing in Google Ads, een LinkedIn Insight Tag of video's die cookies plaatsen? Dan heb je toestemming nodig, en dus een banner.

Gebruik je alleen functionele cookies, zoals voor een winkelmandje of taalkeuze, en statistieken met geen of weinig gevolgen voor de privacy? Dan hoef je geen toestemming te vragen. Je moet bezoekers wel informeren, bijvoorbeeld in je privacy- of cookieverklaring.

Twee wetten bepalen dit. De Telecommunicatiewet (artikel 11.7a) regelt wanneer je iets op een apparaat mag plaatsen of uitlezen. De AVG regelt wat je met de persoonsgegevens doet die je daarmee verzamelt. Bij tracking cookies gelden ze allebei.

Een eerlijke kanttekening vooraf: ik ben marketeer en webdeveloper, geen jurist. Dit artikel helpt je de regels te begrijpen en ze goed in te richten. Het is geen juridisch advies. Bij twijfel kijk je bij de bron: de Autoriteit Persoonsgegevens en de ACM.

Welke cookies mogen zonder toestemming?

De Autoriteit Persoonsgegevens (AP) onderscheidt drie soorten cookies.

De lastige categorie is de middelste. Of statistieken 'beperkt' zijn, hangt af van hoe je de tool instelt en wat je met de gegevens doet. Google Analytics 4 is daar het bekendste voorbeeld van. Koppel je het aan Google Ads of gebruik je de data voor advertenties, dan is het meer dan beperkte statistiek. De AP schreef in november 2025 dat zij nog onderzoekt welke cookies precies onder de uitzondering vallen. Hoe je GA4 zelf netjes inricht, lees je in GA4 instellen: de 10 instellingen die bijna iedereen mist.

De AP noemt zelf ook alternatieven die statistieken bijhouden zonder je bezoekers over het hele internet te volgen, zoals Matomo en Plausible Analytics, mits goed ingesteld. Wie helemaal geen volgsoftware gebruikt, heeft ook geen cookiebanner nodig. Dat is voor sommige websites de eenvoudigste oplossing.

Cookiebanner en de AVG: wat is geldige toestemming?

Voor tracking cookies is toestemming de enige geldige grondslag. Die toestemming moet volgens de AVG vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. In de praktijk betekent dat:

• je vraagt toestemming vóórdat je de cookies plaatst of pixels laadt;
• de bezoeker maakt een actieve keuze; doorscrollen of niets doen telt niet als toestemming;
• de bezoeker weet waarvoor hij toestemming geeft, met welke doelen en met hoeveel andere partijen de gegevens worden gedeeld;
• weigeren heeft geen nadelige gevolgen: een cookiewall is niet toegestaan;
• toestemming intrekken is net zo makkelijk als toestemming geven.

Voor functionele en beperkt analytische cookies kun je je ook baseren op gerechtvaardigd belang. Dan moet je wel een belangenafweging maken en kunnen aantonen, en moeten bezoekers makkelijk bezwaar kunnen maken.

Waar let de Autoriteit Persoonsgegevens op?

De AP heeft negen vuistregels voor een heldere cookiebanner gepubliceerd. Ze zijn praktisch genoeg om je eigen banner mee te controleren:

1. Geef informatie over welke persoonsgegevens je verwerkt en voor welk doel, vóórdat iemand kiest.
2. Zet vinkjes niet automatisch aan, ook niet in een tweede laag van de banner.
3. Gebruik duidelijke tekst op de knoppen, zoals 'accepteren' en 'weigeren'.
4. Zet de keuzes op één laag: weigeren en accepteren staan naast elkaar.
5. Verberg geen keuzes: de weigerknop moet goed zichtbaar en leesbaar zijn, niet weggestopt of in een kleur die bijna wegvalt.
6. Laat niemand extra klikken om te weigeren.
7. Gebruik geen onopvallende link in de tekst als enige manier om te weigeren.
8. Maak intrekken net zo makkelijk als geven, bijvoorbeeld met een knop die altijd in beeld blijft.
9. Verwar toestemming niet met gerechtvaardigd belang: voor gepersonaliseerde advertenties is gerechtvaardigd belang geen geldige grondslag.

Op de eerste laag van je banner moet in ieder geval staan dát je persoonsgegevens verwerkt, wie dat doet, voor welke doelen, of je gegevens deelt met derden en met hoeveel, en dat de bezoeker zijn toestemming kan intrekken. Details mogen in een tweede laag of je cookieverklaring.

Let ook op de looptijd van je cookies. De AP schrijft dat een bewaartermijn van een half jaar of langer voor tracking cookies al snel te lang is.

Wie houdt toezicht en wat kan het kosten?

Formeel houdt de ACM toezicht op de cookiebepaling in de Telecommunicatiewet en de AP op de AVG. Omdat tracking cookies vrijwel altijd persoonsgegevens verwerken, is het in de praktijk vooral de AP die cookiebanners controleert. De AP heeft in 2025 voorgesteld om ook het toezicht op de cookiebepaling over te nemen. Op het moment van schrijven is dat, voor zover ik kan nagaan, nog niet wettelijk geregeld.

De AP pakt het inmiddels stevig aan:

• sinds april 2025 controleert de AP structureel of websites op de juiste manier toestemming vragen, met een eigen tool die 10.000 Nederlandse websites in de gaten houdt;
• in april 2025 kregen de eerste 50 organisaties een waarschuwingsbrief, met drie maanden om hun banner aan te passen, en de AP wil zo'n 500 brieven per jaar versturen;
• in november 2025 meldde de AP dat ruim 200 websites gewaarschuwd waren, dat ongeveer driekwart de banner had aangepast, en dat er handhavingsstappen liepen tegen de rest.

Het gaat daarbij niet alleen om grote merken. Een woordvoerder van de AP zei tegen de NOS dat ook kleine organisaties worden aangeschreven. Eerder kregen het bedrijf achter Kruidvat (600.000 euro) en Coolblue (40.000 euro) een boete omdat hun cookiebeleid niet op orde was. Bij Kruidvat werden tracking cookies geplaatst zonder geldige toestemming en stonden vakjes vooraf aangevinkt.

Een cookiebanner in WordPress: waar je op let

Voor WordPress zijn er genoeg plugins en CMP's (consent management platforms) die een banner voor je regelen. Dat scheelt werk, maar de AP waarschuwt terecht: de standaardinstellingen van een CMP voldoen in de praktijk vaak niet aan de AVG. Jij blijft verantwoordelijk, ook als je het uitbesteedt.

Let bij het kiezen en instellen op deze punten:

1. Blokkeert de plugin scripts écht tot er toestemming is? Een banner die er netjes uitziet terwijl de Meta Pixel op de achtergrond al laadt, is precies wat de AP vaak tegenkomt.
2. Zet de weigerknop op de eerste laag, even groot en duidelijk als de accepteerknop.
3. Ondersteunt hij Google Consent Mode v2, en staat hij op de lijst van door Google gecertificeerde CMP's? Dat is belangrijk als je in Google Ads adverteert.
4. Werkt hij samen met Google Tag Manager, als je je tags daar beheert?
5. Scan je website en loop de lijst met gevonden cookies na. Ingesloten video's en social-mediaknoppen plaatsen vaak ook cookies. Veel videoplatforms hebben een privacyvriendelijke insluitoptie.
6. Test het zelf in een privévenster: weiger alles en kijk in de ontwikkelaarstools van je browser of er toch tracking cookies of pixels laden.

Een geldige banner zonder al je advertentiedata kwijt te raken

Hier zit de spanning voor iedereen die adverteert. Elke bezoeker die weigert, meet je niet volledig. Je remarketinglijsten worden kleiner en Google Ads en Meta zien minder conversies. Toch is de oplossing niet om de weigerknop te verstoppen. Dat is precies waar de AP op handhaaft.

Wat wel werkt:

• Gebruik Consent Mode v2 voor je Google-tags. Die geeft de keuze van de bezoeker door, en Google kan bij voldoende verkeer een deel van de ontbrekende conversies modelleren. Hoe dat werkt en hoe je het zelf controleert, lees je in mijn artikel over Consent Mode v2.
• Leg in gewone taal uit waarom je het vraagt. "Deze website gebruikt cookies om je relevante advertenties te tonen" is eerlijker en duidelijker dan een lap juridische tekst. Duidelijke uitleg mag, sturend ontwerp niet.
• Zorg dat je meting voor wie wel toestemming geeft, klopt. Liever 60 procent betrouwbare data dan 100 procent rommel.
• Zet in op kanalen die niet van cookies afhangen. Een eigen e-maillijst, met toestemming opgebouwd, blijft van jou. Remarketing via e-mail of WhatsApp naar mensen die zich hebben aangemeld, werkt los van je cookiebanner. Meer daarover in remarketing: zo win je verloren klanten terug.

Server-side tracking wordt soms verkocht als manier om de cookiebanner te omzeilen. Dat is het niet. De regels gelden ook voor pixels en vergelijkbare technieken, en wie weigert, moet je niet volgen, ook niet via een server.

Wat verandert er na 2026?

Twee ontwikkelingen om in de gaten te houden. De Europese Commissie stelde in november 2025 voor om de cookieregels deels naar de AVG te verplaatsen, onder meer met de eis dat weigeren met één klik moet kunnen. Voor zover ik kan nagaan zat dat voorstel in september 2026 nog in de eerste fase van het Europese wetgevingsproces, zonder gezamenlijk standpunt van de lidstaten. Tot er iets is aangenomen en ingevoerd, gelden de huidige regels.

Daarnaast wil de AP het toezicht op de cookiebepaling van de ACM overnemen, zodat zij concretere uitleg kan geven over welke cookies wel en niet onder de uitzondering vallen.

Ook op ander gebied komen er regels bij voor websites. Sinds juni 2025 gelden bijvoorbeeld de toegankelijkheidseisen uit de European Accessibility Act. Lees daarover Website toegankelijkheid verplicht? De EAA in gewone taal.

Conclusie: eerlijk vragen, netjes meten

Een cookiebanner is verplicht zodra je tracking cookies, pixels of vergelijkbare technieken gebruikt. Alleen functionele cookies en beperkte statistieken mogen zonder toestemming. De AP controleert actief en let vooral op weigerknoppen die verstopt zijn, vakjes die vooraf zijn aangevinkt en scripts die al laden vóór de keuze.

Richt je banner in volgens de negen vuistregels, laat je pixels pas na toestemming laden en gebruik Consent Mode v2 om binnen die grenzen zoveel mogelijk bruikbare data over te houden. Wil je weten wat een website of het onderhoud ervan bij mij kost? Download dan de prijslijst.