Inhoudsopgave
Ja, in Nederland ben je verplicht een cookiebanner te tonen zodra je tracking- of marketingcookies gebruikt die persoonsgegevens verwerken. Voor puur functionele cookies, zoals een winkelwagentje of een taalvoorkeur, is geen toestemming nodig. Die regel volgt rechtstreeks uit de AVG en de Telecommunicatiewet, en wordt gecontroleerd door de Autoriteit Persoonsgegevens.
De praktische consequentie is simpel: inventariseer welke cookies jouw website plaatst en bepaal per categorie of toestemming verplicht is, zoals goed omschreven in de gids over Behavioural targeting: meer leads met slimme personalisatie. Herkun je die verplichting niet zomaar wegwuiven?
- Tracking- en marketingcookies: altijd ondubbelzinnige toestemming vooraf nodig.
- Functionele cookies: geen toestemming vereist, wel informatieplicht.
- Analytische cookies: soms vrijgesteld, afhankelijk van privacy-impact.
- Actie nu: scan je site, verwijder onnodige tracking of plaats een conforme banner.
Belangrijkste inzichten
Een cookiebanner is in Nederland verplicht zodra tracking- of marketingcookies persoonsgegevens verwerken, en de Autoriteit Persoonsgegevens toetst die banners actief op de negen vuistregels.
| Punt | Details |
|---|---|
| Toestemmingsplicht | Tracking- en marketingcookies vereisen altijd ondubbelzinnige, actieve toestemming vooraf. |
| Functionele uitzondering | Puur functionele cookies, zoals een winkelwagentje, vallen buiten de toestemmingsplicht. |
| Negen vuistregels naleven | Geen voorgevinkte vakjes en weigeren net zo makkelijk maken als accepteren. |
| Technisch borgen | Zet scripts van derden pas actief na toestemming en leg elke keuze vast met tijdstip. |
| Hulp bij implementatie | Zazoutotaal verzorgt de volledige cookie-audit, techniek en teksten voor ondernemers die dit uit handen willen geven. |
Is een cookiebanner verplicht volgens de AVG en de Telecommunicatiewet?
De verplichting komt niet uit één simpele regel, maar uit de combinatie van twee wetten die elkaar aanvullen. De AVG regelt hoe je persoonsgegevens mag verwerken, en de Telecommunicatiewet regelt specifiek wanneer je toestemming nodig hebt voor het plaatsen van cookies op het apparaat van een bezoeker.
Volgens de Rijksoverheid mag je nooit zomaar cookies plaatsen zonder toestemming, tenzij die cookies strikt noodzakelijk zijn voor het functioneren van de website. Dat is het uitgangspunt van artikel 11.7a van de Telecommunicatiewet. De AVG voegt daar de eis aan toe dat toestemming vrij, specifiek, geïnformeerd en ondubbelzinnig moet zijn wanneer je gegevens verwerkt die als persoonsgegevens gelden, zoals een IP-adres of een advertentie-ID.
De EDPB-richtlijnen over toestemming maken dit nog concreter. Toestemming is alleen geldig als de bezoeker een actieve handeling verricht, zoals klikken op “accepteren”. Doorscrollen op een pagina geldt niet als toestemming, en een vooraf aangevinkt vakje ook niet.
Wat betekent dit voor jouw website?
- Je moet per cookietype kunnen aantonen of toestemming nodig is.
- Toestemming moet je kunnen bewijzen: wanneer, waarvoor en hoe verkregen.
- Weigeren moet net zo makkelijk zijn als accepteren.
- Je mag geen cookies plaatsen vóórdat de bezoeker heeft gekozen.
De Autoriteit Persoonsgegevens controleert sinds 2024 actiever op de kwaliteit van cookiebanners, niet alleen op hun aanwezigheid. Een banner die er staat maar misleidt, biedt geen bescherming tegen handhaving.
Veel ondernemers verwarren toestemming met een zogenaamd “gerechtvaardigd belang” als juridische grondslag. Voor tracking en marketing is dat een misvatting: toestemming is dan de enige geldige basis, niet een belangenafweging die je zelf maakt.
Wanneer heb je wél en wanneer géén cookiebanner nodig?
Niet elke cookie is gelijk, en dat is precies waar veel website-eigenaren vastlopen. De wet maakt onderscheid op basis van functie en privacy-impact, niet op basis van hoeveel cookies je gebruikt.
- Functionele cookies vallen buiten de toestemmingsplicht. Denk aan een winkelwagentje dat onthoudt wat een klant heeft geselecteerd, een sessie-cookie voor inloggen, of een cookie die taalvoorkeur bewaart. Deze cookies zijn noodzakelijk om de site te laten werken, dus toestemming is niet vereist. Wel moet je ze noemen in je cookieverklaring.
- Beperkt analytische cookies zitten in een grijs gebied. Ondernemersplein legt uit dat analytics zonder toestemming mag als het gaat om eigen, geanonimiseerde metingen die geen profiel van individuele bezoekers opbouwen en niet met derden gedeeld worden. Zodra je Google Analytics gebruikt zonder aanpassingen zoals IP-maskering, valt dit meestal wél onder de toestemmingsplicht.
- Tracking- en marketingcookies vereisen altijd expliciete toestemming. Advertentiecookies, retargeting-pixels van social media en cookies die gedrag over meerdere websites volgen, verwerken persoonsgegevens op een manier die de wetgever als risicovol beschouwt. Hier is geen uitzondering mogelijk: zonder toestemming mag je ze niet plaatsen, punt.
De grens tussen categorie twee en drie is waar de meeste juridische risico’s zitten. Twijfel je over een specifieke tool, ga dan uit van de strengste interpretatie. Meer over hoe webanalyse zich verhoudt tot deze privacyregels lees je in een aparte toelichting.
De 9 vuistregels van de Autoriteit Persoonsgegevens voor een heldere cookiebanner
De AP heeft niet zomaar wat richtlijnen opgesteld, maar negen concrete vuistregels waarmee ze banners toetst. Wie deze regels negeert, loopt het grootste risico op een waarschuwing.
- Geen vooraf aangevinkte opties. Elke keuze voor tracking moet een actieve handeling van de bezoeker zijn.
- Weigeren even makkelijk maken als accepteren. Een knop “weiger alles” moet even zichtbaar en bereikbaar zijn als “accepteer alles”.
- Geen misleidende kleuren of contrasten. Als de accepteerknop fel oranje is en de weigerknop grijs en onopvallend, is dat een designtruc die de AP afkeurt.
- Duidelijke taal, geen jargon. Leg in gewone woorden uit wat je doet, niet in juridisch taalgebruik dat niemand leest.
- Vermeld wie de gegevens ontvangt. Noem concreet welke derde partijen (Google, Meta, advertentienetwerken) toegang krijgen.
- Toestemming intrekken moet net zo simpel zijn. Een permanent zichtbare link in de footer werkt het beste.
- Geen cookiewall zonder alternatief. Bezoekers mogen niet gedwongen worden akkoord te gaan om de site te kunnen gebruiken.
- Informeer over het doel van elke cookiecategorie. Splits per categorie: functioneel, analytisch, marketing.
- Herbevestig toestemming bij wezenlijke wijzigingen. Verander je van tool of doel, vraag dan opnieuw toestemming.
Een tweelaagse banner werkt in de praktijk het best. De eerste laag toont een korte tekst zoals: “Wij gebruiken cookies om de website te laten werken en, met jouw toestemming, om bezoek te analyseren.” Daaronder drie knoppen: “Alles accepteren”, “Alles weigeren” en “Instellingen aanpassen”. De tweede laag, die opent bij “instellingen”, geeft per categorie een schuifje en een korte uitleg.
Pro-tip: Zet de knop “weiger alles” nooit verstopt achter een tekstlink onderaan de banner. De AP beoordeelt dat als een vorm van misleiding, ook al staat de knop technisch gezien wel op de pagina.
Zo zet je stap voor stap een AVG-conforme cookiebanner op
Een conforme banner bouwen is meer dan een tool installeren. Het is een proces van inventariseren, kiezen en technisch borgen.
- Scan je website op cookies. Gebruik een cookiescanner om te zien welke cookies daadwerkelijk geplaatst worden, ook cookies die via ingesloten video’s of advertentiescripts binnenkomen zonder dat je het doorhebt.
- Overweeg eerst of tracking wel nodig is. Als je kunt stoppen met het verzamelen van bepaalde gegevens, doe dat dan gewoon. Zonder tracking heb je ook geen toestemming en dus geen banner nodig voor die cookie, zo bevestigt de Autoriteit Persoonsgegevens.
- Kies een consent-management-platform of maatwerk. Zorg dat je bij de configuratie zelf de knoppen, kleuren en categorieën instelt in plaats van de standaardwaarden te accepteren.
- Zet cookies pas na toestemming actief. Dit heet consent-before-load: scripts van derde partijen mogen pas laden nadat de bezoeker expliciet toestemming heeft gegeven, niet ervoor.
- Registreer en documenteer elke toestemming. Leg tijdstip, versie van de banner en gekozen categorieën vast, zodat je bij een controle kunt aantonen wat er gebeurd is.
- Koppel de banner aan je privacyverklaring. Verwijs vanuit de banner naar een pagina waar bezoekers de volledige uitleg over cookies en privacy kunnen lezen.
Pro-tip: Test je banner op mobiel voordat je live gaat. Een banner die op desktop prima werkt, blokkeert op een telefoon soms de hele pagina of toont de weigerknop buiten beeld.
Veelgemaakte fouten en valkuilen bij cookiebanners
De meeste boetes en waarschuwingen ontstaan niet uit onwil, maar uit slecht geconfigureerde tools. Een paar patronen komen steeds terug.
- Standaardinstellingen van een CMP zomaar overnemen. Veel platforms leveren cookies af met alle categorieën standaard aangevinkt op “aan”. Dat is een bekende valkuil waarbij de verantwoordelijkheid voor correcte instelling volledig bij de website-eigenaar ligt, niet bij de leverancier.
- Cookiewalls zonder alternatief. Een bezoeker verplichten akkoord te gaan om de site te bekijken, is volgens ICTRecht meestal een overtreding, tenzij je een redelijk alternatief biedt zoals een betaalde advertentievrije versie.
- Cookies laden vóórdat er toestemming is. Technisch de meest voorkomende fout: het script draait al terwijl de banner nog op het scherm staat te wachten op een klik.
- Vage of onduidelijke labels. “Overige cookies” of “diverse doeleinden” zegt de bezoeker niets en voldoet niet aan de informatieplicht.
Handhaving: wat gebeurt er bij een waarschuwing van de AP?
De Autoriteit Persoonsgegevens werkt in de praktijk met opklimmende stappen, niet met directe boetes bij de eerste overtreding. Meestal begint het met een signalering of klacht, gevolgd door een verzoek om de banner aan te passen binnen een bepaalde termijn.
Blijft de overtreding bestaan, dan volgt een formele waarschuwing en uiteindelijk een boete. Sinds 2024 controleert de toezichthouder strenger op de daadwerkelijke inhoud van banners, niet alleen op de vraag of er überhaupt een banner staat.
Krijg je een waarschuwing, volg dan dit plan:
- Voer direct een audit uit op alle geplaatste cookies en vergelijk met je banner-instellingen.
- Pas de configuratie aan, test de weigerfunctie en documenteer elke wijziging met datum.
- Communiceer intern wie verantwoordelijk is voor toekomstige controles.
- Bewaar bewijs van de aanpassing, zodat je bij een vervolgcontrole kunt aantonen dat je actie hebt ondernomen.
Proactief handelen is altijd goedkoper dan reageren op een boete. Reputatieschade door een publieke waarschuwing raakt vaak harder dan de boete zelf, zeker voor kleinere bedrijven die op vertrouwen draaien.
Checklist: instellingen en teksten voor jouw cookiebanner
Onderstaande punten kun je direct langslopen bij je eigen website. Elk item is los te controleren, zonder dat je juridische kennis nodig hebt.
| Item | Wat controleren | Voorbeeldtekst of instelling |
|---|---|---|
| Eerste laag | Korte, neutrale uitleg zonder jargon | “Wij gebruiken cookies om de site te laten werken en, met jouw toestemming, voor analyse en marketing.” |
| Knoppen | Gelijke zichtbaarheid accept en weiger | “Alles accepteren” / “Alles weigeren” naast elkaar, zelfde kleur en grootte |
| Voorgevinkte vakjes | Alle niet-functionele categorieën uit | Schuifjes standaard op “uit” bij analytics en marketing |
| Intrekken | Permanente link beschikbaar | Footer-link “Cookievoorkeuren aanpassen” |
| Verwijzing | Link naar volledige uitleg | Link naar de cookieverklaring op je website |
| Laden van scripts | Pas na toestemming | Consent-before-load technisch getest op mobiel en desktop |
Waarom een goede cookiebanner slim is voor je bedrijf
Bij Zazoutotaal zien we cookiebanners dagelijks langskomen bij websites die we bouwen of optimaliseren, en het patroon is steeds hetzelfde: bedrijven die transparant zijn over data, winnen sneller vertrouwen dan bedrijven die een banner als hindernis behandelen. Silvio, die bij Zazoutotaal websites bouwt volgens de StoryBrand-methode, ziet compliance niet als een blok aan het been maar als onderdeel van een heldere merkboodschap.
Een bezoeker die meteen ziet dat je zorgvuldig omgaat met zijn gegevens, klikt sneller door naar een contactformulier. Dat is geen toeval: onduidelijke of agressieve banners jagen mensen weg voordat ze de rest van je aanbod hebben gezien. Wil je dit goed geregeld hebben zonder er zelf weken induiken? Zazoutotaal helpt ondernemers met de volledige technische en tekstuele implementatie.
Hulp nodig bij een compliant cookiebanner?
Een cookiebanner los oplossen is één ding, maar hem laten aansluiten op je hele website, privacyverklaring en techniek is een ander verhaal. Zazoutotaal is het alternatief voor een dure juridische partij of een los ingekocht CMP-abonnement: wij regelen de cookie-audit, de technische inregeling en de tekst in één traject, zodat je niet drie leveranciers moet aansturen voor één probleem.
Vanuit onze winkel in Helmond, en met klanten door heel Nederland, bouwen we websites die niet alleen mooi zijn maar ook juridisch overeind blijven. Dat betekent: geen voorgevinkte vakjes, geen cookiewall zonder alternatief, en een banner die past bij je merkverhaal in plaats van een lelijk pop-up blok. Twijfel je of jouw huidige website de AP-vuistregels naleeft? Vraag een webdesigner in Helmond om een check, en we vertellen je precies waar je staat en wat er nodig is om het op te lossen.
Bronnen
- Mag een website ongevraagd cookies plaatsen? | Rijksoverheid
- Cookies | Autoriteit Persoonsgegevens
- Gebruik van cookies op uw website – Ondernemersplein
Veelgestelde vragen
Is een cookiebanner altijd verplicht?
Nee, alleen wanneer je cookies plaatst die persoonsgegevens verwerken, zoals tracking- of marketingcookies. Puur functionele cookies vallen buiten deze verplichting.
Is een cookiebot of vergelijkbaar platform verplicht?
Een specifiek platform is niet verplicht; je mag zelf kiezen hoe je toestemming vraagt en registreert, zolang het voldoet aan de negen vuistregels van de Autoriteit Persoonsgegevens.
Kun je cookies altijd weigeren als bezoeker?
Ja, weigeren moet volgens de wet even eenvoudig zijn als accepteren, met een even zichtbare knop en zonder verplichte cookiewall zonder alternatief.
Wat zegt de Nederlandse wetgeving precies over cookies?
De Telecommunicatiewet verplicht toestemming voor niet-functionele cookies, en de AVG stelt dat die toestemming vrij, specifiek, geïnformeerd en ondubbelzinnig moet zijn.
Wat gebeurt er als mijn cookiebanner niet voldoet aan de regels?
De Autoriteit Persoonsgegevens kan een waarschuwing geven en bij aanhoudende overtreding een boete opleggen; op tijd aanpassen voorkomt dat risico.