Cookiewet in Nederland: de regels voor je cookiebanner in 2026

Welke cookies mag je zonder toestemming plaatsen, wat moet er in je banner staan en waar let de Autoriteit Persoonsgegevens op? De cookiewet uitgelegd voor websites en webshops.

De cookiewet is geen aparte wet, maar een artikel in de Telecommunicatiewet (artikel 11.7a) dat samen met de AVG bepaalt wat je op je website mag doen met cookies, pixels en vergelijkbare technieken. De kern is sinds 2012 niet veranderd: voor alles wat niet strikt noodzakelijk is, vraag je vooraf toestemming. Wat wel veranderde, is het toezicht. De Autoriteit Persoonsgegevens (AP) controleert sinds 2024 actief op misleidende banners en heeft daarvoor extra budget tot en met 2026.

Welke cookies vragen toestemming?

De wet maakt onderscheid op basis van het doel van de cookie, niet op basis van de techniek. Dezelfde regels gelden voor local storage, pixels, fingerprinting en scripts die een bezoeker herkennen.

• Functionele en strikt noodzakelijke cookies: winkelwagen, inloggen, taalkeuze, beveiliging, het onthouden van de cookiekeuze zelf. Geen toestemming nodig, wel vermelden in je cookieverklaring.
• Analytische cookies met geringe privacygevolgen: toegestaan zonder toestemming als ze privacyvriendelijk zijn ingesteld volgens de handleiding van de AP (verwerkersovereenkomst, IP-adres maskeren, geen gegevens delen met de leverancier, geen koppeling met advertentieproducten). Voldoe je daar niet aan, dan is toestemming nodig.
• Marketing- en trackingcookies: Google Ads, Meta Pixel, TikTok, remarketing, affiliate-tracking. Altijd toestemming vooraf.
• Social media en embeds: YouTube-video’s, Google Maps, Instagram-feeds en deelknoppen plaatsen cookies van derden en vragen toestemming. Toon een placeholder tot de bezoeker akkoord gaat.

Wat is geldige toestemming?

De AVG stelt vier eisen aan toestemming: vrij, specifiek, geïnformeerd en ondubbelzinnig. Vertaald naar een cookiebanner betekent dat:

1. De bezoeker kiest actief. Doorscrollen, doorklikken of een vooraf aangevinkt vakje telt niet.
2. Weigeren is net zo makkelijk als accepteren: een weigerknop op de eerste laag, even zichtbaar als de accepteerknop, zonder extra klikken.
3. De bezoeker weet waarvoor hij toestemming geeft: welke categorieën, welke partijen en met welk doel.
4. Toestemming is later net zo eenvoudig in te trekken als te geven, bijvoorbeeld via een link in de footer.
5. Je kunt aantonen dat de toestemming gegeven is. Daarvoor houd je een logboek bij met tijdstip en gemaakte keuzes.

De negen vuistregels van de Autoriteit Persoonsgegevens

In februari 2024 publiceerde de AP vuistregels voor cookiebanners. Ze zijn geen nieuwe wet, maar laten zien hoe de toezichthouder de bestaande regels toepast bij controles:

1. Leg per doel uit waarvoor je cookies gebruikt, voordat de bezoeker kiest.
2. Geen vooraf aangevinkte vakjes.
3. Gebruik duidelijke knopteksten zoals accepteren en weigeren; sturende teksten als “alleen noodzakelijk” op de plek van de weigerknop zijn niet toegestaan.
4. Staat er een knop om alles te accepteren, dan staat er op dezelfde laag een knop om alles te weigeren.
5. De weigeroptie is even zichtbaar als de accepteeroptie en vraagt geen scrollen.
6. Weigeren kost niet meer klikken dan accepteren. Een extra “weet je het zeker?” mag niet.
7. Verstop de weigeroptie niet als onopvallende link in de tekst.
8. Vertel vooraf hoe de bezoeker de toestemming later intrekt.
9. Gebruik gerechtvaardigd belang alleen waar het mag (functioneel en beperkte analytics), niet als sluiproute voor marketingcookies.

Cookiewalls en “pay or OK”

Een cookiewall, waarbij bezoekers zonder akkoord geen toegang krijgen, is in Nederland niet toegestaan: de toestemming is dan niet vrij gegeven. Over betaalmodellen waarbij je kiest tussen betalen of tracking accepteren heeft de AP het Europees Comité voor gegevensbescherming om duidelijkheid gevraagd. Zolang die er niet is, is het verstandig een echte gratis weigeroptie aan te bieden.

Wat kan het je kosten?

De AP kan onder de AVG boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet. In de praktijk begint het met een waarschuwing en een termijn om de banner aan te passen; in 2025 kregen vijftig organisaties zo’n brief en paste driekwart de banner aan. Wie niets doet, krijgt een onderzoek. Daarnaast speelt reputatie mee: de Consumentenbond publiceert jaarlijks welke sites weigeren moeilijker maken dan accepteren.

Checklist voor je eigen website

• Scan je website en weet welke cookies er daadwerkelijk geplaatst worden, ook door plugins en embeds.
• Deel iedere cookie in: functioneel, statistiek, marketing. Blokkeer alles behalve functioneel tot er een keuze is.
• Toon een banner met accepteren en weigeren naast elkaar op de eerste laag.
• Publiceer een cookieverklaring met per cookie naam, aanbieder, doel en bewaartermijn.
• Log iedere keuze met tijdstip en bewaar die logs zolang je op de toestemming vertrouwt.
• Bied een link om de keuze te wijzigen, bijvoorbeeld “Cookie-instellingen” in de footer.
• Gebruik je Google Ads of Analytics, zet dan Google Consent Mode v2 aan zodat Google de keuze van de bezoeker respecteert.

Een consent management platform als CookieOpt regelt deze punten in één keer: de scanner vindt de cookies, de banner is ingericht op de vuistregels van de AP, de cookieverklaring wordt automatisch gevuld en de consent logging levert het bewijs.

Bronnen

• Artikel 11.7a Telecommunicatiewet en artikel 4, 6 en 7 AVG.
• Autoriteit Persoonsgegevens, vuistregels voor cookiebanners (februari 2024) en handleiding privacyvriendelijk instellen van Google Analytics.
• Consumentenbond, cookie-onderzoek (maart 2025).