Cookiebanner: waarom 'alles accepteren' niet genoeg is

De Autoriteit Persoonsgegevens (AP) heeft in 2025 meer dan 200 Nederlandse websites gewaarschuwd over hun cookiebanner. Driekwart paste hun banner aan. De rest? Die krijgt een formeel onderzoek.

De AP is niet vaag over wat ze verwachten. Je cookiebanner moet eerlijk zijn. Dat betekent: een weigeren-knop die net zo zichtbaar is als de accepteren-knop. Geen trucs. Geen donkere patronen.

Dit artikel legt uit wanneer je een cookiebanner nodig hebt, waar die aan moet voldoen en hoe je controleert of jouw website het goed doet.

Wanneer is een cookiebanner verplicht?

Niet elke website heeft een cookiebanner nodig. De regel is simpel:

Wel verplicht als je website:

• Google Analytics gebruikt (tenzij volledig geanonimiseerd zonder Google Signals)
• Marketing-cookies plaatst (Facebook Pixel, Google Ads, LinkedIn Insight Tag)
• Social media-embeds laadt die cookies plaatsen (YouTube, Instagram, Twitter)
• Voorkeurscookies gebruikt die niet strikt noodzakelijk zijn
• Google Fonts extern laadt (stuurt IP-adressen naar Google)

Niet verplicht als je website alleen:

• Functionele cookies gebruikt (sessiebeheer, winkelwagen, taalvoorkeur)
• Volledig geanonimiseerde analytics draait (zoals Plausible of Fathom)
• Geen externe scripts laadt die bezoekersdata delen

De meeste websites vallen in de eerste categorie. Als je niet 100% zeker weet dat je website geen tracking-cookies plaatst, ga er dan vanuit dat je een banner nodig hebt.

Waar moet een cookiebanner aan voldoen?

De AP heeft duidelijke regels gepubliceerd. Hier zijn de eisen die ertoe doen.

Gelijke keuze

De weigeren-knop moet net zo opvallend zijn als de accepteren-knop. Dat betekent:

• Dezelfde grootte
• Dezelfde kleur en stijl (of in elk geval vergelijkbaar)
• Op dezelfde plek (niet verstopt achter "instellingen" of "meer opties")

Een grote groene "Alles accepteren" knop met daaronder een klein grijs linkje "beheer voorkeuren" voldoet niet. De AP noemt dit een misleidende cookiebanner.

Geen vooraf aangevinkte opties

Als je een banner hebt met categoriekeuzes (analytisch, marketing, functioneel) mogen niet-functionele categorien niet vooraf aangevinkt zijn. De bezoeker moet actief kiezen.

Geen cookies voor toestemming

Je website mag geen tracking-cookies plaatsen voordat de bezoeker op "accepteren" klikt. Dit is een veelgemaakt technisch probleem: veel CMP's (Consent Management Platforms) laden standaard Google Analytics of de Facebook Pixel, ook voor bezoekers die nog geen keuze hebben gemaakt.

De cookiemuur is verboden

Je mag bezoekers niet dwingen om cookies te accepteren als voorwaarde om je website te gebruiken. De bezoeker moet je site ook zonder niet-functionele cookies volledig kunnen gebruiken.

Toegankelijkheid

Sinds 28 juni 2025 valt je cookiebanner ook onder de Europese Toegankelijkheidswet. Dat betekent:

• De banner moet navigeerbaar zijn met een toetsenbord
• Tekst moet leesbaar zijn voor schermlezers
• De kleurcontrasten moeten voldoen aan WCAG 2.1 AA
• Knoppen moeten voldoende groot zijn

Wat de AP controleert

De AP heeft in april 2025 begonnen met een systematische controle van cookiebanners op Nederlandse websites. Hun aanpak:

1. Ze bezoeken je website en screenen de cookiebanner
2. Als die niet voldoet, sturen ze een waarschuwingsbrief
3. Je krijgt drie maanden om je banner aan te passen
4. Na drie maanden controleren ze opnieuw
5. Voldoe je nog steeds niet? Dan start een formeel onderzoek met mogelijke boetes

De AP ontvangt jaarlijks 500.000 euro budget specifiek voor deze toezichtstaak. Dit is geen tijdelijke actie. Ze blijven controleren.

In december 2025 lanceerde de AP de publiekscampagne "Ga slim om met cookies" om bewustzijn bij consumenten te vergroten. Meer klachten van consumenten betekent meer controles.

Veelgemaakte fouten

"Verder surfen = akkoord"

Sommige websites tonen een banner met alleen een melding: "Door verder te surfen ga je akkoord met cookies." Dat is niet geldig. Toestemming moet een actieve handeling zijn. Doorscrollen telt niet.

Weigeren via omweg

Een banner met een "Accepteren" knop en een "Meer informatie" link die naar een pagina leidt waar je dan cookies kunt uitschakelen: dat telt niet als gelijke keuze. Weigeren moet net zo makkelijk als accepteren.

Cookie-instellingen niet aanpasbaar

Bezoekers moeten hun keuze later kunnen wijzigen. Een link in je footer naar "Cookie-instellingen" is de makkelijkste oplossing.

Onduidelijke categorien

"Performancecookies" of "analytische cookies" zegt de gemiddelde bezoeker niks. Leg in gewone taal uit wat elke categorie doet.

Zo controleer je je eigen cookiebanner

1. Open je website in een incognito/privebrowservenster
2. Kijk of er een cookiebanner verschijnt
3. Check: is de weigeren-optie net zo zichtbaar als accepteren?
4. Klik op weigeren en bezoek je website
5. Open de browser-dev-tools (F12) en ga naar Application > Cookies
6. Staan er cookies van Google, Facebook of andere trackers? Dan werkt je banner niet goed.

Of sneller: scan je website en wij controleren het voor je. Gratis, in twee minuten.

Welke cookiebanner-tools voldoen?

Er zijn tientallen CMP's (Consent Management Platforms) op de markt. De tool maakt niet uit, de instelling wel. De duurste tool ter wereld voldoet niet als je hem verkeerd configureert.

Waar je op moet letten:

• Standaard blokkeren van scripts totdat toestemming is gegeven
• Een weigeren-knop op het eerste scherm (niet achter "instellingen")
• Opslag van toestemmingsbewijs
• Makkelijk aanpasbaar ontwerp zodat weigeren en accepteren gelijk zijn
• Toegankelijk voor schermlezers en toetsenbordgebruikers

Veelgestelde vragen

Is een cookiebanner verplicht op mijn website?

Als je website niet-functionele cookies plaatst (analytics, marketing, social media embeds) dan is een cookiebanner verplicht. Alleen functionele cookies mogen zonder toestemming.

Wat is het verschil tussen functionele en niet-functionele cookies?

Functionele cookies zijn nodig om je website te laten werken (winkelwagen, taalinstelling). Niet-functionele cookies volgen bezoekers of verzamelen gedragsdata, zoals Google Analytics of Facebook Pixel.

Hoe hoog is de boete voor een verkeerde cookiebanner?

De AVG kent boetes tot 20 miljoen euro of 4% van je wereldwijde jaaromzet. In de praktijk begint de AP met een waarschuwing en geeft je drie maanden om je banner aan te passen.

Moet mijn cookiebanner ook toegankelijk zijn?

Ja. Sinds 28 juni 2025 geldt de Europese Toegankelijkheidswet. Je cookiebanner moet leesbaar, navigeerbaar met een toetsenbord en bruikbaar met een schermlezer zijn.

---

Dit artikel is technische analyse, geen juridisch advies. Raadpleeg een jurist voor advies over jouw specifieke situatie.