AP onderzoekt misleidende cookiebanners: voldoet jouw cookiebanner aan de regels?
De Autoriteit Persoonsgegevens (AP) voert de druk op. Op 16 oktober 2026 maakte de AP bekend een onderzoek te zijn gestart naar twee organisaties die, ondanks eerdere waarschuwingen, nog steeds misleidende cookiebanners gebruiken. Bij deze organisaties ontbreekt een direct zichtbare knop waarmee websitebezoekers trackingcookies kunnen weigeren.
Het onderzoek staat niet op zichzelf. Sinds 2024 controleert de AP steeds intensiever of websites op de juiste manier toestemming vragen voor het plaatsen van cookies. De afgelopen maanden heeft de AP ongeveer 100 organisaties gewaarschuwd omdat hun cookiebanner niet aan de wettelijke vereisten voldeed. Ongeveer 70% van deze organisaties heeft de cookiebanner vervolgens aangepast.
De boodschap van de AP is duidelijk: wie zijn cookiebanner niet op orde heeft, riskeert een onderzoek en een boete. Toch gaat het in de praktijk nog regelmatig mis. Denk aan een opvallende knop om alle cookies te accepteren, terwijl de mogelijkheid om cookies te weigeren nauwelijks zichtbaar is. Of aan trackingcookies die al worden geplaatst voordat een bezoeker daarvoor toestemming heeft gegeven.
Maar hoe zorg je ervoor dat jouw cookiebanner juridisch correct is ingericht? In deze blog zet ik de belangrijkste aandachtspunten op een rij.
Hoe richt je een juridisch correcte cookiebanner in?
1. Maak accepteren en weigeren even gemakkelijk
Bezoekers moeten trackingcookies net zo eenvoudig kunnen weigeren als accepteren. Plaats daarom op de eerste laag van jouw cookiebanner duidelijk zichtbare knoppen voor ‘Alles accepteren’ en ‘Alles weigeren’, eventueel aangevuld met ‘Voorkeuren instellen’.
Zorg ervoor dat beide keuzes even goed zichtbaar zijn. Een opvallende accepteerknop met een nauwelijks leesbare weigerknop is niet toegestaan. Ook mag het weigeren van cookies niet meer klikken vereisen dan het accepteren ervan.
2. Informeer bezoekers duidelijk
Leg in begrijpelijke taal uit welke cookies je gebruikt, welke persoonsgegevens daarmee worden verwerkt en voor welke doeleinden. Denk bijvoorbeeld aan het analyseren van websitegebruik of het tonen van gepersonaliseerde advertenties.
Deel je persoonsgegevens met derde partijen? Vermeld dan al op de eerste laag van de cookiebanner dat gegevens worden gedeeld en met hoeveel partijen. In een tweede laag of het cookiebeleid kun je aanvullende informatie geven over deze partijen en de gegevensverwerkingen.
Vage teksten zoals ‘Wij gebruiken cookies om jouw ervaring te verbeteren’ zijn onvoldoende om geïnformeerde toestemming te verkrijgen.
3. Gebruik geen vooraf aangevinkte vakjes
Toestemming vereist een actieve handeling van de websitebezoeker. Vooraf aangevinkte selectievakjes of ingeschakelde schuifjes voor toestemmingsplichtige cookies zijn daarom niet toegestaan.
Dit volgt ook uit het Planet49-arrest van het Hof van Justitie van de Europese Unie (C-673/17).
Bied je bezoekers de mogelijkheid om per doel toestemming te geven? Zorg dan dat alle toestemmingsplichtige categorieën standaard uitgeschakeld zijn.
Let op: niet voor alle cookies is toestemming vereist. Functionele cookies die noodzakelijk zijn voor het functioneren van een website en analytische cookies die geen of slechts geringe gevolgen hebben voor de privacy, mogen onder voorwaarden zonder toestemming worden geplaatst.
4. Plaats trackingcookies pas na toestemming
Een juridisch correcte cookiebanner is niet voldoende als de website technisch verkeerd is ingericht.
Trackingcookies en vergelijkbare volgtechnologieën mogen pas worden geplaatst of uitgelezen nadat de bezoeker daarvoor geldige toestemming heeft gegeven.
Controleer daarom of bijvoorbeeld advertentiepixels, trackingtools en cookies van externe partijen daadwerkelijk worden geblokkeerd totdat toestemming is verkregen.
5. Maak het intrekken van toestemming eenvoudig
Op grond van artikel 7 lid 3 AVG moet het intrekken van toestemming even eenvoudig zijn als het geven daarvan. Informeer bezoekers daarom al in de cookiebanner dat zij hun toestemming op ieder moment kunnen intrekken en hoe zij dat kunnen doen.
Zorg daarnaast dat de cookie-instellingen altijd eenvoudig toegankelijk blijven, bijvoorbeeld via een duidelijk zichtbare knop of een direct vindbare link.
6. Voorkom misleidende ontwerpkeuzes
De AP waarschuwt nadrukkelijk voor zogenoemde dark patterns: ontwerpkeuzes waarmee bezoekers worden gestuurd richting het accepteren van cookies.
Denk aan onduidelijke teksten, verborgen weigerknoppen of de suggestie dat bezoekers cookies moeten accepteren om de website te kunnen gebruiken. Ook verder scrollen of de website blijven gebruiken, geldt niet als rechtsgeldige toestemming.
Wie is verantwoordelijk voor de cookiebanner?
Veel organisaties gebruiken een externe leverancier of een zogenoemd Consent Management Platform (CMP) voor hun cookiebanner.
Maar let op: als eigenaar van de website blijf je zelf verantwoordelijk voor de naleving van de wettelijke vereisten. Dat een websitebouwer of softwareleverancier de cookiebanner heeft ingericht, betekent dus niet automatisch dat deze juridisch correct is. Ook de standaardinstellingen van een CMP voldoen niet altijd aan de AVG.
Controleer daarom regelmatig of jouw cookiebanner nog voldoet aan de wetgeving en of de technische instellingen daadwerkelijk werken.
Controleer jouw cookiebanner voordat de AP dat doet
Het recente onderzoek van de AP laat zien dat de handhaving op misleidende cookiebanners serieus wordt voortgezet. Organisaties die hun cookiebanner niet correct inrichten, lopen het risico op onderzoek, handhaving en mogelijk aanzienlijke boetes.
Een correcte cookiebanner vraagt om meer dan alleen een duidelijke tekst. Bezoekers moeten vrij kunnen kiezen, voldoende worden geïnformeerd en hun toestemming eenvoudig kunnen intrekken. Bovendien moet de technische inrichting van de website aansluiten op de gemaakte keuzes.
Mijn advies? Wacht niet op een waarschuwing van de AP, maar controleer nu of jouw cookiebanner voldoet aan de wettelijke vereisten. Twijfel je of jouw cookiebanner en cookiebeleid juridisch correct zijn ingericht? Neem gerust contact met mij op. Ik kijk graag met je mee om de risico’s voor jouw organisatie in kaart te brengen en waar nodig passende maatregelen te treffen. Meer weten over juiste cookiepraktijken, lees dan ook mijn vorige blog over cookiebanners.