kort antwoord
De AP onderzoekt sinds 16 oktober 2026 twee organisaties die na een waarschuwing een cookiebanner zonder zichtbare weigerknop bleven gebruiken. Zorg dat weigeren op je eigen site net zo makkelijk is als accepteren.
De Autoriteit Persoonsgegevens (AP) is op 16 oktober 2026 een onderzoek gestart naar 2 organisaties die na een waarschuwing een misleidende cookiebanner bleven gebruiken. Het probleem in beide gevallen: er staat geen direct zichtbare knop op om trackingcookies te weigeren. Heeft jouw banner wel een knop “Accepteren” maar moet je voor weigeren doorklikken? Dan is dit het moment om dat aan te passen.
Wat heeft de AP precies gedaan?
Volgens het nieuwsbericht van de AP controleert de toezichthouder sinds 2024 vaker of organisaties op de juiste manier toestemming vragen voor cookies en andere volgsoftware. De cookiebanner is daarbij een vast controlepunt.
De afgelopen maanden heeft de AP zo’n 100 organisaties gewaarschuwd over een banner die niet aan de eisen voldoet. De AP noemt onder meer de mediasector, zorg en welzijn en de verzekeringsbranche. Ongeveer 70 procent van die organisaties heeft de banner daarna aangepast. Naar 2 organisaties die hun banner ondanks uitleg en waarschuwing niet aanpasten, loopt nu een onderzoek. De AP schrijft dat wie niet aanpast “een onderzoek en mogelijk een boete” kan verwachten.
Het is niet de eerste ronde. In november 2025 meldde de AP al dat driekwart van de gewaarschuwde websites hun banner had aangepast en dat er een onderzoek liep naar weigeraars. Het patroon is dus vast: eerst een brief met uitleg, dan controle, dan onderzoek. Volgens ICTRecht, een advocatenkantoor voor ICT-recht, krijgen organisaties na zo’n brief drie maanden om hun banner op orde te brengen.
Wat is er mis met een banner zonder weigerknop?
Een trackingcookie is een stukje software waarmee een website of een externe partij je bezoekers kan volgen, ook buiten je eigen site. Denk aan advertentiepixels en uitgebreide analysetools. Daarvoor heb je toestemming nodig, en die toestemming moet vrijwillig zijn.
De AP is daar duidelijk over: het moet voor bezoekers net zo makkelijk zijn om trackingcookies te weigeren als om ze te accepteren. Een banner met een grote knop “Accepteren” en alleen een linkje “Instellingen” stuurt bezoekers naar ja zeggen. Daarom moet er naast de knop “Accepteren” een direct zichtbare weigerknop staan.
Dat klinkt als een detail, maar het is precies het punt waar de AP nu op handhaaft. Controleer het dus ook als je banner uit een standaard plug-in komt: de standaardinstelling zegt niets over wat de AP accepteert.
De 9 vuistregels van de AP op een rij
De AP heeft een pagina met vuistregels voor heldere cookiebanners. Dit zijn ze, kort vertaald naar wat je op je eigen site controleert:
| Vuistregel van de AP | Wat je controleert |
|---|---|
| Geef informatie over de verwerking en het doel | Staat in de eerste laag voor welke doelen je cookies gebruikt en of je gegevens met derden deelt, en met hoeveel? |
| Zet vinkjes niet automatisch aan | Staan er geen vooraf aangevinkte vakjes of aangezette schuifjes, ook niet in een tweede laag? |
| Gebruik duidelijke tekst | Staat er op de knoppen gewoon “Accepteren” en “Weigeren”, en niet iets vaags als “Prima” of “Doorgaan”? |
| Zet verschillende keuzes op één laag | Staan accepteren en weigeren in hetzelfde scherm? |
| Verberg bepaalde keuzes niet | Is de weigerknop even goed leesbaar als de accepteerknop, zonder te hoeven scrollen? |
| Laat iemand niet extra klikken | Kost weigeren niet meer klikken dan accepteren, zonder extra bevestiging? |
| Gebruik geen onopvallende link in de tekst | Is weigeren een echte knop en geen linkje verstopt in de lopende tekst? |
| Maak intrekken net zo makkelijk als geven | Kan een bezoeker die keuze later makkelijk wijzigen, bijvoorbeeld via een vaste knop of bovenaan je cookiebeleid? |
| Verwar toestemming niet met gerechtvaardigd belang | Gebruik je “gerechtvaardigd belang” alleen voor functionele en beperkte analytische cookies, en heb je die afweging vastgelegd? |
Een paar begrippen kort uitgelegd. Een laag is een scherm van de banner: de eerste melding is laag één, het scherm met details na een klik is laag twee. Gerechtvaardigd belang is een juridische grondslag waarbij je geen toestemming vraagt, maar zelf afweegt of jouw belang zwaarder weegt dan de privacy van de bezoeker. Volgens de AP mag je dat alleen gebruiken voor functionele en beperkte analytische cookies, en moet je die afweging kunnen aantonen.
Wat doe je deze week?
Je hoeft geen jurist te zijn om je banner te controleren. Begin met deze stappen:
- Open je site in een privévenster. Dan zie je de banner zoals een nieuwe bezoeker hem ziet. Staat er een weigerknop naast de accepteerknop, even groot en even goed leesbaar?
- Klik op weigeren en kijk wat er gebeurt. Volgt er nog een extra scherm of bevestiging? Dan voldoet het niet aan de vuistregels.
- Controleer of er al cookies worden geplaatst vóór je keuze. ICTRecht noemt dit als veelgemaakte fout: trackingcookies die al laden voordat iemand toestemming heeft gegeven. De AP wijst op een gratis audittool van de European Data Protection Board (EDPB) die laat zien welke cookies je site plaatst en of gegevens worden doorgestuurd.
- Loop je cookielijst na. Weet je welke partijen gegevens van je bezoekers krijgen en waarom? De AP stelt de vraag scherp: gebruik je die gegevens eigenlijk wel?
- Kijk of bezoekers hun keuze later kunnen wijzigen. Een klein vast knopje in de hoek van het scherm is een gangbare oplossing.
- Werk je cookie- of privacyverklaring bij. De AP vraagt dat je vermeldt welke cookies je gebruikt, voor welk doel, met welke partijen je gegevens deelt en hoe lang cookies actief blijven.
Gebruik je een cookieplug-in in WordPress? Dan zit de oplossing vaak in de instellingen: een weigerknop aanzetten op de eerste laag en vooraf aangevinkte categorieën uitzetten. Controleer daarna wel of scripts van bijvoorbeeld advertentienetwerken echt pas laden na toestemming. Dat gaat bij losse koppelingen en ingesloten video’s nog weleens mis. Dit soort controles hoort bij goed website onderhoud, net als het bijwerken van de plug-in zelf.
Kan het ook zonder cookiebanner?
Soms wel. De AP schrijft zelf dat je de banner kunt verwijderen als je geen persoonsgegevens van bezoekers meer verzamelt. Functionele cookies en beperkte analytische cookies met geen of geringe gevolgen voor de privacy mag je volgens de AP zonder toestemming plaatsen.
De AP noemt als alternatief statistiekdiensten die bezoekers niet over het hele internet volgen, zoals Matomo, Plausible Analytics, Apache Superset en OpenPanel, met de nadrukkelijke voorwaarde “mits goed ingesteld”. Voor advertenties wijst de AP op contextuele advertenties: die kijken naar de inhoud van de pagina en niet naar de persoon die hem bekijkt.
Voor veel mkb-sites is dit de nuchterste route. De AP wijst erop dat informatie uit cookies regelmatig wordt doorgegeven aan honderden derde partijen, terwijl veel organisaties die gegevens zelf nooit gebruiken. Minder scripts betekent ook een snellere site, en dat helpt je weer bij vindbaarheid in Google en AI-zoekmachines. Draai je een webshop met advertentiecampagnes, dan heb je die tracking waarschijnlijk wel nodig. Dan is een correcte banner gewoon verplicht.
Waarom dit meer is dan een juridisch detail
De AP benadrukt dat organisaties ook verantwoordelijk zijn voor schade als gegevens van bezoekers bij een hack of datalek betrokken raken. Hoe meer je verzamelt, hoe groter dat risico. Een banner die eerlijk vraagt en een site die weinig verzamelt, beperken dus zowel de kans op een boete als de schade als het misgaat.
De AP noemt een paar sectoren, maar de regels gelden voor iedere website die trackingcookies plaatst. En volgens ICTRecht blijft de AP de komende jaren banners controleren en waarschuwingsbrieven sturen. Laat je je site beheren via een pakket voor onderhoud en hosting? Vraag dan of de cookiebanner en de scripts op je site meegaan in de controles.
Veelgestelde vragen
Ja. De AP heeft onder meer organisaties in de media, zorg en welzijn en verzekeringen gewaarschuwd, maar de regels voor toestemming gelden voor iedere website die trackingcookies plaatst, ongeacht de omvang van het bedrijf.
Nee. Volgens de AP moeten weigeren en accepteren op dezelfde laag staan en mag weigeren niet meer klikken kosten. Een knop “Instellingen” waarachter pas de weigeroptie zit, voldoet daar niet aan.
Dat hangt af van hoe je het instelt en welke gegevens je deelt. De AP zegt alleen dat functionele en beperkte analytische cookies met geen of geringe privacygevolgen zonder toestemming mogen. Twijfel je, vraag dan toestemming of kies een privacyvriendelijk alternatief dat goed is ingesteld.
Volgens ICTRecht krijg je dan drie maanden om je banner aan te passen. Doe je dat niet, dan kan de AP een onderzoek starten en mogelijk een boete opleggen. Bij 2 organisaties is zo’n onderzoek nu gestart.
Volgens de AP moeten bezoekers cookies kunnen weigeren zonder dat dat nadelige gevolgen voor hen heeft. Een site die alleen werkt na het accepteren van trackingcookies past daar niet bij.
Bronnen
- AP onderzoekt websites vanwege misleidende cookiebanner (Autoriteit Persoonsgegevens, 16 oktober 2026)
- Heldere cookiebanners (Autoriteit Persoonsgegevens)
- Cookies en uw organisatie: zorg voor een goed beleid (Autoriteit Persoonsgegevens)
- Is your cookie banner not in order? The Dutch Data Protection Authority is watching (ICTRecht)