Is een cookiebanner verplicht voor jouw website? Niet altijd. Of een cookiebanner verplicht is, hangt niet af van de grootte van je bedrijf, maar van wat er op je website draait: een winkelmandje, een statistiektool, een advertentiepixel, een ingesloten video. In dit artikel lees je welke cookies toestemming vragen, welke tools op een gewone bedrijfswebsite het verschil maken, waar de Autoriteit Persoonsgegevens (AP) nu op controleert en hoe je je eigen banner in vijf minuten test.
De regels hieronder komen rechtstreeks van de AP, de ACM en de Telecommunicatiewet. NyxWorks bouwt websites voor zzp'ers en kleine bedrijven en richt de technische kant van cookies en statistieken in. Dit is algemene informatie, geen juridisch advies.
Gecontroleerd op 8 november 2026. Regels, handhaving en prijzen kunnen veranderen. Controleer de gelinkte bronnen voordat je beslist.
Is een cookiebanner verplicht? Het korte antwoord
Wanneer is een cookiebanner verplicht? Zodra je website cookies of vergelijkbare technieken gebruikt waarvoor je toestemming nodig hebt. Dat zijn vooral trackingcookies: cookies die bezoekers volgen, profielen maken of gegevens delen met advertentiepartijen.
Gebruik je alleen cookies die nodig zijn om je website te laten werken, en eventueel statistieken met weinig gevolgen voor de privacy? Dan hoef je geen toestemming te vragen. Je moet bezoekers wel vertellen welke cookies je plaatst, bijvoorbeeld in je privacyverklaring.
De basis staat in artikel 11.7a van de Telecommunicatiewet. Daarin staat dat je alleen informatie op het apparaat van een bezoeker mag opslaan of uitlezen als die bezoeker duidelijk is geïnformeerd en toestemming heeft gegeven. Dat geldt niet alleen voor cookies, maar voor elke techniek die iets op een computer, telefoon of tablet opslaat of uitleest. Er zijn twee uitzonderingen die voor de meeste websites belangrijk zijn:
- Strikt noodzakelijk voor de dienst waar de bezoeker zelf om vraagt, zoals een winkelmandje of inloggen.
- Informatie over de kwaliteit of effectiviteit van je website, maar alleen als dat geen of geringe gevolgen heeft voor de privacy van je bezoekers.
Verwerk je met die cookies persoonsgegevens? Dan geldt daarnaast de AVG. De Telecommunicatiewet bepaalt dus wanneer je toestemming moet vragen, de AVG bepaalt hoe je met de persoonsgegevens omgaat.
Welke cookies vragen om toestemming?
De AP verdeelt cookies in drie soorten. Die indeling is de snelste manier om te bepalen of een cookiebanner verplicht is voor jouw site.
| Soort cookie | Waarvoor | Toestemming nodig? |
|---|---|---|
| Functionele cookies | Website laten werken: winkelmandje, inloggegevens, taalkeuze | Nee, wel informeren |
| Beperkt analytische cookies | Bezoekersaantallen en populaire pagina's, met geen of geringe gevolgen voor privacy | Nee, wel informeren (en een grondslag als je persoonsgegevens verwerkt) |
| Overige cookies, zoals trackingcookies | Gedrag volgen, ook over andere websites, profielen maken, gerichte advertenties | Ja, vooraf |
De ACM zegt hetzelfde vanuit de Telecommunicatiewet: functionele cookies mag je zonder toestemming plaatsen zolang je het vertelt. Voor tracking cookies en privacygevoelige analytische cookies is toestemming verplicht. Dat geldt ook voor technieken als scripts en web beacons die toegang geven tot informatie op het apparaat van de bezoeker.
Let op het woordje "beperkt". Een statistiektool valt alleen in de middelste rij als de gevolgen voor de privacy echt gering zijn. Deelt een tool gegevens met andere partijen of bouwt hij profielen op, dan schuift hij naar de onderste rij.
Wanneer is een cookiebanner verplicht? De tools op je website
Ondernemers weten vaak niet welke cookies hun site plaatst, omdat ze nooit zelf een cookie hebben "toegevoegd". Ze komen mee met tools en plug-ins. Hieronder staan de onderdelen die we op kleine bedrijfswebsites het vaakst tegenkomen. De derde kolom is een vuistregel op basis van de indeling hierboven, geen oordeel over één specifiek product: hoe een tool zich gedraagt, hangt af van de instellingen.
| Onderdeel op je site | Meestal | Wat je controleert |
|---|---|---|
| Winkelmandje, login, taalkeuze | Functioneel | Staat het in je privacyverklaring? |
| Statistieken die alleen tellen, zonder delen of profielen | Beperkt analytisch | Deelt de tool gegevens met derden? |
| Google Analytics of een vergelijkbare tool | Hangt af van je instellingen | Zijn advertentiefuncties of het delen van gegevens aan? Dan reken je op toestemming |
| Advertentie- of remarketingpixel (bijvoorbeeld van social media) | Tracking | Toestemming vooraf, pixel pas laden na "accepteren" |
| Ingesloten video, kaart of social-mediaknop van een andere partij | Vaak cookies van die partij | Plaatst die partij volgcookies? Dan pas laden na toestemming |
| Chatwidget of formulierdienst van derden | Wisselt | Wat slaat de dienst op en met wie deelt hij het? |
Voorbeeld. Een kapper heeft een site met een afsprakenknop, een Google Maps-kaart en een advertentiepixel voor Instagram-advertenties. De afsprakenknop is waarschijnlijk functioneel. De pixel is tracking en vraagt vooraf toestemming. De kaart moet je controleren. Conclusie: voor deze kapper is een cookiebanner verplicht, en de pixel mag pas laden nadat iemand op "accepteren" klikt.
Ook NyxWorks laadt zijn eigen statistieken (Google Analytics 4) pas nadat een bezoeker toestemming geeft. Zonder "accepteren" telt de tool die bezoeker niet.
Waarom de AP nu naar cookiebanners kijkt
De AP controleert sinds 2024 strenger op cookies en heeft een hulpmiddel gemaakt dat snel nagaat of een cookiebanner aan de eisen voldoet. De aanpak verloopt in stappen: eerst een waarschuwingsbrief, bij ernstige overtredingen of als een organisatie weigert aan te passen volgen onderzoek en mogelijk een boete.
Een paar momenten op een rij (zoals gemeld door de AP):
- 16 juli 2024: de eerste cookieboete, 600.000 euro voor het bedrijf achter Kruidvat.nl. Bezoekers werden gevolgd met tracking cookies zonder geldige toestemming.
- April 2025: de AP begint structureel te controleren of websites in Nederland op de juiste manier toestemming vragen.
- 11 november 2025: meer dan 200 websites zijn gewaarschuwd, ongeveer driekwart heeft de banner aangepast.
- 16 oktober 2026: de AP start een onderzoek naar 2 organisaties die na uitleg en een waarschuwing een cookiebanner bleven gebruiken zonder direct zichtbare weigerknop. In de maanden daarvoor waarschuwde de AP zo'n 100 organisaties, waarvan ongeveer 70 procent de banner aanpaste.
Is een cookiebanner verplicht voor je site, dan is het meest genoemde probleem dus niet het ontbreken van een banner, maar een banner die sturend is. Weigeren moet net zo makkelijk zijn als accepteren.
Checklist: de 9 regels van de AP voor een goede cookiebanner
Is een cookiebanner verplicht voor jouw website, dan geeft de AP negen vuistregels. Loop ze na met je eigen banner ernaast.
Regel 1 tot 5: informatie en knoppen
- Vertel wat je verzamelt en waarvoor, vóórdat iemand kiest. Deel je gegevens met andere partijen, zeg dat dan al in de eerste laag, inclusief om hoeveel partijen het gaat.
- Geen vooraf aangevinkte vakjes of schuifjes, ook niet in een tweede laag.
- Duidelijke knoppen zoals "accepteren" en "weigeren", geen vage of sturende tekst.
- Accepteren en weigeren op dezelfde laag. Niet doorklikken om te weigeren als accepteren in één klik kan.
- De weigerknop niet verstoppen: niet onderaan na scrollen, niet in een kleur die bijna wegvalt tegen de achtergrond.
Regel 6 tot 9: weigeren, intrekken en grondslag
- Weigeren kost niet meer klikken dan accepteren, dus ook geen extra "weet je het zeker?".
- Geen onopvallend linkje in de tekst als enige manier om te weigeren.
- Toestemming intrekken is net zo makkelijk als geven, bijvoorbeeld met een knop die altijd in beeld blijft. Vertel dat al vóór de keuze.
- Verwar toestemming niet met gerechtvaardigd belang. Voor functionele en beperkt analytische cookies kan gerechtvaardigd belang een grondslag zijn, maar dan moet je een belangenafweging kunnen laten zien en moeten bezoekers makkelijk bezwaar kunnen maken.
Daarnaast noemen de AP en de ACM wat nooit geldige toestemming is: "door verder te scrollen ga je akkoord", geen actie van de bezoeker, vooraf aangevinkte keuzes en een cookiewall die de site blokkeert als je weigert. Je toestemming verstoppen in je algemene voorwaarden of privacyverklaring telt ook niet.
Test je eigen cookiebanner in 5 minuten
Je hoeft geen ontwikkelaar te zijn om de grootste fouten te vinden. Doe dit op je telefoon én op je laptop:
- Open je site in een privévenster, zodat eerdere keuzes niet meetellen.
- Kijk naar de eerste laag. Staan "accepteren" en "weigeren" naast elkaar, even groot en even goed leesbaar?
- Tel de klikken. Hoeveel klikken kost accepteren, hoeveel weigeren? Dat moet gelijk zijn.
- Klik op weigeren en surf verder. Werkt de site normaal? Een site die na weigeren blokkeert, is een cookiewall.
- Zoek de weg terug. Kun je je keuze later makkelijk wijzigen, zonder te zoeken?
- Lees de tekst als bezoeker. Begrijp je waarvoor je toestemming geeft en of er gegevens naar andere partijen gaan?
Wil je verder kijken dan wat je ziet? De AP wijst op het gratis website-auditprogramma van de European Data Protection Board (EDPB). Het laat zien welke cookies je site plaatst, of gegevens van bezoekers worden doorgestuurd en of je site een beveiligde verbinding gebruikt. Het programma is Engelstalig en vraagt wat technische handigheid.
Een snelle algemene controle van de rest van je website (snelheid, SEO, basisinstellingen) doe je met de gratis Website X-ray. Die test kijkt niet naar cookies, dus gebruik hem naast de stappen hierboven.
Kun je de cookiebanner ook weglaten?
Ja. Is een cookiebanner verplicht omdat je trackingcookies gebruikt, dan kun je ook stoppen met die tracking. De AP noemt dat zelf de eenvoudigste route. Verzamel je geen persoonsgegevens met trackingcookies, dan hoef je ook geen toestemming te vragen en kan de banner weg. Je moet bezoekers dan nog steeds informeren over de functionele en beperkt analytische cookies die je wel gebruikt.
Twee vragen helpen bij die keuze:
- Gebruik je de gegevens echt? De AP wijst erop dat veel organisaties gegevens verzamelen die ze nooit gebruiken, terwijl die gegevens wel naar andere partijen kunnen gaan. Een pixel van een advertentiecampagne die al jaren stilstaat, levert alleen risico op.
- Kan het met minder? De AP noemt als alternatieven statistiekdiensten die bezoekers niet over het hele internet volgen, zoals Matomo, Apache Superset, Plausible Analytics en OpenPanel, mits goed ingesteld. Voor advertenties noemt de AP contextuele advertenties: een advertentie die past bij de inhoud van de pagina in plaats van bij de persoon.
De afweging is eerlijk gezegd zakelijk. Adverteer je actief met remarketing, dan heb je die pixel misschien nodig en is een goede cookiebanner de prijs. Meet je alleen hoeveel mensen langskomen, dan kost een banner je vooral irritatie bij bezoekers.
Wat NyxWorks wel en niet doet
Wij richten de technische kant in: welke scripts pas na toestemming laden, hoe de banner eruitziet en werkt, en hoe je statistieken en conversies meet. Bij nieuwe websites nemen we dat mee in de bouw. Voor bestaande sites is er Analytics & conversion setup voor € 99 (eerstejaarsprijs, normaal € 129), en bij een onderhoudsplan controleren we na updates of alles nog werkt: WordPress Care € 59 per maand, WooCommerce Care € 109 per maand. Prijzen zijn exclusief btw, gecontroleerd op 8 november 2026 en kunnen veranderen. Zie alle prijzen of webontwikkeling.
Wat we niet doen: juridisch advies geven of je privacy- en cookieverklaring opstellen. Die verantwoordelijkheid ligt bij jou of je juridisch adviseur.
Andere regels die op je website gelden, lees je in de toegankelijkheidswet voor je website en webshop en de checklist voor een website laten maken. Reken je nog aan een nieuwe site, kijk dan bij wat kost een website laten maken.
Veelgestelde vragen
Is een weigerknop verplicht in een cookiebanner?
Is een cookiebanner verplicht omdat je trackingcookies gebruikt, dan moet weigeren net zo makkelijk zijn als accepteren. De AP zegt dat de knoppen op dezelfde laag horen en dat de weigerknop direct zichtbaar moet zijn. Het ontbreken van een zichtbare weigerknop was in oktober 2026 de reden voor een onderzoek naar twee organisaties.
Heb ik een cookiebanner nodig voor Google Analytics?
Of een cookiebanner verplicht is voor Google Analytics, hangt af van hoe je het hebt ingesteld. Alleen statistieken met geen of geringe gevolgen voor de privacy vallen onder de uitzondering. Zijn advertentiefuncties aan of deel je gegevens met andere partijen, dan reken je op toestemming. Twijfel je, laad de tool dan pas na toestemming.
Is een cookiewall toegestaan?
Nee. Volgens de AP moet je een website normaal kunnen gebruiken als je trackingcookies weigert. Een cookiewall die de site blokkeert bij weigeren, noemt de AP verboden onder de AVG.
Moet ik ook een cookieverklaring hebben?
Je moet bezoekers altijd vertellen welke cookies je plaatst, ook als je geen toestemming nodig hebt. Dat kan in je privacy- of cookieverklaring. De AP vraagt om die verklaringen goed vindbaar te maken. Voor trackingcookies is alleen een verwijzing naar die verklaring niet genoeg: de belangrijkste informatie moet vóór de keuze in beeld zijn.
Twijfel je over jouw site?
Weet je niet zeker of een cookiebanner verplicht is voor jouw site, welke tools cookies plaatsen of hoe je ze pas na toestemming laadt? In een gesprek van 30 minuten (€ 30, gecontroleerd op 8 november 2026, kan veranderen) lopen we je site samen door en zeggen we wat technisch nodig is. Het juridische deel blijft bij jou of je adviseur.
Bronnen
- Autoriteit Persoonsgegevens: Cookies
- Autoriteit Persoonsgegevens: Heldere cookiebanners
- Autoriteit Persoonsgegevens: Cookies en uw organisatie, zorg voor een goed beleid
- Autoriteit Persoonsgegevens: Zo houdt de AP toezicht op cookies
- AP: onderzoek naar websites vanwege misleidende cookiebanner (16 oktober 2026)
- AP: driekwart websites past misleidende cookiebanner aan (11 november 2025)
- AP: boete van 600.000 euro voor tracking cookies op Kruidvat.nl (16 juli 2024)
- ACM: Cookies plaatsen
- Telecommunicatiewet, artikel 11.7a
- EDPB Website Auditing Tool
Gecontroleerd op 8 november 2026. Regels, handhaving en prijzen kunnen veranderen. Dit is algemene informatie, geen juridisch advies.
Volgende stap
Wil je dit voor je bedrijf laten doen?
Vertel wat je nodig hebt. Je krijgt een vaste scope en een openbare prijs, meestal binnen een dag.
Start een project
