In het kort: de Autoriteit Persoonsgegevens controleert sinds april 2025 actief cookiebanners, heeft ruim 200 websites gewaarschuwd en handhaaft in 2026 met dwangsommen en boetes. De regels: een weigerknop die even prominent is als de accepteerknop, geen tracking vóór de keuze en geen misleidend ontwerp. Wie alleen wil weten hoeveel bezoekers een pagina trekt, kan met cookieloze analytics zonder banner meten.
Wat de AP in 2025 en 2026 handhaaft
Twee wetten regelen cookies in Nederland. De Telecommunicatiewet (artikel 11.7a) zegt dat je toestemming nodig hebt voordat je iets op het apparaat van een bezoeker plaatst of uitleest, tenzij dat strikt noodzakelijk is of nauwelijks gevolgen heeft voor de privacy. De AVG regelt wat je daarna met de gegevens doet. Trackingcookies verwerken persoonsgegevens, dus de AP handhaaft via de AVG. De ACM houdt toezicht op de Telecommunicatiewet.
In april 2025 begon de AP met grootschalige controles, na honderden klachten van consumenten over banners waarin de weigerknop onvindbaar was of cookies al stonden voordat iemand had gekozen. De eerste 50 waarschuwingsbrieven gingen op 15 april 2025 de deur uit. Halverwege 2025 stond de teller op ruim 200 gewaarschuwde websites, waarvan driekwart de banner binnen de gestelde termijn aanpaste. Tegen de rest liep eind 2025 en begin 2026 een handhavingstraject. Voor 2026 heeft de AP een structureel budget van € 500.000 per jaar voor cookietoezicht, en pre-consent tracking en cookiebanners staan expliciet op de prioriteitenlijst.
Waar de AP concreet op let:
- Weigeren is even makkelijk als accepteren. Een weigerknop op dezelfde laag, in dezelfde grootte en met hetzelfde contrast als de accepteerknop. 'Instellingen' of 'Meer opties' als enige alternatief is niet genoeg.
- Geen tracking vóór de keuze. Zolang de bezoeker niets heeft gekozen, staan er geen marketing- of trackingcookies en vuren de pixels van Meta, Google Ads, TikTok en LinkedIn niet.
- Geen vooraf aangevinkte vakjes en geen 'doorgaan met scrollen is akkoord'.
- Geen misleidend ontwerp. Een grijze weigerknop naast een felgekleurde accepteerknop, verwarrende teksten of een kruisje dat stiekem accepteert: de AP noemt dit dark patterns en rekent ze aan.
- Intrekken is even makkelijk als geven. Een permanent bereikbare link of icoon om de keuze te wijzigen.
- Geen cookiewall. Toegang weigeren tenzij iemand accepteert, levert volgens de AP geen vrije toestemming op.
De AP stuurt niet alleen brieven. In 2025 kreeg de drogisterijketen Kruidvat een boete van € 600.000 voor trackingcookies zonder geldige toestemming. Dat is het bedrag dat het toezicht in Nederland een gezicht gaf.
Boetes, dwangsommen en de waarschuwingsbrief
Het traject verloopt in stappen. Eerst een brief waarin de AP beschrijft wat er aan je banner niet klopt, met een termijn van enkele weken om het te herstellen. Reageer je niet of onvoldoende, dan volgt een last onder dwangsom: een bedrag per dag of per week dat je verbeurt zolang de overtreding voortduurt. Dat is in de praktijk het scherpste instrument, want € 2.000 per dag doet meer dan een eenmalige boete die je kunt aanvechten. Blijft de overtreding bestaan, dan kan de AP een boete opleggen tot € 20 miljoen of 4 % van de wereldwijde jaaromzet.
Krijg je zo'n brief, doe dan 3 dingen. Lees precies welke overtreding wordt genoemd, want de AP is specifiek. Los het op vóór de termijn en documenteer wat je hebt veranderd, met schermafbeeldingen en datum. Bevestig schriftelijk aan de AP wat je hebt aangepast. Wie dat doet, is meestal klaar. Wie de brief negeert, staat op de lijst voor de volgende ronde.
Checklist: is jouw cookiebanner in orde?
Loop de tabel door met je eigen site open in een privévenster. Doe het op mobiel én desktop, want daar zien banners er vaak anders uit.
| Onderdeel | Wat we vaak fout zien | Zo hoort het |
|---|---|---|
| Weigerknop | Alleen 'Accepteren' en 'Instellingen' | 'Weigeren' naast 'Accepteren', zelfde formaat en kleurcontrast |
| Timing | Pixels vuren bij het laden van de pagina | Niets buiten functionele cookies tot er is gekozen |
| Standaardstand | Marketing vooraf aangevinkt | Alle niet-noodzakelijke categorieën standaard uit |
| Kruisje | Sluiten telt als accepteren | Sluiten telt als weigeren |
| Tekst | 'Wij gebruiken cookies voor een betere ervaring' | Concreet: welke categorieën, welke partijen, welk doel |
| Intrekken | Alleen via de browser | Zichtbare link of icoon op elke pagina |
| Bewijs | Niets vastgelegd | Consentlog met tijdstip, versie van de banner en keuze |
| Derde partijen | Embeds van YouTube, Maps of Vimeo laden altijd | Placeholder tot er toestemming is |
Drie punten worden vaak vergeten. Embedded video's en kaarten plaatsen cookies zonder dat je banner ervan weet. Een tagmanager die op 'page view' vuurt, omzeilt de banner. En een banner die op desktop netjes is, maar op mobiel de weigerknop onder de vouw verstopt, is voor de AP een banner zonder weigerknop.
Consent Mode v2 en GA4
Sinds maart 2024 eist Google Consent Mode v2 voor iedereen die in de EU Google Ads-doelgroepen of remarketing wil gebruiken. Consent Mode geeft de keuze van de bezoeker door aan Google-tags, die zich daar vervolgens naar gedragen. Er zijn 2 varianten:
- Basic: tags laden pas na toestemming. Geen toestemming betekent geen data, ook geen anonieme.
- Advanced: tags laden altijd, maar sturen zonder toestemming alleen cookieloze pings zonder identificatie. Google modelleert op basis daarvan een deel van de ontbrekende conversies.
Advanced levert meer inzicht, maar de AP kijkt kritisch naar wat er vóór toestemming naar Google gaat. Onze lijn: kies Advanced alleen als je juridisch hebt vastgesteld dat de pings geen persoonsgegevens bevatten en documenteer die afweging. Twijfel je, dan is Basic de veilige keuze. In beide gevallen blijft GA4 zelf een toestemmingsplichtige dienst zodra je de standaardinstellingen gebruikt: Google Signals aan, advertentiefuncties aan, gegevens gedeeld met Google.
Cookieloze analytics als alternatief
De Telecommunicatiewet kent een uitzondering voor analytics met geringe gevolgen voor de privacy. Wie alleen paginaweergaven, bronnen en apparaten telt, geen cookies plaatst, IP-adressen niet bewaart en geen gegevens deelt met derden, heeft daarvoor geen toestemming nodig. Daar zijn in 2026 volwassen tools voor:
- Plausible (EU-gehost, open source) vanaf ongeveer € 9 per maand, of gratis op je eigen server.
- Umami (open source), gratis self-hosted, met dashboards die je met klanten kunt delen.
- Simple Analytics (Nederlands), vanaf ongeveer € 9 per maand, met een handige AI-laag.
- Matomo in cookieloze modus, voor wie meer diepgang wil met behoud van eigen beheer.
Voor 80 % van de mkb-sites is dat genoeg: je ziet welke pagina's werken, waar bezoekers vandaan komen en hoeveel er een formulier invullen. Combineer je het met serverlogs voor conversies, dan kun je de banner helemaal weglaten. Voor je vindbaarheid verandert er niets, want Search Console blijft gewoon werken.
Wat het betekent voor advertenties en conversiemeting
Hier wringt het. Wie adverteert op Google, Meta of LinkedIn wil conversies terugmelden aan het platform, en dat vereist doorgaans toestemming. Met een eerlijke weigerknop zien we in Nederlandse webshops dat 30 tot 50 % van de bezoekers weigert. Dat is geen dataverlies, dat is de werkelijkheid die er altijd al was.
Wat wél helpt, binnen de regels:
- Server-side tagging. Je stuurt events vanaf je eigen server naar de platforms, met betere datakwaliteit en minder invloed van adblockers. Let op: het vervangt de toestemming niet, het maakt het meten na toestemming betrouwbaarder.
- Conversions API van Meta en Enhanced Conversions van Google, gekoppeld aan toestemmingsstatus.
- Modellering via Consent Mode, die een deel van de gaten statistisch opvult.
- First-party data: e-mail, klantaccounts en orders in je eigen systemen, waar je wel iets over mag zeggen.
Voor een webshop betekent dat: minder pixeldata, maar schonere data. Wie zijn campagnes stuurt op marges en klantwaarde uit het eigen ordersysteem in plaats van op platformrapporten, merkt de weigerknop nauwelijks.
Wees ook bewust van wat er speelt in Brussel. In november 2025 stelde de Europese Commissie in het Digital Omnibus-pakket voor om de cookieregels in de AVG onder te brengen, browserinstellingen als geldige keuze te erkennen en laag-risico-analytics vrij te stellen. Dat is in 2026 nog een voorstel, geen wet. Tot het anders is, geldt wat de AP handhaaft.
Implementatie in 1 dag
Een banner op orde brengen is geen project van weken. Zo doen we het in 1 werkdag:
- Inventarisatie (1 uur). Scan van alle cookies en scripts, ook die van embeds en de tagmanager.
- Categorisering (1 uur). Functioneel, analytisch, marketing, met per script een eigenaar en doel.
- Banner (2 uur). Een CMP zoals Cookiebot, CookieYes of een eigen lichte implementatie, met weigerknop op de eerste laag en consentlog.
- Tagmanager (2 uur). Alle tags achter triggers op basis van toestemming, Consent Mode v2 ingesteld, embeds achter placeholders.
- Test (1 uur). In privévenster, op 3 apparaten, met een cookiescanner vóór en na de keuze.
- Documentatie (1 uur). Cookieverklaring bijgewerkt, verwerkingsregister aangevuld, screenshots gearchiveerd.
RABZI-indicatie: wie bij ons websiteonderhoud afneemt (Care vanaf € 95 per maand) krijgt de cookiecheck en de jaarlijkse herkeuring standaard mee. Een eenmalige consent- en meetinrichting, inclusief Consent Mode v2, server-side tagging of een cookieloze analytics-opzet, valt onder conversie en online marketing vanaf € 1.950 excl. btw. Je krijgt een banner die klopt, een meetopzet die werkt en een dossier dat je aan de AP kunt laten zien.
Wie toch een brief ontvangt, hoort dat vaak samen met andere compliance-vragen: toegankelijkheid en, voor bedrijven in de keten van kritieke sectoren, de Cyberbeveiligingswet. Het loont om die 3 in 1 keer te bekijken.
Veelgestelde vragen
Is een cookiebanner verplicht in 2026? Nee. Een banner is verplicht als je cookies of scripts gebruikt die toestemming vereisen, zoals marketingpixels, remarketing of embedded video. Gebruik je alleen functionele cookies en privacyvriendelijke, cookieloze analytics, dan volstaat een duidelijke cookieverklaring en heb je geen banner nodig.
Mag ik Google Analytics 4 gebruiken zonder toestemming? Alleen als je GA4 privacyvriendelijk instelt: geen Google Signals, geen advertentiefuncties, geen gegevensdeling met Google, IP-anonimisering en een verwerkersovereenkomst. Veel organisaties halen dat niet en zetten GA4 daarom achter de banner. Een cookieloos alternatief is vaak eenvoudiger en even bruikbaar.
Wat doe ik als ik een brief van de Autoriteit Persoonsgegevens krijg? Lees welke overtreding wordt genoemd, los die op vóór de termijn, leg de wijziging vast met screenshots en datum en bevestig schriftelijk aan de AP wat je hebt gedaan. Driekwart van de gewaarschuwde websites is daarmee klaar. Negeren leidt tot een last onder dwangsom.
Kost een echte weigerknop me conversiedata? Je ziet minder conversies in de advertentieplatforms, omdat 30 tot 50 % van de bezoekers weigert. De conversies zelf verdwijnen niet. Met server-side tagging, Consent Mode-modellering en sturing op je eigen ordersysteem houd je genoeg zicht om campagnes te optimaliseren.
Conclusie
De cookiebannerregels van 2026 zijn niet nieuw, de handhaving wel. Een weigerknop naast de accepteerknop, niets laden vóór de keuze, geen trucs en een bewijsbaar consentlog: daarmee ben je klaar voor de AP. Wie alleen wil weten hoe zijn site presteert, kan met cookieloze analytics de banner zelfs helemaal weglaten. Wil je zeker weten of jouw banner en meetopzet kloppen? Plan een kennismaking, we checken je site binnen 2 werkdagen en vertellen precies wat er moet gebeuren.