De cookiewet uitgelegd: wat moet je als website-eigenaar?

Kort antwoord: de cookiewet is artikel 11.7a van de Telecommunicatiewet. Het komt erop neer dat je vooraf toestemming nodig hebt voordat je cookies of vergelijkbare technieken gebruikt om bezoekers te volgen of te meten. Alleen cookies die nodig zijn om je site te laten werken en privacyvriendelijke analytische cookies zijn uitgezonderd. Zodra je persoonsgegevens verwerkt, geldt daarnaast de AVG.

Wat staat er in de cookiewet?

De cookiewet is geen aparte wet maar een artikel in de Telecommunicatiewet, gebaseerd op de Europese ePrivacyrichtlijn. Hij geldt voor cookies, maar ook voor vergelijkbare technieken zoals pixels, local storage en fingerprinting. De kern:

1. Informeren: je vertelt bezoekers duidelijk en volledig welke cookies je gebruikt en waarvoor.
2. Toestemming vragen: voor alles wat niet strikt nodig is, vraag je vooraf toestemming.
3. Pas daarna plaatsen: niet-noodzakelijke cookies laden pas nadat iemand "ja" heeft gezegd.

Welke cookies mogen zonder toestemming?

• Functionele cookies: nodig om je site te laten werken, zoals een winkelwagen, een inlogsessie of het onthouden van de cookiekeuze. Meer daarover in functionele cookies uitgelegd.
• Analytische cookies met weinig of geen privacy-impact: alleen als ze privacyvriendelijk zijn ingesteld volgens de voorwaarden van de Autoriteit Persoonsgegevens. Een standaard Google Analytics-installatie voldoet daar meestal niet aan.

Voor al het andere, zoals advertentiepixels, retargeting, ingesloten video's van derden en heatmaps die gedrag vastleggen, heb je altijd vooraf toestemming nodig.

Wanneer is toestemming geldig?

Een banner neerzetten is niet genoeg. De toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. De Autoriteit Persoonsgegevens vertaalt dat naar concrete eisen:

• Weigeren is even makkelijk als accepteren. Een grote knop "Alles accepteren" en een verstopte link "Instellingen" is niet in orde.
• Geen vooraf aangevinkte vakjes. Het Europese Hof van Justitie bepaalde in 2019 (het Planet49-arrest) dat een vooraf aangevinkt vakje geen geldige toestemming is.
• Geen cookiewall. De toegang tot je site afhankelijk maken van het accepteren van trackingcookies levert volgens de AP geen vrije toestemming op.
• Niets laden vóór de keuze. Trackers die al vuren terwijl de banner nog in beeld staat, maken de hele banner zinloos.
• Intrekken moet kunnen. Een bezoeker moet zijn keuze later eenvoudig kunnen aanpassen, bijvoorbeeld via een vaste link of knop.
• Doorscrollen is geen toestemming. Verder klikken of scrollen op de pagina telt niet als "ja".

Wie controleert, en wat gebeurt er als het niet klopt?

De Autoriteit Persoonsgegevens houdt toezicht op cookies waarmee persoonsgegevens worden verwerkt, en dat is bij trackingcookies vrijwel altijd het geval. De ACM houdt toezicht op de cookiebepaling in de Telecommunicatiewet.

De AP controleert actief. In 2025 kregen ruim 200 organisaties een waarschuwing over hun cookiebanner, en een deel daarvan kreeg een onderzoek dat tot een boete kan leiden. Onder de AVG kunnen boetes oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet.

Er is ook een commerciële kant: Google verwacht van adverteerders in de EU dat ze geldige toestemming vragen en die via Google Consent Mode v2 doorgeven. Zonder dat signaal kun je remarketing en conversiemeting in Google Ads kwijtraken.

Checklist: voldoet jouw website?

1. Er staat een cookiebanner die verschijnt vóórdat er iets gemeten wordt.
2. "Weigeren" staat op de eerste laag, even groot en duidelijk als "Accepteren".
3. Analytische en marketingcookies staan standaard uit.
4. Advertentiepixels en analytics laden pas na toestemming.
5. Google Consent Mode v2 staat goed, als je Google Ads of Google Analytics gebruikt.
6. Je keuze wordt vastgelegd, zodat je kunt aantonen wie waarvoor toestemming gaf.
7. Er is een cookiebeleid dat uitlegt welke cookies je gebruikt.
8. Bezoekers kunnen hun keuze later wijzigen via een vaste link of knop.

Wil je weten waar je nu staat? Doe de gratis cookie checker. Die laat in een paar seconden zien of er een banner staat, of Consent Mode v2 is ingesteld en welke trackers er laden.

Dit artikel is algemene informatie, geen juridisch advies. Twijfel je over jouw situatie, kijk dan op de website van de Autoriteit Persoonsgegevens of vraag een jurist.