Is een cookiebanner verplicht? De regels voor je website in 2026

Een cookiebanner is in Nederland niet altijd verplicht. Je hebt er een nodig zodra je website cookies of vergelijkbare technieken plaatst die je bezoekers volgen of privacygevoelige gegevens verzamelen, zoals trackingcookies, advertentiepixels of video's en kaarten van externe partijen. Gebruik je alleen functionele cookies en privacyvriendelijke statistieken, dan hoef je vooraf geen toestemming te vragen. Je moet bezoekers dan wel informeren. In dit artikel lees je precies waar de grens ligt, waar een goede banner aan moet voldoen en hoe je het voor je eigen bedrijfswebsite regelt.

Jorvanwebdesign

jorvanwebdesign.nl

Een website zonder overbodige ballast

Jorvanwebdesign bouwt websites op maat, zonder sjablonen, zodat je site aansluit bij wat jouw bedrijf nodig heeft.

Bekijk websites op maat

TL;DR

Toestemming is verplicht voor trackingcookies en andere privacygevoelige cookies, en wel vóórdat ze geplaatst worden.
Geen toestemming nodig voor functionele cookies en beperkt analytische cookies met weinig impact op privacy. Een informatieplicht blijft wel gelden.
Weigeren moet even makkelijk zijn als accepteren. "Verder surfen is akkoord", vooraf aangevinkte vakjes en een verstopte weigerknop zijn niet toegestaan.
De Autoriteit Persoonsgegevens controleert actief. In oktober 2026 startte de toezichthouder nog een onderzoek naar organisaties die na een waarschuwing niets aanpasten.
De slimste route voor mkb en zzp: laad zo min mogelijk externe scripts, zodat je website weinig of geen toestemming nodig heeft.

Inhoudsopgave

1. Wanneer is een cookiebanner verplicht?
2. De drie soorten cookies op een rij
3. Waar moet een geldige cookiebanner aan voldoen?
4. Wat gebeurt er als je banner niet klopt?
5. Veelvoorkomende onderdelen op een mkb-website
6. Statistieken zonder cookiebanner
7. Zo regel je het in vijf stappen
8. Een voorbeeld van een cookiebeleid
9. Onze kijk: een rustige website begint bij de bouw
10. Een nieuwe website zonder overbodige ballast
Veelgestelde vragen
Bronnen

1. Wanneer is een cookiebanner verplicht?

De regels komen uit twee wetten. De eerste is artikel 11.7a van de Telecommunicatiewet, in de volksmond de cookiewet. Die bepaalt wanneer je iets op het apparaat van een bezoeker mag plaatsen of uitlezen. De tweede is de AVG, die geldt zodra je daarbij persoonsgegevens verwerkt.

Het Ondernemersplein van de overheid vat het voor ondernemers helder samen: voor cookies die privacygevoelige informatie verzamelen, zoals trackingcookies, vraag je altijd eerst toestemming. Pas na die toestemming mag je ze plaatsen.

Kort gezegd heb je een cookiebanner nodig als je website een of meer van deze dingen doet:

bezoekers volgen over verschillende websites heen;
gegevens delen met adverteerders, bijvoorbeeld via een advertentiepixel van een sociaal netwerk;
statistieken verzamelen op een manier die wel impact heeft op privacy, bijvoorbeeld omdat de leverancier de gegevens ook voor eigen doelen gebruikt;
inhoud van externe partijen laden die zelf cookies plaatst, zoals een ingesloten video of kaart.

AP-voorzitter Aleid Wolfsen zegt het zo: wie bezoekers wil volgen of data aan adverteerders wil laten gebruiken, moet daar duidelijk toestemming voor vragen, zonder trucs die nee zeggen moeilijk maken.

Cookiebanner of cookiemelding: is er verschil?

In de praktijk worden "cookiebanner", "cookiemelding" en "cookiepop-up" door elkaar gebruikt. Juridisch gaat het om hetzelfde: het moment waarop je de bezoeker informeert en, als dat nodig is, om toestemming vraagt. Een melding met alleen een knop "OK" is geen geldige manier om toestemming te vragen. Die laat de bezoeker namelijk geen keuze.

2. De drie soorten cookies op een rij

De Autoriteit Persoonsgegevens (AP) onderscheidt drie soorten cookies. Of je toestemming nodig hebt, hangt af van de soort en van hoe je ze inzet.

Soort cookie	Voorbeelden	Toestemming nodig?	Informeren verplicht?
Functioneel	Winkelwagen, taalkeuze, ingelogd blijven, de opgeslagen cookiekeuze zelf	Nee	Ja
Beperkt analytisch	Bezoekersstatistieken met geen of geringe gevolgen voor privacy	Nee, onder voorwaarden	Ja
Overige, waaronder tracking	Advertentiepixels, retargeting, profielen over websites heen, veel embeds van externe partijen	Ja, vooraf	Ja

Let op hoe je een cookie inzet, niet alleen op het soort. De AP kijkt naar de daadwerkelijke privacy-impact. Een statistiekentool die het ene bedrijf privacyvriendelijk instelt, kan bij een ander bedrijf wel toestemming vereisen, omdat er bijvoorbeeld gegevens met de leverancier worden gedeeld.

Ook zonder cookies kan toestemming nodig zijn

De wet gaat niet alleen over cookies. Ook vergelijkbare technieken, zoals scripts, pixels en beacons, vallen eronder. De ACM wijst erop dat je moet uitleggen welke informatie je verzamelt, hoe je dat doet en wat je ermee doet. Een tool die zegt "cookieloos" te werken, is dus niet automatisch vrijgesteld. Het gaat om wat de techniek doet, niet om hoe hij heet.

3. Waar moet een geldige cookiebanner aan voldoen?

Heb je wel toestemming nodig? Dan moet die toestemming vrij, specifiek, geïnformeerd en ondubbelzinnig zijn, en gegeven via een actieve handeling. De AP heeft daarvoor negen vuistregels voor heldere cookiebanners opgesteld. Vertaald naar de praktijk komt het hierop neer:

Leg duidelijk uit wat je doet. Noem welke gegevens je verzamelt en met welk doel. Een nette vormgeving is volgens de AP niet genoeg als de inhoud vaag blijft.
Geen vooraf aangevinkte vakjes. De bezoeker kiest zelf.
Accepteren en weigeren op dezelfde laag. Staat "Alles accepteren" in de eerste laag, dan hoort "Weigeren" daar ook te staan, niet pas na twee keer doorklikken.
Even opvallende knoppen. Een felgekleurde accepteerknop naast een grijs linkje om te weigeren is een klassieke fout.
Doorklikken is geen toestemming. "Door verder te surfen ga je akkoord" telt niet.
Geen cookiewall. Je mag de toegang tot je website niet blokkeren voor bezoekers die weigeren. Ook de Europese privacytoezichthouders beschouwen misleidende keuze-ontwerpen en verborgen weigeropties als een probleem.
Niets laden vóór de keuze. Trackingscripts starten pas na een "ja". Na een "nee" blijven ze uit.
Intrekken moet altijd kunnen. Zie hieronder.
Geen extra drempels. Geen schuldgevoel-teksten, geen herhaalde pop-ups na elke weigering.

Toestemming intrekken: even makkelijk als geven

Dit punt wordt vaak vergeten. In de normuitleg van de AP over intrekken van toestemming staan vier eisen:

je vertelt vooraf dat de bezoeker toestemming kan intrekken, en hoe;
intrekken kan zonder nadelige gevolgen of kosten;
intrekken is ongeveer even eenvoudig als toestemming geven;
intrekken kan via dezelfde website.

Een vast zichtbare knop of link "Cookie-instellingen", bijvoorbeeld in de footer of als klein zwevend icoon, is de praktische oplossing. Een specifiek ontwerp schrijft de AP niet voor, zolang het gelijkwaardig en vindbaar is.

De AP houdt actief toezicht. Een paar recente feiten:

In 2024 onderzocht de AP vijf Nederlandse websites. Alle vijf overtraden de wet en pasten hun banner pas na ingrijpen aan.
Op 16 oktober 2026 meldde de AP dat ze twee organisaties onderzoekt die ondanks uitleg en een waarschuwing een misleidende banner bleven gebruiken. In de maanden daarvoor waarschuwde de AP ongeveer 100 organisaties, van wie zo'n 70% de banner aanpaste.

Volgt er geen aanpassing, dan kan de AP onderzoek doen en sancties opleggen, zoals een boete. Voor een kleine ondernemer is reputatie minstens zo belangrijk: een banner die bezoekers het gevoel geeft dat ze worden overgehaald, doet afbreuk aan het vertrouwen dat je met je website wilt opbouwen.

De meest voorkomende fout is volgens de AP niet het ontbreken van een banner, maar de techniek erachter: trackers die al laden vóór de keuze, of die na "weigeren" gewoon actief blijven. Daarom is testen zo belangrijk.

5. Veelvoorkomende onderdelen op een mkb-website

Veel ondernemers weten niet precies wat er op hun eigen site draait. Deze onderdelen kom je vaak tegen, met de vraag die je per onderdeel moet stellen:

Contactformulier. Een formulier op je eigen website hoeft op zichzelf geen trackingcookie te plaatsen. Kijk wel naar de spambeveiliging: sommige externe diensten laden scripts van derden. Daarnaast verwerk je persoonsgegevens, dus vermeld in je privacyverklaring wat je met de ingevulde gegevens doet.
WhatsApp-knop. Een eenvoudige link die WhatsApp opent, is iets anders dan een chatwidget van een externe partij die scripts laadt. Controleer welke van de twee je hebt.
Ingesloten video's en kaarten. Een video of kaart van een groot platform kan cookies plaatsen zodra de pagina laadt. Laad zo'n embed pas na toestemming, of toon eerst een afbeelding met een knop "Video laden".
Advertentiepixels. Voor pixels van sociale netwerken of advertentieplatforms vraag je altijd vooraf toestemming.
Lettertypen en scripts van externe servers. Ook dat zijn verzoeken naar derden. Waar het kan, host je ze zelf.
Statistieken. Zie het volgende hoofdstuk.

6. Statistieken zonder cookiebanner

Wil je weten hoeveel bezoekers je hebt, zonder ze lastig te vallen met een pop-up? Dat kan. Beperkt analytische cookies mogen zonder toestemming worden geplaatst als ze geen of geringe gevolgen hebben voor de privacy van je bezoekers. Je moet bezoekers er wel over informeren, bijvoorbeeld in je privacyverklaring.

Praktisch betekent dit:

Kies een statistiekentool die bezoekers niet over andere websites heen volgt.
Zorg dat de leverancier de gegevens niet voor eigen doelen of advertenties gebruikt.
Beperk wat je verzamelt tot wat je echt nodig hebt: aantallen bezoekers, populaire pagina's, waar bezoekers vandaan komen.
Leg vast hoe je de tool hebt ingesteld en waarom.

Gebruik je Google Analytics, dan is het lastiger. Ook bij een privacyvriendelijke instelling spelen extra complicaties, onder meer rond de doorgifte van gegevens. Twijfel je of jouw instelling zonder toestemming kan? Leg die vraag voor aan een privacyjurist voordat je de banner weghaalt.

7. Zo regel je het in vijf stappen

Dit stappenplan sluit aan op wat de ACM en de AP van ondernemers vragen:

Inventariseer. Maak een lijst van alle cookies, scripts, pixels en embeds op je site. Gebruik de ontwikkelaarstools van je browser (tabblad Netwerk en Opslag) of laat je webbouwer dit doen.
Deel in. Zet alles in een van de drie categorieën: functioneel, beperkt analytisch of overig.
Schrap wat je niet gebruikt. Elk script dat weg kan, is een script waar je geen toestemming voor hoeft te regelen.
Blokkeer de rest tot toestemming. Overige cookies en scripts laden pas na een actieve keuze. Toon accepteren en weigeren gelijkwaardig en voeg een vaste link naar cookie-instellingen toe.
Publiceer en test. Zet een actuele cookieverklaring en privacyverklaring online. Test daarna op desktop én mobiel: de eerste paginaweergave, accepteren, weigeren en later intrekken. Controleer of scripts na een weigering echt stoppen.

8. Een voorbeeld van een cookiebeleid

Een cookiebeleid, of cookieverklaring, legt uit welke cookies je gebruikt. Ook als je geen banner nodig hebt, moet je bezoekers informeren. Hieronder een eenvoudig voorbeeld voor een zzp-website met alleen functionele cookies en privacyvriendelijke statistieken. Pas het aan op jouw situatie; het is een opzet, geen juridisch advies.

Cookieverklaring [Bedrijfsnaam]

Op deze website gebruiken we alleen cookies die nodig zijn om de site goed te laten werken en om anonieme bezoekersstatistieken bij te houden.

Functionele cookies. Deze onthouden bijvoorbeeld je cookiekeuze. Zonder deze cookies werkt de website niet goed.

Analytische cookies. We meten hoeveel bezoekers onze website heeft en welke pagina's populair zijn. We volgen je niet op andere websites en delen deze gegevens niet met adverteerders.

Geen trackingcookies. We plaatsen geen advertentie- of trackingcookies.

Overzicht. [Naam cookie] – [doel] – [bewaartermijn] – [aanbieder]

Vragen? Neem contact op via [e-mailadres]. Meer over hoe we met je gegevens omgaan, lees je in onze privacyverklaring.

Gebruik je wel trackingcookies, vul de verklaring dan aan met de categorie "Marketingcookies", de partijen die ze plaatsen, en uitleg over hoe je je toestemming intrekt.

9. Onze kijk: een rustige website begint bij de bouw

Bij veel websites zit het cookieprobleem niet in de banner. Het zit in alles wat er ooit is bijgeplakt. Een plugin hier, een widget daar, een pixel die na een campagne nooit is weggehaald. Elk onderdeel brengt eigen scripts mee, en voor je het weet heb je een banner nodig voor dingen die je niet eens gebruikt.

Wij bouwen websites met de hand, zonder templates. Dat betekent dat we per onderdeel bewust kiezen wat erin komt. Een contactformulier met spamfilter, een WhatsApp-knop voor direct contact, snelle Nederlandse hosting: allemaal onderdelen die je klanten helpen. Zo kun je vooraf bewust kiezen of je echt advertentiepixels of zware embeds nodig hebt, of dat het ook zonder kan.

Ons advies aan mkb-ondernemers en zzp'ers is daarom eenvoudig:

begin met de vraag welke gegevens je echt nodig hebt;
laad niets van derden zonder reden;
en als je toch tracking wilt, regel het dan eerlijk, met een duidelijke keuze voor je bezoeker.

Een website die minder verzamelt, is overzichtelijker en geeft bezoekers minder reden om af te haken.

— jorden

10. Een nieuwe website zonder overbodige ballast

Wil je een website die vanaf de eerste dag overzichtelijk in elkaar zit? Bij Jorvan Webdesign krijg je een handgemaakte site met uniek design, mobiel-responsive bouw, technische SEO-optimalisatie, domeinnaam en hosting. Via het aanpasportaal wijzig je zelf teksten en foto's, zonder technische kennis.

We werken met vaste, eenmalige prijzen zonder abonnement: een landingspagina vanaf € 249, een website voor € 650 en een Premium-website voor € 1495. Onderhoud kan erbij vanaf € 30 per maand. Je ontvangt binnen 24 uur een concept, en pas na jouw akkoord gaat de site live en volgt de eindbetaling. Bekijk alle pakketten en prijzen.

10. Een nieuwe website zonder overbodige ballast — overview diagram

Veelgestelde vragen

Is een cookiemelding verplicht als ik alleen functionele cookies gebruik?

Nee, voor functionele cookies hoef je geen toestemming te vragen, dus een banner met accepteren en weigeren is niet nodig. Je moet bezoekers wel informeren dat je die cookies plaatst. Dat doe je meestal in je cookie- of privacyverklaring, met een duidelijke link in de footer.

Mag ik mijn website blokkeren tot iemand cookies accepteert?

Nee. Een cookiewall die de inhoud alleen toont na akkoord met alle cookies, geldt niet als vrije keuze. Bezoekers die weigeren, moeten je website gewoon kunnen gebruiken.

Vaak wel, omdat zulke embeds cookies van de externe partij kunnen plaatsen zodra de pagina laadt. Je kunt dit oplossen door de embed pas te laden na toestemming, bijvoorbeeld met een afbeelding en een knop "Video laden". Of je linkt gewoon naar de video of de route in plaats van hem in te sluiten.

Hoe kan ik als bezoeker cookies weigeren of later intrekken?

Kies "Weigeren" in de banner; een geldige banner toont die knop even duidelijk als "Accepteren". Wil je later je keuze wijzigen, zoek dan de link of knop "Cookie-instellingen", vaak onderaan de pagina. Volgens de regels van de AP moet intrekken even eenvoudig zijn als toestemming geven.

Wat zijn de belangrijkste privacyregels voor mijn website?

Informeer bezoekers duidelijk welke cookies en vergelijkbare technieken je gebruikt en waarvoor. Vraag vooraf toestemming voor tracking, verwerk persoonsgegevens alleen met een geldige grondslag onder de AVG, en respecteer het als iemand toestemming intrekt. De Rijksoverheid geeft hier een korte uitleg over voor zowel bezoekers als website-eigenaren.

Bronnen

Made with BabyLoveGrowth's tools