Cookies en AVG voor je website: wat moet er echt geregeld zijn?

Bijna elke website gebruikt cookies, en bijna elke ondernemer vraagt zich af wat er nu precies geregeld moet zijn. De korte versie: voor cookies die het gedrag van bezoekers volgen heb je vooraf toestemming nodig, en die toestemming moet echt een keuze zijn. In dit artikel zetten we uiteen wat de Autoriteit Persoonsgegevens (AP) daarover zegt en welke andere AVG-basics je website nodig heeft. Dit is algemene informatie en geen juridisch advies.

Welke cookies zijn er?

De AP onderscheidt in grote lijnen drie groepen:

• Functionele cookies: nodig om de website te laten werken, bijvoorbeeld om te onthouden wat in het winkelmandje zit of om de beveiliging te regelen.
• Beperkt analytische cookies: meten hoe de website wordt gebruikt, met weinig impact op de privacy.
• Trackingcookies: volgen bezoekers over meerdere websites heen, bijvoorbeeld voor gepersonaliseerde advertenties of het opstellen van profielen.

Voor trackingcookies is toestemming verplicht. Voor functionele en beperkt analytische cookies kun je je volgens de AP in plaats daarvan op een gerechtvaardigd belang baseren, zolang je een belangenafweging maakt en die kunt aantonen. Bezoekers moeten dan wel gemakkelijk bezwaar kunnen maken en je moet ze nog altijd duidelijk informeren.

Waarom trackingcookies altijd persoonsgegevens zijn

Je denkt misschien: ik ken de naam van mijn bezoekers niet, dus wat is het probleem? De AP legt uit dat bij het plaatsen en uitlezen van trackingcookies altijd andere gegevens worden verzameld, zoals IP-adressen en gegevens over eerder bezochte websites, en dat dat persoonsgegevens zijn omdat ze indirect herleidbaar zijn. Ook als je ze direct anonimiseert, is het anonimiseren zelf een verwerking waarvoor je toestemming nodig hebt. En pseudoniemen blijven persoonsgegevens.

Wat is geldige toestemming?

Volgens de AVG en de AP is toestemming alleen geldig als ze vrij, specifiek, geïnformeerd en ondubbelzinnig is gegeven. In de praktijk betekent dat:

• Je mag geen trackingcookies plaatsen voordat de bezoeker toestemming heeft gegeven, of nadat die heeft geweigerd.
• Bezoekers moeten kunnen weigeren.
• Er moet een actieve handeling zijn, zoals een klik op “Accepteren”.
• Je moet vertellen hoe toestemming weer kan worden ingetrokken.

De AP noemt als voorbeelden van geen geldige toestemming: een cookiewall waarbij weigeren betekent dat je de site niet normaal kunt gebruiken, het verder scrollen of doorklikken na een melding, alleen verwijzen naar het privacybeleid en vooraf aangevinkte keuzes op een diepere laag van de banner. Een cookiewall is op grond van de AVG meestal niet toegestaan.

De 9 vuistregels voor een heldere cookiebanner

De AP heeft negen vuistregels gepubliceerd. In eigen woorden:

1. Vertel welke persoonsgegevens je verwerkt en met welk doel, vóórdat iemand kiest.
2. Vink geen vakjes of schuifjes vooraf aan.
3. Gebruik duidelijke woorden op de knoppen, zoals “Accepteren” en “Weigeren”.
4. Zet de keuzes accepteren en weigeren op dezelfde laag.
5. Verberg de weigerknop niet, bijvoorbeeld door lage zichtbaarheid of door te moeten scrollen.
6. Laat niemand extra klikken om te weigeren.
7. Verstop weigeren niet als kleine link in een tekst.
8. Maak intrekken van toestemming net zo makkelijk als geven.
9. Verwar toestemming niet met gerechtvaardigd belang. Voor gepersonaliseerde advertenties is gerechtvaardigd belang geen geldige grondslag.

Gebruik je een cookiebanner-tool (een CMP) die dit niet toelaat? De AP geeft aan dat dat je niet ontslaat van je eigen verantwoordelijkheid. Je moet dan de leverancier om aanpassing vragen of overstappen.

Sinds 2024 strenger toezicht

De AP schrijft op haar website dat zij sinds 2024 strenger en vaker controleert of websites op de juiste manier toestemming vragen voor cookies en andere volgsoftware. Het is dus verstandig om je banner niet pas te laten corrigeren als er een brief van de toezichthouder komt.

Social media-knoppen en video's

De AP geeft een praktische tip: wil je op je website alleen een paar social media-knoppen, dan kun je werken met niet-actieve (“grijze”) knoppen die pas cookies plaatsen nadat de bezoeker erop klikt. Ook video's kun je vaak insluiten zonder dat de speler cookies plaatst, bijvoorbeeld via de privacyvriendelijke insluitoptie van sommige videoplatforms. Zo hoef je minder te vragen.

Meer dan cookies: AVG-basics voor elke website

Cookies zijn maar een deel van het verhaal. Zodra je website persoonsgegevens verwerkt, bijvoorbeeld via een contactformulier, nieuwsbrief of webwinkel, gelden de volgende basisvereisten uit de AVG:

• Een grondslag. Je moet kunnen aangeven op grond waarvan je gegevens verwerkt, zoals toestemming, een overeenkomst of gerechtvaardigd belang.
• Een privacyverklaring. Vertel in gewone taal welke gegevens je verzamelt, waarvoor, hoe lang je ze bewaart, met wie je ze deelt en wat de rechten van bezoekers zijn.
• Beveiliging. Je moet de gegevens goed beveiligen, bijvoorbeeld met HTTPS, bijgewerkte software en toegangsbeperking.
• Verwerkersovereenkomsten. Gebruik je externe partijen die persoonsgegevens namens jou verwerken, zoals een mailingtool of hostingpartij, dan leg je afspraken schriftelijk vast.
• Dataminimalisatie. Vraag alleen om gegevens die je echt nodig hebt. Heeft een contactformulier een telefoonnummer nodig als e-mail volstaat?
• Datalekken. Een inbreuk op persoonsgegevens moet je in veel gevallen binnen 72 uur melden bij de AP. Dat staat in artikel 33 van de AVG.

Praktische stappen

1. Inventariseer welke cookies en scripts je site nu plaatst. De AP wijst op een gratis website-audit van de European Data Protection Board die dat zichtbaar maakt.
2. Verwijder alles wat je niet nodig hebt: oude pixels, ongebruikte trackers, widgets.
3. Kies voor privacyvriendelijke analytics of een instelling die geen toestemming vereist, en onderbouw die keuze.
4. Richt een banner in volgens de negen vuistregels en test dat er niets geplaatst wordt vóór akkoord.
5. Schrijf een duidelijke privacyverklaring en link ernaar in de footer en bij formulieren.
6. Leg vast wat je hebt besloten en waarom, zodat je het kunt aantonen.

Tot slot

Een goede cookie- en privacyaanpak is vooral een kwestie van ontwerp: weinig verzamelen, eerlijk vragen en netjes vastleggen. Bij CUBO Agency bouwen we websites waarin dat vanaf het begin is meegenomen. Wil je dat we je huidige site doorlichten op cookies en scripts? Neem contact op voor een gratis kennismaking. Meer lezen? Toegankelijke website en de EAA.

Bronnen

Gecontroleerd op 28 oktober 2026 aan de hand van de bronnen hieronder. Regels en richtlijnen veranderen; dit artikel is algemene informatie en geen juridisch of fiscaal advies.

• Heldere cookiebanners (Autoriteit Persoonsgegevens)
• Trackingcookies (Autoriteit Persoonsgegevens)
• AP: veel websites vragen op onjuiste wijze toestemming voor plaatsen tracking cookies (Autoriteit Persoonsgegevens)
• Verordening (EU) 2016/679, Algemene verordening gegevensbescherming (EUR-Lex)

Plan kennismaking