Je bezoekt een website en nog voordat je ook maar één letter hebt gelezen, verschijnt er een melding over cookies. Je kunt alles accepteren, je voorkeuren aanpassen of – als het goed is – alles weigeren.
Veel ondernemers denken daarom dat het plaatsen van een cookiebanner voldoende is. Er staat tenslotte een melding op de website en bezoekers kunnen ergens op klikken. Klaar toch? Helaas ligt het iets ingewikkelder. Want een cookiebanner kan er keurig uitzien, terwijl de website achter de schermen al allerlei gegevens verzamelt. Bovendien controleert de Autoriteit Persoonsgegevens tegenwoordig veel actiever of websites de regels daadwerkelijk naleven.
Is de cookiewet onlangs veranderd?
Er is niet plotseling een compleet nieuwe Nederlandse cookiewet ingevoerd. De belangrijkste regels bestaan al langer en komen onder andere voort uit de Telecommunicatiewet en de Algemene verordening gegevensbescherming, beter bekend als de AVG. Wat wél is veranderd, is de manier waarop er wordt gecontroleerd.
De Autoriteit Persoonsgegevens is sinds 2024 strenger gaan toezien op het gebruik van cookies. Websites kunnen geautomatiseerd worden gecontroleerd en organisaties met een onduidelijke, misleidende of technisch onjuiste cookiebanner kunnen worden aangesproken.
In 2025 ontvingen honderden organisaties een waarschuwing over hun cookiebanner. Het grootste deel paste deze daarna aan. Bij organisaties die dat niet deden, kon de Autoriteit Persoonsgegevens verder onderzoek instellen. De regels zijn dus niet ineens nieuw. De kans dat een verkeerde cookiebanner wordt opgemerkt, is simpelweg een stuk groter geworden.
Wat zijn cookies eigenlijk?
Cookies zijn kleine bestandjes die tijdens een bezoek aan een website op een computer, tablet of telefoon kunnen worden geplaatst. Ze kunnen verschillende functies hebben. Sommige cookies zijn nodig om een website goed te laten werken. Denk aan het onthouden van producten in een winkelmandje, een taalkeuze of een ingelogde gebruiker. Dit noemen we noodzakelijke of functionele cookies.
Daarnaast bestaan er analytische cookies. Hiermee kan een website-eigenaar bijvoorbeeld bekijken hoeveel mensen de website bezoeken en welke pagina’s populair zijn. Voor analytische cookies met weinig of geen gevolgen voor de privacy is niet altijd vooraf toestemming nodig. De instellingen en de manier waarop gegevens worden verwerkt, zijn daarbij wel belangrijk.
Tracking- en marketingcookies gaan verder. Deze kunnen bezoekers over verschillende pagina’s en websites volgen, profielen opbouwen en advertenties persoonlijker maken. Voor dit soort cookies is in de meeste gevallen vooraf toestemming nodig.
Wanneer heb je een cookiebanner nodig?
Een cookiebanner is niet op iedere website verplicht. Gebruikt een website alleen technisch noodzakelijke cookies? Dan hoeft daar meestal geen toestemming voor te worden gevraagd. Wel is het verstandig om bezoekers duidelijk te informeren over het gebruik ervan.
Zodra een website cookies of vergelijkbare technieken gebruikt waarvoor toestemming nodig is, moet die toestemming worden gevraagd voordat deze technieken actief worden.
Dat kan bijvoorbeeld spelen bij:
- Google Analytics, afhankelijk van de instellingen;
- Google Ads en andere advertentiediensten;
- de Meta Pixel van Facebook en Instagram;
- ingesloten video’s van YouTube;
- remarketing- en trackingsoftware;
- chatfuncties en externe marketingtools;
- bepaalde formulieren, kaarten en plug-ins van externe partijen.
Welke toestemming nodig is, hangt dus niet alleen af van de website zelf. Ook de plug-ins en externe diensten die aan de website zijn gekoppeld, spelen een rol.
Een melding met ‘Door deze website te gebruiken accepteer je cookies’ is niet voldoende
Toestemming moet vrij, duidelijk, specifiek en actief worden gegeven. Alleen melden dat iemand door verder te klikken automatisch akkoord gaat, is daarom niet voldoende. Een bezoeker moet een echte keuze krijgen. Dat betekent onder andere dat:
- cookies weigeren net zo eenvoudig moet zijn als cookies accepteren;
- opties niet vooraf mogen zijn aangevinkt;
- de knoppen duidelijk en gelijkwaardig zichtbaar moeten zijn;
- er begrijpelijk wordt uitgelegd waarvoor toestemming wordt gevraagd;
- trackingcookies pas na toestemming mogen worden geplaatst;
- een bezoeker zijn keuze later eenvoudig moet kunnen wijzigen of intrekken.
Een opvallende knop met ‘Alles accepteren’, terwijl de optie om te weigeren achter meerdere schermen of een nauwelijks zichtbaar tekstlinkje is verstopt, kan dus problematisch zijn. Ook mag een website bezoekers niet onnodig sturen of onder druk zetten om toestemming te geven.
De grootste fout zit vaak achter de cookiebanner
Een cookiebanner is alleen het zichtbare gedeelte. De belangrijkste vraag is wat er technisch gebeurt voordat een bezoeker een keuze heeft gemaakt.
Stel dat iemand op een website komt en nog nergens toestemming voor heeft gegeven. Als op dat moment de Meta Pixel, advertentiecookies of andere trackingtechnieken al worden geladen, dan helpt de cookiebanner weinig. De gegevensverzameling is dan immers al begonnen.
Een goede cookieoplossing moet daarom niet alleen een melding laten zien. De software moet scripts en cookies waarvoor toestemming nodig is daadwerkelijk blokkeren, totdat de bezoeker akkoord gaat. Dat is ook precies waarom het installeren van een willekeurige cookieplug-in niet automatisch betekent dat een website aan de regels voldoet. De plug-in moet goed worden ingesteld, gekoppelde diensten moeten correct worden herkend en na wijzigingen aan de website moet de werking opnieuw worden gecontroleerd.
En hoe zit het met een cookiebeleid?
Naast een goed werkende cookiebanner is duidelijke informatie belangrijk. In een cookiebeleid leg je onder andere uit:
- welke cookies en vergelijkbare technieken de website gebruikt;
- wie deze cookies plaatst;
- wat het doel van de cookies is;
- hoelang gegevens worden bewaard;
- met welke externe partijen gegevens kunnen worden gedeeld;
- hoe bezoekers hun toestemming kunnen aanpassen of intrekken.
Een verouderd standaarddocument waarin cookies staan die niet meer worden gebruikt – of waarin nieuwe marketingtools juist ontbreken – schiet zijn doel voorbij. Het cookiebeleid moet overeenkomen met wat er werkelijk op de website gebeurt.
Waarom regelmatig controleren belangrijk is
Een website blijft zelden jarenlang hetzelfde. Er worden nieuwe plug-ins geïnstalleerd, formulieren aangepast, video’s toegevoegd en koppelingen met sociale media, advertentieplatforms of analysetools gemaakt. Daarmee kunnen ook nieuwe cookies en trackers op de website verschijnen.
Een cookiebanner die bij de oplevering goed was ingesteld, hoeft dat een jaar later dus niet meer te zijn. Daarom hoort een cookiecontrole eigenlijk bij het periodieke onderhoud van een website. Controleer daarbij niet alleen de teksten, maar ook:
- welke cookies daadwerkelijk worden geplaatst;
- welke scripts al vóór toestemming worden geladen;
- of weigeren net zo gemakkelijk is als accepteren;
- of de voorkeuren later kunnen worden gewijzigd;
- of de cookie- en privacyverklaring nog actueel zijn;
- of nieuwe plug-ins of koppelingen gegevens verzamelen.
Voldoet jouw website nog?
Veel fouten met cookies ontstaan niet bewust. Een ondernemer plaatst een video, installeert een statistiekenplug-in of koppelt een advertentieaccount en staat er niet bij stil dat daarmee ook de gegevensverwerking kan veranderen. Toch blijft de website-eigenaar verantwoordelijk voor wat er op de website gebeurt.
Heb je ooit een cookiebanner laten installeren, maar daarna nooit meer gecontroleerd of deze nog goed werkt? Dan is dit een mooi moment om dat alsnog te doen. Nova Nexus kan jouw website controleren op de aanwezigheid van cookies, externe scripts en trackingtechnieken. We bekijken niet alleen wat bezoekers in de cookiebanner zien, maar juist ook wat er achter de schermen gebeurt. Zo weet je waar mogelijke aandachtspunten zitten en welke onderdelen moeten worden aangepast.