Hoe hoog is de boete voor een foute cookiebanner?

Daar is geen vast bedrag voor. Plaats je trackingcookies zonder geldige toestemming, dan is dat volgens de AP een overtreding van de AVG, met een wettelijk maximum van 20 miljoen euro of 4% van de wereldwijde jaaromzet. De cookieboetes die de AP tot nu toe oplegde, waren veel lager: 40.000 euro voor Coolblue en, na bezwaar, 50.000 euro voor het bedrijf achter Kruidvat.

Krijg ik meteen een boete?

Meestal niet. De AP stuurt bij een misleidende cookiebanner eerst een waarschuwingsbrief en geeft je drie maanden om die aan te passen. Pas je niets aan, of is de overtreding ernstig, dan is de kans volgens de AP groot dat zij een onderzoek start en een boete of andere sanctie oplegt.

Wie houdt in Nederland toezicht op cookies, de AP of de ACM?

Allebei. De ACM is volgens de Telecommunicatiewet toezichthouder op de cookiebepaling, artikel 11.7a. De AP houdt toezicht op de AVG, die geldt zodra je met cookies persoonsgegevens verwerkt, zoals bij trackingcookies. De cookieboetes van de afgelopen jaren kwamen van de AP.

Kunnen bezoekers schadevergoeding eisen voor cookies?

Ja, dat kan op grond van artikel 82 AVG, maar alleen als zij echt schade hebben geleden door de overtreding. Volgens het Europese Hof is een overtreding alleen niet genoeg. In Nederland loopt een collectieve schadeclaim tegen Oracle en Salesforce over het volgen van internetgebruikers met cookies; daarover is nog niet inhoudelijk beslist.

Hoe voorkom ik een boete voor cookies?

Plaats geen cookies waarvoor toestemming nodig is voordat de bezoeker akkoord geeft, zet weigeren en accepteren even duidelijk naast elkaar en vink niets vooraf aan. Cookie Confirm blokkeert scripts tot er toestemming is, scant je website elke maand en bewaart elke toestemming 12 maanden, zodat je bij een controle kunt laten zien wat je doet.

Boetes voor cookies: wat riskeer je onder de AVG en de cookiewet?

Wie kan een boete opleggen voor cookies?

In Nederland heb je met twee wetten en twee toezichthouders te maken:

De Telecommunicatiewet (artikel 11.7a), beter bekend als de cookiewet. Die bepaalt wanneer je cookies en vergelijkbare technieken mag plaatsen of uitlezen. De Autoriteit Consument & Markt (ACM) houdt daar toezicht op.
De AVG. Zodra je met cookies persoonsgegevens verwerkt, en dat doen trackingcookies vrijwel altijd, moet die verwerking voldoen aan de AVG. Daarop houdt de Autoriteit Persoonsgegevens (AP) toezicht.

In de praktijk is het vooral de AP die cookiebanners controleert. De cookieboetes van de afgelopen jaren waren boetes onder de AVG: de AP stelde vast dat de bedrijven persoonsgegevens verwerkten zonder geldige grondslag, omdat de toestemming niet aan de eisen voldeed. De AP heeft in 2025 voorgesteld het toezicht op de hele cookiebepaling bij de AP te leggen; op het moment van schrijven is de wet daarvoor niet aangepast.

Hoe hoog kan een boete zijn?

Wet	Toezichthouder	Maximumboete
AVG, onder meer artikelen 5, 6 en 7 (beginselen, grondslag, voorwaarden voor toestemming)	AP	20 miljoen euro of, voor een onderneming, 4% van de wereldwijde jaaromzet als dat hoger is
AVG, andere verplichtingen (zoals het verwerkingsregister)	AP	10 miljoen euro of 2% van de wereldwijde jaaromzet
Telecommunicatiewet, artikel 11.7a	ACM	900.000 euro of, als dat meer is, 1% van de omzet van de onderneming

Bij de Telecommunicatiewet wordt het maximum met 100% verhoogd als je in de vijf jaar ervoor al eens onherroepelijk bent beboet voor een gelijke of soortgelijke overtreding.

Die maximumbedragen zeggen weinig over wat een gemiddelde website riskeert. Voor bedrijven berekent de AP de hoogte van een boete met de boeterichtsnoeren van de Europese toezichthouders (EDPB). Voor overheidsorganisaties gelden de Boetebeleidsregels Autoriteit Persoonsgegevens 2023. Factoren zijn onder meer de aard, ernst en duur van de overtreding, of die opzettelijk of nalatig was, het aantal betrokkenen en de omvang van het bedrijf. Een boete is ook niet de enige sanctie: de AP kan ook een last onder dwangsom opleggen, een verwerkingsverbod of, bij een kleine inbreuk, een berisping.

Welke cookieboetes zijn er al opgelegd?

Organisatie	Toezichthouder	Besluit	Sanctie	Wat ging er mis
NPO (Nederlandse Publieke Omroep)	ACM	15 juli 2014	Last onder dwangsom van 25.000 euro per week, maximaal 125.000 euro	Op meerdere websites cookies zonder voldoende informatie en zonder goede toestemming
Coolblue	AP	11 januari 2024, na bezwaar 23 december 2024	Boete van 40.000 euro (na bezwaar)	Vakjes voor toestemming vooraf aangevinkt; in de cookieverklaring ging Coolblue ervan uit dat bezoekers akkoord waren (2020)
AS Watson, het bedrijf achter Kruidvat.nl	AP	3 mei 2024 (600.000 euro), na bezwaar 27 mei 2025	Boete van 50.000 euro (na bezwaar)	Trackingcookies met vooraf aangevinkte vakjes; weigeren kostte veel stappen. Volgens de AP ging het om gevoelige gegevens van miljoenen bezoekers

Twee dingen vallen op. Ten eerste de lange doorlooptijd: beide AP-onderzoeken begonnen eind 2019 en de overtredingen waren in 2020 al beëindigd. Ten tweede de verlaging in bezwaar. Bij Kruidvat noemde de AP de lange duur van de procedure, het feit dat AS Watson de overtreding erkende, de geringe ernst en de vergelijkbare boete in een andere cookiezaak als redenen om de boete van 600.000 naar 50.000 euro te verlagen. Reken er niet op dat een volgende boete ook zo laag uitvalt: die verlagingen hingen samen met de omstandigheden van deze zaken, en de AP controleert sinds 2024 juist strenger.

Sinds 1 september 2026 is de AP wettelijk verplicht om boetes en andere AVG-sancties openbaar te maken. Een boete wordt dus in de regel ook openbaar.

Hoe handhaaft de AP in de praktijk?

Sinds 2024 controleert de AP strenger op cookies. Sinds april 2025 scant de AP doorlopend 10.000 Nederlandse websites en selecteert daaruit organisaties die de wet waarschijnlijk overtreden. Die krijgen een waarschuwingsbrief waarin precies staat wat er mis is, bijvoorbeeld dat er al cookies worden geplaatst voor de bezoeker kiest of dat de weigerknop pas in een tweede venster staat. Het doel is 500 organisaties per jaar zo te waarschuwen.

Wie de banner niet binnen drie maanden aanpast, kan een onderzoek verwachten en loopt volgens de AP een groot risico op een boete. In november 2025 meldde de AP dat ze meer dan 200 websites had gewaarschuwd, dat ongeveer driekwart de banner had aangepast en dat ze handhavingsstappen zet tegen de rest. Bezoekers kunnen daarnaast een klacht indienen bij de AP.

Waar de AP op let, staat in de cookiewet-gids en in de vuistregels van de AP voor heldere cookiebanners. Let ook op een cookiewall: volgens de AP levert die zonder redelijk alternatief geen vrije toestemming op.

Andere risico's: schadeclaims

Naast een boete kunnen bezoekers schadevergoeding eisen. Volgens artikel 82 AVG heeft iedereen die materiële of immateriële schade lijdt door een overtreding van de AVG recht op vergoeding. Het Europese Hof oordeelde in mei 2023 (zaak C-300/21, Österreichische Post) dat een overtreding alleen niet genoeg is: er moet echte schade zijn en een verband met de overtreding. Een minimumdrempel voor de ernst van immateriële schade mag een rechter niet stellen.

Zulke claims kunnen ook collectief worden ingesteld, via een stichting onder de Nederlandse regels voor massaschade (artikel 3:305a BW, de WAMCA). De stichting The Privacy Collective eist in zo'n procedure schadevergoeding van Oracle en Salesforce, omdat zij via cookies gegevens van naar schatting 10 miljoen Nederlandse internetgebruikers zouden verzamelen voor profielen en gerichte reclame. Die zaak gaat nog over de vraag of de stichting ontvankelijk is: de Hoge Raad vernietigde op 17 juli 2026 de eerdere uitspraken van het hof en verwees de zaak naar het gerechtshof Den Haag. Over de claim zelf is nog niet beslist.

Zo blijf je uit de problemen

Breng in kaart welke cookies je website plaatst, ook die van plugins en ingesloten content zoals video's en kaarten.
Blokkeer alle cookies waarvoor toestemming nodig is tot de bezoeker akkoord geeft, en houd ze geblokkeerd na een weigering.
Zet "Accepteren" en "Weigeren" even opvallend naast elkaar op de eerste laag van de banner, en vink niets vooraf aan. Dat waren precies de fouten bij Coolblue en Kruidvat.
Leg per doel uit wat je doet, in de banner en in een cookieverklaring.
Controleer de instellingen van je cookiebanner zelf. Ook met een standaardbanner ben jij verantwoordelijk.
Bewaar bewijs van toestemming, zodat je kunt aantonen wie wanneer waarvoor toestemming gaf.
Reageer snel op een brief van de AP. Pas je de banner niet binnen drie maanden aan, dan start de AP volgens eigen zeggen een onderzoek.

Gebruik je Google Analytics of Google Ads, lees dan ook Google Analytics en de AVG en Google Consent Mode v2.

Cookie Confirm helpt bij de meeste van deze stappen, voor €7,95 per website per maand. De scanner controleert je website elke maand en wanneer je wilt opnieuw, de banner blokkeert scripts tot er toestemming is en is in je eigen huisstijl in te stellen, de cookieverklaring wordt uit de scan gemaakt en bijgehouden en elke toestemming wordt 12 maanden bewaard en is te exporteren. Liever niet zelf installeren? De gratis Setup Service regelt het binnen 24 uur nadat je toegang hebt gegeven.

Boetes voor cookies: wat riskeer je onder de AVG en de cookiewet?

Wie kan een boete opleggen voor cookies?

Hoe hoog kan een boete zijn?

Welke cookieboetes zijn er al opgelegd?

Hoe handhaaft de AP in de praktijk?

Andere risico's: schadeclaims

Zo blijf je uit de problemen

Bronnen

Veelgestelde vragen

Meer gidsen

Cookieverklaring voorbeeld

Cookiewall: mag je bezoekers weren die cookies weigeren?

De cookiewet in Nederland

De eerste 7 dagen helemaal gratis