De cookiewet in Nederland

Wat is de cookiewet?

Met "de cookiewet" wordt artikel 11.7a van de Telecommunicatiewet bedoeld. Dat artikel regelt wanneer je informatie mag opslaan op of uitlezen van het apparaat van een bezoeker: cookies, maar ook vergelijkbare technieken zoals local storage, trackingpixels en fingerprinting.

De hoofdregel: je geeft de bezoeker duidelijke en volledige informatie, in elk geval over de doelen, en je vraagt vooraf toestemming. Die toestemming moet voldoen aan de eisen van de AVG. Er gelden twee uitzonderingen:

• Cookies die strikt noodzakelijk zijn om de dienst te leveren waar de bezoeker om vraagt, zoals een winkelwagen of inlogsessie.
• Cookies om de kwaliteit of effectiviteit van je website te meten, maar alleen als dat geen of geringe gevolgen heeft voor de privacy van de bezoeker.

Verwerk je met cookies persoonsgegevens, zoals bij vrijwel alle tracking- en marketingcookies, dan geldt daarnaast de AVG volledig. De wet gaat er zelfs van uit dat cookies die gedrag over verschillende websites volgen om iemand anders te behandelen, persoonsgegevens verwerken.

Welke cookies mogen zonder toestemming?

Ook voor cookies zonder toestemmingsplicht moet je bezoekers informeren, bijvoorbeeld in je cookieverklaring. Meer over de soorten cookies lees je in Wat zijn cookies?

Waar moet geldige toestemming aan voldoen?

Toestemming telt alleen als die voldoet aan de AVG:

• Vrij: de bezoeker kan ook weigeren, zonder nadelige gevolgen. Een cookiewall zonder redelijk alternatief levert daarom volgens de AP geen geldige toestemming op.
• Specifiek: per doel, zoals statistieken of marketing, en niet één vinkje voor alles.
• Geïnformeerd: de bezoeker weet welke gegevens je verwerkt, waarvoor en met hoeveel en welke partijen je ze deelt.
• Ondubbelzinnig: door een actieve handeling. Doorscrollen, niets doen of vooraf aangevinkte vakjes tellen niet. Over dat laatste oordeelde het Europese Hof in 2019 al in de Planet49-zaak.
• Even makkelijk in te trekken als te geven: bijvoorbeeld via een knop die altijd in beeld is of een link onderaan elke pagina.

En belangrijk: zolang er geen toestemming is, mogen de cookies niet worden geplaatst. Scripts van marketingtools moeten dus geblokkeerd zijn tot de bezoeker akkoord geeft, en ook na een weigering geblokkeerd blijven.

Wie houdt toezicht?

In Nederland zijn er twee toezichthouders:

• De Autoriteit Consument & Markt (ACM) is volgens de Telecommunicatiewet de toezichthouder op de cookiebepaling zelf, artikel 11.7a.
• De Autoriteit Persoonsgegevens (AP) houdt toezicht op de AVG. Omdat tracking cookies vrijwel altijd persoonsgegevens verwerken, is het in de praktijk vooral de AP die cookiebanners controleert en boetes oplegt.

De AP heeft in 2025, in overleg met de ACM, aan de minister van Economische Zaken voorgesteld om het toezicht op de hele cookiebepaling bij de AP te leggen. Op het moment van schrijven is dat nog niet in de wet aangepast.

Waar let de Autoriteit Persoonsgegevens op?

Sinds 2024 controleert de AP strenger. Sinds april 2025 scant de AP doorlopend 10.000 Nederlandse websites en stuurt organisaties met een misleidende cookiebanner een waarschuwingsbrief. In november 2025 meldde de AP dat ze ruim 200 websites had gewaarschuwd, dat ongeveer driekwart de banner had aangepast en dat ze onderzoek doet naar de organisaties die dat niet deden.

De AP heeft negen vuistregels voor een heldere cookiebanner. Veelvoorkomende fouten volgens de AP:

• Er staat geen knop om te weigeren op de eerste laag, alleen "Accepteren" en "Instellingen".
• De weigerknop valt minder op, bijvoorbeeld als onopvallende link in de tekst of in een kleur die nauwelijks afwijkt van de achtergrond.
• Vakjes of schuifjes staan al aan, ook in een diepere laag.
• Cookies worden al geplaatst voordat de bezoeker kiest, of zelfs nadat hij heeft geweigerd.
• De tekst is vaag, zoals "voor een optimale ervaring", zonder te zeggen welke gegevens je verwerkt en met hoeveel partijen je ze deelt.
• Tracking wordt gebaseerd op "gerechtvaardigd belang" in plaats van toestemming.

Ook als je een standaardbanner van een Consent Management Platform gebruikt, ben jij als website-eigenaar verantwoordelijk voor de instellingen. De AP waarschuwt dat de standaardinstellingen vaak niet aan de AVG voldoen.

De AP heeft al boetes opgelegd voor trackingcookies zonder geldige toestemming, onder meer door vooraf aangevinkte vakjes: aan Coolblue (40.000 euro, 2024) en aan AS Watson, het bedrijf achter Kruidvat.nl. Die laatste boete was eerst 600.000 euro (2024) en is na bezwaar in 2025 verlaagd naar 50.000 euro. Meer daarover lees je in AVG-boetes voor cookies.

Zo maak je je website compliant

1. Breng in kaart welke cookies je website plaatst. Een cookiescanner vindt ook de cookies van ingesloten content en plugins. De AP verwijst zelf naar de gratis website-audittool van de EDPB.
2. Vraag je af of je alles echt nodig hebt. De AP raadt aan geen volgsoftware te gebruiken die je niet gebruikt. Zonder trackingcookies heb je geen cookiebanner nodig.
3. Deel de rest in per doel: functioneel, statistieken en marketing.
4. Plaats een cookiebanner met "Accepteren" en "Weigeren" naast elkaar op de eerste laag, even opvallend.
5. Blokkeer alle cookies waarvoor toestemming nodig is tot de bezoeker akkoord geeft.
6. Gebruik je Google Ads of Google Analytics? Geef de keuze door met Google Consent Mode v2. Google scherpt sinds maart 2024 de handhaving van zijn toestemmingsbeleid voor de EER aan.
7. Publiceer een cookieverklaring met alle cookies, het doel, de bewaartermijn en de partij erachter.
8. Bewaar het bewijs van toestemming, zodat je kunt laten zien wie wanneer waarvoor toestemming gaf.

Cookie Confirm helpt bij de stappen 1 en 3 tot en met 8: de scanner vindt je cookies elke maand (en wanneer je wilt opnieuw), de banner blokkeert scripts tot er toestemming is en geeft de keuze door aan Google Consent Mode v2, de cookieverklaring wordt automatisch gemaakt en bijgehouden en elke toestemming wordt 12 maanden bewaard. Liever niet zelf installeren? De gratis Setup Service regelt het binnen 24 uur nadat je toegang hebt gegeven.

Bronnen

• Telecommunicatiewet, artikel 11.7a en 15.1 (wetten.overheid.nl)
• ACM: Cookies plaatsen
• AP: Cookies
• AP: Heldere cookiebanners (vuistregels)
• AP: Tracking cookies
• AP: Zo houdt de AP toezicht op cookies
• AP: driekwart websites past misleidende cookiebanner aan na waarschuwing (11 november 2025)
• AP: Boete van 600.000 euro voor tracking cookies op Kruidvat.nl (16 juli 2024)
• AP: Besluit op bezwaar AS Watson (Kruidvat), 27 mei 2025
• AP: Boete voor Coolblue voor het ongevraagd gebruiken van cookies (24 december 2024)
• AP: Voorstel AP toezicht cookies (2025)
• AP: Ambtsbericht over Google Analytics (13 november 2025)
• Samenwerkingsprotocol ACM en AP, Staatscourant 2025, 3534
• Hof van Justitie EU, Planet49 (C-673/17)
• EUR-Lex: procedure Digital Omnibus 2025/0360(COD)