Veel cookiebanners tonen in het eerste scherm twee knoppen: “Alles accepteren” en “Instellingen”. Wie wil weigeren, moet eerst doorklikken. Dat was lang gangbaar, maar het is niet toegelaten. Zowel in Nederland als in België zeggen de toezichthouders duidelijk dat weigeren even makkelijk moet zijn als accepteren. En in Nederland wordt daar nu actief op gecontroleerd.

Waarom die banner er is

Internetgedrag volgen mag pas na uitdrukkelijke toestemming van de bezoeker. Die toestemming vraag je via je cookiebanner, en die banner moet aan de wettelijke eisen voldoen, zo vat Thuiswinkel.org het samen. Het gaat dus niet om de banner op zich, maar om wat erachter zit: trackingcookies, advertentiepixels, statistieken.

Een banner zonder zichtbare weigerknop duwt mensen naar ja. Volgens de Autoriteit Persoonsgegevens (AP) accepteren bezoekers daardoor sneller trackingcookies. Daarom noemt de AP zo'n banner misleidend.

Waarom het nu speelt

Op 16 oktober 2026 meldde de AP dat ze een onderzoek is gestart naar de websites van twee organisaties die een misleidende cookiebanner blijven gebruiken, ook na uitleg en een waarschuwing, schrijft Security.nl. Welke organisaties het zijn, is niet bekendgemaakt. Hun banner heeft geen direct zichtbare knop om trackingcookies te weigeren. Dat is precies de situatie met alleen “Alles accepteren” en “Instellingen”.

Die twee zijn het topje. In de maanden daarvoor waarschuwde de AP ongeveer 100 organisaties, onder meer uit de mediasector, zorg en welzijn en de verzekeringsbranche, meldt Security Management. De AP vindt dat trackingcookies weigeren even eenvoudig moet zijn als accepteren, en dus moet naast “accepteren” een direct zichtbare weigerknop staan. Sinds 2024 controleert de AP vaker of organisaties correct toestemming vragen.

In november 2025 had de AP al meer dan 200 websites gewaarschuwd over hun banner, en volgens Thuiswinkel.org controleert de AP met software de cookiebanners van tienduizenden websites tegelijk. Je hoeft dus geen grote speler te zijn om in die controle terecht te komen.

Na een waarschuwing krijg je tijd om je banner aan te passen. Ongeveer 70 procent doet dat. Wie het niet doet, kan een onderzoek en mogelijk een boete verwachten. Ter illustratie: Kruidvat kreeg in 2024 een boete van 600.000 euro voor trackingcookies, die een jaar later werd verlaagd naar 50.000 euro.

Wat de Belgische GBA zegt

In België is de cookiechecklist van de Gegevensbeschermingsautoriteit heel concreet. Je mag geen knop “alle cookies aanvaarden” aanbieden zonder op dezelfde laag een knop om alle niet strikt noodzakelijke cookies te weigeren. In een voetnoot staat het letterlijk: een knop “instellingen beheren” naast “alles aanvaarden” volstaat niet.

De checklist zegt ook:

  • Geen cookiewalls en geen deceptive design, zoals sturen met kleurgebruik. Een goed voorbeeld volgens de GBA: “alles weigeren” en “alles aanvaarden” die op dezelfde manier worden weergegeven.
  • Niet strikt noodzakelijke cookies mogen pas na geldige toestemming worden geplaatst of uitgelezen. Verder surfen, de banner sluiten of browserinstellingen tellen niet als toestemming. Vooraf aangevinkte vakjes zijn op geen enkele laag toegestaan.
  • De eerste laag vermeldt minstens wie de cookies plaatst, hoe je accepteert of weigert, wat de gevolgen zijn, en dat en hoe je je toestemming intrekt.
  • Bezoekers tellen valt in beginsel niet onder strikt noodzakelijk. Cookies voor load balancing, taalkeuze, cookievoorkeuren en het winkelmandje mogen wel zonder toestemming.

De GBA noemt de checklist zelf niet volledig en louter een hulpmiddel, zonder nieuwe verplichtingen. Het is dus geen nieuwe regel, wel een duidelijke lezing van wat al gold.

Wat je concreet doet, in deze volgorde

  1. Zet in de eerste laag een knop “Alles weigeren” naast “Alles accepteren”, allebei op dezelfde manier vormgegeven: zelfde grootte, zelfde kleur, zelfde plaats. Een knop “Instellingen” alleen is niet genoeg.
  2. Laad geen tracking- of statistiekcookies voor de bezoeker toestemming geeft. Open je site in een privévenster en kijk welke cookies en scripts al laden voor je iets aanklikt. Ga per cookie na of hij echt strikt noodzakelijk is.
  3. Laat in een tweede laag per doel kiezen, zonder vooraf aangevinkte vakjes. Eigen reclame of profilering en die van derden zijn aparte doelen. De volledige cookielijst per categorie, met doel, bewaartermijn en ontvangers, mag in een lagere laag staan.
  4. Zet een goed zichtbare link of knop op je site waarmee bezoekers hun toestemming in één klik intrekken. Test daarna of het echt effect heeft: na intrekken mogen die cookies niet meer geplaatst of uitgelezen worden.
  5. Bewaar cookievoorkeuren in principe 6 maanden. Geef je cookiebeleid een datum en versienummer, bewaar oude versies en houd bij hoe je banner in de loop van de tijd veranderde.
  6. Kreeg je een brief van de AP? Pas je banner aan binnen de termijn die je krijgt. Wie dat laat liggen, riskeert een onderzoek en mogelijk een boete.
  7. Leg je banner daarna naast de vuistregels voor heldere cookiebanners die de AP op haar site publiceert. Dat raadt ook Thuiswinkel.org aan.

Een bedenking die ik er altijd bij maak: de AP wijst erop dat je duidelijk moet maken welke gegevens je via je website verzamelt, waarvoor en met wie je ze deelt. Hoe meer gegevens je verzamelt, hoe groter de risico's bij een hack of datalek. Elke pixel die je niet nodig hebt, is er een minder om in je banner uit te leggen.

Wanneer je het uitbesteedt

De weigerknop toevoegen is in veel cookietools een instelling. Het lastige deel zit in stap 2 en 4: nagaan welke scripts echt pas na toestemming laden, en of intrekken ook werkt. Draait je site op een thema met veel plug-ins, een tagmanager en meerdere marketingpixels, dan is dat geen klus voor tussendoor.

Ik neem zo'n controle mee in onderhoud en beveiliging: banner aanpassen, scripts nalopen en testen wat er voor en na toestemming gebeurt. Kreeg je al een brief van de AP of twijfel je of je banner in orde is, neem dan contact op. Hoe sneller je het rechtzet, hoe kleiner de kans dat je bij de organisaties hoort die het niet deden.