AP wijst drie cookiefouten aan die Nederlandse websites blijven maken

De Autoriteit Persoonsgegevens benoemt drie fouten die Nederlandse websites blijven maken met hun cookiebanner: trackingcookies die al draaien voordat de bezoeker klikt, een weigerknop die op de eerste laag ontbreekt, en toestemming die niet eenvoudig is in te trekken. De toezichthouder deed dat vandaag bij domeinorganisatie SIDN.

Alle drie zijn in je eigen banner na te lopen, en dat is precies wat de AP van een websitehouder verwacht. De verantwoordelijkheid ligt bij de organisatie achter de site, ook als een bureau de banner bouwde of een consentmanagementplatform hem beheert. Bij een controle volstaat de mededeling dat de leverancier het heeft ingericht niet.

De drie fouten die blijven terugkomen

Senior inspecteur Ilja van Gog ziet de eerste fout meestal ontstaan bij code van iemand anders. Een externe tool of een ingesloten onderdeel wordt direct bij het laden van de pagina actief, waardoor de cookie er al staat voordat er iets is aangeklikt.

De tweede fout zit in de weigerknop. Soms staat die niet op de eerste laag, soms werkt hij niet. Accepteren en weigeren moeten even eenvoudig zijn: dezelfde laag, niet meer kliks voor weigeren dan voor accepteren, en geen weigeroptie die is weggestopt als onopvallende link in een lap tekst. Een opvallende knop Alles accepteren naast een nauwelijks zichtbare weigeroptie voldoet daar niet aan.

De derde fout komt na de klik. Wie toestemming geeft, moet die net zo makkelijk kunnen intrekken, en de site moet al vóór de keuze duidelijk maken waar dat kan. Een link naar de cookie-instellingen in de footer of een knop die altijd in beeld blijft is genoeg.

Volgens de AP gebeurt dit zelden met opzet. Beheerders denken dat hun banner goed staat, of vertrouwen op de standaardinstellingen van hun software. De toezichthouder komt zelfs banners tegen op sites die alleen functionele en beperkt analytische cookies gebruiken. Daar is helemaal geen banner nodig.

Op je eigen site kijken soms honderden partijen mee

De onderliggende oorzaak is banaler dan een juridisch meningsverschil: beheerders weten vaak niet wat er op hun site gebeurt. Een ingesloten video, een plattegrond, een chatfunctie, een plug-in of een analysetool laadt scripts van andere partijen, soms met gegevens waar de beheerder zelf niets mee doet.

"In de praktijk zie je dat soms wel honderden partijen betrokken zijn", zegt Lars de Bie, senior inspecteur bij de AP. "Dan staan er bijvoorbeeld ook Japanse of Koreaanse advertentiebedrijven tussen die hier meestal weinig te zoeken hebben. De persoonsgegevens van jouw websitebezoekers kan daar potentieel wel naartoe gaan."

Dat patroon is meetbaar. Op minstens 90 procent van de gemeten webpagina's staat ten minste één derde partij, met een mediane insluitketen van drie niveaus diep: de partij die jij koos, haalt partijen binnen die jij niet koos. Binnen grotere organisaties verdwijnt het overzicht op een andere manier. De ene afdeling zet een analysetool aan, een andere een marketingtool, en wie de banner beheert weet daar niet van.

Een CMP is geen vrijwaring

Veel organisaties gebruiken een consentmanagementplatform: software die cookies en trackers inventariseert en op basis van de keuze van de bezoeker scripts wel of niet laadt. Dat scheelt technisch werk, vooral bij kleinere organisaties. De standaardinstellingen van veel van die platformen voldoen volgens de AP alleen lang niet altijd aan de Nederlandse en Europese regels, onder meer omdat ze zijn gebouwd voor markten waar andere privacyregels gelden.

De negen vuistregels van de AP gaan verder dan wat een standaardbanner uit de doos doet. Deel je voor een bepaald doel gegevens met derden, dan moet de eerste laag vermelden dát je dat doet én met hoeveel derden. Vinkjes en schuifjes mogen niet vooraf aanstaan, ook niet op een tweede laag. En de knoptekst moet duidelijk maken dat iemand toestemming geeft, niet alleen dat hij de tekst heeft gelezen.

Zelf controleren kan met de developertools van je browser of met een analysetool die de scripts op je pagina's in kaart brengt.

Eerst een waarschuwingsbrief, daarna onderzoek

Sinds april 2025 controleert de AP structureel of Nederlandse websites op de juiste manier toestemming vragen. Die aanpak begon met waarschuwingsbrieven aan 50 organisaties, terwijl een geautomatiseerd systeem ongeveer 10.000 Nederlandse sites in de gaten houdt.

In november 2025 stond de teller op meer dan 200 gewaarschuwde websites, waarvan ongeveer driekwart de banner daarna aanpaste, en tegen de organisaties die niets veranderden zijn handhavingsstappen gezet. Die verhouding houdt stand, zegt De Bie: van de organisaties die een waarschuwing krijgen, past driekwart de site binnen de gestelde termijn aan. Wie dat niet doet, kan nader onderzoek en uiteindelijk een sanctie verwachten.

De regels schuiven niet mee met de techniek

Onder de discussie verschuift het speelveld. Browsers beperken third-party cookies steeds verder, dus wijken trackingbedrijven uit naar server-side tracking, waarbij gegevens via de server van de website worden doorgestuurd, en naar fingerprinting, waarbij kenmerken van apparaat en browser samen een herkenbaar profiel vormen. De toestemmingsvraag verdwijnt daarmee niet. Ook bij die technieken telt welke persoonsgegevens je verzamelt en of je daar toestemming voor nodig hebt.

De banner zelf gaat voorlopig ook nergens heen, nu Google en meerdere EU-lidstaten lobbyen tegen het voorstel van de Europese Commissie om de cookiebannerplicht te versoepelen. Wat wel kan verdwijnen, is de reden dat je hem nodig hebt. De Bie vat die route samen in één regel: "Wat je niet hebt, kan niet lekken of gestolen worden." Geen trackingcookies betekent geen toestemmingsvraag, geen banner, en niets om bij een controle te verantwoorden.